在生产流量依赖代理前，如何执行故障转移恢复演练

代理集成能够换到另一个 IP，并不等于具备可靠容灾能力。真实故障发生时，替代路由必须在业务时限内变得可用，保持所需地区和协议，不产生重复副作用，并留下足够证据解释恢复过程。

受控故障转移演练会在生产依赖之前测试整条恢复链。目标不是对服务商或目标站点制造高压故障，而是在测试环境中注入一个小型、获准的故障，观察系统决策，并证明恢复既快又正确。

用业务结果定义恢复

演练前写清恢复契约：最大恢复时间、恢复期间和恢复后的最低有效成功率、允许的地区与地址族、代理协议、粘性会话是否允许更换出口、最大重试和路由获取次数、禁止自动重放的操作、重复和缺失记录上限、回退条件，以及证据保存规则。

示例契约可以要求：20 秒内得到新的有效路由、直连回退始终为零、非幂等操作不得重放、仍位于目标国家，并且有效记录可完整核对。阈值只是示例，应根据真实业务设定。

分开五个恢复层级

不要把所有问题都归结为“换 IP”。

目标站点的策略信号不是不断更换地址的许可。应按其规则停止或重新安排任务。

选择安全的故障注入方式

只在自有或明确获准的端点和账号上执行演练。优先使用本地或自有测试服务可以控制的故障：关闭一个客户端连接、暂时从测试路由集中移除一个网关、使测试专用合成会话过期、让自有端点返回受控超时、在测试调度器中把一个路由标记为不健康，或在提交检查点后重启一个隔离工作进程。

不得制造流量洪峰、攻击无关基础设施、诱导目标站点封禁或使线上凭据失效。不得通过违反站点访问规则来测试恢复机制。

构建三阶段演练

阶段一：稳定基线

以低而固定的负载使用主路由，记录连接成功率、首次成功率、p50 和 p95 延迟、内容有效率、活跃会话数以及每个有效结果的成本，并确认直连回退已被阻止。

阶段二：受控故障

注入一个故障，并用单调时钟记录时间。冻结无限重试。调度器应先归类故障，判断它是否符合故障转移条件，再隔离不健康路由并获取获准替代路线。

阶段三：恢复与观察

继续执行最小的代表性负载，测量第一个有效业务结果何时恢复、成功率何时稳定，以及会话、地区、数据和成本条件是否仍然通过。

第一次收到 HTTP 成功响应时不要结束演练。只有业务验证与核对检查全部通过，恢复才算完成。

让同一个操作贯穿全部尝试

为初始请求和所有允许的重试保留同一个操作 ID，把每次路由获取记录为子事件，而不是新的业务操作。建议记录操作 ID、尝试 ID、故障 ID、单调开始时间、市场、协议、会话策略、网关标签、路由令牌、故障层、转移原因、恢复动作、内容有效性、重复保护结果、传输字节和最终结果。

在无需保存原始 IP 时，应对出口标识做哈希或令牌化。不要记录代理密码、带凭据 URL、授权头、Cookie、个人数据或不受控响应正文。

正确计算恢复时间

至少记录三种时间：

1. 检测时间：从注入故障到确认分类；
2. 路由恢复时间：从完成分类到替代路由连通；
3. 业务恢复时间：从注入故障到第一个验证通过的结果。

同时测量稳定时间，即成功率和延迟恢复到允许区间所需的时长。多次演练后报告 p50、p90 和 p95；较快的中位数可能掩盖很长的恢复尾部。

防止重复副作用

故障转移经常会重试最终状态不确定的操作，这对购买、提交、账号变更等非幂等动作十分危险。

• 自有应用支持时使用幂等键；
• 把工作交给新路由前先提交检查点；
• 把只读采集与状态变更动作分开；
• 不自动重放完成状态未知的操作；
• 核对源事件、有效记录与下游写入；
• 把含糊操作放入隔离队列人工审核。

替代连接成功并不能证明上一次尝试没有产生副作用。

显式测试会话行为

对旋转会话，确认仅在策略允许时取得不同的有效路由。对粘性会话，定义必须保留的身份：精确 IP、国家、地区、ASN、Cookie 状态或应用账号。

测量精确 IP 保留或受控变化率、地理位置保持率、认证与 Cookie 连续性、意外会话重置率、故障边界丢失操作数，以及有效替代会话的获取时间。如果业务无法承受 IP 变化，静态或更长生命周期会话可能比激进轮换更合适。

阻止故障转移风暴

如果每层独立重试，一个故障可能同时唤醒数千个工作进程。应使用单一重试策略所有者、带抖动的指数退避、全局与目标级并发限制、网关或市场熔断器、同时路由获取上限、带优先级和截止时间的恢复队列，以及针对目标限速和访问限制的停止条件。

代理并发爬坡测试可确定安全负载；代理超时预算指南可确保检测、重试和恢复处于同一端到端时限内；若替代供应是疑点，可参考代理出口流失测量指南。

设置通过门槛

只有以下条件全部满足才算通过：故障被正确发现和分类；直连回退为零；替代路由符合协议和地区要求；业务恢复时间低于上限；重试和路由获取不超预算；禁止操作没有被重放；重复和缺失检查通过；有效成功率与尾延迟重新稳定；诊断中不含凭据和个人数据；恢复不达标时可以成功回退。

使用“通过、有条件通过、失败、不确定”四种结论，看到结果后不得修改原阈值。

演练检查清单

• 使用自有或明确获准目标。
• 固定浏览器、客户端、代理和负载版本。
• 注入故障前阻止直连。
• 每次只注入一种故障。
• 全部尝试使用同一个操作 ID。
• 测量检测、路由恢复、业务恢复与稳定时间。
• 验证地区、协议、地址族和会话要求。
• 核对重复、遗漏与含糊写入。
• 限制重试、并发与路由获取。
• 测试回退和降级模式。
• 从证据中移除秘密和不必要的个人数据。
• 在每个关键市场及第二个获准时段重复。

常见问题

多久执行一次代理故障转移演练？

客户端、网关、会话逻辑或重试策略发生重大变化后应执行，并根据业务风险定期重复。旧系统通过的演练不能覆盖已经改变的新系统。

得到一个新 IP 就足够了吗？

不够。新路由必须在恢复时限内满足协议、地区、会话和业务验证条件。

429 是否应触发故障转移？

不应自动触发。它可能是目标限速信号。先按目标规则降低或停止流量并归类原因，再决定是否改变路由。

最重要的指标是什么？

业务恢复时间是很强的汇总指标，但必须结合数据完整性、重复保护、位置有效性和重试成本一起判断。

合规说明

代理故障转移测试仅应用于合法、获准系统与公共数据流程。遵守目标条款、服务商合同、隐私要求和速率限制。不得利用故障转移规避访问控制、忽略停止信号或掩盖滥用流量。演练报告不得包含凭据、Cookie、个人信息或敏感目标地址。