高防IP接入后，流量是否经过清洗节点，取决于解析、回源和源站访问控制是否配置正确。若旧记录仍指向源站，或公网还能直接访问源站，攻击者就可能绕过防护。下面按高防IP接入源站的操作步骤，逐项核验切换前必须确认的5件事。
一、先核对源站地址与业务清单
整理所有对外提供服务的域名、当前源站地址、实际使用的协议和端口，并区分生产、测试及管理入口。不要只看主域名：例如，网页可能使用一个域名，API、文件下载或回调服务则可能使用其他子域名。
同时确认源站是否与其他业务共用。如果多个站点共用同一公网地址，直接限制源站来源可能影响尚未迁移的业务。记录当前DNS解析结果和TTL，便于变更后核对，也为需要时恢复解析留存基线。
二、确认防护产品的接入与回源方式
不同服务商的高防IP可能采用代理转发、路由牵引或其他接入模式，源站看到的连接来源、回源地址及健康检查方式也会不同。签约或配置前，应从服务商控制台或技术文档确认：分配给业务的防护地址、支持的协议、回源目标填写方式、回源来源范围，以及健康检查是否需要单独放行。
尤其要区分“客户端连接防护地址”和“防护节点连接源站”这两段链路。只配置前者而没有确认回源路径，可能出现客户端能连入、源站却拒绝回源的情况。高防IP接入源站的操作步骤应以具体产品说明为准，不要套用其他服务商的地址或规则。
三、检查源站入口是否能被绕过
在切换前，确认源站公网入口的访问策略。业务迁移完成后，应按服务商给出的回源地址范围收紧来源；若产品采用其他回源机制，则按其文档配置。保留必要的运维通道，但不要让普通业务流量仍可直接访问源站。
检查云平台安全组、主机防火墙和上游网络策略是否一致。对于使用 Linux 的主机，可分别核对云端规则与 nftables 等主机侧规则；仅修改其中一层，可能留下另一条可达路径。还要检查备用公网地址、旧测试域名和历史解析记录，避免它们暴露同一源站。
四、安排解析切换并核验业务
- 备份当前配置：保存域名记录、源站地址、端口和防火墙规则，注明变更时间与回退负责人。
- 先做小范围验证：按服务商支持的方式测试防护地址到源站的回源连通性，确认应用响应、证书和主机名匹配。使用HTTPS时，检查证书有效期及访问域名对应的证书配置。
- 修改公网解析：将目标业务域名解析到服务商分配的高防地址。若有多个子域名，应逐一核对；不要误改邮件等无关记录。
- 观察解析与日志：考虑DNS缓存和记录TTL的影响，从不同网络检查解析结果，并查看服务商侧请求记录和源站应用日志是否符合预期。
- 确认后收紧直连：在业务稳定后，限制非授权来源访问源站业务入口，再从外部验证旧源站地址是否还能直接提供服务。
五、准备回退与持续复查
切换前约定回退条件，例如关键页面无法访问、接口错误持续增加或健康检查失败。回退不应只改回DNS，还要确认源站访问规则与原路径相容。TTL只能影响解析缓存的持续时间，不能保证所有客户端同时更新，因此观察时长应结合原记录TTL、客户端缓存和业务特点决定。
切换完成后复查新增子域名、证书续期、源站变更和临时测试入口。若日志需要保留客户端地址，应按产品说明配置可信代理来源；不要把任意客户端提交的转发头当作真实来源。完整执行高防IP接入源站的操作步骤，重点不是单纯改一条解析，而是确认入口、回源和源站限制形成闭环。
常见问题
高防IP接入后，源站公网地址还要保留吗？
是否保留取决于架构和运维要求；即使保留，也应限制非授权访问，避免公网直连绕过防护。
改完解析后为何仍能访问旧地址？
客户端或递归解析服务可能缓存旧结果，也可能存在未迁移的子域名。分别检查TTL、实际解析结果和各业务入口。
怎样判断回源配置正确？
确认服务商健康检查正常、应用返回预期内容，并结合服务商请求记录与源站日志核对访问路径；异常时先排查回源地址、端口和防火墙规则。
可以先切换再限制源站访问吗？
可以先验证高防链路，但应尽快完成源站入口收紧，并从外部测试旧地址，避免验证期间源站仍可被直接访问。
按清单逐项核验地址、接入模式、访问策略、解析和回退方案，才能让高防IP接入源站的操作步骤落实到实际防护效果，而不是只完成表面上的DNS变更。
