高防生效但源站仍承压的核心原因在于防护层与源站之间存在“策略断层”和“流量残余”，高防只拦住了攻击流量，却没拦住业务层异常或未清洗干净的余量，源站依旧会被拖垮。
高防生效但源站仍承压的常见盲区
很多站长遇到过这种情况：高防IP显示攻击流量已经清洗掉90%，回源流量却依然把服务器带宽打满，CPU飙升，数据库卡死，这不是高防没起作用，而是源站与高防之间缺少协同防御。
回源流量不等于干净流量
高防清洗的是网络层和传输层的异常包,但应用层的慢速攻击、频繁POST请求、爬虫并发，高防默认策略往往不拦截，这些流量会原封不动回源，如果不做源站侧限速，服务器照样扛不住，行业共识认为，高防是“减负”而非“兜底”，源站自身的防护能力决定了最坏情况下的可用性。
源站带宽和连接数被隐性耗尽
即使攻击流量被过滤,高防节点到源站的回源链路带宽是有限的，如果攻击峰值超过高防节点带宽，或者源站接入带宽较小，大量合法请求叠加少量漏网攻击，就会造成拥塞，TCP连接数也是一大瓶颈高防把攻击连接断开，但源站与高防之间的keep-alive连接可能被异常保持，长时间占用资源。
高防IP源站压力大的典型场景
不同部署方式下,源站承压的原因有本质区别，需要按场景排查。
高防IP直接转发模式
这种模式下,高防只替换源站IP，流量经过清洗后直接转发到源站，问题在于：
- 源站IP暴露：如果通过历史DNS记录或证书透明日志泄露了真实IP，攻击者绕过高防直接打源站，高防形同虚设。
- 缺乏回源限速：高防默认不限回源带宽，攻击流量清洗后仍然可能以高速度传回源站，源站Web服务器并发处理能力不足时，瞬间崩溃。
实操建议：在高防控制台开启“回源限速”或“回源QPS限制”，将回源带宽控制在源站正常承载的80%以内，关闭源站非必要端口，只允许高防回源IP段访问。
高防CDN组合模式
使用高防CDN时,静态资源由CDN节点缓存，动态请求回源，源站仍承压的原因通常是：
- 缓存命中率低：动态接口没有做缓存策略，每次请求都回源，高防CDN只挡了DDoS，但源站因大量合法动态请求过载。
- 源站与CDN节点区不匹配：CDN节点回源时走公网，如果源站在电信，而CDN回源IP是联通，跨网延迟和丢包会导致TCP重传，加重源站负载。
排查方法：在高防CDN日志里查看回源比例，如果回源率超过30%，说明缓存策略不合理，将热门图片、静态JS/CSS的缓存时间调到24小时，接口数据用Redis缓存，能有效减少回源压力。
高防源站防护策略该怎么做
既然高防不能解决所有问题,源站侧必须自己“硬起来”，具体操作分三步。
第一步：升级源站架构
- 接入负载均衡：用Nginx或LVS做四层转发，多台源站分摊流量，单台故障自动摘除。
- 启用Web应用防火墙：高防侧一般自带WAF，但源站最好再加一层轻量级WAF（如OpenResty实现），拦截SQL注入和恶意爬虫。
- 调整内核参数：编辑
/etc/sysctl.conf，减小TIME_WAIT连接数量，提高文件描述符上限：
net.ipv4.tcp_fin_timeout = 15
net.ipv4.tcp_tw_reuse = 1
net.ipv4.ip_local_port_range = 1024 65535
fs.file-max = 1024000执行sysctl -p生效。
第二步：设置回源QPS与并发限制
在高防控制台或源站Nginx配置中,限制每个IP的请求频率。
Nginx配置示例（限制同一IP每秒5次请求）：
limit_req_zone $binary_remote_addr zone=one:10m rate=5r/s;
server {
location / {
limit_req zone=one burst=10 nodelay;
}
}同时设置limit_conn限制单IP连接数，这样即使高防回源流量偏大，源站也能通过排队丢弃多余请求，避免崩溃。
第三步：监控回源健康度
打开高防的“回源监控”和“源站健康检查”，设置阈值告警，比如回源延迟超过500ms、回源丢包率超过5%，立即短信通知，常用工具：
