在同一区域中，VPC终端节点可以建立终端节点（VPC内云资源）到终端节点服务（用户私有服务、云服务）的便捷、安全、私密连接通道。 基于上述功能，VPC终端节点主要应用于以下场景。 高速上云 本地数据中心可以通过VPN或者云专线连通VPC，利用建立的终端节点通过内网访问终端节点服务（用户私有服务、云服务）。 如上图所示，本地数据中心通过VPN或者云专线与VPC 1连通，实现： 利用终端节点1，通过内网访问云服务（如OBS、DNS等）。 利用终端节点2，访问VPC 1的云资源（如ECS 1）。 利用终端节点3，跨VPC访问VPC 2的云资源（如ECS 2）。 这种场景具有以下优势： 简单快速 本地数据中心直连终端节点服务，无需经过公网，访问时延小，效率高。 成本低廉 本地数据中心访问云上资源不占用用户的公网资源，降低使用成本。 跨VPC连接 在同一区域中，由于VPC之间逻辑隔离，不同VPC内的云资源不能直接通信。利用在不同VPC间建立的终端节点到终端节点服务的连接通道，可以实现跨VPC的资源通信。 如上图所示，利用终端节点与终端节点服务建立的跨VPC连接通道，实现VPC 1中的云资源（如ECS）通过内网访问VPC 2中的云资源（如ELB）。 这种场景具有以下优势： 性能高效 每个网关节点可支持百万级会话。 简化操作 资源秒级创建，快速生效，操作简单。 具体示例请参考： 配置跨VPC通信的终端节点（同一帐号） 配置跨VPC通信的终端节点（不同帐号）

本小节主要介绍RDSPostgreSQL的tdsfdw插件使用方法。 操作场景 RDSPostgreSQL支持 tdsfdw插件，可以连接到使用表格数据流（TDS）协议的数据库，如Sybase数据库和Microsoft SQL Server。 前提条件 请确保您的实例内核大版本满足，本插件所支持的内核版本，请参考支持的版本插件列表。 注意事项 请确保目标数据库的网络与您的数据库实例互通。 插件使用 安装插件 sql CREATE EXTENSION IF NOT EXISTS tdsfdw; 卸载插件 sql DROP EXTENSION IF EXISTS tdsfdw; 使用示例 1.创建服务器，示例如下： CREATE SERVER mssqlsvr FOREIGN DATA WRAPPER tdsfdw OPTIONS (servername ' ', port 'SQLSERVERVPCDBPORT', database 'testdb', tdsversion '7.1'); 说明：服务器定义中的servername必须配置为SQL Server的内网地址，port必须配置为SQL Server的内网端口。 2.创建外部表。您可以通过多种方式创建外部表： 2.1使用tablename定义创建外部表，示例如下： CREATE FOREIGN TABLE mssqltable1 ( id integer, data varchar) SERVER mssqlsvr OPTIONS (tablename 'dbo.mytable', rowestimatemethod 'showplanall'); 2.2使用schemaname和tablename定义创建外部表，示例如下： CREATE FOREIGN TABLE mssqltable2 ( id integer, data varchar) SERVER mssqlsvr OPTIONS (schemaname 'dbo', tablename 'mytable', rowestimatemethod 'showplanall'); 2.3使用query定义创建外部表，示例如下： CREATE FOREIGN TABLE mssqltable3 ( id integer, data varchar) SERVER mssqlsvr OPTIONS (query 'SELECT FROM dbo.mytable', rowestimatemethod 'showplanall'); 2.4使用远程列名创建外部表，示例如下： CREATE FOREIGN TABLE mssqltable4 ( id integer, col2 varchar OPTIONS (columnname 'data')) SERVER mssqlsvr OPTIONS (schemaname 'dbo', tablename 'mytable', rowestimatemethod 'showplanall'); 2.5创建用户映射，示例如下： CREATE USER MAPPING FOR root SERVER mssqlsvr OPTIONS (username 'test', password 'Pgdb12%^'); 2.6导入外部模式，示例如下： IMPORT FOREIGN SCHEMA dbo EXCEPT (mssqltable) FROM SERVER mssqlsvr INTO public OPTIONS (importdefault 'true'); ：SQL Server的内网地址。 ：SQL Server的内网端口。

