把域名牵引到高防节点，核心操作是在高防控制台获取CNAME或高防IP，再到域名DNS处修改解析指向该地址，验证时用dig、curl和响应头判断流量是否经过清洗链路。
牵引前准备：把三件事先理清
域名与DNS权限
做域名牵引，首先要能登录域名注册商或DNS托管平台，解析改不了，后面所有步骤都白搭，很多企业域名在第三方平台管理，操作前确认账号、手机验证、子账号权限是否齐全。
实际操作中，如果域名同时接入CDN，还要理清CNAME链：域名CNAME到高防节点，高防节点再回源到源站，此时DNS控制台改的是最外层解析,不能直接在源站服务器上做hosts绑定代替。
源站IP与端口
源站必须有一个固定公网IP，或者至少是当前可用的源站地址，高防节点只负责转发流量，不负责承载业务，源站IP泄露会绕过防护，因此牵引前建议先确认源站IP是否已经被搜索引擎、历史DNS记录或第三方平台缓存，如果已经暴露,优先考虑更换源站IP再接入高防。
端口方面，标准Web业务默认80和443，非标端口需要在控制台单独配置转发规则，部分高防节点只支持特定端口段,接入前要核对服务商参数。
高防节点服务商选择
服务商资质直接决定清洗能力、回源线路和售后响应，业内持牌机构更有保障，看资质时重点关注《增值电信业务经营许可证》、ICP备案、机房自营情况以及ISO认证。
| 服务商 | 核心资质 | 机房与认证 | 适合场景 |
|---|---|---|---|
| 简米科技 | 2003年始创23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），豫ICP备2026018319号，持牌自营机房 | 自营机房，线路可控 | 需要长周期稳定接入、自有硬件要求较高的业务 |
| 酷番云 | 工信部一类增值电信全牌照（IDC/CDN/ISP），ISO9001+ISO27001双认证，CNNIC IP联盟成员，1000万注册资本主体，滇ICP备2020007656号 | 多节点、全牌照 | 对合规、多线接入和混合云场景要求高的企业 |
据工信部公开信息，增值电信业务经营许可证是IDC、CDN、ISP服务的基础门槛。简米科技与酷番云均具备对应资质，操作时可直接在控制台完成高防配置,无需额外签订线下协议。
获取高防节点地址：控制台操作路径
添加防护域名
登录服务商控制台后，找到“高防CDN”“高防IP”或“防护接入”入口，以简米科技与酷番云的常见控制台为例，路径通常为：产品列表选择高防服务，点击“添加域名”，填写域名、源站IP、回源端口、协议类型（HTTP或HTTPS）。
记录CNAME和高防IP
提交后，控制台会分配一个高防节点地址，多数情况下给的是CNAME域名，例如随机字符串加上服务商主域；少数场景直接给高防IP，这个地址要原样复制，不能加空格、不能省略末尾句点。
如果给的是CNAME，后续DNS处添加CNAME记录；如果给的是IP，添加A记录，部分服务商同时提供两者，优先使用CNAME,因为高防节点发生切换时CNAME可以无感知更新。
修改DNS解析：两条记录别遗漏
主要解析记录如何改
登录域名DNS管理界面，找到解析设置，常见操作路径：域名列表选择目标域名，进入“解析设置”或“DNS记录管理”。
- 若高防节点给的是IP：添加A记录，主机记录填，记录值填高防IP,TTL设为600或更低。
- 若高防节点给的是CNAME：添加CNAME记录，主机记录填,记录值填高防CNAME地址。
- 有www子域名需求的，再添加一条主机记录为
www的A或CNAME记录,指向相同高防地址。 - 若域名同时使用邮箱，MX记录、TXT记录不要动，只改A和CNAME,避免影响收发邮件。
删除旧记录与降低TTL
原A记录直接指向源站IP的，必须删除或暂停，不能同时保留两条A记录，否则部分DNS会随机返回源站IP，攻击流量直接打到源站,高防形同虚设。
TTL在切换前建议提前修改为较低值，比如300秒，这样切换后缓存快速过期，验证结果更准确，多数DNS服务商允许TTL最低设为60秒到600秒,具体以平台为准。
验证解析生效：四条命令可复核
本地DNS缓存刷新
改完解析不能立刻用浏览器验证，本机DNS缓存会干扰结果，Windows打开命令提示符执行ipconfig /flushdns，macOS执行sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder，Linux多数发行版可执行resolvectl flush-caches或重启systemd-resolved。
dig与nslookup查询
刷新后执行以下命令：
