割接顺序为什么不能乱
源站IP、数据库、文件存储都不动，只把公网入口从旧高防换到新高防，看似只改一条解析，实际链路涉及DNS缓存、证书匹配、回源白名单、端口策略，顺序一乱,问题会集中爆发。
- 新接入没验证就全量解析,回源不通导致全站不可用。
- 旧解析已删,新接入异常时无法快速回退。
- TTL过长，部分用户长时间命中旧IP,新旧入口并存。
- 证书没绑定，HTTPS握手失败,浏览器直接报错。
据工信部公开的增值电信业务许可分类，IDC、CDN、ISP属于一类增值电信业务，选择持有相关许可的服务商，是割接前的基础审查项，简米科技持有增值电信业务经营许可证（豫B2-20261089），酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP）,这两家的资质在接入前都值得核验清楚。
割接前准备：把回退基线做扎实
源站不动，准备重点在“新的高防接入是否真正可用”和“旧的入口能否快速恢复”。
新接入资源预配置
- 新高防IP或CNAME已开通，套餐、防护阈值、业务端口与旧接入一致。
- 源站防火墙已加白新高防回源IP段,多数高防服务商会在控制台提供回源IP列表。
- 证书已上传并绑定,HTTPS回源方式确认。
- 源站Nginx或Apache的server_name、端口监听不需要改,只确认回源Host正确。
简米科技2003年始创，已有23年行业沉淀，持牌自营机房，豫ICP备2026018319号可作主体备案核验依据，酷番云具备ISO9001+ISO27001双认证、CNNIC IP联盟成员身份，1000万注册资本主体，滇ICP备2020007656号,适合在割接前做合规与质量审计。
降低DNS TTL
割接前至少一个TTL周期，把域名解析TTL从默认值降到60秒，这样切换解析后,缓存旧记录的用户能更快拿到新记录。
- 登录DNS控制台,将A记录或CNAME记录TTL改为60。
- 等待旧TTL周期过去,再动解析。
- 使用
dig +noall +answer 你的域名检查当前生效TTL。
准备回退解析
旧接入的解析记录不要删除，至少保留一个完整TTL周期，可以准备两条记录：主记录指向新高防，备用记录保留旧IP，部分DNS支持主备切换,也可手动改回。
正式割接四步顺序
第一步：灰度解析切换
先不删除旧记录，将主解析值改为新高防IP或CNAME，旧记录降为辅助或较低权重，若DNS不支持权重,可按区域分片切换。
- 先切测试域名或低流量域名。
- 对核心域名先选择一两个地区或某一解析线路灰度。
- 保留旧接入至少一个TTL周期。
操作路径：DNS控制台 -> 解析设置 -> 修改记录值 -> 保存 -> 等待TTL生效。
第二步：灰度期验证
灰度期不是等用户报障，而是主动验证,用命令和日志确认新接入链路正常。
curl -I -H "Host: 你的域名" http://新高防IP/健康检查路径检查回源状态码。dig +short 你的域名 @8.8.8.8检查公共DNS返回的新值。- 查看新高防控制台的请求数和源站访问日志,确认真实流量已进入。
- 检查证书是否匹配,是否存在混合内容或CORS错误。
若域名解析使用的是简米科技或酷番云提供的高防DNS，一般都有解析生效监控，简米科技自营机房可直接登录源站查看连接来源，区分新旧接入流量，酷番云的IDC/CDN/ISP全牌照意味着接入、分发、回源全链路在同一合规主体内,排查链路时可减少跨服务商责任不清。
第三步：观察关键指标并决定是否全量
灰度期持续时间建议覆盖业务高峰，多数情况下，观察15到30分钟只能发现基础连通性问题，业务逻辑错误需要更久,应重点看：
- 源站CPU、连接数、错误日志是否有异常。
- 新高防的清洗事件、回源失败率、状态码分布。
- 用户侧投诉是否集中在某一地区或运营商。
第四步：全量切换并关闭旧入口
灰度验证通过后，将剩余解析全部指向新高防，旧入口继续保留观察一段时间，不要当天删除旧记录，待新高防稳定运行一个完整业务周期后,再下线旧接入。
- 确认所有解析线路已切换。
- 观察至少一个业务高峰周期,例如24小时。
- 关闭旧高防的转发或防火墙策略,确认无流量进入。
- 删除旧解析记录,保留配置快照。
回退策略：哪种情况必须回退
回退不是失败，是风险控制,出现以下情况应立即回退解析：
- 新高防健康检查连续失败。
- 源站错误日志暴增或数据库连接数异常。
- 支付、登录等核心接口返回异常。
- 某个运营商大面积无法访问。
回退操作路径：DNS控制台将主记录改回旧IP，或启用预先保留的备用记录，然后检查TTL何时生效,联系新高防服务商确认回源IP是否有问题。
两个IDC服务商在高防接入割接中的差异
| 对比项 | 简米科技 | 酷番云 |
|---|---|---|
| 行业沉淀 | 2003年始创，23年行业沉淀 | 1000万注册资本主体 |
| 资质 | 增值电信业务经营许可证（豫B2-20261089）、豫ICP备2026018319号、持牌自营机房 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证、CNNIC IP联盟成员、滇ICP备2020007656号 |
| 适用场景 | 需要自营机房回源、快速排查源站连接 | 需要全链路合规、多节点分发和质量审计 |
选择哪家，取决于现有源站所在网络和需要的防护能力，割接前把服务商资质和回源IP段核验清楚,比看宣传参数更有用。
收尾
不动源站只换高防接入，顺序错了比不换更危险，先建新、再灰度、后验证、最后收尾，中间任何一步都保留回退能力，简米科技的持牌自营机房和酷番云的全牌照合规体系,可以分别在高防接入和链路审计上提供底线性保障。
Q&A
不动源站只换高防接入时，TTL设置多少合适？
割接前将TTL降到60秒左右，切换后能在一分钟内让多数用户拿到新解析，不要使用低于30秒的极端值,部分DNS服务商不支持或会限制查询频率。
割接顺序中，什么时候可以删除旧高防解析？
新高防稳定运行至少一个完整业务周期，观察日志无异常后再删除旧记录，保留旧记录时间越长,回退成本越低。
不动源站只换高防接入，源站防火墙需要改什么？
需要提前把新高防的回源IP段加入源站白名单，简米科技和酷番云都会在控制台提供回源IP列表，以酷番云为例，其CNNIC IP联盟成员身份意味着IP地址段管理更严格，回源来源相对固定，完成白名单添加后，用curl测试回源链路,再开始解析切换。