指示灯 状态说明 LTE 表示设备通讯是否正常：（1）熄灭：设备通讯异常；（2） 长亮：设备正常通讯。 信号指示 表示4G LTE信号强度：3格信号强度。 SYS 表示设备状态：（1）熄灭：系统状态异常；（2） 长亮：系统正常工作。 CLOUD 表示是否连接到天翼云：（1）长亮：连接到云连接网；（2）熄灭：没有连接到云连接网。 PWR 电源指示灯长亮，表示设备开机运行。 RJ45黄灯 表示网卡连接状态和速率指示：（1）长亮：以太网端口工作在1000BaseT模式；（2）熄灭：以太网端口工作在10/100BaseT模式。 RJ45绿灯 表示网卡连接状态和速率指示：（1）长亮：以太网已连接；（2） 闪烁：数据传输；（3）熄灭：以太网未连接。

云专线提供用户本地数据中心与天翼云VPC之间的连接服务。云专线产品在充分利用中国电信云网融合优势的同时,依托现有的IT基础设施,灵活搭建云上云下高速、低时延、稳定安全的专属连接通道。

本文为您介绍VPN连接的产品定义和产品架构。 天翼云VPN连接是一款基于Internet的VPN网络连接服务，VPN（Virtual Private Network）即虚拟专用网络，用于在远端用户和VPC（Virtual Private Cloud）之间建立一条安全加密的通信隧道，使远端用户通过VPN直接使用VPC中的业务资源。 根据使用的加密协议不同，VPN连接可以提供IPsec VPN和SSL VPN两种连接方式。 IPsec VPN IPsec（IP Security）是一种IP层的隧道加密技术，通过使用加密算法在不同的网络之间建立加密的安全隧道。默认情况下，在VPC中的弹性云主机无法与您自己的数据中心或私有网络进行通信。如果您需要将VPC中的弹性云主机和您的数据中心或私有网络连通，可以启用IPsec VPN功能。 通过IPsec VPN连接可以实现企业数据中心、办公网络等与虚拟私有云（VPC）建立安全可靠的连接。假设您在天翼云中已经申请了VPC，并创建了2个子网（192.168.1.0/24, 192.168.2.0/24），您在自己的数据中心网络中也有2个子网（192.168.3.0/24, 192.168.4.0/24）。您可以通过IPsec VPN使VPC内的子网与数据中心的子网互相通信。 SSL VPN SSL VPN（Secure Sockets Layer VPN）是基于互联网线路，通过SSL加密通道将用户终端与天翼云VPC建立安全可靠连接的服务，满足客户便捷接入VPC的需求。 假设您在天翼云中已经申请了VPC，并创建了2个子网（192.168.1.0/24, 192.168.2.0/24），当您有移动终端访问VPC业务的需求时，您可以通过SSL VPN实现便捷安全的网络接入。

本文介绍如何在事件总线EventBridge控制台如何使用访问端点。 事件网格支持的访问端点如下： 私网访问端点：您自行创建的私网访问端点，您可以通过私网访问端点来推送用户自定义事件。 查看私网访问端点 1. 登录事件总线控制台。 2. 在左侧导航栏，单击网络管理，选择访问端点。 3. 在访问端点页面，可以查看已链接的访问端点。 1. 查看已链接的访问端点的内网域名、虚拟私有云与子网信息。 2. 点击对应访问端点的管理按钮，查看访问端点的详情信息。 创建私网访问端点 1. 登录事件总线控制台。 2. 在左侧导航栏，单击网络管理， 选择访问端点。 3. 点击创建私网访问端点按钮。 4. 跳转到创建页面，后端服务应选中vpceservereventbridge，高级配置中建议打开私网域名的开关。 5. 选择需要链接的虚拟私有云和子网，点击创建。 注意 创建访问端点会为您创建VPC终端节点，将产生VPC终端节点费用，当您不使用访问端点时请及时删除。 删除私网访问端点 1. 登录事件总线控制台。 2. 在左侧导航栏，单击网络管理， 选择访问端点。 3. 点击对应私网访问端点 ，点击右侧管理按钮。 4. 在天翼云网络控制台中删除对应终端节点。

使用中IPsec VPN连接中断后如何快速恢复？ 1. 如果无法正常触发协商，请检查IPsec两侧公网IP的连通性，比如两个公网IP互Ping验证。VPN网关IP默认回应ICMP报文。 2. 如果公网链路正常，需排查是否存在多出口的链路切换，即当前访问云网关IP流量未从协商端口流出。 3. 如果无多出口或出口路径正常，可尝试IPsec隧道两端同时修改一次PSK，重新触发协商。 4. 如果重新触发协商失败，请确认两端配置的协商策略是否一致、感兴趣流是否互为镜像（条目数、子网均相同）。 5. 如果协商策略和感兴趣流配置无误，请关停云下设备的VPN连接，等待云端连接显示为“未连接”后，重启云下设备VPN连接，并进行数据流触发。 6. 如果依然无法触发协商时，请执行以下操作： 1. 记录VPN连接的协商策略、PSK、本端子网、对端网关、对端子网。 2. 使用现有网关新建一条连接，协商策略、PSK、本端子网均与原连接相同，对端网关和对端子网先任意填写。 3. 待新创建连接成功后，删除原连接，之后再修改新建连接的对端网关和对端子网与记录数据一致。 4. 修改完成后重新触发协商。 VPN网关带宽到达限额时有什么影响？ VPN带宽限速限制的出VPC方向的带宽，如果您VPN的带宽超过限额使用时，会出现网络卡顿、部分子网间无法访问、甚至出现VPN连接中断现象（无法收到VPN的探测报文）。 因此在出现VPN带宽已达到上限时，建议您对VPN网关带宽进行扩容。 说明 VPN的带宽最大为1Gbit/s。

