公网名的「新鲜度」与源站「可达性」是两套时钟。Worker 可把 Request.cf 线索与源站日志对账，并用周报核对 GeoDNS 意图与实际落点。DNS 模式总览与区域矩阵见 《2026 Halo 式全球入口决策矩阵：GeoDNS/Anycast 与 SSH 延迟验收》；分裂视界、解析器粘性与制品 p95 见 《Split-horizon、GeoDNS TTL 与 SSH/制品 p95 验收矩阵》；多区域 MagicDNS 与探针合并思路见 《OpenClaw：Tailscale MagicDNS 多区域网关》。本文收窄到：Worker 侧 TTL、健康探测间隔、失败切换 对照表，源站会话粘性，以及 美西 与 港新 SSH 握手 p95 的签字清单。
托管 DNS 的健康检查仍受 TTL 约束；Worker 可在数秒内改道，用 Cookie 或签名头维持粘性，并用复合谓词（如 HTTPS 200 加管理面 TCP 可达）守门。它不取代 DNS，而是压缩「解析器认为你还活着」与「会话不应跨洋乱跳」的缝隙。联机预期见 帮助中心。
| 运行模式 | 公网 DNS TTL（建议） | 健康探测间隔 | 失败切换阈值（示例） |
|---|---|---|---|
| 稳态（公网 A/AAAA） | 300–900 秒 | Worker 合成探测 5–15 秒 | 连续 3 次失败，或 30 秒内失败率 >50% |
| 变更/维护前 | 60–120 秒（至少提前一个旧 TTL 窗口） | 与稳态相同 | 人工确认 + 工单粘贴已签名的 dig 片段 |
| 直连源站存活 | — | 10–30 秒 | 持续 5 分钟 不可用 → 切次级源或降级页 |
| SSH 批处理探针（BatchMode） | — | 1–5 分钟 | p95 > 周基线 ×1.4 且持续 15 分钟 → 开路径工单（附 mtr） |
| 层次 | 主要优化目标 | 典型故障表象 | 旋钮归属 |
|---|---|---|---|
| 仅 GeoDNS | 解析器地理下的首连导向 | 长 TTL + 粘性解析器掩盖单 PoP 故障 | DNS / 平台 |
| HTTPS 前 Worker | 按请求选源池、A/B、边缘鉴权 | 逻辑错误把亚太用户打到美西源 | 应用 + 边缘 SRE |
| 区域 SSH 别名 | 人机与 CI 的控制面路径可预期 | 营销主机名与真实 ssh 目标漂移 |
基础设施 + 开发者体验 |
time ssh -o BatchMode=yes … exit，把握手耗时与业务错误在告警上拆开。DNS / Worker 路由
DNS 决定名字落在哪一类边缘；Worker 决定哪一池源站承接本次请求。全网 TTL 一刀切到六十秒往往只换来解析器抖动，却买不到更好的 SSH——SSH 主机名常与营销域名不是同一条记录。更稳妥的是在 Worker 校验粘性键（Cookie 或稳定 header），收窄可接纳源池，避免会话中途被甩到另一大洋。
日志记下边缘机房、源池 id、健康快照版本与企业解析器看到的 DNS 答案；每周对比 Worker 选路与 GeoDNS 意图，偏差先当数据问题。HTTPS 用短效签名 URL；自动化每区固定 SSH 主机名，对外品牌仍可统一。
回源路径
回源路径分两条：HTTPS（控制台、Webhook、制品经 CDN/Worker）；SSH（跳板、git over SSH、远程 Mac shell）。Anycast 利好 HTTPS 短连，不能代替你对真实 SSH TCP 路径的验证。每区固定别名，Runbook 写明对外名与 CI 必用名。
会话粘性在 Worker 比狂改 DNS 好推理：校验令牌、限制单源并发，健康翻转时先削峰到温备再切换。源连接上限与 Worker 并发对齐，防惊群。registry 与 pull-through 跟 Runner 同区，否则 SSH p95 绿而 docker pull 跨洋仍是假绿。
跨区域协作
横跨 美西 与 港新 应每周采样首次完整 SSH 建立并跟踪 p95 相对基线；约十五分钟高于基线约四成时先当广域事件排查 traceroute/海缆通告。同屏记制品小流量 HEAD/GET 的 TTFB p95：仅 SSH 差多看跳板/MTU/鉴权；双差多看 WAN。
固定「黄金重叠」站会窗口，窗口外冻结非紧急 DNS；跨洋自动倒换前两条独立观测（边缘合成 + 办公 VLAN）须一致。人工确认优于追 BGP 抖动。
| 验收项 | 美西 ↔ 港新（指导值） | 运维备注 |
|---|---|---|
| 首次 SSH 建立 p95 | 按环境周基线；>1.4× 基线且持续 15 分钟 告警 | 统一密钥类型、ProxyJump、MTU，保证周环比可比 |
| 制品 HEAD/GET | 与 SSH 同面板记录 TTFB p95 | HTTPS 正常仅 SSH 差 → 查跳板与鉴权；双差 → 查 WAN |
| 倒换演练 | 金丝雀解析器或台式机 /etc/hosts |
工单附签名 dig + mtr，禁止对生产区无声实验 |
# SSH 握手探针（只读账号；工单勿贴密钥）
time ssh -o BatchMode=yes -o StrictHostKeyChecking=accept-new \
-o ConnectTimeout=12 user@ssh.sg.example 'echo ok'矩阵稳定后，把本季度 PoP 与主机名锁进配置基线，日常只动合成健康与 SSH 批探针，比在每次迭代里重谈 DNS 便宜得多。需要可落地的 远程 Mac 算力时，先在 套餐价格页 对齐规格与区域，再在 购买页 下单；开通后至少跑两周基线，让 Worker、DNS 与 SSH 曲线重新对齐。