为保障您的天翼云弹性云主机系统时间精准统一,避免因时钟偏差引发业务异常、日志时序错乱、合规审计不达标等问题,推荐您配置天翼云内网 NTP 时间同步服务。本文为您介绍内网 NTP 时间同步的核心作用,以及红帽系、Debian 系 Linux 操作系统的标准化配置方法。 一、内网 NTP 时间同步核心作用 保障业务稳定运行：确保分布式集群、数据库主从同步、交易订单等业务的时序一致性，避免因时钟偏差引发数据错乱、服务异常。 提升运维排障效率：统一全量云主机系统时间，保障日志时序准确，便于故障溯源与问题定位。 满足合规审计要求：符合网络安全等级保护等监管规范对系统时间统一、日志可追溯的硬性要求。 低延迟高可靠：使用天翼云内网 NTP 专用地址，无需占用公网带宽，同步链路稳定、精度更高。 二、前置说明 适用范围：天翼云弹性云主机，涵盖红帽系（RHEL 7/8/9、CentOS 7/Stream、Rocky Linux、AlmaLinux 等）、Debian 系（Debian 10/11/12、Ubuntu 18.04+）Linux 操作系统。 天翼云内网 NTP 服务器地址：169.254.169.254。 三、配置步骤 红帽系操作系统配置（chronyd） 红帽系操作系统官方推荐使用 chronyd 服务实现时间同步，RHEL 8/9 系列默认预装并启用，配置步骤如下： 1. 备份原始配置文件（便于异常回滚） plaintext cp /etc/chrony.conf /etc/chrony.conf.bak 2. 写入天翼云内网 NTP 配置 清理原有NTP源配置 plaintext sed i E '/^(poolserver)/d' /etc/chrony.conf 新增内网NTP同步配置 plaintext cat >> /etc/chrony.conf << EOF server 169.254.169.254 iburst prefer EOF 3. 重启服务并配置开机自启 plaintext systemctl restart chronyd systemctl enable now chronyd

本文主要介绍使用私网NAT网关为VPC内计算实例实现线上线下互通 操作场景 您需要在IDC和云上区域创建云专线。本示例使用VPC对等连接代替云专线。 操作步骤 通过创建VPC对等连接将用户IDC（Peering目的VPC）与中转VPC连通。详情参考虚拟私有云如何创建对等连接。

云主机通过SNAT访问公网 前提条件 在VPC内创建NAT网关实例。 配置方法 如果子网2、子网3需要通过SNAT主动访问公网，需要在子网2、子网3关联的路由表中增加一条目的地址为0.0.0.0/0指向NAT网关的路由规则。由于自定义类型的路由规则优先级高于系统类型的路由规则，这样可以保证可以通过NAT网关访问互联网。 从以上的例子可以看出，同一个子网内的云主机绑定弹性IP和NAT网关后，默认通过NAT网关访问公网，弹性IP无法访问公网。因此，不建议同一个子网内的云主机同时绑定弹性IP和NAT网关。 方式2：公网IP优先 创建子网类型自定义路由表时，会默认生成2种类型的路由规则，目的网段为VPC CIDR、下一跳为local的系统类型路由；目的网段为0.0.0.0/0、下一跳为IPv4网关的自定义类型路由（自定义类型规则可以删除）。因此，所有的子网默认具备通过IPv4网关访问公网的能力。 注意 首先按照路由目的地址最长掩码进行匹配；其次，路由目的地址相同时优先通过公网IP（IPv4网关）访问公网（云主机等服务器需要绑定公网IP）。 在同一个子网内云主机同时绑定弹性IP和SNAT规则时，目的地址相同的指向IPv4网关和NAT网关的自定义路由规则同时存在时，当匹配该路由访问公网地址时，云主机绑定弹性IP的情况下，通过弹性IP进行访问，否则，通过NAT网关进行访问。 示例如下： VPC CIDR：10.0.0.0/8 子网1 CIDR:10.0.0.0/24、子网2 CIDR:10.0.1.0/24、子网3 CIDR:10.0.2.0/24

序号 流程 说明 1 规划组网和资源 规划组网和资源，包括资源数量及网段信息等。 2 创建资源 1、创建企业路由器：创建1个企业路由器，构建一个同区域组网只需要1个企业路由器。 2、创建VPC和ECS：创建4个虚拟私有云VPC和4个弹性云主机ECS。 3 配置网络 在企业路由器中配置VPC连接： 1、在企业路由器中添加“虚拟私有云（VPC）”连接：将4个VPC分别接入企业路由器中。 2、在企业路由器中创建路由表；创建2个自定义路由表。 3、在路由表中创建关联和传播：根据网络规划，在两个路由表中分别创建“虚拟私有云（VPC）”连接的关联和传播。 4、在VPC路由表中配置路由：在VPC路由表中配置到企业路由器的路由信息。 4 验证网络互通情况 登录ECS，执行ping命令，验证网络互通情况。

