参数 说明 取值样例 名称 SSL服务端的名称。 SSLserver1 区域 VPN网关所在的资源池。 华东1 VPN网关 选择需要使用的VPN网关。 vpngatewaya5f1ssl 虚拟私有云 选择要使用的VPC作为本端资源。 vpca7f3 本端子网 选择本端需要连接的子网网段信息（可以复选，最多5个网段）。 subnetyl(192.168.0.0/24) 客户端地址池 配置客户端地址池范围。 10.0.0.0/24 协议 SSL VPN使用的协议。 默认：TCP TCP 启用UDP 是否启用UDP协议栈以提升转发效率。 默认：关闭 启用 端口 SSL VPN使用的端口，端口可配置范围：1024～4499，4501~49151。 默认：1194 1194 加密算法 SSL VPN使用的加密算法。 默认：AES256GCM AES256GCM 是否压缩 是否对传输数据进行压缩处理。 默认：否（暂仅支持未压缩模式） 否 自定义DNS SSL VPN需要配置的自定义DNS地址。 10.10.1.1 启用双因子认证 · 启用双因子认证，客户端登录不仅需要证书，同时需要输入密码。· 取消双因子认证，登录端登录只需要证书，无需密码。 开启

本文介绍如何集群创建。 集群是计算资源的集合，包含一组节点资源，容器运行在节点上。在创建容器应用前，您需要存在一个可用集群。目前最多可以创建5个集群，请确保至少有一个可用的集群。如集群数量不够，可申请增加配额。 操作前提 能够确保账户中有充足的余额，否则将导致您的业务开通失败； 在【创建集群】之前，请确保已完成VPC、子网的创建及安全组的配置，若未创建可参考上一【环境设置】部分。 操作步骤 1. 登录天翼云； 2. 选择【控制台】>点击切换到具体资源池，如杭州2节点； 3. 在控制台中找到【容器服务】>点击【容器引擎】，进入容器服务界面； 4. 进入【总览】页面>单击【创建集群】按钮，进入集群创建界面； 5. 按照需要完成集群参数填写，集群创建参数详见下表，其中带“”的参数为必填参数。 参数 参数说明 基础配置 集群名称 新建集群的名称 Kubernetes版本 1.15/1.18 地域 根据最初选择的地域决定，集群创建过程中不可选 虚拟私有云 新建集群所在的虚拟私有云。若没有可选虚拟私有云，单击“创建虚拟私有云”进行创建 子网 节点虚拟机运行的子网环境。若没有可选子网，单击“创建子网”进行创建 系列 分为基础版、高级版（基础版集群将创建1个master节点和相应控制节点，worker节点配置由用户自由选择；高级版集群将创建3个master节点和相应控制节点，worker节点配置由用户自由选择。) 容器CIDR 默认是10.223.0.0/16，确定容器网段后，容器实例将在规划的网段内分配IP。不能与集群所选的VPC重复，当vpc和容器网段或者服务网段冲突提示：默认网段与所选虚拟私有云网段有冲突，请重新选择vpc 服务CIDR 默认是10.96.0.0/16，服务网段为kubernetes service ip网段，请根据业务需求选择该网段。不能与集群所选的VPC重复 企业项目 此项与主子账户权限有关，如果有主子账户权限分配要求，请提前规划企业项目 注： 如果您选择了IPv4/IPv6双栈的VPC和子网，那么要同时设置IPv4的容器CIDR和服务CIDR，以及IPv6的容器CIDR和服务CIDR，均不能与集群所选VPC重复。默认情况下，IPv6容器CIDR：fd03::/112；IPv6服务CIDR：fd05::/112。如有需要用户请根据个人需求进行修改。 worker 节点配置 规格 请根据业务需求选择相应的节点规格。 当前使用的是通用型S2类型云主机，可选规格以界面上显示为准 操作系统 请选择节点对应的操作系统 系统盘 默认为普通IO，50GB 数据盘 普通IO、高IO，规格为[50,2048]GB，默认50GB;范围502048GB;整数;填入小数自动四舍五入为整数，输入为空自动设置为50；步长为10 弹性IP 使用已有IP：使用已经创建出的弹性公网IP 创建后设置：不使用弹性公网IP（不使用弹性公网IP不能通过公网发送请求，可创建后绑定） 网络模型 容器隧道网络：基于底层 VPC 网络，构建独立的容器 VXLAN 隧道化的容器网络，与底层网络解耦，支持高扩展性，网络策略，多容器网络平面 worker节点数 默认最小值是1，只允许填入整数；步长为1；设置的节点数不能超过最大节点规模50；输入为空自动设置为1 购买时长 根据需求，设置购买时长 6. 确认右侧订单详情无误并确保已放开安全组6443、9080、9443、2379、2380端口后，单击【创建集群】，进入付费界面，完成费用支付； 7. 集群创建预计需要 610 分钟。请根据界面提示查看集群创建过程。创建完成后，点击【返回集群管理】链接； 8. 在导航栏单击【资源管理】>【集群管理】标签，进入集群列表界面，可查看创建的集群。

本文汇总了使用对等连接产品时常见的问题。 对等连接是否收费？ 对等连接免费提供服务。如果您在使用对等连接的同时使用了云主机、弹性IP等其他云产品，需要按照各云产品的计费规则支付费用，具体请详见各产品的计费说明；例如：弹性云主机计费规则请参考 计费项及其计费方式。 为什么对等连接建立成功，但两端VPC仍然不能正常通信？ 请按以下步骤进行故障排除： 1. 检查对等连接的两个VPC是否已创建对等连接，主要检查对等连接的VPC ID。 2. 检查对等连接下的两个VPC是否都已添加到对端的路由信息。 3. 检查对等连接下的路由信息是否正确，当两个VPC网段重叠时，要配置对端子网的路由。 4. 检查对等连接的两个VPC的所有子网网段，是否有重叠的。 5. 检查对等连接两端要互通的弹性云主机是否开放了安全组规则，弹性云主机的iptables或防火墙是否加了限制规则。 6. 如果添加对等连接路由时，报错“路由已存在”，请检查：对等连接等路由的目的地址是否已存在。 7. 对等连接的路由目的地址有重叠，此时路由有可能失效。 8. 如果以上问题均已排除，请联系客服。 每个用户可申请多少个对等连接？ 在默认情况下，每个用户每个资源池最多可拥有50个对等连接，如果您有更多数量的对等连接的需求，可以提工单申请扩大配额。除了对等连接数量限制外，对等连接还有本端路由和对端路由数量的限制，即每个对等连接可创建本端路由数量限制 100 条，每个对等连接可创建对端路由数量限制 100 条。

