云网络：发布、排障与恢复练习
网络隔离、路由变更与恢复
维护VPC 双向路径工作表前先保存子网/网卡关联、路由、安全组与 NACL，恢复后以5432 请求与客户端临时端口的回包规则验收。具体配置见配套示例。
核对日期2026-10-17；适用范围：以AWS VPC/EC2 2016-11-15 API对象模型为固定示例，核对2026-10-17官方中英文网络ACL/安全组资料；不是跨云通用配置或云端当前最新部署模板。示例未执行；真实环境仍需验证产品配置、权限、连通与恢复结果。先读起点理解前置，再按章节完成推演。
网络隔离与最小放行
云网络隔离将数据库入站限为应用安全组和所需端口，运维通道单独控制；不把0.0.0.0/0作为排障默认。出站控制同样要考虑依赖、更新和审计，全部拒绝可能破坏DNS或身份服务。安全组不是应用鉴权，允许TCP连接仍需数据库身份与加密。共享安全组修改前先列出所有关联对象，避免一条规则同时暴露多服务。
变更、回退与关联
云网络变更先保存原路由、规则号、网卡与子网关联，按单一目标路径修改最小集合，再检查正反向。替换路由表关联会影响整个子网，新增更长前缀可能截走现有流量；先审计覆盖范围而不是仅看新增一行。回退应恢复准确旧关联及规则，不能删除整个共享表重建。此课程没有执行任何控制面操作，工作表只保留可审阅设计。
流日志和可观测证据
云网络流日志记录部分元数据与接受/拒绝判定，适合关联五元组，不等同于完整报文和应用响应。没有记录可能是采集范围、延迟、过滤或平台排除，并不自动说明没有流量。将UTC时间窗、接口ID、方向和动作与路由/规则快照关联；导出前处理地址敏感性，不把用户载荷加入报告。DNS日志与应用错误分别补充不同层证据。
本篇练习与参考解答
练习：新增更长前缀路由只会影响新建主机吗？
参考解答
不是。已有子网流量也可能按最长前缀被改道，须审计覆盖范围并保留原表/关联以便回退。
核对资料与相邻阅读
解析、超时与回包路径排障
本节沿5432 请求与客户端临时端口的回包规则定位失败层；先确认子网/网卡关联、路由、安全组与 NACL，与配套示例逐项对照，再选择最小修复。
连接超时的路径排查
云网络超时排查先确认DNS答案符合目标环境，再沿源路由、双方过滤和返回临时端口逐跳核对。没有SYN-ACK可能是目标未监听、回包阻断或路径不通，不足以断定数据库坏了。避免同时放宽所有规则导致无法证明哪一步有问题。工作表missing-return-nacl案例演示正向都放行而返回失败，真实故障还需授权的报文/流日志证据。
ConnectionRefused与过滤
云网络拒绝连接通常意味着收到RST等明确拒绝信号，但中间设备也可能生成拒绝，不能无证据断定一定来自数据库进程。检查目的地址端口、监听、OS防火墙策略和网络设备；超时更常见于丢弃，但两者不是绝对一一对应。安全组Allow只表示此层许可，不能启动应用。把网络层问题与认证失败分开，后者通常发生在连接建立之后。
DNS旧值与非对称路径
云网络旧解析排查记录查询名称、解析器、答案、TTL、私有zone关联和应用缓存，避免只清浏览器DNS却遗漏服务进程缓存。双向路由不对称不一定失败，但经过有状态设备时可能影响连接状态；跨VPC或VPN要核对回程与NAT地址转换。练习：改安全组能修复错误DNS答案吗？参考解答：不能，先修复命名和缓存边界，再检查通往正确地址的路径。
本篇练习与参考解答
练习：超时就代表安全组阻断吗？
参考解答
不能单凭超时断定。DNS错误、缺路由、NACL回包、OS过滤或未监听都可能造成相似现象。
核对资料与相邻阅读
本节沿用本页资料与示例入口。
入站已放行但连接超时的复盘
以下演练将VPC 双向路径工作表的变更、失败证据和恢复验收串起来；先熟悉配套示例中的子网/网卡关联、路由、安全组与 NACL。演练未执行。
故障场景与影响
已经放行业务端口，客户端连接仍然超时。
先记录首次异常时间、受影响对象和最近变更，区分个别对象失败与整条管理链路异常。以下是排查演练，不是已发生事故的实测记录。
按证据定位原因
- 核对 DNS 结果、源和目标地址、协议及端口，确认安全组与 ACL 绑定到实际网络接口和子网。
- 分别检查请求和回包的路由、网关与规则；以 AWS 网络 ACL 为例，它不因允许请求就自动允许回包。
- 对比主机监听、流日志与客户端时间窗口，区分没有路由、策略拒绝和应用无响应。
恢复步骤与验收
按双向路径修正最小必要规则或路由，保留管理链路和旧配置；不要把所有来源与所有端口同时放开作为长期修复。
验收：批准源可完成业务请求及返回，隔离源仍被拒绝，相关日志能够解释允许和拒绝；平台差异在变更记录中明确。
将触发条件、直接原因、修复动作、恢复证据和后续检查写入同一份复盘，明确每项后续工作的负责人。机制参考：官方说明。
回包端口练习
云网络端口练习：app49152连db5432，db出站NACL只允许5432能放回包吗？参考解答：不能，返回目标是app49152，应按实际客户端临时范围及目的网段许可；不能因为服务器源端口是5432就把ACL目标端口也写5432。安全组有状态与ACL无状态是两个独立判断，缺一不可。
路由与授权练习
云网络路由练习：数据库私有地址加安全组全开放就能公网访问吗？参考解答：不能，公网还需可路由地址、网关与路由，而全开放又扩大攻击面。应保持私有数据库，通过授权的应用或受控运维路径进入。路由能到达不代表业务已授权，也不代表TLS验证或数据库账号正确。
跨云与运行边界
云网络复核边界要求每个结论注明云平台、对象关联与正反向证据。课程采用AWS语义和自定义JSON工作表，不将它当成阿里云/华为云通用配置；IPv6、跨区域、VPN/BGP、NAT容量及真实连通性没有运行验收。旧CDN材料属于网络专题参考，缓存调度不是本工作表的VPC路由，不复制产品菜单或历史正文。
本篇练习与参考解答
练习：app49152到db5432，回包目标端口是什么？
参考解答
49152。NACL目标端口要匹配客户端临时端口，服务器源5432不代表返回目标也是5432。
核对资料与相邻阅读
本节沿用本页资料与示例入口。
继续阅读
- 开发与配置实践
- 开发与配置实践
- 开发与配置实践