本文带您快速熟悉如何查询终端节点(Endpoint)。 对象存储（简称ZOS）为每个地域提供一个终端节点，终端节点可以理解为ZOS在不同地域的域名，用于处理各自地域的访问请求。 操作场景 如果您选择使用SDK、API或客户端，则需要提前获取创建桶时所选地域的终端节点（Endpoint），来访问ZOS资源。ZOS为每个地域提供了通过外网和内网的访问方式，具体请查看访问规则。 操作步骤 1.开通对象存储ZOS服务后，在管理控制台点击目标桶的Bucket名称，进入“概览”页面。 2.进入页面后，在“域名信息”中，记录当前资源池的终端节点（Endpoint）、Bucket外网访问、同资源池内网访问的IPV4或IPV6地址。 说明 终端节点（Endpoint）：ZOS为每个地域提供Endpoint，可通过这个地址访问和调用对象存储及其功能。 Bucket外网访问域名：桶的域名地址，支持公网访问ZOS。域名结构为“协议://BucketName.Endpoint”，BucketName为桶名称，Endpoint为桶对应的地域域名。 同资源池内网访问（IPV4）域名：支持同资源池云主机通过内网访问ZOS的IPV4地址，内网访问不产生公网流量。 同资源池内网访问（IPV6）域名：支持同资源池云主机通过内网访问ZOS的IPV6地址，内网访问不产生公网流量。 例如，华东华东1和广东广州6的endpoint地址如下表： 访问控制 Endpoint 地域 终端节点（Endpoint） 华东华东1 同资源池内网访问(IPV4) 华东华东1 访问控制 Endpoint 地域 终端节点（Endpoint） 广东广州6 同资源池内网访问(IPV4) 广东广州6

本文为您介绍如何使用使用DNAT暴露公网服务。 NAT网关介绍 弹性容器实例对外提供服务的方式有三种，eip、elb、dnat，您可以按需进行选择使用。 NAT网关（CTNAT Gateway）是一种支持 IP 地址转换的网络云服务，能够为虚拟私有云（Virtual Private Cloud，CTVPC）内的计算实例提供网络地址转换（Network Address Translation），分为公网NAT网关和私网NAT网关两种。公网NAT网关使多个弹性云主机可以共享使用弹性IP访问Internet或使多个弹性云主机提供互联网服务；私网NAT网关可将源、目的网段地址转换为VPC私网中转IP地址，通过使用中转IP实现VPC内的计算实例与其他VPC、云下IDC的指定地址隔离互访。详细信息查看天翼云官网NAT网关帮助文档。 ECI弹性容器实例接入DNAT最佳实践 1. 创建公网nat网关。 2. 为vpc添加路由表，指定0.0.0.0/0的下一跳地址为刚刚创建的nat网关。 3. 为公网nat网关创建DNAT规则。 1. 控制台创建时，选择手动输入自定义地址。 2. openapi创建时，指定virtualMachineType为2，serverType为VM，详细接口请参考创建dnat规则文档。 4. 访问nat网关绑定的eip+externalPort即可访问对应服务。

本节介绍了云容器引擎节点类常见问题。 容器集群新增节点时的问题与排查方法？ 若是通过集群节点扩容，可在集群节点列表中查看新增的节点概况； 若是通过节点池新增节点，可在节点池详情的伸缩活动中看操作记录。 如何重置容器集群中节点的密码？ 可在集群节点详情页面有重置密码按钮，需两次输入密码校验正确后才生效。 注意 节点重置密码等同于云主机重置密码，请务必保存好密码。 节点重置密码后如何登陆云主机？ 需购买并绑定同一VPC内的弹性IP后，可SSH登陆云主机操作。 容器集群节点中安装kubelet的端口主要有哪些？ 容器集群节点中安装kubelet的端口主要有如下几个： 10250 –port：kubelet服务监听的端口，api会检测他是否存活。 10248 –healthzport：健康检查服务的端口。 10255 –readonlyport：只读端口，可以不用验证和授权机制，直接访问。 4194 –cadvisorport：当前节点cadvisor运行的端口。 容器集群的节点可以更改IP吗？ 不支持修改私网IP：当前容器的集群中把节点私网IP作为kubernetes node名称，kubernetes node名称不支持修改，修改后会导致节点不可用及容器网络异常等故障，所以不支持更换节点私网IP。 支持修改公网IP：节点上的公网IP可以在云主机控制台更换。 如何更改节点Pod数量？ 不同集群单节点支持的最大Pod数是有限制的，默认为110。 登陆到节点上，修改/var/lib/kubelet/config.yaml中配置。 修改参数maxPods为指定的值。 执行systemctl restart kubelet，重启kubelet。

开启防护后，云防火墙默认放行所有流量，配置合适的访问控制策略能有效地帮助您对内部服务器与外网之间的流量进行精细化管控，防止内部威胁扩散，增加安全战略纵深。 访问控制策略类型 访问控制策略分为“防护规则”和“黑/白名单”两类功能，区别如下表所示，流量命中某一条策略时，执行该策略的动作，各功能的防护顺序请参见“云防火墙的防护顺序是什么”。 防护规则和黑/白名单的区别如下： 类型 支持的防护对象 网络类型 防护后的动作 应用场景&特点 配置方式 防护规则 五元组 IP地址组 地理位置（地域） 域名和域名组 公网IP 私网IP 设置为“阻断”：流量直接拦截。 设置为“放行”：流量被“防护规则”功能放行后，再经过入侵防御（IPS） 功能检测。 通过具体的特征识别指定流量，适用于需要精细化控制特定流量的情况；例如通过协议类型、端口号、应用等特征配置规则。 通过添加防护规则拦截/放行流量 黑名单 五元组 IP地址组 公网IP 私网IP 直接拦截流量。 快速拦截已识别的安全威胁，适用于已知恶意流量数据的情况。 通过添加黑白名单拦截/放行流量 白名单 五元组 IP地址组 公网IP 私网IP 流量被云防火墙放行，不再经过其它功能检测。 快速放行可信流量，适用于明确可信IP地址的情况。 通过添加黑白名单拦截/放行流量

