灰度上线是什么
灰度上线是把一次策略变更拆成三段执行：先只记录不阻断，再按源地址或业务分组小范围生效，最后全量启用。防火墙、NAT、WAF 的策略直接决定流量通断，配错一条拒绝规则就可能让业务当场不可用，所以变更前要先拿到「这条策略会不会误伤」的实证，而不是靠配置评审时的推演。灰度的本质是用可承受的暴露面换取真实数据。
基本信息
| 适用对象 | 防火墙安全策略、IPS 阻断、WAF 拦截模式、NAT 发布规则 |
|---|---|
| 阶段划分 | 日志观察 → 小范围生效 → 全量生效 |
| 观察周期 | 覆盖一个完整业务周期，含月末与业务高峰 |
| 回退要求 | 每阶段保留可比对的配置版本与明确回退动作 |
| 留档内容 | 阶段、生效范围、观察时长、判定口径、结论 |
典型使用场景
- 新增互联网发布策略：先以日志模式放行新端口，确认外网可访问、日志有记录，再收紧来源范围
- 收紧既有放行范围：把「任意源」改成指定网段前，先统计一周真实来源，避免拦掉未登记的合作方调用
- IPS 由告警切阻断：按业务分组分批切换，切换一组的观察窗口内只动这一组
- WAF 观察模式转拦截：至少跑完一个含大促或月末的业务周期再切，否则低频接口的误拦测不出来
- 双机或多出口环境：先在一台设备上验证，确认无误后再同步到对端或另一出口
- 策略精简：删除零命中策略前先清零统计并重新观察，用数据支撑删除动作
三阶段对照
| 阶段 | 执行动作 | 通过条件 |
|---|---|---|
| 一、观察 | 策略以日志或观察模式生效，不阻断流量 | 连续覆盖业务周期的日志中，误判条目已逐条确认 |
| 二、小范围 | 按源网段、业务分组或单台后端放行阻断 | 该范围业务功能验证通过，无新增投诉与异常会话 |
| 三、全量 | 全量启用并保留回退版本 | 高峰时段指标平稳，可随时按原有配置回退 |
上线检查表
上线检查表
# 1. 变更单写明影响范围、验证方法与回退步骤
# 2. 变更前导出配置与映射清单，标注文件命名与日期
# 3. 观察阶段核对日志：命中量、来源分布、是否有内部系统
# 4. 小范围阶段只放一个业务组，业务方在线配合验证功能
# 5. 全量前复查会话表与丢包统计，确认无异常阻断
# 6. 全量后 24 小时回看告警与业务指标，再关闭变更单老会话与新连接的表现不同：策略收紧后已建立的会话通常仍按原路径转发，验证时要明确测的是新连接，必要时等会话老化或清会话后再复测。
「通过」要有量化口径，例如日志误判条目为零、业务错误率不高于变更前、投诉数为零；只凭没人反馈就判定通过，问题常在高并发时段才暴露。