在正式流量依賴代理前，如何執行故障轉移復原演練

代理整合能夠換到另一個 IP，並不等於具備可靠容災能力。真實故障發生時，替代路由必須在業務時限內變得可用，保持所需地區與協定，不產生重複副作用，並留下足夠證據解釋復原過程。

受控故障轉移演練會在正式環境依賴之前測試整條復原鏈。目標不是對服務商或目標網站製造高壓故障，而是在測試環境中注入一個小型、獲准的故障，觀察系統決策，並證明復原既快又正確。

用業務結果定義復原

演練前寫清復原契約：最大復原時間、復原期間及之後的最低有效成功率、允許的地區與位址家族、代理協定、黏性工作階段是否允許更換出口、最大重試與路由取得次數、禁止自動重播的操作、重複與缺失記錄上限、回退條件，以及證據保存規則。

範例契約可以要求：20 秒內取得新的有效路由、直接連線回退始終為零、非冪等操作不得重播、仍位於目標國家，並且有效記錄可完整核對。門檻只是範例，應依真實業務設定。

分開五個復原層級

不要把所有問題都歸結為「換 IP」。

目標網站的政策訊號不是不斷更換位址的許可。應依其規則停止或重新安排工作。

選擇安全的故障注入方式

只在自有或明確獲准的端點和帳號上執行演練。優先使用本機或自有測試服務可以控制的故障：關閉一個用戶端連線、暫時從測試路由集中移除一個閘道、使測試專用合成工作階段過期、讓自有端點回傳受控逾時、在測試排程器中把一個路由標記為不健康，或在提交檢查點後重啟一個隔離工作程序。

不得製造流量洪峰、攻擊無關基礎設施、誘導目標網站封鎖或使正式憑據失效。不得透過違反網站存取規則來測試復原機制。

建立三階段演練

階段一：穩定基線

以低而固定的負載使用主路由，記錄連線成功率、首次成功率、p50 與 p95 延遲、內容有效率、活躍工作階段數及每個有效結果的成本，並確認直接連線回退已被阻止。

階段二：受控故障

注入一個故障，並用單調時鐘記錄時間。凍結無限重試。排程器應先分類故障，判斷它是否符合故障轉移條件，再隔離不健康路由並取得獲准替代路線。

階段三：復原與觀察

繼續執行最小的代表性負載，測量第一個有效業務結果何時恢復、成功率何時穩定，以及工作階段、地區、資料與成本條件是否仍然通過。

第一次收到 HTTP 成功回應時不要結束演練。只有業務驗證與核對檢查全部通過，復原才算完成。

讓同一個操作貫穿全部嘗試

為初始請求與所有允許的重試保留同一個操作 ID，把每次路由取得記錄為子事件，而不是新的業務操作。建議記錄操作 ID、嘗試 ID、故障 ID、單調開始時間、市場、協定、工作階段策略、閘道標籤、路由權杖、故障層、轉移原因、復原動作、內容有效性、重複保護結果、傳輸位元組及最終結果。

在無需保存原始 IP 時，應對出口標識做雜湊或權杖化。不要記錄代理密碼、帶憑據 URL、授權標頭、Cookie、個人資料或不受控回應正文。

正確計算復原時間

至少記錄三種時間：

1. 偵測時間：從注入故障到確認分類；
2. 路由復原時間：從完成分類到替代路由連通；
3. 業務復原時間：從注入故障到第一個驗證通過的結果。

同時測量穩定時間，即成功率與延遲恢復到允許區間所需的時長。多次演練後報告 p50、p90 與 p95；較快的中位數可能掩蓋很長的復原尾部。

防止重複副作用

故障轉移經常會重試最終狀態不確定的操作，這對購買、提交、帳號變更等非冪等動作十分危險。

• 自有應用程式支援時使用冪等鍵；
• 把工作交給新路由前先提交檢查點；
• 把唯讀蒐集與狀態變更動作分開；
• 不自動重播完成狀態未知的操作；
• 核對來源事件、有效記錄與下游寫入；
• 把含糊操作放入隔離佇列人工審核。

替代連線成功並不能證明上一次嘗試沒有產生副作用。

明確測試工作階段行為

對輪換工作階段，確認僅在策略允許時取得不同的有效路由。對黏性工作階段，定義必須保留的身分：精確 IP、國家、地區、ASN、Cookie 狀態或應用帳號。

測量精確 IP 保留或受控變化率、地理位置保持率、驗證與 Cookie 連續性、意外工作階段重設率、故障邊界遺失操作數，以及有效替代工作階段的取得時間。如果業務無法承受 IP 變化，靜態或更長生命週期工作階段可能比激進輪換更合適。

阻止故障轉移風暴

如果每層獨立重試，一個故障可能同時喚醒數千個工作程序。應使用單一重試策略所有者、帶抖動的指數退避、全域與目標級並行限制、閘道或市場熔斷器、同時路由取得上限、帶優先順序和截止時間的復原佇列，以及針對目標限速和存取限制的停止條件。

代理並行爬坡測試可確定安全負載；代理逾時預算指南可確保偵測、重試與復原處於同一端到端時限內；若替代供應是疑點，可參考代理出口流失測量指南。

設定通過門檻

只有以下條件全部滿足才算通過：故障被正確發現和分類；直接連線回退為零；替代路由符合協定與地區要求；業務復原時間低於上限；重試和路由取得不超預算；禁止操作沒有被重播；重複和缺失檢查通過；有效成功率與尾延遲重新穩定；診斷中不含憑據和個人資料；復原不達標時可以成功回退。

使用「通過、有條件通過、失敗、不確定」四種結論，看到結果後不得修改原門檻。

演練檢查清單

• 使用自有或明確獲准目標。
• 固定瀏覽器、用戶端、代理與負載版本。
• 注入故障前阻止直接連線。
• 每次只注入一種故障。
• 全部嘗試使用同一個操作 ID。
• 測量偵測、路由復原、業務復原與穩定時間。
• 驗證地區、協定、位址家族與工作階段要求。
• 核對重複、遺漏與含糊寫入。
• 限制重試、並行與路由取得。
• 測試回退與降級模式。
• 從證據中移除秘密和不必要的個人資料。
• 在每個關鍵市場及第二個獲准時段重複。

常見問題

多久執行一次代理故障轉移演練？

用戶端、閘道、工作階段邏輯或重試策略發生重大變更後應執行，並依業務風險定期重複。舊系統通過的演練不能涵蓋已改變的新系統。

取得一個新 IP 就足夠了嗎？

不夠。新路由必須在復原時限內滿足協定、地區、工作階段與業務驗證條件。

429 是否應觸發故障轉移？

不應自動觸發。它可能是目標限速訊號。先依目標規則降低或停止流量並分類原因，再決定是否改變路由。

最重要的指標是什麼？

業務復原時間是很強的彙總指標，但必須結合資料完整性、重複保護、位置有效性與重試成本一起判斷。

合規說明

代理故障轉移測試僅應用於合法、獲准系統與公共資料流程。遵守目標條款、服務商合約、隱私要求與速率限制。不得利用故障轉移規避存取控制、忽略停止訊號或掩蓋濫用流量。演練報告不得包含憑據、Cookie、個人資訊或敏感目標位址。