本文主要介绍弹性网卡简介。 弹性网卡（Elastic Network Interfaces，以下简称ENI）即虚拟网卡，您可以通过创建并配置弹性网卡，并将其附加到您的云主机实例（包括弹性云主机和物理机）上，实现灵活、高可用的网络方案配置。 说明 弹性网卡功能支持区域： 华北华北，广东广州4，北京北京2，江苏苏州，陕西西安2，上海上海4，贵州贵州 弹性网卡类型 主弹性网卡：在创建实例时，随实例默认创建的弹性网卡称作主弹性网卡。无法解除主弹性网卡和实例的绑定关系。 扩展弹性网卡：您在弹性网卡控制台创建的是扩展弹性网卡，可以将网卡绑定到实例上，也可以解除网卡和实例的绑定关系。 应用场景 灵活迁移 通过将弹性网卡从云主机实例解绑后再绑定到另外一台云主机实例，保留已绑定私网IP、弹性公网IP和安全组策略，无需重新配置关联关系，将故障实例上的业务流量快速迁移到备用实例，实现服务快速恢复。 业务分离管理 可以为服务器实例配置多个分属于同一VPC内不同子网的弹性网卡，特定网卡分别承载云主机实例的内网、外网、管理网流量。针对子网可独立设置访问安全控制策略与路由策略，弹性网卡也可配置独立安全组策略，从而实现网络隔离与业务流量分离。

名词 说明 子网（subnet）是指在一个大的网络范围内，为了更好地进行资源管理，而将网络划分成的小型网络。每个子网有一个唯一的IP地址序列，可用于分配给该子网中的主机和其他网络设备。子网是虚拟私有云中的一个IP地址段，虚拟私有云中的所有资源都必须部署在子网上。 可用区资源池：路由表用于控制虚拟私有云的流量走向，路由表分为默认路由表和自定义路由表两种类型。默认路由表随着VPC自动创建，所有新建子网与默认路由表关联，不能创建也不能删除默认路由表，但可以在默认路由表中创建自定义路由规则。地域资源池：分为VPC级路由表和子网级路由表，VPC级路由表用于控制整个VPC粒度的网络流量，子网路由表和子网关联后用于控制子网粒度的网络流量。 虚拟IP（Virtual IP Address，简称VIP）是一个从子网中分配的一个内网IP地址，没有分配给真实弹性云主机网卡。虚拟IP地址拥有私有IP地址同样的网络接入能力，用户也可以像主私网IP地址一样通过虚拟IP去访问弹性云主机。您可以通过将虚拟IP与主备弹性云主机绑定，根据是否需要访问公网可以为虚拟IP绑定一个弹性IP，配合高可用软件（例如Keepalived）使用，实现业务的高可用。 安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同防护需求的弹性云主机、物理机提供安全访问策略。安全组创建后，用户可以根据业务需求自定义防护规则，当弹性云主机、物理机加入该安全组后，即受到这些访问规则的保护。 网络ACL是一个子网级别的流量防护规则，您可以自定义配置网络ACL规则，并将网络ACL与子网关联，通过出方向/入方向规则管理出入子网的流量，实现对子网中云服务器实例流量的访问控制。安全组对云主机、物理机等实例进行防护，网络ACL对子网进行防护，两者结合起来，可以实现更精细、更复杂的安全访问控制。 流量镜像（Traffic Mirror）功能可以将网络流量从一个或多个源端口复制到一个目标端口，以便进行分析、监控和调试。流量镜像主要是复制网卡上的流量并筛选出符合条件的报文，因此它可以在不影响网络性能的情况下，捕获和记录网络流量，帮助管理员诊断网络故障、检测网络攻击和优化网络性能。 IPv4网关是连接虚拟私有云和公网的网络组件。虚拟私有云访问IPv4公网的流量经过IPv4网关，由IPv4网关实现路由转发以及私网地址到公网地址的转换，最终实现对公网的访问。对于地域资源池，没有IPv4网关产品概念。 弹性网卡是虚拟私有网络VPC中的虚拟网络接口，用于连接ECS与私有网络。弹性网卡可以灵活的绑定/解绑云服务器，实现云服务器和网络的解耦。 NAT网关（NAT Gateway）是一种支持 IP 地址转换的网络云服务，能够为虚拟私有云内的计算实例提供网络地址转换，天翼云NAT网关分为SNAT和DNAT两个功能，通过SNAT可使多个弹性云主机共享使用弹性IP访问Internet。通过DNAT可使多个弹性云主机提供互联网服务。 对等连接（VPC Peering Connection）是指两个同一区域内的VPC之间的网络连接。用户可以使用私有IP地址在两个VPC之间进行内网通信，就像两个VPC在同一个网络中一样。用户可以在自己帐号的VPC之间创建对等连接，也可以在自己账号的VPC与同一区域内其他帐号的VPC之间创建对等连接。 VPC终端节点（VPC Endpoint，CTVPCEP）使您能够将 VPC 私密地连接到终端节点服务（天翼云服务、 用户私有服务），该连接使用天翼云内部网络进行连接，不再绕行公网，为您提供性能更加强大、更加灵活的网络。VPC终端节点为您提供“终端节点服务”和“终端节点”两种资源。

