架構圖上有 Primary 與 Backup，不代表故障真的發生時，服務一定會恢復。
真正需要驗證的是：
當主要設備失效，下游系統會發生什麼？
備援至少有三層問題
- Backup 設備有沒有接手？
- Route / Session / Tunnel 有沒有恢復？
- 真正依賴網路的系統有沒有重新工作？
臺大新南停車場的文件案例
工程資料記錄一次 Controlled Failure Test：
- Primary device 被斷電
- Backup 進入 HA 運作
- 文件中的 10 個外部 VPN endpoints 重新連線
這個測試的價值不在「有兩台 firewall」，而在於驗證了下游連線的實際行為。
結論
對停車、門禁、監控或其他營運系統來說，備援設計應該包含故障情境與測試方法，而不是只列設備數量。
RELATED