回源是 WAF 的取内容通道
WAF 作为反向代理，客户端请求先到 WAF，再由 WAF 回源（向源站发起请求）取内容返回。回源配置正确与否直接决定业务能不能打开：源站地址、回源端口、回源 Host、HTTPS 回源的证书校验与 SNI，任一环节不符都会表现为 502 或返回错误站点。多源站场景还要配健康检查与故障节点剔除。
基本信息
| 源站地址 | IP 或域名，多源站按权重或优先级负载 |
|---|---|
| 回源端口 | 80/443 或自定义端口，需与源站监听一致 |
| 回源 Host | 决定源站用哪个虚拟主机响应，写错会返回默认站点 |
| HTTPS 回源 | 证书校验与 SNI 需与源站证书域名匹配 |
| 安全加固 | 源站只放行 WAF 回源地址，避免被绕过直连 |
典型使用场景
- 新站点接入 WAF，配置源站与回源 Host
- 源站扩容新增节点，需要加入 WAF 后端列表
- 源站迁移（换 IP 或换云）后同步更新回源地址
- HTTPS 回源证书过期导致 502，排查证书链
- 源站被直连攻击，改为只放行 WAF 回源地址
回源排查顺序
回源排查顺序
# 1. 从 WAF 侧测试到源站端口的连通性
# 2. 核对回源 Host 与源站虚拟主机、证书域名是否一致
# 3. HTTPS 回源检查证书有效期与证书链完整性
# 4. 直连源站验证服务本身正常（排除应用故障）
# 5. 确认源站只放行 WAF 地址，且 WAF 出口地址未变更
# 6. 多源站场景检查健康检查与故障节点剔除状态常见现象与原因
| 现象 | 常见原因 |
|---|---|
| 502 Bad Gateway | 源站端口不通、服务未监听或回源被安全组拦截 |
| 返回默认站点页面 | 回源 Host 与源站虚拟主机不匹配 |
| 回源证书报错 | 证书过期、域名不符或证书链不完整 |
| 部分请求失败 | 多源站中某节点异常且健康检查未剔除 |
| 直连能开经 WAF 打不开 | 回源配置错误或源站未放行 WAF 地址 |
回源失败时先用直连验证源站服务是否正常，再查 WAF 链路，能快速区分是应用问题还是配置问题。
源站若同时对外直接暴露，攻击者可以绕过 WAF 直连源站，防护价值大幅下降；源站侧应按白名单只允许 WAF 回源。