云专线提供用户本地数据中心与天翼云VPC之间的连接服务。云专线产品在充分利用中国电信云网融合优势的同时,依托现有的IT基础设施,灵活搭建云上云下高速、低时延、稳定安全的专属连接通道。

本文帮助您快速熟悉查看弹性网卡的相关操作。 操作场景 当您需要了解已有的弹性网卡信息，可以通过网络控制台弹性网卡列表进行查看。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经创建虚拟私有云VPC、子网、弹性云主机。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东华东1。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 单击“弹性网卡”，在弹性网卡列表页面，可查看弹性网卡的名称、ID、所属网络、安全组、私网IP网卡类型等信息。

本节介绍了虚拟私有云、子网、安全组、弹性IP等内容。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为弹性云主机构建了一个逻辑上完全隔离的专有区域，您可以在自己的逻辑隔离区域中定义虚拟网络，为弹性云主机构建一个逻辑上完全隔离的专有区域。您还可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性，方便管理、配置内部网络，进行安全、快捷的网络变更。同时，您可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 子网 子网是用来管理弹性云主机网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云主机IP地址都属于该子网。 默认情况下，同一个VPC的所有子网内的弹性云主机均可以进行通信，不同VPC的弹性云主机不能进行通信。 安全组 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的弹性云主机提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。 系统会为每个用户默认创建一个默认安全组，默认安全组的规则是在出方向上的数据报文全部放行，入方向访问受限，安全组内的弹性云主机无需添加规则即可互相访问。 图 默认安全组 默认安全组规则如下表所示。 表 默认安全组规则 方向 协议 端口范围 目的地址/源地址 说明 出方向 全部 全部 目的地址：0.0.0.0/0 允许所有出站流量的数据报文通过。 入方向 全部 全部 源地址：当前安全组(例如：sgxxxxx ) 仅允许安全组内的云主机彼此通信，丢弃其他入站流量的全部数据报文。

操作场景 当需要使用SDRS服务时，需要在生产站点服务器安装代理客户端。 代理客户端将复制生产站点服务器的IO，并发送给容灾网关。 前提条件 代理客户端不能部署在云容灾网关服务器上。 为保障服务正常运行，需要确保端口未被占用，请参见附录中的“异步复制客户端的端口说明”。 如果待安装代理客户端的服务器的防火墙已开启，需要放通59526端口的访问。 云容灾网关和代理客户端建议放在同一安全组内，安全组配置为仅允许安全组内弹性云主机互通。 安装包准备步骤 基于安全考虑，SDRS服务将在首次安装时随机生成自签证书用于组件间认证。为保证通信正常，安装代理客户端时，需使用在网关节点上生成的携带证书的安装包。 说明 仅新安装客户端涉及以下安装包准备步骤。 如果云容灾网关存在已经签名的目标版本安装包，可直接使用该安装包安装，详见Linux安装代理客户端步骤。 1. 获取代理客户端软件包到网关服务器 的/opt/cloud目录，并比对软件包的sha256值，确保安装包完整性。 跨区域和跨可用区模式：在服务控制台页面选择生产站点服务器的操作系统及对应版本，复制页面提供的命令，登录到网关服务器，进入/opt/cloud目录，粘贴并执行命令获取软件包。 2. 执行以下命令，将网关节点上的证书打包生成新的Linux安装包和sha256文件： sh /opt/cloud/sdrs/createcerts.shl 3. 执行以下命令，将网关节点上的证书打包生成新的windows安装包和sha256文件： sh /opt/cloud/sdrs/createcerts.sh w 说明 打包windows安装包需要使用unzipzip命令，若回显中包含如下提示，需安装后再进行重试。 ...unzip not installed. 或者 ...zip not installed.

本文介绍了云防火墙（原生版）的操作类常见问题。 未配置任何访问控制规则时，云防火墙默认规则是放行还是拦截？ 云防火墙（原生版）默认阻断防护IP的所有流量，您需要将放行的流量进行访问控制规则配置，从而进行放通。未防护IP不受影响。 入侵防御拦截模式什么时候开？ 一般从观察告警模式切换到阻断拦截模式，业务没有变化，观察12天即可持续开启。 入侵防御拦截模式开启后，是否会影响到云内网地址间的通信？ 不会。拦截模式开启后，只会影响云上业务的互联网流量，不会影响到云内网地址间的通信。

参数 是否必填 配置说明 分区角色、分区位置、分区名称 × 展示基础配置中用户所选命名空间下容灾分区相关信息。 云主机资源 × 选择当前分区位置下用户已创建的云主机资源，数据源为根据网络配置中所选的VPC、子网、安全组过滤后的符合条件的云主机资源。同城多活各个分区的ECS数量需保持一致。 支持多选。云主机需满足如下条件，否则无法绑定： 与当前分区处于同一VPC下 与当前分区处于同一安全组下 与当前分区处于同一子网下 与当前分区处于同一可用区 云主机状态为“运行中” 云主机未绑定其他容灾管理中心 存储资源 × 选择当前分区位置下用户已创建的存储资源。 支持多选。目前仅支持存储类型为对象存储. 数据库资源 × 选择当前分区位置下用户已创建的数据库资源。支持多选。 同城多活目前支持Redis、MySQL、PostgreSQL、MongoDB。 同城主备/异地主备目前支持Redis、MySQL、PostgreSQL。

