高防 IP 已配置，网站却打不开；或者流量经过防护后，源站地址仍能直接访问——这两类问题往往分别出在接入链路和源站访问控制上。排查源站隐藏与高防IP接入的部署方法时，不要先反复改 DNS，而要逐段确认“用户到防护节点、节点到源站、源站返回响应”是否连通。
先判断故障发生在哪一段
准备好高防 IP、源站地址、业务域名、实际使用的端口和协议，并记录修改前的 DNS 与防火墙配置。确认服务商提供的是代理转发还是网络层转发：前者通常需要配置回源地址、端口及 Host 等信息；后者的路由和源站放行方式可能不同，须按服务商控制台说明设置，不能混用步骤。
从外部网络分别检查域名解析和访问结果。用 dig 查看 A、AAAA 记录，用 curl 对照域名访问与高防 IP 连通情况；HTTPS 还要确认使用正确的域名和证书。若域名仍解析到旧地址，先处理 DNS；若已指向防护 IP 但连接超时，再查监听端口、转发配置和源站防火墙。
按顺序检查接入配置
核对解析记录。确认业务域名的 A 记录指向分配的高防 IP，不要遗漏仍指向源站的其他记录。若启用了 IPv6，检查 AAAA 记录：只切换 IPv4 而保留直连源站的 IPv6 地址，仍可能暴露源站。DNS 变更受 TTL 和递归解析缓存影响，等待多久视原 TTL、运营商缓存等条件而定。
检查防护侧转发。确认业务端口、TCP 或 UDP 协议、回源地址及健康检查目标与实际服务一致。网站常见的 80、443 端口并不代表其他应用也使用这两个端口；端口未监听或协议选错时，可能表现为连接失败或响应异常。
验证回源链路。在防护控制台查看健康检查状态与错误信息；同时从允许的网络测试源站端口是否可达。代理回源时，核对 Host 头、HTTPS 的 SNI、证书校验及回源端口。若源站只接受特定 Host，默认请求头不匹配也会造成错误响应。
调整源站白名单。确认服务商公布的回源地址范围，并只将确有需要的地址加入防火墙白名单；保留管理入口所需的独立访问规则。核实规则已应用到正确的主机、网卡或云防火墙，并检查 IPv4、IPv6 是否都覆盖。切勿在尚未确认回源地址前直接封禁所有外部流量，以免同时切断正常服务或管理通道。
从外部复测并查日志。分别测试首页、静态资源和一个实际使用的动态路径，观察状态码、连接时间及错误日志。访问成功不等于源站已隐藏：还应从不在白名单内的外部网络尝试访问源站地址。若仍能直连，先查遗漏的端口、IPv6、其他域名记录和未生效的防火墙规则。
源站仍暴露时，优先检查这些遗漏
常见原因包括：旧子域名或邮件等其他记录仍指向源站；AAAA 记录未切换；源站还有未纳入防护的服务端口；测试环境使用了公开地址；防火墙规则只覆盖部分服务器；应用日志或公开配置文件意外泄露了源站地址。可对照域名清单和端口清单逐项核验。源站隐藏与高防IP接入的部署方法，核心不是单纯更换解析，而是让对外入口和源站放行策略保持一致。
改动前后都要留好回退路径
建议先记录原解析值、TTL、防火墙规则和服务监听状态，再分步骤变更。可先完成防护侧配置与回源验证，再切换 DNS；观察业务正常后，逐步收紧源站公网访问。若切换后持续出现超时，先确认防护侧健康检查、回源日志和源站资源情况；需要回退时恢复已记录的解析或规则，并留意 DNS 缓存不会因本地修改立刻清空。不同平台的界面名称和生效时间可能不同，具体以服务商说明为准。
常见问题
高防 IP 能否直接替代源站 IP？
不能一概而论。它通常承担对外防护入口，后端仍需有可用源站，并正确配置回源与访问控制。
为什么域名已切换，源站依然能被访问？
DNS 切换不会自动封闭源站。检查防火墙白名单、IPv6、其他域名和未防护端口。
接入后返回 502 或 504 怎么办？
优先核对回源地址、端口、Host、HTTPS 配置和健康检查，再结合防护侧与源站日志判断连接在哪一段失败。
按解析、转发、回源、白名单、外部复测的顺序排查，通常比同时改动多项配置更容易定位问题。完成源站隐藏与高防IP接入的部署方法后，还应定期复核新增域名、端口和地址记录，避免配置变化重新暴露源站。