无感接入高防CDN配置流程：6步零中断切换
无感接入高防CDN配置流程是否成功，只看三个条件：切换期间业务零断线、HTTPS证书不中断、回源错误率不抬升。满足这三点，才算真正无感。要做到并不难，关键是先把源站和回源层准备妥当，最后才动DNS——顺序错了，再好的高防也救不了现场的502和SSL报错。这里先把结论摆出来：无感接入高防CDN配置流程按以下6步执行，每一步都有明确的验证信号和失败回退路径，全程可灰度、可回滚，不存在必须停机切换的窗口：接入前盘点解析记录与非HTTP端口业务；源站预放行回源IP并校准回源HOST/SNI；对齐证书与回源协议，防止TLS握手失败和重定向死循环；调低DNS TTL，按5%~10%权重灰度切流并观测指标；配置真实IP透传，避免风控和限流失效；全量稳定后收口源站白名单，隐藏源站。需要提前完成接入，是因为攻击者不会等你切流。Cloudflare 2026 H1报告显示，2026年Q2超1Tbps攻击环比激增519%，且90.6%的网络层攻击持续不到10分钟，部分仅35秒。临时切流根本来不及。第1步：接入前盘点解析记录、非HTTP端口与子域名清单动手改解析之前，先清点清楚现有DNS资产，避免漏切导致部分流量掉线或源站IP残留暴露。需要整理三类记录：全部A/AAAA/CNAME记录：主域名、www、静态资源子域、API子域等，逐条列出；需要走CDN与不走CDN的子域名：例如纯API服务可能不需要CDN加速，但需要高防防护的域名必须纳入；非HTTP(S)端口的业务：如邮件SMTP、SSH、游戏TCP长连接等，这些流量不走CDN，需要单独规划防护或保持直连。TCP长连接类业务的防护形态差异，见高防IP和高防CDN区别。建议制作一张资产表格，记录域名、记录类型、当前解析值、是否走CDN、备注（如业务负责人）。这是后续灰度切流的基础。若还没确定服务商，选型维度可参考高防CDN怎么选。第2步：源站先放行回源IP并校准回源HOST，避免切流后立刻502切流后最常见的故障就是502 Bad Gateway或504 Gateway Time-out，根源往往出在源站侧，而不是CDN。根据阿里云官方文档（2026年7月更新），核心根因有两个：源站防火墙或主机安全软件把CDN聚合回源IP误判为攻击，直接拦截或限速；回源HOST与源站Web虚拟主机（站点配置中绑定的域名）不匹配，导致源站无法识别请求。所以，务必先放行，后切流：从CDN服务商获取回源IP网段（或回源节点IP列表）；在源站防火墙、安全组、主机安全软件（如云锁、安全狗）中把这些IP加入白名单；在CDN控制台配置回源HOST为源站实际绑定的域名；用本地hosts解析或指定回源域名，提前发起测试请求，确认源站能正常响应。验证方法：修改本机hosts，将业务域名解析到CDN CNAME，然后访问测试页面，观察状态码和响应时间。也可用 curl -H "Host: 业务域名" http://源站IP/ 直接验证源站是否按该Host命中正确站点。若出现502，按这个顺序排查：先看源站防火墙是否拦截、再看回源HOST是否正确。第3步：证书签发与回源协议对齐，别让HTTPS变成重定向死循环接入高防CDN后，HTTPS链路被拆成两段：客户端到CDN，以及CDN到源站。两段都要确认证书和协议一致。常见坑位：源站不支持HTTPS或缺少SNI扩展导致TLS握手失败；或源站80端口强制301跳转443，而CDN回源走80端口形成无限重定向循环。正确做法是让回源协议与源站实际能力对齐：源站支持HTTPS则回源协议设为HTTPS并校验源站证书；仅支持HTTP则回源协议设为HTTP并关闭强制跳转。验证清单：用curl -I测试CDN边缘节点访问确认返回200而非301/302，用openssl s_client检查TLS握手与SNI，并检查浏览器控制台有无混合内容警告。第4步：降TTL按权重灰度解析，高防CDN灰度切换看哪些指标这是无感接入高防CDN配置流程中风险最集中的一步。只有在DNS TTL足够低的情况下，灰度切换和回退才可能做到分钟级生效。操作步骤：提前24-48小时将现有A/AAAA记录的TTL调低至300秒或更低（有些CDN支持TTL=60秒）；在DNS服务商配置权重解析，将5%~10%的解析切到CDN CNAME；观察拨测数据和源站日志，确认无5xx、TLS错误、回源超时；逐步递增权重（如20%、50%、100%），每档观察10-20分钟，确认指标平稳后再继续。观察指标包括：指标阈值说明5xx占比不超过基线+0.5%502/504高发阶段TLS握手失败率0或接近0证书或SNI问题回源耗时P95与切换前持平源站负载是否异常缓存命中率稳定或上升静态资源加速效果灰度比例与TTL取值来自阿里云官方文档（2026年7月更新），上表阈值为自定告警线，请按你自己切换前7天的监控基线校准。