操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页面。 步骤 5 设置安全组规则。 在“网络信息”模块的“内网安全组”处，单击安全组名称，进入安全组页面。 步骤 6 在“入方向规则”子页签下单击“添加规则”，在“添加入方向规则”弹出框中填选安全组信息，单击“确定”。 单击可以依次增加多条入方向规则。 表 入方向参数说明 参数 说明 取值样例 ::: 协议端口 安全组规则作用的协议。 目前支持“全部方通”、“全部TCP”“自定义TCP”、“全部UDP”、“自定义UDP”“ICMP”和“GRE”等协议。 选择“全部放通”，表示全部协议端口。 自定义TCP 协议端口 端口：允许远端地址访问弹性云主机指定端口。 通过内网连接实例 时，输入已购买弹性云主机的目标实例的端口。 单个端口：例如22 连续端口：例如2230 全部端口：为空或165535 源地址 源地址：可以是IP地址、安全组。 xxx.xxx.xxx.xxx/32（IPv4地址） xxx.xxx.xxx.0/24（子网） 0.0.0.0/0（任意地址） 0.0.0.0/0 描述 安全组规则的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含“ ”。 操作 支持复制或删除一条安全组规则。只有一条安全组规则时不能删除。

本章节介绍如何通过弹性云主机通过内网连接数据库实例。 准备工作 步骤1. 准备弹性云主机 通过内网连接关系型数据库实例，您需要创建一台弹性云主机。 创建并连接弹性云主机。 该弹性云主机与目标实例必须处于同一VPC、子网内。 该弹性云主机必须处于目标实例所属安全组允许访问的范围内。 如果目标实例所属安全组为默认安全 组 ， 则无需设置安全组规则。 如果目标实例所属安全组 非默认安全组 ，请查看安全组规则是否允许该弹性云主机访问。 （1）登录管理控制台。 （2）单击管理控制台左上角的，选择区域和项目。 （3）选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 （4）在“实例管理”页面，选择目标实例，单击实例名称，进入实例的“基本信息”页面。 （5）在“连接信息”模块的“内网安全组”处，单击安全组名称，进入安全组页面，查看安全组规则。 如果安全组规则允许弹性云主机访问，即可连接实例。 如果安全组规则不允许弹性云主机访问，则需添加安全组规则 步骤2 安装MicrosoftSQLServer客户端 在步骤1 中的弹性云主机或可访问关系型数据库实例的设备上，安装Microsoft SQL Server客户端。 普通连接 步骤1 登录弹性云主机或可访问关系型数据库实例的设备。 步骤2 启动SQLServerManagementStudio客户端。 步骤3 选择“连接 > 数据库引擎”，在“连接到服务器”弹出框中输入登录信息。 图 连接到服务器 “服务器名称”是目标实例的主机IP和数据库端口（IP和数据库端口之间请使用英文半角逗号）。例如：x.x.x.x,8080 主机IP为“基本信息”页签中，“连接信息”模块的“内网地址”。 端口为“基本信息”页签中，“连接信息”模块的“数据库端口”。 “身份验证”是认证方式，选择“SQLServer身份验证”。 “登录名”即待访问的关系型数据库帐号，默认管理员帐号为rdsuser。 “密码”即待访问的数据库帐号对应的密码。 步骤4 单击“连接”，连接实例。 若连接失败，请确保各项准备工作正确配置后，重新尝试连接。

设置共享文件的权限 需要在FTP站点为共享给用户的文件夹设置访问及修改等权限。 a.在服务器上创建一个供FTP使用的文件夹，选择文件夹，并单击右键选择“属性”。 此处以“work01”文件夹为例。 b.在“安全”页签，选择 “Everyone”，单击“编辑”。 如果没有“Everyone”用户可以直接选择，需要先进行添加，添加方法请参见FAQ 2 如果设置文件夹的属性时，没有“Everyone”用户可直接选择，可按照如下步骤添加“Everyone”用户。 c.选择“Everyone”，然后根据需要，选择“Everyone”的权限，并单击“确定”。 此处以允许所有权限为例。 添加及设置FTP站点 a.在“服务器管理器”中，选择“仪表板 > 工具 > Internet Information Services (IIS)管理器”。 b.选择“网站”并单击右键，然后选择“添加FTP站点”。 c.在弹出的窗口中，填写FTP站点名称及共享文件夹的物理路径，然后单击“下一步”。 此处站点名称以“FTPSERVER”为例。 d.输入该弹性云主机的私有IP地址以及端口号，并设置SSL，单击“下一步”。 端口号默认为21，也可自行设置 。 SSL根据需要进行设置。 无：不需要SSL加密。 允许：允许FTP服务器与客户端的非SSL和SSL连接。 需要：需要对FTP服务器和客户端之间的通信进行SSL加密。 说明 当SSL选择“允许”和“需要”时，需要选择SSL证书。可以选择已有的SSL证书，也可以制作一个SSL证书，具体制作证书的方法请参见FAQ3 制作服务器证书。 e.设置身份认证和授权信息，并单击“完成”。 身份认证 匿名： 允许任何仅提供用户名“anonymous”或“ftp”的用户访问内容。 基本： 需要用户提供有效用户名和密码才能访问内容。但是基本身份验证通过网络传输密码时不加密，因此建议在确认客户端和FTP服务器之间的网络连接安全时使用此身份验证方法。 授权 允许访问 所有用户：所有用户均可访问相应内容。 匿名用户：匿名用户可访问相应内容。 指定角色或用户组：仅指定的角色或用户组的成员才能访问相应内容。如果选择此项，需要在下面输入框中输入指定的角色或用户组。 指定用户：仅指定的用户才能访问相应内容。如果选择此项，需要在下面输入框中输入指定的用户。 权限：选择经过授权的用户的“读取”和“写入”权限。 f.绑定弹性云主机的私网IP。 选择“网站”，选中创建的FTP站点，单击“绑定”；在弹出的“网站绑定”窗口单击“添加”，然后在弹出的窗口中添加弹性云主机的私网IP地址，并单击“确定”。

