Console控制台功能 依赖服务 需配置角色/策略 总览 应用运维管理AOM IAM用户设置了CCE Administrator权限后，需要增加AOM FullAccess权限后才能访问总览中的数据图表。 支持设置了IAM ReadOnlyAccess和CCE FullAccess或CCE ReadOnlyAccess权限的IAM用户直接访问总览中的数据图表。 工作负载 弹性负载均衡ELB 应用运维管理AOM NAT网关 NAT 对象存储服务OBS 弹性文件服务SFS 正常创建工作负载时不依赖其他服务的权限。 如果需要创建ELB类型的服务，需要设置ELB FullAccess或者ELB Administrator权限，以及VPC Administrator权限。 如果需要使用Java探针，需要设置AOM FullAccess权限。 如果需要NAT网关类型的服务，需要设置NAT Gateway Administrator权限。 如果使用对象存储，需要全局设置OBS Administrator权限。说明由于缓存的存在，对用户、用户组以及企业项目授予OBS相关的RBAC策略后， 大概需要等待13分钟RBAC策略才能生效；授予OBS相关的系统策略后，大概需要等待5分钟系统策略能生效。l 如果使用文件存储，需要设置SFS FullAccess权限。 集群管理 应用运维管理AOM 如果需要弹性扩容权限，需要设置AOM FullAccess权限。 节点管理 弹性云主机ECS 当IAM用户权限为CCE Administrator时，如果创建和删除节点，需要配置ECS FullAccess或ECS Administrator权限，以及VPC Administrator权限。 网络管理 弹性负载均衡ELBNAT网关 NAT 正常创建时不依赖其他服务的权限。 如果需要创建ELB类型的服务，需要设置ELB FullAccess或者ELB Administrator权限，以及VPC Administrator权限。 如果需要NAT网关类型的服务，需要设置NAT Administrator权限。 存储管理 对象存储服务OBS弹性文件服务SFS 如果使用对象存储，需要全局设置OBS Administrator权限。 说明br由于缓存的存在，对用户、用户组以及企业项目授予OBS相关的RBAC策略后，大概需要等待13分钟RBAC策略才能生效；授予OBS相关的系统策略后，大概需要等待5分钟系统策略能生效。 如果使用文件存储，需要设置SFS FullAccess权限。 如果使用极速文件存储，需要设置SFS Turbo Admin权限导入存储的功能需要设置CCE Administrator权限。 命名空间 / 无需其他依赖权限。 模板市场 / 当前仅支持帐号、设置了CCE Administrator权限的IAM用户访问。 插件管理 / 支持帐号、设置了CCE Administrator、CCE FullAccess或CCE ReadOnlyAccess等权限的IAM用户访问本功能。 权限管理 / 支持帐号访问。 支持设置了CCE Administrator和Security Administrator（全局级策略）权限的IAM用户访问。 支持设置了CCE FullAccess或CCE ReadOnlyAccess权限的IAM用户访问。 配置中心 / 配置项( ConfigMap )无需其他依赖权限。 密钥( Secret )需要在命名空间权限下设置clusteradmin、admin或者edit权限才能查看，依赖服务需要添加DEW KeypairFullAccess或者DEW KeypairReadOnlyAccess权限。 帮助中心 / 无需其他依赖权限。 其他服务跳转 容器镜像服务SWR应用运维管理AOM 为便于您快速进入CCE相关服务的控制台，在CCE控制台增加了其他服务的跳转链接，CCE默认没有这些服务的全部权限，如果IAM用户需要查看或使用其功能，请按照该服务的权限策略说明设置相应的权限策略。

典型架构图 安全增强措施 1. 最小权限原则 1. 跨VPC访问仅开放必要端口 2. NAT网关SNAT/DNAT规则严格配置 2. 精细跨VPC路由管理 1. 需要跨VPC互通的子网和不需要跨VPC互通的子网设计不同的子网路由表，仅对需要跨VPC互通的路由中添加执行对等连接的路由。 2. 路由表中指向对等连接的路由的目的地址不包含非必要地址范围。 3. 网络隔离 1. 数据库子网：禁止直接跨VPC访问，仅允许通过应用层代理。 2. 堡垒机子网：部署在独立VPC，严格限制入站流量。 成本优化建议 1. 共享资源：通过共享VPC集中部署NAT网关、堡垒机等服务，减少重复资源开销。 2. 按需互通：仅在有业务需求的VPC间建立对等连接，避免构建全互联（FullMesh）网络，以控制路由表的规模和复杂度。 运维与监控 1. 自动化部署：使用天翼云原生API实现VPC、子网、安全组、对等连接、路由表等资源的自动化编排。 2. 监控告警：配置云监控对使用的云资源进行告警，重点关注以下指标 3. 弹性IP、共享带宽网络出入带宽利用率 4. NAT网关并发连接数 5. 弹性负载均衡健康/异常后端主机数 6. 为资源如VPC打标签（如 env:prod、owner:teamA），便于资源分类管理。

