接入高防服务后，源站防火墙若仍允许任意来源访问，攻击流量可能绕过防护直达源站；若白名单填错，又可能造成正常业务中断。做好高防IP与源站防火墙白名单的联动配置，重点不是“放行几个地址”，而是确认哪些地址实际回源、规则覆盖哪些入口，以及地址变更后如何同步。以下五项可在上线和变更时逐一核对。
检查一：确认白名单填的是实际回源地址
用户访问高防服务时，源站看到的连接来源通常是高防服务的回源出口地址，而不是用户本机地址，也不一定是解析域名时看到的高防接入地址。具体取决于服务架构和流量路径，应以服务商提供的回源地址清单及配置说明为准。
核对时，先确认清单标注的是“访问源站的出口地址”，并问清地址是否固定、是否按区域或线路区分。不要把管理后台显示的接入地址、探测节点地址或用户客户端地址直接加入白名单。清单如同时包含不同地址段，应确认每段对应的业务和用途，避免整段照抄后扩大放行范围。
检查二：逐条核对规则方向与开放范围
防火墙规则要表达清楚：允许哪些来源访问哪台源站、哪个端口，以及使用何种网络协议。只为实际对外提供服务的端口放行，不要为了排障临时开放所有端口或所有来源。源站管理入口应采用独立限制，不应因为业务白名单而一并对外开放。
还要检查规则是否配置在正确的层级：云平台安全组、网络防火墙和主机防火墙可能同时生效，任何一层的拒绝都可能导致连接失败。反过来，只在其中一层收紧，而另一层仍允许公网来源，也不能视为完成了源站保护。
检查三：把地址变更纳入发布流程
高防服务的回源地址可能随产品配置或服务变更而调整，不能假设白名单永久不变。可靠的做法是明确维护人、信息来源和变更步骤；收到地址更新通知后，先核对新旧地址及生效时间，再安排防火墙规则调整。
- 对照服务商当前提供的回源地址清单，确认新增、保留和废弃的地址段。
- 在源站防火墙中先添加确认过的新地址规则，保留现有规则，以降低切换时误拦截的风险。
- 通过高防入口发起业务验证，并检查源站防火墙日志是否显示预期来源。
- 确认新路径稳定后，再按变更计划移除已废弃地址，并记录规则变更人和时间。
是否需要新旧规则并存、并存多久，应按地址生效安排和业务验证结果决定，不宜设置没有复查日期的临时放行项。
检查四：堵住绕过高防的其他入口
白名单只限制源站收到的连接，不会自动消除所有直连路径。检查公开域名解析、历史解析记录、备用源站地址，以及运维文档或客户端中是否暴露源站地址。若攻击者仍能直接连接源站，便可能绕过高防入口。
逐个盘点源站的公网入口和备用链路，确认业务入口仅接受高防回源地址；确有运维或监控访问需求时，使用单独、可审计的来源规则，并限制到必要的端口。变更入口后，也要检查云平台安全组和主机防火墙是否留下旧规则。这是高防IP与源站防火墙白名单的联动配置中常被遗漏的一环。
检查五：用日志和分阶段验证确认结果
规则写入成功不等于流量路径正确。上线前先记录当前规则并准备回退方案；变更后分别验证正常业务访问、源站日志中的来源地址，以及防火墙拒绝日志。若业务失败，应先判断是来源地址不匹配、端口规则缺失，还是其他网络层拦截，避免直接扩大白名单。
建议在变更记录中写明规则用途、来源范围、对应服务和复查日期。日志保留时间按现有运维策略与存储条件确定；若短期内没有拒绝日志，也不能单凭这一点认定源站没有绕行访问，应结合入口清单和实际访问记录检查。
常见问题
只把高防地址加入源站白名单，是否就够了？
不一定。还要确认规则的目标主机、端口和协议正确，并检查云端与主机防火墙是否都符合预期。
可以直接放行整个地址段吗？
只有在服务商明确将该地址段用于回源，且业务确实需要时才考虑。范围越大，误放行风险通常越高，应优先采用必要的最小范围。
怎样判断白名单是否配置正确？
通过高防入口验证业务，同时核对源站看到的来源地址和防火墙日志；不要只检查控制台里的规则状态。
回源地址变更后，旧规则要马上删除吗？
按服务商给出的生效安排和验证结果处理。通常先添加并验证新地址，再按计划移除旧地址，避免切换期间中断。
归根结底，高防IP与源站防火墙白名单的联动配置要做到来源准确、规则最小、变更可追踪、直连可排查，并通过日志验证实际流量，而不是只看配置页面显示“已启用”。