主机组是为了便于分类管理、提升配置多个主机日志采集的效率，对主机进行虚拟分组的单位。云日志服务支持通过一个接入配置来采集多台主机上的日志，您可以将这些主机加入到同一个主机组，并将该主机组关联至对应的接入配置中，方便您对多台主机日志进行采集。 当用户扩容主机时，只需在主机组中添加主机，该主机会自动继承关联的日志路径，无需为每台主机重复配置路径。 当用户修改多个主机采集路径时，只需修改对应的主机组关联的路径，无需为每台主机重复配置路径。 创建主机组（IP地址） 1. 登录云日志服务管理控制台，单击“主机管理”，进入主机管理页面，单击右上角“新建主机组”。 2. 在弹出的新建主机组页面，输入“主机组名称”，选择主机类型“Linux主机”或“Windows主机”。 3. 在列表中选择需要加入该主机组的主机，单击“确定”，完成主机组的创建。 可以通过主机名称或主机IP对列表进行过滤，也可以单击，并在弹出的搜索框中输入多个主机IP，进行批量搜索。 当列表中没有所需主机时，单击“安装ICAgent”，在弹出的页面安装指引完成主机安装。 创建主机组（自定义标识） 1. 在主机管理页面，单击右上角“新建主机组”。 2. 在弹出的新建主机组页面，输入“主机组名称”，选择主机组类型“自定义标识”。 说明 1. 自定义标识的主机组仅支持Linux类型的主机。 2. 单击“了解采集路径填写规则”，可查看详细的采集路径规则。 3. 单击，添加自定义标识。 说明 最多可添加10个自定义标识。 4. 完成后，单击“确定”。 5. 执行以下操作创建customtag文件。 1. 执行“cd /opt/cloud”命令，在cloud目录下，执行mkdir lts 创建lts目录。 2. 继续执行“chmod 750 lts”，修改lts目录权限。 3. 在lts目录下执行“touch customtag”，创建customtag文件 。 4. 继续执行“chmod 640 customtag;vi customtag”命令，修改customtag权限并打开该文件。 5. 按i进入insert模式，键入自定义标识后，按ESC键，“:wq!”保存退出即可。 说明 执行5之后，支持以下两种方式将主机加入到自定义标识主机组： 第一种（推荐使用）： Linux主机 在主机里/opt/cloud/lts目录下的customtag文件中，查看该主机的标识，然后将该主机的标识，添加为主机组自定义标识，就可以将主机加入到该主机组下。例如：在主机里/opt/cloud/lts目录下的customtag文件中，查看该主机的标识为test1，创建主机组的自定义标识为test1，即将该主机加入到主机组下。 第二种： Linux主机 1. 在主机里/opt/cloud/lts目录下的customtag文件中，添加主机组自定义标识，可以将主机加入到该主机组下。例如：主机组的自定义标识为test，则在customtag文件中填写test，就可以将主机加入到该主机组下。 2. 当添加了多个自定义标识时，在主机里/opt/cloud/lts目录下的customtag文件中，任意填写一个自定义标识，就可以将主机加入到该主机组下。

内网DNS支持修改内网域名的操作，本文帮助您快速熟悉内网域名的修改。 您可以根据实际需求对内网域名“描述”进行修改，或对“子域名递归解析代理”功能启停。 操作步骤 1. 已创建内网域名，并登录到内网DNS控制中心页面。 2. 在内网域名界面，单击域名所在行的“修改”按钮。 3. 出现修改域名弹窗，您可以在此对可以对“子域名递归解析代理”功能启停，“描述”进行修改。 4. 修改后单击“确定”完成内网域名修改。

本章节介绍如何使用云原生网关和应用服务网格实现全链路灰度发布 概述 在流量标签和全链路灰度功能说明中，我们可以看到使用TrafficLabel实现从Ingress网关到业务的全链路灰度能力。除了Ingress网关之外，天翼云还提供全托管式的云原生网关产品，具备更好的性能、扩展性和高可用能力，这里介绍如何使用我们的云原生网关作为访问入口的场景下实现全链路灰度。 服务架构 云原生网关作为微服务的访问入口，支持把云容器引擎作为服务发现来源。我们在云容器引擎部署base和test两个版本的微服务，通过云原生网关的标签路由能力实现对微服务入口应用app1的路由调度，通过流量标签实现微服务链路中的路由调度。这里我们还是使用appversiontag头部实现全链路流量控制，下面介绍具体操作步骤（应用部署参考全链路灰度部分，这里不再赘述）。 云原生网关服务来源配置 首先在当前服务网格同VPC下开通一个云原生网关实例，开通完成后，进入云原生网关实例页面，选择服务来源菜单> 添加服务来源，选择云容器引擎，在下拉列表中选择开通了服务网格并部署了应用的云容器引擎集群，如下图：

前提条件：已申请并开通专属云服务、专属云容器引擎服务 操作步骤： 1、登录天翼云控制中心，选择已开通的专属云节点； 2、单击控制台上方右侧资源节点下拉列表，查看您已开通的专属云情况；如下图所示，目前在贵州节点下已开通一个名为“Dec001”的专属云； 3、单击“Dec001”节点，进入专属云控制台； 4、单击云容器引擎CCE，进入专属云容器引擎控制台； 5、在专属云中的云容器引擎控制台，您可以开通集群、节点、部署应用等，功能与公有云中的云容器引擎一致，具体操作指导请参考云容器引擎