监控指标 说明 入网带宽 该指标用于统计测试对象入云方向单位时间内网络消耗带宽的平均值 出网带宽 该指标用于统计测试对象出云方向单位时间内网络消耗带宽的平均值 入网流量 该指标用于统计测试对象入云方向的网络流量 出网流量 该指标用于统计测试对象出云方向的网络流量 入网带宽使用率 该指标用于统计测试对象入云方向单位时间内消耗的峰值带宽和总带宽的百分比（当最大突发流量小于2秒，可能存在使用率偏小的情况） 出网带宽使用率 该指标用于统计测试对象出云方向单位时间内消耗的峰值带宽和总带宽的百分比（当最大突发流量小于2秒，可能存在使用率偏小的情况） 入方向丢包数 该指标用于统计测试对象入云方向被丢弃数据包的个数 出方向丢包数 该指标用于统计测试对象出云方向被丢弃数据包的个数 入方向丢包率 该指标用于统计测试对象入云方向被丢弃数据包的百分比 出方向丢包率 该指标用于统计测试对象出云方向被丢弃数据包的百分比

本文帮助您了解在VPC内网中使用和公网相同的域名访问对象存储相关的操作步骤。 操作场景 您可以通过在天翼云内网DNS服务上配置自定义解析规则，来实现云主机内网访问对象存储时使用和公网相同的域名。从而满足部分应用系统资源访问地址统一的需求。 操作须知 使用本最佳实践方案前，请先确认您所选择的服务资源池已上线内网DNS服务。你可以登录天翼云官网控制台>资源池服务页面，查看对应资源池是否有内网DNS服务选项。如下图以内蒙6资源池为例： 前提条件 所属地域已开通对象存储服务。 所属地域已上线内网DNS服务。 云内主机和对象存储服务位于同一地域或可用区。 已完成“云主机通过内网访问对象存储”最佳实践相关配置和连通性验证，同资源池的云主机可以正常访问对象存储。 操作步骤 第一步：记录对象存储公网访问域名和内网访问地址 1. 点击天翼云门户首页的“控制中心”，输入登录的用户名和密码，进入控制中心页面。 2. 在管理控制台上方点击，选择所需的资源池节点，以下操作以选择“内蒙6”为例。 3. 在控制台服务页面，选择“对象存储”产品。 4. 在管理控制台点任意一个桶名，进入“桶详情页”。 5. 进入页面后，在“域名信息”中，记录当前资源池的终端节点（Endpoint）、Bucket外网访问、同资源池内网访问（IPV4/IPV6）的地址。

云堡垒机支持管理哪些数据库？ 数据库引擎 引擎版本 Mysql 5.5、5.6、5.7、8.0 PostgreSQL 10、11、12、13 Oracle 10g、11g、12c DB2 10.5、11.5、12 达梦 V8 如何配置云堡垒机的安全组？ 参考安全组策略设置。 云堡垒机是否支持纳管非天翼云服务器？ 支持。 只要与云堡垒机网络可达并且协议支持，且云服务器操作系统在云堡垒机支持的操作系统清单，就可以通过天翼云云堡垒机纳管。 云堡垒机是否支持内网访问运维页面？ 支持。 云堡垒机提供绑定EIP功能，支持用户通过互联网远程直接运维资产。 同时云堡垒机自身也提供私网接入地址，用户可以通过vpn远程拨入云堡垒机实例所在vpc，然后使用云堡垒机实例私网地址接入运维内网资产。 租户是否能进入云堡垒机的操作系统？ 不可进入。 云堡垒机实例部署的服务器租户不可见，用户无法访问服务器操作系统，从而也避免进入操作系统破坏数据完整性，影响云堡垒机的安全合规。

云堡垒机支持管理哪些数据库？ 数据库引擎 引擎版本 Mysql 5.5，5.6，5.7，8.0 PostgreSQL 10，11，12，13 Oracle 10g，11g，12c DB2 10.5、11.5、12 达梦 V8 如何配置云堡垒机的安全组？ 参考安全组策略设置。 云堡垒机是否支持纳管非天翼云服务器？ 支持。 只要与云堡垒机网络可达并且协议支持，且云服务器操作系统在云堡垒机支持的操作系统清单，就可以通过天翼云云堡垒机纳管。 云堡垒机是否支持内网访问运维页面？ 支持。 云堡垒机提供绑定EIP功能，支持用户通过互联网远程直接运维资产。 同时云堡垒机自身也提供私网接入地址，用户可以通过vpn远程拨入云堡垒机实例所在vpc，然后使用云堡垒机实例私网地址接入运维内网资产。 租户是否能进入云堡垒机的操作系统？ 不可进入。 云堡垒机实例部署的服务器租户不可见，用户无法访问服务器操作系统，从而也避免进入操作系统破坏数据完整性，影响云堡垒机的安全合规。

2. 创建云间高速网络和云企业路由器 创建云间高速实例，具体操作请参见：创建云间高速（标准版）实例 创建云企业路由器实例：tgw1，具体操作请参见：创建云企业路由器实例 3. 加载VPC网络 加载VPC网络实例 在云企业路由器（tgw1）中，加载VPC网络实例（vpc10.10.0.0./16）,并选择2个子网subnet1和subnet2。 具体操作请参见：加载VPC网络实例云间高速 说明： 如果有多个VPC，请重复操作此步骤。 如果VPC与云间高速不属于同一账号，可以通过跨账号授权云间高速组网，具体步骤参考：跨账号授权云间高速 4.创建冗余组 两条云专线互为冗余链路且客户侧网段完全相同，需将这两个云专线实例绑定至同一个冗余组，避免两条云专线互相传播路由，防止出现路由环路与路由重复发布问题。 具体操作请参见：冗余组与冗余链路 5. 加载专线网关cdaA 在云企业路由器（tgw1）中，加载专线网关cdaA。 具体操作请参见：加载云专线（CDA）网络实例云间高速 说明： 加载云专线实例的时候，根据负载模式的需求：cdaA的权重与cdaB的权重值相同，比如cdaA与cdaB的权重都设置为50。 加载云专线实例的时候，开启“链路冗余 ”开关，并选择相同的冗余组。 如果VPC与云间高速不属于一主账号，可以通过跨账号授权云间高速组网，具体步骤参考：跨账号授权云间高速

