TG咨询第一次做高防IP接入时，最容易忽略的不是防护产品本身，而是源站信息和切换条件没有整理好。正确做法是先确认业务入口、允许访问的端口、源站地址及运维权限，再进行DNS解析切换。这样即使出现访问异常，也能较快判断问题来自解析、防护策略还是源站。
一、先整理业务和源站清单
高防IP接入前，应建立一份最小资产清单，至少包括业务域名、当前解析记录、源站公网地址、服务器所在区域、使用的端口和协议。网站通常涉及TCP 80和443端口；如果还有邮件、数据库代理或自定义应用端口，应逐项确认，不能直接照搬网站模板。
需要提前核对的四类信息
- 域名：记录主域名、www等子域名，以及A记录、AAAA记录、CNAME记录的现状。
- 源站：确认Nginx、Apache或其他网关实际监听的端口，并保留内网地址与公网地址的对应关系。
- 协议：区分HTTP、HTTPS和其他TCP服务。若使用HTTPS，要准备证书、私钥及证书链，并确认终止TLS的位置。
- 业务基线：记录正常访问时的带宽、并发连接数、响应时间和错误率，至少覆盖工作日高峰与低峰两个时段。
带宽配置不宜只按日常平均值选择。可参考近期高峰流量，并预留约30%至50%的缓冲；实际比例要结合突发活动、静态资源大小、用户地区和攻击类型调整。没有历史数据时，应先用日志、云监控或网关统计形成一周左右的观测基线。
二、准备DNS与域名切换配置
高防IP接入通常需要把业务域名指向防护IP，或改为服务商提供的CNAME。两种方式的差异在于：直接使用A记录，控制直观，但更换防护地址时需要再次修改解析；CNAME便于服务商调度和扩容，但要确认根域名、证书和DNS服务商对CNAME的支持情况。
- 先降低目标记录的TTL，例如调整到300至600秒，具体生效速度取决于递归DNS缓存和运营商策略。
- 保存原有解析值，记录修改时间，避免故障时无法快速回退。
- 确认高防IP或CNAME已绑定正确域名，再执行切换。
- 使用不同网络和地区的解析工具检查结果，不要只在本机运行一次查询。
- 观察解析传播、访问状态和源站连接，确认稳定后再恢复较长TTL。
如果域名启用了DNSSEC、CAA或严格的证书校验，还应检查切换后是否仍满足签发和验证条件。解析变化并非所有用户同时生效，切换期间应保留回退方案。
三、设置回源与访问控制
高防IP接入后，源站不应继续对全网开放。较稳妥的做法是让源站安全组、防火墙或Nginx访问控制仅允许防护节点回源地址访问业务端口。回源策略则要明确使用源站IP、源站域名还是私有网络地址，并确认高防侧能够解析和连接。
回源配置的重点
- 将业务端口与管理端口分开，SSH、数据库和后台管理端口不应因为接入防护而一并暴露。
- 保留真实客户端IP的传递方案，例如使用规范的代理头，但要在源站网关上限制可信来源，避免伪造访问地址。
- HTTPS场景要统一证书校验、SNI和加密套件，明确由高防节点解密后回源，还是端到端加密。
- 设置健康检查路径，返回内容应稳定、轻量，不要依赖登录、购物车或其他会改变状态的接口。
如果团队缺少网络变更经验，可优先选择能提供清晰回源文档、配置协助和故障排查流程的服务商。德讯电讯适合需要人工梳理域名、端口与回源关系的团队，但具体能力仍应以其当前服务说明和技术确认结果为准。
四、准备监控、验证与回退方案
仅看到首页能打开，并不代表高防IP接入完成。上线前应准备一组可重复的验证动作：检查DNS结果，访问HTTP和HTTPS，验证登录、文件上传、接口调用及后台管理等关键流程，再从不同网络观察延迟和状态码。
- 先在测试域名或临时域名上验证证书、回源和访问控制。
- 记录切换前后的响应时间、连接失败率、5xx比例和源站CPU、内存、带宽变化。
- 按计划切换正式域名，安排能够修改DNS、安全组和高防策略的人员同时在线。
- 持续观察至少一个业务高峰周期；若关键功能失败，先判断是解析、策略还是源站故障。
- 达到回退条件时，将DNS恢复到原值，并同步撤销临时规则，避免留下过度开放的端口。
回退条件应写成可执行规则，例如核心页面连续出现明显错误、合法请求被大面积拦截，或源站连接数异常升高。切换记录、配置备份和联系人名单也应放在团队可访问的位置。
五、新手常见问题
高防IP接入后还需要保留源站公网IP吗？
不建议长期直接暴露。若必须保留，应通过安全组、访问控制或专用管理通道限制来源，并评估源站IP被绕过访问的风险。
只防护80和443端口可以吗？
如果业务只有标准网站，通常可以从80和443开始；存在其他TCP服务时，应按实际业务逐项确认，未使用的端口应关闭。
为什么解析已经改了，部分用户仍访问旧地址？
这是缓存和TTL差异造成的常见现象。应结合多个地区、多个运营商的查询结果判断，不要仅凭一台电脑的缓存下结论。
接入前最不能遗漏的配置是什么？
通常是源站回源白名单、证书与HTTPS校验、原解析备份，以及明确的回退步骤。它们直接影响故障时的恢复速度。
总的来说，高防IP接入的准备顺序应是资产梳理、端口与协议确认、DNS规划、回源限制、监控验证和回退演练。先把这些基础配置准备完整，再进行正式切换，才能让防护能力真正服务于业务连续性。
