此小节介绍云堡垒机字符审计。 审计对象为授权的资产数据角色产生的字符访问会话（ssh、telnet），支持查看命令列表，回放访问录屏，中断活动会话，实时播放会话，下载会话审计文件。 操作步骤 1.管理员登录并切换至“审计角色”，选择“会话日志 > 字符审计”。 2.单击“操作”列的“查看”可打开详细命令列表。 3.单击“操作”列的“播放”可使用浏览器在线播放会话。结束时间为空说明是活动会话，单击“播放”可实时观看会话，单击“中断”可中断该会话。

此小节介绍运维用户客户端无法访问用户资产的处理方法。 运维用户客户端无法访问服务器、数据库等用户资产需要排查客户端到云堡垒机以及云堡垒机到运维资产的网络通路，重点排查安全组配置。 注意 请先确认以下配置均已正确配置： 运维终端已正确安装访问插件，并配置访问路径； 用户拥有访问及运维资产的授权。 排查步骤 1. 检查客户端到云堡垒机网络是否能连通。 在您的客户端使用ping命令测试客户端与堡垒机的网络是否连通，如果连接失败，请您登录堡垒机控制台，查看堡垒机EIP是否正常，检查云堡垒机实例安全组策略是否正确配置，确认IP和端口是否正确开放，具体请查阅安全策略配置方法。 2. 检查堡垒机到运维资产网络是否能连通。 检查云堡垒机实例到运维资产的网络和端口是否开放，需要检查运维资产所属安全组的安全端口访问策略限制，是否允许云堡垒机实例访问运维资产。

本小节介绍使用堡垒机实现资产运维细粒度权限管控最佳实践。 背景 传统的权限网格比较粗放，围城内的大部分用户默认具有超范围的权限，外围用户通过VPN连接企业网络后，也默认具备“围城内用户”的身份和权限，越权访问、敏感操作比比皆是且无从管控，发生数据泄露等安全事故后也难以审计追溯具体详情。 天翼云堡垒机提供完善的用户访问授权和精细的操作权限管控，非授权用户无法访问指定资产，授权用户访问资产后无法执行未授权的指定敏感操作。 解决方案 一、访问授权 1、管理员登录堡垒机。 2、左侧菜单选择“授权管理>资产访问授权”。 3、选择“资产访问授权”标签页，点击“新增”切换至授权配置页，在基本属性模块支持配置访问的协议、访问的端口以及授权有效期；维度属性模块可配置主账号(组)和资产(组)以及资产从账号的关联关系。 4、配置完成后，表示主账号(人员账号)可以在指定有效期内，使用指定的资产账户访问指定的资产。 二、命令授权 1、左侧菜单选择“授权管理 > 字符命令授权”。 2、在“命令组”标签页，点击【新增】，在属性中添加需要管控的命令集以及针对性的响应动作。支持以正则表达式的方式匹配相关命令。 3、在“命令授权”标签页，点击【新增】，填写指定用户和资产属性，选择创建的命令组提交。 在维度属性模块中，可配置命令管控策略需要关联生效的“用户 资产账户 资产”场景。 4、配置完成后，表示指定的用户使用指定的资产账户登录资产后，在资产上执行指定的命令时，将会触发策略中指定的响应动作。 5、文件传输配置原理同字符指令，可匹配具体的上传、下载等操作触发相关响应动作。 6、数据库指令配置原理同字符指令，可匹配sql类型、表名及条件去触发阻断或脱敏等动作。

本小节介绍云堡垒机资产运维两种方式。 堡垒机运维员可以通过客户端运维和网页运维方式对已授权的资产进行运维。 客户端运维 前置条件 堡垒机成功纳管资产，且堡垒机与资产的网络可连通。 运维账号已开通且分配了运维角色，同时对账号进行了资产访问授权。 本地终端已安装访问控件并且正确对访问控件进行设置。 操作步骤 1. 用户账号登录云堡垒机系统。 2. 角色身份切换到“访问角色”。 3. 在左侧导航栏，选择“资产访问”。 4. 单击目标运维主机，在右下方访问图标选择访问方式（xshell/putty/secureCRT/vnc/mstsc/Filezila/WinSCP）访问。 网页运维 用户可通过网页直接访问资产，无需安装运维客户端即可完成运维。 说明 通过Html5登录堡垒机只支持进行简单的运维操作，复杂运维可能出现卡顿，显示异常等问题，建议您安装插件并且使用使用mstsc，vnc等方式进行运维。 操作步骤 1. 用户账号登录云堡垒机系统。 2. 角色身份切换到“访问角色”。 3. 在左侧导航栏，选择“资产访问”。 4. 单击目标运维主机，在右下方访问图标选择webterminal方式访问。