本文主要介绍删除中转子网 操作场景 当您不需要某个中转子网时，可以进行删除操作。 删除中转子网后，对应VPC下云服务器将无法通过私网NAT网关进行访问或对外提供服务。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。进入NAT网关页面。 3. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。 4. 在“中转子网”页签中，单击目标中转子网操作列的“删除”。 5. 单击“是”。

项目 约束 计费模式 当前只支持“按需计费”模式。 联邦名称 实例名称不可重复；实例名称长度4~40个字符，大小写字母开头，只能包含大小写字母、数字及分隔符()，大小写字母或数字结尾。 容器舰队 容器舰队可提供多集群的统一管理，包括统一的权限管理、统一的安全策略、统一的配置管理以及统一的多联邦管理、网格等能力。 舰队成员集群与联邦之间若存在跨资源池互通需求，后台默认尝试公网互联方式；若需调整，请在订购后至联邦控制台进行设置。 企业项目 可选择已有企业项目，或者在IAM创建新的企业项目。 虚拟私有云 建议联邦实例与成员集群间网络尽可能同资源池同 VPC，可最大化降低管理流量跨网跨资源池互通的成本。 所在子网 请选择虚拟私有云子网，集群的节点将部署在此子网中，并申请子网的 IP。当子网开启IPv6时，云资源（云主机、物理机）将开启 IPv4/IPv6 双栈。 ApiServer访问 请您根据需求选择合适的ELB规格，系统将据此创建一个私网ELB实例作为 APIServer 的负载均衡器，若删除该ELB实例会导致 APIServer 无法访问。 安全组 可自动生成或者选择已有安全组，需要确保联邦访问端口在虚拟私有云的子网里为放通状态。 是否使用EIP暴露ApiServer 获得您的授权，以委托方式新建 EIP 并按 EIP 实际使用量收费，未开启，无法通过公网访问 APIServer。 删除保护 防止通过控制台或API误删除联邦控制面，删除联邦控制面实例不会对用户容器集群造成任何影响，理论上也不影响已调度完成的应用。

本文主要介绍如何创建中转IP 操作场景 通过创建中转子网与中转IP，使虚拟私有云内多个云主机可以共享中转IP访问用户本地数据中心（IDC）或其他虚拟私有云，或面向私网提供服务。 操作步骤 1. 登录管理控制台。 2. 在系统首页，单击“网络 > NAT网关”。进入NAT网关页面。 3. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。 4. 在“中转子网”页签中，单击目标中转子网名称。进入中转子网详情页。 5. 单击“创建中转IP”，根据界面提示，配置中转子网参数。 表 中转IP参数说明 参数 说明 分配方式 中转IP的分配方式。 自动分配 手动分配 IP地址 分配方式为手动分配时，需要填写。此IP地址需包含在中转子网网段内。

操作步骤 云主机通过绑定弹性IP访问公网 配置方法 在创建子网路由表时已经默认生成了指向IPv4网关的缺省路由规则，所有的子网默认具备访问公网的能力。不需要再配置其他路由规则即可通过弹性IP访问公网。 子网1中的ECS可以通过弹性IP访问公网。 云主机通过SNAT访问公网 前提条件 在VPC内创建NAT网关实例。 配置方法 如果子网2、子网3需要通过SNAT主动访问公网，需要在子网2、子网3关联的路由表中增加一条目的地址为0.0.0.0/0指向NAT网关的路由规则。由于user类型的路由规则优先级高于系统类型的路由规则，这样可以保证可以通过NAT网关访问互联网。 从以上的例子可以看出，同一个子网内的云主机绑定弹性IP和NAT网关后，默认通过NAT网关访问公网，弹性IP无法访问公网。因此，不建议同一个子网内的云主机同时绑定弹性IP和NAT网关。

本文帮助您快速熟悉弹性网卡基本知识。 弹性网卡是虚拟私有网络VPC中的虚拟网络接口，用于连接ECS与私有网络。 每个弹性网卡可以包含以下主要属性： 专有网络VPC、子网信息 VPC子网的IPv4地址范围内的一个主要私有IPv4地址 VPC子网的IPv4地址范围内的一个或者多个辅助私有IPv4地址 和一个公网IPv4地址绑定，将网卡的私网IP NAT成为公网IP 一个IPv6地址 一个MAC地址 一个或多个安全组 网卡类型 网卡类型包括主网卡和辅助网卡。随着云主机、物理机服务器等实例一起创建的网卡称为主网卡。VPC网络中的每个实例都有默认的主网卡，您无法独立创建主网卡，也无法从实例卸载主网卡。您可以创建并额外绑定到实例上的网卡，称为辅助网卡，辅助网卡可以灵活的和实例解绑、绑定。 私有IPv4地址 每个弹性网卡都有一个子网地址范围内的私有IPv4地址，称为主私网地址。您可以在创建辅助弹性网卡时指定主私网地址，如果不指定，我们将为您随机分配。此外，您还可以为弹性网卡分配一个或者多个辅助私有IPv4地址，辅助私有IP地址在取消分配后可以回收，然后再分配给其他弹性网卡。 私有IPv6地址 如果虚拟私有网络VPC和子网开通了IPv6网段，您可以为弹性网卡分配一个主私网IPv6地址。主私网IPv6地址在取消分配后可以回收。VPC内的IPv6地址支持VPC内网通信和公网通信，网卡绑定IPv6带宽或者加入共享带宽后，可以使用IPv6来访问公网或被公网访问。