步骤二：购买弹性IP 步骤三：购买NAT网关及配置路由 参考：点这里 步骤四：配置SNA规则 进入上一步创建的NAT网关； 选择“添加SNAT”规则； “源网段类型”选择VPC内子网； 子网选择步骤一中确定的子网网段； 弹性ip选择步骤二中新建的弹性ip； 点击“确定”，完成SNAT规则添加。 步骤五：进入指定pod，测试连通性 在步骤一的pod列表中，选择pod，进行“远程登录”： 在命令窗口，执行“ping www.ctyun.com” 能ping通，说明pod内服务可以访问公网。

本节主要介绍开通云专线的操作步骤。 操作场景 用户本地数据中心的服务器需要通过公网NAT网关实现访问公网或为公网提供服务，需要先通过云专线接入虚拟私有云。 操作步骤 1. 登录控制台。 2. 在管理控制台左上角单击图标，选择区域和项目。 3. 在系统首页，单击“网络 > 云专线”。 4. 导航栏选择“云专线 > 物理专线 ”，在物理专线页面，创建物理专线。 5. 导航栏选择“云专线 > 虚拟网关 ”，在虚拟网关页面，创建虚拟网关，在“创建虚拟网关”对话框中，输入对应的参数，其中“VPC网段”建议设置为“0.0.0.0/0”。 6. 导航栏选择“云专线 > 虚拟接口 ”在控制台虚拟接口页面，创建虚拟接口，在“创建虚拟接口”对话框中，输入对应的参数。

使用弹性负载均衡服务后，后端主机能否访问公网？ 如果作为后端主机的云主机没有绑定弹性IP或使用NAT网关，那么该云主机并不能主动访问公网。如果想实现作为后端主机的云主机能主动访问公网的需求，需要给后端主机绑定弹性IP或使用NAT网关。 配置转发策略时， 能否选择已有的后端主机组？ 不能。HTTP/HTTPS支持配置基于域名和路径的转发策略，可以将来自不同域名或者不同URL路径的请求转发到不同的后端主机组来处理。每个转发策略都要新建自己的后端主机组，不能多个转发策略共同使用一个后端主机组。转发策略配置请参考 添加转发策略。 弹性负载均衡的后端主机可以访问弹性负载均衡监听的端口吗？ 弹性负载均衡不限制作为后端主机的云资源访问监听的端口，后端主机可以访问监听的端口。但是要注意，要成功实现访问，需要云主机加入的安全组和云主机/负载均衡所属子网配置的网络ACL规则的也允许访问流量通过。 外网负载均衡的后端主机要不要绑定EIP？ 弹性负载均衡与后端主机之间的流量是通过内网转发的，不需要因为使用负载均衡为后端主绑定EIP。如果作为后端主机的云资源需要主动访问外网，则需要为该云资源绑定EIP或者配置NAT网关。

云产品 应用场景 描述 优势 弹性IP 单个ECS连接公网 弹性IP是可以独立申请的公网IP地址， 将弹性IP地址和子网中关联的弹性云主机绑定和解绑， 可以实现VPC中的弹性云主机通过固定的公网IP地址与互联网互通。 支持灵活绑定云资源。 支持IPv4、IPv6双栈访问公网能力。 灵活调整网络带宽。 独立管理弹性IP生命周期。 支持多种计费方式。 NAT网关（NAT Gateway） 多个ECS共享弹性公网IP连接公网 NAT网关能够为虚拟私有云内的计算实例提供网络地址转换服务， 使多个弹性云主机可以共享使用弹性IP访问Internet或使多个弹 性云主机提供互联网服务。 灵活部署。 简单易用。 降低成本。 高性能。 高可用。 弹性负载均衡(CTELB, Elastic Load Balancing) 通过将访问流量均衡分发到多个ECS的方式 对外提供服务，比如社交媒体等高并发访问场景 弹性负载均衡通过将访问流量自动分发到多台云主机，扩展应用 系统对外的服务能力，实现更高水平的应用程序容错性能。 高性能。 高可用。 支持TCP、UDP、HTTP和HTTPS多种协议。 高可靠。 简单易用。 低成本。