此小节介绍用户登录提示“您的账户已经被锁定,请自助解锁或联系管理员”问题如何处理。 账号密码被锁定主要有以下几种情况： 忘记密码，连续输错N次密码后账号自动锁定。 账号、密码超过有效期，自动锁定。 账号空闲超过阈值未登录系统。 管理员主动锁定。 忘记密码 在云堡垒机实例登录页面点击忘记密码，通过注册邮箱重置密码，解锁账号。 注意 忘记密码自助解锁功能，需要用户在注册时有绑定邮箱地址，若未绑定邮箱地址，只能联系管理员解锁。 操作步骤 1. 进入云堡垒机登录页，点击忘记密码。 2. 输入用户名、邮箱等信息，验证用户身份。 3. 输入新登录密码，点击确定后，密码重置成功。 密码过期锁定 在云堡垒机实例登录页面点击自助解锁，通过注册邮箱解锁账号。 注意 密码过期自助解锁功能，需要用户在注册时有绑定邮箱地址，若未绑定邮箱地址，只能联系管理员解锁。 操作步骤 1. 进入云堡垒机登录页，点击自助解锁链接。 2. 进入自助解锁功能后，输入用户名、邮箱和动态验证码，验证用户身份。 3. 输入更新后的密码，注意输入密码需要符合密码安全策略，点击确认。 4. 解锁成功。 其他原因账号被锁定 联系管理员解锁。管理员登入云堡垒机管理后台，在账号管理中可解锁用户账号、更改密码。

此小节介绍如何防止云堡垒机运维的服务器被绕过。 云堡垒机没有防绕过的功能，运维用户只要掌握服务器账号密码，即可直接登录服务器并运维。 为避免云堡垒机被绕过，需要设置服务器安全组，配置入方向仅对云堡垒机IP地址开放，拒绝其他地址访问，实现只通过云堡垒机登录的目的。 操作步骤 1. 登录管理控制台。 2. 在产品服务列表页，选择“网络 > 弹性IP”。 3. 在左侧导航树选择“访问控制 > 安全组”。 4. 在安全组界面找到服务器的安全组，单击安全组操作列的“添加规则”，进入安全组详情界面。 5. 在安全组详情界面，选择“入方向规则”页签，单击“添加规则”，弹出添加规则窗口。 6. 授权对象（源地址）配置为云堡垒机的IP地址。 7. 配置完成后，单击“确定”。

此小节介绍云堡垒机登录日志。 登录日志里admin可查看所有用户在登录堡垒机的详细记录，其他有授权用户可查看到授权的账号数据角色的操作记录。 操作步骤 1.管理员登录并切换至审计角色，在左侧导航栏选择“系统日志 > 登录日志审计”，审计范围包括登录成功与登录失败（密码错误、账号不存在等）的情况。 2.单击详情，可查看用户登录系统后访问资产的信息。 3.单击某条资产访问的详情，从更多维度展示该次访问会话的信息。

本文介绍为何恢复某些备份集时没有库可以选择。 可恢复库列表说明 恢复某些备份集时，没有库可以选择进行恢复，说明该备份仅有系统数据库，没有用户自定义数据库，即用户此前未创建库，系统提供的可选列表会自动屏蔽系统数据库。 您可以创建数据库后，系统会自动备份或者您可以手动创建备份。

本文介绍如何清理备份空间。 清理备份空间 系统内部有自动备份清理机制，用于清理超过保留天数的自动备份，用于减少备份空间占用，具体请参考备份清理。 您可以主动删除手动备份，用于减少备份空间占用，具体请参考删除手动备份。