本文为您介绍天翼云SDWAN的定义、产品形态和产品组件。 SDWAN是一种将SDN应用到广域网场景中的软件定义广域网技术。天翼云SDWAN采用SDWAN核心网架构方案（PoP云端网络架构）进行设计研发，为用户提供更加高效快捷的云化SDWAN服务。天翼云SDWAN基于天翼云资源池布局，并依托电信优质骨干网资源（ChinaNet、专线/专网、CN2DCI网、4G/5G无线网络等），可在接入侧兼容各运营商多种网络接入方式，支持一跳入云、多地组网、灵活配置以及智能调度与管理等功能，助力用户分钟级构建云、数据中心、企业分支之间的专属广域网络。 产品形态 智能网关是指天翼云提供的SDWAN网络接入设备，分为硬件版和软件版（vCPE）两种形态。 智能网关硬件版：智能网关硬件版作为部署在客户侧的重要网络设备，主要功能是负责与PoP点通过网络组建加密通道，将客户侧需要通过SDWAN网络传输组网的流量通过加密通道传输至PoP点，进入SDWAN骨干网中，进而传输到组网对端。 智能网关硬件版本分为四种型号：经济版、标准版、企业版、企业增强版。客户可根据业务规模需求，并结合不同型号网关的转发能力，进行设备选型： 智能终端 经济版 标准版 企业版 企业增强版 产品型号 S1000系列 S2000系列 S6000系列 S8000系列 IPSec隧道加密转发能力 100Mbps 500Mbps 1Gbps 5Gbps 智能网关软件版（vCPE）： vCPE是智能网关的软件镜像版。通过将vCPE镜像部署在云主机中。智能网关vCPE可作为一个虚拟CPE设备帮您将网络接入天翼云，为用户提供更加灵活、便捷的入云服务。

网络架构设计步骤 1. VPC与子网规划 1. CIDR分配 1. 建议使用较大私有地址段（如 10.0.0.0/8），按业务分层划分子网 2. Web层子网：10.0.1.0/24（公网子网，能够访问公网） 3. 应用层子网：10.0.2.0/24（私网子网，仅能进行内网访问） 4. 数据库子网：10.0.3.0/24（私网子网，严格隔离） 2. 路由表配置 1. 公网子网路由表：默认路由指向NAT网关（用于出向互联网访问）。 2. 私网子网路由表：仅保留VPC内网路由，禁止直接访问公网。 3. 安全策略设计 1. 安全组规则 1. Web层安全组：仅开放80/443端口给公网，限制内网访问应用层端口（如8080） 2. 数据库安全组：仅允许应用层子网IP访问3306（MySQL）或5432（PostgreSQL）等。 2. 网络ACL 1. 入站规则：按需限制来源IP（如仅允许企业办公网段）。 2. 出站规则：禁止私有子网直接访问公网。 4. 网络连接与高可用 1. 互联网访问 1. 在VPC中部署NAT网关，通过弹性IP，作为私有子网访问外网的唯一出口。 2. 对于需要接入公网的私有子网，通过NAT网关配置SNAT、DNAT规则管理VPC与公网互通。 2. 跨可用区负载均衡 1. 每个子网部署云主机跨2个可用区部署。 2. 使用天翼云弹性负载均衡（CTELB），将流量分发至处于不同可用区的主机实例。 3. 配置负载均衡健康检查，自动剔除故障节点。 3. 跨可用区冗余：关键服务（如数据库、中间件）部署在多个可用区，通过主从复制保持数据同步。

本文介绍为云主机配置内网域名的最佳实践概述。 背景 内网域名是指仅在VPC内生效的虚拟域名，无需购买和注册，无需备案。云解析服务提供的内网域名功能，可以让您在VPC中拥有权威DNS，且不会将您的DNS记录暴露给互联网，解析性能更高，时延更低，并且可以防护解析劫持。我们可以将VPC内承担内网域名解析功能的DNS称为内网DNS。 内网域名功能支持为VPC内每个云主机创建一个内网域名，实现： 通过内网域名访问VPC内的云主机，无需经过Internet，访问速度更快、安全性更高。 在代码中使用内网域名代替内网IP。当需要进行云主机切换时，只需通过修改内网域名解析记录即可，无需修改代码。 操作场景 本实践为内网DNS典型应用场景，如图所示。 图逻辑组网 方案优势 上图展示了某网站的逻辑组网，在一个VPC内，部署了ECS和RDS。其中： ECS：作为主业务站点和业务入口。 ECS1：作为公共接口。 RDS1：作为数据库，存储业务数据。 ECS2和RDS2：作为备份服务器和数据库。 当该网站在运行过程中，因ECS1故障，需要将业务切换到备份的云主机ECS2时，若云主机没有配置内网域名，则需要通过修改主业务节点ECS的代码来重新设置云主机的内网IP地址。该操作需要中断业务并重新发布网站，耗时耗力。 假如在部署该网站时，我们为云主机申请了内网域名，且代码中设置的是云主机的内网域名，则仅需要通过修改内网域名解析记录即可实现云主机的切换，无需中断业务，也不需要重新发布网站。