本小节介绍漏洞扫描服务流程。 网络要求 非电信客户的应用系统网络与扫描器网络可达，即可提供扫描服务（内网需提供用于部署扫描器的内网主机，内外网需保证路由可达）。 服务流程 业务受理单 客户应如实填写以下信息（必须填满）： 1. 被检测的IP主机信息。 2. 被检测主机的操作系统类型及版本。 3. 业务接口人联系方式，客户需指定一个具有对漏洞扫描方案及漏洞扫描过程中出现的问题有决定权的业务接口联系人。 4. 客户提供扫描资产时需对所提交资产所有权负责，保证资产归提交人合法所有。 5. 客户需签订漏洞扫描授权书。 审核阶段 对委托单位提交的受理单信息进行核查，核查内容： 1. 判断资产所在环境是公网还是内网。 若是公网需要保证被扫描资产路由可达。 若是内网环境，需确认委托单位提供可访问到内网主机的跳板机。 2. 受理单审核通过后进入漏洞扫描实施阶段。 业务受理单无问题进入下一阶段；如有问题返回客服，由客服继续与客户沟通，直到业务受理单填满无问题。 说明 确认过程需1个工作日。 实施阶段 1.漏洞扫描实施方案 业务受理单确认无误后进入实施阶段，漏洞扫描操作人员接到客服的业务受理单后确认受理单信息：IP、版本、授权等并就扫描计划和受理单内容与客户确认。扫描任务实施前，分析客户主机情况，制定扫描方案，明确漏洞扫描任务具体实施时间、目标范围、合理的扫描方式以及最佳扫描策略，并就扫描方案与客户进行沟通确认，由于在漏洞扫描期间客户方未关闭安全防护设备所造成的漏扫结果不准确，乙方不承担责任。 注意 确认过程0.5个工作日。 2.实施漏洞扫描 扫描实施前若客户网络环境公网不能直达，需部署扫描器，也可配合客户自己部署，策略模板由我们提供，部署时间预计1个工作日。 关于扫描进度，目前扫描器扫描一个C段地址大约需要6个小时左右时间，扫描期间实时就扫描过程中发生的问题与客户沟通，最后扫描的结果将存放到扫描结果专用堡垒机上。 漏洞扫描的风险规避，由于漏洞扫描属于黑盒测试，因此可能对被测试目标造成不可预知的风险；此外对于性能比较敏感的测试目标，如一些实时性要求比较高的系统，由于扫描可能引起网络流量的增加，因此可能会引起被扫描目标的服务质量降低。因此需进行如下的风险规避措施： 扫描时段选择：一般会选择在夜间或安排在业务量不大的时段进行漏洞扫描。 扫描策略选择：根据系统的具体情况配置合理的扫描策略。 3.编写扫描报告 漏洞扫描完成后输出漏洞扫描服务报告，报告编写时间2个工作日。 4.报告审核修订 由专人对输出的漏洞扫描服务报告进行审核修订，审核修订时间1个工作日。 5.报告提交 报告提交方式采取邮件回复的方式提交：客户通过邮件向天翼云漏洞扫描平台发起报告接收申请，漏洞扫描服务报告以回复邮件方式给客户。 6.质保服务 在客户收到漏洞扫描服务报告后，乙方参与漏扫项目的专家为客户持续提供3天时间用于咨询报告中的不明事项。 7.结束服务 在完成以上各阶段工作后，漏洞扫描项目经理告知客服此次漏扫服务结束。

参数 描述 虚拟私有云 文档数据库实例所在的虚拟专用网络，可对不同业务进行网络隔离，方便地管理、配置内部网络，进行安全、快捷的网络变更。您需要创建或选择所需的虚拟私有云。所需虚拟私有云的使用限制请参见实例连接方式介绍。 说明 实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 实例创建成功后，可以修改子网分配的内网地址，具体请参见 安全组 安全组限制安全访问规则，加强文档数据库服务与其它服务间的安全访问。 说明 请确保所选取的安全组允许客户端访问数据库实例（如协议选择为TCP，方向选择为入方向，端口设置为8635，源地址设置为实例所属子网或所属安全组）。

本节为您介绍如何添加PTR类型记录集。 操作场景 当您想要通过私网IP地址反向解析对应的内网域名时，可以通过PTR类型记录集实现。 更多关于记录集类型的介绍，请参见支持记录集类型。 约束和限制 在添加PTR记录前，必须先根据IP地址网络计算反向解析域名。 假设您的网络地址范围是 192.168.0.1192.168.0.255，和192.168.0.1/24这个C段网络。那么对应的IP地址网络反解域名为0.168.192.inaddr.arpa。当您在域名0.168.192.inaddr.arpa内添加主机记录为1的PTR记录指向www.example.com时，IP地址192.168.0.1的反向解析即是www.example.com。 说明 在创建反向解析域名时，IPV4反向解析域名固定后缀为inaddr.arpa，IPV6反向解析域名固定后缀为ip6.arpa。 操作步骤 1. 登录到内网DNS控制中心页面, 单击“创建内网域名”。 2. 出现“创建内网域名”弹窗，在“域名”对反解域名进行配置后单击“确定”。（本例输入1.168.192.inaddr.arpa） 3. 添加反向解析域名后，在权威域名列表找到创建好的域名，在“操作”列单击“管理记录集”。 4. 在解析记录界面单击“添加记录集”，添加主机记录为 1 的 PTR 记录，将其指向主机 www.example.com。 表1 添加PTR类型记录集参数说明 参数 说明 取值样例 主机记录 填写反向解析记录的名称。 例如，用户IP地址为192.168.1.10，则反向解析域名的完整格式为10.1.168.192.inaddr.arpa。 若创建的域名为192.inaddr.arpa，则主机记录为10.1.168。 若创建的域名为1.168.192.inaddr.arpa，则主机记录为10。 类型 记录集的类型，此处为PTR类型。添加记录集时，如果提示解析记录集已经存在，说明待添加的记录集与已有的记录集存在限制关系或者冲突。 PTR – 将IP地址指向域名 TTL 必填项，默认选择5分钟。 TTL规格共四种：5分钟、1小时、12小时、1天（24小时），对应TTL值为5分钟（60s），1小（3600s），12小时（43200s），1天（86400s）TTL指解析记录在本地DNS服务器的缓存时间。如果您的服务地址经常更换，建议TTL值设置相对小些，反之，建议设置相对大些。 300 值 反向解析返回的域名值，只能写1个域名。 www.example.com 描述 选填字段，最多支持输入100个字符。 5. 填写完成后，点击“确定”完成PTR类型记录集创建。 6. 在“解析记录”页面，可以看到创建成功的解析记录。

