参数 描述 虚拟私有云 关系数据库MySQL版实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 注意： 目前关系数据库MySQL版实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系数据库MySQL版实例的子网默认开启DHCP功能，不可关闭。 创建实例时关系数据库MySQL版会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系数据库MySQL版服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系数据库MySQL版服务默认为您分配内网安全组资源。

本文主要介绍使用私网NAT网关为VPC内计算实例实现线上线下互通入门指引 操作场景 本文档将以部署VPC内计算实例以指定私网地址接入线下本地数据中心为场景，帮助您学习如何创建和使用私网NAT网关。 用户本地数据中心（IDC）通过云专线接入虚拟私有云（VPC），VPC中的ECS需要转换成IDC指定的私网网段进行通信，详情可见下方的组网图。 图组网图 操作流程 操作步骤 说明 步骤一：创建业务VPC和中转VPC 创建业务VPC（含业务子网）和中转VPC（含中转子网）。 步骤二：配置VPC Peering 创建VPC对等连接将用户IDC（Peering目的VPC）与中转VPC连通。 步骤三：创建私网NAT网关 购买一个私网NAT网关。 步骤四：创建中转IP 创建中转IP，使虚拟私有云内多个云服务器可以共享中转IP。 步骤五：添加SNAT规则 为私网NAT网关添加SNAT规则，通过绑定中转IP可实现VPC内的多个云服务器共享中转IP，访问外部数据中心或其他VPC。 步骤六：添加路由 自定义路由，路由包括目的地址、下一跳类型、下一跳地址等信息，可以决定网络流量的走向。 步骤七：添加安全组规则 在目的VPC包含的云服务器中添加入方向安全组规则，用于将转发到目的端的流量全部放通。

参数 参数说明 计费模式 私网NAT网关的计费模式。 区域 私网NAT网关所在的区域。 名称 私网NAT网关名称。最大支持64个字符，仅支持数字、字母、（下划线）、（中划线）。 虚拟私有云 私网NAT网关所属的业务VPC。VPC仅在创建私网NAT网关时可以选择，后续不支持修改。 子网 私网NAT网关所属VPC中的子网。子网至少有一个可用的IP地址。 子网仅在创建私网NAT网关时可以选择，后续不支持修改。 规格 私网NAT网关的规格。私网NAT网关共有小型、中型、大型和超大型四种规格类型。 描述 私网NAT网关信息描述。最大支持255个字符。

管理控制台提示信息 按量付费处理建议 包年/包月处理建议 当前账号余额不足100元或不支持按量付费功能，请确认后，重新购买。 在用户中心充值，确保现金金额不小于100元。 不涉及。 您的配额不足，无法创建或购买对应服务，请您申请更多配额。 按照如下操作申请配额：提交工单>新建工单>配额类>配额申请。 按照如下操作申请配额：提交工单>新建工单>配额类>配额申请。 云主机中间状态下不可执行该操作。 等待云主机上一个操作完成后重试。 等待云主机上一个操作完成后重试。 辅助私网IP地址必须在主私网IP地址段内。 选取主私网IP地址段内的IP作为辅助私网IP地址。 选取主私网IP地址段内的IP作为辅助私网IP地址。 内部错误，请联系客户经理协助处理。 联系客户经理或者提交工单。 联系客户经理或者提交工单。

步骤一：创建云上VPC环境 创建两个VPC，并为每个VPC各创建一个相同网段的业务子网（192.168.1.0/24）和一个不同网段的中转子网（vpctest1:192.168.3.0/24; vpctest2:192.168.4.0/24）。 具体操作步骤参见创建VPC 步骤二：购买弹性云主机 为两个VPC专有网络，各购买一台弹性云主机，所属子网选择VPC的业务子网，并配置好安全组，放行ECStest2的80端口。 具体操作步骤参见：创建弹性云主机 步骤三：购买私网NAT网关 1. 登录天翼云控制台，选择”网络>NAT网关>私网NAT网关”。 2. 进入NAT网关控制台，点击右上角“创建私网NAT网关”。 3. 选择付费方式，填写名称，选择可用区，VPC选择环境准备中的创建的VPC，子网选择创建好的中转子网，选择所需规格，点击”下一步”。 4. 确认规格，选择我已阅读并同意相关协议，单击“确认下单”，完成私网NAT网关的创建。 步骤四：创建中转IP地址 1. 登录天翼云控制台，选择”网络>NAT网关>私网NAT网关”。 2. 点击需要添加中转IP地址的私网NAT网关名称，进入私网NAT网关详情页，下拉至中转IP地址标签页，点击添加中转IP。 3. 根据界面提示，选择手动分配，并设定为做NAT转换的IP地址（nattest1: 192.168.3.5; nattest2: 192.168.4.5）。 4. 配置完成上述信息，点击“确定”，完成中转IP地址的添加。

