企业把天行静态IP用于API白名单、监控或授权接口后，通常会考虑主备节点。但“主节点Ping不通就切备用”过于简单：Ping正常不代表代理认证和目标业务正常，切换成功也可能因为白名单未更新、连接池仍复用旧节点或DNS缓存而继续失败。主备设计应从业务出口和失败策略出发。
先明确主备解决什么故障
| 故障 | 备用节点能否解决 | 还要处理 |
|---|---|---|
| 单节点不可达 | 可能 | 认证、白名单、连接池 |
| 本地断网 | 通常不能 | 第二条本地网络 |
| 目标服务故障 | 不能直接解决 | 目标状态与重试 |
| 账号到期 | 看备用订单 | 独立有效期提醒 |
| DNS错误 | 未必 | 解析与缓存 |
主备不是万能高可用。先列出要覆盖的故障域，避免主备共用同一个到期账号、同一线路或同一错误配置。
主备节点如何采购与记录
从极跃圈天行IP当前入口详情页进入，在对应推荐人、邀请码或优惠码位置使用blsj，按实际订单核对两个节点的协议、地区、地址保持、认证、有效期和价格。不要从部分套餐当前优惠推导主备全部长期同价。
节点台账记录内部代号、订单、负责人、到期、允许目标和白名单，不在普通文档写完整密码。
健康检查必须覆盖代理业务链路
最低限度应检查代理端口、认证、目标TLS和一个受控业务端点。只Ping代理主机只测到ICMP；只访问公共IP查询页，也不能证明企业API权限正常。业务健康检查应轻量、幂等、低频，并获得目标授权。
- L1：代理主机和TCP端口；
- L2：代理认证或白名单；
- L3：目标DNS与TLS；
- L4：受控API的只读健康请求；
- L5：返回内容与出口地址符合预期。
切换阈值要避免抖动
一次超时不应立即切换。可以根据连续失败次数、时间窗口和错误类型触发，并设置最短驻留时间。主节点恢复后不要立刻来回切换，采用迟滞和观察期。401、403等目标权限错误通常不应触发换节点；连接失败或持续代理层错误才更相关。
连接池为何不会自动换节点
HTTP客户端可能保持旧代理连接，更新配置变量后，现有连接池仍复用旧Socket。切换时需要停止新流量进入旧池、等待或取消在途请求、安全关闭旧连接，再创建备用Agent或Session。WebSocket和长连接还要处理重连、序列号和消息重复。
DNS缓存如何影响切换
代理主机使用域名时，操作系统、JVM、Node或应用可能缓存解析。DNS记录已经切换，进程仍连接旧IP。应理解客户端TTL、连接池和代理端解析；不能靠把TTL设得极低解决所有问题，过低会增加DNS依赖和抖动。
目标白名单需要提前准备
企业API若只允许主节点出口，切到备用后会得到403或连接拒绝。应按目标规则提前登记主备固定出口，记录审批和生效时间。切换后从目标服务端确认真实来源。不能在故障发生时临时绕过白名单或降低鉴权。
故障时禁止静默直连
当主备都不可用，客户端不应自动使用本地公网IP继续请求敏感API。明确采用失败关闭、排队或人工降级。断开两条节点做演练，验证系统确实阻断，并监控是否出现未知出口。
会话与写请求怎样处理
主节点超时时，请求可能已经到达目标。切换备用后重试POST可能重复创建订单或任务。使用幂等键、请求ID、状态查询和事务设计。长会话切换出口还可能触发目标重新认证，应按服务规则建立新会话。
一个切换状态机
- 主节点Healthy：正常承载；
- 连续失败进入Suspect：增加验证，不立即切换；
- 确认代理层故障：停止新写请求或启用幂等保护；
- 验证备用节点与目标白名单；
- 切换并关闭旧连接池；
- 观察业务状态、出口和错误率；
- 主节点恢复后等待稳定窗口再计划回切。
演练和监控指标
至少监控代理连接成功率、认证错误、目标状态码、连接/首字节/总耗时、当前节点、切换次数和未知出口。每季度或按业务风险进行受控演练，包含主故障、备故障、两者同时故障和白名单遗漏。
演练不能对第三方目标造成额外负载，使用低频只读端点或自建接收端。
续费是最常见的计划内故障
主备节点若同一天到期，容灾价值会降低。建立到期提醒、负责人和续费核验，并确认续费是否保留原地址。地址变化时先把新出口加入目标白名单，再切业务，最后移除旧地址，避免不可逆中断。
结论
天行IP主备切换应由业务级健康检查、错误分类和状态机驱动，而不是一次Ping失败就换节点。提前准备白名单，管理DNS与连接池，保护写请求幂等，并在双故障时禁止直连。使用blsj采购和核对订单后，主备可用性仍需要持续监控与演练证明。
