2. 网络配置在蓝绿发布中的角色：流量入口、负载均衡、DNS解析、防火墙规则、网络ACL

蓝绿发布的核心目标是在两套完全独立的环境（蓝环境与绿环境）之间实现瞬时、可控的流量切换。网络配置在此过程中扮演着“交通指挥系统”的角色，任何一层的配置错误都可能导致流量丢失、服务中断或安全漏洞。本章将逐一剖析流量入口、负载均衡、DNS解析、防火墙规则与网络ACL在蓝绿发布中的具体职责与回滚要点。

2.1 流量入口：全局流量的第一道闸门

流量入口通常由云负载均衡器（如AWS ALB/NLB、阿里云SLB）、反向代理（Nginx、HAProxy）或API网关（Kong、APISIX）承担。在蓝绿发布中，流量入口负责将用户请求导向当前活跃环境（蓝或绿）。

2.2 负载均衡：流量分发与权重控制

负载均衡器在蓝绿发布中承担流量分发决策。通过调整后端服务器组的权重，可以实现灰度发布（例如10%流量到绿环境）或全量切换。回滚时，权重调整是最快速、最安全的操作之一。

• 权重切换： 将绿环境权重从100%逐步或立即降为0%，同时恢复蓝环境权重至100%。
• 会话保持： 回滚时需注意会话保持（Sticky Session）可能将已迁移到绿环境的用户请求继续导向绿环境，导致回滚不彻底。建议在回滚前清空会话表或缩短会话超时时间。
• 连接耗尽： 启用连接耗尽（Connection Draining），确保正在处理的请求完成后才断开连接，避免用户请求中断。

2.3 DNS解析：全局流量调度与回滚延迟

DNS解析在蓝绿发布中通常用于多区域部署或需要用户侧缓存更新的场景。通过修改DNS记录（A记录、CNAME记录）将域名指向蓝环境或绿环境的负载均衡器。DNS回滚面临的最大挑战是缓存生效延迟。

2.4 防火墙规则：环境隔离与访问控制

防火墙规则（Security Group、云防火墙策略）在蓝绿发布中用于隔离环境之间的非必要通信，并控制外部访问。回滚时，防火墙规则的回滚往往被忽视，但可能导致安全漏洞或服务不可达。

• 入站规则： 确保蓝环境的负载均衡器/反向代理IP仍在允许列表中。如果绿环境使用了新的源IP范围，回滚后需移除这些规则。
• 出站规则： 蓝环境可能需要访问数据库、缓存等后端服务。回滚后需确认出站规则未因绿环境配置而被误删。
• 环境间规则： 蓝绿环境之间通常应禁止直接通信。回滚时需检查是否有临时开放的互访规则未清理。

# 回滚：移除绿环境安全组中的临时规则
aws ec2 revoke-security-group-ingress \
    --group-id sg-green-env \
    --protocol tcp \
    --port 443 \
    --cidr 0.0.0.0/0

# 恢复蓝环境安全组的原始规则
aws ec2 authorize-security-group-ingress \
    --group-id sg-blue-env \
    --protocol tcp \
    --port 443 \
    --cidr 10.0.0.0/16

2.5 网络ACL：子网级别的无状态过滤

网络ACL（Network Access Control List）在VPC子网层面提供无状态的流量过滤。与安全组不同，ACL规则需要同时配置入站和出站方向，且按规则编号顺序执行。在蓝绿发布中，ACL通常用于隔离蓝绿环境所在的子网。

2.6 网络配置回滚的自动化编排

将上述五层网络配置的回滚操作编排为一个原子化流程，是自动化蓝绿发布的关键。以下是一个推荐的回滚步骤清单：

1. 暂停流量入口： 将负载均衡器监听器置为“停止接收新连接”状态（如有此功能）。
2. 恢复DNS记录： 将域名指向蓝环境的负载均衡器，或调整加权DNS权重为蓝环境100%。
3. 调整负载均衡权重： 将绿环境目标组权重降为0%，蓝环境权重恢复为100%。
4. 恢复防火墙规则： 移除绿环境相关的临时安全组规则，恢复蓝环境的原始规则。
5. 恢复网络ACL： 用保存的快照覆盖绿环境子网的ACL规则，确保蓝环境子网ACL未受影响。
6. 验证连通性： 执行自动化健康检查与端到端测试，确认蓝环境服务正常。
7. 清理绿环境资源： 确认回滚成功后，释放绿环境的临时网络资源（如弹性IP、负载均衡器目标组）。