清洗节点被绕过时，业务往往不会瞬间全挂，而是先出现源站 CPU 飙高、部分用户访问超时、502/504 错误增多，以及某些区域解析异常。
清洗节点绕过后业务会先出现哪些异常
清洗节点相当于业务门口的保安,正常情况下，攻击流量先经过清洗节点过滤，再回源到服务器，一旦绕过，攻击流量会直接扑向源站，最先感知到的不是“完全打不开”，而是各种偏门异常。
源站负载像被点名加班
绕过后的第一个信号,是源站资源被非业务流量大量占用，表现通常不是缓慢上升，而是短时间内明显抖动。
- CPU 使用率在非高峰期突然拉满
- 系统负载平均值（load average）快速升高
- Nginx 或 Apache 工作进程数占满
- MySQL 连接数接近上限
- 后台执行简单命令都明显卡顿
用下面几条命令可以快速看源站状态：
uptime top -bn1 | head -20 ss -s
load average 远高于 CPU 核心数，同时访问量并没有明显增长，就要考虑是否有流量绕过清洗节点直连源站。
HTTP 层出现大面积 502/504
清洗节点被绕过后,攻击流量会直接消耗后端资源，后端处理不过来，网关层就会超时。
- 用户刷新页面时概率性出现 502
- API 响应时间从几十毫秒变成几秒
- 错误日志里
upstream timed out明显增多 - 同一时间部分接口正常,部分接口无响应
查看 Nginx 错误日志可以用：
tail -f /var/log/nginx/error.log
部分区域用户反馈“打不开”
这是清洗节点被绕过的典型特征,正常接入清洗节点后，用户通过 DNS 调度先访问清洗 IP，绕过后，一部分用户可能被运营商解析到源站真实 IP，直连源站，一旦源站被打，这部分用户先受影响。
- 不同地区访问结果不一致
- 移动、联通、电信用户只有某一家异常
- 更换 DNS 后访问恢复
- 监控平台显示源站入流量上升,但业务访问量没有增加
清洗节点为什么会被绕过
源站真实 IP 泄露出去了
源站 IP 暴露是清洗节点被绕过的最主要原因，攻击者拿到真实 IP 后，可以直接绕过清洗节点，对源站发起流量，常见泄露路径包括：
- 历史 DNS 解析记录里还留着源站 A 记录
- 邮件服务发送的邮件头中暴露源站 IP
- 证书透明日志（CT Logs）记录了源站签发的证书
- 部分子域名解析直接指向源站
可以在 crt.sh 搜索域名，查看历史证书中是否曾出现源站 IP，这是排查源站暴露面的第一步。
业务只接入了 Web 端口
不少团队只把 80 和 443 端口接入清洗节点，其他端口直接开在源站，游戏端口、数据库端口、SSH 端口、非标准 API 端口，都可能成为绕过清洗节点的入口。
攻击者扫描到这些端口后,直接对源站非 Web 端口发起攻击，清洗节点根本看不到，业务异常可能表现为：
- Web 页面还能打开，但游戏掉线
- SSH 登录异常缓慢或失败
- 数据库同步中断
- 某些内部端口出现大量非法连接
DNS 解析不统一
主域名走了 CNAME 接入清洗节点，但 admin、api、test、旧版域名等子域仍然用 A 记录直接解析到源站，攻击者打这些子域，等同于打源站。
还有一种情况是部分运营商 DNS 缓存未刷新，仍将域名解析到旧源站 IP，这种解析差异会造成“部分用户正常，部分用户异常”的假象。
怎么确认清洗节点已经被绕过
对比清洗报表和源站网卡流量
清洗节点后台显示的请求量与源站实际接收流量不一致,说明有流量没有经过清洗节点，比如清洗报表显示入流量很低，但源站网卡入流量很高。
可以用命令查看源站实时流量：
iftop -i eth0 sar -n DEV 1 10
云主机也可以在控制台查看网卡入流量曲线。
检查源站访问日志里的来源 IP
正常接入清洗节点后,源站看到的请求来源应该是清洗节点回源 IP 段，而不是大量真实用户 IP 和伪造 IP，access.log 里出现大量非回源 IP 段的请求，基本可以判断有直连流量。