连接类型 网络实例 添加连接 查看连接 虚拟私有云（VPC） 虚拟私有云（VPC） 全域接入网关（DGW） 云专线DC的全域接入网关。

本文介绍内外网隔离的适用场景和配置方法。 基本概念 内网：即局域网，是指在某一区域内由多台计算机互联成的计算机组。局域网内的IP是可以自定义分配管理，局域网是封闭型的，仅局域网内进行互联互通。 外网：即广域网，又称公网。是连接不同地区局域网或城域网计算机通信的远程网。公网的IP是固定分配的，一般不会随意变更，且公网IP是需要进行相关报备。 内外网隔离指的是将内部网络（内网）与外部网络（外网）物理或逻辑上分开，以防止未经授权的访问和数据泄露。通过内外网隔离，企业组织可以显著提高其安全性，因为即使外网遭受攻击，攻击者也难以渗透到内网，从而保护了组织的核心资产和数据。零信任模型强调的是一种持续的、动态的安全策略，它要求组织不断地评估和改进其安全措施，以应对不断变化的威胁环境。 功能说明 可针对常用的互联网域名、ip设定黑白名单进行互联网行为控制，主要差异如下： 互联网流量白名单设置：适用于重保、企业安全要求等级较高的场景，需要牺牲一定的客户体验。设置需访问、且安全的域名或IP为白名单，连接内网时仅放行白名单内的互联网流量，其他均不可访问；断开内网才可访问互联网流量。 互联网流量黑名单设置：仅设置已识别到的攻击域名或IP，访问该域名或IP时进行阻断，比如企业内部已识别该域名为钓鱼网站，则可直接配置禁用。

您可以根据需求将智能网关与天翼云SDWAN实例或者云专线进行解绑。 操作场景 用户将智能网关与天翼云SDWAN实例或者专线解绑。 解绑后，用户线下分支机构将无法通过智能网关实例接入天翼云。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成SDWAN实例、智能网关实例和云专线的创建，且完成绑定操作。 如果需要解绑SDWAN，请先解绑云专线。 操作步骤 解绑云专线 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本节我们选择华东1。 3. 依次选择“网络”，单击“天翼云SDWAN”；进入天翼云SDWAN总览页面。 4. 选择“智能网关”，单击目标智能网关“操作”列的“解绑网络实例”。 5. 在解绑网络实例页面，网络类型选择“专线”。 6. 确认无误后，单击“确定”，完成解绑操作。 解绑SDWAN 1. 在天翼云SDWAN总览页面，选择“智能网关”，单击目标智能网关“操作”列的“解绑网络实例”。 2. 在解绑网络实例页面，网络类型选择“SDWAN”。 3. 确认无误后，单击“确定”，完成解绑操作。

本文带您了解内网DNS的产品架构。 内网DNS，可用于创建仅能在您的VPC（支持多个VPC）内访问的域名或子域名。使用内网DNS的一般步骤如下： 1. 新建一个内网域名，例如：example.com。 2. 添加需要管理的记录集，比如：www.example.com。 3. 将域名与需要访问的VPC关联。 完成相应配置后，只有与之关联的VPC内才能使用您设置的内网DNS解析记录访问www.example.com。其他环境无法访问该域名（或仅能通过公网解析）。内网DNS提供了内部域名解析机制，确保只有经过授权的VPC能够正确解析这些域名或子域名，从而实现更加安全和可控的访问。 实现原理 内网DNS利用天翼云虚拟私有云VPC的隔离特性（详细信息请参考虚拟私有云），对您的内网域名执行隧道隔离。天翼云的内网DNS采用严格的验证机制，确保您的内网域名在天翼云网络内具有唯一性，只有您本人能够对其进行管理，保障了内网域名的安全性和独特性。 逻辑架构 内网域名（例如example.com）的逻辑架构允许其关联一个或多个VPC。一旦与VPC建立关联，内网域名中的解析记录将在相应的VPC内可被访问和解析，使得特定VPC内的资源能够有效地访问与之关联的内网域名记录。

专属云中的云容器引擎 场景特点：专属云容器引擎在天翼公有云中为企业用户提供物理隔离的资源和服务专属云空间。租户独占计算资源和存储资源，并使用天翼云高可靠的云网络，满足租户应用系统的高可靠、高性能和高安全等要求，支撑企业关键应用，减轻企业运维负担 场景优势： 专属隔离 租户在专属云中独享计算资源、存储资源和容器集群，与公有云其它租户的资源物理隔离，满足特殊行业核心数据隔离合规等要求 安全可靠 资源独占零抖动，服务专享高安全，可支持云上云下双中心、多点容灾备份 灵活组合 专属云中的云容器引擎支持与数据库、应用平台等服务实例对接，可灵活搭配公有云服务，实现资源弹性扩容

