接入云端抗攻击IP，重点不是只替换一个地址，而是确认流量从访问者到网站服务器经过哪些环节。云端抗攻击IP接入网站的配置步骤，通常分为直连转发和代理接入两类；具体名称、能力和控制台选项会因服务商产品而异，配置前应先核对其接入说明。
先看流量路径：直连与代理并非同一层配置
直连转发：保护地址承接访问
直连接入通常让访问者连接云端提供的受保护地址，再由云端按协议、端口和转发规则把流量送到源站。它适合需要保护固定公网地址、非网页 TCP 服务，或希望尽量少改应用层设置的场景。优点是路径直观、对网站程序改动较少；限制是端口和转发规则要配置准确，部分产品也不提供逐条 HTTP 请求的管理能力。
代理接入：由代理层代为请求源站
代理接入通常由反向代理接收网页请求，再按设置回源到网站服务器。除目标地址和端口外，可能还要设置回源主机名、证书、健康检查，以及客户端地址传递方式。它更适合需要按域名区分站点、处理 HTTPS 或使用应用层规则的网页服务；代价是链路多一层，代理与源站的证书、请求头和访问策略都要匹配。
云端抗攻击IP接入网站的配置步骤
- 盘点现有服务。记录网站使用的域名、源站地址、开放端口、HTTP 或 HTTPS 状态，以及是否还有邮件、远程管理等服务共用该地址。不要把无关端口一并开放。
- 选择接入方式。若主要目标是保护固定地址或非网页端口，先核对直连产品是否支持相应协议；若需要代理网页请求、配置回源主机名或应用层策略，则评估代理接入。确认服务商是否要求额外的源站配置。
- 在控制台建立转发关系。直连模式填写受保护地址、源站地址、协议及端口映射；代理模式填写源站地址、回源端口和主机名，并按产品要求设置证书与健康检查。源站使用 HTTPS 时，确认代理到源站这一段的加密方式及证书校验要求。
- 先做小范围验证。优先使用测试域名、预发布站点或受控访问进行检查，确认首页、登录、上传等关键路径正常，并观察应用日志中的客户端地址。代理若支持可信地址传递，应只信任服务商指定的转发字段，不能直接信任外部请求自行携带的同名字段。
- 切换正式流量并复核。按服务商说明调整域名解析或接入配置，随后检查不同网络下的访问、证书提示、页面资源和错误日志。确认稳定后，再考虑收紧源站公网访问；如需设置源站白名单，只允许服务商公布并确认的回源地址，避免误封维护通道。
如何选：按服务边界和运维能力判断
| 比较项 | 直连转发 | 代理接入 |
|---|---|---|
| 主要控制对象 | 地址、协议与端口 | 域名、请求与回源设置 |
| 常见适用范围 | 固定地址服务、非网页端口 | 网站流量、需要应用层处理的场景 |
| 配置关注点 | 端口映射、回源可达性 | 证书、主机名、转发头、源站白名单 |
| 主要取舍 | 应用改动较少，但应用层控制通常有限 | 控制更细，但配置项和故障排查环节更多 |
两种方式都要确认源站能够接收云端回源流量。若源站仍允许任何来源直接访问，攻击者可能绕过保护地址直达源站；但贸然封禁公网访问，也可能影响运维、监控或其他共用业务。应先确认访问来源和管理通道，再逐步调整防火墙规则。
上线前后的检查与回退
上线前保存原有解析和转发配置，并记录源站当前可用状态。切换后检查首页、登录、表单提交、文件上传等实际功能，而不只看首页能否打开；同时核对证书是否覆盖访问域名、应用日志是否记录到预期的客户端地址。出现故障时，先区分是客户端到保护层、保护层到源站，还是应用自身报错，再按预先保存的配置回退。云端抗攻击IP接入网站的配置步骤应包含回退准备，避免把临时排障变成不可控的线上变更。
常见问题
直连模式能保护所有端口吗？
不能一概而论。可转发的协议和端口由具体产品及套餐能力决定，配置前逐项确认。
代理接入后，源站还需要公网地址吗？
视产品架构而定。有些代理需要访问可达的源站地址；是否能使用内网回源，应以服务商支持范围为准。
切换后网站能打开，但日志中的访问地址变了怎么办？
先确认所用模式及客户端地址传递机制。代理场景应只按服务商文档配置可信转发字段，不能把未经验证的请求头当作真实来源。
两种方式可以同时使用吗？
部分架构可能支持组合，但会增加路由、证书和故障排查复杂度。只有在产品明确支持且流量路径已梳理清楚时再组合配置。
