切换高防后，验证流量是否全部走高防必须同时看域名解析、路由路径、源站访问日志和压力清洗四层结果，任何一层出现源站IP或直连痕迹，都说明切换未完全生效。很多人以为后台点了切换、解析显示高防IP就够了，实际业务被打穿后才后悔,下面按验证优先级拆开讲。
切换高防后怎么看域名解析是否生效
解析是第一道检查，也是最容易误判的地方，本地DNS缓存、运营商DNS缓存、浏览器缓存都会让解析结果看起来“还是旧的”或“已经生效”,但不同地区可能不一致。
用公共DNS做多地验证
先在高防控制台确认分配的高防IP或CNAME地址,然后逐条执行命令。
- Windows执行：
nslookup yourdomain.com 114.114.114.114 - 再执行：
nslookup yourdomain.com 8.8.8.8 - Linux或Mac执行：
dig @114.114.114.114 yourdomain.com +short - 再换一个公共DNS：
dig @223.5.5.5 yourdomain.com +short
至少更换3至5个不同地区的公共DNS进行验证，所有返回结果都应该是高防IP或高防服务商提供的CNAME，而不是源站真实IP，如果一部分地区返回源站IP，说明解析缓存没有刷新干净,需要等待或主动刷新。
高防IP和源站IP对比验证方法
先把源站真实IP和高防IP分别记在表格里，解析结果一旦出现源站IP,就说明该线路没有切到高防。
- 源站接入方式为A记录时,解析结果应该是高防IP。
- 源站接入方式为CNAME时，解析结果是一串服务商提供的加速域名,需要再对这串CNAME做一次解析。
- 解析CNAME拿到最终IP后,与高防服务商提供的节点IP段对比。
- 最终IP如果落在高防节点段内，说明解析链路正确；如果回到源站IP,说明CNAME配置有误或发生了解析穿透。
还有一个常见坑：本地hosts文件可能写死了源站IP,检查以下路径：
- Windows：
C:WindowsSystem32driversetchosts - Linux或Mac：
/etc/hosts
如果hosts文件里有域名指向源站IP，浏览器访问会绕过DNS，直接打到源站,切换高防后必须清理掉这条记录。
切换完成后怎样验证所有流量都走了高防：路由路径与TTL
解析没问题不代表流量一定走高防，攻击者可以绕过DNS直接打源站IP，内部测试也可能误用源站IP,路由路径检查能直观看到流量真实经过哪些节点。
tracert与traceroute命令操作
Windows打开cmd执行：
tracert -d yourdomain.comLinux或Mac执行：
traceroute -n yourdomain.com观察返回的每一跳IP，正常走高防时，路径里会出现高防机房的IP段，高防节点通常位于BGP多线机房，IP归属地和源站机房不同,可以另一条命令直接追踪源站IP路径：
tracert -d 源站IP两条路径对比最清楚，源站路径可能直连一个城市或省份；高防路径会先绕到高防机房所在城市，再转发回源站，如果路径中完全没有高防IP段的影子，反而直接进入源站所在运营商网段，基本可以判断流量没走高防，这时要回头查解析、hosts、以及本地网络是否使用了内网DNS或代理。
TTL值辅助判断
TTL值变化也能提供线索，但不要单独依赖，数据包经过高防节点再回源站，跳数一般会增加几跳，TTL比直连源站小，可以同时打开两个终端，一个tracert域名，一个tracert源站IP，对比跳数和TTL差异，多一跳少一跳不一定绝对准确，因为骨干线路不同,但路径明显不同就能说明问题。
源站防火墙与日志：确认攻击流量不再直接打到源站
路由验证是正向看流量路径，源站侧还要反向封死直连入口,这一步能防止攻击者拿到源站IP后绕过解析直接攻击。
只放行高防回源IP段
高防的工作原理是把用户流量先牵引到高防节点，清洗后再通过回源IP转发给源站,源站防火墙必须只允许这些高防回源IP访问业务端口。
- 登录源站服务器或云防火墙控制台。
- 在入方向规则中，删除对所有公网IP开放80/443的规则。
- 新建规则，只允许高防服务商提供的回源IP段访问80/443。
- 保存后,用自己的4G热点或另一台非高防网络设备直接访问源站IP。
- 浏览器应该无法打开网站，或连接超时,这说明源站已经不再直接对外提供服务。
如果还能通过源站IP直接打开网站，说明防火墙白名单没有生效,流量存在绕过高防的风险。
查看源站访问日志是否有陌生IP
Linux Nginx日志位置一般在：