步骤三：目标集群创建与纳管 在这个阶段，您将评估目标集群所需规格信息并创建对应的天翼云CCE集群；然后将该目标集群关联到分布式容器云平台CCE One注册集群； 云容器引擎允许用户对集群资源进行个性化选取，以精准匹配其多样化的业务诉求。如下所示的表中，列举了集群的指标参数，并提供了参考规划选择；用户应依据自身业务的确切需求，对相关设置做出合理调配，其间，我们建议尽可能保持与原集群性能配置的一致性水平。 主要指标参数 指标参数说明 本示例规划 kubernetes版本 1.27.8 1.29.3 1.29.3 网络插件 cubecni：cubecni 是云容器引擎自研的网络插件，支持基于 Kubernetes 标准的网络策略来定义容器间的访问策略 calico：使用社区 calico CNI 插件的IP模式 cubecni apiserver访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。规格选择请见：了解ELB实例规格 标准型I 控制节点数 1：单控制节点，无高可用能力，不建议在生产环境使用 3：基本的高可用能力 5：更多冗余的高可用能力 3 节点规格 分为控制节点规格和工作节点规格，如何选择可以参考：集群规格推荐规划 通用型4C8G 工作节点操作系统 公有镜像：ctyunos23.01 私有镜像：用户自定义镜像 ctyunos23.01 在目标CCE集群创建好后，需要进入天翼云分布式容器云平台CCE One控制台，将目标CCE集群关联到CCE One的注册集群以便支持后期的纳管与联邦调度能力；

云主机如果存在快照，云主机可以删除吗？ 云主机快照的恢复数据与申请云主机的功能依赖云主机的数据，如果云主机已经创建快照且快照没有删除，则不允许删除此云主机，控制台删除按钮为置灰状态。特别的，如果云主机绑定了快照策略但是无快照的情况下，云主机是可以删除的。 “删除”按钮是什么意思？ 计费模式为按量计费的云主机可见“删除”按钮，“删除”云主机，即删除云主机的资源与数据，且无法找回，同时停止计费。 删除云主机的操作步骤如下。 1. 登录云主机控制台。 2. 选择按量计费的云主机，操作列点击【更多】。 3. 点击【删除】，并确认删除。 说明 包年包月计费模式的云主机，请于操作列表的【更多】中执行【退订】操作。 如何重启弹性云主机 前提：仅状态处于“运行中”的云主机可以执行重启操作。 1. 登录控制中心，选择云主机所在区域。 2. 点击【计算】【弹性云主机】进入云主机控制台。 3. 选择需要重启的云主机实例，点击操作列的【更多】。 4. 点击【重启】，并确认重启。

服务名称 交互功能 虚拟私有云（Virtual Private Cloud, VPC） 您通过企业交换机可以建立云下IDC和云上VPC之间的二层网络。 云专线（Direct Connect, DC） 通过云专线在云下IDC和云上VPC之间实现三层网络通信，基于三层网络，企业交换机建立云下和云上之间的二层网络。 虚拟专用网络（Virtual Private Network, VPN） 通过VPN在云下IDC和云上VPC之间实现三层网络通信，基于三层网络，企业交换机建立云下和云上之间的二层网络。 统一身份认证服务（Identity and Access Management, IAM） 针对云上的企业交换机资源，您可以通过IAM进行权限管理，即为不同的用户设置不同的使用权限，权限管理有助于实现资源的安全管控。

配置 说明 云企业路由器 选择云企业路由器名称。 本文选择华北2创建的云企业路由器。 资源归属 本文选择本账号。 关联路由表 选择云企业路由器的路由表。 本文选择默认路由表。 实例类型 选择云企业路由器加载的实例类型。 本文选择云专线。 网络类型 选择云专线的专线网关名称。 本文选择专线网关1。 权重 选择主备的权重，权重越小，优先级越高。 本文选择50。 链路冗余 选择云专线的冗余链路。 本文选择已创建的冗余组。 高级配置（自动路由学习） 自动传播网络实例系统路由至云企业路由器路由表（默认开启）。 本文选择开启。 高级配置（自动路由同步） 自动同步本侧云企业路由器关联路由表中的路由 （默认开启）。 本文选择开启。

配置 说明 云企业路由器 选择云企业路由器名称。 本文选择华北2创建的云企业路由器。 资源归属 本文选择本账号。 关联路由表 选择云企业路由器的路由表。 本文选择默认路由表。 实例类型 选择云企业路由器加载的实例类型。 本文选择云专线。 网络类型 选择云专线的专线网关名称。 本文选择专线网关1。 权重 选择负载的权重，权重越小，优先级越高。 本文选择50。 链路冗余 选择云专线的冗余链路。 本文选择已创建的冗余组。 高级配置（自动路由学习） 自动传播网络实例系统路由至云企业路由器路由表（默认开启）。 本文选择开启。 高级配置（自动路由同步） 自动同步本侧云企业路由器关联路由表中的路由 （默认开启）。 本文选择开启。

配置 说明 云企业路由器 选择云企业路由器名称。 本文选择华北2创建的云企业路由器。 资源归属 本文选择本账号。 关联路由表 选择云企业路由器的路由表。 本文选择默认路由表。 实例类型 选择云企业路由器加载的实例类型。 本文选择云专线。 网络类型 选择云专线的专线网关名称。 本文选择专线网关1。 权重 选择负载的权重，权重越小，优先级越高。 本文选择50。 链路冗余 选择云专线的冗余链路。 本文选择已创建的冗余组。 高级配置（自动路由学习） 自动传播网络实例系统路由至云企业路由器路由表（默认开启）。 本文选择开启。 高级配置（自动路由同步） 自动同步本侧云企业路由器关联路由表中的路由 （默认开启）。 本文选择开启。

主要指标参数 指标参数说明 本示例规划 kubernetes版本 1.27.8 1.29.3 1.29.3 网络插件 cubecni：cubecni 是云容器引擎自研的网络插件，支持基于 Kubernetes 标准的网络策略来定义容器间的访问策略 calico：使用社区 calico CNI 插件的IP模式 cubecni apiserver访问 API Server的访问需要依赖ELB实例，您可根据需要选择合适的ELB规格，系统将根据该规格创建一个私网ELB实例。规格选择请见： 标准型I 控制节点数 1：单控制节点，无高可用能力，不建议在生产环境使用 3：基本的高可用能力 5：更多冗余的高可用能力 3 节点规格 分为控制节点规格和工作节点规格，如何选择可以参考： 通用型4C8G 工作节点操作系统 公有镜像：ctyunos23.01 私有镜像：用户自定义镜像 ctyunos23.01

