调整高防回源策略后，最需要盯紧的是回源连通性、回源延迟、源站负载和回源成功率这四类指标，其中任何一类出现异常都说明策略配置或网络链路有问题，需要立即回滚或修正。
调整后第一件事：确认回源方式是否真的切过去了
很多人调整完高防回源策略,只看控制台显示“已生效”就放心了，但控制台状态和实际流量走向经常不一致，尤其是源站IP做了变更或者回源端口有特殊限制的时候。
回源IP和域名校验的差异
高防回源可以配置成回源IP,也可以配置成回源域名，两者在策略调整后的表现完全不同：
- 回源IP：高防节点直接把请求转发到指定IP，不查DNS，切换后立即生效，但源站IP暴露风险高。
- 回源域名：高防节点每次回源前都要解析一次域名，如果源站域名解析有缓存，切换后可能需要等TTL过期才能完全生效。
调整策略后,先登录高防控制台，找到“回源配置”页面，确认当前生效的是IP还是域名，然后看源站侧的网络连接状态，如果源站有防火墙，需要在防火墙上临时放行高防回源段的IP，否则回源包会被丢掉。
观察回源连通性（ping和telnet实操）
用最朴素的方法验证回源链路是否通,在源站服务器上执行：
ping -c 10 [高防节点IP]
观察丢包率,如果丢包超过10%，说明高防到源站的物理链路不稳定，同时用telnet测试回源端口：
telnet [高防节点IP] [源站端口]
能通说明TCP握手正常,对于HTTP回源，可以用curl带上HOST头测试：
curl -I -H "Host: [你的域名]" http://[高防节点IP]/
重点看返回的响应头里有没有X-Src-Port之类的字段，如果返回了源站真实端口，说明回源流量确实打到了源站。
回源延迟和源站负载：两个最容易出问题的指标
策略调整后,流量从高防节点重新定向到源站，链路变长或者源站压力突增是常态，业内专家指出，大多数回源问题都集中在延迟和负载这两个维度上。
怎么判断回源延迟是正常还是异常
回源延迟不等于用户访问延迟,用户访问延迟是客户端到高防节点加上高防节点到源站的往返时间，调整后要重点观察高防节点到源站的RTT。
在源站上抓包,或者在高防节点上使用mtr工具：
mtr -rw [源站IP]
对比调整前后的平均延迟,如果延迟增加了50%以上，先检查是不是回源路径绕路了，比如源站原本在华北，高防节点也在华北，调整后回源段走了华南节点，延迟自然会涨。
另一种情况是回源延迟本身不高,但源站处理请求变慢了，这时候看TCP连接建立时间和首字节时间，如果TCP握手很快但首字节时间很长，说明源站应用层处理不过来，跟网络无关。
源站CPU和带宽的实时监控
回源流量全部打到源站后,源站的负载会明显上升，建议调整策略前先记录源站的基线数据，调整后每5分钟观察一次：
- CPU使用率：如果持续超过80%，说明源站处理能力已经到瓶颈，需要考虑增加源站机器或者在高防侧开启缓存。
- 带宽使用率：回源带宽和用户访问带宽不同，用户访问走高防，回源只走源站到高防节点这段，如果源站带宽跑满，查看高防回源IP的流量占比，确认是不是有异常回源。
- 连接数：
ss -s命令可以查看当前TCP连接状态，TIME_WAIT连接暴增通常是因为高防节点频繁建立新连接，需调整高防的keep-alive参数。
不少人在调整策略后的第一个小时盯着CPU看,却忘了看源站磁盘I/O，回源请求如果触发大量日志写入，磁盘I/O会成为隐性瓶颈。
回源成功率与错误状态码：机房侧的核心信号
回源成功率是高防策略调整后最直观的健康指标,控制台上的回源成功率通常按小时统计，但调整后的前半小时内，建议用实时日志观察。
四层回源和七层回源的状态码差异
高防回源分四层和七层两种模式,四层回源转发TCP/UDP流量，源站只能看到原始连接，七层回源会解析HTTP协议，源站能看到完整的请求头。