/var/log/nginx/access.logApache日志位置一般在：
/var/log/httpd/access_log执行类似命令：
tail -n 200 /var/log/nginx/access.log观察来源IP，如果日志里出现除了高防回源IP段以外的公网IP，尤其是一些明显扫描或攻击来源，说明源站仍在被直连，行业共识认为，源站日志只出现高防回源IP,是流量全部走高防最直接的证据之一。
| 检查项目 | 通过标准 | 未通过表现 |
|---|---|---|
| 域名解析 | 所有公共DNS返回高防IP或CNAME | 部分地区返回源站IP |
| 路由路径 | tracert经过高防机房节点 | 直达源站运营商 |
| 源站防火墙 | 源站IP无法被外部直接访问 | 4G网络下能打开源站IP |
| 源站日志 | 只有高防回源IP段记录 | 出现其他公网IP记录 |
网站接入高防后怎样验证清洗效果
前面四项是流量路径验证，这一步是能力验证：真的来了攻击，高防能不能洗掉,清洗效果决定业务会不会中断。
用低量压力测试验证清洗触发
不要一上来就打满带宽，先从低量请求开始，逐渐增加并发，工具可用ApacheBench、wrk、webbench,示例：
ab -n 10000 -c 100 http://yourdomain.com/执行后观察三件事：
- 源站服务器的CPU和带宽监控有没有明显飙升。
- 高防控制台有没有出现清洗事件或攻击流量记录。
- 测试期间正常用户能否继续访问网站。
如果源站风平浪静，高防控制台有清洗记录，说明流量先经过了高防，攻击被拦在源站外面，如果源站CPU瞬间拉高，或者测试请求失败率很高，可能高防没有生效或阈值设置过高,攻击被放行到源站。
真实攻击场景下的检查
如果正在遭受真实攻击，不要依赖人工一条条敲命令，先看高防控制台的实时流量趋势与清洗记录，多数高防服务商提供“攻击事件”页面，会显示攻击开始时间、攻击类型、峰值流量、清洗是否成功，源站侧同步看Nginx连接数、带宽占用、服务可用性，四个页面切换着看,能快速判断高防有没有在干活。
高防IP价格一般多少钱一年与地域差异对验证的影响
很多人在搜索高防IP价格一般多少钱一年时，主要担心便宜的高防是不是验证无效，其实验证方法不会因为价格和地域改变，高防IP的价格一般按防御峰值带宽、业务带宽和套餐类型来算，便宜的套餐可能只有几十G防护，贵的能到几百G甚至T级，价格影响的是攻击打过来时能不能扛住,而不是切换后流量路径检查会不会变。
广东高防服务器切换验证方法同样遵循上面四步，比如广东机房的高防节点，tracert路径会经过华南的BGP高防线路；如果你人在华北，也只会看到多绕一段，不应出现源站IP直连，地域差异只影响路径中的节点城市,不影响验证逻辑。
业内专家指出，高防切换失败造成的业务中断，相当一部分并不是高防产品本身不行，而是用户没有把源站防火墙和高防回源IP绑定好,导致流量被绕开或源站被直连。
验证流量全走高防不是一项一次性动作，而是每次切换、每次DNS变更、每次源站重启后都要重复的基本操作，只要解析、路径、日志、清洗四个维度全部指向高防节点，源站对外只剩白名单回源，才算切干净，少一环,都别急着交差。
Q&A
切换高防后测试流量没有走高防怎么办？
先检查域名解析是否所有区域都返回高防IP，其次清理本地DNS缓存和hosts文件，如果解析正确但tracert没有经过高防节点，可能是高防服务商配置了按地域调度，不同地区使用不同入口节点，联系服务商核对回源IP段和调度策略，再从源站防火墙侧确认只放行高防回源IP,源头封死直连。
高防IP和源站IP对比验证方法中，CNAME接入要注意什么？
CNAME接入时域名解析结果是一串服务商提供的加速域名，不是固定IP，需要再对这串CNAME做解析，拿到最终解析IP后，与高防服务商提供的节点IP段进行对比，如果最终解析IP不稳定、每次查询都跳变，属于正常的高防调度行为，但要确认所有解析结果都落在服务商宣称的高防节点范围内，如果解析到源站IP,说明CNAME配置有误或发生了解析穿透。
验证完流量全部走高防，后续还需要重复检查吗？
需要，源站防火墙规则变更、服务器重启、DNS缓存过期、高防套餐调整、服务商节点IP段更新，都可能破坏原有的验证结果，建议每次变更后重新执行域名解析、tracert、源站日志三项检查，压力清洗测试不用天天做，但在遭受真实攻击前至少一个月验证一次,确保清洗阈值和防护策略仍然有效。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/653123.html