参数 说明 取值样例 名称 SSL服务端的名称。 SSLserver1 区域 VPN网关所在的资源池。 华东1 VPN网关 选择需要使用的VPN网关。 vpngatewaya5f1ssl 虚拟私有云 选择要使用的VPC作为本端资源。 vpca7f3 本端子网 选择本端需要连接的子网网段信息（可以复选，最多5个网段）。 subnetyl(192.168.0.0/24) 客户端地址池 配置客户端地址池范围。 10.0.0.0/24 协议 SSL VPN使用的协议。 默认：TCP TCP 启用UDP 是否启用UDP协议栈以提升转发效率。 默认：关闭 启用 端口 SSL VPN使用的端口，端口可配置范围：1024～4499，4501~49151。 默认：1194 1194 加密算法 SSL VPN使用的加密算法。 默认：AES256GCM AES256GCM 是否压缩 是否对传输数据进行压缩处理。 默认：否 否 自定义DNS SSL VPN需要配置的自定义DNS地址。 10.10.1.1 启用双因子认证 · 启用双因子认证，客户端登录不仅需要证书，同时需要输入密码。· 取消双因子认证，登录端登录只需要证书，无需密码。 开启

本节介绍网络的用户指南：节点维度的网络配置。 使用场景 Cubecni网络插件会为节点额外添加网卡，用来构建容器网络。这些网卡，如eth1，默认使用配置项cubecniconfig配置的Pod子网和安全组，其中Pod子网为订购时选择的子网，安全组为订购时委托自动创建或用户选择的安全组。 可通过创建新的配置项，为特定节点或节点池配置单独的Pod子网和安全组，实现节点维度的容器网络配置。 如下场景，为特定节点配置独立的子网和安全组，以实现节点C的Pod独享NAT出口IP和带宽： 使用限制 1. 仅新建 的网卡会使用新配置的Pod子网和安全组，已创建的ENI会继续使用原有配置。若需配置节点维度Pod子网和安全组，建议为新节点 或节点池配置; 2. 该特性要求Cubecni版本不低于v1.1.6，且集群已配置资源委托。 操作步骤 1. 在命名空间kubesystem中创建名称为foo的ConfigMap。 a. 登录云容器引擎控制台，左侧导航栏选择集群； b. 在集群列表页面，单击目标集群名称，进入集群管理页面； c. 左侧导航栏，选择配置管理 > 配置项； d. 在配置项页面，命名空间选择kubesystem，单击创建配置项; e. 创建页面，配置项名称设置为foo，单击添加配置项，变量名设置为nodeconfig.json，变量值填入以下内容，将iaassubnets和securitygroups参数替换为实际值： plaintext { "action": "override", "iaassubnets": ["subnetjin7fmxxxx"], "securitygroups": ["sg6hxh19xxxx"] } 参数名 说明 action 值固定为override，默认为override，即子网/安全组配置会覆盖cubecniconfig的配置 iaassubnets 值为VPC子网ID列表。若配置多个子网，优先使用可用IP最多的子网；如无需修改，则无需配置iaassubnets，或值配置为null securitygroups 值为安全组ID列表。用于配置新建的Pod共享ENI，最多可配置5个；若无需修改，则无需配置securitygroups，或值配置为null 2. 节点配置标签 新建节点配置标签 创建节点池时添加节点标签，键设置为cubecniconfig，值设置为foo。新建节点池，详见节点池管理。 注意 节点池新增节点会使用foo指定的配置，不会更新存量节点已创建的网卡的安全组。 已有节点配置标签 a. 集群管理页面左侧导航栏，选择节点>标签 ，点击右侧对应节点的设置标签。 b. 在设置节点标签页面，选择自定义标签 ，点击添加标签。 c. 标签名设置为cubecniconfig，标签值值设置为foo，点击确认。 添加标签后，需重建cubecni插件： a. 集群管理页面左侧导航栏，选工作负载>守护进程。 b. 命名空间 选择kubesystem ，找到cubecni服务，点击右侧的重新部署。 c. 选择滚动重启 或快速重启 ，点击确认，当运行/期望Pod数量相等，说明重启成功。 注意 对于存量节点，不会更新已创建的网卡的安全组。 3. 检查配置是否生效 登录弹性云主机控制台，进入云主机实例详情页，可见弹性网卡配置的子网和安全组信息。

