清洗平台地址更新后，如果反向代理仍按旧清单放行，正常流量可能被拦截；若白名单范围过宽，则会增加源站暴露风险。做好反向代理源站白名单与清洗平台地址同步，关键是先确认源站实际看到的连接来源，再用可回滚的方式更新规则。以下五步适用于自建或托管的清洗服务，具体字段和操作入口以实际产品为准。
配置前先分清两类地址
清洗平台的出口地址，是清洗节点向源站建立连接时使用的地址；客户端地址则是访问者的来源信息，可能通过可信代理链中的请求头传递。源站网络层白名单应依据实际连接来源设置，不能把请求头中的客户端地址当成连接对端地址。反向代理源站白名单与清洗平台地址同步，处理的是前者；客户端地址识别则应单独配置可信代理范围。
五个配置与核验步骤
步骤一：确认源站看到的来源
- 选定一个可控的测试请求，同时查看源站防火墙日志、负载均衡连接日志或主机连接记录。
- 记录连接对端地址，并确认请求是否经过反向代理、清洗节点或其他中间层。
- 将观测结果与清洗服务控制台或服务方提供的出口地址清单比对。若两者不一致，先查明是否存在额外代理、地址转换或不同业务入口。
不要仅凭请求头推断来源。常见的转发头只有在其由可信代理覆盖或规范追加、且代理链经过确认时，才适合用于还原客户端地址。
步骤二：取得并整理地址清单
- 从清洗平台的正式管理界面、配置接口或服务文档获取用于连接源站的地址段，记录获取时间和适用业务。
- 按 IPv4、IPv6、端口及环境分类；清洗平台支持双栈时，应分别核对两类地址是否都已纳入。
- 保留原始清单和来源说明，检查重复网段、格式错误及过宽的 CIDR。不要把服务商的全部网络范围当作业务必需范围。
清单若由人工维护，应设置负责人和复核周期；通过 API 或配置管理系统同步时，也要确认读取的是正确账户和业务实例。
步骤三：建立最小权限白名单
- 在源站网络访问控制规则中，只允许已核验的清洗平台出口地址访问所需服务端口。
- 同时检查主机防火墙、云安全组和上游网络策略，避免某一层仍对公网开放，抵消白名单效果。
- 保留管理通道所需的独立规则，并限制管理来源；不要为了便于测试而长期添加全网放行规则。
如果规则按来源地址组管理，可将同一业务的网段集中维护，并采用明确的命名。这样比在多处手工复制 CIDR 更容易审计。
步骤四：安全同步新旧地址
- 先将新增地址加入白名单，应用配置后确认规则已生效，再观察清洗流量是否能到达源站。
- 验证完成后，依据平台公告或地址清单确认旧地址不再承担业务，再分批移除旧规则。
- 同步前保存当前规则、变更记录和回滚方式；若更新失败，先恢复到已知可用配置并排查，不要盲目扩大放行范围。
反向代理源站白名单与清洗平台地址同步最好由单一清单驱动，减少源站防火墙、云端访问控制和代理配置之间的版本差异。若暂时只能人工操作，应逐项核对变更结果，并记录执行人与时间。
步骤五：从允许、拒绝和回滚三方面核验
- 通过清洗平台发起正常业务请求，检查源站日志中的连接来源、目标端口和响应状态，确认请求走的是预期链路。
- 在授权测试条件下，从不在白名单内的来源验证访问是否被拒绝；不要对无关地址进行扫描或测试。
- 检查规则计数、拒绝日志和业务监控是否一致，并演练恢复旧规则的流程。变更后仍需关注地址清单更新通知。
若允许测试的请求无法到达，按网络路径逐层排查：平台出口地址是否准确、地址族是否遗漏、端口是否一致、规则优先级是否冲突，以及源站是否实际经过另一层代理。
常见问题
清洗平台地址变更后，能否直接删除旧地址？
不建议。先加入并验证新地址，再确认旧地址不再承载流量后移除，可降低切换期间中断的可能。
白名单应填写用户地址还是代理地址？
源站网络层通常应允许实际与源站建立连接的代理或清洗节点地址。用户地址可用于应用日志或访问策略，但不能替代连接对端地址。
IPv6 业务需要单独核验吗？
需要。应确认平台是否通过 IPv6 连接源站、源站是否启用 IPv6，以及对应防火墙规则是否存在；不能假设 IPv4 规则会自动覆盖 IPv6。
怎样减少多处规则不一致？
维护一份经核验的地址清单，并让各访问控制位置按同一版本更新。每次变更保留差异、执行记录和回滚办法，才能持续做好反向代理源站白名单与清洗平台地址同步。