接入高防IP后业务反而变慢、偶发丢包、连接不稳定，这是运维群里常见的问题。很多人第一反应是"高防IP不好用"，但实际排查下来，问题往往出在回源链路、白名单配置或者源站自身。本文以坚果盾高防IP为例，给出一份按链路分段的排查清单。
一、先理解链路变化
接入高防IP之前，链路是：客户端 → 源站。接入高防IP之后，链路变成：客户端 → 高防节点 → 源站。多出来的一跳就是排查的关键区域。
| 链路分段 | 排查目标 | 测试方法 |
|---|---|---|
| 客户端 → 高防节点 | 用户到节点网络是否正常 | ping高防IP |
| 高防节点本身 | 清洗和转发是否正常 | 查看控制台 |
| 高防节点 → 源站 | 回源链路是否正常 | 联系技术支持测试 |
| 源站自身 | 源站是否承受压力 | top/free/监控面板 |
二、第一段：客户端 → 高防节点
排查目标：用户到高防节点的网络是否正常。
| 测试项 | 命令/工具 | 判断依据 |
|---|---|---|
| 延迟 | ping 高防IP | 同区域10-40ms正常，超过50ms需关注 |
| 丢包 | ping -c 100 高防IP | 丢包率超过1%需排查 |
| 路由路径 | tracert 高防IP | 查看是否绕路、跳数是否异常 |
如果这一段正常，说明问题不在用户到高防节点之间。常见问题包括用户本地网络问题、节点距离远、运营商线路问题。
三、第二段：高防节点本身
排查目标：坚果盾高防节点是否在正常清洗和转发。
| 检查项 | 查看方式 | 异常表现 |
|---|---|---|
| 攻击流量 | 控制台攻击监控 | 攻击峰值接近保底能力 |
| 保底使用率 | 控制台防护报表 | 持续超过80%需扩容 |
| 节点状态 | 控制台节点列表 | 节点异常或离线 |
| CC拦截量 | 控制台CC报表 | 拦截量突增可能误杀 |
常见问题：攻击超过保底能力、CC策略过严误拦截正常请求、节点故障流量被调度到较远节点。
四、第三段：回源链路
排查目标：坚果盾高防节点到源站的链路是否正常。这是最容易出问题的一段。
| 检查项 | 排查方式 | 异常表现 |
|---|---|---|
| 回源延迟 | 从高防节点ping源站 | 延迟明显高于正常值 |
| 回源带宽 | 控制台回源流量监控 | 回源带宽跑满 |
| 回源白名单 | 核对源站防火墙规则 | 部分回源IP未放行 |
| 回源协议 | 核对转发规则 | TCP/UDP配置错误 |
常见问题：源站白名单未放行全部回源IP、回源带宽不足、回源线路绕路、协议配置错误。回源链路的排查可联系坚果盾技术支持，从节点侧测试回源延迟和丢包。
五、第四段：源站自身
排查目标：源站是否在高防清洗后仍承受压力。
| 检查项 | 排查方式 | 异常表现 |
|---|---|---|
| CPU/内存 | top/free/监控面板 | 持续高负载 |
| 连接数 | netstat/ss | 连接数接近上限 |
| 磁盘IO | iostat | IO等待高 |
| 应用日志 | 查看错误日志 | 大量超时、错误 |
常见问题：源站配置不足、缓存命中率低、应用层慢查询、数据库瓶颈。
六、完整排查流程
ping高防IP，确认客户端到节点延迟丢包正常
查看控制台攻击流量、保底使用率、节点状态
联系坚果盾技术支持，测试回源延迟与丢包
检查源站CPU、内存、连接数、IO
大部分问题集中在回源链路和源站自身，真正的高防节点故障反而少见。
七、常见问题
Q：高防IP接入后延迟增加多少算正常？
同区域节点通常增加10-20ms，超过30ms需排查线路。
Q：回源白名单配错了会怎样？
回源流量被拦截，表现为间歇性不通或完全不可用。先核对回源IP段是否完整。
Q：源站没问题但业务还是卡，怎么办？
检查CC策略是否过严导致误杀。可以先观察不拦截，确认误杀率后再调整。
Q：坚果盾技术支持能协助排查吗？
能。回源链路的问题需要从节点侧测试，坚果盾技术支持可协助定位。
