企业固定出口中断后才临时联系合作方添加新IP，恢复时间往往不是耗在网络切换，而是耗在找联系人、走审批和反复确认地址。可执行的出口故障应急方案，应在平时就准备主备线路、外部白名单、切换权限、业务验证和回切条件。真正发生故障时，团队只需按清单判断和执行，不必现场重新设计。
先列出哪些业务依赖固定出口
固定公网IP可能被合作方API、云数据库、远程运维平台、邮件网关和SaaS后台加入白名单。仅查看路由器配置找不全这些外部依赖，应从资产表、合同、应用配置和历史工单交叉整理。
| 依赖项 | 需要记录 |
|---|---|
| 业务系统 | 系统名称、环境、负责人和重要等级 |
| 外部白名单 | 合作方、接口、主备IP和变更联系人 |
| 网络资源 | 运营商、线路编号、网关、带宽和公网IP |
| 名称解析 | 相关DNS记录、TTL和修改权限 |
| 监控 | 探测位置、告警阈值和通知组 |
每新增一个依赖固定IP的服务，都要回写清单；否则演练时通过的旧范围，不代表下一次故障仍然完整。
备用线路不只是“能上网”
备用出口要核对公网IP是否稳定、运营商路由是否满足业务、带宽是否能承载核心流量、NAT与防火墙规则是否和主线一致，以及DNS、证书和代理配置是否依赖主线路。可通过IP查询工具辅助确认切换后的公开出口，但正式记录应以网关、云平台和运营商资料为准。
如果备用线路平时完全闲置，应定期验证设备、续费、端口和账号；如果平时承载少量流量，则更容易持续发现故障。两种方式各有成本，关键是不能把多年没测过的线路当成可靠灾备。
备用IP要不要提前加入白名单
对恢复时间要求高、合作方审批较慢的核心系统，可以在双方批准后预先登记灾备IP，并限制相同的最小权限。对低频或高敏感系统，也可以预先完成资料审核，故障时再启用。选择取决于恢复目标和授权面风险。
预加白并不是永久免审。备用地址需要责任人、复核日期和监控；线路停用或IP被运营商回收时必须及时删除。不要为了省事，把一个过大的网段全部加入。
应急手册应写到可以照着操作
- 确认故障范围。区分单个应用、DNS、局域网、主出口和运营商故障，避免误切。
- 启动事件。指定现场负责人、网络执行人、业务验收人和外部沟通人，记录开始时间。
- 检查备用条件。确认线路在线、公网IP正确、白名单有效、容量充足。
- 切换流量。按批准步骤修改路由、NAT、SD-WAN或代理配置，保留变更记录。
- 逐项验收。先网络与DNS，再认证、核心API、写入交易、监控和定时任务。
- 持续观察。关注错误率、延迟、丢包、NAT会话和备用带宽，不以“网页能开”作为完成标准。
手册中的命令和截图会随设备版本变化，应注明适用环境、最后验证日期和回滚方式。敏感密码或令牌不要直接写入普通文档，只记录安全凭据库中的索引。
切换后常见的四类假成功
浏览器能上网，但合作方API仍拒绝。常见原因是灾备IP没有加白或应用实际走了另一条出口。监控恢复，但交易失败。健康检查只覆盖了浅层页面，没有测试认证和写入链路。部分员工正常，服务器不正常。办公网和服务器网段使用不同策略。短连接正常，长连接频繁断开。切换会重置已有NAT或隧道会话，需要客户端按设计重连。
验收用例应对应真实且已获授权的核心流程，同时控制影响，避免在故障期间再做高并发压力测试。
通讯录比想象中更重要
清单应包含运营商报障渠道、设备维保、云平台、合作方白名单联系人、内部业务负责人和管理层通知路径，并准备工作时间与非工作时间的替代联系人。每次演练主动确认联系方式，不要等故障时才发现原负责人已经离职。
什么时候可以回切主线路
主线恢复连通不等于立刻回切。先确认运营商故障结束，线路在观察期内稳定，丢包和延迟恢复，设备告警消失，再由事件负责人安排窗口。回切过程同样要验证外部IP、核心业务、监控和定时任务，并明确失败时是否再次切回备用。
事件结束后更新故障时间线、实际恢复耗时、失效步骤和遗漏依赖。临时增加的白名单、路由和权限要及时撤销。一次好的复盘，应让下一次切换更短、更清楚，而不是只写“运营商故障，现已恢复”。