区域 资源 资源说明 数量 天翼云（本端） 虚拟私有云子网 子网名称：Subnet A 子网网段：192.168.3.0/24 第一个二层连接：二层连接A内的本端二层连接子网，此处为云上ECS所在子网 3 天翼云（本端） 虚拟私有云子网 子网名称：Subnet C 子网网段：192.168.5.0/24 第二个二层连接：二层连接C内的二层连接子网，此处为云上ECS所在子网 3 天翼云（本端） 虚拟私有云子网 子网名称：Subnet B 子网网段：192.168.0.0/24 本端隧道子网，云上的隧道子网，此处为DC和ESW所在子网 3 天翼云（本端） 弹性云主机ECS Subnet A内地ECS，此处两台主机为IDC业务上云后扩展的两台主机。私有IP地址：192.168.3.4私有IP地址：192.168.3.5Subnet C内地ECS：私有IP地址：192.168.5.4私有IP地址：192.168.5.5 4 天翼云（本端） 企业交换机 ESW 隧道连接方式：云专线隧道子网：Subnet B 1 天翼云（本端） 二层连接 二层连接A，连接云上和云下Subnet A隧道IP：192.168.0.98隧道号：5530二层连接C，连接云上和云下Subnet C隧道IP：192.168.0.98隧道号：5540基于同一个企业交换机的两个二层连接，隧道IP地址保持一致，但是隧道号不能重复。 2 客户IDC（远端） 客户IDC内子网 子网名称：Subnet A 子网网段：192.168.3.0/24 第一个二层连接：二层连接A内的远端二层连接子网，客户IDC业务集群所在的子网 3 客户IDC（远端） 客户IDC内子网 子网名称：Subnet C 子网网段：192.168.5.0/24 第二个二层连接：二层连接C内的远端二层连接子网，客户IDC业务集群所在的子网 3 客户IDC（远端） 客户IDC内子网 子网名称：Subnet D 子网网段：200.51.51.0/24 远端隧道子网：客户IDC内的隧道子网 3 客户IDC（远端） 二层连接对应的IDC内VXLAN隧道 二层连接A，连接云上和云下Subnet A隧道IP：200.51.51.100隧道号：5530二层连接C，连接云上和云下Subnet C隧道IP：200.51.51.100隧道号：5540 2

本文主要介绍使用私网NAT网关为VPC内计算实例实现线上线下互通 操作场景 虚拟私有云可以为您的弹性云主机构建隔离的、用户自主配置和管理的虚拟网络环境。 创建业务VPC（含业务子网）和中转VPC（含中转子网）。 操作步骤 具体操作请参见《虚拟私有云用户指南》中的“创建虚拟私有云和子网”。

子网 云资源（例如云服务器、物理机等）必须部署在子网内。您可以在虚拟私有云内创建一个或多个子网，但是子网的网段必须在虚拟私有云网段范围内。同子网内网络默认互通，同VPC下不同子网之间默认互通。子网网段创建后无法修改，请合理规划网络。 路由表 路由表用于控制虚拟私有云的流量走向，路由表分为默认路由表和自定义路由表两种类型。默认路由表随着VPC自动创建，所有新建子网与默认路由表关联，不能创建也不能删除默认路由表，但可以在默认路由表中创建自定义路由规则。您可以选择创建自定义路由表，并将子网手动关联到自定义路由表中。对于部分可用区资源池，在VPC内创建自定义路由表，通过绑定自定义路由表和子网，实现子网内的云主机或物理机通信，从而更灵活地进行流量管理。在VPC内创建网关类型的自定义路由表，将其与IPv4网关绑定，这种路由表被称为网关路由表。网关路由表用来控制进入VPC的公网流量，可以将公网流量引流到VPC中的安全设备（例如虚拟防火墙）做统一安全防护。更多信息，请参考路由表概述。 访问控制 在虚拟私有云中，访问控制是保护云资源（云主机、物理机）免受未授权访问和攻击的关键配置之一。访问控制主要包括以下几个方面： 安全组是一种虚拟防火墙，用于控制云资源（云主机、物理机）的流量进出。在虚拟私有云中，您可以为每个安全组定义相应的规则，以允许或禁止特定IP地址或端口的流量进出。将适当的安全组规则应用于云资源（云主机、物理机）可以显著提高其安全性。更多信息，请参考安全组概述。 网络ACL是一种虚拟私有云中子网级别的流量防护策略，网络ACL可以通过为子网关联一个特定的ACL规则集来提供网络资源的安全性。更多信息，请参考网络ACL简介。安全组和ACL的区别，请参考安全组和网络ACL的区别。

本文向您介绍实现Windows云主机文件共享的解决方案。 操作场景 本文介绍实现同一个子网下Windows云主机之间文件共享的方法。 约束和限制 共享文件的云主机在同一个子网下，且网络互通。 操作步骤 本文以Windows Server 2008 标准版64位中文版操作系统云主机为例。 登录云主机。 在云主机右下方的网络图标处，右键点击“打开网络和共享中心”。 图1 打开网络和共享中心 点击“更改高级共享设置”，分别开启“家庭或工作”和“公用”下的“启用文件和打印机共享”，点击“保存修改”。 图2 启用或关闭共享 在CMD窗口执行命令 services.msc，找到TCP/IP NetBIOS Helper 服务，并设置为开启。 若服务处于“禁用”状态，则右键属性，将服务设为“自动”或者“手动”，然后开启服务。 图3 CMD窗口执行命令 图4 开启TCP/IP NetBIOS Helper