本文介绍SQL Server实例删除后备份是否会保留。 保留备份 SQL Server实例退订，实例会有一定时间的保留天数，保留期内备份数据不会删除。 SQL Server实例退订超过保留天数后，实例会被真正删除，，此时数据备份和日志备份均会删除，包括手动备份与自动备份，均不会保留。

本文介绍如何处理超出备份空间免费额度的问题。 备份空间免费额度为订购新实例时所选择的存储空间大小，比如，订购SQL Server实例时，存储空间选择了100GB，则赠送100G的备份空间用于存储备份数据。当备份文件大小超出备份空间免费额度时，可以增加备份存储空间或减少备份空间的使用量。 增加备份存储空间（推荐） 通过扩容备份空间，来增加备份存储空间。操作步骤如下： 1. 进入天翼云SQL Server控制台页面，点击【实例管理】，选择需要扩容的实例，点击【更多】菜单，点击【备份空间扩容】，进入扩容页面。 2. 在备份空间扩容页面，选择扩容空间大小，点击确认并支付。 3. 等待一段时间后，通过实例基本信息页面确认备份空间是否已扩容至已订购的大小。 减少备份空间的使用量 减少备份保留天数，系统会自动删除保留天数之前的备份集以减少空间占用。操作步骤如下： 1. 进入天翼云SQL Server控制台页面，点击【实例列表】，选择实例，点击实例ID进入实例基本信息页面，点击【备份恢复】，进入备份恢复子页面。 2. 点击备【份策略】，修改备份保留天数。 减少备份周期，可以设置一周2~3次备份，为了您的数据安全，数据备份不可关闭且一周至少需要2次备份。操作步骤如下： 1. 进入天翼云SQL Server控制台页面，点击实例列表，选择实例，点击实例ID进入实例详情页面，点击备份恢复，进入备份恢复子页面。 2. 点击备份策略，修改备份周期。 删除手动备份，可以删除保留天数之前的手动备份。操作步骤如下： 1. 进入天翼云SQL Server控制台页面，点击【实例列表】，选择实例，点击实例ID进入实例详情页面，点击备份恢复，进入备份恢复子页面。 2. 点击数据备份，选择需要删除的手动备份，点击删除。注意，并非所有保留天数之前的手动备份都可以删除，必须保证该手动备份不被后续的备份所依赖。

本文提供SQL Server买错实例退款的说明。 如果您买错了实例，是可以进行实例退订的操作。 详情请参见退订SQL Server实例

本文介绍SQL Server与其他服务的关系。 虚拟私有云（VPC） VPC是基于天翼云创建的自定义私有网络，为SQL Server提供一个逻辑上完全隔离的专有网络。使用VPC中的安全组、IP地址段、带宽等网络特性，可增强SQL Server服务的安全性。 弹性云主机（ECS） SQL Server配合弹性云主机一起使用，通过内网连接SQL Server可以有效地降低应用响应时间、节省公网流量费用。 弹性IP（EIP） SQL Server配合弹性IP一起使用，为您的实例提供公网访问方式。

本文介绍SQL Server的恢复方案概览。 场景 功能 相关操作 恢复数据 按备份集恢复数据 按备份集恢复数据 恢复数据 将数据恢复至指定时间点 将数据恢复至指定时间点 恢复数据 ZOS备份数据上云 ZOS备份数据上云 恢复数据 跨域恢复 跨域恢复

本文主要介绍SQL Server实例的自动续费功能。 您可在订购实例时选择自动续费功能。 在受理页的自动续订一项，选择启用自动续订，即可开通自动续订。 说明 按月购买：自动续订周期为1个月，按年购买：自动续订周期为1年。 包年/包月的计费模式支持自动续订，按需计费模式在账户余额充足情况下，会默认自动续订，无需勾选【启用自动续订】。

