源站托管在他处时，高防方案验收的核心不是看高防IP能否转发流量，而是验证“真实源站IP是否被隐藏”以及“故障切换是否可执行”只要这两点过关，方案基本合格。
验收前先搞清架构：高防IP和源站到底怎么连
源站不在高防机房,意味着流量要绕路，正常路径是：用户访问高防IP，高防清洗后回源到你的真实服务器，这里最关键的环节是回源方式，通常有DNS回源和IP白名单回源两种。
DNS回源适合域名解析灵活的场景,但存在源站IP暴露风险，IP白名单回源更安全，但需要高防节点IP段稳定，验收前，先确认你的业务属于哪种模式，再针对性测试。
第一步确认回源链路：登录高防控制台，查看回源配置里的源站IP是否填写正确，如果源站是HTTPS，还要确认回源端口和证书配置，不少验收翻车就翻在回源端口没放通，高防节点连不上源站。
第二步测试源站连通性：临时在源站安全组放行高防节点IP段，然后用高防IP访问业务，如果页面正常加载，说明回源链路通，别急着高兴，这只是最基础的一步。
核心验收项一：源站IP是否真的藏住了
源站托管在他处,最大的风险就是真实IP暴露，攻击者一旦绕过高防直接打源站，再贵的高防也白搭，所以验收时，必须做一次源站IP泄露检测。
操作路径：使用在线工具（如SecurityTrails、Censys）或本地命令nslookup、dig，对域名做A记录查询，正常情况下，解析结果只显示高防IP，如果出现源站IP段，说明DNS解析记录里存在历史残留或者子域名泄露。
更高级的检测是全网扫描，你可以在高防控制台开启“源站IP防护”或“自动隐藏源站”功能，然后从多个网络节点探测源站端口是否响应，业内专家指出，多数源站泄露源于子域名解析未清理，比如test.你的域名.com直接指向源站IP。
验收动作清单：
- 检查所有子域名解析记录,剔除指向源站的A记录。
- 查看SSL证书历史日志,确认证书签发时是否暴露过源站IP（可用
crt.sh查询）。 - 用搜索引擎搜索你的源站IP特征,看是否有历史缓存页面。
如果上述检查均无异常,才算通过第一关。
核心验收项二：攻击发生时回源链路能否扛住
源站托管在他处,高防节点到源站之间的链路往往存在带宽瓶颈，很多方案高防本身没事，但回源带宽被打满，照样网站瘫痪，验收时要模拟真实攻击场景，但注意别真把源站打死。
最稳妥的做法是流量牵引测试，联系高防服务商，申请开启“回源限速”或“回源带宽扩充”功能，然后观察正常业务下源站带宽使用率，如果高峰期已经用到70%以上，攻击时回源流量翻倍，源站必挂。
行业共识认为,回源带宽冗余至少是平时峰值的3倍，才能扛住常见CC攻击，验收时可以要求服务商提供回源带宽监控数据，对比攻击前后的曲线。
另一项必测是回源重试机制，当源站暂时不可达时，高防节点应自动重试而不是直接返回502，你可以在维护窗口拔掉源站网线，观察高防IP是否持续返回错误页，如果5分钟内自动恢复，说明健康检查逻辑正常。
核心验收项三：高防切换和灾备演练是否真的能执行
源站不在高防机房,意味着你无法物理拔线测试，只能靠逻辑切换，验收的重点是“手动切换”和“自动切换”两条路径是否都跑得通。
手动切换：模拟源站宕机，在DNS服务商处把解析切换到一个备用IP（比如另一台源站），观察切换生效时间，DNS TTL设置建议低于60秒，如果切换耗时超过5分钟，业务中断风险太高，需要优化解析策略。
自动切换：开启高防的“健康检查+自动回源切换”功能，然后关闭源站Web服务，正常情况下，高防会在30秒内把流量导到备用节点，注意：有些方案所谓的自动切换只是把流量丢弃，并不会真的转发到备用源站，验收时一定要确认备用节点确实收到了请求。
别忘了测试高防节点本身的容灾，高防IP服务商通常有多地节点，但源站只能回源到固定地址，如果某个高防节点被封，你的源站是否需要重新调整白名单？验收时向服务商索要节点故障切换预案，确认不需要你手动参与。
核心验收项四：监控和日志能否支撑后续运维
验收不是为了当下跑通,而是为了以后能排障，源站托管在他处，出问题时你只有高防控制台和源站日志两个视角，所以两边的日志必须能对上。
检查日志覆盖度：高防控制台应记录攻击原始流量、清洗规则命中次数、回源请求数，源站Nginx/Apache日志应记录真实客户端IP（通过