可用区 可用区（AZ，Availability Zone）是指在同一地域内，电力和网络互相独立的物理区域。一个AZ是一个或多个物理数据中心的集合，具备独立的风火水电，可用区之间距离100KM以内，一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 相关特性 划分可用区的目标是能够保证可用区间故障相互隔离（大型灾害或者大型电力故障除外），不出现故障扩散，使得用户的业务持续在线服务。通过启动独立可用区内的实例，用户可以保护应用程序不受单一位置故障的影响。 处于相同地域不同可用区，但在同一个虚拟私有云下的云产品之间均通过内网互通，可以直接使用内网 IP 访问。 如何选择可用区 在同一地域内，可用区与可用区之间内网互通。各可用区之间可以实现故障隔离，即如果一个可用区出现故障，则不会影响其他可用区的正常运行。是否将实例放在同一可用区内，主要取决于您的应用对容灾能力和网络延时的要求。 如果您的应用需要较高的容灾能力，建议您将实例部署在同一地域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，建议您将实例创建在同一可用区内。 地域和可用区的关系 每个地域完全独立，不同地域的可用区完全隔离，但同一个地域内的可用区之间使用低时延链路相连。 地域和可用区之间的关系如图所示： 目前，天翼云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。 相关操作

可用区 可用区（AZ，Availability Zone）是指在同一地域内，电力和网络互相独立的物理区域。一个AZ是一个或多个物理数据中心的集合，具备独立的风火水电，可用区之间距离100KM以内，一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 相关特性 划分可用区的目标是能够保证可用区间故障相互隔离（大型灾害或者大型电力故障除外），不出现故障扩散，使得用户的业务持续在线服务。通过启动独立可用区内的实例，用户可以保护应用程序不受单一位置故障的影响。 处于相同地域不同可用区，但在同一个虚拟私有云下的云产品之间均通过内网互通，可以直接使用内网 IP 访问。 如何选择可用区 在同一地域内，可用区与可用区之间内网互通。各可用区之间可以实现故障隔离，即如果一个可用区出现故障，则不会影响其他可用区的正常运行。是否将实例放在同一可用区内，主要取决于您的应用对容灾能力和网络延时的要求。 如果您的应用需要较高的容灾能力，建议您将实例部署在同一地域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，建议您将实例创建在同一可用区内。 地域和可用区的关系 每个地域完全独立，不同地域的可用区完全隔离，但同一个地域内的可用区之间使用低时延链路相连。 地域和可用区之间的关系如图所示： 目前，天翼云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。

可用区 可用区（AZ，Availability Zone）是指在同一区域内，电力和网络互相独立的物理区域。一个AZ是一个或多个物理数据中心的集合，具备独立的风火水电，可用区之间距离100 km以内，一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 相关特性 划分可用区的目标是能够保证可用区间故障相互隔离（大型灾害或者大型电力故障除外），不出现故障扩散，使得用户的业务持续在线服务。通过启动独立可用区内的实例，用户可以保护应用程序不受单一位置故障的影响。 处于相同区域不同可用区，但在同一个虚拟私有云下的云产品之间均通过内网互通，可以直接使用内网 IP 访问。 如何选择可用区 在同一区域内，可用区与可用区之间内网互通。各可用区之间可以实现故障隔离，即如果一个可用区出现故障，则不会影响其他可用区的正常运行。是否将实例放在同一可用区内，主要取决于您的应用对容灾能力和网络延时的要求。 如果您的应用需要较高的容灾能力，建议您将实例部署在同一区域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，建议您将实例创建在同一可用区内。 区域和可用区的关系 每个区域完全独立，不同区域的可用区完全隔离，但同一个区域内的可用区之间使用低时延链路相连。 区域和可用区之间的关系如图所示： 目前，天翼云已在全球多个区域开放云服务，您可以根据业务需求选择适合的区域和可用区。

本节主要介绍负载均衡的组成、产品优势、应用场景和使用限制。 负载均衡（Server Load Balancer，简称SLB）是一种根据转发策略将流量分发到多台后端服务器的服务。通过挂载多台后端服务器的方式扩展系统的整体服务能力，同时消除系统单点故障以提高系统整体的可用性。负载均衡的虚拟服务地址（VIP）为负载均衡的服务地址，将多台后端服务器虚拟成一个高性能服务。 负载均衡可分为公网负载均衡以及内网负载均衡。公网负载均衡会绑定弹性公网IP，公网的客户端可以通过弹性公网IP来访问负载均衡服务。内网负载均衡通过内网IP对内网负载均衡所属VPC提供负载均衡服务。 产品优势 可扩展 可以根据业务应用的负载进行扩容或者缩容，添加或者移除后端服务器组中的服务器来调整系统的能力。 高可用 配置多台后端服务器，消除单点故障，保证业务的可用性。 多协议 根据不同的业务接入需求，可以选择TCP/UDP/HTTP/HTTPS协议。 简单易用 产品化部署SLB服务，根据不同的业务需求配置不同的负载均衡实例类型、监听不同的协议和端口，以及配置后端服务器组，且所有配置实时生效。 应用场景 高业务量流量分发，针对业务量大的服务，通过购买负载均衡实例并配置对应转发策略，以及添加多后端服务器，把业务分发到多后端服务器上。 消除单点故障，当一部分后端服务器不可用时，负载均衡通过健康检查可自动屏蔽故障的后端服务器，保障应用系统正常工作。 全局负载均衡，结合智能DNS将域名解析到不同地域的SLB，可实现全局多地域的负载均衡，保障异地容灾。

