高防节点与源站的健康检查，核心就一句话：配置合理的心跳频率、阈值和回源策略，让高防IP能自动摘除故障源站并平滑切换流量，而不是死等超时。很多站点被攻击时源站扛不住，但高防节点还在傻傻地往源站转发，就是健康检查没配好,下面直接讲清楚怎么配。
健康检查的本质：你给高防节点一双眼睛
健康检查不是高防产品的附加功能，而是回源链路的基础保障，它的工作逻辑很简单：高防节点定期向源站发送探测请求（TCP握手、HTTP请求或ICMP Ping），根据返回结果判断源站是否存活，一旦连续多次探测失败，节点就把该源站标记为“宕机”，停止向其转发流量；恢复探测成功后,再从备用池里把流量切回去。
业内专家指出，健康检查配置的核心参数不是探测频率，而是“失败判定阈值”和“成功恢复阈值”，这两个值决定了节点对源站状态变化的敏感度，配置过严，源站稍微抖动就被摘除，导致回源率下降；配置过宽，源站已经挂了，节点还在继续转发,用户直接看到502。
高防节点健康检查的三种常见模式
不同高防产品对健康检查的命名略有差异，但底层逻辑一致,你要先确认自己的高防IP或高防CDN支持哪种模式。
TCP半开探测：最省资源的保底方案
节点向源站的IP:端口发起TCP SYN包，如果能收到SYN-ACK，就判定端口存活，这种模式不消耗应用层资源，适合一切基于TCP的应用（HTTP、HTTPS、SSH、游戏协议等），缺点是只能证明端口通，无法判断应用是否真的健康比如数据库连接池满了，但端口还开着,TCP探测依然通过。
适用场景：纯端口存活校验、源站性能较弱、不想在源站上装额外探针。
HTTP/HTTPS请求探测：贴近用户真实访问
节点模拟客户端发起HTTP GET请求，要求源站在规定时间内返回指定状态码（如200），可以自定义请求路径，比如探测/healthz或/ping.html，这种方式能感知到应用层的故障，例如Web服务死锁、PHP-FPM进程卡死。
配置要点：
- 探测路径建议单独写一个轻量接口，不要探测首页（首页可能加载数据库、缓存等依赖,误报率高）
- 设置合理的超时时间，一般2-3秒足够
- 期望状态码不要写死200，有些页面302跳转也算正常，需要根据业务调整
自定义脚本/主动拨测：高玩专属
部分高防产品支持在节点上执行自定义脚本（curl命令或TLS握手检查），甚至允许你从源站主动上报心跳，这种模式最准确，但配置复杂度也最高，行业共识认为，只有当源站是多实例、多机房的复杂架构时,才值得用这种模式。
健康检查阈值怎么设：别拍脑袋，按业务容忍度来
这是最容易被忽略的地方，很多站长把探测间隔设为5秒，连续失败3次摘除，看起来挺合理,但真实场景下问题很大。
失败判定阈值与摘除时机
假设源站每隔10秒出现一次200ms的抖动，TCP探测丢一个包，如果失败判定阈值是2次，那么一次小抖动就可能触发摘除，导致高防节点频繁切换回源目标，切换期间，正在处理的请求会被中断,用户体验反而是负优化。
推荐经验值：
- 探测间隔：5-10秒（太短会加重源站压力,太长会导致故障感知延迟）
- 失败判定次数：3-5次（即30-50秒内持续异常才摘除）
- 成功恢复次数：2-3次（避免源站刚恢复又被误杀）
超时时间与源站实际响应时间挂钩
你源站平均响应时间800ms，那么健康检查的超时至少得设3秒，有些高防产品默认超时1秒，你源站在高峰期响应1.5秒，健康检查就会全部超时，节点以为源站挂了，直接把你摘除，但实际上用户访问只是慢，并没有挂。超时时间务必大于源站P95响应时间。
高防IP健康检查配置实战：以典型控制台为例
不同云厂商的控制台布局不一样，但配置路径基本类似,这里以主流高防IP产品的操作流程为例：
第一步：找到健康检查设置入口
登录高防控制台，进入“防护配置”或“源站管理”，在回源策略模块里找到“健康检查”选项，部分产品默认关闭,需要手动开启。
第二步：配置探测协议与端口
- 如果源站是8080端口，探测端口就填8080
- 不要填错IP，回源地址和健康检查探测地址必须一致（有些配置是多源站负载均衡,要逐一核对）
第三步：设置高级参数
点击“高级配置”,你会看到以下选项：
| 参数 | 建议值 | 说明 |
|---|---|---|
| 探测间隔 | 5秒 | 频率过高可能触发源站安全策略 |
| 超时时间 | 3秒 | 根据源站性能调整 |
| 失败次数 | 3次 | 连续3次失败判定故障 |
| 成功次数 | 2次 | 连续2次成功恢复在池 |
| 重试间隔 | 1秒 | 每次探测失败后的等待 |
第四步：关联回调源站
保存配置后，需要回到回源策略里，把健康检查组绑定到对应的源站IP或源站域名上，有些产品支持“自动摘除并发送告警”,建议开启短信或邮件通知。
第五步：模拟故障验证
这一步必须做，把源站的Web服务手动停掉（或拔掉网线），观察高防控制台的源站状态是否在