SQL Server Management Studio (SSMS) 是一种集成环境，汇集了许多图形工具和丰富的脚本编辑器，本章节主要说明如何通过SSMS访问购买的SQL Server实例。 前提条件 已创建SQL Server数据库实例； 已创建登录账号并分配相关数据库权限； 操作步骤 1. 打开SQL Server Management Studio (SSMS) 客户端； 2. 首次运行 SSMS 时，系统将打开连接到服务器 窗口。 如未打开，可以选择对象资源管理器 > 连接 > 数据库引擎，将其手动打开； 3. 此时在连接到服务器对话框中填入以下参数： 参数 说明 服务器类型 选择数据库引擎（通常的默认选项）。 服务器名称 SQLServer实例的连接地址及端口号，连接地址与端口号间用半角逗号（,）隔开。获取公网连接地址可以参考申请或释放外网地址。 身份验证 选择登录的身份验证类型，选择SQL Server身份验证。 登录名 登录账号名。 密码 登录账户密码。 4. 完成所有字段后，单击连接按钮。

本文提供SQL Server退订产品的相关说明。 如果您有退订SQL Server产品的需求，可以进行登录天翼云管理中心或SQL Server产品控制台进行退订操作。天翼云目前支持7天无理由全额退订和非七天无理由退订以及其他退订，详细规则请参考 退订规则说明 。 通过订单管理退订 1、登录天翼云官网，进入【费用中心】>【订单管理】>【退订管理】 页面。 2、选择要退订的资源，点击退订，进入退订详情页面。天翼云目前支持单个退订和批量退订。 3、退订前仔细阅读退订须知，然后确认退订资源信息，包括产品名称、资源ID、规格、时间及可退订金额。 4、信息确认无误后勾选协议，点击退订并再次确认，确认后即刻完成退订。退订后资金退回账户余额。 通过产品控制台退订 您可通过SQL Server产品控制台退订， 1. 进入【实例管理】页面，在目标实例的【操作】列，选择【更多 > 退订】。 2. 在退订页面，单击【提交】进行退订操作

存储类型 使用场景 高IO 适用于主流的高性能、高可靠应用场景，例如大型开发测试、Web服务器日志以及企业应用。典型的企业应用有SAP、Microsoft Exchange和Microsoft SharePoint等。 超高IO 适用于超高IOPS、超大带宽需求的读写密集型应用场景，例如高性能计算， NoSQL/关系型数据库。 极速型SSD 适用于需要极低的延迟和高的I/O性能的应用场景，大型OLTP（Online Transaction Processing）数据库等。（极速型SSD云硬盘仅支持挂载至vCPU数量至少为16且为6代以上的计算增强型和内存优化型云主机）

服务阶段 实施任务 实施内容 交付物 购买阶段 购买安全评估服务 请您根据实际需求及服务团队沟通建议购买安全评估服务，购买指引请参见 购买阶段 发起安全评估服务需求 在控制台创建安全评估服务需求，详细操作请参见 准备阶段 确定评估范围、评估人员、评估工具及计划 确定安全评估范围，评估人员及评估工具，制定评估计划，按照计划时间开展评估工作 评估阶段 资产脆弱性扫描 利用用户漏洞扫描产品进行资产扫描，同时整合托管运营平台的脆弱性分析，从主动和被动识别两个维度进行业务资产现存漏洞问题的交叉识别，输出《业务资产安全漏洞清单》，安全服务专家对扫描出来的漏洞进行威胁分析和重要程度排序。漏洞扫描范围包含云主机、Web业务系统、数据库 《业务资产安全漏洞清单》 评估阶段 业务资产脆弱性分析 云端安全专家结合服务资产的业务特征和托管运营平台所采集的流量分析日志，综合分析业务资产存在的弱密码和明文传输等脆弱性问题，并执行脆弱性风险分析，对脆弱性问题进行排序，整合《业务资产安全漏洞清单》输出《业务资产脆弱性问题清单》 《业务资产脆弱性问题清单》 验收阶段 验收 汇总漏洞及业务脆弱性问题，提交安全评估服务报告 《安全评估服务报告》

攻击者画像 应急响应服务团队通过对木马文件、安全日志及攻击痕迹等信息进行分析，对攻击行为信息进行关联分析，对攻击的虚拟身份进行模拟画像，在数据量充足的情况下定位攻击者的真实身份。 安全漏洞复检 基于网络安全事件应急响应资产问题，服务团队提供相应的安全加固建议，在用户对资产完成加固后提供漏洞复检工作，以确认资产漏洞完全修复，避免再次出现相同的安全事件。