参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤，请参见《虚拟私有云操作指导》中的“

参数 参数类型 说明 示例 下级对象 projectID String 企业项目ID 0 azName String 可用区名称 az1 attachedVolume Array of Strings 云硬盘ID列表 ["d36d47360724429eb7b6dca67a2a0ef5", "b484565cb5a04b3085cd3b674991aff0"] addresses Array of Objects 网络地址信息 addresses resourceID String 云主机资源ID cde530453f204f47bf32d12e62ef3b23 instanceID String 云主机ID c5a7966a88e7362b6e11c2d8fbfc07ca displayName String 云主机显示名称 apitest01 instanceName String 云主机名称 apitest01 osType Integer 操作系统类型，详见枚举值表格 5 instanceStatus String 云主机状态，请通过 running expiredTime String 到期时间 20230419T09:37:53Z availableDay Integer 可用天数 120 updatedTime String 更新时间 20221019T09:37:53Z createdTime String 创建时间 20221019T09:37:53Z zabbixName String 监控对象名称 c5a7966a88e7362b6e11c2d8fbfc07ca secGroupList Array of Objects 安全组信息 secGroupList privateIP String 内网IPv4地址 192.168.1.104 privateIPv6 String 内网IPv6址 100:1:1ec:6600:fb6f:5428:c7e3:fa60 networkCardList Array of Objects 网卡信息 networkCardList vipInfoList Array of Objects 虚拟IP信息列表 vipInfoList vipCount Integer 虚拟IP数目 1 affinityGroup Object 云主机组信息 affinityGroup image Object 镜像信息 image flavor Object 云主机规格信息 flavor onDemand Boolean 付费方式，取值范围： true：表示按量付费， false：表示包周期 true vpcName String 虚拟私有云名称 vpctest3 vpcID String 虚拟私有云ID vpcjomc98yuqu fixedIPList Array of Strings 内网IP列表 ["192.168.1.104"] floatingIP String 公网IP 117.89.29.150 subnetIDList Array of Strings 子网ID列表 ["subnet7tk4rmsj4c"] keypairName String 密钥对名称 kptest2

本节主要介绍云存储网关的使用限制。 注意 在部署云存储网关前，需要明确使用单机版还是集群版，因为一旦部署后，不支持通过增减服务器进行模式切换。 说明 该产品通过软件形式部署在用户的环境中，本身不涉及资源池属性。 操作系统 支持 Linux CentOS 7.x，64位操作系统。建议使用最新的CentOS 7.x版本。 硬件 x86服务器。最低配置：单核CPU、2GB内存。可根据实际业务需要增加配置。 网络带宽 客户端到云存储网关的带宽：读写带宽能力大于业务读写带宽。 数据目录对应分区的写带宽能力大于写入带宽，同时还具备相同的读带宽。 云存储网关到OOS具备专线，带宽大于业务写入带宽。 安装目录所在盘 10GB以上，建议配置为RAID 1或者RAID 10。 数据目录所在盘 最小配置：5GB，可根据实际业务需要增加配置。 若作为存储模式存储卷的数据目录使用，需要根据存储容量和副本模式配置数据目录对应分区的容量。若作为缓存模式卷的数据目录使用，需要根据缓存数据量和副本模式配置数据目录对应分区的容量。 网络设定 可以与天翼云对象存储（经典版）I型（ObjectOriented Storage，OOS）进行网络连接。 若云存储网关与OOS之间配有专线，须在云存储网关服务器 /etc/hosts配置OOS资源池的内网域名解析（请联系我们获取），以确保是通过专线访问OOS，保证访问速度。若使用互联网，则不需要配置。 网络整体架构图： 云存储网关内部各节点之间通过内网互联。 云存储网关与上层应用之间通过内网或专线或公网互联。 云存储网关与OOS之间通过专线或公网互联。

此章节为您介绍如何登录云堡垒机（原生版）。 开通堡垒机（原生版）后，用户在控制台 “云堡垒机实例”页面，在操作列点击“管理”操作，系统单点登录进入云堡垒机实例，通过控制台登录进入默认管理员用户。 登录的时候可选“外网地址登录”或“内网地址登录”。 说明 内网地址登录需要确保网络环境互通。 外网地址登录需要绑定弹性IP。 首次登录 在未设置初始密码时，需通过云堡垒机控制台单点登入跳转登入堡垒机，并进行初始化管理操作。 操作步骤 1.在“云堡垒机实例”列表条目录中选择要管理的实例，单击“管理”。 2.根据您自身的网络环境选择“内网地址登录”或“外网地址登录”。 3.登入堡垒机后，通过个人信息进行初始密码设置。 非首次登录 非首次登入云堡垒机可通过云堡垒机控制台单点登入跳转登入堡垒机，或通过云堡垒机登录地址使用静态认证或令牌认证等方式登录。以下介绍使用静态认证、短信认证、令牌认证三种方式登录云堡垒机实例。 前置条件 已登录过云堡垒机并完成密码初始化。 静态认证登录操作步骤 1.启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 2.选择认证方式为静态认证。 3.输入系统用户账号和密码，输入图形验证码。 4.单击“登录”，成功登录到堡垒机系统。 注意 云堡垒机实例登录地址为

弹性负载均衡支持绑定/解绑弹性IP的操作,本节主要介绍负载均衡的绑定/解绑弹性IP的功能。 绑定弹性IP 1. 登录公共算力服务控制台。 2. 点击左侧导航栏【网络>弹性负载均衡>负载均衡】，在“负载均衡器”列表页面，单击负载均衡实例所在行的“更多>绑定弹性 IP”，进行弹性IP绑定。 说明： 负载均衡实例绑定弹性IP后，网络类型会由内网更改为外网。 解绑弹性IP 1. 登录公共算力服务控制台。 2. 点击左侧导航栏【网络>弹性负载均衡>负载均衡】，在“负载均衡器”列表页面，单击负载均衡实例所在行的“更多>解绑弹性IP，进行弹性IP解绑。 说明： 负载均衡实例解绑弹性IP后，网络类型会由外网更改为内网。