网络架构设计步骤 1. VPC与子网规划 1. CIDR分配 1. 建议使用较大私有地址段（如 10.0.0.0/8），按业务分层划分子网 2. Web层子网：10.0.1.0/24（公网子网，能够访问公网） 3. 应用层子网：10.0.2.0/24（私网子网，仅能进行内网访问） 4. 数据库子网：10.0.3.0/24（私网子网，严格隔离） 2. 路由表配置 1. 公网子网路由表：默认路由指向NAT网关（用于出向互联网访问）。 2. 私网子网路由表：仅保留VPC内网路由，禁止直接访问公网。 3. 安全策略设计 1. 安全组规则 1. Web层安全组：仅开放80/443端口给公网，限制内网访问应用层端口（如8080） 2. 数据库安全组：仅允许应用层子网IP访问3306（MySQL）或5432（PostgreSQL）等。 2. 网络ACL 1. 入站规则：按需限制来源IP（如仅允许企业办公网段）。 2. 出站规则：禁止私有子网直接访问公网。 4. 网络连接与高可用 1. 互联网访问 1. 在VPC中部署NAT网关，通过弹性IP，作为私有子网访问外网的唯一出口。 2. 对于需要接入公网的私有子网，通过NAT网关配置SNAT、DNAT规则管理VPC与公网互通。 2. 跨可用区负载均衡 1. 每个子网部署云主机跨2个可用区部署。 2. 使用天翼云弹性负载均衡（CTELB），将流量分发至处于不同可用区的主机实例。 3. 配置负载均衡健康检查，自动剔除故障节点。 3. 跨可用区冗余：关键服务（如数据库、中间件）部署在多个可用区，通过主从复制保持数据同步。

绑定NAT网关限制 NAT网关的地域必须和EIP的地域相同。 绑定负载均衡实例限制 负载均衡实例的地域必须和EIP的地域相同。 一个负载均衡实例仅支持绑定一个EIP。 绑定虚拟IP限制 虚拟IP实例的地域必须和EIP的地域相同。 虚拟IP实例必须处于可用或已分配状态。 一个虚拟IP实例仅支持绑定一个EIP。 备案要求 在中国境内提供互联网信息服务时，应当依法履行备案手续，用天翼云购买的电信线路弹性IP对外提供互联网信息服务时，需要进行备案等相关操作，同时您的网站内容应符合国家法律法规要求。 弹性 IP 80、443 等端口默认为关闭状态，只有在备案完成后才会被放通。您可以在【天翼云备案】根据指引完成备案信息填写及相关操作。

资源 模板名称定义 弹性云主机 ctyunecs 云硬盘 ctyunebs 物理机 ctyunebm VPC终端节点 ctyunvpce 弹性IP ctyuneip 共享带宽 ctyunbandwidth 公网NAT网关 ctyunnat 分布式缓存服务Redis版 ctyunredisinstance 弹性负载均衡 ctyunelbloadbalancer 关系数据库MySQL版 ctyunmysqlinstance 关系数据库PostgreSQL版 ctyunpostgresqlinstance 文档数据库服务 ctyunmongodbinstance

参数 是否必填 参数类型 说明 示例 下级对象 regionId 是 String 资源池ID。 xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx natOid 是 String NAT网关ID type 是 String 规则类型（SNATSNAT规则; DNATDNAT规则） pageNum 否 Integer 页码，至少1，默认1 pageSize 否 Integer 每页数量，最大100，默认10

本节介绍了未绑定弹性IP的弹性云主机能否访问外网的相关内容。 能。 您可以开通公网NAT网关，通过配置SNAT规则，使得没有绑定EIP的弹性云主机访问Internet。

放行策略配置完成，需针对业务进行访问控制隔离配置，首先配置出站SNAT策略。 操作方法 1.打开菜单栏，【策略→NAT→源NAT】，新建策略。 按照访问需求配置出站策略： 源地址：需要访问互联网的单个IP或地址段； 目的地址：若无限制则是any； 出流量：需要选择防火墙有弹性IP的网络接口。 2.配置会话日志记录功能。 3.确定，配置完成。