NAT流量防护规则 1. 开启NAT流量防护，请参见“开启NAT网关流量防护”。 2. 在左侧导航栏中，选择“访问控制> 访问策略管理”，进入“访问策略管理”页面。 3. 添加新的防护规则。 单击“添加”，在弹出的“添加防护规则”中，填写新的防护信息。 DNAT场景填写规则请参见下表 参数名称 参数说明 规则类型 选择NAT规则： 防护NAT网关的流量，支持配置私网IP。 说明 NAT规则需满足： “专业版”防火墙。 已配置VPC边界防火墙。 名称 自定义安全策略规则的名称。 方向 选择“DNAT”。 源 设置会话发起方。 IP地址：填写私网IP地址，支持设置单个IP地址、多个连续IP地址、地址段。 单个IP地址，如：192.168.10.5 多个连续IP地址，中间使用“”隔开，如：192.168.0.2192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 IP地址组：支持多个私网IP地址的集合，添加IP地址组请参见“添加自定义IP地址组和IP地址”。 地域：支持地理位置防护，通过指定大洲、国家、地区配置防护规则。 Any：任意源地址。 目的 设置会话接收方。 IP地址：填写私网IP地址，支持设置单个IP地址、多个连续IP地址、地址段。 单个IP地址，如：192.168.10.5 多个连续IP地址，中间使用“”隔开，如：192.168.0.2192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 IP地址组：支持多个私网IP地址的集合，添加IP地址组请参见《云防火墙用户指南》中《添加IP地址组》。 Any：任意目的地址。 服务 服务：设置协议类型、源端口和目的端口。 协议类型：支持选择TCP、UDP、ICMP。 源/目的端口：“协议类型”选择“TCP”或“UDP”时，需要设置端口号。 说明 如您需设置该IP地址的全部端口，可配置“端口”为“165535”。 如您需设置某个端口，可填写为单个端口。例如设置22端口的访问，则配置“端口”为“22”。 如您需设置某个范围的端口，可填写为连续端口组，中间使用“”隔开。例如设置80443端口的访问，则配置“端口”为“80443”。 服务组：支持多个服务（协议、源端口、目的端口）的集合，添加自定义服务组请参见“添加自定义服务组和服务”，预定义服务组请参见“查看预定义服务组”。 Any：任意协议类型和端口号。 防护动作 设置流量经过防火墙时的处理动作。 放行：防火墙允许此流量转发。 阻断：防火墙禁止此流量转发。 启用状态 设置该策略是否立即启用。 ：表示立即启用，规则生效。 ：表示立即关闭，规则不生效。 策略优先级 设置该策略的优先级： 置顶：表示将该策略的优先级设置为最高。 移动至选中规则后：表示将该策略优先级设置到某一规则后。 说明 设置后，优先级数字越小，策略的优先级越高。 添加的第一条防护规则默认优先级是1，无需选择“策略优先级”。 时间计划管理 （可选）单击“时间计划管理”设置规则的生效时间段，选择已设置的时间计划或“新增时间计划”。 配置长连接 当前防护规则仅配置一个“服务”且“协议类型”选择“TCP”或“UDP”时，可配置业务会话老化时间。 是：设置长连接时长。 否：保留默认时长，各协议规则默认支持的连接时长如下： TCP协议：1800s。 UDP协议：60s。 说明 最大支持50条规则设置长连接。 长连接时长 “配置长连接”选择“是”时，需要配置此参数。 设置长连接时长。输入“时”、“分”、“秒”。 说明 支持时长设置为1秒~1000天。 标签 （可选）用于标识规则，可通过标签实现对安全策略的分类和搜索。 描述 （可选）标识该规则的使用场景和用途，以便后续运维时快速区分不同规则的作用。 SNAT场景填写规则请参见下表 参数名称 参数说明 规则类型 选择NAT规则： 防护NAT网关的流量，支持配置私网IP。 说明 NAT规则需满足： “专业版”防火墙。 已配置VPC边界防火墙。 名称 自定义安全策略规则的名称。 方向 选择“SNAT”。 源 设置会话发起方。 IP地址：填写私网IP地址，支持设置单个IP地址、多个连续IP地址、地址段。 单个IP地址，如：192.168.10.5 多个连续IP地址，中间使用“”隔开，如：192.168.0.2192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 IP地址组：支持多个私网IP地址的集合，添加IP地址组请参见“添加自定义IP地址组和IP地址”。 地域：支持地理位置防护，通过指定大洲、国家、地区配置防护规则。 Any：任意源地址。 目的 设置会话接收方。 IP地址：填写私网IP地址，支持设置单个IP地址、多个连续IP地址、地址段。 单个IP地址，如：192.168.10.5 多个连续IP地址，中间使用“”隔开，如：192.168.0.2192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 IP地址组：支持多个私网IP地址的集合，添加IP地址组请参见“添加自定义IP地址组和IP地址”。 地域：支持地理位置防护，通过指定大洲、国家、地区配置防护规则。 Any：任意目的地址。 服务 服务：设置协议类型、源端口和目的端口。 协议类型：支持选择TCP、UDP、ICMP。 源/目的端口：“协议类型”选择“TCP”或“UDP”时，需要设置端口号。 说明 如您需设置该IP地址的全部端口，可配置“端口”为“165535”。 如您需设置某个端口，可填写为单个端口。例如设置22端口的访问，则配置“端口”为“22”。 如您需设置某个范围的端口，可填写为连续端口组，中间使用“”隔开。例如设置80443端口的访问，则配置“端口”为“80443”。 服务组：支持多个服务（协议、源端口、目的端口）的集合，添加自定义服务组请参见“添加自定义服务组和服务”，预定义服务组请参见“查看预定义服务组”。 Any：任意协议类型和端口号。 防护动作 设置流量经过防火墙时的处理动作。 放行：防火墙允许此流量转发。 阻断：防火墙禁止此流量转发。 启用状态 设置该策略是否立即启用。 ：表示立即启用，规则生效。 ：表示立即关闭，规则不生效。 策略优先级 设置该策略的优先级： 置顶：表示将该策略的优先级设置为最高。 移动至选中规则后：表示将该策略优先级设置到某一规则后。 说明 设置后，优先级数字越小，策略的优先级越高。 添加的第一条防护规则默认优先级是1，无需选择“策略优先级”。 配置长连接 当前防护规则仅配置一个“服务”且“协议类型”选择“TCP”或“UDP”时，可配置业务会话老化时间。 是：设置长连接时长。 否：保留默认时长，各协议规则默认支持的连接时长如下： TCP协议：1800s。 UDP协议：60s。 说明 最大支持50条规则设置长连接。 长连接时长 “配置长连接”选择“是”时，需要配置此参数。 设置长连接时长。输入“时”、“分”、“秒”。 说明 支持时长设置为1秒~1000天。 标签 （可选）用于标识规则，可通过标签实现对安全策略的分类和搜索。 描述 （可选）标识该规则的使用场景和用途，以便后续运维时快速区分不同规则的作用。 4. 单击“确认”，完成配置防护规则。 说明 访问控制策略默认状态为放行。

