本章节介绍如何使用云原生网关和应用服务网格实现全链路灰度发布 概述 在流量标签和全链路灰度功能说明中，我们可以看到使用TrafficLabel实现从Ingress网关到业务的全链路灰度能力。除了Ingress网关之外，天翼云还提供全托管式的云原生网关产品，具备更好的性能、扩展性和高可用能力，这里介绍如何使用我们的云原生网关作为访问入口的场景下实现全链路灰度。 服务架构 云原生网关作为微服务的访问入口，支持把云容器引擎作为服务发现来源。我们在云容器引擎部署base和test两个版本的微服务，通过云原生网关的标签路由能力实现对微服务入口应用app1的路由调度，通过流量标签实现微服务链路中的路由调度。这里我们还是使用appversiontag头部实现全链路流量控制，下面介绍具体操作步骤（应用部署参考全链路灰度部分，这里不再赘述）。 云原生网关服务来源配置 首先在当前服务网格同VPC下开通一个云原生网关实例，开通完成后，进入云原生网关实例页面，选择服务来源菜单> 添加服务来源，选择云容器引擎，在下拉列表中选择开通了服务网格并部署了应用的云容器引擎集群，如下图：

本章节介绍应用服务网格出口网关 概述 应用服务网格出口网关可以为您的应用程序提供一个统一的访问出口。作为服务网格的出口，它充当了流量离开集群的出口点，负责将从集群内部发出的流量路由到外部目的地，并执行一系列功能以确保流量的安全性、可靠性和高效性。 创建出口网关 1. 登录应用网格控制台，单击应用网格实例列表中的网格名称。 2. 在左侧导航栏中，选择网关>出口网关。 3. 选择对应的集群和命名空间后，点击创建出口网关按钮，配置出口网关信息。 配置项 说明 网关名称 自定义网关名称。 命名空间 网关创建的命名空间。 网关类型 表示网关为出口网关还是入口网关。 label标签设置 设置出口网关的标签，可用于网关规则筛选器的匹配。 端口设置 配置网关的端口以及端口对应的协议。 资源规格设置 网关pod的CPU和内存规格。 网关副本数 网关pod的数量。 滚动升级策略设置 配置滚动升级，用于无缝地将应用程序的新版本逐步引入到集群中，同时逐步淘汰旧版本，以确保应用程序持续可用性的升级过程，可进行如下配置： 1，不可用最大副本数：设置滚动升级时不可用最大的副本数量。 2，超过期望的副本数：设置滚动升级时最多不能超过的副本数量。例如设置为25%，表示滚动升级时副本数量不能超过原来副本的125%。

本文将向您介绍如何使用边缘安全加速平台安全与加速服务提供的广告防护功能。 功能介绍 边缘安全加速平台安全与加速服务能解析源站响应页面代码，在body中插入广告检测js代码，实现广告防护和监测功能。 注意 注意：目前控制台尚未开放广告防护功能，如有防护需求请通过 背景信息 恶意广告 网站中出现未被网站所有者允许的广告内容，并通过非法形式进行传播，对网站所有者造成负面影响。 攻击方式：流量劫持 代理流量劫持是指在正常网站流量当中嵌入广告，达到强制推广目的，造成用户体验差，客户网站访问量降低。劫持的手段为在代理服务器上，针对网站页面进行恶意广告代码嵌入。 常见劫持方式： 源站：源站被攻破，网站页面遭到修改，或者正常网页被替换成攻击者的网页，造成用户访问的页面含有违法信息广告或盈利广告推广。 客户端：浏览器网页劫持，浏览器在获取到正常网页数据后，通过在客户网页中加入广告来达到强制推广，增加盈利目的。 广告防护工作原理 通过在反向代理服务器上，解析响应页面代码，在html的body当中插入广告检测js代码，实现广告防护和监测功能。