本文介绍边缘云专线的基础信息及相关操作。 查看专线配置信息 在ECX控制台可以查看已开通专线的配置信息。 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>边缘云专线】，选择对应的地域，查看当前地域下已开通的专线，专线列表各参数说明参见下表。 3. 单击专线名称可查看更多的专线配置信息，比如交换机端口、交换机是否自动化配置等。 参数 说明 专线名称 自定义名称或者系统默认设置的名称。 业务类型 默认为ECX专线。 专线类型 标准型或NAT型，NAT型需要对专线内网地址做NAT映射。 专线模式 传统模式或三层互联模式，传统模式基于二层实现，三层互联模式可快速定位专线网络问题。 VLAN ID 开通专线时指定的vlan ID。 用户端网段 用户侧的业务网段，该网段可与云内VPC子网通过专线互联实现内网互通。 云端网段 边缘云上的VPC或子网网段，该网段可与用户端网段通过专线互联实现内网互通。 目标NAT网段 三层互联NAT型特有字段，内网网段需转换成的目标NAT网段。 专线状态 专线当前的状态，包括已开通、更新中、删除中、创建中。 是否关联路由 专线创建时路由表是否自动配置专线路由。 专线探测状态 默认状态为关闭，当已配置内网探测且开启探测时状态将显示为开启。 创建时间 专线创建的时间。 更新时间 专线最新更新时间。 专线展开列表参数说明： 参数 说明 可用区 开通专线所在的可用区。 交换机端口 交换机上的实际端口号信息。 外部vlan 仅三层互联专线包括该字段，范围为 0 4094。 是否自动化 包括是或者否，交换机专线配置是否通过系统自动下发。 交换机路由类型 默认路由（推荐）：在交换机上配置目的网段为0.0.0.0/0的静态路由，通过云内专线网关的所有的流量均会发送至客户侧的设备，后续用户端网段变更无需修改交换机配置，仅需在专线网关修改即可，方便管理。 明细路由：在交换机上配置以用户端网段为目的网段的明细路由，通过云内专线网关目的地址为用户端网段的流量才会发送至客户侧的设备，后续用户端网段变更需同步修改交换机配置，管理略微复杂。 默认路由+明细路由：在交换机上同时配置目的网段为用户端网段和0.0.0.0/0的静态路由，默认路由和明细路由同时存在会优先使用明细路由，专线单端口场景下与仅配置默认路由效果相同，专线多端口场景下如果不同端口的路由不一致，会出现负载不均的情况。 交换机配置状态 包括未定义、下发中、执行中、配置成功、配置失败，配置成功为正常状态，下发中、执行中为中间状态，出现配置失败需要找运营人员排查下具体问题。 创建时间 交换机端口配置创建时间。 更新时间 交换机端口配置更新时间。

本章节为您介绍了天翼云ECX的功能特性。 提供多重保障和手段，实现业务高可用 高可用多副本存储，云硬盘、整机的快照备份，快照回滚、备份恢复。 虚拟机冷热迁移及反亲和，故障自愈。 多样化监控指标和告警，图形化展示，帮助快速发现和处理问题。 支持专属网络和经典网络，可选择其一或两者兼具 专属网络即VPC，支持NAT、SLB、VPN等多种扩展能力。 经典网络独立于VPC，支持大带宽业务。 支持在开通时或开通后按需增删网络类型和数量。 提供多种VPC互通能力，可根据需求按需选择 对等连接可实现同集群同用户或不同用户VPC之间的内网互通。 VPN可实现不同集群之间或与第三方云、本地数据中心互联互通。 边边网络可实现不同VPC之间内网互联，不限集群和用户。 提供裸金属，兼具虚拟机弹性能力和物理机高性能 裸金属支持EIP和NAT网关等VPC能力，可与同集群云主机内网互通。 支持使用公有镜像和自定义镜像自定义装机。 提供多种监控指标告警。 提供丰富的计算、存储、网络能力 提供与中心云相同的能力，一致的使用体验。 提供包括虚拟机、裸金属等计算能力，云硬盘、本地盘、本地裸盘等存储能力。 提供VPC、公网IP、共享带宽、NAT网关、负载均衡、路由表、内网VIP、NAT64服务等网络能力。

本节主要介绍怎么申请弹性IP。 操作场景 通过申请弹性IP来实现VPC中的云主机以公网NAT网关的形式共享弹性IP访问公网。 操作步骤 1. 登录管理控制台。 2. 在系统首页，选择“网络 > 弹性IP”。 3. 在“弹性IP”界面，单击“购买弹性IP”。 4. 根据界面提示配置参数 5. 单击“立即申请”。

资源名称 配额限制 单位 边边网络 10 个 对等连接 3 个 VPN 2 个 SLB 50 个 VPC 10 个 IPv4数量 3 个 NAT网关 10 个 闲置IPv6 100 个 闲置IPv4 10 个