本文汇总了使用云主机备份产品过程中相关的恢复类问题。 使用备份恢复数据时，需要停止云主机吗？ 需要。 使用云主机备份恢复数据步骤如下： 1. 首先需要确保待恢复数据的云主机处于关机状态。 2. 使用备份恢复云主机。 3. 恢复后，再启动云主机即可使用。 云主机变更后能否使用备份恢复数据？ 如果您的云主机备份后进行变更操作，还可以使用原有的备份恢复数据。建议您在变更后重新做备份。 如果备份后用户添加了云硬盘，再使用备份进行恢复，则添加的云硬盘数据不会改变。如果备份后用户删除了云硬盘，再使用备份进行恢复，则删除的云硬盘不会被恢复。 云主机切换操作系统后不支持恢复数据至原云主机。 使用备份恢复云主机后，密码被随机如何处理？ 如果使用备份恢复云主机后，云主机密码被随机修改，用户不知道新密码，可以使用密码重置功能，用户可以不需要输入原密码即可设置一个新的密码，重置密码后即可使用新密码登录云主机。 请参考在控制台重置弹性云主机密码完成密码重置。 如何将原云主机数据恢复至新创建的云主机？ 通过云主机备份将原云主机数据恢复至新创建的云主机，可以参考以下内容按步骤实现： 1. 在系统首页，选择“存储>云主机备份”，前往云主机备份控制台创建存储库。 2. 选择指定存储库，创建云主机备份。 3. 使用备份申请云主机。

配置 说明 云企业路由器 选择云企业路由器名称。 本文选择华北2创建的云企业路由器。 资源归属 本文选择本账号。 关联路由表 选择云企业路由器的路由表。 本文选择默认路由表。 实例类型 选择云企业路由器加载的实例类型。 本文选择云专线。 网络类型 选择云专线的专线网关名称。 本文选择已创建的华北2专线网关。 权重 选择负载、主备的权重。 本文选择50，默认配置。 链路冗余 选择云专线的冗余链路。 本文选择关闭。 高级配置（自动路由学习） 自动传播网络实例系统路由至云企业路由器路由表（默认开启）。 本文选择开启。 高级配置（自动路由同步） 自动同步本侧云企业路由器关联路由表中的路由 （默认开启）。 本文选择开启。

企业交换机建立二层通信网络时，依赖云下IDC和云上VPC之间的三层网络。本文为您介绍使用云专线或VPN连通三层网络的操作方法。 前提条件 使用企业交换机之前，需要规划云下和云上所需的资源，资源规划请参考企业交换机工作原理。 操作步骤 1. 创建云专线或者VPN，并进行配置，打通云下IDC和云上VPC的三层网络。 具体请参见《云专线用户指南》或《虚拟专用网络用户指南》。 2. 提交工单给云专线或VPN服务，确认您的云专线或VPN是否支持和企业交换机对接（VXLAN），若不支持,需要联系客服技术工程师开通云专线或VPN服务的对接企业交换机能力。

本节介绍了通过云主机备份创建整机镜像的流程等内容。 操作场景 使用已有的云主机备份制作整机镜像，可用于将云主机备份创建为新的弹性云主机。 说明： 当前云主机备份逐渐被云服务备份取代，若界面未显示云主机备份选项，表示所在区域已不支持云主机备份，请使用其他方式创建整机镜像。 背景知识 使用云主机备份制作整机镜像时，整机镜像本身不收费，仅收取镜像关联的云主机备份费用，详细的服务资费标准请参见“云主机备份”的内容。 删除整机镜像时，可以选择是否删除关联的云主机备份。如果选择不删除，云主机备份会继续收费。 选择整机镜像切换云主机操作系统时，仅能恢复整机镜像的系统盘数据。如果希望恢复或者迁移整机镜像中的数据盘数据，必须通过整机镜像创建新的云主机。 约束与限制 创建整机镜像时，请确保创建该云主机备份所属的弹性云主机已完成相关配置，否则可能导致整机镜像创建云主机失败。 详情请参见“创建私有镜像前云主机需要完成哪些初始化配置？”章节。 在云主机关机状态下，制作整机镜像的过程中，用户不能启动云主机。 使用云主机备份创建整机镜像时，不允许云主机备份存在共享卷。 使用云主机备份创建整机镜像时，云主机备份必须是可用状态，且每个云主机备份只能创建一个整机镜像。 整机镜像不支持如下操作：不允许导出、区域内复制。

