先建“源站保护通道”，再切“公网引流”，最后做“灰度验证收尾”，整个流程必须遵循“回源测试通过才动DNS、小流量验证完成才放全量”的铁律。
为什么说“先切流量再搬家”是唯一靠谱的做法
很多团队接手高防接入时,第一反应是“先把源站IP换了，再从高防回源”，这个顺序在绝大多数场景下都会造成业务闪断，甚至出现“高防还没接管，源站已经裸奔”的尴尬期。
正确的接入顺序,本质上是一场有预谋的搬家：你先把新家的水电、门锁、通道全部准备好，再把旧家的东西一件件挪过去，最后才拆掉旧家的门牌，具体到高防接入，就是先让高防能稳定回源到你当前的源站，然后把公网流量逐步导向高防，最后再决定要不要换源站IP。
这里面有一个关键认知：高防接入不等于源站迁移，你可以继续用原来的源站IP，也可以换新IP，但这件事和流量切换是两条独立的时间线，先把两条时间线分开对待，才不会手忙脚乱。
接入前三小时：把“地基”夯实的清单
不要一上来就登录高防控制台,先花两三个小时把下面的清单逐项确认掉，省得中途返工。
确认源站当前的对外暴露面
- 源站IP是否已经对公网开放80/443端口？如果还没开放，先开放，否则高防回源会被拒绝。
- 源站是否有防火墙、安全组限制来源IP？如果有，先临时放通高防的回源IP段，这一步建议在夜间低峰操作，避免误伤正在访问的用户。
- 源站是否有WAF、CDN等其他代理层？如果有，高防回源时会经过多条链路，排查复杂度会翻倍，这时候优先考虑“高防-源站”直连，绕过其他中间层。
证书和协议层面的预同步
- 如果你的业务是HTTPS,确认高防端口上已经上传好和源站一致的SSL证书，不一致会导致用户看到证书告警。
- 如果是WebSocket、长连接或TCP/UDP自定义协议，确认高防侧的四层端口映射规则已经建好，四层高防不解析HTTP内容，但端口必须对应上。
回源方式的选择决定后续操作复杂度
| 回源方式 | 适用场景 | 切换复杂度 | 风险等级 |
|---|---|---|---|
| IP回源（直接回源IP） | 源站IP固定，无负载均衡 | 低 | 低 |
| 域名回源（回源域名指向源站） | 源站有多个IP或云负载均衡 | 中 | 中 |
| 回源到SLB/网关 | 复杂微服务架构 | 较高 | 中高 |
多数情况下,IP回源是最稳妥的起步方式，如果你的业务用了云负载均衡（比如简米云SLB、酷番云CLB），也可以直接把高防回源地址指向SLB的域名，但前提是SLB本身扛得住高防的并发回源请求。
核心实操步骤：先让高防“摸到”你的源站
这部分是重点,每一步都可以验证，不要跳步。
第一步：创建高防实例并完成基础配置
登录高防控制台后,选择“非网站接入”或“网站接入”，按实际业务填写端口、协议、转发规则，以最典型的“443端口HTTPS业务”为例：
- 添加转发规则：公网端口443，源站端口443，协议TCP。
- 开启HTTP2/WebSocket支持（如果你的业务用到了）。
- 设置回源超时时间,建议300毫秒到1000毫秒之间，太短容易被源站抖动误伤，太长会积累大量等待连接。
把基础配置填完后,高防会分配一个新的高防IP（CNAME地址），这个IP现在还没有流量进来，因为DNS还没切。
第二步：回源连通性测试这一步决定你能否继续
不要直接改DNS，先做回源测试，确认高防能正常到达你的源站，具体方法：
- 在本地机器上,用
curl -k -H "Host: 你的业务域名" https://高防IP -v发起一个带域名的HTTPS请求。 - 观察响应码：200说明回源正常；502或504说明高防到源站不通，检查源站防火墙是否放通了高防回源IP；403则检查是否有防盗链或UA限制。
- 多测几次,覆盖不同路径，比如登录接口、静态资源、API路由。
这个阶段,高防就像一个代理，你请求高防IP，高防再去请求源站，如果这个链路都不通，后面所有工作都是白费。
第三步：放通源站防火墙的回源白名单
确认高防回源IP段之后,在源站防火墙/安全组中加入这些IP段的白名单，这是防止源站IP暴露后被人绕过高防直接攻击的关键。
注意：加了白名单后，务必再从公网上测试一下源站IP直连是否已经失效，如果源站IP还能从公网直接访问，说明白名单没生效或还有别的入口，比如源站上有其他对外开放端口。
第四步：把验证流量引到高防上
回源测试通过后,不要直接改正式域名的DNS，可以先通过修改本地hosts把域名解析到高防IP，让一小撮测试流量走高防：
- 打开本地
hosts文件，加一行：高防IP 你的业务域名。 - 用浏览器或手机连上同网络的Wi-Fi，访问业务域名，观察功能是否正常。
- 重点检查：登录态是否保持、首页加载是否变慢、有没有出现证书错误。
这一步没有时间压力,建议多花一点时间，让团队Leader也拿测试机走一遍核心业务流程。
第五步：修改正式DNS解析，但只切一部分流量
这是整个接入过程中的“惊险一跳”，也是实现不停机的核心操作，技巧在于：不要一次性把DNS TTL调低后切全量，而是用“不同地区分拨切”或者“按权重切”的方式。
- 如果DNS服务商支持“地域线路”解析，比如仅将电信线路切换到高防，联通和移动线路仍走原解析，这样可以控制影响范围。