本文介绍云容器引擎Serverless版的计费概述。 计费组成 使用Serverless容器产生的费用集群管理费+其他云产品资源费用。 注意 使用的其他云产品资源费用，将按照各云产品的计费规则计费，由各云产品收取。 集群管理费 该产品的集群管理费为按需计费，集群管理费单价：0.65元/小时。 将根据您实际使用集群的时长计费，计费公式：集群管理费单价 购买时长。 云产品资源费用 如果您在使用过程中关联天翼云其他云产品资源，您需要为您使用的资源付费。 云产品名称 产品说明 计费说明 弹性容器实例ECI 用于部署Serverless容器引擎集群应用及插件，更多信息，请参见弹性容器实例产品定义 []( 虚拟私有云VPC 用于构建集群网络环境和路由规则，更多信息，请参见虚拟私有云产品定义 虚拟私有云计费说明 弹性负载均衡ELB 用于为集群创建负载均衡，更多信息，请参见弹性负载均衡产品定义 弹性负载均衡计费说明 容器镜像服务CRS 用于容器镜像的安全托管和全生命周期管理，更多信息，请参见容器镜像服务产品介绍 容器镜像服务计费说明 NAT网关 用于为集群开启公网访问和公网镜像拉取，更多信息，请参见NAT网关产品定义 NAT网关计费说明 弹性IP 用于云资源与公网通信，更多信息，请参见弹性IP产品定义 弹性IP计费说明

参数 参数类型 说明 示例 下级对象 vpcID String 专有网络vpc id vpc077343 name String 专有网络vpc名称 vpcsec78744 description String 专有网络vpc说明 说明vpc的用途等 CIDR String 子网 192.168.0.0/16 ipv6Enabled Boolean 是否启用ipv6 false ipv6CIDRS Array of Strings ipv6 子网列表 ["2408:4002:10c4:4e03::/64", "2408:4002:10c4:4e04::/64"] secondaryCIDRs Array of Strings 附加网段 ["2408:4002:10c4:4e03::/64", "2408:4002:10c4:4e04::/64"] subnetIDs Array of Strings 子网 id 列表 ["subnet1a2b3c4d", "subnet5e6f7g8h"] natGatewayIDs Array of Strings 网关 id 列表 ["natgateway1", "natgateway2"]

2. 通过IAM用户控制资源访问 在协同使用资源的场景下，根据实际的职责权限情况，您可以创建多个IAM用户并为其授予不同的权限，实现不同IAM子用户可以分权管理不同的资源，从而提高管理效率，降低信息泄露风险。本文介绍如何创建IAM子用户并授予特定权限策略，从而控制对NAT网关资源的访问。 2.1 操作步骤 2.1.1 创建IAM子用户 具体操作，请参见< 2.1.2 创建自定义策略 天翼云提供了访问NAT网关资源的系统策略，更多信息，请参见“1.2权限管理”。如果系统策略不能满足需求，您还可以创建自定义策略，具体操作，请参见< 策略分为用户可以自行定义的自定义策略，以及预定义在平台录入的系统策略两类。 细粒度授权策略结构包括策略版本号（Version）及策略授权语句（Statement）列表。 策略版本号：Version，标识策略结构的版本号。目前为1.1. 策略授权语句：Statement，包括了基本元素：作用（Effect）和权限集（Action）。 作用（Effect）包含两种：允许（Allow）和拒绝（Deny）。 授权项（Action）是对资源的具体操作权限，支持单个或多个操作权限。 a) 脚本配置策略示例一：为IAM子用户配置IPv6网关查看者权限, 以及vpc的部分查看权限（代表取所有值）。 b) 脚本配置策略示例二：为IAM子用户配置IPv6网关所有操作权限，以及vpc、ecs、dps、elb的部分操作权限（代表取所有值）

资源 计费说明 相关文档 网络 如果您的ECI实例需要公网通信，则需要配置弹性IP或NAT网关，支付相应的网络费用 存储 如果您的ECI实例需要持久化存储，弹性容器实例支持挂载天翼云云硬盘、对象存储等，根据您使用的存储资源，支付相应的存储费用

流量路径 从南往北，从业务VPC1到Internet 1. VPC1 的默认路由表或者自定义路由表均可。 2. 匹配0.0.0.0/0，下一跳为对等连接，将流量发给防火墙VPC。 3. 防火墙VPC收到后匹配防火墙VPC的默认路由表，匹配0.0.0.0/0 下一跳为FWLAN口或者虚拟IP 。 4. 防火墙做SNAT地址转换，将SIP替换成WAN VIP， 并将流量从FWWAN口送出。 5. 防火墙 WAN口绑定了自定义子网路由表，匹配0.0.0.0/0 下一跳为IPv4网关。 6. IPv4网关收到报文后做NAT转换，将SIP从防火墙 的WAN VIP 替换成EIP，送至Internet。 从北往南，从Internet到VPC1的虚拟机 1. 流量的目的地址为EIP，到达IPv4网关后，IPv4网关将目的地址替换成防火墙WAN口IP。 2. 防火墙WAN口收到后，做NAT转换，替换为VPC1的虚拟机IP地址。并从防火墙LAN口送出。 3. 防火墙 LAN口绑定了子网自定义路由表，匹配10.0.0.0/24，下一跳为对等连接，将流量发给VPC1。 4. VPC1默认路由表转发至虚拟机。 场景2：访问其他VPC的流量通过公共VPC防火墙进行清洗 基本场景介绍 业务子网1访问公网的流量进入防火墙VPC 进行流量清洗。 业务 VPC1下的业务子网 1:10.0.0.0/24。 防火墙 VPC下防火墙云主机所在的子网：192.168.0.0/24。