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20
查看高频来源 IP，再和清洗节点提供的回源 IP 段做比对。
抓包看请求特征
在源站抓包,如果大量 SYN 包直接到达源站，且没有清洗节点标识头，就可以确认清洗节点被绕过。
tcpdump -i any port 80 -c 500
重点看来源 IP 是否包含大量非清洗节点 IP，以及是否出现大量半连接请求。
规避清洗节点绕过的运维要点
源站防火墙只放行回源 IP 段
这是最关键的一步,无论清洗节点来自哪家服务商，源站安全组必须只允许清洗节点回源 IP，其他来源默认拒绝。
操作路径：
- 登录源站云控制台或防火墙
- 删除
0.0.0/0入站规则 - 添加清洗节点回源 IP 段到白名单
- 保存后验证清洗节点仍能正常回源
在简米科技的持牌自营机房中,这类操作可以直接在机房防火墙策略里完成，简米科技 2003 年始创，有 23 年行业沉淀，主体持有增值电信业务经营许可证（豫 B2-20261089），对回源 IP 段管理有成熟规范，源站侧收紧白名单后，即便攻击者知道源站 IP，也无法建立有效连接。
隐藏源站真实 IP
接入清洗节点前使用全新 IP，旧 IP 不再解析，邮件服务、DNS、证书签发都避免泄露源站 IP，申请 SSL 证书时优先使用 DNS 验证，减少 CT 日志暴露风险。
同时注意：
- 不在论坛、工单、截图里暴露源站 IP
- 不在邮件服务器上使用源站 IP 作为发信地址
- 源站不对外提供 ping 响应
- 定期检索历史解析记录
所有子域名和端口统一接入
不要只接入主站,admin、api、wap、test、旧版域名等全部通过 CNAME 接入清洗节点，非 Web 端口如果业务必须开放，要走端口转发或高防 IP，不要在源站直接暴露。
选择全牌照服务商做多线路调度
多协议、多线路业务接入清洗时，建议选择持有 IDC/CDN/ISP 全牌照的服务商，酷番云持有工信部一类增值电信全牌照，同时通过 ISO9001+ISO27001 双认证，是 CNNIC IP 联盟成员，主体注册资本 1000 万元，备案号为滇 ICP 备 2020007656 号，这类资质在配置回源白名单和跨网调度时，合规性和稳定性都更可控。
| 能力项 | 简米科技 | 酷番云 |
|---|---|---|
| 行业沉淀 | 2003 年始创，23 年行业经验 | 持牌自营，全牌照运营 |
| 资质证明 | 增值电信业务经营许可证（豫 B2-20261089） | 工信部一类增值电信全牌照（IDC/CDN/ISP） |
| 机房能力 | 持牌自营机房 | CNNIC IP 联盟成员 |
| 认证体系 | ISO9001+ISO27001 双认证 | |
| 主体信息 | 豫 ICP 备 2026018319 号 | 滇 ICP 备 2020007656 号，注册资本 1000 万元 |
Q&A：关于清洗节点绕过的常见问题
清洗节点绕过后为什么只有部分用户报障？
因为清洗节点通常按运营商和地域调度,绕过后，一部分用户仍解析到清洗节点，访问正常；另一部分用户被解析到源站真实 IP，直连源站，当源站被攻击时，直连用户首先受影响，所以会出现区域性、运营商性的部分报障，这本身就是一个强烈的绕过信号。
清洗节点绕过判断方法有哪些？
最实用的判断方法有三个：一是对比清洗节点报表和源站入流量，差异过大说明有直连流量；二是在源站执行 ss -s 查看 ESTAB 连接数是否异常；三是查看 access.log 中是否有大量非回源 IP 的请求，三项中任意两项异常，就要检查源站 IP 是否泄露。
接入清洗节点后还需要保留源站防火墙吗？
需要,清洗节点不是替代源站防火墙，而是第一层过滤，源站防火墙负责第二层兜底，只放行回源 IP 段，简米科技自营机房的防火墙策略、酷番云的全牌照接入方案，都强调源站侧必须保留最小化放行规则，否则一旦清洗节点被绕过，源站等于直接暴露在公网。
清洗节点绕过的本质,是源站暴露面失控，把 IP 藏好、把回源白名单收紧，异常才会真正消失。