参数 说明 取值样例 优先级 安全组规则优先级。 优先级可选范围为1100，默认值为1，即最高优先级。优先级数字越小，规则优先级级别越高。 1 常见协议端口 提供常用的协议端口供您快速设置，选择类型如下： 远程登录和ping Web服务 数据库 SSH（22） 入方向 策略 安全组规则策略，支持的策略如下：如果“策略”设置为允许，表示允许源地址访问安全组内云主机的指定端口。 如果“策略”设置为拒绝，表示拒绝源地址访问安全组内云主机的指定端口。 安全组规则匹配流量时，首先按照优先级进行排序，其次按照策略排序，拒绝策略高于允许策略。 允许 出方向 策略 安全组规则策略，支持的策略如下：如果“策略”设置为允许，表示允许安全组内的云主机访问目的地址的指定端口。 如果“策略”设置为拒绝，表示拒绝安全组内的云主机访问目的地址的指定端口。 安全组规则匹配流量时，首先按照优先级进行排序，其次按照策略排序，拒绝策略高于允许策略。 允许 类型 支持的IP地址类型，如下： IPv4 IPv6 IPv4 入方向 协议端 安全组规则中用来匹配流量的网络协议类型，目前支持TCP、UDP、ICMP和GRE协议。 安全组规则中用来匹配流量的目的端口，取值范围为：1～65535。 在入方向规则中，表示外部访问安全组内实例的指定端口。 端口填写支持下格式： 单个端口：例如22 连续端口：例如2230 多个端口：例如22,2330，一次最多支持20个不连续端口组， 端口组之间不能重复。 全部端口：为空或165535。 TCP 22或2230或20,2230 出方向 协议 安全组规则中用来匹配流量的网络协议类型，目前支持TCP、UDP、ICMP和GRE协议。 安全组规则中用来匹配流量的目的端口，取值范围为：1～65535。 在出方向规则中，表示安全组内实例访问外部地址的指定端口。 端口填写支持下格式： 单个端口：例如22 连续端口：例如2230 多个端口：例如22,2330，一次最多支持20个不连续端口组， 端口组之间不能重复。 全部端口：为空或165535。 TCP 22或2230或20,2230 源地址 在入方向规则中，用来匹配外部请求的源地址，支持以下格式： IP地址 ：表示源地址为某个固定的IP地址。当源地址选择IP地址时，您可以在一个框内同时输入或者粘贴多个IP地址，不同IP地址以“,”隔开。一个IP地址生成一条安全组规则。 单个IP地址：IP地址/掩码。单个IPv4地址示例为192.168.10.10/32；单个IPv6地址示例为2002:50::44/128。 IP网段：IP地址/掩码。IPv4网段示例为192.168.52.0/24；IPv6网段示例为2407:c080:802:469::/64。 所有IP地址：0.0.0.0/0表示匹配所有IPv4地址；::/0表示匹配所有IPv6地址。 安全组 ：表示源地址为另外一个安全组，您可以在下拉列表中，选择同一个区域内的其他安全组。当安全组A内有实例a，安全组B内有实例b，在安全组A的入方向规则中，放通源地址为安全组B的流量，则来自实例b的内网访问请求被允许进入实例a。 IP地址组 ：表示源地址为一个IP地址组，IP地址组是一个或者多个IP地址的集合。您可以在下拉列表中，选择可用的IP地址组。对于安全策略相同的IP网段和IP地址，此处建议您使用IP地址组简化管理。 IP地址： 192.168.52.0/24，10.0.0.0/24 目的地址 在出方向规则中，用来匹配内部请求的目的地址。支持以下格式： IP地址 ：表示目的地址为某个固定的IP地址。当目的地址选择IP地址时，您可以在一个框内同时输入或者粘贴多个IP地址，不同IP地址以“,”隔开。一个IP地址生成一条安全组规则。 单个IP地址：IP地址/掩码。单个IPv4地址示例为192.168.10.10/32；单个IPv6地址示例为2002:50::44/128。 IP网段：IP地址/掩码。IPv4网段示例为192.168.52.0/24；IPv6网段示例为2407:c080:802:469::/64。 所有IP地址：0.0.0.0/0表示匹配所有IPv4地址；::/0表示匹配所有IPv6地址。 安全组 ：表示源地址为另外一个安全组，您可以在下拉列表中，选择同一个区域内的其他安全组。当安全组A内有实例a，安全组B内有实例b，在安全组A的入方向规则中，放通源地址为安全组B的流量，则来自实例b的内网访问请求被允许进入实例a。 IP地址组 ：表示源地址为一个IP地址组，IP地址组是一个或者多个IP地址的集合。您可以在下拉列表中，选择可用的IP地址组。对于安全策略相同的IP网段和IP地址，此处建议您使用IP地址组简化管理。 IP地址： 192.168.52.0/24，10.0.0.0/24 描述 安全组规则的描述信息，非必填项。描述信息内容不能超过255个字符，且不能包含“<”和“>”。

