在 HK-2 上做数据中转的实践

发布时间:2026-09-06 20:16

两地系统互访链路不稳定时，在香港架一台中转机是常见做法。顺云 HK-2 位于内地与国际网络的交汇点，做数据中转在链路上有天然优势，但中转不是装个转发软件就完事，加密、观测、合规三件事都要落实。以下是实践步骤。 第一步：明确中转形态 常见两种：端口转发（TCP/UDP 透传，适合数据库同步、消息队列互联等固定端点场景）与应用层代理（适合 HTTP 类接口互访）。固定链路用端口转发更简单，多接口互访用应用层代理，便于做访问控制和日志。一台机器可以按端口混合使用两种形态，但每个端口的用途都要登记在案。 第二步：加密传输 中转机看得到全部数据，链路必须加密。SSH 隧道最轻量：ssh -N -L 15432:目标库IP:5432 user@中转机，本地应用连 15432 端口，数据经 SSH 加密到香港再转发，长期运行配 autossh 保活。正式业务建议用 WireGuard 组网，两端配好密钥与网段后如同内网直连，性能优于 SSH 隧道。无论哪种，中转机上的明文端口只绑定内网，不对公网暴露，中转机自身的 SSH 也只认密钥。 第三步：流量观测 中转机要能回答"谁在什么时候传了多少"。基础手段：iptables 记账规则按端口统计流量，iptables -L -v 查看计数；装 vnstat 出按天报表，vnstat -m 查月度数据。再叠加连接级日志（Nginx stream 模块日志或 conntrack），异常时段的流量能回溯到具体来源。流量突然翻倍通常意味着故障重试或被滥用，观测是发现它的唯一途径，观测数据本身也要有备份。 第四步：合规确认 数据中转涉及数据出境，先确认数据类型允许离开内地，涉及个人信息的遵守数据出境相关规定；业务性质拿不准的，部署前通过官网工单咨询确认，拿到明确答复再动手。 收尾：中转机是全链路里最敏感的一环，补丁与登录审计按最高标准对待——它出问题，两端业务一起停。