本节介绍iVPN app接入云电脑的操作说明。 1.进入“AI云电脑（政企版）”管理控制台； 2.点击“网络管理”，点击“企业云网”，选择“iVPN app”，进入iVPN app管理页面； 3.查看并复制对应实例的接入地址； 4.打开AI云电脑客户端，输入账号和密码，点击“企业专线”，进入企业专线页面； 5.在企业专线页面中输入iVPN app对应实例的接入地址，点击“专线/VPN登录”，若本机首次使用iVPN app，会触发自动下载组件，下载完成后会自动接入。若接 入成功，会提示“专线/VPN地址可用，已为您启用专线/VPN”,随后自动退出企业专线页面。正常接入后AI云电脑客户端会自动记住接入地址，下次登录只需下拉框选 择即可，无需再次输入； 6.iVPN app接入后，在AI云电脑客户端主页面点击“安全登录”或者使用app扫码登录即可通过iVPN app加密接入AI云电脑。

负载均衡器可以跨资源节点关联后端云主机么？ 共享型负载均衡不支持跨资源节点关联后端云主机。 独享型负载均衡器支持跨资源节点、跨VPC添加后端云主机。 公网负载均衡的后端云主机要不要绑定EIP？ 负载均衡实例都是通过私网转发访问请求，不需要后端云主机绑定EIP。 如何检查后端云主机网络状态？ 确认虚拟机主网卡已经正确分配到IP地址。 登录云主机内部。 执行ifconfig命令或ip address查看网卡的IP信息。 说明 Windows云主机可以在命令行中执行ipconfig查看。 从云主机内部ping所在子网的网关，确认基本通信功能是否正常。 通常网关地址结尾为.1，可以在VPC详情页面中确认，切换“子网”页签，查看“网关”列，显示网关地址。 执行ping命令，观察能否ping通即可。若无法ping通网关则需首先排查二三层网络问题。 如何检查后端云主机网络配置？ 确认云主机使用的网卡安全组配置是否正确。 在弹性云主机详情页面查看网卡使用的安全组。 检查安全组规则是否放通了对应的网段： 对于独享型负载均衡，检查后端云主机所在的安全组入方向是否放通ELB所在VPC的网段。如果没有放通，请在安全组入方向规则中添加ELB所在VPC网段。 对于共享型负载均衡，检查客户后端服务安全组入方向是否放通了100.125.0.0/16网段。如果没有放行，请添加100.125.0.0/16网段的入方向规则。 注意 共享型实例四层监听器开启“获取客户端IP”功能后，后端云主机的安全组规则和网络ACL规则均无需放通100.125.0.0/16网段及客户端IP地址。 独享型实例四层监听器未开启“跨VPC后端”功能时，后端云主机安全组规则和网络ACL规则均无需放通ELB后端子网所在的VPC网段。 确认云主机使用网卡子网的网络ACL不会对流量进行拦截。 在虚拟私有云页面左侧导航栏，单击“网络ACL”，确认涉及的子网已放通。

PON云专线： PON 云专线依托于MPLSVPN 网络接入云资源池，接入侧通过PON 资源接入，用户侧通过光猫—OBD—OLT 联至城域网，最高速率100M。 LAN云专线： LAN 云专线依托于福建电信MPLSVPN 网络接入云资源池，接入侧通过交换机以光纤直连的方式接入，用户侧通过光电交换机联至城域网，最高速率1G。

云渲染带宽 云渲染提供千万兆级别带宽，同时支持三线异网接入，同时支持支持网络资源调度，实现请求就近接入，满足千路以上超大并发业务场景。 服务类型 销售规格 说明 计费方式 标准资费 单位 公网带宽 固定带宽 最高可支持9999M带宽 包年包月 20 元/Mbps/月 公网带宽 按需计费 不设上限，满足业务突增需求 按流量计费 0.2 元/GB 计费模式 实时云渲染资源计费方式支持按量付费、包周期购买两种方式，您可根据下方说明选择最合适的方案开通服务。 说明 您有一场持续1个月的党建文化馆活动，希望活动期间应用能支持最高100个用户同时点击进入，且希望每个接入客户最快接入，调度最优资源，，总费用为1180 x 100x 1 +带宽按需费用 118000 元