本文主要介绍弹性负载均衡异常检查类的常见问题。 为什么通过负载均衡无法访问后端业务？ 问题描述 当出现以下问题时，可以参考本章节排查解决。 可以直接访问后端业务，但是无法通过负载均衡访问后端业务。 通过私网IP可以访问负载均衡，但是公网IP无法访问负载均衡。 后端服务器健康检查异常。 背景介绍 客户端通过负载均衡访问云主机流量可参看如下介绍。 公网客户端的流量经过EIP传送到负载均衡器；私网客户端的流量直接通过私网IP传送到负载均衡器。 负载均衡器根据监听器配置的前端协议/端口，将流量转发给匹配到的监听器。 监听器首先判断后端云主机的健康检查是否正常，只有健康检查为正常时，才会转发流量给后端云主机。 监听器会根据后端服务器的权重和分配策略，转发流量给相应的后端服务器。 通常情况下，客户端通过负载均衡器无法访问后端云主机可能原因包括安全控制和健康检查配置问题。 建议您按照从后端到前端的顺序进行排查，从而帮助您快速找到问题的原因。 排查思路 步骤一：排查是否可直接访问后端云主机 使用客户端直接访问后端云主机，确认后端云主机配置和业务配置无问题。 可以通过客户端直接访问后端云主机的IP地址来快速定界是ELB配置问题，还是后端云主机本身业务配置问题。使用客户端直接访问后端云主机时，请注意放通客户端到后端云主机之间的网络ACL。

情况 配置示例 VPC网段和子网网段均不重叠 通过对等连接实现两个VPC全地址段互通。具体请参考 VPC网段重叠且部分子网网段重叠 通过对等连接实现两个VPC中指定子网互通，对等连接两端VPC中需要互通的子网网段不用重叠。具体请参考 VPC网段和全部子网网段均重叠 无法通过创建对等连接来实现VPC之间的通信。具体请参考

基于NAT网关的用户网络，可以配置哪些安全策略实现访问限制？ NAT网关提供隔离主机网络的安全能力，但不支持做主机访问的策略控制，如用户需要对主机进行访问限制，可以配置以下安全策略来实现访问限制： 1. 网络ACL：可以通过网络ACL来配置子网出入流量的规则，限制特定协议、端口或IP地址的访问。 2. 安全组：安全组是一种虚拟防火墙，可以在弹性云主机中配置。通过安全组，可以定义允许和拒绝的流量规则，限制特定协议、端口或IP地址的访问。 安全组对弹性云主机进行防护，网络ACL对子网进行防护，两者结合起来，可以实现更精细、更复杂的安全访问控制。 同时存在指向NAT网关的默认路由和指向IPv4网关的默认路由，路由优先级是什么样的？ VPC的默认路由表中，如果同时存在指向IPv4网关的自定义路由，和指向NAT网关的自定义路由，由于指向IPv4网关的自定义路由优先级更高，流量会转发到IPv4网关； 示例如下：假如VPC路由表中存在两条自定义路由，目的地址为默认路由（0.0.0.0/0），下一跳为NAT网关；目的地址为默认路由（0.0.0.0/0），下一跳为IPv4网关。 如果线下IDC通过专线接入云上公网NAT网关，转发时会匹配优先级更高的路由规则，此时流量会转发至IPv4网关，无法抵达NAT网关； 如果VPC内的同一个子网下部分ECS绑定了EIP，部分ECS通过NAT网关出公网，会匹配子网的策略路由；将绑定了EIP的ECS流量转发给IPv4网关，而未绑定EIP的ECS流量则转发给NAT网关出公网。

本文带您了解云间高速(标准版)的功能特性。 云间高速（标准版）(CECStd, Express Connect Standard)为您提供一种能够快速构建同域、跨域VPC之间的高速、优质、稳定的网络能力，帮助您打造一张具有企业级规模和通信能力的云上网络。云间高速（标准版）具备大规模灵活组网、网络资源互通、路由自主学习和分发，跨区域互通带宽配置及与SDWAN混合组网等功能特性。 大规模灵活组网 每个地域可以创建云企业路由器，集中连接网络实例，组网可控、可管、易扩展。 简化拓扑 网路实例（VPC、云专线、跨账号VPC、VPN、云桌面网络）均集中连接到云企业路由器，简化点到点连接的管理成本，提高组网扩展性。 灵活可控 灵活定义互通、隔离、引流策略，提高网络安全性。 网络资源互通 任意网络实例间互通，提供高速、可靠、稳定的网络质量。 支持多网络实例互通 网络实例包括VPC、云专线、跨账号VPC、VPN和云桌面网络。 将同一账号下同域或跨域VPC加载到云间高速（标准版），可以实现VPC之间的互通。 将云专线加载到云间高速（标准版），可以实现云下IDC与云上多VPC互通，构建混合云。 涉及跨账号的同域或跨域VPC互联，首先需要跨账号授权网络实例，授权完成后，将跨账号网络实例加载到云间高速（标准版），即可实现跨账号同域或跨域VPC互通。 低时延 任意两点网络实例之间以最短路径私网互通，高速率，低时延。