参数 类型 描述 是否必须 nodeName String 拓扑节点名称。 取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 是 newName String 拓扑节点的新名称。 取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 否 description String 节点描述信息。 取值：1~50位字符串。 否 parentName String 父节点名称。 取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 默认为根节点。 否

名称 类型 描述 perfScen String 性能调优针对的场景: ICv1：智算场景。 VMv1：虚拟化场景。 default：系统默认的类型。 haSens String 性能调优针对的场景敏感型： High：高敏感型场景。 Middle：中等敏感型场景。 Low：低敏感型场景。 custom：用户设置的场景。 Unknown：场景未知。

HTTP status 错误码 错误信息 描述 400 CanNotAddNodeToPool The node nodeName has no available paths added to storage pool poolname . 该节点没有可用的path节点添加到存储池。 400 CanNotDeleteBasePool The storage pool with name poolName can not be deleted. It is a base pool. 无法删除基础存储池。 400 CanNotDeleteNode The node nodeName can not be deleted. Please remove its child nodes and try again. 该节点不能移除，需要先移除它的子节点后才能移除该节点。 400 CanNotDeleteRootNode The type of node nodeName is root, it cannot be deleted. 不能删除根节点。 400 CanNotMoveNode The node nodeName can not be moved. Please make sure the node type is not lower than the fault domain level of storage pool which its leaf node belongs to. 节点不满足重新映射条件，请修改后重试。 400 DuplicatedNode The node with name nodeName is not unique in the topology. 节点名称在集群中不唯一。 400 ExceedThreshold The number of operation cannot exceed value . 超出了系统允许的最大个数，无法执行该操作。 400 InvalidEnumValue Value value at 'node type' failed to satisfy constraint: Argument must satisfy enum value set: [ value1, value2... ] 节点类型错误，不符合枚举值。 400 InvalidFile Failed to parse file filename . 文件格式不正确。 400 InvalidNodeName Value value at 'node name' failed to satisfy constraint: Argument must contain only letters, digits, dots (.), underscores () or hyphens (), and does not exceed 63 characters, must begin with a letter or digit. 节点名称不正确。长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 400 InvalidNodeType Value value at 'node type' failed to satisfy constraint: the first node type must be root. 节点类型的包含关系错误，第一个节点必须是root。 400 InvalidNodeType Value value at 'node type' failed to satisfy constraint: childNodes of room are limited to [rack, server], childNodes of rack to [server], childNodes of server to [path] only. 节点类型的包含关系错误。room的节点仅限于rack、server，机架的子节点是server，server的子节点是path。 400 InvalidPathStatus The path path status is ' status ', the request is invalid. 数据目录状态不正确，无法执行操作。 400 InvalidPoolName Value value at 'pool name' failed to satisfy constraint: Argument must contain only letters, digits, underscores () or hyphens (), and does not exceed 16 characters, must begin with a letter or digit. 存储池名称不正确。 400 InvalidTopology Failed to parse topology. 拓扑格式不符合要求。 400 InvalidTopologyContent The content of the topology is not compliant. 拓扑文件内容解析错误。 400 InsufficientPath The base storage pool must have at least one disk path. 基础存储池至少要有一个数据目录。 400 LUNCorruptedRisk There is a LUN with redundancy mode, which has the minimum requirement for the number of fault domains. LUN: lunName1 [, lunName2.... ] Removing the node may cause data loss. You can use force remove. When using this option, there may be a risk of data loss. 节点移除后会造成卷数据损毁：lunName1[, lunName2....]。移除节点可能会引起数据丢失。只能使用强制移除。请注意，强制移除，会产生数据丢失风险，请谨慎操作。 400 LUNExists There are LUNs in this storage pool Please delete all LUNs and try again. 存储池关联的卷不存在。 400 MissingRequiredAncestorNode The node nodeName has no ancestor node with type nodetype . 没有对应的父节点类型。 400 MissingRequiredDescendantNode The node nodeName has no descendant node with type nodetype . 没有对应的子节点类型。 400 NodeAlreadyExists The node with name nodeName has already exists in the topology. 节点名称已经在拓扑图中存在。 400 NodeNotAllowed The type of node nodeName is type, the request is invalid. 节点名称和节点类型不匹配。 400 NoSuchFile The file with name filename does not exist. 文件不存在。 400 NoSuchNode The node with name nodeName does not exist. 节点不存在。 400 NoSuchStoragePool The storage pool with name poolName does not exist. 存储池不存在。 400 NodeTypeNotMatch Node type does not match. Please check parent node type. 节点类型不匹配，请检查父节点。 400 PathConflict Can not use path pathName because it belongs to another storage pool. 不能添加该节点，因为该节点已经属于其他存储池。 400 PermissionDenied Failed to action because user has no permission. 用户的权限不足，无法执行操作。 400 PoolAlreadyExists The storage pool with name poolName already exists. 存储池名字已经存在。 400 RemoveFaultDomainRisk Can not remove multiple fault domains at the same time. You can use force remove. When using this option, there may be a risk of data loss. 无法同时移除的多个故障域。 400 RemoveNodeRisk The node nodeName or its child nodes are being used by a storage pool. Removing the node may cause data loss. You can use force remove. When using this option, there may be a risk of data loss. 移除节点可能会引起数据丢失。只能使用强制移除。请注意，强制移除，会产生数据丢失风险，请谨慎操作。 400 SamePool Cannot use the same storage pool poolName. 不能使用名字相同的存储池。 400 StandaloneModeNotAllowed ' operation ' is not supported by standalone mode of HBlock. 单机版本HBlock不支持该操作。 400 SystemCrashRisk The node nodename can not be removed because there is only one available fault domain left in the base storage pool, or the node is related to multiple fault domains in the base pool, removing node may result in a system crash. 无法移除节点，存在以下情况之一，移除节点可能引发系统崩溃：基础存储池仅剩一个可用故障域时，无法移除故障域内的任何节点；节点涉及基础存储池的多个故障域。 409 InvalidPoolStatus The status of storage pool poolName is 'status', the request is invalid. 存储池当前的状态不正确，请求无效。