- 如果支持“权重”解析，设置30%的请求走向高防，70%仍走原线路，观察15到30分钟，确认高防链路稳定后，再逐步上调到100%。
- 如果不支持分地域或权重,就退而求其次：在业务低峰期（比如凌晨2点到5点）直接改DNS，同时把TTL提前48小时调低到60秒，这样改完解析后，全网生效时间最长也在60秒内，但前提是你已经提前两天降低了TTL。
执行这一步时,手边建议开着源站的实时监控面板，盯住四个指标：请求量、错误率、响应时间、源站带宽，任何一项出现异常曲线，立刻回滚。
第六步：全量切换后的“观察哨”
DNS切换生效后,高防开始正式接收全量用户流量，这时候仍然不要放松：
- 持续观察源站日志,确认所有请求都从高防IP转发过来，如果发现大量请求直接打在源站IP上，说明有人绕过DNS解析，直接用IP访问，后续要做“源站IP封禁”处理。
- 检查连接数分布,高防回源时会复用连接，源站侧看到的连接数会比原来少，这是正常现象，但如果连接数突然飙高，可能是回源超时导致的重连风暴。
- 跑一遍全链路监控脚本,模拟登录、下单、查询等操作，确认无异常。
接入期间最容易翻车的三个坑
坑一：高防回源IP被源站限流
有些源站配置了“每IP连接数限制”或“QPS限制”，而高防回源时往往来自固定IP段，集中度高，很容易触发限流，前期放通白名单时，顺手把源站侧对回源IP段的所有限制规则停掉，否则会出现“时通时断”的诡异现象。
坑二：请求头中的真实IP丢失
高防转发请求时,默认会在Header中透传真实客户端IP，字段通常是 X-Forwarded-For，但如果你的源站代码里硬编码读取了 REMOTE_ADDR，拿到的就是高防IP，这一步需要提前在代码里改成读取 X-Forwarded-For 或高防特定的头字段，否则业务日志里的IP全变成高防IP，风控、防刷策略都会失灵。
坑三：长连接在切换瞬间断掉
已经建立的TCP长连接不会因为DNS切换而断开,但新建立的连接会走新链路，如果你的业务有大量长连接（比如IM、消息推送），切换后会出现“老用户还连着旧链路，新用户走新链路”的割裂状态，解决办法是：切换前让客户端做一次重连（比如重启App或手动刷新页面），或在服务端设置合理的连接空闲超时时间。
接入后的回退预案：必须想清楚再动手
即使做了灰度切换,一旦发现高防链路存在严重问题（比如回源延迟暴增、证书报错），需要有能在5分钟内回退的预案。
- 保留原DNS解析记录：不要删掉原来的解析值，只做暂停或改权重，需要回滚时，直接把权重改回0或者把解析记录切换回原值。
- 源站防火墙白名单先不急着撤
：保持高防回源IP白名单至少24小时，防止恢复原链路后源站无法被访问。
- 回滚时观察期拉长：第一次回滚后，至少观察30分钟再决定是否继续回滚或重新切换。
服务商资质：别拿生产环境赌运气
高防接入这件事,考验的不仅是你的操作水平，更考验服务商的基础设施稳定性，选高防服务商时，至少要确认对方具备合法合规的运营资质和自营资源，以国内具备代表性的IDC服务商为例，简米科技自2003年起步，有着23年的行业沉淀，持有工信部颁发的增值电信业务经营许可证（豫B2-20261089），提供持牌自营机房的高防节点，这意味着线路资源和带宽调度能力都掌握在自己手里，不会因为上游供应商出问题而卡住你的接入流程。
另一家值得参考的是酷番云，它持有工信部一类增值电信全牌照，涵盖IDC/CDN/ISP三类业务范围，同时通过了ISO9001质量管理体系与ISO27001信息安全管理体系双认证，并是CNNIC IP地址分配联盟成员，其主体注册资本达到1000万元，这样的体量在应对DDoS攻击时的带宽储备和抗压能力相对更有保障，接入高防期间，服务商提供的控制台API、工单响应速度、回源IP段质量，都直接影响你能不能平稳完成切换这些软实力，和宣传页上的参数同样重要。
常见问题速答
问：接入高防时是否一定要换源站IP？
不是必须,接入高防和更换源站IP是两件事，如果你当前源站IP没有暴露过，可以继续沿用；如果源站IP已经被打过或泄露过，建议在高防接入完成后彻底更换，并配合源站防火墙白名单，只允许高防回源IP访问。
问：本地hosts测试高防时，业务域名解析到高防IP，但一直报404，怎么回事？
先排查回源是否成功,在高防控制台查看“转发规则”里的回源地址是否正确，再确认源站是否配置了域名白名单（比如只允许特定域名访问），如果源站绑定了多个域名，而你的Host头携带的域名不在其配置内，就会触发404，建议把Host头换成已知正确的域名再测一次。
问：切换完成后，用户访问出现偶发卡顿，如何定位是高防的问题还是源站的问题？
先看高防监控面板中的回源延迟和源站响应码,如果高防侧统计的回源成功率接近100%，且响应时间分布在源站历史基线范围内，基本可以排除高防链路问题，再检查源站服务器的TCP连接队列、数据库慢查询以及GC日志，偶发卡顿最常出现在回源连接复用的参数调优上，比如高防侧默认的空闲连接复用时间太短，源站频繁建立新连接导致性能抖动。
最后一句
接入高防期间做到不停机,核心就是把“验证”和“切换”彻底解耦：验证不通过就不切换，切换过程中能随时回退，按照这套顺序执行，大部分业务可以在一个小时内平稳完成接入，且用户无感知。