本节为您介绍如何使用云迁移服务来迁移云主机。 产品定义 天翼云云迁移服务（CTCMS，Cloud Migration Service）是一款由天翼云自主研发的专业迁移服务产品。基于P2V/V2V技术，CTCMS可以帮助用户将单台或多台迁移源从私有云、公有云或其他特殊环境，迁移至天翼云弹性云主机（CTECS）。旨在提供有序、安全、便捷、轻松的数字资产、服务、IT资源及应用程序迁移解决方案，同时保证云上业务的可用性、安全性和连续性。 迁移流程 操作场景 ECS相关场景 天翼云 ECS实例间迁移： 当需要把不同天翼云账号下的主机资源整合到一个天翼云账号下, 或者将同账户不同区域的CTECS资源整合到同一个区域下时，可以采用主机迁移服务实现CTECS实例间的快速迁移。 其他云平台云主机迁移至天翼云： CMS支持将您在不同环境如各云服务平台等云主机、IDC机房虚拟机、本地虚拟机迁移至天翼云，通过CMS可以实现相应业务需求。 应用场景 业务快速拓展：业务系统需要具备快速拓展的能力，但传统的云下设备拓展能力有限，因此存在上云的需求。在迁移过程中，需要保证业务正常运行，并在上云后获得优于云下体验，同时还要支持快速的业务拓展。 本地IDC陆续退网、业务持续上云：拥有自己的本地IDC机房，但随着时间的推移，机房内的服务器集群已经运行了810年，逐渐到达设备的运行年限。在这种情况下，大部分企业会选择将达到运行年限的设备进行退网处理。同时，随着设备退网，原有的业务系统、应用集群、数据库、对象存储等也面临着上云迁移的需求。 高密特殊上云迁移：政府单位以及部分特殊企业，具有较高的安全需求；需要采取一系列措施来确保数据和信息的安全性。在这种场景下，通常会对内外网进行隔离，限制上云迁移软件的使用。 各环境迁移至天翼云：业务在不同环境中运行，包括在IDC机房、本地虚拟机、天翼云不同区域以及其他云服务平台上。现在需要将这些不同环境中的业务迁移至天翼云平台。 服务场景详细描述可参考：云迁移产品应用场景。

简介 操作场景 VPC终端节点支持同一区域云资源的跨VPC通信。 不同VPC内的云资源互相隔离，不支持通过私网IP访问。通过VPC终端节点，您可以使用私有IP地址在两个VPC之间进行通信，就像两个VPC在同一个网络中一样。 这两个VPC既可以属于同一帐号，也可以属于不同帐号，本章节以“同一帐号”的跨VPC通信为例进行介绍。 例如，VPC1和VPC2属于同一帐号，为VPC1创建终端节点，并将VPC2中待访问的后端资源ELB创建为终端节点服务，实现VPC1的ECS通过私网IP访问VPC2的ELB，如下图所示。 图 跨VPC通信的终端节点 说明 如图所示，仅支持终端节点到终端节点服务所在后端资源的单向访问。 若两个VPC属于不同帐号，请参考2.3 配置跨VPC通信的终端节点（不同帐号）。 操作流程 配置同一帐号下的跨VPC通信，具体操作流程如下图所示。 图 操作流程 步骤一：创建终端节点服务 操作场景 为实现跨VPC通信，您需要将VPC内的云资源（即后端资源）创建为终端节点服务，以便于同一区域其他VPC的终端节点通过私网IP访问该终端节点服务。 本节以“弹性负载均衡”作为后端资源为例，指导您创建终端节点服务。

支持安全设备型号 设备子类 设备型号 防火墙 迪普防火墙、东软NetEye防火墙、H3C防火墙、Fortigatet防火墙、hillstone防火墙、Checkpoint防火墙等 IDS&IPS&IDP 启明星辰天阗IDS、安氏领信IDS、绿盟冰之眼IDS、SnortIDS、juniperIDP、启明IDS、华为IDS、网神IDS等 异常流量分析 Arbor异常流量分析系统、NTGGenie流量分析系统或攻击溯源、绿盟异常流量分析系统NTA等 数据库审计 imperva数据库审计系统、网御数据库审计系统、中安新云数据库审计、天融信数据加密系统、安华金和数据库审计系统等 企业网关 NeTrust企业网关、启明星辰天清汉马UTM、联想网御UTM等 异常流量清洗 迪普DDOS、绿盟黑洞DDOS网关等 VPN NeTrustSSLVPN、Array VPN系统、Juniper SSL VPN、F5 SSL VPN、天融信VPN等 网页防篡改系统 中创InforGuard、安恒网页防篡改 网络安全操作审计系统 UMAP堡垒机、福富4A、启明星辰网络安全审计系统等 安全扫描系统 安恒应用系统漏洞扫描、安恒应用系统数据库漏洞扫描、安恒操作系统漏洞扫描等 一次性口令审计 联创亚信一次性口令、上海众人一次性口令 其他安全设备 logdbftp、logdbdb 上网行为管理 深信服有线上网行为管理设备、黑盾无线上网行为管理设备、云讯通综合网管平台、5GSA核心网系统 深度威胁发现设备 亚信深度威胁设备TDA、360天眼、启明APT威胁检测、启明CS检测探针等 虚拟化安全设备 亚信虚拟化安全设备、朗维dlp、优炫dlp等 防病毒 网神防毒墙、瑞星、卡巴斯基反病毒、亚信防病毒、赛门铁克防病毒、趋势防病毒等 网闸 国保金泰网闸、网御星云网闸、天行网安网闸、南瑞网闸、天融信网闸等 终端安全 360、瑞星、金山、北信源、冠群金辰、Symantec等 AntiDDoS 绿盟DDoS、金盾DDoS、启明星辰DDoS、天融信DDoS、华为DDoS、H3CDDoS、网神DDoS等 网络运维审计系统 启明星辰、齐治、谐润、福富4A等 WAF 绿盟WAF、安信华WAF、知道创宇WAF、黑盾web应用防火墙等 蜜罐 魅影蜜罐、君立华域蜜罐、谛听蜜罐等 僵木蠕 恒安嘉兴僵木蠕