产品规格 在购买私网NAT网关时，请根据您的网络规划，合理选择私网NAT网关的规格。私网NAT网关支持的规格如表所示。 规格 最大连接数 带宽 每秒报文数( PPS) SNAT 规则和DNAT规则总数 小型 2000 200Mbps 20000 20 中型 5000 500Mbps 50000 50 大型 20000 2Gbps 200000 200 超大型 50000 5Gbps 500000 500 使用限制 在使用私网NAT 网关时，您需要注意以下几点： 用户不能为私网 NAT 网关关联安全组，但可以为私有子网中的实例绑定安全组，以控制进出这些实例的流量。 用户无法直接使用网络 ACL 控制进出私网NAT 网关的流量，但可以使用网络 ACL 控制进出 NAT 网关所关联子网的流量。 私网NAT不提供跨VPC的连接，需要通过创建对等连接或开通云专线/VPN连接远端私网。 需要进行地址转换的计算实例和私网NAT网关需要放入不同的子网，绑定不同的路由表，便于进行路由配置。 用户需要在VPC下不同路由表手动添加私网路由，实现远端访问流量经过NAT转换后才发往目的互联网络。 SNAT 规则限制 VPC内的每个子网只能添加一条SNAT规则。 DNAT规则限制 SNAT、DNAT可以共用同一个中转IP，实现服务开放和主动访问使用同一私网地址。 一个云主机的一个端口对应一条DNAT规则，一个云主机的一个端口只能映射到一个中转IP地址的一个端口，不能映射到多个中转IP地址或多个端口，输入的端口范围需要在1~65535之间。 一个中转IP地址的一个端口对应一条DNAT规则，一个中转IP地址的一个端口只能映射到一台云主机的一个端口，不能映射到多个云主机或多个端口，输入的端口范围需要在1~65535之间。

参数 描述 虚拟私有云 TaurusDB数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离，以提高网络安全性。 您需要选择所需的虚拟私有云和子网。如果没有可选的虚拟私有云，TaurusDB会为您分配一个默认的虚拟私有云（defaultvpc），您也可以使用已有、新建VPC和子网。 须知 TaurusDB实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 内网安全组 内网安全组限制实例的安全访问规则，加强TaurusDB数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，TaurusDB数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。

支持的数据库版本 说明 不支持从高版本同步到低版本。 数据库版本信息 同步方向 数据流向 源数据库版本 目标数据库版本 入云 MySQL>MySQL MySQL 5.5.x MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x 入云 MySQL>DWS MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x 以现网版本为准 入云 MySQL>GaussDB(for MySQL) MySQL 5.5.x MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x GaussDB(for MySQL)MySQL 8.0 入云 PostgreSQL>PostgreSQL PostgreSQL 9.4.x PostgreSQL 9.5.x PostgreSQL 9.6.x PostgreSQL 10.x PostgreSQL 11.x PostgreSQL 12.x PostgreSQL 13.x PostgreSQL 14.x PostgreSQL 9.5.x PostgreSQL 9.6.x PostgreSQL 10.x PostgreSQL 11.x PostgreSQL 12.x PostgreSQL 13.x PostgreSQL 14.x 入云 DRDS>MySQL 以现网版本为准 MySQL 5.6.x MySQL 5.7.x 入云 DRDS>DRDS 以现网版本为准 以现网版本为准 入云 Oracle>DWS Oracle 10g Oracle 11g Oracle 12c Oracle 18C Oracle 19C 以现网版本为准 入云 Oracle>PostgreSQL Oracle 10g Oracle 11g Oracle 12c Oracle 18C Oracle 19C PostgreSQL 9.5.x PostgreSQL 9.6.x PostgreSQL 10.x PostgreSQL 11.x PostgreSQL 12.x 入云 Oracle> MySQL Oracle 10g Oracle 11g Oracle 12c Oracle 18C Oracle 19C MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x 入云 Oracle>GaussDB(for MySQL) Oracle 10g Oracle 11g Oracle 12c Oracle 18c Oracle 19c GaussDB(for MySQL)MySQL 8.0 入云 Oracle>DRDS Oracle 10g Oracle 11g Oracle 12c Oracle 18c Oracle 19c 以现网版本为准 出云 MySQL>MySQL MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x 出云 DRDS>MySQL 以现网版本为准 MySQL 5.6.x MySQL 5.7.x 自建自建 Oracle>Kafka Oracle 10g Oracle 11g Oracle 12c Oracle 18C Oracle 19C Kafka 0.11及以上版本 自建自建 MySQL>Kafka MySQL 5.5.x MySQL 5.6.x MySQL 5.7.x MySQL 8.0.x Kafka 0.11及以上版本

