1.

总体迁移与风险评估

- 评估现网资产清单：列出服务器、VPS、域名、证书、数据库与第三方API依赖。
- 风险矩阵：对CICD中断、数据泄露、DDoS可用性风险按概率×影响评分。
- 业务分级：区分核心交易、账务、用户信息、静态内容等不同敏感级别。
- 迁移窗口与回滚点：定义停机维护窗口、快照/备份时间点与回滚脚本。
- 性能基线：记录当前P95响应时间、带宽利用率、并发连接数，作为迁移后对比基线。

2.

服务器/VPS/主机规格与配置检查

- 物理位置确认：确认香港机房可用性与多可用区（PoP）选择以降低单点故障。
- CPU/内存/存储：建议示例配置：8核Intel Xeon, 32GB RAM, 2×1TB NVMe，RAID或备份策略。
- 网络口与带宽：至少配置10Gbps接口或专有出口，检查是否有“保证带宽/弹性带宽”条款。
- 虚拟化与裸金属：若为VPS，确认KVM隔离和内核参数；裸金属确认BIOS固件与远控KVM。
- 镜像与安全基线：预装最小化Linux镜像（如Ubuntu LTS/CentOS），开启SELinux/AppArmor与自动补丁策略。

3.

域名、DNS与证书管理

- 域名WHOIS与注册商锁：确保域名提供商支持锁定、转移锁并启用多因素登录。
- DNS冗余与响应策略：使用至少两家上游DNS提供商并启用DNS负载均衡与TTL策略。
- DNSSEC与防篡改：为关键域名开启DNSSEC以防DNS投毒。
- TLS证书管理：使用自动化证书续期（ACME）并强制TLS1.2/1.3，禁用弱套件。
- 域名接管防护：记录域名注册邮箱、联系人并启用Registrar Lock与WHOIS隐私（视合规需要）。

4.

CDN与DDoS防御配置清单（含样例数据）

- CDN分发策略：将静态资源上CDN，缓存策略设置Cache-Control及分层回源。
- 防护链路：要求供应商提供清洗中心（scrubbing center）峰值能力与清洗速率。
- 联合防御：前端采用WAF+CDN，边界采用BGP Anycast与黑洞策略结合。
- SLA与RTO/RPO：核查DDoS防护响应时间（如自动清洗<10秒）与可用性SLA（建议99.95%）。
- 测试计划：安排灰盒流量注入测试并记录恢复时间与误杀率。

示例产品	带宽	防护峰值	典型清洗时延
HK-高防S1	10Gbps 专线	100Gbps	<10s
HK-高防S2	40Gbps 专线	300Gbps	<5s

5.

合规、数据主权与隐私检查

- 本地法律与隐私：香港适用个人资料（隐私）条例(PDPO)，确认跨境传输与存储权限。
- 行业合规：若处理支付卡数据，需检查PCI DSS在主机配置、日志保留和加密方面的要求。
- 审计与证书：优先选择有ISO27001、SOC2报告的托管与网络服务商。
- 日志保存策略：明确日志（访问、WAF、系统）保留期（例如至少90天）并加密存储。
- 数据分类与加密：敏感字段采用静态数据加密和传输层加密（TLS），数据库备份采用KMS密钥管理。

6.

迁移执行与测试清单（Runbook）

- 迁移步骤明细：DNS切换前的TTL降低、分阶段灰度切换、回滚脚本与验证点。
- 负载与压力测试：在迁移前后做并发、吞吐与长连接测试，记录P95/P99数值。
- 安全测试：执行WAF策略验证、端口扫描、SSH暴力测试与漏洞扫描。
- 实战演练：进行一次模拟DDoS攻防演练，验证自动清洗、生效时间与误杀恢复。
- 回归检查：迁移后核对证书链、DNS解析一致性、CDN缓存命中率与业务日志完整性。

7.

运维监控、告警与长期维护

- 监控项与阈值：监控带宽利用、连接数、CPU、内存、磁盘I/O、错误率，设定告警阈值（例如带宽>70%触发）。
- 日志与SIEM：将系统/WAF/访问日志接入集中SIEM进行关联分析与告警。
- 补丁管理：定义补丁窗口与自动/手动升级策略，关键安全补丁优先72小时内处理。
- 备份与演练：数据库快照、异地备份，每月恢复演练验证RTO/RPO。
- 商业与技术SLA：明确带宽超售、DDoS清洗失效、设备故障的赔付与沟通渠道，保留网络拓扑与支持单据。

附：真实迁移案例示例（简要）

案例：某跨境电商迁移至香港高防不死服务器

- 背景：日均并发2万，促销期间流量峰值达到50Gbps，曾遭遇一次120Gbps反射型DDoS。
- 目标：迁移到香港并确保不死能力、降低延迟并保障跨境结算稳定。
- 方案：采用HK-高防S2（示例表格项），BGP Anycast出口，WAF+CDN+流量清洗中心联动。
- 结果：在一次模拟攻击中自动清洗并保持业务可用性，实测清洗时延<6s，月平均可用率99.98%。
- 配置样例：裸金属 16核/64GB/2×2TB NVMe，10Gbps直连，内网专线至主数据库，TLS1.3强制，WAF策略覆盖95%业务路径。

来源：企业迁移到香港高防不死服务器时需要做好的安全与合规检查清单