一台弹性云主机是否可以绑定多个弹性公网IP？ 一台弹性云主机可以绑定多个弹性公网IP，但是不建议您这样操作。 当云主机绑定多个公网IP时，需要在云主机内部配置策略路由，才可以确保这些弹性IP可以正常进行外部通信。 未绑定弹性公网IP的弹性云主机能否访问外网？ 能。 您可以使用天翼云的NAT网关产品。NAT网关（NAT Gateway）是一种支持 IP 地址转换的网络云服务，能够为虚拟私有云（Virtual Private Cloud，VPC）内的计算实例提供网络地址转换（Network Address Translation），分为SNAT和DNAT两个功能。通过SNAT可使多个弹性云主机共享使用弹性IP访问Internet。 为什么弹性云主机可以远程连接，但是无法ping通？ 弹性云主机需要确保安全组的入方向规则添加了“ICMP协议”。 登录弹性云主机控制台，单击弹性云主机实例名称，进入详情页，单击安全组页签，点击安全组名称，下拉详情，点击添加规则： 方向：入方向 授权策略：允许 协议：ICMP 源地址：IP 地址 0.0.0.0/0 单击确定，完成ICMP协议添加，再次尝试是否能够ping通。 如何查询云平台上服务器的出口公网IP地址？ 操作场景 当云主机绑定弹性公网IP（对于可用区资源池配置了指向IPv4网关的路由；对于地域资源池绑定弹性公网IP即可），通常通过弹性公网IP访问Internet。 您可以登录天翼云控制台，在弹性云主机列表中查看弹性云主机绑定的弹性公网IP，具体请参见查看云主机详细信息。 您也可以直接在弹性云主机上通过命令查询IP地址，本文以Ubantu20.04系统的弹性云服务器为例进行介绍。 操作步骤 1. 登录弹性云主机。 2. 执行以下任意一条命令，查询弹性云主机绑定的的弹性公网IP地址。 curl icanhazip.com curl ifconfig.me curl ipinfo.io/ip curl ipecho.net/plain

产品 描述 详情 云间高速（标准版） 为用户提供一种能够快速构建同域、跨域VPC之间的高速、优质、稳定的网络能力，帮助用户打造一张具有企业级规模和通信能力的云上网络。将SDWAN实例绑定云间高速（标准版）实例，可一键访问天翼云虚拟私有云资源，实现企业总部分支入云需求。 详细说明请参见 云监控 当用户开通天翼云SDWAN服务后，无需额外安装其他插件，即可通过云监控服务查看相关智能网关的端口流量使用情况，互联链路的时延、带宽、丢包率等性能。 详细说明请参见 云专线CDA 客户到云的高品质专线或专网服务。 详细说明请参见 NAT网关 为VPC内的计算实例提供网络地址转换服务。 详细说明请参见 虚拟私有云 天翼云云上私有网络。 详细说明请参见

本文介绍弹性IP的相关功能。 弹性IP概述 弹性公网IP(Elastic IP Address, 简称EIP)是可以单独购买的公网IP地址资源。目前，EIP支持绑定到裸金属实例和NAT网关实例。 创建弹性IP 1. 登录公共算力服务控制台。 2. 单击【网络>弹性IP】进入弹性IP列表，点击【申请弹性IP】。 申请弹性IP参数说明： 参数 说明 名称 名称系统自动生成，支持修改。 计费模式 付费类型：支持包年包月和按需两种付费类型。选择包年包月时，购买时需要配置购买时长。 线路 仅部分资源池支持，购买时需选择运营商线路。 计费项 包年包月支持固定带宽. 带宽大小 选择具体的带宽大小，支持1300Mbps区间的选择。 3. 确认配置费用，点击【立即创建】，将进入天翼云官网的订单页进行资源订购。 绑定 1. 登录公共算力服务控制台。 2. 单击【网络>弹性IP】进入弹性IP列表，单击【绑定】。 3. 支持裸金属、NAT网关实例绑定弹性IP，从列表选择一台实例，点击【确定】完成绑定。

