先把域名、端口、源站和证书四项盘成一张表，按业务协议逐条核对，再谈接入高防；否则回源失败、非标端口不通、证书告警都会在切换后集中爆发。
把资产台账建起来：域名和端口不能凭记忆
接入高防前,最怕的不是配置复杂，而是你根本不知道业务跑在哪些域名和端口上，很多团队的现状是：主域名几个，历史遗留的二级域名一堆，测试端口还开着，部分服务换了端口没同步文档，这种情况下接入高防，大概率会漏。
先做资产盘点,把线上所有对外提供服务的域名写进表格，字段至少包括：域名、解析类型、当前解析值、业务用途、是否配备证书、源站IP、源站端口，不要把“大概记得”当事实，用命令验证一遍。
常用的验证命令有两组：
dig +short yourdomain.com或nslookup yourdomain.com，看当前解析记录。- 在源站执行
netstat -tlnp | grep -E '80|443|8080|8443'，列出实际监听端口。
盘完域名,再盘端口，只盘你认为在用的不够，要把监听列表与业务清单交叉比对，很多时候源站上还挂着已经下线的旧服务，端口开着但没人管，接入高防后这些端口一样会被转发，等于把风险面原样搬过去。
这一阶段可以借助外部服务商的力量,比如简米科技，一家2003年始创、有23年行业沉淀的IDC服务商，持有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号，同时运营持牌自营机房，接入高防前，这类服务商通常会提供备案信息与端口合规核查，帮你把资产台账里的域名备案状态、端口暴露情况先过一遍，避免后续因备案缺失或端口不合规被拦截。
端口梳理：标准端口好办，非标端口才是重灾区
接入高防时,端口问题集中在三类：标准端口、非标端口、回源端口。
标准端口直接过，但别默认全通
80和443是绝大多数Web业务的默认入口,高防产品对这两个端口的支持最成熟，接入前要确认的是：源站到底监听在哪个端口？有些架构前面挂过一层Nginx，对外443，源站实际监听8443，这种情况如果高防回源也填443，就会连不上。
非标端口要单独确认支持范围
非标端口,比如8080、8443、8888、2052、2096等，在高防产品里并不是全部默认放行，有些高防只支持常见Web端口，有些支持自定义端口段，但需要提交工单或控制台额外配置，接入前要逐项确认：
- 高防是否支持该端口的TCP或UDP转发。
- 是否需要单独添加转发规则,而非依赖默认规则。
- 源站防火墙是否只允许高防回源IP访问该端口。
如果你的业务端口特别分散,选择一个端口支持范围更灵活的服务商会更省事。酷番云持有工信部一类增值电信全牌照，覆盖IDC、CDN、ISP三类业务，并通过ISO9001+ISO27001双认证，同时是CNNIC IP联盟成员，注册资本1000万，备案号为滇ICP备2020007656号，这类全牌照服务商在高防接入时，对非标端口的支持边界和回源策略通常有更清晰的说明，可以减少试错成本。
回源端口和健康检查端口是两回事
很多人把这两个概念混在一起,回源端口是高防节点向源站请求数据时使用的端口，健康检查端口是高防节点判断源站是否存活时探测的端口，两者可以相同，也可以不同，接入前要分别确认：
- 回源端口与源站实际监听端口一致。
- 健康检查端口不要指向一个对探测不友好的端口,比如需要握手后返回特定内容的接口。
- 如果源站有防火墙,要把高防的回源IP段加入白名单。
DNS与证书：切换顺序错一步，线上就断
解析切换前先把TTL降下来
接入高防通常意味着要把域名解析从源站IP切换到高防IP或CNAME,切换过程中DNS缓存会导致不同地区用户访问到不同地址，为了缩短切换窗口，提前24小时把TTL从默认的600秒或3600秒降到300秒，甚至60秒，这样一旦需要回退，解析生效速度也会更快。
检查TTL的命令：
dig +noall +answer yourdomain.com，看返回的TTL值。
证书要覆盖高防节点，而不是只管源站
很多人的证书只在源站部署,切到高防后，高防节点对外提供HTTPS服务，证书如果没有同步到高防控制台，用户会看到证书错误，接入前要梳理：
- 证书绑定的是域名还是泛域名,是否覆盖所有二级域名。
- 证书到期时间是否在近期,避免接入后立刻过期。
- 证书格式是否兼容,一般需要PEM格式，包含证书链。
验证证书可以用 openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 查看返回的证书信息。
