代理IP源目的检查关闭怎么判断？先分清应用代理与ECS转发

代理IP源目的检查关闭，是阿里云 ECS 承担转发节点时常见的排查项：客户端能连到实例，流量却到不了下一跳，或返回包在云侧被丢弃。不过，“代理无法使用”并不等于一定要关闭这个开关。源/目的检查属于弹性网卡的云平台校验；它与浏览器里的代理设置、Linux 的 IP 转发开关、VPC 路由表和安全组分别处在不同层。改错层既不能修复故障，还会减少一项防止 IP 欺骗的保护。

阿里云源/目的检查说明指出：开启后，网卡只接收目标为自身 IP 的包，只允许源 IP 为自身 IP 的包发出。ECS 作为 NAT、路由器、VPN 节点或特定自建负载均衡器，可能需要处理源或目的并非该网卡地址的报文。是否关闭，应以真实报文路径和目标网卡为依据。

先画出流量路径，再决定是否需要关闭

以自有 VPC 内的业务机 A、转发 ECS B 和目标服务 C 为例。若 A 把访问 C 的报文交给 B，B 需要把原报文转到 C，B 的网卡可能看到“目的不是自己”或“源不是自己”的流量。阿里云的网卡检查调整公告将 NAT、路由、防火墙转发等列为可能受影响的场景。

但若 A 连接 B 上的 HTTP 或 SOCKS 代理端口，B 的代理进程接收连接后再以 B 自己的地址发起新连接，通常应先检查监听端口、认证、代理协议和出站路由。仅凭“服务名字叫代理”不能推断必须关闭源/目的检查。可用下面的表确定优先级：

在控制台只修改承载转发流量的网卡

变更前记录 ECS 实例 ID、地域、主辅网卡 ID、私网地址、当前开关状态、路由表和测试时间。多网卡实例尤其要确认入口与出口各是哪块 ENI，不要只看实例名。随后在阿里云 ECS 控制台进入弹性网卡，选对地域和目标 ENI，在详情页“源/目的检查”字段切换状态；也可通过 ModifyNetworkInterfaceAttribute 设置 SourceDestCheck=false，再用 DescribeNetworkInterfaceAttribute 查询结果。具体入口与参数以阿里云文档为准。

此操作只改变云平台对该网卡报文的校验，不会自动创建路由、开启 Linux 内核转发或放通安全组。阿里云VPC 路由表说明允许把下一跳设为 ECS 或 ENI；实际部署仍须核对源交换机关联的路由表、去程和回程下一跳、网卡所在安全组及网络 ACL。Linux 转发节点还要检查 net.ipv4.ip_forward、NAT/防火墙规则和对应接口。变更应先在小范围、可回退的维护窗口完成，保留原配置。

用三处观测确认故障点

先从业务机 A 向自有测试服务 C 发起可重复请求，同时在 B 的入口和出口分别观察相同时间窗口的报文。若入口没有包，先查 A 的路由及 VPC 下一跳；入口有包、出口没有包，再查 B 的内核转发与防火墙，并核对该 ENI 的源/目的检查；出口有包却无响应，则查 C 的访问控制与回程路由。仅看到代理端口可连接，不能证明转发路径完整。

关闭检查后，至少验证三项：A 到 C 的请求成功且响应能原路返回；B 自身正常业务不受影响；重启或配置下发后状态、路由和安全组仍与设计一致。再以一个不应访问 C 的测试源验证隔离规则依旧生效。若故障仍在，恢复原开关状态并依据抓包位置继续排查，不要连续放宽多个安全控制来“碰运气”。

代理IP源目的检查关闭的关键，是识别 ECS 是否真的在转发别人的 IP 报文，并定位经过哪块网卡。若问题发生在普通代理连接本身，可先参考代理IP验证方法检查出口、请求头与稳定性。需要选择代理协议、地区或接入方式时，再查看悟空代理官网当前产品说明，并用自有测试环境完成验收。