本文介绍SNAT规则的添加、查看、修改和删除。 添加SNAT规则 私网NAT网关创建成功后，您需要创建SNAT规则。通过创建SNAT规则，虚拟私有云子网中全部或部分云主机可以通过中转IP地址访问云上云下资源。 1. 登录天翼云控制中心，选择目标区域节点。选择“网络>NAT网关>私网NAT网关”，进入私网NAT网关页面。 2. 点击需要添加规则的私网NAT网关名称，进入私网NAT网关详情页，下拉至SNAT规则标签页，点击添加SNAT规则。 3. 根据界面提示，配置SNAT规则的基本信息，配置参数如表所示 参数 参数说明 源网段类型 选择VPC内子网：选择现有子网，使子网内云主机通过SNAT方式访问云资源。手动输入自定义网段：自定义一个网段，使网段内服务器或云主机通过SNAT方式访问云资源。 子网/源网段 子网为需要关联的VPC中的子网，只能在未设置SNAT规则的子网下创建SNAT规则。源网段为自定义网段或某个主机地址，支持配置0.0.0.0/0的地址段，为所有经过私网NAT网关的报文进行源地址转换。 中转IP 用于NAT地址转换的IP地址，NAT网关根据对应规则会把通过NAT网关的报文的源地址更换为中转IP地址； 只能使用未绑定的中转IP或者被绑定在当前NAT网关中SNAT或DNAT规则上的中转IP。若无符合条件的中转IP，您可前往创建中转IP后，刷新即可。 选择多个中转IP时，业务连接会通过轮询方式分配到多个中转IP，由于每个连接的流量不同，可能会出现多中转IP业务流量不均匀的情况；并且同一个内网IP访问单一目的IP，可能使用不同的中转IP。访问单一目标的并发连接数过多时，会造成端口分配失败，需持续监控SNAT源端口溢出丢包数。 描述 SNAT规则信息描述。 4. 配置完成上述信息，点击“确定”，完成SNAT规则的添加。

本文帮助您快速熟悉如何修改弹性网卡的基本信息、分配IPv6、辅助私网IP。 操作场景 您可以根据业务需求修改弹性网卡的名称、安全组，管理辅助私网IP。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经创建虚拟私有云VPC、子网、弹性云主机。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 单击“弹性网卡”，进入弹性网卡列表页面。 5. 在弹性网卡列表页找到对应的弹性网卡，点击“修改”，填写名称、安全组、描述，点击“确定”即可完成修改。 6. 在目标弹性网卡的“操作”列，点击“管理弹性网卡IP地址”。 7. 在弹窗页面可以取消分配IPv6地址，取消分配后IPv6地址回收。再次分配可以重新获得IPv6地址。您也可以分配新的辅助私网IP（IPv4）或者取消分配。 注意 分配辅助私网IPv4后，您需要登录服务器实例，在实例内部配置已分配的辅助私网IPv4地址。 变更IPv6地址后，不能立即生效，需要等云主机下次dhcp续约时才能生效。 8. 当您不需要此弹性网卡时，点击弹性网卡列表“删除”，即可删除该弹性网卡。

本文主要介绍创建私网NAT网关的中转子网和中转IP 操作场景 私网NAT网关创建成功后，您需要创建中转子网与中转IP。 通过创建中转子网与中转IP，使虚拟私有云内多个云主机可以共享中转IP访问用户本地数据中心（IDC）或其他虚拟私有云，或面向私网提供服务。 前提条件 中转VPC、中转子网已创建成功。 云专线接入的用户，云专线的虚拟网关中，“VPC网段”参数建议设置为"0.0.0.0/0"。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。进入NAT网关页面。 3. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。 4. 在私网NAT网关页面，单击“中转IP > 创建中转IP”，进入创建中转IP页面。 5. 根据界面提示，配置中转IP参数，详情请参见下表。 表中转IP参数说明 参数 说明 中转VPC 中转IP所在的VPC。 中转子网 中转子网相当于一个中转网络，是中转IP所属的子网。 子网至少有一个可用的IP地址。 中转IP 中转IP的分配方式有以下两种。 自动分配：由系统自动分配中转IP地址。 手动分配：手动指定中转IP地址。 IP地址 当中转IP的分配方式选择“手动分配”时，需要指定中转IP地址。 单击下方“查看已使用IP地址”可以查看所选子网中已使用的IP地址。 6. 单击“确定”，完成中转IP创建。

本节介绍了如何修改云数据库TaurusDB实例的内网安全组。 操作场景 云数据库TaurusDB服务支持修改实例的内网安全组。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“实例管理”页面，选择指定的实例，单击实例名称。 步骤 5 在“基本信息”页签“网络信息”模块的“内网安全组”处，单击，选择对应的内网安全组。 单击，提交修改。 单击，取消修改。 步骤 6 稍后单击“基本信息”页面右上角的，查看修改结果。此过程需1～3分钟。

本节介绍企业云网的简介。 企业云网是天翼云自研的一系列云网络产品，通过VPN，企业可以实现一站式快速上云，云上云下高效协同办公。 企业云网可以提供的主要功能有： 跨域互联 IPSece VPN iVPN app 云专线绑跨域互联

