RockCloud-基石云安全-官方博客
无感接入高防CDN配置流程是否成功，只看三个条件：切换期间业务零断线、HTTPS证书不中断、回源错误率不抬升。满足这三点，才算真正无感。要做到并不难，关键是先把源站和回源层准备妥当，最后才动DNS——顺序错了，再好的高防也救不了现场的502和SSL报错。
这里先把结论摆出来：无感接入高防CDN配置流程按以下6步执行，每一步都有明确的验证信号和失败回退路径，全程可灰度、可回滚，不存在必须停机切换的窗口：
- 接入前盘点解析记录与非HTTP端口业务；
- 源站预放行回源IP并校准回源HOST/SNI；
- 对齐证书与回源协议，防止TLS握手失败和重定向死循环；
- 调低DNS TTL，按5%~10%权重灰度切流并观测指标；
- 配置真实IP透传，避免风控和限流失效；
- 全量稳定后收口源站白名单，隐藏源站。
需要提前完成接入，是因为攻击者不会等你切流。Cloudflare 2026 H1报告显示，2026年Q2超1Tbps攻击环比激增519%，且90.6%的网络层攻击持续不到10分钟，部分仅35秒。临时切流根本来不及。
第1步：接入前盘点解析记录、非HTTP端口与子域名清单
动手改解析之前，先清点清楚现有DNS资产，避免漏切导致部分流量掉线或源站IP残留暴露。
需要整理三类记录：
- 全部A/AAAA/CNAME记录：主域名、www、静态资源子域、API子域等，逐条列出；
- 需要走CDN与不走CDN的子域名：例如纯API服务可能不需要CDN加速，但需要高防防护的域名必须纳入；
- 非HTTP(S)端口的业务：如邮件SMTP、SSH、游戏TCP长连接等，这些流量不走CDN，需要单独规划防护或保持直连。TCP长连接类业务的防护形态差异，见高防IP和高防CDN区别。
建议制作一张资产表格，记录域名、记录类型、当前解析值、是否走CDN、备注（如业务负责人）。这是后续灰度切流的基础。若还没确定服务商，选型维度可参考高防CDN怎么选。
第2步：源站先放行回源IP并校准回源HOST，避免切流后立刻502
切流后最常见的故障就是502 Bad Gateway或504 Gateway Time-out，根源往往出在源站侧，而不是CDN。根据阿里云官方文档（2026年7月更新），核心根因有两个：
- 源站防火墙或主机安全软件把CDN聚合回源IP误判为攻击，直接拦截或限速；
- 回源HOST与源站Web虚拟主机（站点配置中绑定的域名）不匹配，导致源站无法识别请求。
所以，务必先放行，后切流：
- 从CDN服务商获取回源IP网段（或回源节点IP列表）；
- 在源站防火墙、安全组、主机安全软件（如云锁、安全狗）中把这些IP加入白名单；
- 在CDN控制台配置回源HOST为源站实际绑定的域名；
- 用本地hosts解析或指定回源域名，提前发起测试请求，确认源站能正常响应。
验证方法：修改本机hosts，将业务域名解析到CDN CNAME，然后访问测试页面，观察状态码和响应时间。也可用 curl -H "Host: 业务域名" http://源站IP/ 直接验证源站是否按该Host命中正确站点。若出现502，按这个顺序排查：先看源站防火墙是否拦截、再看回源HOST是否正确。
第3步：证书签发与回源协议对齐，别让HTTPS变成重定向死循环
接入高防CDN后，HTTPS链路被拆成两段：客户端到CDN，以及CDN到源站。两段都要确认证书和协议一致。
常见坑位：源站不支持HTTPS或缺少SNI扩展导致TLS握手失败；或源站80端口强制301跳转443，而CDN回源走80端口形成无限重定向循环。正确做法是让回源协议与源站实际能力对齐：源站支持HTTPS则回源协议设为HTTPS并校验源站证书；仅支持HTTP则回源协议设为HTTP并关闭强制跳转。
验证清单：用curl -I测试CDN边缘节点访问确认返回200而非301/302，用openssl s_client检查TLS握手与SNI，并检查浏览器控制台有无混合内容警告。
第4步：降TTL按权重灰度解析，高防CDN灰度切换看哪些指标
这是无感接入高防CDN配置流程中风险最集中的一步。只有在DNS TTL足够低的情况下，灰度切换和回退才可能做到分钟级生效。
操作步骤：
- 提前24-48小时将现有A/AAAA记录的TTL调低至300秒或更低（有些CDN支持TTL=60秒）；
- 在DNS服务商配置权重解析，将5%~10%的解析切到CDN CNAME；
- 观察拨测数据和源站日志，确认无5xx、TLS错误、回源超时；
- 逐步递增权重（如20%、50%、100%），每档观察10-20分钟，确认指标平稳后再继续。
观察指标包括：
| 指标 | 阈值 | 说明 |
|---|---|---|
| 5xx占比 | 不超过基线+0.5% | 502/504高发阶段 |
| TLS握手失败率 | 0或接近0 | 证书或SNI问题 |
| 回源耗时P95 | 与切换前持平 | 源站负载是否异常 |
| 缓存命中率 | 稳定或上升 | 静态资源加速效果 |
灰度比例与TTL取值来自阿里云官方文档（2026年7月更新），上表阈值为自定告警线，请按你自己切换前7天的监控基线校准。