本节介绍了测试连通相关问题与处理方法。 场景排查 1. 排查安全组规则。 2. 排查网络ACL。 3. 排查弹性云主机内部网卡信息。 4. 排查不通端口。 解决方案 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择Region。 步骤 3 在页面左上角单击，选择“数据库 > 云数据库TaurusDB”。 步骤 4 在“实例管理”页面，单击目标实例名称，进入“基本信息”页面，在“连接信息”模块查看TaurusDB实例的虚拟私有云。 步骤 5 查看加入分布式事务的TaurusDB或ECS是否有相同VPC。 相同，请查看《虚拟私有云用户指南》中的连接类常见问题排查。 不相同 公网访问：需要通过EIP建立连接。请参考绑定弹性IP为TaurusDB实例绑定EIP。 内网访问：为两个不同的虚拟私有云建立对等连接，实现内网互通。 将ECS的虚拟私有云切换为与TaurusDB相同的虚拟私有云。

内网解析 丰富全面的记录集功能，满足多种应用场景需求。 反向解析 支持添加IP到域名映射的反向解析记录，通过反向解析可以降低垃圾邮件数量。 性能保障 新一代高性能解析加速服务，单节点支持千万级并发，为您提供高效稳定的解析服务。 安全可靠 有效防护DDoS攻击和域名劫持。

限制项 具体要求 说明 连接器部署 企业内网应用添加后，需要将连接器部署到对应的网络环境内，才能登录零信任客户端远程访问局域网应用。 详情请参考 禁止跨境连接 天翼云边缘安全加速平台零信任网络在相关政策法规内提供服务，不支持建立跨境连接，请勿把连接器部署到非中国内地地域。 客户端IP限制 鉴于安全监管要求，默认开启非中国内地访问限制（即非中国内地用户将无法使用VPN内网连接功能），如有此类业务场景需求，需 连接器数量限制 根据不同套餐版本对连接器集群或是部署的连接器实例数进行限制，详细请参考

本节介绍了通过内网连接Microsoft SQL Server实例（Windows方式）的相关内容。 当应用部署在弹性云主机上，且该弹性云主机与RDS for SQL Server实例处于同一区域，同一VPC时，建议单独使用内网IP连接弹性云主机与RDS for SQL Server实例。 提供两种连接方式通过SQL Server Management Studio客户端连接实例：非SSL连接和SSL连接。其中，SSL连接实现了数据加密功能，具有更高的安全性。 非SSL连接 步骤 1 登录弹性云主机或可访问关系型数据库实例的设备。 步骤 2 启动SQL Server Management Studio客户端。 步骤 3 选择“连接 > 数据库引擎”，在“连接到服务器”弹出框中输入登录信息。 图 连接到服务器 “服务器名称”是目标实例的主机IP和数据库端口（IP和数据库端口之间请使用英文半角逗号）。例如：x.x.x.x,8080 − 主机IP为“基本信息”页签中，“连接信息”模块的“内网地址”。 − 端口为“基本信息”页签中，“连接信息”模块的“数据库端口”。 “身份验证”是认证方式，选择“SQL Server身份验证”。 “登录名”即待访问的关系型数据库账号，默认管理员账号为rdsuser。 “密码”即待访问的数据库账号对应的密码。 步骤 4 单击“连接”，连接实例。 结束 SSL连接 步骤 1 下载并上传SSL根证书。 1. 登录管理控制台。 2. 单击管理控制台左上角的 ，选择区域和项目。 3. 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 4. 在“实例管理”页面，单击实例名称进入“基本信息”页面，单击“数据库信息”模块“SSL”处的 ，下载根证书或捆绑包。 5. 将根证书导入弹性云主机Windows操作系统，请参见如何将RDS实例的SSL证书导入Windows/Linux操作系统。 说明 请在原有根证书到期前及时更换正规机构颁发的证书，以提高系统安全性。 对于Microsoft SQL Server，绑定公网IP后，需重启实例才能使SSL连接生效。 步骤 2 启动SQL Server Management Studio客户端。 步骤 3 选择“连接 > 数据库引擎”，在“连接到服务器”弹出框中填选登录信息。 图 连接到服务器 “服务器名称”是目标实例的主机IP和数据库端口（IP和数据库端口之间请使用英文半角逗号）。例如：x.x.x.x,8080 − 主机IP为“基本信息”页签中，“连接信息”模块的“内网地址”。 − 端口为“基本信息”页签中，“连接信息”模块的“数据库端口”。 “身份验证”是认证方式，选择“SQL Server身份验证”。 “登录名”即待访问的关系型数据库账号，默认管理员账号为rdsuser。 “密码”即待访问的数据库账号对应的密码。 步骤 4 单击“选项”，在“连接属性”页签，填选相关信息，并勾选“加密连接”，启用SSL加密（系统默认不勾选“加密连接”，即不启用，需手动启用）。 图 连接属性 步骤 5 单击“连接”，连接实例。 结束