服务 维度 监控事件 云主机备份 云主机 云主机备份新建失败 云主机备份 云主机 云主机备份删除失败 云主机备份 云主机 云主机备份恢复失败

本章节列举了使用云主机备份过程中的备份类问题,以及相对应的解答。 云主机备份支持对弹性云主机中所有云硬盘进行备份吗？ 支持。云主机备份可以通过创建备份策略并绑定云主机，将云主机中的所有云硬盘作为整体进行备份和恢复，不支持对云主机中的部分云硬盘进行备份和恢复。 备份云主机需要多长时间？ 云主机备份首次为全量备份，后续均为增量备份。因此第一次备份时间较长，后续备份时间较短。例如：备份一个已有数据为100GB的云主机，首次全量备份需要30分钟左右；假设下次备份前新产生或变化数据量为15GB时，增量备份需要6分钟左右。 云主机能否跨区域备份？ 当前只支持区域（Region）内备份和恢复，不支持跨区域（Region）备份和恢复。跨区域备份能力后续在云服务备份产品中计划上线，请您关注。 云主机备份有配额限制吗？ 云主机备份有配额限制，且受云硬盘备份的配额限制影响。当云硬盘备份的配额不足时，无法进行云主机备份。 限定配额仅仅是为了防止资源滥用，如您有更多需求，可以提工单申请扩大云硬盘备份配额和云主机备份配额。 云主机备份时，需要停止弹性云主机吗？ 不需要，云主机备份支持对正在使用的云主机进行备份。在云主机正常运行的情况下，除了将数据写入云硬盘外，还有一部分最新数据保存在内存中作为缓存数据。在做备份时，内存缓存数据不会自动写入云硬盘，会产生数据一致性问题。 因此，为了尽量保证备份数据的完整性，最好选择凌晨且云硬盘没有写入数据的时间进行云主机备份；或者在进行云主机备份前，暂停所有数据的写操作，且将应用系统停止，再进行备份。如果对备份数据完整性要求极高，则可以将云主机停机（实现缓存数据写入云硬盘），进行离线的云主机备份。

本节介绍了弹性云主机资源管理与标签的相关问题。 如何创建、删除标签，以及按标签查询云主机？ 云主机创建标签 1. 登录管理控制台。 2. 选择云主机所在的区域。 3. 选择“计算 > 弹性云主机”。 4. 选择需要操作的云主机，并单击云主机名称。 5. 系统进入云主机详情页面。 6. 选择“标签 > 添加标签” 。 7. 填写标签键以及对应的标签值，单击“确定”，完成标签的添加。 按标签查询云主机 1. 登录管理控制台。 2. 选择云主机所在的区域。 3. 在云主机列表页选择按标签搜索。 4. 选择需要搜索的标签键以及对应的标签值，单击“确认”。 云主机删除标签 1. 登录管理控制台。 2. 选择云主机所在的区域。 3. 选择“弹性云主机”。 4. 选择需要操作的云主机，单击云主机名称，进入云主机详情页面。 5. 单击“标签”，选择需要删除的标签，单击“删除”。

本文主要介绍如何扩容本地盘。 操作场景 对于磁盘增强型弹性云主机，可使用本地盘和云硬盘两类磁盘存储数据。本地盘常用于存放用户的业务数据，磁盘吞吐量更高。 由于磁盘增强型弹性云主机不支持规格变更，因此，当本地盘容量不足时，需要通过创建更大规格磁盘增强型弹性云主机的方式进行扩容处理，原磁盘增强型弹性云主机中保存的数据可以通过云硬盘进行迁移。 操作步骤 1. 根据需要转移的数据量大小，创建云硬盘。 2. 挂载云硬盘。将步骤1中创建的云硬盘挂载至磁盘增强型弹性云主机。 3. 备份本地盘数据。将本地盘中需要转移的数据，备份至当前规格的磁盘增强型弹性云主机的云硬盘中。 4. 卸载云硬盘。 1. 在弹性云主机页面，选择该规格的磁盘增强型弹性云主机，确认云主机为“关机”状态。如果云主机为“开机”状态，您可单击“更多 > 关机”将云主机关机。 2. 单击该磁盘增强型弹性云主机的名称，查看详情。 3. 选择“云硬盘”页签，并单击数据盘所在行的“卸载”，卸载该云硬盘。 5. 准备一台大规格的磁盘增强型弹性云主机。该云主机的规格大于原云主机规格，且其本地盘容量能够满足用户的需求。 6. 挂载云硬盘至大规格的磁盘增强型弹性云主机。在弹性云主机页面，单击步骤5中准备的弹性云主机名称，展开详情。 7. 选择“云硬盘”页签，并单击“挂载磁盘”。在“挂载磁盘”对话框中，选择步骤4中卸载的云硬盘，并设置挂载点。 8. 迁移云硬盘数据。将步骤7中云硬盘的数据，迁移至大规格磁盘增强型弹性云主机的本地盘中。

