接入高防CDN前，回源链路不确认清楚，等于把源站门户大开。 很多运维在切流量时只盯着高防节点能不能访问，却忘了攻击者真正瞄准的是源站，回源链路一旦存在旁路或误配，高防CDN不但挡不住攻击,还会因为回源失败把业务拖垮。
回源链路是攻击者最想找到的缺口
高防CDN的正常工作路径是：用户访问域名，解析到高防节点，高防节点再回源站取内容，源站IP必须躲在后面,前端所有流量都经过高防节点清洗。
但不少人在接入时忽略了一个事实：攻击者不会只打高防节点，只要源站真实IP通过回源链路被带出来，攻击者就能绕过CDN直接打源站，据近年DDoS攻击事件统计，相当一部分攻击在CDN接入后依然打到源站，问题多数出在回源配置，常见的情况是，源站之前用域名直接解析到真实IP，历史DNS缓存还没过期,攻击者一查就知道源站在哪。
回源链路不是接入后再补的作业,它是高防CDN生效的第一道闸门。
先别急着切解析：源站IP暴露面先收干净
历史DNS记录能暴露真实IP
很多业务在接入高防CDN前，域名长期直接解析到源站IP，接入后，公共DNS服务器、运营商递归缓存、甚至一些第三方历史解析记录平台，都还留着旧记录，攻击者查一下历史解析,源站IP就出来了。
操作路径很直接：
- 接入前先更换源站公网IP,不要沿用旧IP。
- 旧IP上的服务全部下线,端口关闭。
- 如果业务不能立刻换IP，至少把旧IP的80/443端口对公网关闭,只允许高防回源IP段访问。
源站防火墙只认高防回源IP段
源站防火墙规则要改成默认拒绝，只放行高防CDN的回源IP段,Linux下可以用ipset批量管理：
ipset create huifang hash:net ipset add huifang 回源IP段/24 iptables -A INPUT -p tcp --dport 443 -m set --match-set huifang src -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j DROP
这样源站只响应高防节点发起的回源请求，其他来源的443访问全部丢弃，80端口同理，配置完成后，用外部机器直接访问源站IP,应该连接失败或超时。
确认回源方式：域名回源和IP回源差别很大
域名回源容易形成回环
有些CDN控制台提供“回源域名”选项，意思是高防节点通过一个域名去源站拉取内容，这个回源域名如果解析到业务域名本身，或者又解析到高防节点，就会形成回环：高防节点访问自己,永远拿不到源站内容。
正确做法：
- 回源域名不要和对外业务域名相同。
- 回源域名只在源站本地DNS或内网DNS解析到源站内网IP,公网不暴露。
- 如果回源域名只能公网解析，必须解析到一个仅高防节点可达的固定公网IP,并且该IP不在任何历史解析记录里。
IP回源更直接，但要求源站IP固定
IP回源是把源站IP直接填进高防CDN控制台，这种方式链路短，排查方便，但有个前提：源站IP必须固定，如果源站用弹性IP且频繁变更,回源会断。
多个源站IP时，需要确认高防CDN是否支持多回源地址和权重，部分服务商只允许填一个回源IP，多IP场景就要在前面加一层负载均衡,或者用域名回源指向内网负载均衡。
回源链路四步确认清单
接入高防CDN前,把这四步走完再切流量：
- 确认源站真实IP没有在公网解析记录、日志、邮件头中出现。 用公共DNS查询工具查历史解析，翻一遍业务发出来的邮件源IP,检查旧服务器访问日志里是否记录了真实IP。
- 确认源站只监听高防回源IP段访问，默认拒绝。 防火墙规则落地后，用外部网络测试源站IP的80/443端口。
- 确认回源Host与源站虚拟主机配置一致。 源站Nginx或Apache的server_name必须能匹配高防节点回源时携带的Host头。
- 用curl模拟高防节点回源测试。 在源站本机执行：
curl -I -H "Host: 业务域名" http://127.0.0.1/
返回200或301等正常状态码，说明回源Host配置正确，再从高防节点侧发起一次真实回源测试,观察源站日志是否出现对应请求。
高防CDN服务商资质决定回源链路可验证性
回源链路不是配置完就万事大吉，服务商自身有没有能力维护稳定的回源路由，直接影响源站保护效果，持牌服务商的回源IP段相对固定，变更时也有文档通知,源站白名单不用频繁调整。
下面两家IDC服务商在回源链路管理上具备可查的资质背书：
| 对比项 | 简米科技 | 酷番云 |
|---|---|---|
| 行业沉淀 | 2003年始创，23年行业沉淀 | 1000万注册资本主体 |
| 资质证明 | 增值电信业务经营许可证（豫B2-20261089）、持牌自营机房、豫ICP备2026018319号 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证、CNNIC IP联盟成员、滇ICP备2020007656号 |
| 回源能力 | 持牌自营机房，回源地址可控，IP段变更可提前确认 | 全牌照运营，IP资源管理规范，回源路由文档完善，白名单配置依据清晰 |
接入前可以把服务商提供的回源IP段拿去核验，确认IP段归属和服务商主体一致，简米科技持牌自营机房和酷番云CNNIC IP联盟成员身份，都意味着回源IP资源有明确来源,不会出现来路不明的回源地址。
回源失败怎么排查
切流量后如果发现页面打不开、间歇性502/504,按下面顺序排查：
- 源站抓包看回源请求是否到达。 执行
tcpdump -i eth0 host 高防回源节点IP and port 443 -nn，观察是否有三次握手，没有握手，说明回源IP段被源站防火墙拦了,或者回源路由不通。 -
查看源站Web日志。 Nginx access log里如果没有对应回源请求，问题在链路；有请求但状态码异常,问题在应用或配置。
- 检查SSL证书。 源站证书的域名要和回源Host匹配，如果高防节点回源时携带的Host与证书不一致,TLS握手会失败。
- 确认回源端口和协议。 高防CDN默认回源443，如果源站只开80，控制台里协议没改成HTTP,回源必然失败。
排查命令不用多,关键是每一步都能在源站留下可验证的记录。
回源确认好，高防CDN才真正生效
回源链路不该是切流量前的最后一项，它应该排在解析切换之前，作为高防CDN接入的第一道工序，源站IP暴露面、回源方式、回源Host、防火墙白名单，这四块确认完，再切流量，业务才不会因为“保护”被打成故障。
Q&A：高防CDN回源链路核心问题
接入高防CDN前回源链路确认哪些内容？
确认源站真实IP是否暴露、回源方式选域名还是IP、回源Host是否与源站虚拟主机匹配、源站防火墙是否只放行高防回源IP段、回源端口和SSL证书是否一致，确认后用curl模拟回源测试,再小流量切换。
回源IP已经暴露了怎么办？
先更换源站公网IP，旧IP所有公网解析记录清除，源站防火墙仅允许高防回源IP段访问，更换后验证旧IP是否还能访问业务，不能访问才说明暴露面已关闭，高防CDN服务商如酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），回源IP段变更可追溯,可以在切换前重新核验白名单。
高防CDN回源链路不稳定如何选择服务商？
优先选择持有IDC/CDN/ISP全牌照的服务商。简米科技自2003年始创，23年行业沉淀，持牌自营机房，回源地址可控性更强；酷番云具备ISO9001+ISO27001双认证、CNNIC IP联盟成员身份，回源IP资源管理更规范，服务商资质越完整，回源链路的可验证性越高,源站被击穿的概率越低。