流量入口切换执行手册
最后切入口，先把每条真实访问路径验证完
图：入口切换是独立变更；每一批流量都要通过技术指标和业务指标门槛。
- DNS、负载均衡、WAF、CDN、证书、API 域名和第三方回调的跨云切换
- 单服务器、传统架构和 Kubernetes 双环境的分阶段引流
- 通过权重、灰度域名、CDN 回源或 DNS 记录完成的入口迁移
如果业务无法区分读写、缺少健康检查或不支持两套环境并行，应先修复这些条件，再安排入口切换。
- 盘点权威 DNS、记录、TTL、DNSSEC、证书、CAA 和域名实名认证责任人
- 盘点 SLB/ELB/CLB 监听、协议、健康检查、会话保持、源 IP 与超时
- 盘点 WAF 规则、白名单、Bot/限流、真实客户端 IP 头和日志
- 盘点 CDN 域名、回源、缓存键、缓存规则、签名、防盗链和预热刷新
- 盘点第三方回调、Webhook、支付、短信、邮件与出口 IP 白名单
- 定义错误率、延迟、核心交易、资源水位和数据一致性的通过阈值
- 明确变更负责人、业务确认人、回滚执行人和观察时间
| 能力 | 迁移方式 | 必须重新验证 |
|---|---|---|
DNS | 在目标 DNS 重建或保留现有权威 DNS，只修改记录 | TTL、DNSSEC、CAA、递归缓存与回滚记录 |
负载均衡 | 在目标云重建监听、后端、健康检查与证书 | 协议、超时、会话、源 IP、连接排空 |
WAF | 重建规则并先观察后拦截 | 白名单、误报、真实 IP、日志和应急绕行 |
CDN | 重建域名、回源、缓存与签名 | 缓存键、Range、压缩、跨域、预热和刷新 |
证书 | 在目标服务安全导入或重新签发 | 完整证书链、SNI、续期、私钥权限 |
入口能力通常不能从源云一键复制。即使规则名称相同，匹配语义、默认超时和日志字段也可能不同。
- DNS、证书、WAF 与负载均衡使用独立变更身份和多人复核，不共享主账号。
- 私钥通过证书管理或受控密钥系统导入，不出现在代码库、终端记录和工单附件。
- 目标端在接流前启用访问日志、WAF 日志、监控与告警，并限制管理面来源。
- 临时灰度域名不得绕过身份鉴权或暴露内部调试接口。
- 迁移结束后撤销源端临时回源白名单、测试证书和过宽安全组。
- 使用不公开的测试域名指向目标入口，验证 HTTP/HTTPS、SNI、证书链和重定向。
- 覆盖首页、API、上传下载、WebSocket、长连接、大文件、Range 和跨域请求。
- 验证负载均衡健康检查、会话、连接排空、超时和真实来源 IP。
- 将 WAF 先置于观察模式，回放代表请求并处理误报。
- 验证 CDN 缓存键、命中、回源、签名、刷新、预热和错误页。
- 模拟目标入口故障并执行回切，记录 DNS 与连接缓存的实际收敛时间。
这里的“全量”指完整重建入口配置，而不是立即引入全部流量：
- 用版本化清单重建所有域名、记录、监听、证书、规则、回源与日志。
- 逐项比对源目标配置，明确保持、替换和废弃项。
- 预热 CDN 热点内容、WAF 规则、连接池和目标端自动伸缩容量。
- 提前把新出口 IP、回调域名和证书加入第三方白名单。
- 在低风险域名或内部用户上先完成一条端到端真实路径。
入口不存在传统数据增量，但重建到切换期间的配置变更必须同步。建立变更冻结或双录机制：源端任何 DNS、WAF、CDN、证书和负载均衡修改，都要同步审查目标端。
降低 TTL 只影响后续递归缓存，并不能保证所有客户端按 TTL 更新。至少提前一个旧 TTL 周期修改，且不要把 DNS 作为唯一秒级回滚手段。
- 全球或目标用户区域的 DNS 解析、TTL、IPv4/IPv6、DNSSEC 和证书链
- HTTP 状态、重定向、Header、Cookie、会话、WebSocket、上传和大文件下载
- 真实来源 IP、访问日志、WAF 误报、限流、Bot 与黑白名单
- CDN 缓存命中、缓存键、回源、Range、压缩、跨域、签名和刷新
- 错误率、P95/P99、吞吐、连接、后端健康、资源水位和核心业务指标
- 第三方回调、支付通知、Webhook、邮件短信和外部白名单
- 宣布冻结，确认资源迁移、数据追平、目标容量、监控和回滚已通过。
- 先引入内部、测试租户或 1%—5% 流量，观察一个完整业务周期。
- 按批准梯度提升到 10%、25%、50%、100%，每批都重新检查技术与业务门槛。
- 使用权重或回源切换时保留源端健康；使用 DNS 时同时监控两套环境。
- 全量后保持源入口和证书可用，进入观察期，不立即删除记录或源端负载均衡。
每个批次都必须有自动或人工触发阈值。达到阈值时停止扩量，把权重、回源或记录恢复到已保存的源值，随后停止目标端会冲突的消费者和任务。
DNS 回滚受缓存影响，不能立刻让所有连接返回源端；因此源目标需在回滚窗口内同时具备服务能力。目标端已经产生的新写入按数据库、对象存储或应用补偿方案处理。
- 双份负载均衡、WAF、CDN、证书托管、DNS 与日志费用
- CDN 预热/刷新、回源、跨云流量和缓存未命中的额外费用
- 临时公网带宽、EIP、NAT、DDoS 防护和跨云专线费用
- 全量观察期内两套应用容量和应急值守成本
核验日期：2026-07-14。DNS、WAF、CDN 和负载均衡支持会随产品与地域变化，正式变更前重新核对当前厂商文档和账号配置。本手册未声称已对所有入口组合做实际迁移测试。
Built with