参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤，请参见《虚拟私有云操作指导》中的“

场景说明 随着金融证券行业云上业务规模的扩大，多网络间进行私网互通时，会遇到被监管机构要求使用固定私网地址访问的场景。通过私网 NAT网关的SNAT功能和DNAT功能可以实现固定私网中转IP地址和互联机构互访的场景。 推荐配置 可以通过开通云专线实现云上VPC连接本地数据中心或机构数据中心，然后购买私网NAT网关，通过配置SNAT规则实现云上计算实例使用固定私网中转IP地址访问本地数据中心或机构数据中心。通过配置DNAT规则实现云上计算实例使用固定私网中转IP地址开放服务被本地数据中心或机构数据中心访问。 组网架构 混合云使用指定地址互访场景的组网架构如下： 应用场景二：VPC互访地址冲突 场景说明 由于早期网络规划单一或后期的业务合并，云上可能存在需要互通的两个业务VPC地址冲突的情况（如下图架构，两个冲突VPC子网地址都是192.168.1.0/24）。这时我们可以通过私网NAT网关的能力，实现两个地址冲突的VPC使用不冲突的私网中转IP地址互访。 推荐配置 您可以为两个业务VPC各选择一个不冲突的地址段创建子网，并分别基于此子网创建一个私网NAT网关并配置两个不冲突的私网中转IP地址（如下图架构，分别选用地址段192.168.3.0/24和192.168.4.0/24）。主动访问的业务VPC使用SNAT功能将源地址转换为私网 NAT网关的私网中转IP地址，被访问的业务VPC通过DNAT功能使用私网NAT网关的私网中转IP地址对外提供私网服务，从而实现地址冲突的两个业务VPC互访。

本地设备配置VPN时需要设置ACL，为何在控制台上找不到对应的配置？ VPN连接的“连接模式”选择“策略模式”时，才需要在控制台上配置策略规则ACL。 创建VPN连接时添加对端子网，提示系统异常，如何处理？ 检查VPC内是否存在对等连接、云专线的子网路由使用了该子网，导致VPN下发子网路由冲突，确认后将其配置的子网路由删除后重新创建即可。 Console界面在哪添加VPN远端路由？ 云端在VPN连接创建时会自动下发远端子网路由，无需手动配置。 如何理解VPN连接中的对端网关和对端子网？ 对端网关和对端子网是两个相对的概念，在建立VPN连接时，从云的角度出发，VPC网络就是本地子网，创建的VPN网关就是本地网关，与之对接的用户侧网络就是对端子网，用户侧的网关就是对端网关。 对端网关IP就是用户侧网关的公网IP，对端子网指需要和VPC子网互联的子网。 创建VPN连接时如何关闭PFS？ 云 请在VPN连接配置参数中，将IPsec策略中PFS的选项选择为Disable。云默认开启PFS。 用户数据中心对端网关 部分设备厂商默认关闭了PFS功能，请查询设备对应用户手册进行操作。 说明 配置过程中，请确认云和对端网关侧PFS配置一致，否则会导致协商失败。 为了增强安全性，建议云和对端网关侧均开启PFS。 VPN本端子网和对端子网的数量有限制吗？ 每VPN网关配置的本地子网数量：50 每VPN连接支持配置的对端子网个数：50

本文为您介绍什么是云专线。 云专线提供用户本地数据中心与天翼云VPC虚拟私有云之间的连接服务。云专线产品在充分利用中国电信云网融合优势的同时，依托现有的IT基础设施，灵活搭建云上云下高速、低时延、稳定安全的专属连接通道。 产品架构 云专线服务的物理专线一端连接本地数据中心的本地网关设备，一端连接云专线的专线网关，将客户本地数据中心的内部局域网连接到天翼云的接入点，对接天翼云上的虚拟专有网络VPC，实现安全、可靠、高速的内网级通信质量。 云专线服务的产品架构如下图所示： 云专线服务和VPN连接区别 云专线服务和VPN连接都是用于连接用户本地网络与天翼云平台之间的网络连接方式，但它们有一些区别。下表是它们之间的对比： 对比项 云专线服务 VPN连接 网络质量 云专线是通过专用线路物理专线来连接用户本地数据中心与天翼云数据中心，提供更可靠、低延迟的连接。 VPN是通过公共网络（如互联网）创建一个安全的加密通道，使得用户可以在不同地点之间建立私密的连接。 传输带宽 云专线兼容底层IPRAN、MSTP、MPLS VPN、OTN等多种线路类型，支持1G/10G/100G等多种端口带宽规格；同时提供端口聚合和链路能力，实现专线带宽随选和弹性扩容。 受限于公共网络的带宽，即互联网带宽为多少则VPN连接最大传输带宽是多少。 安全性 与互联网物理隔离，用户可以选择独享物理专线，用户独占一个物理端口资源，无数据泄露风险，安全性高。 基于互联网的加密通信，可以满足一般用户的网络传输安全性需求。 适用场景 云专线适用于需要大量带宽、稳定性和可扩展性的连接，比如大规模数据迁移、持续性数据传输等。 VPN连接适用于临时、小规模的连接需求。