本节介绍天翼云息壤一体化智算服务平台的产品优势。 服务模式灵活 五位一体，提供IaaS、PaaS、DaaS、MaaS、 SaaS全链路产品服务，满足客户需求。 提供公有云、私有化、一体机多种产品形态。 五大服务平台，自由组合搭建。 全链路算力平台 技术路线同时支持昇腾与英伟达，提供丰富适配生态自研。 断点续训，恢复时间为15分钟；故障动态感知，1分钟检测、5分钟定位、10 分钟恢复，支持多种训练框架。 丰富的资源能力 2+3+7+N+M+X差异化资源池建设，满足企业多样化训推资源需求。 多个万卡资源池，丰富的算力形态及算力资源。 领先的算力调度技术 算数协同，保障跨厂商、跨区域的海量数据调度场景，实现数随算走的高效数据传输。 突破算网融合调度技术，融合多维算网要素，采用层级分治映射算法，实现算网资源的高效统筹调度。

弹性网卡 弹性网卡（Elastic Network Interfaces，以下简称ENI）即虚拟网卡，您可以通过创建并配置弹性网卡，并将其附加到您的云主机实例（包括弹性云主机和物理机）上，实现灵活、高可用的网络方案配置。 弹性网卡类型 主弹性网卡：在创建实例时，随实例默认创建的弹性网卡称作主弹性网卡。无法解除主弹性网卡和实例的绑定关系。 扩展弹性网卡：您在弹性网卡控制台创建的是扩展弹性网卡，可以将网卡绑定到实例上，也可以解除网卡和实例的绑定关系。 弹性网卡应用场景 灵活迁移 通过将弹性网卡从云主机实例解绑后再绑定到另外一台云主机实例，保留已绑定私网IP、弹性公网IP和安全组策略，无需重新配置关联关系，将故障实例上的业务流量快速迁移到备用实例，实现服务快速恢复。 业务分离管理 可以为云主机实例配置多个分属于同一VPC内不同子网的弹性网卡，特定网卡分别承载云主机实例的内网、外网、管理网流量。针对子网可独立设置访问安全控制策略与路由策略，弹性网卡也可配置独立安全组策略，从而实现网络隔离与业务流量分离。 辅助弹性网卡 辅助弹性网卡是一种基于弹性网卡的衍生资源，用于解决单个云主机实例挂载的弹性网卡超出上限，不满足用户使用需要的问题。辅助弹性网卡通过VLAN子接口挂载在弹性网卡上，您可以通过创建辅助弹性网卡，使单个云主机实例挂载更多网卡，实现灵活、高可用的网络方案配置。 单个云主机实例支持绑定的弹性网卡数量有限，当因业务需要绑定超过弹性网卡上限的网卡时，可以通过为弹性网卡挂载辅助弹性网卡实现。 为云主机实例配置多个分属于同一VPC内不同子网的辅助弹性网卡，每个辅助弹性网卡拥有不同的私网IP、弹性公网IP，可以分别承载云主机实例的内网、外网和管理网流量。 辅助弹性网卡可配置独立安全组策略，从而实现网络隔离与业务流量分离。

IPsec VPN适用连接典型组网结构有哪些？ VPN是打通的点到点的网络，实现两点之间的私网互访，不能打通点到端的网络。 适用典型场景： 天翼云不同节点之间创建VPN，实现跨节点的VPC间网络互访 天翼云与友商云创建VPN，如与阿里云的VPC间网络互访 天翼云与客户IDC机房打通VPN，实现线上VPC与线下的IDC网络互访 不适用的典型场景： 天翼云相同节点的两个VPC不可以使用VPN，推荐使用对等连接打通 天翼云不可与家庭PPPoE拨号网络建立VPN连接 天翼云不可与4G/5G路由器建立VPN连接 天翼云不可与个人终端建立VPN连接 VPN配置下发后，多久能够生效？ 用户在管理控制台中完成VPN资源创建后，配置15分钟下发完成，下发后立即生效。 说明 VPN配置下发成功后，并不表示VPN连接已经建立成功，用户还需要对用户侧网关设备进行配置，完成与天翼云VPN网关的隧道协商。 如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备的按照策略中限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 说明 所有的限定规则需要添加在建立VPN隧道之前的设备上。不建议通过修改本端子网和远端子网的方式来限定访问。

指标名称 解释 入网带宽 该指标用于统计测量对象入云平台的网络速度。 入网流量 该指标用于统计测量对象入云平台的网络流量。 出网带宽 该指标用于统计测量对象出云平台的网络速度。 出网流量 该指标用于统计测量对象出云平台的网络流量。 出网带宽使用率 该指标用于统计测量对象出云平台的带宽使用率，以百分比为单位。