此阶段若发现异常，按「回退」章节处理即可，低TTL保证你能快速恢复。
第5步：真实IP透传，解决接入CDN后获取不到用户真实IP
接入CDN后，源站看到的TCP连接来源IP会变成CDN边缘节点的IP，而不是用户真实IP。如果不做透传，后端的风控、限流、审计日志都会失效。
以Nginx为例，配置 ngx_http_realip_module 模块：
set_real_ip_from <你的CDN回源IP网段>; # 必须以服务商实际公布网段为准
real_ip_header X-Forwarded-For;
real_ip_recursive on; # 开启后自上游链从右向左跳过已声明的可信地址，取到最后一个不可信地址，即真实客户端IP注意：set_real_ip_from 必须指定为CDN回源IP网段，否则任何人都可以伪造X-Forwarded-For头。配置后，$remote_addr 将变为客户端真实IP。
接着要同步调整：
- 访问日志格式（记录真实IP）；
- 限流模块（如
limit_req按真实IP限速）； - WAF或风控系统（从X-Forwarded-For取值）；
- 应用层代码若直接读
REMOTE_ADDR也需改为读取代理头。
验证方法：查看源站日志，确认IP段不再是CDN回源IP，而是分散的用户IP。如果你担心防CC攻击限流失效，可以参考Nginx防CC攻击限流配置最佳实践进行加固。此外，RockCloud WAF在真实IP透传后依然有效，因为WAF通常基于HTTP请求头进行检测，只要源站正确透传X-Forwarded-For，WAF就能继续识别并拦截恶意请求。
第6步：全量切换后收口源站白名单，完成源站隐藏
全量切换稳定运行几天后，才可以进行最后一步：源站白名单收口。这一步的目的，是防止攻击者绕过CDN，直接通过源站IP发起攻击。
操作要点：在源站防火墙/安全组中仅允许CDN回源IP和必要管理IP访问业务端口；同时清理历史解析记录并检查邮件头、源码、证书透明日志等泄露源站IP的渠道。
注意：收口一定要放在最后。在灰度期间收口，一旦切流出现意外需要回退，源站被防火墙拦截会导致业务彻底不可用。
如果你对源站隐藏的具体方法不熟悉，可参考如何防止源站真实IP暴露一文。
切换失败怎么回退：回退顺序与耗时预估
即使做足了准备，现场也可能出现意外。回退的关键是低TTL，它决定了恢复速度能有多快。
回退顺序：
- 立即将DNS权重切回原解析（如果还没全量，只恢复灰度部分）；
- 如果已全量，则修改DNS记录，将域名解析回源站IP（TTL已调低，生效快）；
- 保留低TTL窗口：在回退完成后，观察一段时间，确认业务恢复，再酌情调高TTL；
- 若涉及源站白名单收口，先移除白名单限制，确保源站不拦截回源IP。
触发回退的信号：
| 信号 | 可能原因 |
|---|---|
| 5xx比例突增 | 回源IP被拦、回源HOST错误、源站过载 |
| TLS握手失败大量出现 | 证书不匹配、SNI问题 |
| 回源耗时持续超时 | 源站防火墙限速、源站网络异常 |
回退速度以TTL为上限，实际以源站与CDN两侧日志中流量回落为准。这也是无感接入高防CDN配置流程的收尾保障。
RockCloud 在回源收敛与源站保护环节的落位
在整个流程中，RockCloud 高防CDN主要承接回源收敛、源站白名单和灰度观测这三个环节。
- 回源收敛：源站入站策略只需对齐 RockCloud 高防CDN 的回源来源，与第2步的白名单动作一一对应；
- 源站隐藏：通过CDN代理，源站IP不再直接暴露，配合收口操作进一步降低被绕过攻击的风险；
- 灰度观测：RockCloud 日志服务可用于灰度期间的状态码与回源异常比对。
常见问题
接入高防CDN会不会导致网站断线？
按上述流程严格操作，不会断线。关键在于先源站准备，再灰度切流，并保持低TTL。
CNAME接入高防CDN多久生效？
生效速度取决于TTL与递归DNS缓存行为。判断生效看源站日志中旧解析流量是否归零。
网站接入CDN需要改哪些DNS记录？
通常只需将A/AAAA记录改为CNAME指向CDN别名。无需更改NS或MX，保留原记录备份以便回退。
接入高防CDN后HTTPS证书怎么配置？
配置两层证书：客户端到CDN用CDN证书，CDN到源站用源站证书。确保证书有效、SNI正常，回源协议与源站一致。
接入CDN后回源502怎么排查？
按顺序检查三步：一、源站防火墙是否拦截回源IP；二、回源HOST是否配置正确；三、源站是否过载或超时。多数情况是前两点引发，放行后立即恢复。
高防CDN怎么做灰度切换和回退？
灰度切换通过DNS权重解析实现，先切5%~10%，观察无异常再递增。回退则直接调整权重或恢复原A记录。
接入CDN后获取不到用户真实IP怎么办？
在源站Nginx配置 ngx_http_realip_module，设置 set_real_ip_from 为CDN回源网段，并指定 real_ip_header X-Forwarded-For。配置后重启Nginx即可。
评论(0)