本文带您了解海量文件服务OceanFS产品相关术语。 文件系统 文件系统实际上是用户数据与其相关属性信息（元数据）的集合体，用户的数据以文件的形式保存在文件系统中。文件系统通过计算节点挂载访问，以传统的目录形式进行组织和管理，支持数百甚至上千个客户端并行访问，实现数据共享。 虚拟私有云 虚拟私有云（Virtual Private Cloud，以下简称VPC）为弹性云主机构建了一个逻辑上完全隔离的专有区域，您可以在自己的逻辑隔离区域中定义虚拟网络，为弹性云主机构建一个逻辑上完全隔离的专有区域。您还可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性，方便管理、配置内部网络，进行安全、快捷的网络变更。同时，您可以自定义安全组内与组间弹性云主机的访问规则，加强弹性云主机的安全保护。 子网 子网是用来管理弹性云主机网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云主机IP地址都属于该子网。默认情况下，同一个VPC的所有子网内的弹性云主机均可以进行通信，不同VPC的弹性云主机不能进行通信。 NFS协议 NFS（Network File System）是一种用于网络共享文件和目录的协议。它可以让不同的计算机通过网络访问和共享文件，工作原理是将文件系统挂载到客户端计算机上，使客户端能够透明地访问远程服务器上的文件和目录。客户端通过NFS协议向服务器发送文件系统访问请求，服务器将文件和目录发送给客户端，客户端则可以像访问本地文件一样访问这些文件。NFS适合Linux系统使用。

本文介绍如何通过内网及psql命令行客户端连接实例。 RDSPostgreSQL支持客户通过PostgreSQL客户端在内网连接实例。 前提条件 1.登录弹性云主机 创建并登录弹性云主机。 通过弹性云主机连接RDSPostgreSQL实例，需要具备以下条件： 该弹性云主机与目标实例在同一个VPC内。 该弹性云主机必须处于目标实例所属安全组允许访问的范围内。 如果目标实例安全组为default，则无需特别设置。(仅部分资源池支持实例安全组变更，其余资源池默认为default安全组规则)。 如果目标实例安全组为非默认安全组，请查看安全组规则是否允许该弹性云主机访问。具体操作参考VPC安全组配置指引。 2.安装PostgreSQL客户端 请参见数据库基本使用如何安装PostgreSQL客户端。 命令行连接 登录云主机后执行如下命令： psql h p U d 参数说明： ：主机IP，即控制台页面的“实例列表”页面该集群对应的实例列表中，您想连接的实例“vip”列信息。 ：数据库端口，为“实例详情”页面中的数据库端口。 ：用户名，即 RDSPostgreSQL数据库帐号（默认管理员帐号为 root）。 ：数据库名，即RDSPostgreSQL实例里面的数据库，默认初始化的数据库名是postgres。 示例： psql h xx.xx.xx.xx p xxxx U root –d postgres

2. 创建云间高速网络和云企业路由器 创建云间高速实例，具体操作请参见：创建云间高速（标准版）实例 创建云企业路由器实例：tgw1，具体操作请参见：创建云企业路由器实例 3. 加载VPC网络 加载VPC网络实例 在云企业路由器（tgw1）中，加载VPC网络实例（vpc10.10.0.0/16）,并选择2个子网subnet1和subnet2。 具体操作请参见：加载VPC网络实例云间高速 说明： 如果有多个VPC，请重复操作此步骤。 如果VPC与云间高速不属于同一账号，可以通过跨账号授权云间高速组网，具体步骤参考：跨账号授权云间高速 4.创建冗余组 两条云专线互为冗余链路且客户侧网段完全相同，需将这两个云专线实例绑定至同一个冗余组，避免两条云专线互相传播路由，防止出现路由环路与路由重复发布问题。 具体操作请参见：冗余组与冗余链路 5. 分别加载云专线cdaA和云专线cdaB 在云企业路由器（tgw1）中，分别加载云专线cdaA和cdaB。 具体操作请参见：加载云专线（CDA）网络实例云间高速 说明： 加载云专线实例的时候，根据主备模式的需求：cdaA的权重与cdaB的权重值不一致，比如cdaA的权重设置为50，cdaB的权重设置为60，此情况下，cdaA为主链路，cdaB为备链路。 加载云专线实例的时候，开启“链路冗余 ”开关，并选择相同的冗余组。 如果VPC与云间高速不属于一主账号，可以通过跨账号授权云间高速组网，具体步骤参考：跨账号授权云间高速

操作步骤 1. 登录天翼云控制台，选择“网络>NAT网关”， 2. 进入NAT网关控制台，点击右上角“创建NAT网关” 3. 选择付费方式，填写名称，选择可用区，VPC选择环境准备中的创建的VPC，选择规格，点击“下一步”。 4. 确认规格，选择我已阅读并同意相关协议，单击“确认下单”，完成NAT网关的创建。 步骤三：配置路由（仅部分资源池需要） 步骤说明 部分资源池在购买NAT网关后，自动加载路由到VPC中，不需要此步操作。 部分资源池需要在默认路由中添加路由指向NAT网关，具体功能以控制台为准。 操作步骤 1. 添加默认路由指向NAT网关。单击“虚拟私有云”，进入虚拟私有云控制台，选择环境中创建的VPC，点击名称打开VPC详情页，在子网页签点击子网名称，进入子网详情页。 2. 在子网详情页单击“路由管理”页签，点击已绑定的“默认路由表”进入路由规则页面。 3. 在路由规则页面单击“创建”，在弹出页面，选择 IP类型：IPv4 目的地址：0.0.0.0/0 下一跳类型：NAT网关 NAT网关：选择刚创建的NAT网关 4. 点击确定，完成默认路由指向NAT网关。 注意 在同一个子网内云主机同时绑定公网IP和SNAT规则时，部分资源池平台生成的指向IPv4网关的路由为系统路由，由于指向NAT网关的路由优先级高于指向IPv4网关的系统路由，默认会通过SNAT访问公网，云主机绑定的EIP无法访问公网；而部分资源池平台生成的指向IPv4网关的路由为自定义路由，默认会通过EIP访问公网。因此，不建议同一个子网内的云主机同时绑定公网IP和NAT网关。 具体内容参见弹性IP如何通过弹性公网IP或NAT网关访问公网。 步骤四 ：配置SNAT规则