本节介绍云等保专区产品的主机安全。 主机安全v1.0（简称“EDR”）是一款集成了丰富的系统防护与加固、网络防护与加固等功能的主机安全产品。EDR通过自主研发的文件诱饵引擎，有着业界领先的勒索专防专杀能力；能通过内核级东西向流量隔离技术，实现网络隔离与防护；并拥有补丁修复、外设管控、文件审计、违规外联检测与阻断等主机安全能力。 功能介绍 EDR具有以下功能模块： 防御已知和未知类型勒索病毒 EDR不仅可以阻止已知勒索病毒的执行，而且面对传统杀毒软件束手无策的未知类型勒索病毒时，EDR采用诱饵引擎，在未知类型勒索病毒试图加密时发现并阻断加密行为，有效守护主机安全。 防御高级威胁全流程攻击 EDR根据ATT&CK理论，对攻防对抗的各个阶段进行防护，包括单机扩展、隧道搭建、内网探测、远控持久化、痕迹清除。不仅可以做到威胁攻击审计，而且还可以防止黑客进行渗透攻击，实现攻防对抗360度防御。 管控全局终端安全态势 服务器、PC和虚拟机等终端安装了客户端软件后，上传资产指纹、病毒木马、高危漏洞、违规外联、安全配置等威胁信息到管理控制中心。用户在管理控制中心可以看到所有安装了客户端软件的主机及安全态势，并进行统一任务下发，策略配置。 全方位的主机防护体系 EDR不仅包含传统杀毒软件的病毒查杀、漏洞管理、性能监控功能，在系统防护方面还可做到主动防御、系统登录防护、系统进程防护、文件监控，还支持网络防护、Web应用防护、勒索挖矿防御、外设管理等多个功能点。 流量可视化，安全可见 EDR通过流量画像的流量全景图，展示内网所有流量和主机间通信关系，梳理通信逻辑，以全局视角对策略进行规划，便于用户第一时间发现威胁，一键清除威胁。 简单配置，离线升级，补丁管理 EDR支持用户自主进行安全配置，能够明确、有效的进行主机防护。主程序、病毒库、漏洞库、补丁库、Web后门库、违规外联黑名单库全部支持离线导入升级包、一键自动升级，可在专网使用。

参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤，请参见《虚拟私有云操作指导》中的“

场景说明 随着金融证券行业云上业务规模的扩大，多网络间进行私网互通时，会遇到被监管机构要求使用固定私网地址访问的场景。通过私网 NAT网关的SNAT功能和DNAT功能可以实现固定私网中转IP地址和互联机构互访的场景。 推荐配置 可以通过开通云专线实现云上VPC连接本地数据中心或机构数据中心，然后购买私网NAT网关，通过配置SNAT规则实现云上计算实例使用固定私网中转IP地址访问本地数据中心或机构数据中心。通过配置DNAT规则实现云上计算实例使用固定私网中转IP地址开放服务被本地数据中心或机构数据中心访问。 组网架构 混合云使用指定地址互访场景的组网架构如下： 应用场景二：VPC互访地址冲突 场景说明 由于早期网络规划单一或后期的业务合并，云上可能存在需要互通的两个业务VPC地址冲突的情况（如下图架构，两个冲突VPC子网地址都是192.168.1.0/24）。这时我们可以通过私网NAT网关的能力，实现两个地址冲突的VPC使用不冲突的私网中转IP地址互访。 推荐配置 您可以为两个业务VPC各选择一个不冲突的地址段创建子网，并分别基于此子网创建一个私网NAT网关并配置两个不冲突的私网中转IP地址（如下图架构，分别选用地址段192.168.3.0/24和192.168.4.0/24）。主动访问的业务VPC使用SNAT功能将源地址转换为私网 NAT网关的私网中转IP地址，被访问的业务VPC通过DNAT功能使用私网NAT网关的私网中转IP地址对外提供私网服务，从而实现地址冲突的两个业务VPC互访。