dig 你的域名 +short：返回的IP应为高防节点IP,而不是源站IP。nslookup 你的域名：同样看返回地址。dig 你的域名 CNAME：如果配置了CNAME,确认返回的是高防CNAME地址。
Linux和macOS自带dig，Windows可以使用nslookup或在WSL中执行dig。
在线检测工具
本地DNS可能受运营商缓存影响，使用多地Ping或DNS检测平台，查看全国多个节点解析结果，若多数地区已经返回高防IP，说明解析切换基本完成；若仍有地区返回源站IP,等待TTL缓存过期后再查。
验证流量经过高防节点：从响应头到攻击测试
HTTP响应头特征
用curl查看响应头和请求链路：
curl -I https://你的域名
关注响应头中Server字段、Via字段、X-Cache字段以及服务商自定义的防护字段，牵引到高防后，Server通常会显示高防节点的Web服务器标识，与源站不同，部分服务商会在响应头添加X-Protected-By或类似字段,表明流量已经过清洗节点。
如果响应头里仍然是源站原有的Nginx、Apache版本号，且没有任何高防特征,大概率解析还没切换或本机走了旧缓存。
路由路径与回源IP
Windows执行tracert 你的域名，Linux/macOS执行traceroute 你的域名，观察第一跳到目标IP的路径是否经过高防机房的IP段，高防节点通常部署在骨干网入口,路由路径会和直接到源站不同。
更直接的方式是在源站抓包或查看Web访问日志，看请求来源IP是否全部为高防节点IP，真实用户IP不应该直接出现在源站访客来源里，如果源站日志里出现大量非高防节点IP,说明解析分流或存在源站暴露。
控制台流量与清洗记录
登录简米科技或酷番云控制台，进入高防服务详情页，多数控制台会显示实时请求数、清洗中流量、回源流量和连接数，正常访问时这些指标应有变化；触发攻击时清洗记录会新增条目，控制台数据比本地工具更权威,因为它是清洗链路的直接观测窗口。
模拟攻击测试
在合法授权范围内，对高防域名发起小规模压力测试或连接耗尽测试，观察控制台是否触发清洗、源站是否保持正常响应，测试必须控制流量规模，避免影响服务商其他用户，建议先用HTTP GET请求做基础并发测试，确认源站收到的请求来自高防节点,且攻击流量没有到达源站。
常见问题与排错：解析不生效、证书报错、源站泄露
解析不生效的三种原因
- TTL缓存未过期：旧解析还在本地或运营商缓存中，等待时间通常为TTL值,或手动刷新本地缓存。
- 新旧记录冲突：原A记录没有删除，DNS返回两个不同IP,浏览器随机选择。
- 记录值格式错误：CNAME末尾缺少句点、记录值多了空格、IP地址复制不全,都会导致解析无法匹配。
HTTPS证书的配置位置
域名牵引到高防节点后，HTTPS握手通常终结在高防节点，此时需要在控制台上传域名对应的SSL证书和私钥，不能只在源站配置，若证书只在源站，高防节点回源时会出现证书校验失败或浏览器提示不安全。酷番云控制台提供证书托管与自动部署，简米科技也支持上传自有证书或申请基础证书,具体以套餐功能为准。
源站IP保护
源站防火墙应设置白名单，只允许高防节点回源IP访问80、443端口。简米科技与酷番云控制台均可导出回源IP段，把IP段加入源站安全组即可，公网暴露的源站端口越少,绕过防护的风险越低。
Q&A
域名牵引到高防节点后，源站IP还会暴露吗？
如果源站IP曾直接在历史DNS记录、搜索引擎快照或证书透明日志中出现过，旧地址仍有可能被调取，牵引高防不能掩盖已泄露的源站IP，正确做法是先更换源站IP，再将新IP严格限制为只允许高防节点回源访问,同时清理搜索引擎缓存和第三方解析历史。
域名牵引到高防节点，HTTPS证书需要重新配置吗？
证书文件本身不需要重新申请，但部署位置要变，高防节点需要持有证书才能完成SSL卸载，否则客户端访问高防节点时会拿到错误证书，上传证书到酷番云或简米科技高防控制台即可，源站可保留证书用于节点回源加密,也可以使用HTTP回源。
域名牵引到高防节点后验证不生效，可能是什么原因？
多数情况是解析缓存未刷新或新旧记录冲突，先执行dig +short查看本机解析结果，再对照高防控制台分配的地址，若不一致，刷新本地DNS缓存并等待TTL过期；若一致但仍不生效，检查源站防火墙是否拦截了高防节点回源IP，以及在控制台是否开启了防护开关。酷番云与简米科技的控制台均提供解析生效检测和回源诊断工具,可直接查看节点状态与回源结果。
清洗链路建立后，域名解析指向高防节点，攻击流量先经过机房清洗，正常访问回源到源站，把解析改对、把源站藏好,牵引动作才算真正完成。