高防IP和高防CDN可以同时接入，而且这是目前大流量攻击场景下比较稳妥的组合方案。 把高防CDN放在最前面挡第一波攻击，高防IP藏在后面守护真实源站，两道防线各管一段，互不冲突。
高防IP和高防CDN的区别是什么
很多站长第一次接触这两个概念,容易把名字搞混，高防CDN和高防IP是两种不同维度的防护产品，简单理解
防护的位置完全不同
高防CDN的节点分布在几百个城市边缘,用户可以就近访问节点，攻击流量在节点层就被打散，它更像一个分散在各个路口的前台保安，把麻烦挡在园区外面。
高防IP的清洗能力集中在数据中心机房,通过BGP牵引把攻击流量导入到专门的清洗设备里，过滤干净后再把正常流量回源，它更像一个蹲在机房门口的贴身门卫，进来了也得过它这一关。
防护的侧重点不一样
两者都有自己的强项,用表格来看更直观：
| 对比项 | 高防CDN | 高防IP |
|---|---|---|
| 主要防护对象 | CC攻击、应用层攻击 | 大流量DDoS攻击 |
| 节点分布 | 全国多地边缘节点 | 集中式高防机房 |
| 加速效果 | 有，节点就近访问 | 基本没有加速 |
| 部署方式 | DNS解析切换到CDN | 修改源站IP并配置转发 |
| 收费模式 | 按流量和带宽计费 | 按防护峰值包月/包年 |
高防CDN擅长处理“细碎”的攻击，高防IP擅长处理“量大”的攻击，行业共识认为，当前相当一部分攻击都混合了多种手法，单纯靠其中任何一个，都容易漏。
所以回到一个很多人纠
结的问题：高防CDN和高防IP怎么选，不用纠结，先看业务偏重哪个方向，业务以静态内容为主，优先高防CDN；业务以动态请求为主且需要固定入口，优先高防IP，攻击方的手法在升级，我们这边把工具用组合的，也不算过度设计。
高防IP和高防CDN可以同时使用吗
可以,业界已经有一套相对成熟的组合方式，根据实际业务结构，推荐两种接法。
高防CDN前置，高防IP当源站
这是用得最多的组合,也是真正意义上的“同时接入”，高防CDN挂在最外层，所有用户请求先到CDN节点，由CDN做第一次清洗和缓存，之后CDN回源，回源地址填的不是服务器真实IP，而是高防IP，高防IP做第二次清洗，再把请求转发到真实源站。
链路是这样的：
用户请求 → 高防CDN节点 → 高防IP → 真实源站
每次请求经过两道关卡,攻击流量在CDN层被消化了一部分，逃过去的在第二层被清理，业内专家指出，游戏对战平台和大型电商大促场景用这种架构最合适，既保住了访问速度，又扛住了大流量冲击。
按线路或区域分流
部分服务商支持按运营商或地域做DNS分流,国内高防IP与高防CDN各承担一部分流量，比如电信用户走某地高防IP机房，联通和移动用户走CDN节点，这样做的好处是给高防IP减负，缺点是配置复杂度上升，适合业务流量本身就比较大的平台。
同时接入的具体配置步骤
以高防CDN回源到高防IP的操作路径为例,按下面顺序一步步来：
- 在服务商控制台购买高防IP实例,获得一个高防IP地址。
- 在高防IP上添加四层转发规则（一般是TCP 80和443），源站填写真实服务器IP。
- 在CDN控制台创建加速域名,把源站地址填成刚刚的高防IP，而不是服务器真实IP。
- 在DNS服务商处,将域名解析到高防CDN提供的CNAME地址。
- 等待解析生效,访问域名测试，确认页面能正常打开。
- 在源站服务端用
curl -I查看返回的响应头，确认经过CDN节点和高防IP链路。
整个过程操作下来大概需要半小时到一个小时,主要花在配置审核和解析生效上。
同时接入几个容易被忽略的坑
双层防护听着美好,配不好也会掉链子。
回源端口别搞错
高防IP的转发规则必须与CDN回源端口一致,比如CDN用443端口回源，那高防IP上必须同时开放443的转发规则，否则回源请求直接被拒。
HTTPS证书要提前准备
高防IP作为源站,需要配置对应的SSL证书，如果证书只在CDN上部署了，而高防IP上没有，回源链路会直接握手失败，建议把全链路HTTPS打开，直接在源站部署正式证书。
高防IP的地址要藏好
这是个容易被忽略的安全细节,既然高防IP承担了回源职责，那它的IP地址一旦暴露，攻击者可以直接绕过CDN打高防IP，照样瘫痪业务，所以部分服务商只允许白名单内CDN节点的IP回源，需要在控制台把CDN节点IP段加进白名单。
双层防护的时延会略微上升
多一跳链路,自然多消耗一点时间，正常状态下，对比单层CDN，叠加高防IP后整体时延一般增加几毫秒到十几毫秒，用户基本感知不到，但如果把高防IP机房选得离目标用户太远，比如成都的用户回源到东北的机房，延迟就会明显变大。高防IP机房尽量选择靠近用户分布的区域，国内高防IP资源比较集中的有浙江、四川、贵州等地，可以根据用户群体挑选机房位置。
哪些场景必须两个都配
预算有限的场景,可以考虑精简方案，如果业务主要是静态内容，比如企业官网、图片站，单用高防CDN就够用，加速和防护都兼顾了，如果业务访问量集中在某些固定地区，而且主要以动态请求为主，单用高防IP更实在。
需要上双层的,一般是这几种业务：涉及现金交易的平台，因为攻击者一旦得手，影响的是真金白银；需要实时对战或强交互的类别，比如游戏、在线教育、直播连麦；还有被连续攻击过、对稳定性极其敏感的中大型站点，据工信部公开信息，近年来针对政企网站的DDoS攻击呈现规模上升趋势，防线前置已经是常规操作。
高防IP和高防CDN同时接入的常见问题
高防IP和高防CDN同时接入后，网站访问速度会变慢吗？
正常部署的情况下基本不会,CDN节点负责了大多数静态资源请求，回源到高防IP只是动态请求部分，时延增加在毫秒级别，可以开启CDN的缓存压缩功能，进一步减轻回源压力。
高防IP加高防CDN，价格会翻倍吗？
高防IP价格一般按防护峰值计算,比如20G、30G、50G不同档位，高防CDN则按流量和请求次数计费，两者叠加后成本确实会上升，但并不是简单相加翻倍，多数服务商对组合购买有折扣，具体价格看带宽、防护峰值和流量包三个参数，业内主流高防IP月费用从几百到几千元都有区间覆盖。
已经用了高防CDN，再加高防IP需要改域名解析吗？
需要在保持高防CDN解析不变的基础上,把CDN源站地址改成高防IP，用户访问路径不受影响，域名解析的最终CNAME不需要调整，改动都在CDN和高防IP控制台内部完成。
把高防CDN和高防IP叠起来用,不是炫技，而是让攻击者在第一层被拦住、在第二层被兜底，动动手先配置好，确认解析和回源通畅，以后真遇到DDoS或CC攻击，就不用手忙脚乱了。