云端部署卡顿？三招直降70%网络延迟

　　去年过年期间，凌晨三点十七分，我盯着 New Relic 里那条绿线——从杭州节点打到 AWS 新加坡的首字节时间，突然飙到四百一十二毫秒，稳得跟焊死了一样。老齐在钉钉语音里喊“缓存层是不是崩了”，我一边把泡面桶往右推了十厘米躲开漏下来的水渍，一边说“你先别动 CDN 配置”。他那边传来一声塑料椅脚刮地声，然后是女儿在背景里咳了三下。

　　我原以为是跨海链路抽风，结果查 traceroute 发现第七跳之后延迟才开始涨，前六跳全是国内 BGP 内网，抖动连五毫秒都没有。可笑的是，我们当时还在用那个叫“智能路由”的 SaaS，界面右上角还挂着“全球最优路径实时计算中”的小转圈——它压根没算新加坡，只算到了广州、上海、北京三地。算得挺勤，就是不算对的地方。

　　第一招？砍掉所有“就近调度”的幻觉。删掉那段自研的 region-aware DNS 路由逻辑，直接全量切到 Cloudflare 的 Anycast IP + 他们家的 `edns-client-subnet` 透传。不是信他们，是信他们机房够脏——光是香港那个带空调外机嗡嗡响的七层小楼，就接了三百多个本地 ISP 的裸纤，脏得踏实。上线那天中午，运维小陈一边啃鸭脖一边往监控看，突然把鸭脖骨头吐进纸杯：“卧槽，TTFB 咬下来一块。”我说“哪块”，他说“八十九，往下掉。”我说“嗯，这杯我买单。”

　　第二招？不等 TLS 握手完再发 HTML。把 `early-data` 打开，后端 Nginx 加两行：`ssl_early_data on; ssl_stapling off;` ——最后这句是重点，别听文档里忽悠，OCSP stapling 在高并发下就是个假阳率 12% 的定时雷。上周三我们灰度开 early-data 后，Chrome Canary 用户首屏快了将近一倍，但 Safari iOS 16.4 下有零点三秒白屏闪动。我不清楚是它 bug 还是我们没关对，反正先关了，等苹果下个 beta 补丁。这个我说不准。

　　第三招最贱：让浏览器自己猜。在 `` 里塞三个 ``，地址分别是上海、新加坡、法兰克福。不是靠地理定位，是靠用户 DNS 解析出口——比如联通宽带跑的是 219.158.x.x 的 resolver，我们就让它 preconnect 到上海那个；而新加坡用户无论走哪条出口，DNS 解析大概率落到他们本地 anycast 接入点，自动选中第三个。这事儿我敢打包票，因为上周四凌晨我们把法兰克福那个链接地址临时改成了个 404，整个东南亚流量的 TTFB 没动一毫秒。说明浏览器根本没连它，只把它当个参考坐标的哨兵用。

　　对了，当时机房空调坏了两天，服务器柜顶烫手，散热风扇噪音像七八台老式电扇同时转，但奇怪的是那几台做边缘转发的 c5.2xlarge 实例 CPU 满载时反而更安静——不知道是降频了还是风扇算法调了。我问过 AWS 工程师，他回了个表情包，后面跟一句：“热平衡这事，我们建议看日志，不建议听声音。”

　　老齐上个月又改了一版 PRD，新增“离线状态自动 fallback 到 PWA 缓存”需求。我扫完后回他：“你这需求要真上线，我们得重写 service worker 的 activation 生命周期。”他没回，隔天下午在茶水间碰见，他左手拎着保温杯，右手正用指甲抠保温杯盖子上的小划痕，抠了四下，抬头说：“那…先不放吧。”我说“行”，转身去倒咖啡，听见身后他手机震了一下，屏幕亮起，是孩子班主任发来的作业打卡提醒截图，时间戳是上午九点四十二分。

　　云端部署卡顿？三招直降70%网络延迟——这个说法站得住，不是因为数字多准，是因为它已经熬过了三轮真实淘汰：第一个用 full-TLS + 302 跳转来实现“灰度发布”的方案，春节头三天就跪在 CDN 回源队列上；第二个搞 HTTP/3 的方案，被内部安全审计毙在沙箱里，理由是“UDP 流量不可审计”，其实大家心知肚明，只是没人想动那个跑了八年的 NGINX+Lua 日志模块；第三个才是现在这个糙但活下来的版本。优胜劣汰不是比喻，是真有一堆半成品躺在 S3 里，名字叫 fallback-v1-dead、fallback-v2-dns-misroute、fallback-v3-ocsp-brake-on-fire。

文章配图，仅供参考

　　说到 OCSP，昨天测试环境又出事了。不是超时，是证书链里的中间 CA 根证书刚好在 2 月 17 日过期——可它根本没写在我们 certbot 的 renewal-hooks 里，而是埋在 Cloudflare 侧一个叫 “CA_BUNDLE_OVERRIDE” 的隐藏 header 里。我们运维小李翻了两个半小时才找到，过程中他接了两次电话，一次是物业催暖气费，一次是他妈问年夜饭还回不回老家。挂完电话他点了根烟，烟灰掉在键盘 F12 键上，没弹，直接陷进缝隙里了。

　　我现在每天上线前都会手动 curl 一遍五个不同地域的 health check 端点，不是为了验证服务是否活着，是验证它有没有在活着的时候撒谎。比如东京节点返回 200，但 body 里写着 “cache_hit: false, edge_cache_ttl: -1”，这就不是故障，是态度问题。这种细节不用写进日报，但得记进心里。毕竟人可以糊弄，TCP 包不会装睡。

　　下周要不要试试把法兰克福那个 preconnect 地址换成孟买？听说他们新开了个 PoP，离我们主力安卓用户的 APN 就差三跳。不过得先问问老齐，他女儿数学月考刚及格，估计最近不太想聊技术。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!