上线清单的价值
NAT 上线容易停在「能上网」这一步：源转换配通、发布能访问，就算完成。但运行期真正会出问题的是日志有没有外发、地址池还剩多少余量、双机切换后映射是否一致、出了事能不能回退。清单的作用是把验收标准从连通性抬到可运维、可审计、可回退，并且让每次改造都按同一套标准过一遍。
基本信息
| 连通类 | 出网、发布、内网互访、回流场景、双机切换后连通 |
|---|---|
| 防护类 | 策略最小化、暴露端口与申请范围核对、默认拒绝 |
| 运维类 | 日志外发、监控指标、配置备份、台账与文档 |
| 容量类 | 地址池余量、会话数与端口使用率 |
| 执行时机 | 新建、大改、扩容与双机演练之后 |
| 更新机制 | 按季度回顾，把线上出过的问题补进检查项 |
典型使用场景
- NAT 新上线或架构改造后的验收
- 双机切换演练后的回归检查
- 地址池扩容或策略调整后的复核
- 交接给运维团队前的交付确认
- 审计与合规检查前的自查
清单示例
清单示例
[ ] 源 NAT 覆盖全部内网网段并排除例外网段 # 覆盖
[ ] 地址池余量大于 50% # 容量
[ ] 每条发布映射有台账、责任人与有效期 # 可追溯
[ ] NAT 日志已外发并被日志平台正常接收 # 可审计
[ ] 会话数与端口使用率已纳入监控与告警 # 可观测
[ ] 变更前后配置备份已归档，回退路径明确 # 可回退
[ ] 双机的映射、地址池与策略保持一致 # 高可用检查项分类与目的
| 分类 | 检查目的 |
|---|---|
| 连通类 | 确认业务可用，覆盖切换、回流等边界场景 |
| 防护类 | 确认没有超出申请范围的开放，策略最小化 |
| 运维类 | 把「能通」升级为可观测、可审计、可回退 |
| 容量类 | 避免上线初期就接近资源瓶颈 |
清单本身要按季度回顾：把线上出过的问题补成检查项，它才会越用越准，而不是一份永远不变的模板。
验收只测连通不测日志与监控，故障时没有任何观测手段，运维期只能靠猜。