名称 描述 是否必须 Action GetTraffics。 是 BeginDate 指定查询流量的起始时间，统计数据的起始时间为开始日期（时区为：UTC+8）的00:00。 类型：Time 取值：格式为yyyyMMdd。 是 EndDate 指定查询流量的结束时间，返回数据的时间为当天日期（时区为：UTC+8）的最后一个数据。 类型：Time 取值：格式为yyyyMMdd。EndDate不能早于BeginDate。 说明 Freqby5min，EndDate与BeginDate的间隔小于1天。 FreqbyHour，EndDate与BeginDate的间隔小于7天。 FreqbyDay，EndDate与BeginDate的间隔小于30天。 是 StorageClass 指定查询的存储类型。 类型：Enum 取值: ALL：所有存储类型。 STANDARD：标准存储。 STANDARDIA：低频访问存储。 默认值为STANDARD。 否 Bucket 指定查询流量的Bucket名称。如果不指定Bucket名称，则表示查询账户下所有Bucket的流量之和。 类型：字符串 取值：3~63个字符，只能由小写字母、数字、短横线（）和点（.）组成。 否 Region 指定查询流量的数据位置。如果不指定数据位置，则查询账户名下所有数据位置的流量之和。 类型：字符串 取值： 对象存储网络：ZhengZhou、ShenYang、ChengDu、WuLuMuQi、LanZhou、QingDao、GuiYang、WuHu、WuHan、ShenZhen、SH2、SuZhou。 对象存储网络2：NeiMeng1、HangZhou1。 香港节点：HongKong。 否 InOutType 指定返回的流量类型上行/下行。 类型：字符串 取值： all：指定返回上行流量和下行流量。 inbound：指定返回上行流量。 outbound：指定返回所下行流量。 默认值为all。 否 InternetType 指定返回的流量类型互联网/非互联网。 类型：字符串 取值： all：指定返回互联网流量和非互联网流量。 internet：指定返回互联网流量。 noninternet：指定返回非互联网流量。 默认值为all。 否 TrafficsType 指定返回的流量类型直接/漫游。 类型：字符串 取值： all：指定返回直接流量和漫游流量。 direct：指定返回直接流量。 roam：指定返回漫游流量。 默认值为all。 否 NetType 指定返回的网络类型精品网（CN2）/普通网（163）。仅香港节点支持本参数。 类型：字符串 取值： all：指定返回精品网和普通网的流量。 highqualitynet：指定返回精品网的流量。 normalqualitynet：指定返回普通网的流量。 默认值为all。 否 Freq 指定返回统计数据的采样粒度。 类型：Enum 取值： by5min：统计数据的采样粒度为5分钟。 byHour：统计数据的采样粒度为1小时。 byDay：统计数据的采样粒度为1天。 默认值为byHour。 否

VPC终端节点产品广泛应用于多种云上跨VPC的内网服务连接场景,本文带您更快了解VPC终端节点经典应用场景。 VPC终端节点能够在同一地域中建立便捷、安全、私密的连接通道，将VPC内的云资源与终端节点服务（包括用户的私有服务和云服务）相连接，主要应用于以下场景： 跨VPC连接 在同一地域中，由于VPC之间的逻辑隔离，不同VPC内的云资源默认不能直接通信。通过在不同VPC之间建立终端节点到终端节点服务的连接通道，可以实现跨VPC的资源通信。 服务提供方可以在其服务所在的VPC中配置终端节点服务，并共享后端资源。服务使用方可以通过配置VPC终端节点连接到终端节点服务，从而实现访问该服务。 高效可靠 VPC终端节点提供高性能的连接通道，每个网关节点都能支持百万级会话。这使得跨VPC的资源通信速度快、延迟低，保证了数据传输的高效性。 简便快捷 建立跨VPC的终端节点连接简便易操作，用户无需做服务公网开放或配置复杂的路由打通私有网络，资源可秒级创建，变更也可快速生效，提供了更加灵活、安全的组网方式。 高速上云 本地数据中心可以通过VPN或者云专线连接到VPC，并利用建立的终端节点通过内网访问终端节点服务（用户私有服务、云服务）。 安全稳定 通过建立终端节点，本地数据中心可直连终端节点服务，消除了数据传输过程中的潜在安全风险，同时提供更快的数据传输速度和更低的延迟，确保数据的安全性和稳定传输。 节约成本 数据传输通过内网进行，本地数据中心访问云上资源时不占用用户的公网资源，从而降低了使用成本，可以节省大量公网带宽费用。

本文指导您添加单个黑白名单。 开启防护后，云防火墙默认放行所有流量，您可以通过配置黑/白名单规则，拦截/放行IP地址的访问请求。 本文指导您添加单个黑白名单，如果需要批量添加黑白名单请参见“导入/导出防护策略”。 注意 如果IP为Web应用防火墙（WAF）的回源IP，建议使用白名单或配置放行的防护规则，请谨慎配置黑名单规则，否则可能会影响您的业务。 回源IP的相关信息请参见《Web应用防火墙用户指南》中《放行WAF回源IP》。 配置防护规则请参见“通过添加防护规则拦截/放行流量”。 规格限制 云防火墙最多支持配置2000条黑名单和2000条白名单，当您黑名单IP或白名单IP超出限制时，可通过添加IP地址组，并在防护规则中引用的方式实现拦截/放行效果。 添加IP地址组请参见“添加自定义IP地址组和IP地址”。 添加防护规则请参见“通过添加防护规则拦截/放行流量”。 私网IP防护，需满足专业版防火墙且“开启VPC边界流量防护防护”。 系统影响 将IP或IP地址段配置为黑名单/白名单后，来自该IP或IP地址段的访问，CFW将不会做任何检测，直接拦截（黑名单）/放行（白名单），您可以在“日志查询”中检索该IP或IP地址段查看访问情况和流量情况。 配置黑名单时，如果涉及地址转换或者存在代理的场景，需要谨慎评估拦截IP的影响。

