RockCloud-基石云安全-官方博客 - 灰度切换
type: channel
link: https://rockcloud.cc/blog/tag/%E7%81%B0%E5%BA%A6%E5%88%87%E6%8D%A2/
items: 无感接入高防CDN配置流程：6步零中断切换

无感接入高防CDN配置流程：6步零中断切换
type: item
date: 2026-08-22T10:38:15+08:00
description: 无感接入高防CDN配置流程是否成功，只看三个条件：切换期间业务零断线、HTTPS证书不中断、回源错误率不抬升。满足这三点，才算真正无感。要做到并不难，关键是先把源站和回源层准备妥当，最后才动DNS——顺序错了，再好的高防也救不了现场的502和SSL报错。这里先把结论摆出来：无感接入高防CDN配置流程按以下6步执行，每一步都有明确的验证信号和失败回退路径，全程可灰度、可回滚，不存在必须停机切换的窗口：接入前盘点解析记录与非HTTP端口业务；源站预放行回源IP并校准回源HOST/SNI；对齐证书与回源协议，防止TLS握手失败和重定向死循环；调低DNS TTL，按5%~10%权重灰度切流并观测指标；配置真实IP透传，避免风控和限流失效；全量稳定后收口源站白名单，隐藏源站。需要提前完成接入，是因为攻击者不会等你切流。Cloudflare 2026 H1报告显示，2026年Q2超1Tbps攻击环比激增519%，且90.6%的网络层攻击持续不到10分钟，部分仅35秒。临时切流根本来不及。第1步：接入前盘点解析记录、非HTTP端口与子域名清单动手改解析之前，先清点清楚现有DNS资产，避免漏切导致部分流量掉线或源站IP残留暴露。需要整理三类记录：全部A/AAAA/CNAME记录：主域名、www、静态资源子域、API子域等，逐条列出；需要走CDN与不走CDN的子域名：例如纯API服务可能不需要CDN加速，但需要高防防护的域名必须纳入；非HTTP(S)端口的业务：如邮件SMTP、SSH、游戏TCP长连接等，这些流量不走CDN，需要单独规划防护或保持直连。TCP长连接类业务的防护形态差异，见高防IP和高防CDN区别。建议制作一张资产表格，记录域名、记录类型、当前解析值、是否走CDN、备注（如业务负责人）。这是后续灰度切流的基础。若还没确定服务商，选型维度可参考高防CDN怎么选。第2步：源站先放行回源IP并校准回源HOST，避免切流后立刻502切流后最常见的故障就是502 Bad Gateway或504 Gateway Time-out，根源往往出在源站侧，而不是CDN。根据阿里云官方文档（2026年7月更新），核心根因有两个：源站防火墙或主机安全软件把CDN聚合回源IP误判为攻击，直接拦截或限速；回源HOST与源站Web虚拟主机（站点配置中绑定的域名）不匹配，导致源站无法识别请求。所以，务必先放行，后切流：从CDN服务商获取回源IP网段（或回源节点IP列表）；在源站防火墙、安全组、主机安全软件（如云锁、安全狗）中把这些IP加入白名单；在CDN控制台配置回源HOST为源站实际绑定的域名；用本地hosts解析或指定回源域名，提前发起测试请求，确认源站能正常响应。验证方法：修改本机hosts，将业务域名解析到CDN CNAME，然后访问测试页面，观察状态码和响应时间。也可用 curl -H "Host: 业务域名" http://源站IP/ 直接验证源站是否按该Host命中正确站点。若出现502，按这个顺序排查：先看源站防火墙是否拦截、再看回源HOST是否正确。第3步：证书签发与回源协议对齐，别让HTTPS变成重定向死循环接入高防CDN后，HTTPS链路被拆成两段：客户端到CDN，以及CDN到源站。两段都要确认证书和协议一致。常见坑位：源站不支持HTTPS或缺少SNI扩展导致TLS握手失败；或源站80端口强制301跳转443，而CDN回源走80端口形成无限重定向循环。正确做法是让回源协议与源站实际能力对齐：源站支持HTTPS则回源协议设为HTTPS并校验源站证书；仅支持HTTP则回源协议设为HTTP并关闭强制跳转。验证清单：用curl -I测试CDN边缘节点访问确认返回200而非301/302，用openssl s_client检查TLS握手与SNI，并检查浏览器控制台有无混合内容警告。第4步：降TTL按权重灰度解析，高防CDN灰度切换看哪些指标这是无感接入高防CDN配置流程中风险最集中的一步。只有在DNS TTL足够低的情况下，灰度切换和回退才可能做到分钟级生效。操作步骤：提前24-48小时将现有A/AAAA记录的TTL调低至300秒或更低（有些CDN支持TTL=60秒）；在DNS服务商配置权重解析，将5%~10%的解析切到CDN CNAME；观察拨测数据和源站日志，确认无5xx、TLS错误、回源超时；逐步递增权重（如20%、50%、100%），每档观察10-20分钟，确认指标平稳后再继续。观察指标包括：指标阈值说明5xx占比不超过基线+0.5%502/504高发阶段TLS握手失败率0或接近0证书或SNI问题回源耗时P95与切换前持平源站负载是否异常缓存命中率稳定或上升静态资源加速效果灰度比例与TTL取值来自阿里云官方文档（2026年7月更新），上表阈…