TG咨询金融专线接入主机时，不能只把网线插入交换机并设置一个 IP 地址。金融业务专线与主机部署通常同时涉及网络边界、主机服务、访问权限和故障切换，配置顺序不合理，可能导致业务流量走错出口，或让管理端口暴露在专线侧。更合适的做法是先规划，再配置，最后验证。
一、先确认线路和主机的边界关系
在金融业务专线与主机部署开始前，先确认专线连接的是数据中心、合作机构网络，还是企业内部的专用网段。需要从运营商或网络管理员处取得线路用途、对端网段、网关地址、可用地址范围、路由方式和故障联系人。若线路采用静态路由，应明确哪些网段必须经专线访问；若使用 BGP 等动态路由，则要确认路由发布范围和收敛策略。
主机侧还要确定业务网卡、管理网卡和备份网卡的职责。管理入口可保留在运维网络，专线网卡只承载指定业务流量，避免 SSH、数据库管理端口或监控后台被意外暴露。
二、按顺序完成四项基础配置
1. 规划地址、路由和名称解析
- 记录主机现有地址、网关、DNS 和默认路由，确认新增专线网段不会与办公网、云网络或容器网段重叠。
- 为专线网卡配置固定地址和掩码，并为对端业务网段添加精确路由。多网卡 Linux 主机上，应检查策略路由，避免回程流量从错误网卡返回。
- 配置内部 DNS 或指定解析服务器。涉及支付、清算、账务等系统时，应确认域名解析结果在生产和灾备环境中符合预期。
如果只是访问少量固定系统，优先使用明确的静态路由；如果对端网段较多且经常调整，动态路由更便于维护，但必须限制路由发布范围，并保留变更记录。
2. 设置主机防火墙和服务监听
防火墙策略应以“默认拒绝、按需放行”为基础。比如，应用主机只允许专线对端访问实际业务端口，运维人员从管理网段进入 OpenSSH，数据库端口则仅开放给应用服务器所在网段。不要因为专线被称为“专用”就取消主机防火墙。
随后检查服务监听地址。使用 systemd 管理的服务、Nginx、PostgreSQL 等，应确认程序是否只监听业务地址或本地回环地址。对外提供服务的端口还要结合 nftables 或云侧安全组进行双重限制。涉及证书的接口，应校验证书链、有效期和服务端身份，不要仅凭端口能够连通就判定配置完成。
3. 统一时间与日志
金融交易、对账、审计和故障追踪都依赖准确时间。可在 Linux 主机上使用 chrony 对接企业认可的 NTP 时间源，并确认时区、夏令时规则和时间同步状态。日志至少应记录登录、权限变更、防火墙拦截、服务重启和配置修改事件，保存周期按内部审计要求确定。
4. 建立监控和告警
金融业务专线与主机部署完成后，应同时监控线路和主机，而不是只看应用是否打开。建议采集接口状态、路由变化、往返时延、丢包、连接失败、CPU、内存、磁盘空间、文件系统只读状态以及业务进程状态。Prometheus 等监控工具可以采集主机指标，但指标接口本身也要限制来源。
三、配置完成后怎样验收
- 从主机检查路由表，确认对端地址匹配专线网卡；再用 traceroute 或等效工具查看路径是否经过预期网关。
- 使用 nc 或业务方提供的测试工具验证指定端口，分别测试允许访问和应被拒绝的端口。
- 从对端发起双向测试，重点确认回程路径、DNS 解析、证书校验和应用身份认证。
- 模拟重启网卡、重启主机或短暂中断线路，确认路由、服务、防火墙和监控能否自动恢复。
- 保存配置文件、地址规划、放行规则、测试结果和回滚步骤，交由网络、系统和业务负责人共同确认。
测试时不要只在低峰期验证。批量代扣、月初账务处理、交易日开市前后等场景可能带来连接数和并发请求变化，应结合业务方安排进行容量观察。若专线存在主备链路，还要分别验证主链路故障、备用链路接管和恢复后的流量回切。
四、常见错误与选择建议
| 问题 | 常见表现 | 处理方向 |
|---|---|---|
| 默认路由冲突 | 部分请求偶发超时或回包异常 | 使用精确路由或策略路由，明确默认出口 |
| 专线网卡职责不清 | 管理端口出现在业务网络 | 拆分管理、业务和备份流量，分别设置规则 |
| 只测单向连通 | 主机能访问，对端无法建立会话 | 检查回程路由、防火墙状态和服务监听地址 |
| 缺少变更记录 | 故障时无法判断近期改动 | 保留配置版本、审批记录和回滚方案 |
如果专线只承载一个固定系统，静态路由和严格端口白名单通常更易审计；如果接入多个业务网段，集中路由设备更利于统一策略，但设备故障影响面也更大。选择方案时，应结合业务连续性要求、运维能力和灾备架构判断。
常见问题
专线接入后可以直接修改默认网关吗？
通常不建议。应先判断专线是否只服务特定网段，优先增加精确路由；只有明确要求所有流量经过专线时，才调整默认出口并进行完整回程测试。
业务主机是否必须配置两块网卡？
不一定。单网卡适合结构简单、边界清晰的场景；管理与业务隔离、链路冗余或合规要求较高时，多网卡更合适，但必须配套路由和防火墙规划。
只要端口测试成功就算验收通过吗？
不算。还应验证域名解析、身份认证、双向访问、日志记录、重启恢复和故障切换，避免出现“网络通但业务不可用”的情况。
金融业务专线与主机部署最容易遗漏什么？
最常遗漏的是回程路由、时间同步、配置备份和监控告警。它们不一定影响首次连接，却会直接影响交易审计和故障恢复。
总体来看，金融业务专线与主机部署应遵循“先规划边界、再配置路由、随后限制权限、最后做双向验收”的顺序。这样既能保证业务访问路径清晰，也能降低误开放、回程异常和故障难定位的风险。
