基础设施成本优化（三）：公网网络成本怎么砍？带宽 + 证书双维度优化

基础设施成本优化三公网网络成本怎么砍带宽 证书双维度优化这是基础设施成本优化系列第三篇前面我们先后拆解了 CDN、CDN 降本实战案例。顺着之前的思路本篇聚焦公网网络侧的开销。整套系列节奏保持一致先看懂计费逻辑再拆解落地动作最后附上可直接拿去用的检查清单。很多团队做成本盘点的时候很容易把网络这块简化成 “买带宽”。网络账单主要由两块构成公网带宽费用 TLS 证书相关费用。带宽的计费逻辑和 CDN 高度相似但又有自己独有的坑证书的开销经常被当成小额支出忽略业务域名一多叠加起来成本和维护负担都不小。先提前说一句公网带宽和 CDN 带宽不能混为一谈。CDN 是边缘节点的分发带宽而这里讲的是云主机、负载均衡、源站出口的公网 EIP 带宽也就是源站直面公网的那一层。很多时候 CDN 优化做完了但是源站公网带宽的尖峰依然在持续拉高账单。1、先看懂公网带宽计费和 CDN 逻辑同源但场景不一样云厂商公网带宽主流也是两大类结算模式判断方式、成本测算思路和我们第一篇 CDN 几乎一致。1.1 模式 A95 峰值 / 日峰月均带宽计费95 峰值计费按月采集全部 5 分钟粒度带宽采样点排序之后剔除最高 5% 的尖峰剩下采样点里的最大值作为结算带宽。日峰月均每天取带宽峰值全月的日峰值做平均值结算。核心特点付费看瞬时带宽尖峰和总流量无关。哪怕一个月绝大部分时间带宽很低一次突发流量、爬虫、回源风暴就会拉高整月账单。适合场景业务流量波动大有大促、版本发布、文件下载这类突发流量同时业务体量比较大。重点提醒公网带宽这里有一个 CDN 没有的常见方案 ——共享带宽包。多个 EIP 共用一个带宽池分散各个 IP 的峰值抹平单点尖峰是很多团队降本的首选。如果每个机器单独购买独立带宽每个 IP 都预留峰值冗余会非常严重。1.2 模式 B按流量计费按公网实际进出流量GB/TB结算用多少付多少阶梯定价。特点成本和流量总量挂钩不怕瞬时带宽尖峰但是流量持续跑的话账单会线性上涨。单位流量单价一般高于峰值带宽模式。适合场景中小业务、流量平稳、平时带宽利用率极低普遍低于 10%的服务内部管理后台、低频访问站点。1.3 怎么选更划算和 CDN 一样季度复盘核算峰值带宽模式费用 结算带宽 (Mbps) × 带宽单价流量计费费用 总流量 (GB) × 流量单价每一个季度拉取近 3 个月的带宽监控数据分别算两种模式的理论账单对比差额。差额超过 10%就要调整计费方案。一个很容易踩的坑很多团队上云初期直接固定包年包月带宽签完合同常年不复盘带宽利用率长期低于 15%相当于持续为不存在的峰值付费。2、优化主线一公网带宽降本削峰填谷针对峰值计费目标抹平公网出口带宽尖峰降低结算带宽。很多源站带宽尖峰本质上是 CDN 侧没有治理干净的回源流量、异常流量传导上来的。2.1 先定位带宽峰值来源不要直接扩容先导出 5 分钟粒度的带宽时序做多维度拆分• 来源 IP是正常业务用户、CDN 回源节点还是爬虫、扫描器、盗刷流量• 方向入带宽打满还是出带宽打满公网账单一般取双向带宽里的较大值计费• 服务是负载均衡、源站服务器、数据库公网访问产生的流量• 时间峰值是业务主动带来还是定时任务、夜间同步、批量拉取触发公网带宽最常见三类尖峰• CDN 回源风暴缓存命中率差大量请求穿透并发回源瞬间打满源站出口带宽这也是第一篇我们反复强调回源治理的原因• 单点 EIP 突刺单个业务 IP 突发流量其他 IP 空闲独立带宽模式下无法互相兜底• 无效异常流量爬虫、端口扫描、恶意请求、没有拦截的盗链流量2.2 削峰落地手段手段 1收敛到共享带宽包打散单点峰值如果业务有多个 EIP、多个负载均衡优先把独立 EIP 迁移进同区域共享带宽池。