高防 IP 回源策略配置错误导致源站负载过高怎么调整？

遇到高防 IP 回源策略配置错误导致源站负载过高的情况，最稳妥的办法是先在源站防火墙只放行高防 IP 段，同时在高防控制台收紧 CC 防护规则，阻断直接攻击和无效回源。操作前务必确保保留管理端口（SSH/RDP）权限，以防被锁门外。

先说结论：配置错误通常意味着防护层未生效或源站暴露，需立即收敛源站访问权限并优化防护阈值。

先确认：源站访问日志中是否存在非高防 IP 段的直接请求。
先处理：在源站安全组或防火墙中仅 whitelist 高防 IP 段，严禁关闭管理端口（22/3389）。
应急方案：若配置失误导致无法连接，立即通过云控制台 VNC 或工作终端登录恢复。
再验证：观察源站 CPU、带宽负载及高防控制台攻击拦截报表是否恢复正常。

快速处理思路

由于高防配置多在云厂商控制台完成，以下是紧急止血的操作路径：

登录高防服务控制台，查看当前回源 IP 段列表（阿里云可在 DDOS 防护控制台查看，腾讯云在高防 IP 实例详情中查看）。
登录云服务器控制台（如阿里云 ECS、腾讯云 CVM），配置安全组规则，入方向仅允许高防回源 IP 段访问业务端口（80/443），务必保留 SSH(22) 或 RDP(3389) 端口对管理 IP 开放。
在高防控制台开启或调优 CC 防护，设置基于 URI 或 IP 的频率限制。
检查源站 Web 服务器配置，确保未错误记录真实客户端 IP 导致日志膨胀或逻辑错误。

为什么会这样

高防 IP 的核心作用是将流量牵引到清洗中心，过滤恶意请求后再回源。负载过高通常由两种情况导致：一是回源策略过宽，清洗中心将大量疑似攻击的流量放行到了源站；二是源站 IP 泄露，攻击者绕过髙防 IP 直接攻击源站 IP。前者属于配置阈值问题，后者属于架构安全问题。若源站同时监听公网 IP 且未做限制，高防 IP 就失去了意义，所有流量都会直接打在源站上。

分步处理

第一步：排查源站日志
检查 Nginx 或 Apache 访问日志，观察请求 IP 是否集中在高防 IP 段。若发现大量非高防段的 IP 直接访问，说明源站 IP 已泄露。

# 查看 Nginx 访问日志 top 10 IP
awk '{print $1}' access.log | sort | uniq -c | sort -nr | head -n 10

# 排查非高防段 IP 请求示例（假设高防段为 1.1.1.0/24）
grep -v "1.1.1." access.log | head -n 20

第二步：收敛源站访问权限
在云服务器安全组或硬件防火墙中，将业务端口（如 80/443）的源地址限制为高防服务商提供的回源 IP 段。

云安全组配置示例：

阿里云：控制台 > 云服务器 ECS > 网络与安全 > 安全组 > 配置规则 > 入方向。
腾讯云：控制台 > 云服务器 > 安全组 > 修改规则 > 入站规则。

本地防火墙配置示例（iptables）：

# 允许高防 IP 段访问 80 端口
iptables -I INPUT -p tcp -s <高防 IP 段> `--dport` 80 -j ACCEPT
# 允许管理 IP 访问 22 端口（关键！）
iptables -I INPUT -p tcp -s <管理 IP> `--dport` 22 -j ACCEPT
# 丢弃其他 80 端口请求
iptables -A INPUT -p tcp `--dport` 80 -j DROP

应急恢复：若配置错误导致无法 SSH/RDP 连接，请立即登录云厂商控制台，使用 VNC 登录 或 工作终端（Workbench） 进入服务器修改防火墙规则。

第三步：调整 CC 防护策略
登录高防控制台，找到 CC 防护设置。若之前设置为“宽松”或“关闭”，调整为“正常”或“严格”。

阈值参考建议：

登录/支付接口：建议设置单 IP 频率限制为 5-10 QPS。
普通 API 接口：建议设置单 IP 频率限制为 10-20 QPS。
静态资源：建议设置单 IP 频率限制为 50-100 QPS。

针对特定高频访问的 URI 设置独立的频率限制，例如单 IP 每秒请求数限制。建议先观察日志再逐步收紧，避免误伤。

第四步：Nginx 层二次限制（可选但推荐）
作为安全组的补充，可在 Nginx 配置中直接限制只允许高防 IP 回源。

server {
    listen 80;
    server_name example.com;

    # 只允许高防 IP 段访问
    allow 1.1.1.0/24;
    allow 2.2.2.0/24;
    deny all;

    location / {
        proxy_pass http://backend;
        # 确保传递真实 IP
        proxy_set_header X-Real-IP $remote_addr;
    }
}

第五步：检查缓存与 DNS
确认高防实例或前置 CDN 的缓存规则。若动态接口被错误配置为可缓存，可能导致回源请求异常；若静态资源未缓存，则会增加不必要的回源流量。

若需更换源站 IP 以彻底隐藏泄露 IP，务必注意 DNS TTL 缓存问题。建议提前将 DNS TTL 值调低（如 60 秒），待切换完成并观察稳定后再调回，避免切换期间部分用户仍解析到旧 IP 导致攻击持续。

怎么验证是否生效

配置完成后，需从多个维度确认负载是否回落：

源站监控：观察云监控中的 CPU 使用率、网络入带宽是否下降至正常基线。
日志分析：再次运行日志分析命令，确认非高防 IP 段的请求是否被防火墙丢弃。
高防报表：查看高防控制台的攻击防护报表，确认拦截次数是否上升，回源流量是否趋于平稳。
业务可用性：尝试从外网访问业务，确保正常用户请求未被误拦截，页面加载正常。

常见坑

高防 IP 段变更：部分服务商的高防 IP 段可能会动态调整，若源站白名单未同步更新，会导致业务中断。建议关注服务商公告或配置自动同步脚本。
CC 规则过严：过于激进的频率限制可能误伤正常用户，尤其是涉及图片加载或 API 聚合并发的场景。建议先观察日志再逐步收紧。
未隐藏源站 IP：若源站 IP 曾暴露在 DNS 解析记录中，攻击者可能通过历史 DNS 记录直接攻击。更换源站 IP 并确保 DNS 仅解析到高防 IP 是必要措施，同时注意 DNS TTL 缓存影响。
协议转换损耗：若高防启用 HTTPS 而源站为 HTTP，需确保回源协议配置正确，避免重定向循环增加源站负载。
管理端口误封：配置安全组时最容易误关闭 SSH/RDP 端口，导致无法维护。务必单独放行管理 IP 或保留管理端口权限。