本节主要介绍修改拓扑节点信息命令。 ./stor topology set { n name } NODENAME [ changedescription ] [ newname NEWNAME ] [ parentnode PARENTNODE ] 此命令用来修改拓扑节点信息。 注意 不支持修改path级别的节点信息。 参数 描述 : n NODENAME 或 nam e NODENAME 指定拓扑节点名称。 取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 changedescription 修改拓扑节点的描述信息。 newname NEWNAME 指定拓扑节点的新名称。 取值：字符串形式，长度范围1~63，只能由字母、数字、句点(.)、下划线（）和短横线()组成，字母区分大小写，且仅支持以字母或数字开头。 parentnode PARENTNODE 修改拓扑节点的父节点。 示例 示例1 将节点hblock4的父节点修改为room3。 [root@hblockserver CTYUNHBlockPlus3.7.0x64] ./stor topology set name hblock4 parentnode room3 Set node hblock4 successfully. 示例2 修改节点room3的名称为room3。 [root@hblockserver CTYUNHBlockPlus3.7.0x64] ./stor topology set name room3 newname room3 Set node room3 successfully.

本节主要介绍存储池列表信息。 点击导航栏中的“服务”>“存储池”，进入“存储池管理”页面。在“存储池管理”页面，可以查看存储池相关信息。可以通过“存储池名称”查找对应的存储池。 图1 存储池管理 项目 描述 存储池名称 存储池名称。 ：表示是基础存储池。 状态 存储池状态： 正常。 删除中。 故障域级别 存储池故障域级别： 数据目录级别。 服务器级别。 机架级别。 机房级别。 容量 存储池总容量。 缓存存储池卷 使用该存储池作为缓存存储池的卷。 存储池卷 使用该存储池作为存储池的卷。 卷存储模式：个数/容量 各种模式卷对应的个数及卷总容量。

