回源协议与端口要对齐
回源是 CDN 节点向源站取内容的过程，协议可选 HTTP 或 HTTPS，端口要与源站监听端口一致，部分产品还支持协议跟随（客户端用什么协议、回源就用什么协议）。这类配置不改动的概率很高，一旦不一致，表现就是回源失败、502 或 504，而客户端侧看到的是「CDN 坏了」。
基本信息
| 回源协议 | http / https / 协议跟随，按产品支持情况 |
|---|---|
| 回源端口 | 默认 80 与 443，自定义端口须与源站监听一致 |
| 加密 | HTTPS 回源可端到端加密，源站证书必须有效 |
| 验证方式 | 直连源站对应协议与端口做健康检查 |
| 影响面 | 只影响回源链路，不影响客户端到 CDN 的协议 |
典型使用场景
- 源站迁移到自定义端口，忘记同步修改回源端口导致 502
- 合规要求端到端加密，改为 HTTPS 回源并校验源站证书
- 源站同时提供 HTTP 与 HTTPS，评估是否使用协议跟随
- 排查间歇性回源失败，先验证源站两种协议的健康状态
- 多个源站配置主备，需要逐一确认协议与端口一致
验证源站可用性
验证源站可用性
# 直连源站，分别验证 HTTP 与 HTTPS
curl -sv http://origin.example.com:8080/healthz -o /dev/null 2>&1 | grep -E 'Connected|HTTP/'
curl -sv https://origin.example.com/healthz -o /dev/null 2>&1 | grep -E 'SSL connection|HTTP/'
# 校验源站证书有效期
openssl s_client -connect origin.example.com:443 -servername origin.example.com </dev/null 2>/dev/null | openssl x509 -noout -enddate错误现象对照
| 现象 | 常见原因 | 处理方向 |
|---|---|---|
| 502 回流错误 | 回源端口或协议不匹配 | 核对源站监听与回源配置 |
| 504 回源超时 | 源站响应慢或端口不通 | 直连源站压测响应时间 |
| 间歇性失败 | 多源站配置不一致 | 逐个源站验证 |
| HTTPS 回源失败 | 源站证书过期或链不全 | 更新源站证书 |
协议跟随可省掉两套配置，但要求源站的 HTTP 与 HTTPS 都健康；任一异常都会放大故障面，配置前先确认两端都可用。
回源流量通常单独计费，源站带宽不足时回源会成为瓶颈：命中率下降会同时抬高成本与故障率。