安全 尽量避免数据库被公网访问，公网连接时必须绑定弹性公网IP，设置合适的白名单。 尽量使用SSL连接，保证连接的安全性。

本节帮助您了解如何实现用户上网行为控制。 操作场景 随着网络化办公的普及，员工办公变得更加快捷方便，但是员工非上网现象也越来越突出，企业普遍存在着电脑和互联网滥用的严重问题，网上购物、在线聊天、玩游戏等与工作无关的上网行为占用了有限的宽带，严重影响了正常的工作效率。您可能需要优化管理您所在组织的网络资源，提高整体工作效率，避免机密、商业信息、科研成果泄漏。 解决方案 您可以通过内网DNS实现用户上网行为控制。例如您希望在名为"vpcnewDNS"的VPC中屏蔽用户对百度的访问，可以在内网DNS上进行相应配置。 首先，将内网DNS关联到"vpcnewDNS"的VPC，并确保DNS解析服务能够生效于该VPC的资源。然后，针对百度的域名（例如baidu.com），在内网DNS服务器上添加A记录，并将IP地址设置为0.0.0.0。这样配置后，当VPC内的用户访问百度时，内网DNS将会返回0.0.0.0的IP地址，从而阻止了对百度的访问。 操作步骤 1. 登录到内网DNS控制中心页面。 2. 单击控制中心顶部的，选择“地域”，此处我们选择华东1。 3. 单击“创建内网域名”。 4. 在“创建内网域名”弹窗，按下图示例对“域名”及“VPC”进行配置，无误后单击“确定”进行创建。 5. 找到创建好的内网域名，单击“管理记录集”进入解析记录界面。 6. 单击右上角的“添加记录集”，参照下图示例进行记录集配置后单击“确定”。 7. 记录集添加后，即为完成“vpcnewDNS”内用户对百度的访问屏蔽。 8. 设置云主机的DNS服务地址为内网DNS地址。具体步骤可参见更改主机DNS使内网DNS配置生效。

本文介绍了虚拟私有云服务的特性及优势。 灵活配置 自定义虚拟私有网络，按需划分子网，配置IP地址段、DHCP、路由表等服务。支持跨可用区部署弹性云主机。 安全可靠 VPC之间通过隧道技术进行100%逻辑隔离，不同VPC之间默认不能通信。 网络ACL对子网进行防护，安全组对云主机进行防护，多重防护您的网络更安全。 互联互通 默认情况下，VPC与公网是不能通信访问的，可以使用弹性公网IP、弹性负载均衡、NAT网关等多种方式连接公网。 默认情况下，两个VPC之间也是不能通信访问的，可以使用对等连接的方式，使用私有IP地址在两个VPC之间进行通信。 对于云上和云下网络二层互通问题，企业交换机支持二层连接网关功能，允许您在不改变子网、IP规划的前提下将数据中心或私有云主机业务部分迁移上云。 提供多种连接选择，满足企业云上多业务需求，让您轻松部署企业应用，降低企业IT运维成本。 优势对比 对比项 虚拟私有云 传统IDC 部署周期 用户无需工程规划，布线等复杂工程部署的工作。 用户基于业务需求在华为云上自主规划私有网络、子网和路由。 用户需要自行搭建网络并进行测试，整个周期很长，而且需要专业技术支持。 总成本 天翼云网络服务提供了多种灵活的计费方式，加上客户无需前期投入和后期网络运维，整体上降低了总体拥有成本（Total Cost of Ownership，TCO）。 用户需要机房、供电、施工、硬件物料等固定重资产投入，也需要专业的运维团队来保障网络安全。随着业务变化，资产管理成本也会随之上升。 灵活性 天翼云提供多种网络服务，用户可以根据具体需求搭配服务。当业务发展需要更多的网络资源（如带宽资源）时，可以方便快捷地进行动态扩展。 业务部署需要严格遵守前期网络规划，当业务需求发生变化时，无法便捷地动态调整网络。 安全性 VPC逻辑隔离，结合网络控制网络ACL、安全组功能和DDoS等安全服务，保障了云上资源的安全使用。 网络很难得到专业维护，安全性较差，需要配置专业的网络安全人员来看护。

步骤五：配置静态路由 完成以下操作配置静态路由，使得云上云下能够互通。 1. 登录天翼云SDWAN控制台，选择“智能网关”，单击目标智能网关实例名称，进入智能网关详情页。 2. 在详情页，单击“静态路由 >添加”。 3. 根据页面提示，填写目的网段和下一跳等参数。 4. 单击“确定”，完成静态路由配置。 步骤六：绑定天翼云SDWAN实例 完成以下操作，通过将智能网关实例加载到SDWAN网络中，实现组网。 1. 登录天翼云SDWAN控制台。 2. 选择“智能网关”，单击目标智能网关实例“操作”列的“绑定网络实例”。 3. 根据页面提示，选择要加入的天翼云SDWAN实例。 4. 单击“确定”，完成智能网关实例绑定天翼云SDWAN实例。 步骤七：设置设备互联 完成以下操作，实现总境内分支与海外VPC互联。 1. 登录天翼云SDWAN控制台。 2. 选择“天翼云SDWAN”，单击目标SDWAN实例名称。 3. 进入“设备互联”页签，单击“添加设备互联”按钮。 4. 根据页面提示，选择要建立互联关系的两个智能网关，即：将已完成上述配置的硬件智能网关和软件vCPE实例进行建立互联操作。 5. 单击“确定”，完成在两个智能网关实例之间建联。 步骤八：访问测试 完成上述配置后，您可以通过在线下分支机构的客户端访问已连接的VPC中部署的云资源，验证配置是否生效。

典型架构图 安全增强措施 1. 最小权限原则 1. 跨VPC访问仅开放必要端口 2. NAT网关SNAT/DNAT规则严格配置 2. 精细跨VPC路由管理 1. 需要跨VPC互通的子网和不需要跨VPC互通的子网设计不同的子网路由表，仅对需要跨VPC互通的路由中添加执行对等连接的路由。 2. 路由表中指向对等连接的路由的目的地址不包含非必要地址范围。 3. 网络隔离 1. 数据库子网：禁止直接跨VPC访问，仅允许通过应用层代理。 2. 堡垒机子网：部署在独立VPC，严格限制入站流量。 成本优化建议 1. 共享资源：通过共享VPC集中部署NAT网关、堡垒机等服务，减少重复资源开销。 2. 按需互通：仅在有业务需求的VPC间建立对等连接，避免构建全互联（FullMesh）网络，以控制路由表的规模和复杂度。 运维与监控 1. 自动化部署：使用天翼云原生API实现VPC、子网、安全组、对等连接、路由表等资源的自动化编排。 2. 监控告警：配置云监控对使用的云资源进行告警，重点关注以下指标 3. 弹性IP、共享带宽网络出入带宽利用率 4. NAT网关并发连接数 5. 弹性负载均衡健康/异常后端主机数 6. 为资源如VPC打标签（如 env:prod、owner:teamA），便于资源分类管理。