本小节介绍公网IP进入DDoS封堵状态的时间及相关原因。 IP被DDoS封堵会持续多长时间？ 单次 DDoS 封堵时长一般为 24 小时，具体时间以通知短信为准，平台会根据实际风险情况适当提前或延迟封堵，到期后系统将自动解封。 DDoS 封堵实际生效于资源池上游的骨干网络，通过丢弃指向目标 IP 的流量实现防护。由于骨干网操作会消耗大量网络资源，运营商对操作次数与频率均有限制，无法频繁执行解封、重封操作；且 DDoS 攻击持续时间不固定，若攻击未结束即提前解封，攻击流量会再次冲击资源池、影响整体网络及其他租户IP的业务稳定。综合以上原因，封堵时长设置相对较长，由此带来的不便敬请谅解。

后续操作 开启防护后，您可以为防火墙设置防护策略、查看日志等，以便更好地管控弹性负载均衡的流量访问。 配置访问控制策略 配置入侵防御策略 查看访问控制日志 查看入侵防御日志 查看流量日志 相关操作 关闭防护：若您不需要对弹性负载均衡进行防护，可随时关闭防护。 注意 关闭防护前请确保您已提前关闭弹性负载均衡的“VPC引流开关”，否则可能造成网络中断，影响业务负载。 在“弹性负载均衡”页签，找到需要关闭防护的弹性负载均衡，单击操作列的“关闭防护”，在弹出的对话框中，单击“确定”为该弹性负载均衡关闭防护。

计费项 说明 数据库实例 GaussDB实例对CN、DN节点进行收费；管理节点CMS、GTM不收费。 数据库存储（使用后扣费） 对数据库存储空间进行计费，按需计费的存储空间费用按照实际使用量每小时计费。 备份存储（使用后扣费） GaussDB提供了部分免费存储空间，用于存放您的备份数据，其总容量约为您购买存储容量的100%。备份存储用量超过数据库存储空间的100%，超出部分将按照备份计费标准收费，计费方式为按需计费（每小时扣费一次），不足一小时按照实际使用时长收费。 公网带宽（可选） GaussDB实例支持公网访问，公网访问会产生带宽流量费；GaussDB数据库实例在云内部网络产生的流量不计费。

本章节介绍云主机网络包损坏故障演练。 背景介绍 由于物理链路噪声、网络设备故障或恶意攻击，数据包在传输过程中可能被篡改，导致其内容发生变化。接收端的 TCP/IP 协议栈会通过校验和检查发现这种损坏，丢弃该数据包并请求重传。虽然这确保了数据的完整性，但频繁的重传会显著增加网络延迟、降低有效吞吐量，并可能导致应用层超时。本演练模拟此场景，帮助您评估应用在恶劣网络条件下的健壮性。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络包损坏。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络包损坏动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 包损坏百分比：数据包被损坏的概率（取值 0100）。例如，设置为 10 表示每100个包中约有10个会被损坏。

本章节介绍云主机网络延迟故障演练。 背景介绍 网络延迟是分布式系统中最常见的微故障之一。跨数据中心的调用、网络拥塞、路由路径过长或中间设备处理耗时，都可能导致服务间的通信延迟增加。这会直接影响应用的响应时间，降低用户体验，甚至在级联调用中引发雪崩效应。本演练模拟可控的网络延迟，帮助您检验系统的超时设置、熔断机制的有效性，并发现潜在的性能瓶颈。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络延迟。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络延迟动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 延迟时间(毫秒)：为每个数据包增加的固定延迟时长。 延迟浮动值(毫秒)：在固定延迟时长上的随机浮动范围。最终延迟为延迟时间 ± 延迟浮动值，用于模拟更真实的网络抖动。

本章节介绍云主机网络包损坏故障演练。 背景介绍 由于物理链路噪声、网络设备故障或恶意攻击，数据包在传输过程中可能被篡改，导致其内容发生变化。接收端的 TCP/IP 协议栈会通过校验和检查发现这种损坏，丢弃该数据包并请求重传。虽然这确保了数据的完整性，但频繁的重传会显著增加网络延迟、降低有效吞吐量，并可能导致应用层超时。本演练模拟此场景，帮助您评估应用在恶劣网络条件下的健壮性。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络包损坏。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络包损坏动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 包损坏百分比：数据包被损坏的概率（取值 0100）。例如，设置为 10 表示每100个包中约有10个会被损坏。