30秒内变为“异常”，再恢复服务，看能否自动回到正常状态，如果没变化，检查探测IP是否被源站防火墙拦截高防节点的健康检查探测源IP通常是一组固定IP段,需要在源站安全组里放行。
对应高防节点与源站之间的几个常见坑
坑一：源站开启了HTTPS，但健康检查却用TCP
如果源站强制跳转HTTPS，TCP探测只能证明端口通，无法验证证书链是否正常，更严重的是，某些高防产品对TCP探测的源IP与业务回源IP不一致，源站防火墙只放行了回源IP段，导致探测包全被丢弃,健康检查永远失败。
解决办法：优先使用HTTP或HTTPS探测，路径填写或自定义healthz，如果源站有WAF，记得把高防节点健康检查的User-Agent加入白名单。
坑二：回源超时时间设置比健康检查超时更长
高防节点回源请求的超时通常是10-30秒，而健康检查超时只有1秒，这时可能出现：源站响应很慢但没挂，健康检查判定失败摘除了源站，而实际上用户请求可能等5秒还能成功，结果就是节点来回切换，日志里全是“connection refused”和“upstream timed out”交替出现。
建议：健康检查超时设为源站平均响应时间的3倍，并且回源超时应大于健康检查超时,保证逻辑一致。
坑三：多个源站共用一个健康检查策略
两套源站性能差异大，一个秒回，一个要8秒，共用一套阈值，慢的那个永远被摘除。按源站分组配置不同策略,比如静态资源源站和API源站分开。
健康检查与高防IP价格的联系
你可能在一些高防IP价格对比文章里看到，便宜的套餐不带健康检查或只支持TCP模式，而带HTTP健康检查和灵活阈值的套餐往往贵30%-50%，这是事实，对于单源站小业务，TCP探测够用；但多源站或高可用要求较高的业务，建议选支持HTTP探测的版本。别为了省几十块导致源站故障时用户全量打不开。
回源失败后的兜底设计
健康检查摘除了故障源站，流量会转到其他健康源站，但如果所有源站都异常怎么办？大多数高防产品会保留最后一次成功响应的节点进行“强制回源”，或者返回502，你需要设置一个兜底页面，让用户在源站全挂时看到友好的错误提示，而不是白屏超时，部分高防支持自定义502回源响应内容,这个功能一定要用上。
高防节点健康检查与CDN动态加速的关系
如果你的业务同时用了CDN和高防，注意CDN节点也会有自己的源站健康检查，这种情况下，CDN回源到高防IP，高防再回源到源站，形成了两级健康检查。两级的时间阈值要叠加考虑，比如CDN每30秒探测一次高防IP，高防每5秒探测一次源站，源站故障后，高防第一时间摘除，但CDN可能还在回源到高防IP，直到下一次探测周期才发现高防IP返回502，所以建议把CDN的探测频率调得比高防的失败判定周期更长,避免多层冗余导致故障响应延迟。
健康检查参数调整的最佳时机
- 源站性能优化后：响应时间下降，可以适当缩短超时时间，加快故障感知
- 业务高峰前：把失败判定次数从3次临时调到5次，避免大流量冲击源站时健康检查误判
- 源站架构变更后（比如从单机变成SLB），必须同步修改健康检查的探测路径和端口
记住一个原则：健康检查是保护措施，不是加速工具，它的目标是减少故障影响范围，而不是让高防节点更早地发现源站“不行了”，配置得激进,反而容易把自己搞宕机。
高防IP健康检查和源站负载均衡的协同
当你有多个源站做负载均衡，健康检查还能配合权重调度，比如源站A权重5，源站B权重3，A被摘除后，B自动承接全部流量，但要注意，权重分配不会因健康检查自动调整A恢复后，流量会重新按权重比例分配，可能瞬间冲垮A，所以源站恢复后要设置“预热期”，部分高防产品支持“恢复后慢启动”功能，没有的话,可以通过调低权重再调回来实现手动预热。
相关问答
高防IP健康检查的探测源IP地址是固定的吗？
是的，高防服务商都会公布健康检查的源IP段，你需要把这些IP段加入源站防火墙和云安全组白名单，如果忘记放行，健康检查永远失败，源站会被误摘除,具体IP段可以在高防控制台的基础信息页或服务商文档中查询。
健康检查失败但源站实际正常，可能是什么原因？
最常见的是源站安全策略拦截了探测请求，比如宝塔面板的防火墙、云防火墙的扫描攻击防护规则，其次是源站网络有丢包，或者健康检查的探测端口和实际业务端口不一致，可以先用源站上的tcpdump抓包确认是否有来自高防节点IP的探测流量到达，若没有,就是路由或白名单问题。
高防CDN的节点健康检查配置和高防IP有什么区别？
高防CDN的节点健康检查通常由CDN厂商统一配置，用户只能调整“探测路径”和“超时时间”，不能修改失败判定次数，而高防IP产品则提供了更细粒度的参数控制，如果你需要精细调优，选高防IP；如果只是静态资源加速,高防CDN足够。
健康检查配置没有一劳永逸的答案，但有万变不离其宗的逻辑：用源站的实际表现定参数，用业务容忍度定阈值，用故障演练验证配置，把上面这几点按你的业务场景过一遍，高防节点和源站之间的配合就能真正发挥出作用，定期检查健康检查的日志和告警记录,比任何高级配置都重要。