本文帮助您快速熟悉虚拟私有云VPC的创建。 操作场景 当需要为您的弹性云主机构建隔离的、用户自主配置和管理的虚拟网络环境时，首先要申请虚拟私有云。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在“虚拟私有云列表”界面，单击“创建虚拟私有云”。 5. 在“申请虚拟私有云”页面，根据界面提示配置参数。 参数 说明 取值样例 资源类型 创建VPC支持两种资源类型： （1）VPC：包含VPC、子网、网关等基本网络要素配置 （2）VPC和扩展选项：除了VPC基本网络要素配置之外还可以创建ZOS终端节点、关联DHCP选项集。通过ZOS终端节点可以实现内网对ZOS的便捷访问。 VPC 名称 VPC名称 VPC001 VPC网段(IPv4) VPC的地址范围，VPC内的子网地址必须在VPC的地址范围内。建议使用网段：10.0.0.0/828、172.16.0.0/1228、192.168.0.0/1628。如果要使用其他网段，请参考VPC网段和扩展网段。 192.168.0.0/16 VPC网段（IPv6） 是否分配虚拟私有云VPC的IPv6地址，仅部分可用区资源池支持为VPC开启IPv6，不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准。 开启 IPv6地址类型 开启IPv6的情况下，显示此选项，默认仅支持中国电信单线。 中国电信单线 VPC IPv6地址段 开启IPv6的情况下，显示此选项。 自动分配: 系统会在客户选定的IPv6地址类型中自动分配一个56位的可用网段。 手动分配：您可以输入十进制数字，来自定义VPC的IPv6网段。 IPv6地址类型为中国电信单线时，仅支持自动分配。 自动分配 企业项目 可以为VPC实例关联企业项目 project1 VPC描述 备注信息 测试VPC 子网配置 子网类型 普通子网：默认选项，此类子网中可以用于创建除标准裸金属服务器外的资源，推荐选择； 标准裸金属子网：仅支持创建标准裸金属服务器和虚拟IP，仅部分可用区资源池支持此选项；不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准。 普通子网 子网名称 子网的名称 Subnet001 子网网段(IPv4) 子网的地址范围，需要在VPC的地址范围内 192.168.0.0/24 网关(IPv4) 子网的网关，默认为子网内第一个可用IP。 对于可用区资源池，网关地址默认为.1,不可以指定其他地址（部分可用区资源池指定其他地址；不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准）。 对于地域资源池，网关地址默认为.1,可以指定其他地址。 192.168.0.1 DHCP(IPv4) 子网的DHCP地址，仅部分可用区资源池支持指定；不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准。 192.168.0.2 子网IPv6网段 开启IPv6功能后，将自动为子网分配IPv6网段，但您不能选择IPv6地址范围 开启 子网IPv6地址段 子网开启IPv6的情况下，显示此选项。 自动分配: 系统会在客户选定的IPv6地址类型中自动分配一个56位的可用网段。 手动分配：您可以输入十进制数字，来自定义VPC的IPv6网段。 IPv6地址类型为中国电信单线时，仅支持自动分配。 仅部分可用区资源池支持此选项；不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准。 自动分配 DNS服务器地址 部分可用区资源池默认值为100.95.0.1，该地址为天翼云DNS服务的地址，支持解析内网域名和公网域名；其他资源池默认值为114.114.114.114、8.8.8.8 100.95.0.1 子网描述 备注信息 测试子网

本文汇总了使用弹性负载均衡产品时常见的操作类问题。 经典型和性能保障型负载均衡有什么区别？ 经典型负载均衡适用于访问量较小，应用模型简单的web业务，可满足大部分应用程序的负载均衡需求，具备基本的流量分发和健康检查功能。经典型负载均衡同VPC内多实例性能共享。 性能保障型负载均衡适用于对性能有较高要求的应用场景，能够提供更强大的性能和扩展能力。性能保障型负载均衡为收费产品，为集群模式部署，支持经典型升级为性能保障型，支持规格升级、降级。 经典型负载均衡是否支持升级为性能保障型？ 支持。部分地域同时支持经典型负载均衡和性能保障型负载均衡，支持将经典型负载均衡实例升级为性能保障型，用户可以登录天翼云控制中心相关操作，请以控制台实际功能为准。升级过程涉及底层迁移，有秒级流量中断，建议在业务低谷时段维护窗口操作，详见 经典型升级性能保障型。 弹性负载均衡器是否可以单独使用？ 弹性负载均衡（CTELB ，Elastic Load Balancing）是一种分发控制网络流量的服务，通过预先设定的算法将访问流量自动分发到多台云主机，扩展应用系统对外的服务能力，实现更高水平的应用系统容错性能。负载均衡器的主要能力是对访问流量进行分发，并不能替代服务本身，至少需要配置云主机的云资源作为后端主机才能搭建一个基本服务。如果需要通过负载均衡对外网提供服务，还需要与弹性IP、IPv6带宽等产品搭配使用。

步骤四：配置静态路由 完成以下操作配置静态路由，使得云上云下能够互通。 1. 登录天翼云SDWAN控制台，选择“智能网关”，单击目标智能网关实例名称，进入智能网关详情页。 2. 在详情页，单击“静态路由 >添加”。 3. 根据页面提示，填写目的网段和下一跳等参数。 4. 单击“确定”，完成静态路由配置。 步骤五：绑定天翼云SDWAN实例 完成以下操作，通过将智能网关实例加载到SDWAN网络中，实现组网。 1. 登录天翼云SDWAN控制台。 2. 选择“智能网关”，单击目标智能网关实例“操作”列的“绑定网络实例”。 3. 根据页面提示，选择要加入的天翼云SDWAN实例。 4. 单击“确定”，完成智能网关实例绑定天翼云SDWAN实例。 步骤六：绑定云间高速（标准版）实例 完成以下步骤，将SDWAN实例绑定云间高速（标准版）实例，实现企业线下分支访问天翼云VPC资源。 1. 登录天翼云SDWAN控制台。 2. 选择“天翼云SDWAN”，单击目标SDWAN实例“操作”列的“绑定云间高速（标准版）”。 3. 根据页面提示，选择待绑定的云间高速（标准版）实例和其下的云企业路由器实例。 4. 单击“确定”，完成绑定。 步骤七：访问测试 完成上述配置后，您可以通过在线下分支机构的客户端访问已连接的VPC中部署的云资源，验证配置是否生效。

