3. 值班台网络环境搭建：专线接入、备用网络、VPN配置、网络监控工具初始部署
值班台网络环境是SRE团队远程运维与应急响应的“生命线”。本章围绕专线接入、备用网络、VPN配置及网络监控工具初始部署四个核心环节，构建高可用、可观测的值班台网络底座。以下为各环节的配置要点与实践步骤。
3.1 专线接入：主链路部署与冗余设计
专线接入是值班台与数据中心、云上VPC之间的主通信链路。推荐采用双运营商BGP专线或SD-WAN混合链路，避免单点故障。
| 参数项 | 推荐值/方案 | 说明 |
|---|---|---|
| 带宽 | ≥ 100 Mbps（对称） | 满足远程桌面、日志拉取、视频会议并发 |
| 运营商 | 电信 + 联通 双线 | BGP 自动选路，故障自动切换 |
| 接入设备 | 企业级路由器 + 三层交换机 | 支持策略路由与VRRP热备 |
| 延迟要求 | RTT ≤ 10 ms（到核心机房） | 超出时需排查光缆或路由跳数 |
| SLA | 99.99% | 需与运营商签订专线SLA协议 |
实践要点：专线接入后立即执行
mtr与iperf3双向测试，记录基线延迟与吞吐量。将测试结果写入值班台网络档案，用于后续故障对比。
3.2 备用网络：4G/5G LTE 与卫星回传
当主专线中断时，备用网络必须自动接管。推荐采用4G/5G LTE 工业路由器作为第一备用，低轨卫星终端（如Starlink）作为极端场景下的第二备用。
- 自动切换策略：主链路连续3次ping丢包超过20%时，路由策略自动切换至LTE链路，切换时间 ≤ 30秒。
- 带宽保障：LTE链路至少保障 50 Mbps 下行 / 20 Mbps 上行，满足SSH、Web控制台与告警推送。
- 验证周期：每周自动执行一次备用链路健康检查，每月手动模拟一次主备切换演练。
避坑提醒：备用网络的DNS解析必须独立于主专线。建议在备用路由器上配置公共DNS（如 223.5.5.5 / 114.114.114.114），避免因主DNS不可用导致备用链路“通而不可用”。
3.3 VPN配置：远程接入与零信任隧道
值班台需支持SRE工程师从任意地点安全接入内网。推荐采用WireGuard作为轻量VPN隧道，配合零信任身份验证（OIDC + MFA）。
# WireGuard 服务端配置示例（/etc/wireguard/wg0.conf）
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <服务器私钥>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
[Peer]
# SRE 工程师 A
PublicKey = <客户端公钥>
AllowedIPs = 10.0.0.2/32
配置清单：
- 服务端开启IP转发：
net.ipv4.ip_forward=1 - 防火墙放行 UDP 51820 端口
- 客户端安装 WireGuard 并导入配置文件
- 验证隧道连通性：
ping 10.0.0.1 - 配置路由策略：仅内网段走VPN，公网流量直连
3.4 网络监控工具初始部署
值班台网络环境必须“可观测”。初始部署阶段推荐以下三件套：
| 工具 | 部署方式 | 核心指标 |
|---|---|---|
| Prometheus + Blackbox Exporter | Docker Compose 或 K8s DaemonSet | ICMP延迟、TCP端口可达、HTTP状态码 |
| SmokePing | 独立容器，多目标探测 | 延迟趋势图、丢包率、抖动 |
| LibreNMS | SNMP采集 + 自动发现 | 设备CPU/内存、端口流量、光模块功率 |
初始部署步骤：
- 步骤1：在值班台内网服务器上部署Prometheus + Blackbox Exporter，配置探测目标（专线对端IP、核心交换机、DNS服务器）。
- 步骤2：部署SmokePing，添加至少5个探测目标（包括备用LTE网关），设置告警阈值（延迟 > 50ms 或丢包 > 1%）。
- 步骤3：通过SNMP v2c/v3 接入核心路由器和交换机，LibreNMS自动生成拓扑与流量图表。
- 步骤4：将Prometheus告警接入值班台统一告警通道（如Alertmanager → 钉钉/企微机器人）。
3.5 网络监控工具初始部署（续）
监控工具部署完成后，需立即配置关键告警规则与可视化面板。以下为Prometheus告警规则示例：
# prometheus-alert-rules.yml
groups:
- name: network_availability
rules:
- alert: 专线延迟过高
expr: probe_duration_seconds{target="专线对端IP"} > 0.05
for: 2m
labels:
severity: critical
annotations:
summary: "专线延迟超过50ms，当前值 {{ $value }}s"
- alert: 备用链路不可用
expr: probe_success{target="LTE网关"} == 0
for: 1m
labels:
severity: critical
annotations:
summary: "备用LTE链路探测失败，请立即检查"
可视化面板建议：
- Grafana 仪表盘：专线/备用链路实时延迟折线图、丢包率热力图、VPN隧道流量统计。
- LibreNMS 地图：自动生成网络拓扑，标注链路利用率超过70%的端口。
- SmokePing 趋势图：按小时/天/周展示各目标延迟变化，辅助容量规划。
完成上述四个环节的部署与验证后，值班台网络环境即具备主备冗余、远程接入与可观测性三大能力，为后续SRE值班流程的稳定运行奠定基础。