跨云平台迁移 场景说明 当用户存在多云战略需求时，需要将部分或全部资源迁移到天翼云。 场景痛点 迁移操作时可能面临数据丢失、数据不一致等风险，还需要解决不同类型资源的迁移问题，不同云厂商之间可能存在软件和服务不兼容的问题，这些问题都可能导致应用程序无法正常运行。 产品优势 云迁移服务CMS实现将源平台的架构平行迁移至目标平台。通过可视化界面一键迁移，降低了迁移难度，有效解决服务器、数据库、对象存储迁移中的各种难点。 最大程度支持服务器、数据库、对象存储应用调用第三方服务接口的切换。 针对市面主流的云计算厂商跨云迁移，具有良好的的兼容性。 场景架构 搭配使用产品 弹性云主机 对象存储 弹性IP 传统企业上云 场景说明 随着本地业务运行810年后，大部分企业或者政府机构会将这部分设备进行退网处理，同时随着设备退网，企业原有的服务器、数据库以及对象存储等资源也面临上云迁移的需求。 场景痛点 迁移过程中面临业务无法长时间中断、数据量大、业务情况复杂、人员更迭等因素导致应用重部署难度高甚至无法实现等情况。

适用场景 客户在应用托管中部署自研应用/第三方模型，与现有弹性云主机、数据库等云资源联动协同，实现完整复杂业务流程。 产品优势 资源协同，性能高效：共池内网打通，应用托管与弹性云主机、数据库、消息队列等云服务实现低延迟、高带宽内网通信，同时内网访问更具安全保障 业务整合成本低：已有公有云用户可直接复用弹性云主机、数据库等云上资源，无需额外迁移 / 重构，快速搭建完整业务架构，降低整合成本 部署灵活，场景覆盖广：支持自定义模型服务、MCP Server、智能体应用、自定义业务应用等多类型部署，结合丰富的云产品，满足业务的全场景需求 Aone 赋能应用与企业内网网络打通 适用场景 当企业同时使用公有云的应用托管服务和企业内网的各类系统时，需要实现两者之间的安全网络连通 产品优势 网络连通性优势：Aone 打通公有云应用与企业内网网络，保障安全稳定，实现公有云应用本地式访问企业内网资源，破解跨网资源访问壁垒 资源整合优势：整合公有云的应用托管能力和企业内网系统资源，实现资源的高效利用和协同工作，提升企业整体 IT 架构的运行效率：安全性优势 在打通网络的同时，保障了企业内网资源的安全访问，避免了因网络开放带来的安全风险，满足企业对数据和系统安全性的高要求

配置辅助弹性网卡 当通过管理控制台创建辅助弹性网卡后，您还需要在云主机实例的网卡中为该辅助弹性网卡创建VLAN子接口并配置私网IP地址、默认路由规则。 在配置之前，您需要获取辅助弹性网卡的信息，如下表所示。 表 辅助弹性网卡信息 信息 获取方式 说明 ::: VLAN 管理控制台 在辅助弹性网卡列表中获取。 MAC地址 管理控制台 在辅助弹性网卡列表中获取。 私网IP地址 管理控制台 在辅助弹性网卡列表中获取。 网关 管理控制台 在辅助弹性网卡所在子网的详情页获取。 本操作以在云主机实例（以CentOS 8.2为例，其余规格请参考操作系统帮助文档）的eth0网卡上创建VLAN子接口为例介绍具体的配置步骤。 在本示例中： VLAN：2110 私有IP地址：192.168.0.2/24 网关：192.168.0.1 MAC地址：fa:16:3e:a1:b2: 配置步骤 1. 登录云主机实例。 2. 为eth0创建VLAN子接口。 ip link add link eth0 name eth0.2110 type vlan id 2110 3. 创建命名空间“ns2110”。 ip netns add ns2110 4. 将VLAN子接口“eth0.2110”加入命名空间“ns2110”。 ip link set eth0.2110 netns ns2110 5. 修改VLAN子接口的MAC地址为“ fa:16:3e:a1:b2: ”。 ip netns exec ns2110 ifconfig eth0.2110 hw ether fa:16:3e:a1:b2: 6. 启动VLAN子接口。 ip netns exec ns2110 ifconfig eth0.2110 up 7. 为VLAN子接口配置私网IP地址“ 192.168.0.2/24 ”。 ip netns exec ns2110 ip addr add 192.168.0.2/24 dev eth0.2110 8. 为VLAN子接口配置默认路由，其中“ 192.168.0.1 ”为辅助弹性网卡所在子网的网关。 ip netns exec ns2110 ip route add default via 192.168.0.1 验证方法 1. 通过在命名空间访问同一VPC下其他私网IP地址（例如 a.b.c.d ），验证配置辅助弹性网卡是否生效。 ip netns exec ns2110 ping a.b.c.d 图 成功示例 图失败示例