本文介绍如何进行端口映射的配置。 做端口映射时，请确保安全组、防火墙已放通对应的端口。 Windows云主机（2012） 打开cmd窗口执行命令。 netsh interface portproxy add v4tov4 listenaddress本机内网IP connectport源端口 connectaddress映射主机内网IP listenport映射端口 Linux云主机（CentOS 7.6） 以登录为例，登录“弹性云主机1”的1080端口自动跳转访问“弹性云主机2”的22端口。 1. 登录Linux弹性云主机。执行如下命令，修改文件。 vi /etc/sysctl.conf 在文件中添加“net.ipv4.ipforward 1”。 执行如下命令，完成修改。 sysctl p /etc/sysctl.conf 2. 在“iptables”的“nat”表中添加规则，执行如下命令，通过弹性云主机1的1080端口映射到弹性云主机2的22端口。 iptables t nat A PREROUTING d 弹性云主机1私网IP p tcp dport 1080 j DNAT todestination 弹性云主机2私网IP:22 iptables t nat A POSTROUTING d 弹性云主机2私网IP p tcp dport 22 j SNAT to 弹性云主机1私网IP 3. 验证配置是否生效，执行如下命令，登录弹性云主机1的1080端口。 ssh p 1080 弹性云主机1公网IP 4. 输入yes及弹性云主机2的密码后，登录到弹性云主机2。

本文向您介绍企业版VPN中VPN子网设置类常见问题。 配置VPN连接的本端子网和对端子网时需要注意什么？ 子网数量满足规格限制，数量超出规格限制请进行聚合汇总。 每VPN网关配置的本地子网数量：50。 每VPN连接支持配置的对端子网个数：50。 本端子网不可以包含远端子网，远端子网可以包含本端子网。 推荐配置的本端子网在VPC内有路由可达。 同一个VPN网关创建两条连接：若这两条连接的远端子网存在包含关系，在访问的目的网络处于交集网段部分时，按照创建连接的先后顺序匹配VPN连接，且与连接状态无关（策略模式不能按照掩码长度进行匹配）。 VPN本端子网和对端子网的数量有限制吗？ 每VPN网关配置的本地子网数量：50 每VPN连接支持配置的对端子网个数：50 创建VPN连接时添加对端子网，提示系统异常，如何处理？ 检查VPC内是否存在对等连接、云专线的子网路由使用了该子网，导致VPN下发子网路由冲突，确认后将其配置的子网路由删除后重新创建即可。 VPN网关删除后公网地址是否可以保留？ 按需VPN网关如果绑定了按需EIP，则VPN网关删除后会同步删除绑定的按需EIP。 如果需要保留EIP，请在删除VPN网关前对EIP进行解绑操作。 VPN接入VPC的网络地址如何规划？ 云上VPC地址段和客户云下的地址段不能冲突，且不允许存在包含关系。 为避免和云服务地址冲突，用户侧网络应尽量避免使用127.0.0.0/8、169.254.0.0/16、224.0.0.0/3、100.64.0.0/10的网段。

参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址暂不可修改。 内网安全组 安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。

方向 优先级 策略 类型 协议端口 源地址 描述 入方向 1 允许 IPv4 自定义TCP: 3306 安全组：sgA 允许安全组sgA内云主机访问MySQL数据库服务。 入方向 1 允许 IPv4 自定义TCP: 1521 安全组：sgB 允许安全组sgB内云主机访问Oracle数据库服务。 入方向 1 允许 IPv4 自定义TCP: 1433 IP地址：172.16.3.21/32 允许私网IP地址为172.16.3.21的云主机访问MS SQL数据库服务。 入方向 1 允许 IPv4 自定义TCP: 5432 IP地址：192.168.0.0/24 允许私网IP地址属于192.168.0.0/24网段的云主机访问PostgreSQL数据库服务。 入方向 1 允许 IPv4 自定义TCP: 6379 IP地址组：ipGroupA 允许私网IP地址属于IP地址组ipGroupA范围内的云主机访问Redis数据库服务。

参数 说明 使用场景 在使用SNAT访问公网的场景下，此处选择虚拟私有云。 表示虚拟私有云中的云主机使用SNAT规则访问公网。 类型 云主机访问公网的方式。当虚拟私有云子网中的全部云主机需要通过SNAT方式访问公网时，选择子网。 当虚拟私有云子网中的部分云主机需要通过SNAT方式访问公网时，选择自定义。 子网 选择虚拟私有云中的子网，可实现该子网中的云主机通过SNAT的方式访问公网。 网段 通过配置虚拟私有云子网中的某个网段，使该网段中的云主机通过SNAT方式访问公网。 弹性IP 用来提供互联网访问的公网IP。这里只能选择没有被绑定的弹性IP， 或者被绑定在当前公网NAT网关中非“所有端口”类型DNAT规则上的弹性IP，或者被绑定到当前公网NAT网关中SNAT规则上的弹性IP。 描述 SNAT规则信息描述。最大支持255个字符。