本章节主要介绍准备工作 为集群开通Istio之前，您需要完成如下的准备工作。 创建虚拟私有云 虚拟私有云（Virtual Private Cloud，简称VPC）提供一个隔离的、用户自主配置和管理的虚拟网络环境，可以提升资源的安全性，简化用户的网络部署。 步骤 1 登录虚拟私有云VPC控制台。 步骤 2 单击右上角“创建虚拟私有云”。 步骤 3 根据界面提示完成参数填写，单击“立即创建”。 创建密钥对 新建一个密钥对，用于远程登录节点时的身份认证。 步骤 1 登录弹性云主机ECS控制台。 步骤 2 选择左侧导航中的“密钥对”，单击右上角“创建密钥对”。 步骤 3 输入密钥对名称后，单击“确定”。 步骤 4 您的浏览器会提示您下载或自动下载私钥文件。文件名是您为密钥对指定的名称，文件扩展名为“.pem”。请将私钥文件保存在安全位置。然后在系统弹出的提示框中单击“确定”。 说明 为保证安全，私钥只能下载一次，请妥善保管，否则将无法登录节点。 创建负载均衡 弹性负载均衡将作为服务网格对外访问入口，被服务网格管理的应用流量，均从此实例进入并分发到后端服务。 步骤 1 登录弹性负载均衡ELB控制台。 步骤 2 单击右上角的“创建弹性负载均衡”。 步骤 3 所属VPC、子网请选择创建虚拟私有云中创建的虚拟私有云和子网，其他参数根据界面提示填写，单击“立即创建”。

本节介绍了查看弹性云主机详细信息的操作场景、操作步骤。 操作场景 在您申请了弹性云主机后，可以通过管理控制台查看和管理您的弹性云主机。本节介绍如何查看弹性云主机的详细配置，包括弹性云主机名称、镜像信息、系统盘、数据盘、虚拟私有云、网卡、安全组、弹性IP等信息。 如需查看弹性云主机的私有IP地址，请直接在弹性云主机列表页进行查看。 操作步骤 1. 登录管理控制台。 2. 选择“计算 > 弹性云主机”。系统进入弹性云主机列表页，您可以在本页面查看您已创建的弹性云主机，以及弹性云主机的私有IP地址等基本信息。 3. 在弹性云主机列表中的上方，输入弹性云主机名、IP地址或ID，并单击进行搜索。 4. 单击待查询弹性云主机的名称。系统跳转至该弹性云主机详情页面。 5. 查看弹性云主机的详细信息。可以选择“云硬盘/网卡/安全组/弹性IP/监控”页签，更改弹性云主机安全组、为弹性云主机添加网卡、绑定弹性IP等。

本章节主要向您介绍路由表与路由的定义。 路由表 路由表由一系列路由规则组成，用于控制VPC内出入子网的流量走向。VPC中的每个子网都必须关联一个路由表，一个子网只能关联一个路由表，但一个路由表可以同时关联至多个子网。 路由表支持添加IPv4和IPv6路由。 默认路由表：用户创建VPC时，系统会自动为其生成一个默认路由表，创建子网后，子网会自动关联默认路由表。默认路由表可以确保VPC内，不同子网的内网网络互通。 您可以在默认路由表中添加、删除和修改路由规则，但不能删除默认路由表。 创建VPN、云专线服务时，默认路由表会自动下发路由，该路由不能删除和修改。 自定义路由表：您可以直接使用默认路由表，也可以为具有相同路由规则的子网创建一个自定义路由表，并将自定义路由表与子网关联。自定义路由表可以删除。 子网关联自定义路由表仅影响子网的出流量走向，入流量仍然匹配子网所在VPC的默认路由表。 路由 用户创建虚拟私有云时，系统会自动为其生成一个默认路由表，创建子网后，子网会自动关联默认路由表。 您可以在默认路由表中添加、删除和修改路由规则，但不能删除默认路由表。 创建VPN、云专线服务时，默认路由表会自动下发路由，该路由不能删除和修改。 您可以直接使用默认路由表，也可以为具有相同路由规则的子网创建一个自定义路由表，并将自定义路由表与子网关联。自定义路由表可以删除。 说明： 子网关联自定义路由表仅影响子网的出流量走向，入流量仍然匹配默认路由表。 当前自定义路由表需提交工单申请，如需使用自定义路由表，请在创建路由表页面单击“申请扩大配额”。 创建自定义路由表的方法请参见创建自定义路由表。

介绍云电竞服务的功能特性。 算力动态分配 提供海量高端 GPU 算力，节点弹性使用、动态分配区域资源。 灵活部署 在多云融合的环境中，用户可根据需求选择公有云 PaaS、私有云 SaaS 等部署环境。 账号灵活管理 根据客户属性分配不同资源及权限，开放不同能力。 无盘系统 摆脱硬盘限制，满足海量节点的 I/O 需求，存储百 T 游戏资源。 高效画面串流 云端渲染游戏画面，本地终端播放画面，超高分辨率和帧率，实现游戏原生体验。 多终端串流 专用瘦终端、家用Windows电脑等设备均可接入，摆脱设备限制。

本文带您了解什么是专属云（存储独享型）。 专属云（CTDeC，Dedicated Cloud）是一种物理上隔离的专属虚拟化资源池，由专属云（计算独享型）和专属云（存储独享型）两种类型组成。专属云提供了更高效、可靠和安全的云计算环境，用户可以在专属云控制台中统一管理资源，可以更加灵活地管理和使用资源。与公有云服务相比，专属云更加适合需要高度定制化和资源隔离的企业级应用场景。 专属云（存储独享型）（CTDSS，Dedicated Distributed Storage Service），简称存储专属云，是一种专用的存储服务。存储专属云提供高IO和超高IO两种存储池，与计算专属云配合使用，可为用户提供独享的计算和存储资源，与公有云资源共享网络资源且逻辑隔离。存储专属云适用于对安全、性能及可靠性有高要求的金融、政企等应用场景，比自建私有云方案更轻量、成本更低。 专属云资源隔离情况如下所示： 存储专属云的技术架构如下所示：