一条发布链路上有哪些跳
对外服务从公网入口到后端服务器通常要经过多跳：公网地址与端口、边界设备的地址映射、前置防护（WAF 或负载均衡）、最后才是后端服务器。每一跳都可能有独立的策略、证书与配置。排障卡壳的常见原因是链路只存在于某个人的记忆里，谁也不敢确认流量到底经过了哪些节点。
基本信息
| 适用平台 | 边界防火墙、WAF、负载均衡、反向代理组合的发布场景 |
|---|---|
| 链路要素 | 公网地址端口 → 边界映射 → 前置防护 → 服务器地址端口 |
| 登记要求 | 链路图、责任人、变更记录，三者缺一不可 |
| 验证方式 | 外网多地域访问测试，结合各节点日志确认流量经过预期节点 |
典型使用场景
- 新业务发布：上线前把链路完整登记，避免后续排障靠问人
- 链路变更：更换证书、调整端口、扩容节点时同步更新登记
- 故障分段定位：按链路分段验证，快速判断问题出在哪一跳
- 安全评估：确认每一跳都有对应的访问控制与防护措施
- 移交与交接：运维人员变动时，链路文档是最基本的交接材料
链路登记示例
链路登记示例
入口：202.1.1.20:443
↓ 边界设备 destination-nat
中转：WAF 10.10.5.10:443（反向代理）
↓
后端：192.168.20.10:8443（portal-01）
备注：证书部署在 WAF；变更需同步更新本表与监控项分段验证方法
| 段落 | 验证方法 | 典型问题 |
|---|---|---|
| 公网到边界 | 外网测试端口连通性 | 映射未生效或被策略拦截 |
| 边界到前置防护 | 查会话与转发日志 | 策略指向错误节点 |
| 前置到后端 | 从中间设备直接请求后端 | 后端端口或证书不一致 |
| 全链路 | 用真实域名多地域访问 | 只有部分地域或线路异常 |
链路上任何一跳变更（证书、端口、节点扩容）都应按变更流程同步更新登记与监控项，文档过期意味着下次排障从零开始。