混合云灾备怎么搭？一次异地容灾实战复盘

准备清单

上个月，深圳一家做跨境电商的客户把灾备方案摆到我桌上：本地备份连续三次恢复失败，老板要求 40 天内把灾备搬到云上。我们最后用混合云落地：11 个核心系统上云容灾，总花费 26 万，比租异地双机房省 16 万，RPO 实测 12 秒、RTO 3 小时 20 分。这篇把五步做法、三次翻车和验收清单完整写出来。

• 把"要保护什么"写下来：核心系统清单、数据量、高峰增量，别拍脑袋
• 定 RPO/RTO：和老板谈清楚"最多丢多久、最多停多久"，写成书面目标
• 选云厂商与地域：异地距离 300 公里以上，主备地域不在同一可用区
• 网络方案二选一：IPSec VPN 起步还是直接专线，先按带宽算月费再定
• 灾备工具选型：整机复制 / CDP 持续数据保护 / 云备份，按系统分级配
• 排演练窗口：真切换演练要业务部门配合，提前和各部门确认时间
• 预算按"年度 IT 预算的 8%-12%"框，别一上来就按供应商报价单买

第1步 定目标：RPO 15 分钟、RTO 4 小时

客户最初说"丢一小时以内能接受"，结果一盘点就改主意了：核心 ERP 1.8TB，订单高峰期每小时新增 60GB，本地备份要跑 4 个多小时。我们拉着业务部门开了两次会，最终定 RPO 15 分钟、RTO 4 小时——这个目标决定后面选什么工具、买多大云资源：定高了白花钱，定低了做不到，必须先谈成书面数字。

第2步 分级盘点：40 个系统只保护 11 个

客户一共 40 个业务系统，按"停机损失"分三级：A 类 3 个（ERP、订单、财务）必须实时容灾；B 类 8 个（OA、报表、文件服务）每天备份到云；C 类 29 个维持本地备份。分级之后，云资源费用直接省了 40%。灾备不是把整个机房复制到云上，是给最值钱的系统买保险，这个观念得先扭转过来。

第3步 网络打通：先用 VPN，别急着上专线

深圳到广州地域，100M 专线报价一年 6 万；我们先用 IPSec VPN 加云上按量带宽，月费 1200 元。全量同步 1.8TB 用了 34 小时，之后增量同步延迟稳定在 40 秒内，按当前增速数据量再涨 3 倍才需要升级专线。安全组只放行复制端口和管理口，复制流量走独立隧道，避免和办公流量抢带宽。

第4步 部署同步：整机复制 + CDP 日志实时

A 类 3 台核心虚机用云厂商整机复制迁过去，先全量再增量；数据库用 CDP 持续数据保护做日志实时同步，实测 RPO 12 秒，比目标快得多。B 类 8 台用云备份每天 1 次、保留 30 天。这里有个关键点：配置变更（DNS 记录、固定 IP、安全组、证书）也要纳入同步清单，否则切过去起不来。

第5步 演练与切换：每月一次真切换

第一次演练选周五晚上，10 个人参与，切到云上花了 3 小时 20 分，RTO 达标；回切时发现 DNS 和固定 IP 两处配置没同步，又补了 40 分钟。之后把配置项写进灾备清单，演练从季度一次改成每月一次，连续三个月稳定在 3 小时内，记录和回切脚本一起归档。

常见错误：三个反面案例

错误1：只复制数据，不复制配置。有客户整机复制跑得挺顺，真切换时 DNS 没同步、固定 IP 变了，业务系统起不来，比没灾备还乱——配置必须和数据一起纳入同步。

错误2：40 个系统全上云。预算直接翻倍，70% 的系统其实本地备份就够。分级做在前面，钱才花在刀刃上。

错误3：演练只做"断网测试"。只验证网络断了能不能切，从不做真切换和回切，回切脚本一次没跑过，真出事照样抓瞎。

验收清单：上线前逐项勾

• RPO 实测 ≤15 分钟：连续 7 天记录，最高值写进验收报告
• RTO 实测 ≤4 小时：切换与回切分开计时，都达标才算过
• 核心系统在云端可启动，业务账号可登录、关键流程可走通
• 配置同步清单完整：DNS、固定 IP、安全组、证书、账号
• 演练记录与回切脚本归档，责任人和月度排期表已确定
• 业务部门对演练时间签字确认，避免临时找不到人

行动建议

先花一周把 RPO/RTO 和预算谈清楚，再做分级盘点——这两件事不做，后面全是拍脑袋。混合云灾备的本质是"给最值钱的 20% 系统买保险"，按年度 IT 预算的 8%-12% 规划：先 VPN 后专线、先 A 类后 B 类、每月真切换演练一次。拿不准的，把系统清单和停机损失发我，帮你算该保护哪几个。