步骤二：开通云服务器 使用镜像市场“标准VCPE镜像CTyunOS2.0.1X86 64位”镜像开通云主机。云主机配置要求：配置要求2c4g以上，推荐计算型云主机，网卡使用自动分配内网IPv4地址，并有用弹性IP，带宽大小根据需要设置。 注：目前华东1、青岛20、南宁23、上海7、上海36、北京5、上海15已完成VCPE镜像加载，可直接开通。如您有其他区域的部署需求，请联系客户经理申请。 1. 登录天翼云，点击页面右上方“控制中心”，进入控制台。 2. 单击管理控制台左上角的选择区域。 3. 点击计算弹性云主机进入创建云主机页面。 4. 单击右上角创建云主机进入云主机购买页面。 5. 进行基础配置。 a. 根据业务需求配置“计费模式”、“地域”、“企业项目”、“虚拟私有云”、“实例名称”、“主机名称”等。 b. 选择规格。此处选择“CPU架构”为“X86计算”、分类可以选 “通用型”或“计算型”，推荐选用计算型。规格为2c4G以上。 c. 选择镜像。“镜像类型”选择“云镜像市场”，在云镜像市场中选择预置了vCPE的“标准VCPE镜像CTyunOS2.0.1X86 64位”镜像。 d. 设置云盘类型和大小。此处选择“系统盘”为“通用型SSD”，40GB。 6. 网络配置 设置网络，此处“网卡”选择“单网卡”，设置“自动分配内网地址”；“安全组”根据客户需求自行配置； “弹性IP”用于连通SDWAN POP接入点，带宽根据客户网络需求进行配置。 7. 高级配置 设置高级配置，包括“登录方式”、“云主机组”、“用户数据”。用户数据需配置为vCPE实例的SN号。vCPE SN号信息可通过“天翼云SDWAN控制台>目标智能网关详情页>基本信息模块”查看，操作步骤可参考：查看基本信息。 用户数据填写格式如下： 其中，CTCEXXXXXXXXXSN根据客户订购的vCPE实例SN号进行替换。 plaintext

此小节介绍云堡垒机的应用运维。 运维用户获取应用发布资源访问操作权限后，即可在应用运维列表查看已授权资源，并设置资源标签。 查看应用运维列表并设置资源标签 约束限制 每个用户可自定义资源标签，资源标签仅能个人帐号使用，不能与系统内用户共用。 前提条件 已获取“应用运维”模块管理权限。 已获取资源访问控制权限，即已被关联访问控制策略或访问授权工单已审批通过。 操作步骤 1 登录云堡垒机系统 2 选择“运维>应用运维”，进入应用运维列表页面。 3 查询应用资源。 快速查询：在搜索框中输入关键字，根据自动识别、应用名称、应用地址等快速查询资源。 4 添加标签。 选择目标资源，在相应“标签”列单击，弹出标签编辑窗口。 输入标签类型回车选定标签，或选择已有标签类型。 单击“确认”，返回运维列表，即可查看已添加的标签。 5 批量添加标签。 选择多个目标资源，单击列表左下角“添加标签”，弹出标签编辑窗口。 输入标签类型回车选定标签，或选择已有标签类型。 单击“确认”，返回运维列表，即可查看已添加的标签。 6 删除标签。 选择一个或多个目标资源，单击列表左下角“删除标签”，弹出删除标签确认窗口。 确认信息无误后，单击“确认”，返回运维列表，标签已删除。 通过Web浏览器登录应用资源进行运维 通过Web浏览器登录应用资源，提供“协同分享”、“文件传输”、“文件管理”等功能。用户在应用上执行的所有操作，被云堡垒机记录并生成审计数据。 “协同分享”指会话创建者将当前会话链接发送给协助者，协助者通过链接登录创建者的会话中参与运维，实现运维协同操作。 “文件管理”指参与会话的用户获取操作权限后，可对云主机和主机网盘中文件或文件夹进行管理。 支持新建文件夹。 支持修改文件或文件夹名称。 支持批量删除。 “文件传输”指参与会话的用户获取操作权限后，可对云主机和主机网盘中文件进行上传或下载。 支持上传/下载文件。 支持上传文件夹。 目标地址为“主机网盘”，支持上传多个文件或一个文件夹到主机网盘，支持从主机网盘下载文件到本地保存。 本小节主要介绍如何通过Web浏览器登录应用资源，以及应用运维会话窗口操作说明。

本文将为您介绍如何修改云主机的VPC网段和子网的网段。 操作场景 VPC、子网创建好后，网段是不支持修改的。 如需修改VPC网段可以通过切换子网来实现，如需修改子网网段可以通过切换子网来实现。 VPC网段、子网的网段一旦创建，不能进行修改。 操作步骤 您可以通过切换子网或者更换VPC来实现，具体参考如何修改内网IP、切换VPC。