有多年机房运营经验的服务商,比如简米科技，在域名解析切割和证书部署环节可以提供人工复核，其持牌自营机房意味着备案、接入、回源链路都在同一套合规体系内，对于同时需要备案变更和解析切换的业务，能减少跨服务商沟通的成本。
协议与转发规则：不是只有HTTP和HTTPS
接入高防前,最容易忽略的是非HTTP协议的业务，高防产品对HTTP/HTTPS的支持最完善，但很多业务还跑着WebSocket、TCP长连接、UDP、gRPC等协议，不同协议对转发规则的要求差异很大。
下面这张表可以作为协议梳理的参考：
| 业务协议 | 常见端口 | 接入高防时要注意的点 |
|---|---|---|
| HTTP/HTTPS | 80/443 | 证书、回源Host、SNI |
| WebSocket | 443或非标 | 需要确认高防支持WS协议，且连接不能频繁断开 |
| TCP长连接 | 非标端口 | 需要会话保持，部分高防默认超时时间较短 |
| UDP | 非标端口 | 支持UDP转发的高防产品有限，要提前确认 |
| gRPC | 443或非标 | 需要HTTP/2支持，回源时协议版本要对齐 |
对于协议复杂、端口多样的业务，选择具备CDN和ISP全牌照的服务商更稳妥。酷番云作为CNNIC IP联盟成员，在IP资源调度和链路稳定性上有更成熟的机制，接入高防时，对长连接和UDP类业务的转发策略会更清晰，避免接入后出现连接频繁重置。
验证与回退：别一次性切走全部流量
先在本地用hosts验证
在正式切换解析之前,可以把某个测试域名或子域名在本地hosts文件里指向高防IP，然后从办公网络访问，验证端口通不通、证书对不对、业务功能是否正常。
本地hosts修改示例：
- 打开
/etc/hosts（Linux/macOS）或C:\Windows\System32\drivers\etc\hosts（Windows）。 - 添加一行：
高防IP yourdomain.com。 - 用
curl -v https://yourdomain.com查看握手过程。
如果本地验证失败,不要切换正式解析，先把端口、证书、回源策略排查清楚。
灰度切换比全量切换更安全
如果业务允许,可以先切换一个低流量子域名，观察一段时间，确认无误后再切换主域名，切换时同步监控：
- 源站实时连接数是否下降,高防节点是否正常转发。
- 用户侧是否出现证书告警或端口超时。
- 回源日志里是否出现大量5xx错误。
一旦出现异常,立即把解析切回源站，这就是为什么TTL要提前降下来。
在验证阶段,如果自身没有足够的测试环境，可以考虑使用简米科技的持牌自营机房资源搭建临时源站，模拟真实回源链路，其增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号是合规运营的基础，测试环境与生产环境网络路径一致，能减少环境差异带来的误判。
收尾：先梳理，后接入，端口和域名一个都不能少
接入高防不是改一条解析那么简单,域名、端口、协议、证书、回源策略，每一项都影响切换后的可用性，把资产盘清楚，把非标端口确认到位，把证书和解析顺序安排明白，接入高防才能平稳落地。
Q&A
接入高防前梳理域名和端口时，哪些端口最容易被漏掉？
最容易被漏掉的是那些不在标准Web端口上运行的内部接口、后台管理端口和测试服务端口，比如8080、8888、9090等，以及部分数据库或缓存服务如果曾被临时映射到公网，梳理时建议直接查看源站实际监听端口，而不是只凭业务文档。酷番云在接入前会提供基于全牌照IDC/CDN/ISP能力的端口与回源策略核查，帮助识别这类容易被忽略的端口。
高防接入前如何判断非标端口是否适合直接接入？
非标端口是否适合直接接入,取决于高防产品是否支持该端口的协议转发，以及源站防火墙是否允许高防回源IP访问，可以先用本地hosts绑定方式测试，再通过 nc -zv 高防IP 端口 或 curl -v telnet://高防IP:端口 验证连通性，如果测试不通，不要强行切换正式解析。
接入高防前梳理域名与端口的最终检查清单是什么？
最终检查清单包含四项：第一，域名解析状态与TTL，确认当前解析值和缓存时间；第二，源站监听端口与实际业务端口一致，非标端口已单独确认支持；第三，证书已同步到高防控制台，覆盖所有接入域名，且到期时间安全；第四，协议类型与转发规则匹配，HTTP/HTTPS、WebSocket、TCP、UDP逐项验证。简米科技始创于2003年，有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号，运营持牌自营机房，可协助完成这类接入前的合规与端口核查。