路由优先级 说明 Local路由最优先匹配 Local路由用于VPC内通信的系统默认路由，优先级最高。 最精确路由优先匹配 除去Local路由，当路由表中同时有多条路由规则可以匹配目的 IP 地址时，此时遵循最长匹配原则，即优先采用掩码最长，最精确匹配的一条路由并确定下一跳。 示例： 流量的目的地址为192.168.1.12/32。 路由A的目的地址为192.168.0.0/16，下一跳为ECSA。 路由B的目的地址为192.168.1.0/24，下一跳为对等连接。 则根据最长匹配原则，该流量和路由B的目的地址匹配度更高，将去往对等连接。 弹性公网IP（EIP）优先级高于默认路由 当路由表中存在默认路由（默认路由目的地址为0.0.0.0/0，表示匹配任何流量），并且子网内的ECS关联了EIP，则EIP的优先级高于默认路由，流量将会通过EIP访问公网。 示例： 路由A的目的地址为0.0.0.0/0，下一跳为NAT网关。 VPC子网内的ECS关联了EIP。 则ECS出方向的流量将去往公网，不会去往NAT网关。

本节主要介绍如何在智能视图服务控制台管理网关。 注册网关 点击【网关管理】【注册网关】，根据本地网关部署所生成的网关ID，正确填写网关ID信息、名称、选择接入网络及区域，完成网关注册。 查看网关 点击【网关管理】，在该模块内可查看注册的网关列表，以及网关详情、下属设备等信息。网关支持【禁用】、【删除】以及【网关详情】操作。 点击【网关详情】可查看当前网关的基本信息与设备信息，支持对网关名称、描述进行修改。设备信息展示了通过当前网关接入的设备列表，点击设备ID可跳转至该设备详情页。

弹性IP 弹性IP（Elastic IP，简称EIP）提供独立的公网IP资源，包括公网IP地址与公网出口带宽服务。可以与弹性云主机、物理机、虚拟IP、弹性负载均衡、NAT网关等资源灵活地绑定及解绑。 一个弹性IP只能绑定一个云资源使用。 图 通过EIP访问公网

VPC如何访问公网服务？ 虚拟私有云VPC是您在天翼云上申请的隔离的、私密的内网络环境，虚拟私有云VPC和公网环境是隔离的。 当您的业务场景存在单个云主机或多个云主机访问公网的需求时，您可以使用弹性IP或者NAT网关访问公网。两种方式适用的公网访问场景各不相同，具体操作请参考如何使用弹性IP或者NAT网关访问公网。 公网可以访问VPC中的云服务吗？ 您可以使用以下方法从公网访问VPC中的云服务： 默认分配弹性IP 绑定已有弹性IP 配置公网NAT网关 配置公网负载均衡 具体操作可参考常见公网访问方法页面。 对等连接有哪些限制？ 配置对等连接时，不建议两端VPC的网段（CIDR）存在重叠，可能会造成路由冲突，导致配置不生效。 对等连接创建完成后，可以使用“ping”命令检查本端网络是否连通，不支持通过“ping”命令检查对端子网网关是否连通。 如果两个VPC的CIDR有重叠，建立对等连接时，只能针对子网建立对等关系。如果两个VPC下的子网网段有重叠，那么该对等关系可能不生效。建立对等连接时，请确保对等连接两端不包含重叠的子网。 VPC A与VPC B、VPC C分别建立对等连接，如果VPC B和VPC C的网段有重叠，那么VPC A中无法添加具有相同目的网段的路由。 两个VPC之间不能同时建立多个VPC对等连接。 不同区域的VPC不能创建对等连接。 VPC1与VPC2创建对等连接，默认情况下VPC2不能通过VPC1的EIP访问公网。 跨租户申请VPC对等连接，需要对端租户接受后，才能生效。同租户申请对等连接默认已接受。 为了安全起见，请不要接受来自未知帐号的对等连接申请。 对等连接双方帐号都有权限删除对等连接，一方删除对等连接后，对等连接的所有信息会被立刻删除，包括对等连接关联的路由信息。 对等连接建立后，需要在本端VPC、对端VPC分别添加对方子网的路由才能通信。 VPC对等连接路由存在时，VPC无法被删除。