介绍HBlock部署环境的配置操作。 按照环境要求，准备3台或3台以上的服务器。 注意 确保ping命令和ps命令可用。Debian/Ubuntu可以使用下列命令安装ping命令和ps命令。 plaintext aptget update /获取最新安装包 aptget install iputilsping / 安装ping命令 aptget install procps / 安装ps命令安装 每台服务器按照下列操作步骤完成配置，以下操作以CentOS 7.x版本为例： 说明 如果已经安装操作系统，请忽略步骤1。如果磁盘已挂载，请忽略步骤2，可以使用挂载路径作为HBlock的数据目录，或者使用命令mkdir DIRECTORY在挂载路径下创建一个目录，将此目录作为HBlock数据目录。 1. 安装操作系统CentOS 7.x版本 2. 格式化硬盘并挂载 请参考下列示例将服务器上的硬盘进行格式化，方便后续部署使用。 plaintext lsblk 查看硬盘 mkfs.ext4 /dev/vdX 将硬盘格式化为 ext4,如果已经格式化磁盘，请忽略此步骤。 mkdir DIRECTORY 创建挂载路径，DIRECTORY为路径名 mount /dev/vdX DIRECTORY 挂载硬盘，挂载后，可以使用该路径作为HBlock数据目录 说明 mount命令为临时挂载命令，服务器重启后，需要再次挂载。对于HBlock使用到的目录，建议设置开机自动挂载，或使用已设置自动挂载的目录或子目录。 注意 如果安装HBlock的用户为非root用户，需要对HBlock使用到的目录有读写权限，可以使用下列命令。 plaintext chown HBlock用户:HBlock用户所属组 DIRECTORY 3. 关闭SELinux和swap分区（建议） 4. 防火墙设定 确保集群服务器之间可以相互访问，集群服务器之间相互添加白名单，另外请开启iSCSI端口，以便客户端连接到服务器的target。如果是在云主机上安装，安全组中也需要添加白名单。 若您的服务器未开启防火墙，可以忽略此步骤。 如果防火墙是firewall，示例如下： 1. 开启iSCSI端口，如iSCSI端口为3260时： plaintext firewallcmd permanent addport3260/tcp 2. 集群各服务器的IP添加白名单： 添加IPv4地址 plaintext firewallcmd permanent addrichrule"rule familyipv4 source addressyourIP accept" // yourIP is IP address allowed to access 添加IPv6地址 plaintext firewallcmd permanent addrichrule"rule familyipv6 source addressyourIP accept" // yourIP is IP address allowed to access 3. 重新加载防火墙使配置生效： plaintext firewallcmd reload 如果防火墙是iptables，示例如下： 1. 开启iSCSI端口，如iSCSI端口为3260时： plaintext iptables I INPUT p tcp dport 3260 j ACCEPT 2. 集群各服务器间相互访问： 允许本地环路地址 plaintext iptables I INPUT i lo j ACCEPT 允许内部网段访问 plaintext iptables I INPUT s yourIP j ACCEPT 3. 保存配置： plaintext iptablessave 5. 设置资源限制 修改配置文件/etc/security/limits.conf，在配置文件中增加下列内容，设置在domain中打开的最大文件数、同时运行的最大进程数 plaintext domain soft nofile 65536

本节介绍N100管理类常见问题。 N100过期后无法配置？ N100授权过期后会锁定配置，需导入续订授权后重启恢复。如过期时间较长会影响业务正常访问。 建议：过期后还请尽快续订，如不续订，还请解绑弹性IP至业务主机，防止出现业务影响。 N100如何创建管理员用户？ 要创建管理员用户，请登录N100的Web管理页面，导航到系统设备管理选项，然后选择管理员管理。在此处，您可以新建管理员用户，分配唯一用户名和强密码，以及为其分配适当的角色和权限。 注意 创建管理员用户涉及系统权限，因此确保定期审计管理员用户，启用多因素身份验证，并使用最小权限原则来降低管理上的风险。 N100是否满足三权分离？ 三权分离用于确保权力不会集中在一个单一的实体或个人手中，以防止滥用权力、促进监督和平衡，从而维护公共机构的透明性和效力。在信息安全领域，三权分离原则通常应用于管理系统和数据的访问和操作，以保护网络安全和防止内部滥用权力。 N100提供内置的管理员、操作员和审计员权限，允许实现三权分离。您可以登录N100的Web管理页面，导航到系统设备管理选项，然后选择管理员管理并分配相应权限，以确保合适的角色和职责，但需要定期审计和管理用户权限，以最大程度地减少潜在的管理上风险。