本章节介绍云主机网络延迟故障演练。 背景介绍 网络延迟是分布式系统中最常见的微故障之一。跨数据中心的调用、网络拥塞、路由路径过长或中间设备处理耗时，都可能导致服务间的通信延迟增加。这会直接影响应用的响应时间，降低用户体验，甚至在级联调用中引发雪崩效应。本演练模拟可控的网络延迟，帮助您检验系统的超时设置、熔断机制的有效性，并发现潜在的性能瓶颈。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络延迟。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络延迟动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 延迟时间(毫秒)：为每个数据包增加的固定延迟时长。 延迟浮动值(毫秒)：在固定延迟时长上的随机浮动范围。最终延迟为延迟时间 ± 延迟浮动值，用于模拟更真实的网络抖动。

本文介绍了DDoS防护开关的配置。 功能介绍 DDoS防护可有效防御畸形报文攻击、SYN Flood、ACK Flood、UDP Flood、ICMP Flood等网络层攻击以及SSL、DNS等应用层攻击。 背景信息 边缘安全加速平台安全与加速服务中的DDoS防护能力（中国内地区域）将默认开启，若站点受到DDoS攻击将为您提供防护并消耗DDoS防护次数。 前提条件 已经订购边缘安全加速平台安全与加速服务，若未订购，请参见服务开通。 在控制台新增域名，请参见添加服务域名。 操作步骤 1. 登录边缘安全加速平台控制台，进入【安全与加速】工作台。 2. 在左侧导航栏中选择【安全能力】，进入【DDoS防护】菜单，并在左侧域名列表选择您要防护的域名。 防护域名 为您展示接入安全与加速服务的域名，并支持查看域名的DDoS防护状态以及域名配置状态。点击防护域名数统计区域，可筛选域名列表已防护或未防护的域名，您也可以通过下方查询框对域名进行其他条件的筛选。 点击右上角【新增域名】可进入域名新增页面，点击支持收起域名列表。 注意 当域名为配置中、已停用状态，不支持编辑防护配置。

快捷易用，高效防护DDoS攻击 DDoS基础防护产品依托天翼云资源池网络，根据IP带宽、IP资产类型和资源池网络情况为IP提供免费的基础DDoS防护阈值，在阈值内提供监测和防护。 清晰明确，提供丰富DDoS攻击情况 当DDoS攻击峰值超出DDoS防护阈值后，DDoS基础防护产品会进行DDoS封堵通知，作为其他DDoS防护手段的规格参考，如DDoS高防攻击峰值规格。 综合全面，提供充分DDoS防护建议 为防止DDoS攻击峰值超出DDoS防护阈值进而触发封禁影响业务，DDoS基础防护产品向您提供多种DDoS防护建议，包括配置DDoS高防、配置安全组、检查IP暴露情况等。 轻量延迟，业务防护无负担 DDoS基础防护作用位置在资源池内，为您的池内IP提供原生级别的DDoS防护，不会对业务带来额外延迟影响，业务无负担使用防护功能。

字段 说明 version 流日志版本。 accountid 流日志的账户 ID；推送主账号ID。 regionid 地域 ID。 zonename 可用区名称。 natid NAT网关实例 ID。 vpcid NAT 网关实例所属的VPC ID。 protocol 流量的 IAM协议编号。更多信息，请转到分配的 Internet 协议 编号。 srcaddr 源 IP。 srcport 流量的源端口。 dstaddr 目标 IP。 dstport 流量的目标端口。 natip 公网NAT网关实例的EIP natport 公网NAT网关实例时，表示公网NAT网关实例绑定的EIP的端口。 bytesfrompub 公网NAT网关实例时，表示来自公网的字节数（投递时间间隔内的累计值）。 pktsfrompub 公网NAT网关实例时，表示来自公网的数据包数量（投递时间间隔内的累计值）。 bytesfromvpc 来自VPC的数据包字节数（投递时间间隔内的累计值）。 pktsfromvpc 来自VPC的数据包数量（投递时间间隔内的累计值）。 state 会话活跃状态：活跃连接、非活跃连接 starttime 会话日志建立的时间（以 Unix 秒为单位）。 endtime 会话日志停止的时间（以 Unix 秒为单位）。 logstatus 流日志的日志记录状态： OK：表示数据正常记录到指定目标（以日志是否投递成功作为判断）。 NODATA：表示捕获窗口中没有传入或传出网络流量，此时“packets”和“bytes”字段会显示为“1”。 SKIPDATA：表示捕获窗口中跳过了一些流日志记录。可能是内部容量限制或内部错误引起的。 tcpflages 部分TCP的标志位和对应的掩码值如下： ● SYN：2 ● SYN,ACK：18 ● RST：4 ● PSH：8 ● URG：32 ● FIN：1 关于TCP标志通用信息（例如SYN、FIN、ACK、RST等标志的含义），请参见RFC: 793。

