出口 IP 白名单把两个独立变化的系统绑定在一起：代理出口池与目的端访问策略。任何一侧提前变更，都可能拒绝合法流量；旧条目长期不删，又会让策略失真并增加审计难度。安全切换应采用有计划的重叠窗口，而不是一步替换。
本手册适用于获得授权的合作方 API、数据库网关、文件传输服务及内部应用，覆盖静态数据中心出口、合同明确支持的专用住宅出口、区域代理网关，以及 IPv4/IPv6 混合环境。
一、确认 IP 白名单适合当前场景
IP 地址标识的是网络路径，不是用户或工作负载身份。规划前确认目的端仍使用应用层鉴权与传输保护，例如 API 密钥、双向 TLS、签名请求或用户凭据。不要把 IP 规则当成唯一身份控制。
记录白名单的业务原因、负责人、目标端口，以及来源地址是否由组织独占。共享代理出口未必具备白名单所假设的身份属性；若目的端要求专用地址，应先与代理服务确认。
二、建立旧地址到新地址的版本化清单
每条出口路径建立一行，记录旧地址与拟用新地址、地址族和最小正确 CIDR、代理产品与区域、网关和池、依赖该条目的目的端与端口、双方负责人、UTC 格式的首次观察和计划下线时间、验证状态与回滚状态。
应在真实运行环境解析主机名，但 DNS 结果不能证明实际出口。通过代理向获准的地址观察端点发送请求，再将观察到的来源地址与清单比对。所有工作节点、区域、地址族和故障转移路径都要重复验证。
如果地址池变化频繁，先使用住宅代理地址池波动监控。高频变化的共享池通常不适合静态白名单，需要重新设计访问控制。
三、变更策略前定义成功与回滚标准
最低成功标准包括：新出口能完成鉴权和目标业务事务；重叠窗口内旧出口继续可用；任何直连或未批准路径都不能访问；拒绝率、延迟和应用错误保持在基线内；目的端最终规则与审核清单完全一致。
同步定义回滚触发器，例如连接拒绝上升、观察到错误来源地址、网络放行后应用鉴权失败、延迟明显退化或某区域缺失。指定一名可恢复代理路由的负责人，并指定另一名可恢复目的端策略的负责人。
四、先增加新条目，再迁移流量
采用加法阶段：
- 冻结已审核的旧、新清单版本。
- 在目的端加入新地址，暂不删除旧地址。
- 通过目的端控制面或第二审核人确认实际规则。
- 从每个新出口执行低影响、已授权的测试事务。
- 记录观察到的来源地址、目的端响应类别、鉴权结果和时间。
仅能建立 TCP 连接并不代表迁移成功。网络已放行时，应用仍可能因为令牌、租户、证书或资源范围而拒绝。必须使用非破坏性数据测试完整业务流程。
不要为了让测试通过而扩大 CIDR。过宽前缀可能接纳无关客户或未来地址，应停止变更并核对清单。
五、用金丝雀流量验证路由切换
将一小部分可识别、结果可预期的工作负载切到新出口。限制重试次数，避免策略拒绝演变成请求风暴。
至少观察四层证据：网络层的连接结果与来源地址；代理层的网关状态、鉴权和区域；目的端的访问决策和应用状态；业务层的有效结果数量与延迟。只有完整链路成功，才逐步按区域和地址族扩大流量。
不要在同一个不透明变更中同时迁移供应商、轮换凭据、修改 DNS 并替换白名单。更广泛的顺序可参考代理供应商迁移手册。
六、分别验证 IPv4、IPv6 与故障转移
双栈应用可能在解析器、操作系统或网络变化后切换地址族。若两者均受支持，应明确测试 IPv4 与 IPv6，并记录各自实际出口和目的端决策。
还要强制触发计划中的故障转移路径。长期未演练的备用网关，可能使用白名单中不存在的地址。区域恢复池、第二供应商、灾备节点和来自不同网络的定时任务都要验证。
可结合多区域代理路由策略测试，确认策略选择与实际地理位置一致。
七、让重叠窗口覆盖隐藏客户端
旧、新条目同时生效的时间应覆盖实际工作负载周期。小时级任务可能只需数小时，周度结算或报表任务则可能需要一周以上。
重叠期间持续查找仍使用旧出口的流量，并按工作负载负责人、目的端、区域和最后出现时间分组。主应用完成迁移不代表所有路径都已迁移，低频任务、人工工具和恢复流程常常更晚出现。
必须设置明确结束时间和例外流程。无限期重叠会把受控迁移变成永久扩权。
八、以第二次受控变更删除旧条目
旧路径在约定观察期内保持安静后：
- 保存当前目的端策略和旧清单版本。
- 只删除审核确认的旧地址。
- 将结果规则与新清单逐项比对。
- 从所有新出口和故障转移路径强制新建测试。
- 在安全可行时确认旧出口已被拒绝。
- 在回滚窗口内继续监控拒绝与业务结果。
回滚应恢复窄范围旧条目，并在必要时把受影响工作负载切回旧池；不能关闭鉴权或开放大范围网段。
九、留存证据但不暴露秘密
保存策略版本、变更单、目的端、区域、地址族、观察到的来源地址、响应类别和 UTC 时间。令牌、Cookie、代理凭据、私钥和包含个人或客户数据的响应正文必须脱敏。
指标应区分连接拒绝、代理鉴权失败、目的端鉴权失败、限流、超时和无效业务结果。把所有错误都归为“代理 IP 不好”，只会诱发无意义的轮换并掩盖真实故障层。
切换检查清单
- 已记录业务目的与双方负责人。
- 新出口的独占程度满足目的端要求。
- 旧、新地址均通过真实代理路径观察。
- IPv4、IPv6、全部区域与故障转移均已盘点。
- 成功指标和回滚阈值已确认。
- 新条目先于流量迁移加入。
- 完整授权业务事务已通过金丝雀验证。
- 重试量保持受控。
- 重叠窗口覆盖低频任务。
- 旧条目在单独审核变更中删除。
- 最终策略与新清单完全一致。
- 日志不含秘密与非必要载荷。
常见问题
可以用主机名代替 IP 白名单吗？
只有目的端控制明确支持基于主机名的策略，并定义了解析与更新行为时才可以。许多网络控制仍判断实际来源地址，应确认真实机制。
应该允许整个供应商地址段吗？
通常不应该。应使用供应商合同和目的端策略支持的最窄地址或前缀，过宽范围会削弱隔离并增加审计难度。
新旧地址要重叠多久？
应覆盖正常和低频工作周期，并包含受监控的回滚期。迁移前确定时长，延长时必须有记录明确的例外。
实际出口与供应商清单不一致怎么办？
立即停止扩量，核对网关、区域、地址族、路由配置和地址分配。在原因明确前不要扩大目的端规则。
合规说明
来源 IP 访问规则只能用于已获授权的系统和集成。持续保留应用鉴权，遵守合作方及适用地区要求，最小化连接数据留存，不得借白名单变更绕过目的端控制、速率限制或访问约束。