实践 描述 介绍如何选择最适宜用户使用场景和带宽的防火墙规格，以及介绍如何启用防护配置策略，配置防护规则，适用于初次使用防火墙，不知道如何选择适宜自己场景的防火墙规格以及不知道如何启用防火墙产品的用户及场景。 介绍如何进行访问控制策略配置，在日常生产场景中，常用哪些访问控制策略应该需要配置，适用于安全应用了解较少，需要进行标准化策略防护的用户及场景。

接口功能介绍 给防火墙定义一个随机名称 接口约束 传参规范 URI GET /vfw/v2firewallrandomfirewallname 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 urlType 是 String 请求地址类型 CTAPI regionId 是 String 资源池id 100054c0416811e9a6690242ac110002 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 状态码 message String 返回信息 成功 error String 错误码：CFW0000 :成功!;CFW0001:参数错误！;CFW0002：业务错误！ CFW0000 returnObj String 接口返回结果 枚举参数 无 请求示例 请求url 无 请求头header { "regionid": "100054c0416811e9a6690242ac110002", "urlType": "CTAPI" } 请求体body {} 响应示例 { "statusCode": "200", "error": "CFW0000", "message": "成功!", "returnObj":"CFW8540" } 状态码 请参考 状态码 错误码 请参考 错误码

本节介绍WAF对SQL注入、XSS等漏洞的检测原理。 WAF对SQL注入的检测原理？ SQL（Structured Query Language）注入攻击是一种常见的Web攻击方法，攻击者通过把SQL命令注入到数据库的查询字符串中，最终达到欺骗服务器执行恶意SQL命令的目的。例如，可以从数据库获取敏感信息，或者利用数据库的特性执行添加用户、导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。 WAF针对SQL注入攻击的检测原理是检测SQL关键字、特殊符号、运算符、操作符、注释符的相关组合特征，并进行匹配。 SQL关键字（如 union，Select，from，as，asc，desc，order by，sort，and ，or，load，delete，update，execute，count，top，between，declare，distinct，distinctrow，sleep，waitfor，delay，having，sysdate，when，dbauser，case，delay 等） 特殊符号（’”,; ()） 运算符（±/%） 操作符（，>, , 、’、”） 外部链接（href“http：//xxx/”，src"http：//xxx/attack.js"） 说明 如果业务需要上传富文本，可以用multipart方式上传，不用body方式上传，放在表单里，即使base64编码也会解码。分析业务场景，建议限制引号、尖括号输入。

WAF如何解析/访问IPv6源站？ 当防护网站的源站地址配置为IPv6地址时，WAF直接通过IPv6地址访问源站。WAF默认在CNAME中增加IPv6地址解析，IPv6的所有访问请求将先流转到WAF，WAF检测并过滤恶意攻击流量后，将正常流量返回给源站，从而确保源站安全、稳定、可用。 WAF支持IPv6/IPv4双栈模式和NAT64机制，详细说明如下： Web应用防火墙支持IPv6/IPv4双栈，针对同一域名可以同时提供IPv6和IPv4的流量防护。 针对仍然使用IPv4协议栈的Web业务，Web应用防火墙支持NAT64机制（NAT64是一种通过网络地址转换（NAT）形式促成IPv6与IPv4主机间通信的IPv6转换机制），即WAF可以将外部IPv6访问流量转化成对内的IPv4流量。

本节介绍如何处理WAF误拦截了“非法请求”访问请求。 问题现象 防护网站接入WAF后，访问请求被WAF拦截，在“防护事件”页面查看防护日志，显示访问请求为“非法请求”且误报处理按钮置灰不能使用。 可能原因 当遇到以下情况时，WAF将判定该访问请求为非法请求并拦截该访问请求： POST/PUT使用“formdata”时，表单的参数个数多于8192个。 URI的参数个数多于2048个。 Header个数超过512个。 处理建议 当确认访问请求为正常请求时，请参见配置精准访问防护规则放行该访问请求。