此阶段若发现异常，按「回退」章节处理即可，低TTL保证你能快速恢复。第5步：真实IP透传，解决接入CDN后获取不到用户真实IP接入CDN后，源站看到的TCP连接来源IP会变成CDN边缘节点的IP，而不是用户真实IP。如果不做透传，后端的风控、限流、审计日志都会失效。以Nginx为例，配置 ngx_http_realip_module 模块：set_real_ip_from <你的CDN回源IP网段>; # 必须以服务商实际公布网段为准 real_ip_header X-Forwarded-For; real_ip_recursive on; # 开启后自上游链从右向左跳过已声明的可信地址，取到最后一个不可信地址，即真实客户端IP注意：set_real_ip_from 必须指定为CDN回源IP网段，否则任何人都可以伪造X-Forwarded-For头。配置后，$remote_addr 将变为客户端真实IP。接着要同步调整：访问日志格式（记录真实IP）；限流模块（如 limit_req 按真实IP限速）；WAF或风控系统（从X-Forwarded-For取值）；应用层代码若直接读 REMOTE_ADDR 也需改为读取代理头。验证方法：查看源站日志，确认IP段不再是CDN回源IP，而是分散的用户IP。如果你担心防CC攻击限流失效，可以参考Nginx防CC攻击限流配置最佳实践进行加固。此外，RockCloud WAF在真实IP透传后依然有效，因为WAF通常基于HTTP请求头进行检测，只要源站正确透传X-Forwarded-For，WAF就能继续识别并拦截恶意请求。第6步：全量切换后收口源站白名单，完成源站隐藏全量切换稳定运行几天后，才可以进行最后一步：源站白名单收口。这一步的目的，是防止攻击者绕过CDN，直接通过源站IP发起攻击。操作要点：在源站防火墙/安全组中仅允许CDN回源IP和必要管理IP访问业务端口；同时清理历史解析记录并检查邮件头、源码、证书透明日志等泄露源站IP的渠道。注意：收口一定要放在最后。在灰度期间收口，一旦切流出现意外需要回退，源站被防火墙拦截会导致业务彻底不可用。如果你对源站隐藏的具体方法不熟悉，可参考如何防止源站真实IP暴露一文。切换失败怎么回退：回退顺序与耗时预估即使做足了准备，现场也可能出现意外。回退的关键是低TTL，它决定了恢复速度能有多快。回退顺序：立即将DNS权重切回原解析（如果还没全量，只恢复灰度部分）；如果已全量，则修改DNS记录，将域名解析回源站IP（TTL已调低，生效快）；保留低TTL窗口：在回退完成后，观察一段时间，确认业务恢复，再酌情调高TTL；若涉及源站白名单收口，先移除白名单限制，确保源站不拦截回源IP。触发回退的信号：信号可能原因5xx比例突增回源IP被拦、回源HOST错误、源站过载TLS握手失败大量出现证书不匹配、SNI问题回源耗时持续超时源站防火墙限速、源站网络异常回退速度以TTL为上限，实际以源站与CDN两侧日志中流量回落为准。这也是无感接入高防CDN配置流程的收尾保障。RockCloud 在回源收敛与源站保护环节的落位在整个流程中，RockCloud 高防CDN主要承接回源收敛、源站白名单和灰度观测这三个环节。回源收敛：源站入站策略只需对齐 RockCloud 高防CDN 的回源来源，与第2步的白名单动作一一对应；源站隐藏：通过CDN代理，源站IP不再直接暴露，配合收口操作进一步降低被绕过攻击的风险；灰度观测：RockCloud 日志服务可用于灰度期间的状态码与回源异常比对。常见问题接入高防CDN会不会导致网站断线？按上述流程严格操作，不会断线。关键在于先源站准备，再灰度切流，并保持低TTL。CNAME接入高防CDN多久生效？生效速度取决于TTL与递归DNS缓存行为。判断生效看源站日志中旧解析流量是否归零。网站接入CDN需要改哪些DNS记录？通常只需将A/AAAA记录改为CNAME指向CDN别名。无需更改NS或MX，保留原记录备份以便回退。接入高防CDN后HTTPS证书怎么配置？配置两层证书：客户端到CDN用CDN证书，CDN到源站用源站证书。确保证书有效、SNI正常，回源协议与源站一致。接入CDN后回源502怎么排查？按顺序检查三步：一、源站防火墙是否拦截回源IP；二、回源HOST是否配置正确；三、源站是否过载或超时。多数情况是前两点引发，放行后立即恢复。高防CDN怎么做灰度切换和回退？灰度切换通过DNS权重解析实现，先切5%~10%，观察无异常再递增。回退则直接调整权重或恢复原A记录。接入CDN后获取不到用户真实IP怎么办？在源站Nginx配置 ngx_http_realip_module，设置 set_real_ip_from 为CDN回源网段，并指定 real_ip_header X-Forwarded-For。配置后重启Nginx即可。