计费模式 加入共享带宽 到期和欠费 允许操作 包年包月 不支持加入共享带宽 弹性IP进入冻结状态；持续不进行续费，弹性IP将被销毁。 销毁前可随时进行续费；已绑定弹性IP可从已绑定资源解绑；未绑定弹性IP不可绑定资源。 按带宽按量付费方式和按实际流量付费方式 未加入共享带宽 弹性IP进入冻结状态；持续不进行续费，弹性IP将被销毁。 可随时进行充值；销毁前进行充值，弹性IP恢复服务；已绑定弹性IP可从已绑定资源解绑；未绑定弹性IP不可绑定资源；不可以加入共享带宽。 按带宽按量付费方式和按实际流量付费方式 加入包年包月共享带宽 欠费时，如果共享带宽未到期，则弹性IP进入冻结状态；持续不进行续费，弹性IP将被销毁。 可随时进行充值；销毁前进行充值，弹性IP恢复服务；已绑定弹性IP可从已绑定资源解绑；未绑定弹性IP不可绑定资源；可以从共享带宽移出。 按带宽按量付费方式和按实际流量付费方式 加入按量计费共享带宽 欠费时，共享带宽和弹性IP一起进入冻结状态；持续不进行续费，弹性IP和共享带宽均会被销毁。 可随时进行充值；销毁前进行充值，弹性IP和共享带宽恢复服务；已绑定弹性IP可从已绑定资源解绑；未绑定弹性IP不可绑定资源；可以从共享带宽移出。

自定义网络ACL 假设您需要指定子网内的某个弹性云服务器做Web服务器，您需要在入方向需要放通HTTP 80和HTTPS 443端口，出方向全部放通。当您启用网络ACL时防护时，需要配置相应的网络ACL规则。 方向 动作 协议 源地址 源端口范围 目的地址 目的端口范围 说明 :::::::: 入方向 允许 TCP 0.0.0.0/0 165535 0.0.0.0/0 80 允许所有IP地址通过HTTP协议入站访问子网内的弹性云服务器的80端口。 入方向 允许 TCP 0.0.0.0/0 165535 0.0.0.0/0 443 允许所有IP地址通过HTTPS协议入站访问子网内的弹性云服务器的443端口。 出方向 允许 全部 0.0.0.0/0 全部 0.0.0.0/0 全部 允许子网内所有出站流量的数据报文通过。 网络ACL相当于一个额外的保护层，如果您的安全组规则配置不当，网络ACL规则也仅允许HTTP 80和HTTPS 443的访问，拒绝其他的入站访问流量。 注意 对于地域资源池来说，无论是入方向规则还是出方向规则，请确保每个方向都存在允许响应流量出入的规则。 临时端口 不同类型的客户端发起请求时使用的端口不同，您需要根据自己使用的或作为通信目标的客户端的类型为网络ACL使用不同的端口范围。常用客户端的临时端口范围如下。 客户端 端口范围 Linux 3276861000 Windows Server 2003 10255000 Windows Server 2008及更高版本 4915265535