本文介绍如何在事件总线EventBridge控制台如何使用访问端点。 事件网格支持的访问端点如下： 私网访问端点：您自行创建的私网访问端点，您可以通过私网访问端点来推送用户自定义事件。 查看私网访问端点 1. 登录事件总线控制台。 2. 在左侧导航栏，单击网络管理，选择访问端点。 3. 在访问端点页面，可以查看已链接的访问端点。 1. 查看已链接的访问端点的内网域名、虚拟私有云与子网信息。 2. 点击对应访问端点的管理按钮，查看访问端点的详情信息。 创建私网访问端点 1. 登录事件总线控制台。 2. 在左侧导航栏，单击网络管理， 选择访问端点。 3. 点击创建私网访问端点按钮。 4. 跳转到创建页面，后端服务应选中vpceservereventbridge，高级配置中建议打开私网域名的开关。 5. 选择需要链接的虚拟私有云和子网，点击创建。 注意 创建访问端点会为您创建VPC终端节点，将产生VPC终端节点费用，当您不使用访问端点时请及时删除。 删除私网访问端点 1. 登录事件总线控制台。 2. 在左侧导航栏，单击网络管理， 选择访问端点。 3. 点击对应私网访问端点 ，点击右侧管理按钮。 4. 在天翼云网络控制台中删除对应终端节点。

本文向您介绍如何通过VPN连接云下数据中心与云上VPC。 操作场景 默认情况下，在Virtual Private Cloud (VPC) 中的弹性云主机无法与您自己的数据中心或私有网络进行通信。如果您需要将VPC中的弹性云主机和您的数据中心或私有网络连通，可以启用VPN功能。申请VPN后，用户需要配置安全组并检查子网的连通性，以确保VPN功能可用。主要场景分为两类： 点对点VPN：本端为处于云服务平台上的一个VPC，对端为一个数据中心，通过VPN建立用户数据中心与VPC之间的通信隧道。 点对多点VPN：本端为处于云服务平台上的一个VPC，对端为多个数据中心，通过VPN建立不同用户数据中心与VPC之间的通信隧道。 配置VPN时需要注意以下几点： 本端子网与对端子网不能重复。 本端和对端的IKE策略、IPsec策略、PSK相同。 本端和对端子网，网关等参数对称。 VPC内弹性云服务器安全组允许访问对端和被对端访问。 VPN对接成功后两端的云主机或者物理设备之间需要进行通信，VPN的状态才会刷新为正常。 前提条件 已创建VPN所需的虚拟私有云和子网。 操作步骤 1. 在管理控制台上，创建VPN网关、用户网关，选择合适的IKE策略和IPsec策略创建VPN连接。 2. 检查本端和对端子网的IP地址池。 3. 为弹性云主机配置安全组规则，允许通过VPN进出本地数据中心的报文。 4. 检查VPC安全组。 5. 检查远端LAN配置（即对端数据中心网络配置）。 假设您在云中已经申请了VPC，并申请了2个子网（192.168.1.0/24，192.168.2.0/24），您在自己的数据中心Router下也有2个子网（192.168.3.0/24，192.168.4.0/24）。您可以通过VPN使VPC内的子网与数据中心的子网互相通信。 本端和对端子网IP池不能重合。例如，本端VPC有两个子网，分别为：192.168.1.0/24和192.168.2.0/24，那么对端子网的IP地址池不能包含本端VPC的这两个子网。 从本地数据中心ping云主机，验证安全组是否允许通过VPN进出本地数据中心的报文。 在远程LAN（对端数据中心网络）配置中有可以将VPN流量转发到LAN中网络设备的路由。如果VPN流量无法正常通信，请检查远程LAN是否存在拒绝策略。

参数 描述 虚拟私有云 TaurusDB数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如果没有可选的虚拟私有云，TaurusDB数据库服务默认为您分配资源。 内网安全组 内网安全组限制实例的安全访问规则，加强TaurusDB数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。如果不创建内网安全组或没有可选的内网安全组，TaurusDB数据库服务默认为您分配内网安全组资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建TaurusDB实例的子网默认开启DHCP功能，不可关闭。 创建实例时TaurusDB会自动配置内网地址。创建实例时支持选择IPv6子网。选择IPv6子网后，实例的数据浮动IP地址将绑定IPv6地址，连接数据库时也可使用IPv6地址进行连接。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 IPv6实例的约束限制：创建实例所选规格需要支持IPv6；创建实例所选的可用区支持IPv6。

参数 说明 取值样例 实例规格类型 负载均衡的实例类型。 共享型 区域 不同区域的资源之间内网不互通。请选择靠近您客户的区域，可以降低网络时延、提高访问速度。 网络类型 可选公网或者私网。 公网：公网负载均衡器通过公网IP对外提供服务，将来自公网的客户端请求按照指定的负载均衡策略分发到后端主机进行处理。 私网：私网负载均衡器通过私网IP对外提供服务，将来自同一个VPC的客户端请求按照指定的负载均衡策略分发到后端主机进行处理。 私网 所属VPC 所属虚拟私有云。您可以选择使用已有的虚拟私有云网络，或者创建新的虚拟私有云。 子网 所属子网。 私有IP地址 选择IP地址的分配方式。自动分配IP地址：由系统自动分配IPv4地址。 手动指定IP地址：手动指定IPv4地址。选择所属子网时，不勾选“自动分配IPv4地址”，需要输入相应的IP。 192.168.0.2 弹性IP 负载均衡器绑定EIP后可以接收来自公网的访问请求并自动分发到多台后端主机。 新创建 弹性IP类型 使用新创建弹性IP时，选择的EIP的类型。 电信 公网带宽 弹性IP使用的带宽类型。 按带宽计费 带宽 设置新创建的EIP带宽大小。 10 Mbit/s 名称 负载均衡器的名称。 elbyss0 企业项目 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 default 描述 可添加负载均衡器相关描述。 标签 标签用于标识云资源，可对云资源进行分类和搜索。标签由标签“键”和标签“值”组成， 标签键用于标记标签，标签值用于表示具体的标签内容。 键：elbkey1值：elb01