X-Forwarded-For头），如果源站日志里全是高防节点IP，你后续做用户画像和追踪就无从谈起。
验证监控告警：设置“源站IP暴露告警”和“回源失败率告警”，测试方式：临时修改一条错误的回源规则，看告警消息能否在1分钟内推送至手机，如果告警延迟超过5分钟，等于没有监控。
日志保存周期：要求服务商提供日志下载接口，至少保存30天原始日志，有些高防只提供清洗后的统计报表，这对分析攻击特征远远不够。
验收流程中的常见陷阱与规避方法
- 拿测试域名验收，测试域名的解析、证书、带宽配置和正式域名完全不同，验了个寂寞，必须用真实业务域名做全量验收。
- 只测高防IP不测源站，高防IP通，但源站所在机房有防火墙拦截高防回源IP，这种情况经常出现，测试时务必从高防节点发起多次回源请求，而非仅用本地浏览器。
- 忽略HTTPS证书链路，源站托管在他处，高防到源站可能走HTTP回源，但客户端到高防是HTTPS，证书链不完整会导致用户访问报错，用
curl -v https://域名查看证书链是否完整。 - 不测DNS解析的TTL，很多高防要求切换DNS的CNAME记录，但原解析记录TTL设置过长，攻击者可以从本地缓存中拿到源站IP，验收时把TTL调短，并确认高防提供的CNAME记录解析正常。
高防方案验收报告怎么写
写报告不是为了归档,而是为了将来和领导、和服务商扯皮时有依据，报告应包含以下板块：
- 基础信息：高防IP、源站IP、回源方式、服务商名称。
- 测试时间轴：每项测试的具体时间、操作人、结果截图。
- 问题列表：按严重程度分级，致命问题（源站泄露、回源断连）、主要问题（切换延迟高）、次要问题（日志不完整）。
- 遗留项：哪些问题已修复、哪些需要服务商后续处理、复测时间。
报告里用表格对比“验收前”和“验收后”的状态，
测试项目 | 验收前状态 | 验收后状态
| 源站IP泄露检测 | 存在子域名A记录指向源站 | 已清除所有泄露记录
| 回源带宽冗余 | 峰值占用率85% | 扩容后峰值占用率40%
| 自动切换演练 | 切换用时12分钟 | 优化后用时约1分钟
哪些情况下可以判定验收不通过
立即不通过的情形：源站IP可通过公开渠道直接查询到实际运营商信息；攻击模拟时源站直接宕机；回源链路存在单点且无备用线路；高防控制台无法提供真实客户端IP日志。
限期整改后可通过：DNS TTL仍为24小时但业务允许调整；部分子域名证书不匹配；监控告警延迟但不超过10分钟，这些情况可以给服务商一周时间修复，然后复测。
注意地域差异：如果你的源站托管在境外（比如香港、美国），回源链路跨国际线路的丢包率必须单独测试，国内高防节点到境外源站的延迟通常高于30ms，如果业务对延迟敏感，验收标准应适当放宽，但丢包率不能超过1%。
Q&A：源站托管在高防机房外常见的三个疑问
高防IP和源站在不同地域，会不会影响访问速度？
会,但影响有限，高防IP本身是就近接入的，用户到高防节点这一段延迟很低，真正影响体验的是高防节点到源站的回源延迟，如果源站在华东，高防节点在华北，回源延迟大约增加10-20ms，验收时用ping测试高防节点到源站的延迟，如果超过50ms，建议调整高防线路或源站位置，多数情况下，加一个CDN做静态资源加速就能掩盖这部分延迟。
源站托管在他处，高防清洗后的流量怎么回源？
回源方式由高防服务商决定,常见的有两种：高防节点直接转发TCP/UDP包到源站IP，或者通过GRE隧道封装回源，前者需要源站安全组放行高防IP段，后者需要源站支持GRE协议，验收时重点确认回源是否经过公网，如果经过公网，高防节点到源站之间的链路可能被劫持或干扰，建议用加密回源（如IPsec）提升安全性。
验收时能不能用免费测试工具模拟攻击？
可以,但要注意工具本身的局限性，比如使用ab、wrk这类压测工具只能模拟正常请求，模拟不了CC攻击的随机UA和低速慢连接攻击，更接近真实攻击的方式是使用高防服务商提供的“安全测试平台”或者找第三方渗透测试服务，自己拿云主机打流量，打不了几分钟就会被运营商封IP，反而影响验收进度，建议优先让高防服务商配合做一次小流量的攻击演练，验证清洗规则有效即可。