同一地域的可用区内网互通，内网可实现数据传输，不需要额外购买网络产品，无额外花费。 不同地域可用区之间传输数据涉及购买弹性IP等产品，需要为额外购买的产品付费。

本章主要介绍IPv6双栈信息。 操作场景 IPv4/IPv6双栈可以为您的物理机提供两个不同版本的IP地址：IPv4地址和IPv6地址，这两个IP地址都可以进行内网/公网访问。如果需要开启IPv6双栈，请参考本指导进行操作。 使用须知 当前仅支持在创建物理机时开启IPv6，不支持添加网卡时开启IPv6。 开启IPv6功能后，将自动为子网分配IPv6网段，暂不支持自定义设置IPv6网段。开启IPv6功能成功后，不能关闭。 启用IPv6双栈时，物理机将同时获取IPv4和IPv6两个IP地址，不支持单独使用IPv6。 操作步骤 1、开启虚拟私有云子网的IPv6功能。 a. 登录管理控制台，选择“网络 > 虚拟私有云”。 进入虚拟私有云页面。 b. 在待配置的虚拟私有云所在行，单击子网个数。 进入子网页面。 c. 在待配置的子网所在行，单击“开启IPv6”。 d. 在弹出的对话框中单击“确定”，开启IPv6。 说明 子网的IPv6功能开启后，不能关闭。 2、创建物理机，开启IPv6双栈。 镜像 选择支持IPv6的镜像。如果是公共镜像，支持IPv6的镜像会在操作系统版本后标识；如果是私有镜像或共享镜像，需要用户自行确认是否支持IPv6。 虚拟私有云 选择已开启IPv6功能的虚拟私有云。 网卡 选择已开启IPv6功能的子网后，页面将显示IPv6功能配置项，选择“自动分配IPv6地址”。 说明 若镜像选择私有镜像或共享镜像，且不支持IPv6，即使此处的IPv6功能配置项选择“自动分配IPv6地址”，也会配置不成功，即物理机操作系统中查询不到IPv6地址。因此，如果需要使用IPv6功能，建议选择公共镜像中支持IPv6的镜像。 公共镜像中CentOS 7.3操作系统不支持扩展网卡获取IPv6地址，请优先使用其他镜像。 3、创建物理机，物理机创建成功后，登录操作系统内部，可以看到分配的IPv6地址。

天翼云某短视频客户使用QUIC效果 随着短视频业务的飞速发展，视频平台更加注重视频的播放效果，QUIC协议可以有效解决跨网、视频卡顿问题，提升视频用户播放体验。 天翼云平台某短视频客户使用QUIC后，整体效果优化较为明显，首屏优化20%，卡顿率降低5%。 注意 不同客户业务情况有所差异，使用QUIC后的提升情况各不相同，本文数据仅供参考。

天翼云没有或者下架了源端操作系统的镜像，能否进行迁移？ 可以。 目标机区域可选用迁移专用镜像，且源端操作系统在适配列表中即可进行迁移。 CMS服务与CTIMS镜像服务的区别？ CMS采用全量+循环增量模式，能够实现秒级切换，确保上云过程中业务"0"中断，即业务无感知地完成迁移。CMS还支持断网续传和重启续传功能，有效避免用户因网络波动或误操作Agent等情况导致的任务中断，保障任务的稳定性。 CTIMS使用过程中如果云主机未关机处于数据读写状态，此时制作镜像可能会导致数据丢失的问题。需要关机状态进行镜像迁移，无法保证业务连续性。 目标机引导修复后启动、迁移源处新产生数据可以迁移至目标机吗？ 不可以。 引导修复后目标机与迁移源机数据一致。完成迁移后目标机系统已非迁移专用系统，无法进行迁移任务，若需进行同步数据需重新迁移。请务必在最后一次增量迁移前保证迁移源端应用停止，无新数据读写等操作。 如何创建迁移目标机云主机，需要注意什么？ 具体步骤请参见创建目标机。 CMS能否迁移Mysql等数据库？ 大型库不建议使用CMS进行迁移，建议使用数据库专业迁移工具对大型数据库进行迁移。如果使用CMS进行迁移，在使用过程中应当在“停止增量”步骤前停止相关应用进程。

支持配置撞库防护策略防范攻击者通过撞库盗取用户的信息。 功能介绍 支持配置撞库防护策略，防范攻击者通过撞库盗取用户的信息。 撞库是什么？ 撞库是恶意攻击者通过收集互联网已泄露或者暗网黑客交易的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户。很多用户在不同网站使用的是相同的帐号密码，因此黑客可以通过获取用户在A网站的账户密码从而尝试登录B网址，这就可以理解为撞库攻击。撞库还可以从弱密码的角度出发，通过碰撞用户名得到账号密码信息。 撞库的防护原理 边缘云WAF针对撞库的防护方式主要是以下三种： 频率限速：由于猜解需要不断访问登录接口，因此可以通过异常速率来限制撞库； 用户登录信息与泄露信息库比对：将用户信息与实时更新的泄露信息库做相关数据对比，查看用户是否正在使用已暴露的密码，根据结果采取对应措施； 用户敏感信息脆弱性分析：通过脆弱性算法分析当前密码的暴露风险层级与易猜解程度，对暴露较多区块的密码以及极易猜解的密码引导到客户配置的处理方式上。 前提条件 已开通Web应用防火墙（边缘云版）。 已新增域名并成功接入WAF，具体操作请见WAF接入。 开通套餐为基础版及以上版本，支持撞库防护相关功能。

