CDN回源配置要点：分别校准源站地址、连接协议与Host

🔧 CDN回源配置的三个独立维度

回源字段常被当作一个整体处理，实际包含目的地址、传输协议和HTTP Host。它们分别影响网络连接、TLS会话和应用路由。排障时应把故障放回对应层次，避免用修改DNS的方式处理Host路由问题。

📍 地址：边缘节点最终连接哪里

回源地址可以是域名或IP。使用域名时，确认它解析到源站入口而不是CDN加速域名，否则可能形成回源环路；同时记录解析结果、端口和网络访问控制。域名解析成功只说明DNS有答案，不代表边缘节点到源站的TCP连接可建立。可结合连接超时、拒绝连接、源站防火墙记录及访问日志判断网络路径。

多实例环境中应确认回源地址所指负载均衡器或实例池健康。若直连某台机器正常而经负载均衡失败，需检查健康状态、监听端口和后端路由；不要仅凭单次直连测试推断整个源站池可用。

🔒 协议：分别看用户链路和回源链路

用户到CDN边缘的HTTPS和边缘到源站的协议是两条独立连接。边缘有证书并不意味着回源已加密。若启用HTTPS回源，需确认源站监听端口、证书有效期、信任链、证书名称与回源名称匹配，并确认服务器名称指示（SNI）使用预期值。握手错误可查看TLS告警、证书验证结果和源站监听日志；这类问题与应用返回500不同。

如果源站仅能接收HTTP，需依据网络边界和数据敏感性评估这一段链路；任何协议改动都应与源站端口配置同步。通过边缘日志确认协商协议和回源耗时，避免把TLS握手耗时误记为应用处理时间。

🏷️ Host：选择正确的虚拟主机

同一IP或负载均衡器可能服务多个域名。边缘发出的Host头通常决定Nginx等服务器采用哪个server块；TLS阶段的SNI则参与证书选择。两者可能不同，须根据源站配置明确设定。检查访问日志中的Host、请求路径、状态码和上游地址，判断是否落到了默认站点。使用curl -I查看HTTP响应时，还要确保测试请求带了与生产相同的Host。

✅ 可执行的验收方法

1. 固定测试URL和边缘入口，记录状态码、回源耗时与错误类别。
2. 通过源站日志确认请求到达预期实例、虚拟主机和路径。
3. HTTPS回源时核对证书名称、有效期和完整信任链；需要时用openssl s_client -servername检查握手。
4. 验证页面内容或响应头确属目标站点，并连续请求观察是否还有回源连接错误。

地址可达、TLS通过、Host路由正确必须分别成立。验收记录还应包含回滚所需的原配置值，便于在配置变更导致错误时快速恢复。🌐