本文带您了解什么是内网DNS产品。 内网DNS（Intranet Domain Name Service，CTIDNS）提供高可用，高扩展的DNS服务和DNS管理服务，帮助客户将域名或应用资源转换成用于计算机连接的IP地址，从而将最终用户路由到相应的应用资源上，实现应用资源的访问和内网服务的连接。内网DNS可提供VPC内安全、全面、高性能的域名解析功能，可直接响应内网域名的解析请求，快速高效，有效防护劫持，避免安全风险。 内网域名解析过程 当VPC内云服务器访问内网域名时，内网DNS直接对内网域名进行解析，向云服务器返回对应被访问的云服务器的私网IP地址。 当VPC内云服务器访问Internet上的公网域名时，内网DNS会将对公网域名的解析请求转发至公共DNS进行解析，待收到公共DNS返回的公网IP地址后，再将公网IP返回云服务器。 系统架构 内网DNS（Intranet Domain Name Service，CTIDNS）由两个关键组成部分构成，分别是管控层和解析层： 管控层：管控层通过控制台和OpenAPI对外提供服务，主要职能如下： 管理域名解析数据：管控层负责处理域名解析数据的增删改查操作，确保域名与IP地址的映射准确性。 配置数据管理：管控层管理配置数据，保障DNS服务的可靠性和可用性。 日志数据管理：管控层记录和管理日志数据，支持用户监测和故障排除。 存储功能：管控层存储域名解析数据、配置数据和日志数据，确保数据的安全性和可靠性。 解析层：解析层通过部署解析服务器集群向外提供服务，主要职能为： 域名解析：解析层接收来自管控层的域名解析记录数据，并对解析请求进行响应，将域名解析为对应的IP地址，实现计算机之间的连接。

如果在创建不同云主机时选择了同一VPC下同一子网，则云主机在同一子网；如果创建不同云主机时选择了不同子网，则云主机不在同一子网。针对不同业务需求，可将云主机设在同一子网，或不同子网下面，此操作需要用户根据业务需求自行选择。 若您需要确认创建完成的云主机属于哪一子网，可点开云主机详情页，找到“弹性网卡”标签，点击“展开详情”，查看云主机所在子网。

资源名称 功能描述 标准版 专业版（包周期） IPv4 支持对IPv4资产的防护 ✓ ✓ IPv6 支持对IPv6资产的防护 ✓ ✓ EIP 云防火墙通过对弹性公网IP（EIP）的防护实现互联网边界流量的防护。 ✓ ✓ VPC（私网IP） 云防火墙通过对虚拟私有云（VPC）的防护实现VPC和VPC之间、本地数据中心（IDC）和云上VPC之间流量的防护。 × ✓

当记录值有多个IP地址时，域名是如何解析的？ 当解析记录的“值”包含多个IP地址时，域名解析会返回所有的IP地址，但返回IP地址的顺序是随机的，浏览器默认取第一个返回的IP地址作为解析结果。根据大量测试数据显示，解析到各IP地址的比例接近相等。 内网DNS并发有什么限制？ 为保证内网域名的解析效率，内网DNS服务器会限制来自单个IP地址的解析流量，QPS最大不能超过2000。如果某个服务器请求DNS解析的频率特别高，超出了正常的业务访问量，即QPS超过2000，则超出部分的解析请求将会被清洗，内网DNS服务器将不会处理超出的这部分解析请求。 DNS是否同时支持IPv4和IPv6解析？ NS可以同时支持IPv4解析和IPv6解析。您可以在DNS上为域名同时添加A类型和AAAA类型的解析记录，实现IPv4和IPv6的解析。 例如，为域名example.com同时添加如下记录： 域名 记录集类型 记录集值 www.example.com A 192.168.1.2 www.example.com AAAA 2407:c080:0:ffff:ffff:fffe:0:1 怎样设置弹性云主机的私网IP的反向解析？ 反向域名解析提供通过IP地址查找域名的功能。 如果要设置ECS服务器私网IP的反向解析，可以通过在创建内网域名之后添加PTR记录集实现。 设置私网IP的反向解析，其域名格式是x.x.x.x.inaddr.arpa。 说明 inaddr.arpa是反向解析的顶级域。 例如，私网IP是192.168.1.10，其反向域名格式是10.1.168.192.inaddr.arpa。 可以创建内网域名192.inaddr.arpa，然后添加10.1.168.192.inaddr.arpa的PTR记录集来实现设置该私网IP的反向解析记录。

操作场景 本节为您介绍如何通过TeleCloudShell远程登录到Windows弹性云主机上。 约束与限制 云主机状态处于“运行中”中。 云主机所在安全组入方向已配置以下相关安全组规则：（安全组规则设置可参考：添加安全组规则）。 授权策略 优先级 协议类型 端口范围 授权对象 允许 1 TCP 3389（默认） 通过公网连接：添加182.43.5.0/24。 通过私网连接：添加198.19.128.0/20。 操作步骤 1. 登录控制中心。 2. 单击控制中心顶部的，选择“地域”。 3. 选择“计算 > 弹性云主机”。 4. 选择要登录的Windows弹性云主机，单击“操作”列的“远程登录”，弹出可选登录方式的远程登录窗口。 5. 单击通过TeleCloudShell远程登录的“立即登录”。 6. 在TeleCloudShell登录页面，完成云主机连接信息的配置，点击“确定”。 说明 1. 默认情况下，TeleCloudShell在连接Windows云主机时，会默认使用RDP默认端口（3389），您也可在登录界面修改目标实例的连接端口，但需要注意与设置云主机安全组时的端口对应。 2. 连接Windows云主机仅支持密码认证，您需根据界面输入用户名（默认administrator）和密码。 3. 支持通过弹性云主机的公网IP和私网IP进行连接。 4. 通过TeleCloudShell连接Windows弹性云主机时，底层使用RDP协议进行连接。 7. 登录成功界面如图所示。