项目 描述 No. 编号。 Server Name 服务器名称。 Server ID 服务器ID。 Node Name 节点名称。 Parent Node 父节点名称。 Public Address 业务网的IP和端口号。 Cluster Address 集群网的IP和端口号。 Port Range 端口范围。 iSCSI Port iSCSI端口。 API Port API端口。 Web Port Web端口。 Data Port 数据端口（仅集群版支持）。 Storage Port 数据存储端口（仅集群版支持）。 Management Port 管理端口。 Metadata Port 元数据端口（仅集群版支持）。

本文带您了解内网DNS的产品架构。 内网DNS，可用于创建仅能在您的VPC（支持多个VPC）内访问的域名或子域名。使用内网DNS的一般步骤如下： 1. 新建一个内网域名，例如：example.com。 2. 添加需要管理的记录集，比如：www.example.com。 3. 将域名与需要访问的VPC关联。 完成相应配置后，只有与之关联的VPC内才能使用您设置的内网DNS解析记录访问www.example.com。其他环境无法访问该域名（或仅能通过公网解析）。内网DNS提供了内部域名解析机制，确保只有经过授权的VPC能够正确解析这些域名或子域名，从而实现更加安全和可控的访问。 实现原理 内网DNS利用天翼云虚拟私有云VPC的隔离特性（详细信息请参考虚拟私有云），对您的内网域名执行隧道隔离。天翼云的内网DNS采用严格的验证机制，确保您的内网域名在天翼云网络内具有唯一性，只有您本人能够对其进行管理，保障了内网域名的安全性和独特性。 逻辑架构 内网域名（例如example.com）的逻辑架构允许其关联一个或多个VPC。一旦与VPC建立关联，内网域名中的解析记录将在相应的VPC内可被访问和解析，使得特定VPC内的资源能够有效地访问与之关联的内网域名记录。

参数 描述 DNAT类型 公网DNAT。 连接类型 所有端口 将任何访问外网IP地址的请求转发到内网目标地址上。 具体端口 对外服务端口：内网地址对外映射后服务端口。取值范围：165535。 内网端口：内网地址提供服务真实端口。取值范围：165535。 协议类型：智能网关支持的协议类型请以控制台为准。 本端私网IP DNAT转换后的IP地址。

本节介绍如何开启弹性IP防护。 注意事项 一个弹性IP防护消耗1个“可防护公网IP数” 配额。 开启弹性IP防护 1. 登录云防火墙（原生版）控制台。 2. 在左侧导航栏，选择“防火墙开关 > 互联网边界防火墙开关”。 3. 在“弹性IP”页签，选择IP版本后，找到需要开启防护的弹性IP，单击操作列的“开启防护”。 系统会定期自动同步当前账号下的资产到该页面，若有弹性IP资产未同步，可以在互联网边界防火墙开关页面右上角单击“同步资产”，手动同步资产。资产同步预计需要1~2分钟。 弹性IP列表展示当前账号下所有VPC内的绑定云主机资产的公网IP。列表包括公网IP（实例名称、ID）、私网IP（实例名称、ID）、虚拟私有云（VPC名称、VPC网段）、子网、绑定资产类型、绑定资产（资产名称、ID）、防护状态。 4. 进入开启弹性IP防护页面，完成相应配置。 1. 自动检查：单击“立即扫描”，待扫描完成后，单击“下一步”。 注意 若有未检查通过的项，请根据提示信息完成相应操作后，再执行下一步。 2. 创建终端节点。配置引流子网后，单击“创建终端节点”。 注意 支持选择已有子网，也可以自定义子网。自定义子网的网段必须属于当前VPC的CIDR；创建后无法更改。 终端节点创建完成后，单击“下一步”。 3. 网络引流配置：确认基础信息后，单击“开始引流”。 4. 开启防护成功。

使用限制 限制 说明 子网关联网络ACL数量 一个子网可以按需关联网络ACL，但只能关联一个网络ACL。 网络ACL默认允许 网络ACL默认行为为允许，若需拒绝则需要添加对应的规则。

步骤二：激活智能网关 1. 登录天翼云SDWAN控制台。 2. 选择“智能网关”，单击目标智能网关实例“操作”列的“更多激活”。激活前，请确保设备状态为“在线”。 3. 根据页面提示，选择设备接入方式为“桥接”，配置智能网关实例接入天翼云使用的私网网段，私网网段如果存在包含/重复关系，可能会造成路由冲突，请谨慎配置。 4. 单击“确定”，开始激活操作。 5. 激活成功后，业务状态变为“已激活”。 步骤三：配置静态路由 完成以下操作配置静态路由，使得云上云下能够互通。 1. 登录天翼云SDWAN控制台，选择“智能网关”，单击目标智能网关实例名称，进入智能网关详情页。 2. 在详情页，单击“静态路由 >添加”。 3. 根据页面提示，填写目的网段和下一跳等参数。 4. 单击“确定”，完成静态路由配置。 步骤四：绑定天翼云SDWAN实例 完成以下操作，通过将智能网关实例加载到SDWAN网络中，实现组网。 1. 登录天翼云SDWAN控制台。 2. 选择“智能网关”，单击目标智能网关实例“操作”列的“绑定网络实例”。 3. 根据页面提示，选择要加入的天翼云SDWAN实例。 4. 单击“确定”，完成智能网关实例绑定天翼云SDWAN实例。 步骤五：绑定云间高速（标准版）实例 完成以下步骤，将SDWAN实例绑定云间高速（标准版）实例，实现企业线下分支访问天翼云VPC资源。 1. 登录天翼云SDWAN控制台。 2. 选择“天翼云SDWAN”，单击目标SDWAN实例“操作”列的“绑定云间高速（标准版）”。 3. 根据页面提示，选择待绑定的云间高速（标准版）实例和其下的云企业路由器实例。 4. 单击“确定”，完成绑定。