场景 配置的安全组规则说明 内网连接实例 使用内网连接GeminiDB Redis实例时，设置安全组规则分为以下两种情况： ECS与GeminiDB Redis实例在相同安全组时，默认ECS与GeminiDB Redis实例互通，无需设置安全组规则。 ECS与GeminiDB Redis实例在不同安全组时，需要为GeminiDB Redis和ECS分别设置安全组规则。 设置GeminiDB Redis安全组规则：为GeminiDB Redis所在安全组配置相应的 入方向 规则，具体操作请参见下文操作步骤。 设置ECS安全组规则：安全组默认规则为出方向上数据报文全部放行，此时，无需对ECS配置安全组规则。当在ECS所在安全组为非默认安全组且出方向规则非全放通时，需要为ECS所在安全组配置相应的 出方向 规则。 公网连接实例 使用公网连接GeminiDB Redis实例时，需要为GeminiDB Redis所在安全组配置相应的 入方向 规则。具体操作请参见下文操作步骤。

本文介绍如何进行AOne零信任网络配置。 背景说明 为更好的提供AOne零信任服务网络能力，我们提供网络配置功能，用于企业进行自定义配置，更好的解决企业内网接入访问的网络冲突问题。 操作步骤 1.登录边缘安全加速控制台。 2.在左侧导航栏AOne零信任设置网络配置，查看相应的配置和管理。 3.可根据业务需求进行相关配置。 功能介绍 企业保留网段 AOne零信任的内部基础网络节点会使用部分局域网网段，为避免和企业的专用网络、企业已规划的局域网网段冲突，企业管理员可在此配置企业禁用IP段作为企业保留网段，零信任内部网络IP分配将避开所配置的网段范围。 注意 目前AOne零信任服务默认使用如下网段： 10.55.0.0/16 10.254.0.0/20 10.255.0.0/24 若以上网段和企业内网不存在冲突，则无需配置。

计费项 含义 计费模式 请求次数（Get、Put、Delete类请求） 按通过公网/内网调用Get类请求、Put类请求、Delete类请求的次数来计费。 按需计费 包年包月

本文介绍如何使用边缘安全加速平台实现企业零信任办公。 边缘安全加速平台提供零信任网络能力，帮助企业快速构建比传统VPN更安全、更便捷的零信任办公安全体系。企业在边缘安全加速平台完成配置和操作后，能够实现员工远程零信任VPN办公、上网行为流量管控和终端基线安全准入等场景效果。本文介绍零信任网络的业务原理和使用逻辑流程，帮助企业管理员在开通边缘安全加速平台零信任服务后，快速入门企业零信任办公配置使用流程。 什么是企业内网安全访问 天翼云边缘安全加速平台零信任服务基于软件定义边界SDP（Software Defined Perimeter）架构，企业无需改造原有网络架构也无需暴露公网地址即可完成远程访问企业内网业务系统，实现应用、端口隐藏，并基于零信任“永不信任，持续验证”理念，对行为、环境、身份进行动态授权，打造兼具安全、性能、稳定的零信任网络。当您的员工需要远程访问企业的内部业务系统时，您可以在边缘安全加速平台控制台进行配置，完成配置后，企业的员工下载并安装零信任客户端，完成身份合法性识别后，即可安全地远程访问您的内网业务系统。 操作说明 登录边缘安全加速平台，在首页全部产品栏目，选择零信任，进入产品配置页。 首次订购使用零信任，需要进行设置企业认证标识，企业标识为登录客户端的重要标识，建议使用企业名称等方便企业办公终端用户记忆的信息作为企业认证标识，暂不允许控制台修改，若有需要可提交工单进行配置。

问题现象 通过Web浏览器登录Linux主机资源，报登录错误，提示“运维资源过程中遇到一个错误，请重试或联系管理员（Code：C515）”。 可能原因 原因一：密码输入错误次数超过Linux主机登录安全防护次数上限，导CBH的IP被加入“/etc/hosts.deny”文件名单。 原因二：Linux主机开启了企业主机安全服务（Host Security Service，HSS），多次输入错误密码尝试登录，CBH内网IP被HSS加入“/etc/sshd.deny.hostguard”文件名单。 原因三：堡垒机不支持操作系统的SSH算法。 解除“/etc/hosts.deny”文件限制 1. 管理员登录Linux主机。 2. 执行以下命令，查看“/var/log/secure”日志，确认主机拒绝云堡垒机IP记录。 cat /var/log/secure 执行以下命令，编辑“/etc/hosts.deny”文件，删除云堡垒机的IP。 3. vim /etc/hosts.deny 4. （可选）将CBH的IP加入白名单。 执行以下命令，编辑Linux主机的“/etc/hosts.allow”文件，允许所有IP地址登录，避免影响云堡垒机正常使用。 vim /etc/hosts.allow 解除HSS登录IP限制 1. 查看“/etc/sshd.deny.hostguard”文件。 1. 管理员登录Linux主机。 2. 执行以下命令，查询“/etc/sshd.deny.hostguard”文件。 cat /etc/sshd.deny.hostguard 3. 执行以下命令，打开“/etc/sshd.deny.hostguard”文件。 vim /etc/sshd.deny.hostguard 4. 确认“/etc/sshd.deny.hostguard”文件中是否有CBH内网IP记录。 2. 在HSS管理控制台，解除IP限制。 1. 登录HSS管理控制台。 2. 选择“入侵检测 > 事件管理”，进入事件管理页面。 3. 在“安全告警统计”模块，单击“已拦截IP”，展开已拦截IP列表。 4. 找到并勾选CBH内网IP所在行，单击列表左上角“解除拦截”。 3. （可选）将CBH加入IP白名单。 在HSS管理控制台，将CBH的IP添加“SSH登录IP白名单”，允许CBH登录到Linux主机。