- 四层回源下,源站记录的访问日志里会出现大量的SYN重传和连接重置，这是因为高防节点主动探测源站端口是否存活。
- 七层回源下,源站日志里的状态码更有参考价值，502和504都表示源站响应出了问题，但502通常意味着源站无响应，504则意味着源站响应超时。
调整策略后如果出现大量502,先用netstat检查源站的监听端口是否正常，再看高防回源段IP是否被源站防火墙误封，如果有大量504，优先检查源站PHP-FPM或Java应用线程池是否被占满。
按地域拆分观察：跨省回源和同城回源哪个更稳
回源节点与源站之间的物理距离直接影响回源质量,行业共识认为，同城或同地域回源的稳定性远高于跨省回源，调整策略后，可以按地域维度筛选高防节点的回源日志。
比如源站部署在杭州,高防节点分布在上海、北京、广州，观察这三个节点回源到杭州的延迟和丢包率，如果北京节点回源延迟比上海节点高80ms以上，说明跨省链路质量差，此时需要联系高防服务商调整回源路由，或者将源站迁到离高防节点更近的可用区。
实际操作中,很多高防产品支持配置“优选回源线路”，控制台里有“回源线路选择”或“回源节点优选”选项，调整后建议跑24小时的按地域统计，确认所有高防节点的回源成功率都在99%以上。
高防回源策略调整后的常见疑问
高防cdn回源ip更换后多久生效？
如果你把回源方式从旧IP改成新IP,生效时间取决于高防节点的连接复用机制，TCP长连接场景下，已建立的连接会继续用旧IP直到连接断开，通常需要5到15分钟才能完全切换，HTTP短连接场景下，大部分请求会立即切换到新IP，建议在低峰期操作，并在切换后观察源站新IP的访问日志，确认流量比例。
回源到ip还是域名？哪个更适合源站迁移？
源站需要频繁变更IP时,回源域名更合适，因为高防节点会定期解析域名，只要域名解析指向新IP，回源流量会自动跟着走，但回源域名依赖DNS解析，如果高防节点的DNS缓存过期时间过长，切换会出现延迟，源站IP固定且不希望暴露源站域名时，用回源IP更直接，多数情况下，高防服务商更推荐回源IP，因为少一层解析，链路的可靠性更容易排查。
高防服务器回源带宽价格超预算？
回源带宽价格因服务商和地域差异较大,没有统一标准，调整策略后，先统计源站的实际回源峰值带宽，用高防控制台的“流量统计”模块查看近七天的数据，如果回源带宽长期超过总带宽的60%，说明源站发出的响应体过大，可以开启高防的压缩功能或者优化静态资源体积，部分高防产品支持按量付费，回源带宽单独计费，费用会随攻击流量增加而上涨，定期清理源站日志和临时文件，能明显降低回源带宽消耗。
把观察指标固化下来
调整高防回源策略不是一次性工作,建议将上述指标写成巡检脚本，每天定时执行一次，脚本输出回源连通性、延迟、成功率、源站负载四类数据，与前一天对比，一旦偏差超过阈值就告警，这样下次再调整策略时，你手里有完整的基线数据，判断问题会快得多。
Q&A
高防回源策略调整后，源站日志里看不到回源请求怎么办？
先确认高防节点回源时是否携带了真实的客户端IP,部分高防默认将客户端IP放在X-Forwarded-For头中，源站Web服务器需要配置日志格式来记录该头字段，如果配置了仍然看不到，检查源站安全软件是否拦截了高防回源段的IP。
回源成功率显示100%，但用户反馈时好时坏？
回源成功率只代表高防节点到源站的连通性,不代表回源内容完整，用户侧感知异常，可能是高防节点与源站之间的MTU值不一致，导致大包被丢弃，在源站上设置MTU为1400，然后重新测试用户访问，通常能解决问题。
高防回源策略调整后，源站服务器需要重启吗？
不需要重启服务器,回源策略变化不涉及源站网络配置，只需要确保防火墙的放行规则包含新的高防回源IP段，如果源站使用了内核参数调优，为避免旧连接残留，可以执行sysctl -p刷新配置，但不要重启服务。