防御IP绑定源站的配置步骤，核心是先在防护服务中登记源站，再让业务流量经过防御IP转发到源站。只把域名解析到防御IP还不够：如果防护平台没有配置正确的回源地址，访问可能失败；如果源站仍对所有来源开放，攻击者也可能绕过防护直接访问源站。
先确认防护服务和源站信息
不同服务商的控制台名称和接入方式不完全相同。有的提供高防IP，有的通过反向代理接入；具体以服务商的产品说明为准。开始操作前，整理以下信息：
- 待接入的域名，以及当前负责管理DNS解析的服务商。
- 源站IP或源站域名、业务监听端口，以及使用HTTP还是HTTPS。
- 源站是否有多个节点、是否依赖固定的健康检查路径。
- 防护服务提供的回源地址或回源网段，以及客户端IP传递方式。
如果源站使用动态公网地址，先确认地址变化时如何更新配置；如果源站域名也经过同一防护服务，需避免配置成回指防御IP的循环解析。防御IP绑定源站之前，最好记录原有DNS记录和TTL，便于出现问题时恢复。
防御IP绑定源站的配置步骤
- 添加防护对象。在防护平台创建对应业务或接入实例，按要求填写域名、协议和端口。若平台要求先验证域名所有权，完成验证后再继续。
- 填写回源信息。将源站公网IP或平台支持的源站域名填入回源配置，确认协议、端口与源站实际监听设置一致。HTTPS回源还需核对证书和主机名校验要求。
- 设置回源策略。根据业务需要选择健康检查、故障切换等功能；只有确实有多个可用节点时，才配置多源站。健康检查路径应返回预期状态，且不能依赖登录或特殊客户端权限。
- 配置DNS解析。按平台提供的接入方式，将业务域名的A记录或CNAME指向防御IP或平台指定目标。不要把公开业务域名继续解析到源站IP。DNS记录类型和目标格式以服务商要求为准。
- 验证解析和访问。等待解析缓存更新后，从外部网络检查域名解析结果，并分别测试网页、接口、上传下载等实际功能。核对防护平台是否收到请求、源站是否正常响应，同时检查HTTPS证书是否匹配。
- 限制源站入口。确认防护转发正常后，在源站防火墙或云网络访问规则中，仅允许防护服务公布的回源地址访问业务端口；管理端口应另行限制。先确认白名单范围和管理入口，再收紧规则，避免误封运维连接。
上线后重点检查什么
确认回源与客户端信息
经过代理后，源站看到的连接来源可能是防护节点，而不是真实访客。需要记录访客地址时，应按服务商支持的请求头或传输方式获取真实客户端IP，并只信任来自防护服务的转发信息；不能无条件信任外部请求自行填写的同名请求头。
避免绕过和配置冲突
从外部直接访问源站IP，若仍能访问业务，说明源站入口可能没有限制到回源白名单。还要检查IPv4与IPv6记录是否都按计划接入、旧DNS记录是否残留，以及缓存、访问控制和证书配置是否与接入前一致。源站前面若还有负载均衡，应确认防护流量到达的地址和端口对应正确。
切换期间保留原DNS值和防火墙规则记录。若域名无法访问，先核对解析目标、端口、回源协议、证书和白名单，再按变更流程恢复原解析；DNS缓存更新时间受TTL和本地缓存影响，回滚并非所有用户同时生效。
常见问题
绑定后域名能访问，源站IP还需要隐藏吗？
建议通过防火墙限制源站业务端口，只允许防护回源地址访问。若历史记录、邮件或其他服务暴露了源站地址，也应分别检查其访问策略。
可以把多个域名绑定到同一个防御IP吗？
是否支持取决于产品和套餐配置。若支持，需逐个添加域名并配置对应的证书、回源规则和端口，不能只修改DNS而省略平台侧配置。
DNS已经改了，访问仍未切换怎么办？
检查当前解析结果是否仍命中旧记录，并核对防护对象是否启用、回源地址是否可达。解析缓存受TTL和递归DNS缓存影响，等待时间因环境而异。
如何判断防御IP绑定源站的配置步骤已经完成？
域名解析指向预期接入目标，防护平台能观察到请求，业务功能与HTTPS正常，且源站业务端口不再接受非授权来源，才算完成主要验证。