高防节点显示在线，但玩家仍然无法连接游戏，最常见的原因是“节点在线”被误认为“整条回源链路正常”。节点只能证明自身服务和健康上报可用，节点到源站网关、网关到游戏服务仍需分别检查。
本文介绍高防节点、源站网关和游戏源站的分段排查方法，适用于公网源站与无公网源站模式。
一、先区分三种状态
节点在线
表示节点程序正在运行并能上报状态，不代表所有玩家端口、防火墙和回源通道都正常。
网关在线
表示源站网关已完成注册并保持控制或数据通道，不代表目标游戏服务一定监听。
业务可用
表示玩家通过实际 TCP 或 UDP 端口完成连接，节点能把流量送到网关，网关也能连接对应源站服务。
只有第三项才代表完整链路可用。
二、高防节点需要检查什么
- 节点程序是否为当前发布版本；
- 玩家端口、管理端口和网关通道端口是否监听；
- 云安全组和系统防火墙是否放行对应协议；
- 节点证书、身份和所属分销是否正确；
- 当前游戏盾是否确实分配了该节点；
- 节点是否处于维护、排空或带宽饱和状态；
- TCP 与 UDP 能力是否和转发规则一致；
- 节点时间是否准确，证书和短期凭据是否仍有效。
不要只使用 ping 判断节点。很多服务器禁用 ICMP，但业务 TCP 端口仍可用；反过来，ping 正常也不代表目标端口已放行。
三、网关部署后需要检查什么
- 网关服务是否运行并保持通道；
- 部署时绑定的游戏盾和网关身份是否正确；
- 网关证书与配置是否完整；
- 网关机器能否访问游戏源站地址；
- 公网模式与无公网源站模式是否选择正确；
- 一个游戏的全部 TCP、UDP 规则是否同步到网关；
- 更新版本后是否仍加载旧配置或旧服务文件。
无公网源站模式下，不需要先提供公网源站 IP，但源站网关必须主动连接可用高防节点。公网模式则要求节点或网关能够访问配置中的源站地址。
四、源站服务需要检查什么
在源站机器确认游戏服务实际监听的 IP、端口和协议。常见错误包括：
- 服务只监听某个本地地址，网关连接的地址不匹配；
- 配置填写了 TCP，但业务实际使用 UDP；
- 游戏更新后端口发生变化，转发规则没有同步；
- 系统防火墙只允许旧网关地址；
- 源站服务已退出，但进程管理器仍显示启动器存在；
- 端口被另一进程占用；
- 回源目标错误地指向网关本机入口，形成循环转发。
在网关机器测试到源站，而不是只在源站本机测试。本机连接成功只能证明服务监听，不能证明网关路径可达。
五、节点在线但全部端口都超时
按以下顺序排查：
- 从玩家网络测试节点实际业务端口；
- 查看节点是否收到对应时间的连接；
- 查看节点是否找到当前游戏盾的可用网关；
- 查看网关是否收到回源请求；
- 在网关机器连接目标源站端口；
- 查看源站游戏服务是否接受连接。
在哪一步第一次没有记录，问题通常就在该步骤之前或当前边界。
六、只有部分端口不通
部分端口正常说明节点和网关基础通道大概率可用。重点核对失败端口的：
- 协议是 TCP 还是 UDP；
- 入口端口和源站端口是否写反；
- 客户端平台是否选择正确；
- 规则是否已启用并同步；
- 源站是否真正监听该端口；
- 防火墙是否只遗漏了新端口。
批量添加端口后仍需逐条核对。批量功能减少输入工作，不会自动判断游戏内部每个端口的协议。
七、网关连接几秒后离线
常见原因包括证书或身份不匹配、网络出口不稳定、系统时间错误、旧服务残留、通道端口被拦截，以及真实 IP 透明模式改变了网关自身管理连接。
如果关闭真实 IP 后网关恢复，应先阅读真实 IP 专项排查，不要反复重装网关：游戏盾真实 IP 开启后无法连接怎么排查？
八、公网源站与无公网源站不要混用
公网源站模式适用于节点或网关能够直接访问源站公网地址的场景。无公网源站模式适用于家庭宽带、动态网络或没有公网入口的源站，由源站侧网关主动建立反向通道。
选择错误时可能出现：
- 公网地址为空，无法创建传统转发规则；
- 网关已经建立反向通道，但规则仍指向不可达公网地址；
- 同一端口同时存在两种回源方式，诊断结果混乱；
- 动态地址更新后客户端或规则继续引用旧目标。
一个业务应明确采用哪种接入方式，再配置对应网关和规则。
九、需要收集哪些日志
- 当前游戏盾、节点和网关版本；
- 节点与网关的在线时间和最后错误；
- 故障发生时间、玩家 IP 和目标端口；
- 节点连接阶段日志；
- 网关通道及回源连接日志；
- 源站监听结果与应用日志；
- 云安全组和系统防火墙对应端口规则；
- 是否启用 UDP、真实 IP或无公网源站。
不要把证书私钥、接入密码和数据库凭据放入日志或截图。
总览流程可阅读：游戏盾连接失败完整排查流程。如果链路可用但加载时间长，请阅读：游戏盾加载慢、获取公告失败怎么排查？。
飞马盾通过节点健康检查、网关状态、连接阶段日志和版本发布体系帮助定位回源问题。把节点在线、网关在线和业务可用分开验证，可以避免在错误的机器上反复修改配置。