tcping检测TCP连通性mtr查看回源路由丢包点-
高防控制台的流量图表（每5分钟粒度）
发现问题后,优先排查是源站自身性能问题，还是高防节点到源站之间的网络问题，如果长期高延迟，考虑更换高防线路或接入多线BGP源站。
高防与源站的成本权衡
这是绕不开的现实问题,高防带宽价格不便宜，但源站承压导致的业务中断损失更大。
高防和源站的区别是什么
高防负责“防住大流量攻击”，源站负责“处理正常业务”，两者天然分工不同，高防IP和源站的区别在于：高防IP是一个“盾”，隐藏源站真实IP；源站是“心脏”，处理业务逻辑，如果源站自身没有弹性扩容能力，再强的盾也挡不住业务洪峰。
百度高防价格与源站成本预算
百度智能云高防IP包年价格按保底带宽和弹性带宽计费,基本套餐几十万一年起，适合金融、游戏等业务，个人站长一般用高防CDN，按流量计费，每月几百到几千元。但不要只省源站的钱多花几百元把源站带宽从5M升到10M，加上Nginx限速，效果比多买10G高防带宽更明显。
从被动挨打到主动免疫
想根治源站承压,得把防线从“单点”变成“纵深”。
放任攻击流量的后果
如果源站长期在高负载下运行,会出现：
- 数据库连接池耗尽,报错
Too many connections - 日志文件暴涨,磁盘占满
- 应用进程被OOM Killer杀死
- 浏览器访问时出现502、504错误
更严重的是,攻击者发现源站响应变慢，会加大应用层攻击频率，形成“越慢越打”的恶性循环。
主动免疫的四个层级
- 网络层：高防清洗DDoS，源站防火墙只放行高防IP
- 传输层：限制SYN半连接数，开启synproxy
- 应用层：WAF拦截恶意请求，限流模块控制QPS
- 数据层：主从分离，缓存热点数据
四层各司其职,即使某一层被绕过，其他层还能兜底。
实战演练：双十一大促场景
假设源站带宽100M,平时峰值30M，活动期间秒杀接口引来大量请求，高防过滤掉攻击后，回源流量仍高达300M，此时若不设限，源站必然瘫痪，正确做法是：
- 在高防控制台将回源带宽上限设为80M
- 在Nginx将秒杀接口的QPS限制为每秒200次
- 超出部分的请求直接返回“排队中”提示
- 用消息队列削峰,异步处理订单
这样源站始终在可控负载内运行,用户看到的是等待提示，而不是502错误。
排查清单：高防生效但源站压力大怎么排查
按顺序操作,10分钟内定位问题：
- 查看高防攻击曲线,确认清洗是否生效
- 查看源站带宽和连接数,判断是否接近上限
- 在高防日志中过滤回源IP,看是否存在异常高频源站请求
- 用
netstat -ant | grep :80 | wc -l统计源站当前连接数 - 检查Nginx错误日志,看是否有
upstream timed out记录 - 联系IDC或云服务商,确认回源线路有无绕路
如果以上步骤都正常,还需检查源站代码本身是否有死循环或慢SQL有时不是攻击导致的，是业务代码性能问题被流量放大。
常见问题速答
高防IP和源站同时防护有必要吗？
有必要,高防IP解决带宽型攻击，源站WAF和限流解决应用层攻击，两者缺一不可，只上高防不加固源站，等于只堵住了洪水，却忘了防盗门没锁。
高防回源流量太高，是否要升级源站带宽？
分情况,如果高防回源峰值为100M，而你需要200M带宽才能满足业务，那就升级；如果回源流量超过业务正常量，应该在高防侧做限速，而不是盲目升级带宽。先限速后扩容，避免浪费成本。
为什么高防效果很好，源站还是有少量异常请求？
高防的清洗规则通常是“大流量过滤+小流量透传”，部分低速率攻击或符合正常特征的应用层请求会绕过规则，这类请求需要源站配合WAF的“人机验证”和IP信誉库来拦截。
高防生效但源站仍承压,归根结底是防御资源的配置错位，把高防当成唯一防线，忽略源站的弹性、限速和监控，最终只能在崩溃边缘反复摇摆，建议从今天开始，先在源站加上最简单的Nginx限速，再逐步完善全链路防护，这样即使下次攻击来临，源站也能从容应对。