本文主要介绍准备实例依赖资源。 概述 在创建Kafka实例前，您需要提前准备相关依赖资源，包括虚拟私有云（Virtual Private Cloud，以下简称VPC）、子网和安全组，并配置安全组策略。每个Kafka实例都部署在某个VPC中，并绑定具体的子网和安全组，通过这样的方式为Kafka提供一个隔离的、用户自主配置和管理的虚拟网络环境以及安全保护策略，提升实例的安全性。 如果需要通过公网访问Kafka实例，请提前准备弹性IP地址。 准备依赖资源 Kafka实例所需资源的具体要求和创建指导如下表所示。 表 Kafka实例依赖资源 准备资源 要求 创建指导 ::: VPC和子网 不同的Kafka实例可以重复使用相同的VPC和子网，也可以使用不同的VPC和子网，请根据实际需要进行配置。 在创建VPC和子网时应注意如下要求： 创建的VPC与Kafka实例在相同的区域。 子网开启IPv6后，Kafka实例支持IPv6功能。Kafka实例开启IPv6后，客户端可以使用IPv6地址连接实例。 创建VPC和子网的操作指导请参考《虚拟私有云 用户指南》的创建虚拟私有云和子网。 安全组 不同的Kafka实例可以重复使用相同的安全组，也可以使用不同的安全组，请根据实际需要进行配置。 在创建安全组时应注意如下要求： 创建安全组时，“模板”选择“自定义”。 使用Kafka实例前，添加下表中的安全组规则，其他规则请根据实际需要添加。 说明 创建安全组后，系统默认添加入方向“允许安全组内的弹性云主机彼此通信”规则和出方向“放通全部流量”规则，此时使用内网通过同一个VPC访问Kafka实例，无需添加下表中的规则。 创建安全组的操作指导请参考《虚拟私有云 用户指南》的创建安全组，为安全组添加规则的操作指导请参考《虚拟私有云 用户指南》的添加安全组规则。 弹性IP地址 在创建弹性IP地址时，应注意如下要求： 创建的弹性IP地址与Kafka实例在相同的区域。 弹性IP地址的数量必须与Kafka实例的代理个数相同。 Kafka控制台无法识别开启IPv6转换功能的弹性IP地址。 创建弹性IP地址的操作指导请参考《弹性IP 用户指南》的“申请和绑定弹性IP”。 表 安全组规则 方向 协议 类型 端口 源地址 说明 入方向 TCP IPv4 9094 0.0.0.0/0 通过公网访问Kafka实例（明文接入）。 入方向 TCP IPv4 9092 0.0.0.0/0 使用内网通过同一个VPC访问Kafka实例（明文接入）。 使用对等连接跨VPC访问Kafka实例（明文接入）。 入方向 TCP IPv6 9192 ::/0 通过IPv6地址访问Kafka实例（关闭SSL加密）（内网和公网都适用）。 入方向 TCP IPv4 9095 0.0.0.0/0 通过公网访问Kafka实例（密文接入）。 入方向 TCP IPv4 9093 0.0.0.0/0 使用内网通过同一个VPC访问Kafka实例（密文接入）。 使用对等连接跨VPC访问Kafka实例（密文接入）。 入方向 TCP IPv6 9193 ::/0 通过IPv6地址访问Kafka实例（开启SSL加密）（内网和公网都适用）。 入方向 TCP IPv4 9011 198.19.128.0/17 通过VPC终端节点实现跨VPC访问Kafka实例（密文接入和明文接入都适用）。 入方向 TCP IPv4 9011 0.0.0.0/0 使用DNAT访问Kafka实例（密文接入和明文接入都适用）。

步骤六：配置SNAT和DNAT功能 1. 单击步骤四创建的NAT网关，进入NAT网关详情页，下拉至SNAT页签，点击“添加SNAT规则”。 2. 在弹出页面选择配置： 源网段类型：手动输入自定义网段 源网段：线下IDC需要访问internet的主机地址段 弹性IP：选择步骤三创建的弹性IP 3. 单击“确定”，完成SNAT规则的添加。 4. 等待SNAT规则状态变为运行中，即完成SNAT规则配置。 5. 进入DNAT页签，点击“添加DNAT规则”。在弹出页面选择配置： 弹性IP：选择创建的第二个弹性IP 类型：手动输入自定义网址 内网地址：专线连接的线下主机地址 公网端口：１65535（部分资源池端口为11024，以控制台为准） 内网端口：云下应用端口 支持协议：TCP或UDP 6. 单击“确定”，等待DNAT规则状态变为运行中，即完成DNAT规则配置。 步骤七：验证连通性 配置完成，测试连通性。 从IDC的服务器ping外网地址如：ctyun.cn。 可以ping通，说明网络已经连通。

本文主要介绍事件总线EventBridge提供的开源CloudEvents SDK示例，以简化您的开发工作。 前提条件 若想使用开源CloudEvents SDK示例，需提前准备以下信息： 天翼云账号的aksk，确保该账号已授权事件总线的发布权限，详见主子账号和IAM权限管理。 需要发送事件的对应自定义事件总线，可在事件总线EventBridge管理控制台中查看事件总线列表。 发送SDK的接入点地址，可在事件总线EventBridge管理控制台中点击对应事件总线，进入概览页，在接入点一栏中得到。 确认事件格式。详见事件概述，若事件格式不符合CloudEvents 1.0协议，会导致事件发送失败。 若使用内网域名接入，请确保内网域名已添加访问端点，详见创建私网访问端点。 发送事件 使用CloudEvents SDK发送事件，请参见各语言版本的SDK示例。