本节主要介绍如何在智能视图服务控制台接入网关设备。 点击左侧导航栏的【设备管理】，点击【添加设备】，进入添加设备页面，包含接入配置和设备配置两个步骤。 IPC与NVR设备均支持了通过网关接入，在接入配置页面中，填入设备名称，下拉选择设备分类（IPC/NVR），接入协议选择【网关接入】，可在网关选择中下拉选择已注册的网关（网关注册流程参考【网关管理】），选择所属的网关协议，填写登录设备的相关信息，绑定资源包，点击【下一步】。 说明 网关选择：无法选择被禁用的网关，且若选择的网关处于离线状态，则在网关上线前，通过该网关添加的设备也均处于离线状态。 网关协议类别 设备用户名/密码 内网IP 设备端口 各类厂商SDK 设备登录配置端使用的用户名/密码 设备所在局域网内的 IP 地址 填写规范：海康默认8000。 Onvif 设备登录配置端后，配置Onvif专属用户名/密码 设备所在局域网内的 IP 地址 填写规范：Onvif 默认为80。 进入到设备配置页面，选择厂商、设备地址和所属行业等相关信息后，点击【提交】可以看到在平台上成功创建的网关接入设备。 若网关为在线状态，设备注册完成后，等待大约1分钟后（不同的设备等待时间略有差异），在天翼云智能视图服务控制台的设备管理页面查看该设备，如果是在线状态，说明设备接入成功； 若网关为离线状态，则设备也即为离线状态。

共享带宽产品广泛应用于多种场景,本文带您更快了解共享带宽经典应用场景。 多业务复用带宽，节约成本 场景说明 客户有大量业务使用天翼云时，如果每个弹性云主机单独使用一条带宽，则需要较多的带宽实例，并且总的带宽费用会较高，如果多个实例共用一条带宽，就可以节省企业的网络运营成本，同时方便运维管理。 产品优势 天翼云共享带宽即开即用，分钟级交付，快速帮助业务实现公网访问。 提供按需计费和包周期计费等多种计费模式，既兼顾成本，又能提供可靠性能。 多台云主机的弹性IP复用一条共享带宽，根据业务流量按需调整带宽大小，业务流量可以削峰填谷，提高整体的带宽使用率。 通过绑定NAT网关方式，实现多台云主机通过同一IP访问公网需求，节约带宽成本。 搭配使用 弹性云主机、弹性负载均衡、NAT网关 有效度过突发流量高峰 场景说明 当有突发的业务流量高峰时，共享带宽中的每个弹性IP根据流量大小分摊带宽。当某个业务流量短时间内大幅度波动，如促销等，可以从共享带宽中分摊到较大带宽，从而有效度过流量高峰，平抑波峰波谷。

本节介绍了云容器引擎订购类常见问题。 支持Docker容器运行时吗? 目前只有Kubernetes 1.23版本支持Docker容器运行时，其他高版本只支持Containerd。如需订购集群选择Docker运行时请提工单申请。 集群订购会配置特殊安全组规则吗？ 因为集群订购涉及开通云主机等iaaS资源，系统默认为您的集群内置一条优先级为99的不可见安全组，以确保节点之间能正常通信。您可等集群开通成功后，为安全组设置更高级别的安全组规则，突破此互通安全组的限制。 VPC所在子网与Pod子网有什么区别? Cubecni网络插件件使用VPC资源构建underlay容器网络，为Pod创建一个单独的子网，一般建议选择网段掩码不大于19的子网。详细可查看：Cubecni网络插件介绍 集群订购是否必须配置Snat，由容器购买Nat网关？ 非必须，用户如有集群访问公网诉求，可后续直接订购Nat网关，详细可查看：Pod联网案例 集群订购是否必须购买eip，用于通过公网访问apiserver? 非必须，用户如有公网访问apiserver诉求，可后续直接订购eip。如果由容器代客户购买，默认下单5m带宽的弹性ip，由弹性ip产品按量收费。

本小节是产品咨询类常见问题。 云防火墙支持线下服务器吗？ 不支持，云防火墙支持云上Region级服务。 云防火墙支持防护哪些范围？ 云防火墙是新一代的云原生防火墙，支持防护的范围如下： 互联网边界：支持防护EIP的流量，包括入方向（从互联网到防火墙）和出方向（从防火墙到互联网）的流量。 VPC边界：支持防护VPC与VPC之间、云上VPC与本地IDC之间的流量；不支持防护VPC内的流量。 NAT网关分为以下两种场景： 防护NAT网关绑定的EIP，仅审计EIP的流量。 防护SNAT和DNAT流量（依赖VPC边界防火墙），支持溯源到私网IP。 云防火墙支持的QPS、新建/并发连接数大小是多少？ 云防火墙作为SaaS化服务，不受传统硬件防火墙在新建连接数、并发连接数以及QPS等方面的限制，衡量云防火墙性能的唯一标准是实际的防护带宽大小。 防护带宽定义如下： 防护带宽：所有经过云防火墙防护的业务带宽。 互联网边界防护带宽：所有经过云防火墙防护的EIP的流量总和最大值，按照入云流量（入流量）或出云流量（出流量）的最大值取值。 VPC边界防护带宽：所有经过云防火墙防护的VPC的流量总和最大值。