多个业务的尖峰一般不会完全同步自然实现错峰兜底不用为每一个 IP 单独预留峰值带宽。这是投入产出最高的改动。手段 2错峰限流、流量熔断保护出口带宽针对批量导出、数据同步、日志拉取这类可延迟任务放到业务低峰期执行。配置源站侧的出口限流、队列熔断在带宽快要触达阈值的时候对非核心请求做降级防止尖峰抬升整月 95 带宽。架构长期治理流量调度与分层减少源站公网暴露两种计费模式通用上面两个手段偏向快速止血、抹平突发尖峰。而流量分层收敛属于架构级优化改造周期更长峰值带宽、流量计费场景都能受益• 静态资源、大文件全部交给 CDN 承接杜绝源站直接对外分发静态文件• 服务内部调用、中间件、数据库访问优先走内网、PrivateLink不走公网 EIP内网流量不计入公网带宽账单• 后台、内部管理系统优先走 VPN / 专线访问尽量不暴露在公网• 核心业务与离线同步、数据导出等旁路流量做链路隔离防止旁路流量抢占公网出口带宽冲击核心业务。3、优化主线二降低公网总流量两种计费模式通用不管是峰值带宽还是流量计费减少公网传输总量都能降低成本。这部分策略和 CDN 有重合但侧重点是源站到公网这一段。•前置拦截无效异常流量在负载均衡、WAF 层面配置访问控制IP 限流、UA 拦截、爬虫识别、防盗链规则。很多带宽消耗来自爬虫、端口扫描、恶意盗链这类完全无业务价值的流量。如果是突发式爬虫攻击拦截后还能顺带消除突发带宽尖峰如果是持续爬取则直接减少长期稳定的公网流量消耗。• 开启源站侧 Brotli/Gzip 压缩接口、文本资源压缩传输• 接口做响应体裁剪按需返回字段避免返回超大冗余 JSON• 静态资源全部上 CDN源站不再直接对外提供大文件下载• 协商缓存、强缓存规范配置减少重复请求回源拉取资源4、优化主线三TLS 证书成本优化证书去重 精简证书大小证书这块很多 SRE 容易忽视觉得一张证书花不了多少钱但是域名几十上百个之后零散采购单域名证书叠加年费、维护成本开销会明显上涨同时证书体积过大会增加 TLS 握手包大小抬高握手流量、增加延迟间接带来带宽消耗。4.1 证书去重收敛减少证书采购数量砍掉重复付费核心思路用通配符证书、SAN 多域名证书替代大量零散的单域名证书。• 通配符证书一张*.example.com覆盖这个主域下面所有同级子域名不用每个子域名单独买证书• SAN 多域名证书一张证书里面绑定多个独立主域名适合跨主域、域名数量多的场景• 清理僵尸证书下线域名、废弃服务对应的证书及时吊销停止续费。很多证书账单里有一半证书对应的业务早就下线了只是忘了取消续费实操经验内部后台、非交易类站点优先选用免费 DV 证书ACME 自动签发对外交易、需要企业资质展示的业务再按需采购 OV/EV 证书不要全部高价证书造成规格过剩。证书收敛之后除了省钱还有一个附带收益证书管理工作量大幅下降不用维护几十张证书的到期告警、轮换流程。4.2 降低证书本身大小减少握手流量开销证书链太长、中间证书过多TLS 握手的时候会携带大量数据包每一次 HTTPS 握手都会额外消耗公网流量高 QPS 服务下累积效应很明显。落地动作1. 优先选择精简证书链尽量减少中间证书的数量避免三级、四级长证书链2. 开启 TLS 证书压缩TLS 1.3 支持证书压缩握手包体积可以下降 30%~50%3. 优先使用 ECDSA 椭圆曲线证书对比传统 RSA 证书密钥更短、证书体积更小握手更快流量更少只有老旧客户端兼容场景才保留 RSA 证书4. 合理配置 OCSP Stapling不再让客户端单独发起 OCSP 校验请求减少额外的出站公网流量补充提醒证书体积优化不会直接减少证书采购费但是高 QPS 服务下能够持续降低公网小包流量、降低延迟同时减少源站的连接压力属于性价比很高的精细化优化。