同一地域的可用区内网互通，内网可实现数据传输，不需要额外购买网络产品，无额外花费。 不同地域可用区之间传输数据涉及购买弹性IP等产品，需要为额外购买的产品付费。

本节介绍如何通过KubeConfig文件连接集群联邦。 前提条件 使用kubectl连接集群联邦，需要先开通集群联邦，并保证集群联邦已开启且状态正常。 当前既支持公网又支持内网访问联邦控制面。如果使用公网访问，则需要在联邦控制台绑定EIP，如果使用内网访问，则需要在联邦控制面VPC里创建客户端机器。 已下载kubectl命令行工具并上传至客户端机器。kubectl下载地址请参见Kubernetes 版本发布页面。 使用步骤 1. 登录到分布式容器云平台页面联邦列表页面，点击列表右方的【接入配置】选项。 2. 在连接信息页面需要配置文件的类型，点击【下载】，将接入配置保存到本地。 3. 在执行机上安装和配置kubectl。 拷贝kubectl及其配置文件到上述所选的vpc和子网下的执行机的/home目录下。 登录到您的执行机，配置kubectl。 shell cd /home chmod +x kubectl mv f kubectl /usr/local/bin mkdir p $HOME/.kube mv f defaultYaml.yaml $HOME/.kube/config

本文介绍公网IP移出共享带宽操作指南。 使用说明 公网IPv4地址移出共享带宽后将以购买时选择的独享带宽计费方式进行计费。 IPv6地址加入共享带宽前如已绑定独享带宽，移出共享带宽后将以购买时选择的独享带宽计费方式进行计费，如未绑定独享带宽，则只允许内网访问。 共享带宽移出公网IPv4 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>公网访问>共享带宽】，选择对应的地域。 3. 选择需要操作的共享带宽实例，单击【移出公网IPv4】，在移出公网IPv4界面，按需要选择一个或多个IP，单击【移出】，即可移出成功，公网IPv4绑定实例将以独享带宽计费。 共享带宽移出公网IPv6 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>公网访问>共享带宽】，选择对应的地域。 3. 选择需要操作的共享带宽实例，单击【移出公网IPv6】，在移出公网IPv6界面，按需要选择一个或多个IP，单击【移出】，即可移出成功，IPv6地址未绑定独享带宽实例时只支持内网访问。

本节主要介绍TaurusDB数据库连接数满的排查思路 数据库连接数表示应用程序可以同时连接到数据库的数量，与您的应用程序或者网站能够支持的最大用户数没有关系。 数据库连接数过多，可能会导致业务侧无法正常连接，也会导致实例全量备份和增量备份失败，影响业务的正常使用。 排查思路 1. 请及时排查业务侧连接是否有效，优化实例连接，释放不必要的连接。 2. 规格偏小，请对数据库进行规格扩容。 3. 云监控服务目前可以监控数据库cpu、内存、磁盘、连接数等指标，并且设置告警策略，出现告警时可以提前识别风险。具体请参考《云监控服务用户指南》。 解决方法 1. 通过内网连接数据库实例。用内网连接，不会出现因为带宽等原因的拥塞。 具体请参见：通过公网连接TaurusDB实例 2. 通过控制台设置参数innodbadaptivehashindexoff ， 关闭自适应hash索引，减少锁等待。 参数修改具体请参见编辑参数模板。 3. 优化慢查询。

远程办公服务 根据产品计费订购情况进行展示零信任远程办公的企业服务状态，若远程办公服务为关闭，则无法进行内网连接，请谨慎操作。 连接器状态：为提供更稳定优质的服务，目前将根据企业使用连接器的情况自动设置连接器状态，具体可查看连接器状态设置。 服务区域：区分中国内地、全球，若服务区域为中国内地，则覆盖资源仅为中国内地资源，若为全球，根据订购情况区分采用高性能网络、普通线路进行提供不同国际线路资源。 客户端IP限制：鉴于安全监管要求，默认开启非中国大陆访问限制（即非中国大陆用户将无法使用VPN内网连接功能），如有此类业务场景需求，需提交工单申请放开限制。注意：若服务区域为中国大陆，未订购全球线路，则非中国大陆访问质量无法保障。 注意 服务到期、退订、流量用尽将自动将企业服务设为禁用。若计费模式为带宽，则带宽超量后进行限速。

本页介绍了文档数据库服务白名单分组的添加。 文档数据库服务产品支持对可用实例进行白名单分组进行添加，步骤如下： 1. 进入TeleDB数据库控制台。 2. 点击“DDS”>“实例管理”进入实例列表页面。 3. 点击实例状态是“运行中”实例的实例名称，进入到该实例详情页。 4. 点击选择“白名单管理”页，点击“添加白名单分组”按钮，填写分组名、IP类型、业务访问类型、允许访问IP名单等信息，点击“确定”按钮即可完成白名单分组添加。 说明 IPv4白名单支持IP段格式（如X.X.X.X/X）。 IPv6白名单支持IP段格式（xxxx:xxxx:xxxx:xxxx:xxxx:xxxx::/xx） 白名单组ip数量上限是60个。 设置为127.0.0.1表示禁止客户所有地址（含内网和公网地址）访问（默认）。 设置为0.0.0.0/0表示对访问的IP地址不作限制，不区分内外网。 业务访问类型当选择“内网访问”，则无法进行公网访问。 当使用公网访问实例，需要将公网IP添加至业务访问类型为“公网访问”的分组。