技术实践cn2直连香港大陆路由优化与故障切换流程

1. 概述：CN2直连香港与大陆互联的价值与挑战

1) CN2（中国电信​CN2 GIA）提供更稳定的国际专线路径，适合对延迟及丢包敏感的服务。
2) 香港作为亚太枢纽，直连香港可减少中转、降低往返时延，对大陆用户体验提升显著。
3) 挑战包括：跨境链路波动、BGP策略不当、DDOS攻击与ISP侧封堵等。
4) 本文聚焦两方面：路由优化（BGP/策略/链路质量）与故障切换（主动检测+自动切换）。
5) 目标读者为网络工程师、运维与站点可靠性工程师，包含可复制的配置与实测数据示例。

2. 前期测量与指标收集（至少5项关键指标）

1) 延迟（RTT）：用ping和mtr测量不同时间段的均值与95分位。示例：HK->GZ CN2 RTT 26ms。
2) 丢包率：mtr/traceroute统计丢包节点，区分链路丢包与设备丢包。示例：非CN2丢包1.2%，CN2丢包0.1%。
3) 抖动（Jitter）：对实时音视频重要，测量连续包间变动。示例：CN2抖动<3ms。
4) 带宽（Throughput）：iperf3测双向带宽，评估链路承载。示例：iperf3单流可达500Mbps。
5) 路由收敛时间：观察BGP断链后多长时间完成路线切换，目标90s内切换完成。
6) 测量工具与频次：每5分钟采样mtr，mtr输出保留30条记录；CCU与业务峰值对比。

3. CN2路由优化实操步骤（配置与策略）

1) BGP邻居建立：示例邻居配置（示意）——本地AS 65010，邻居AS 9808（ISP），neighbor 203.0.113.10 remote-as 9808。
2) BGP属性优化：优先使用AS-PATH/LOCAL-PREF给CN2直连更高本地优先级（local-pref 200），非CN2设为100。
3) 社区过滤：使用ISP提供的社区号实现按需出口策略（如：社区 9808:1000 表示走CN2）。
4) 健康检查结合路由：用脚本调用BGP API或路由器脚本在链路丢包>1%或RTT>80ms时修改local-pref触发切换。
5) MTU与Path MTU探测：确保跨境链路MTU一致，避免分片导致性能下降，常用MTU 1500或8912（如支持jumbo）。
6) 日志与告警：配置SNMP/Netflow并在Prometheus+Grafana展示延迟、丢包与BGP状态。

4. 故障切换架构与Keepalived/脚本示例

1) 架构模式：主动-被动多链路（CN2主链路，备用链路为普通国际出口或备用CN2）。
2) Keepalived示例（核心要点）：使用VRRP实现虚拟IP漂移，health check脚本检查mtr和BGP邻居。
3) 健康检查脚本逻辑：若目标链路连续5次mtr平均丢包>1%或BGP邻居处于Idle，则返回DOWN触发切换。
4) 自动化开关路由：通过路由器API或写入RIB更改local-pref并广播；Linux端可通过bird/quagga或FRR实现BGP动态调整。
5) 切换演练：推荐在低峰窗口进行，每次切换记录收敛时间（秒）、业务丢包影响与回滚步骤。
6) 示例Keepalived简要配置（说明型）—— vrrp_script chk { script "/usr/local/bin/check_cn2.sh" interval 5 weight 50 }。

5. CDN与DDoS防御联动策略（至少5项措施）

1) CDN智能调度：将静态内容交给香港或大陆边缘节点，动态请求通过负载均衡转发至主站或备用链路。
2) 源站防护：结合WAF与速率限制，配置源站白名单仅允许CDN或特定ASN访问管理接口。
3) DDoS清洗链路：与清洗服务协同（ISP/第三方），在攻击时用BGP黑洞或转发到清洗器。
4) BGP黑洞与限幅：配置community触发ISP端黑洞或tarpit，例：9808:6666为黑洞。
5) 流量采样与溯源：NetFlow/sFlow+ELK用于异常流量检测，结合自动化规则触发清洗。
6) 灾备策略：当CN2受影响且清洗无法承载时，优先将流量导至全球CDN节点并在后端做异地回源。

6. 真实案例与配置数据演示（包含表格）

1) 案例背景：某在线教育平台在香港部署CN2直连至广州两个IDC节点，主链路CN2，备用链路公网。
2) 服务器配置（示例）：主站服务器：CPU 8 cores, RAM 32GB, OS Ubuntu 20.04, NIC 10GbE, 公网IP 203.0.113.10/32。
3) BGP配置示例要点：local-as 65010, neighbor 203.0.113.1 remote-as 9808, set local-pref 200 for community 9808:1000。
4) 故障切换观测：在一次跨港光缆维护中，CN2主链路RTT上升至120ms并伴随丢包，系统自动切换至备用链路并恢复业务。
5) 下表为切换前后关键指标对比（表格居中，边框宽度为1，文字居中）：

链路/指标	RTT均值(ms)	丢包(%)	抖动(ms)
CN2主链路（正常）	26	0.1	2.4
非CN2备用链路	48	1.2	6.8
故障时主链路	120	8.5	25.0
切换后业务可用性	50	0.5	5.2

7. 部署检查清单与监控告警建议

1) 部署前检查：确认ASN、邻居IP、社区号、MTU一致性与防火墙策略放行BGP端口179。
2) 自动化与脚本：把健康检查脚本、切换命令与回滚步骤放入版本控制，设置CI触发的自动测试。
3) 监控项：BGP会话状态、mtr延迟/丢包、链路带宽、VRRP状态、清洗带宽占用，均需告警阈值。
4) 告警策略：延迟超过阈值（如RTT>80ms）、丢包>1%且持续5分钟触发一级告警并执行切换流程。
5) 周期性演练：建议每季度进行一次故障切换演练并检验回归策略，记录收敛时间与业务影响。
6) 最后建议：将路由优化与DDoS防护结合，利用CN2的低时延优势同时保障可用性与弹性。

来源：技术实践cn2直连香港大陆路由优化与故障切换流程