5、落地实战案例复盘案例 1多业务独立 EIP → 迁移共享带宽包95 峰值计费场景业务背景内部有 5 个业务独立 EIP每个 EIP 单独购买 100Mbps 95 峰值带宽各个业务峰值错峰A 业务晚上 8 点峰值、B 业务凌晨 2 点峰值、C 业务白天峰值。之前每个业务都要预留 100Mbps 带宽兜底月度网络费用很高带宽利用率平均只有 12%。优化动作1. 将 5 条独立 EIP 全部迁入同一个共享带宽包总保底带宽调整为 150Mbps2. 保留每个业务的流量监控按业务维度做带宽配额隔离防止单业务打爆整个共享池3. 保留原有 WAF、限流规则不动收益结果结算带宽从原来 500Mbps5×100下降到稳定 140Mbps带宽成本直接降低 72%。核心原理业务峰值错开共享带宽池天然削峰不用每个业务单独预留峰值冗余。案例 2突发爬虫攻击持续抬高原站公网带宽流量计费场景业务背景图片展示站点流量计费模式。每天稳定公网流出流量大约 800GB某天突然涨到 2200GB账单直接暴涨。排查后发现是恶意爬虫不间断遍历全量图片接口大量无效公网流量。优化动作1. 在负载均衡层配置爬虫 UA 黑名单、单 IP 5 分钟访问限速2. 配置 Referer 防盗链阻止第三方站点盗链3. 同步把原图分发全量切到 CDN源站不再直接返回原图收益结果日均公网流量回落至 760GB异常流量拦截占比接近 65%月度网络费用下降约 62%同时消除爬虫带来的带宽毛刺。案例 3证书收敛治理数十张零散单域名证书合并为 SAN 通配符证书业务背景产品线有 28 个子域名早期每个子域名单独采购单域名 OV 证书每年证书采购 运维轮换工作量巨大部分证书是长链 RSA 证书握手包大接口 QPS 高小包流量开销明显。优化动作1. 域名分组一组用通配符证书*.api.example.com一组用 SAN 证书绑定 8 个独立主域2. 下线废弃业务对应的 11 张僵尸证书停止续费3. 新证书选用 ECDSA精简证书链开启 OCSP Stapling收益结果证书数量从 28 张收敛到 3 张证书采购成本下降 85%TLS 握手包平均体积下降约 40%高并发接口的小包公网流量持续减少证书到期运维工作量大幅降低。6、落地检查清单6.1 带宽计费侧• 拉取近 3 个月带宽时序测算 95 峰值、流量计费两种方案成本确认当前计费模式最优• 清点 EIP评估是否适合接入共享带宽包消除独立带宽冗余• 确认入 / 出带宽计费规则确认账单是取双向最大值结算• 核查保底带宽条款保底额度利用率低的时候评估下调保底6.2 带宽削峰与流量治理• 区分公网流量来源统计 CDN 回源、业务访问、爬虫扫描流量占比• 批量任务、数据导出配置错峰执行、出口限流策略• 静态资源全部交由 CDN 承接禁止源站直接对外分发大文件6.3 总流量治理• WAF / 负载均衡配置爬虫、恶意 IP、盗链拦截规则• 源站文本资源开启 Brotli/Gzip 压缩• API 接口按需返回字段裁剪冗余响应内容• 静态资源配置规范的强缓存、协商缓存策略• 内部服务通信、数据库访问、跨服务调用优先内网 / PrivateLink不走公网6.4 TLS 证书优化• 梳理全量域名证书清单清理废弃、僵尸证书停止续费• 评估域名分组使用通配符 / SAN 证书合并零散单域名证书• 区分业务等级普通静态站点、后台用免费 DV 证书核心交易业务按需选用 OV 证书• 优先 ECDSA 证书精简证书链长度开启 OCSP Stapling• 配置证书自动轮换、到期告警避免手动运维失误7、系列文章规划✅ 第一篇CDN 成本优化原理与落地方法论✅ 第二篇CDN 成本优化实战案例复盘✅ 本篇公网网络带宽 证书成本优化 下一篇计算资源成本优化聊聊云服务器、弹性实例、预留实例的计费选型与降本附录CDN 成本优化思维导图