高防节点是飞马游戏盾承接玩家连接、抵御 DDoS 与 CC 流量并把清洗后业务送往源站网关的入口。节点程序安装成功只是第一步，公网地址、玩家通信端口、管理端口、回源隧道端口、证书和防火墙必须全部正确，节点才能真正加入游戏盾系统。
本文面向准备自建游戏盾、部署高防服务器或接入 NAT 高防节点的用户，完整介绍飞马游戏盾高防节点的部署流程、端口作用、安全边界和上线检查。
一、部署前准备
准备一台拥有可用公网入口的 Windows 高防服务器或符合条件的 NAT 节点，并确认：
- 操作系统仍在支持范围内并已安装安全更新；
- 高防服务商已经完成清洗线路和端口转发；
- 节点公网地址、可用端口和带宽信息明确；
- 当前飞马游戏盾授权仍有效并有可用节点额度；
- 系统防火墙和云安全组可以配置入站规则；
- 服务器时间与标准时间同步；
- 没有其他程序占用计划使用的端口。
不要把游戏源站、数据库和高防节点混装在同一台公开服务器上。飞马游戏盾的设计目标是由高防节点暴露公网入口，源站通过网关回源，减少源站地址直接暴露。
二、三个节点端口分别做什么
飞马游戏盾高防节点使用三类独立端口：
| 端口类型 | 用途 | 放行要求 |
|---|---|---|
| 玩家通信端口 | 接收 Windows、Android、iOS 客户端的游戏盾连接 | 对玩家网络开放 TCP，按当前版本与业务能力配置 UDP |
| 节点管理端口 | 节点接入、状态同步、证书读取与维护 | 仅向受信任的管理来源开放 TCP |
| 回源隧道端口 | 接收源站网关主动建立的认证通道 | 对源站网关出口开放 TCP |
三个 TCP 端口必须互不相同。安装工具会给出当前版本默认值，但部署文章不建议把默认端口当成永久规则，应以安装界面和节点实际配置为准。
管理端口不能和玩家端口一样对全网随意开放。管理链路关系到节点配置、证书和运行状态，应使用最小访问范围。
三、下载并安装飞马游戏盾高防节点
- 在飞马游戏盾节点管理或节点市场中下载当前版本的高防节点部署包；
- 把完整部署包放到高防服务器本地目录，不要只复制其中一个 EXE；
- 使用管理员权限运行节点管理工具或部署程序；
- 输入节点公网 IP、玩家端口、管理端口和回源隧道端口；
- 等待工具创建配置、证书、Windows 服务和防火墙规则；
- 保存工具显示的节点接入信息，不要公开发送；
- 确认节点服务保持运行，管理端口已经监听。
新版飞马游戏盾高防节点以 Windows 服务方式运行，关闭安装窗口不会停止节点。更新时不要在服务运行状态下直接覆盖程序文件，应使用节点管理工具的升级流程。
四、把节点加入飞马游戏盾系统
部署完成后，在对应的节点管理入口填写：
- 节点公网 IP 或分配的 NAT 公网入口；
- 玩家通信端口；
- 节点管理端口；
- 回源隧道端口；
- 管理证书 SHA-256 指纹；
- 部署工具生成的接入密码；
- 节点地区、线路名称和带宽信息；
- 是否具备经过验证的 UDP 能力。
飞马游戏盾会连接节点管理端口，验证接入密码和证书，读取玩家端证书指纹，并把节点绑定到当前授权。节点私钥保留在节点服务器，不会写入游戏客户端。
如果提示“无法连接节点管理端口”，先检查节点服务、端口监听、云安全组和系统防火墙，而不是反复生成接入密码。
五、NAT 高防节点如何部署
飞马游戏盾支持符合条件的 NAT 节点。NAT 节点没有独占全部公网端口，因此必须分别确认服务商实际分配的：
- 玩家公网端口及其内网映射；
- 管理公网端口及其内网映射；
- 回源隧道公网端口及其内网映射。
控制台填写的是外部实际可访问的端口，节点本地配置则必须与 NAT 转发关系一致。三个公网端口同样不能相互冲突。
使用 NAT 高防服务器搭建飞马游戏盾可以降低早期节点成本，但仍要关注共享带宽、端口配额、清洗策略和同一公网 IP 的资源限制。价格低不等于适合所有实时游戏业务，应通过真实玩家网络测试延迟和稳定性。
六、防火墙应该如何放行
建议按最小权限配置：
- 玩家通信端口允许目标玩家网络访问；
- 回源隧道端口允许源站网关出口访问；
- 管理端口只允许飞马游戏盾受信任管理来源访问；
- 禁止与节点无关的数据库、远程管理和文件共享端口对公网开放；
- UDP 只放行经过实际验证的业务和节点端口；
- 云安全组与 Windows 防火墙保持一致。
不要通过永久关闭防火墙解决部署问题。短时验证发现是防火墙原因后，应立即恢复防火墙并添加明确规则。
七、证书与时间为什么重要
客户端会验证飞马游戏盾签名的节点路由，并固定节点玩家证书指纹；源站网关与高防节点之间也使用双向认证通道。证书或指纹不匹配时，连接应被拒绝，而不是降级为不安全明文转发。
系统时间偏差过大会影响短期凭据、证书和路由有效期。节点上线前应确认时间同步正常。更换节点证书后，需要按当前工具流程重新接入或更新固定指纹。
八、节点上线后如何验证
不要只看“在线”两个字。至少验证：
- 节点服务持续运行；
- 三类端口监听与公网映射正确；
- 控制台能读取节点状态和版本；
- 当前游戏盾已经分配该节点；
- 源站网关成功建立回源隧道；
- 测试客户端能取得该节点并通过证书验证；
- TCP 与声明的 UDP 能力分别测试；
- 游戏公告、登录、选服和进服全部正常；
- 节点下线时，客户端能够切换到其他健康节点；
- 带宽和连接数据与实际测试相符。
完整验收可继续阅读：飞马游戏盾高防节点上线验收与维护清单。
九、常见部署错误
- 把玩家、管理和回源端口设置成相同值；
- 云安全组放行了端口，但 Windows 防火墙没有放行；
- NAT 节点填写了内网端口而不是公网映射端口；
- 节点接入到另一个分销授权，当前平台无法再次绑定；
- 复制旧节点目录，导致证书和身份重复；
- 声明支持 UDP，但实际安全组或上游 NAT 只转发 TCP；
- 节点在线，却没有部署源站网关；
- 只部署一个节点，却期望发生节点故障时无感切换；
- 更新程序时直接覆盖正在运行的服务文件。
十、飞马游戏盾节点部署的价值
自建高防游戏盾不只是把一个端口转发到游戏服务器。还需要短期授权、证书固定、节点健康检查、智能调度、TCP/UDP 通讯、源站网关、版本升级和故障回滚。
飞马游戏盾把这些能力整合为可交付的游戏盾系统。用户可以使用自有高防服务器或合适的 NAT 节点扩展资源池，通过飞马盾控制台完成节点接入、授权分配和运行观察，减少从零研发游戏盾节点程序和调度体系的成本。
下一步请根据源站系统选择：Linux 源站网关部署教程 或 Windows 源站网关部署教程。