内网DNS（Intranet Domain Name Service，CTIDNS）可提供VPC内的安全、全面、高性能的域名解析功能，具有以下特点： 支持基于VPC任意定制内网域名，灵活自由。 一个域名可以关联多个VPC，方便统一管理部署。 提供VPC子网专用的内网DNS，直接响应内网域名，OBS，RDS等地址的解析请求，快速高效，有效防护劫持。 内网DNS将内网域名与私网IP地址相关联，为云服务提供VPC内的域名解析服务，解析过程如下图所示。 图内网域名解析过程 当VPC内云主机访问内网域名时，内网DNS直接对内网域名进行解析，向云主机返回对应被访问的云服务器的私网IP地址。

使用SNAT或DNAT高速访问互联网 用户云下数据中心使用云专线/VPN接入虚拟私有云的用户，若有大量的服务器需要实现安全，可靠，高速的访问互联网，或者为互联网提供服务，可通过公网NAT网关的SNAT功能或DNAT功能来实现。 使用SNAT或DNAT高速访问互联网场景图如图所示。 图 使用SNAT或DNAT高速访问互联网 搭建高可用的SNAT 在IT系统中，往往存在绑定的弹性IP被攻击封堵的可能性。如果您想提高系统的高可靠性，可以在配置SNAT规则时，添加多个弹性IP，当其中一个弹性IP被攻击封堵时，可以最大程度保障使用其他弹性公网IP的业务正常运行。 当SNAT规则上绑定了多个EIP时，系统会随机选择一个弹性IP访问公网。 每条SNAT规则支持添加20个弹性IP，当SNAT规则中添加的弹性IP被攻击封堵或不可用时，需要手动从EIP池中删除。 使用公网NAT网关的SNAT规则搭建高可用场景组网图如图所示。 图 使用公网NAT网关的SNAT规则搭建高可用场景 私网NAT网关 重叠网段VPC间互通 私网NAT网关提供私网地址转换服务，利用两个私网NAT网关，配置SNAT、DNAT规则，可同时将源、目的网段地址转换为中转IP，通过使用中转IP实现两VPC间互通。私网NAT网关解决了两个重叠网段虚拟私有云中的云主机互相访问的问题。 如下图所示，创建一个中转VPC，然后使用两个私网NAT网关将VPC A中IP地址为192.168.0.1的弹性云主机地址转化为10.0.0.11、将VPC B中IP地址为192.168.0.1的弹性云主机地址转化为10.0.0.22，通过转化后的IP地址相互访问。 图 重叠网段VPC间互通

随着互联网用户数量的高速增长，一个网站应用部署在一个服务器上很难经得起高并发的访问，业务拆分到多个服务器分担压力是最基本的方案。 多个服务器可以建立在同一个VPC内，云主机之间通过私网IP实现互访，私网IP会写入云主机的内部调用API接口中。此时，存在这样的问题：假如其中一个云主机发生切换，私网IP也会随之变化，这时就需要修改其他云主机代码中的API接口，并重新发布变更，维护极其不便。 这时，如果您通过内网DNS为您VPC内的每个云主机创建一个内网域名，并添加到对应私网IP的解析。这样，云主机之间可以通过内网域名进行互访。当某个云主机发生切换时，无需修改云主机的代码，只需修改对应域名的解析记录即可。 内网DNS的典型应用场景如下图所示。 图为云主机配置内网域名 在一个VPC内，部署了ECS和RDS。其中： ECS：作为主业务站点和业务入口。 ECS1：作为公共接口。 RDS1：作为数据库，存储业务数据。 ECS2和RDS2：作为备份服务器和数据库。 当该网站在运行过程中，因ECS1故障，需要将业务切换到备份的云主机ECS2时，若云主机没有配置内网域名，则需要通过修改主业务节点ECS的代码来重新设置云主机的内网IP地址。该操作需要中断业务并重新发布网站，耗时耗力。 假如在部署该网站时，我们为云主机申请了内网域名，且代码中设置的是云主机的内网域名，则仅需要通过修改内网域名解析记录即可实现云主机的切换，无需中断业务，也不需要重新发布网站。