本章节主要向您介绍如何删除安全组与安全组规则。 删除安全组 操作场景 当您的安全组不需要使用时，您可以删除不需要的安全组。 约束与限制 系统自带的默认安全组不能删除，默认安全组名称为default。 当安全组已关联至其他服务实例时，比如云主机、云容器、云数据库等，此安全组无法删除。请您将实例从安全组中移出后，重新尝试删除安全组。 当安全组作为“源地址”或者“目的地址”，被添加在其他安全组的规则中时，此安全组无法删除，需要删除该条规则或修改规则，然后重新尝试删除安全组。 比如，安全组sgB中有一条安全组规则的“源地址”设置为安全组sgA，则需要删除或者更改sgB中的该条规则，才可以删除sgA。 操作步骤 1. 登录管理控制台，进入“虚拟私有云>访问控制>安全组”。 2. 在安全组列表中，选择目标安全组所在行的操作列下的“更多 > 删除”，弹出删除确认对话框。 3. 根据界面提示完成确认，确认无误后单击“确定”，删除安全组。 删除安全组规则 操作场景 当您不需要通过某条安全组规则控制流量流入/流出安全组内实例时，您可以删除安全组规则。 约束与限制 当您删除安全组规则前，请您务必了解该操作可能带来的影响，避免误删除造成网络中断或者引入不必要的网络安全问题。 安全组规则遵循白名单原理，当在规则中没有明确定义允许或拒绝某条流量时，安全组一律拒绝该流量流入或者流出实例。

本章节介绍如何通过接入微服务治理中心实现应用变更时的无损上线与无损下线 概述 无损上线主要通过服务预热和延迟注册实现，无损下线主要通过应用优雅停机实现。假设有应用appa和appb两个应用，appa一直都有请求调用appb，本文演示在appb上线与下线时，如何实现无损上线与下线。 前提条件 用户已开通微服务治理中心企业版。 背景信息 在微服务架构中，在应用变更时，会涉及到应用的上线与下线，若处理不当，此时会造成一些请求异常。因此，在请求量大的应用系统中，为了避免应用变更带来的错误请求，一般会选择在半夜这种流量较小的时候发布。在半夜发布虽然避免了对业务造成较大的影响，但却不能从根本上解决问题，同时也会造成较大的运维成本。基于以上背景，微服务治理中心在应用发布的过程中，提供了服务延迟注册、服务预热、主动通知下线、主动等待等手段，实现了应用变更的无损上线与下线，有效避免了流量损失，降低研发运维成本。 准备工作 部署Demo应用 本文准备两个应用，分别是appa和appb，其中调用关系为appa>appb。 部署一个appa： 部署一个appb： 启动脚本访问appa>appb： 此时查看微服务治理中心控制台，appa和appb都有流量。

如果您已经创建天翼云VPN网关，并且创建了SSL服务端和SSL客户端，可以对SSL客户端进行流量监控。 操作场景 查看某个SSL客户端的状态监控。 前提条件 您在该区域下有正常状态的启用了SSL功能的VPN网关，并且创建了SSL服务端和SSL客户端。 操作步骤 1. 登录控制中心。 2. 选择“管理与部署”下的“云监控”产品。 3. 选择“云监控服务 ”下的“VPN监控”，进入VPN监控页面。 4. 单击“SSL客户端”，进入SSL客户端监控列表，可以查看SSL客户端的名称、企业项目、绑定的SSL服务端和创建时间等信息。 5. 选择需要查看监控的目标SSL客户端，点击“操作”列中的“查看监控图表”按钮。 6. 在SSL客户端监控详情页面，上方可以查看SSL客户端的详情信息。 7. 在SSL客户端监控详情页面，下方可以查看目标SSL客户端的入方向流量速率、出方向流量速率、入方向数据包速率和出方向数据包速率等监控指标的数据。还可以选择查询的时间范围，设置自动刷新等。 8. 在SSL客户端监控详情页面，针对每一项监控指标，单击图表右上角的“查看”按钮，可以查看该监控指标的详情信息。在该页面，支持修改数据的展示方法（原始值、最大值、最小值、平均值等），支持修改数据的取样间隔（5分钟、20分钟），支持选择查询的时间范围，支持修改数据单位。 9. 选择需要查看监控的目标SSL客户端，点击“操作”列中的“创建告警规则”按钮，可以配置告警服务，具体配置请参考“创建告警规则”。

管控配置 （1） 添加管控配置：点击“添加”可添加新的管控规则。可根据URL分类库和时间组维度对URL进行管控。 （2）分配桌面、查看已分配桌面、编辑策略、管控策略操作与审计配置操作方式一致。 注意事项 （1）上网行为管理采用中间人解密技术，用来解密ssl加密流量，因此，防火墙所在vpc下的AI云电脑需要安装根证书用来解决浏览器告警问题。安装证书的三种方式： 在防火墙控制台开启上网行为，系统将给已绑定防火墙带宽下的AI云电脑安装证书。 手工点击“一键安装证书”，系统将给已绑定防火墙带宽下vpc下的AI云电脑安装证书，例如新增AI云电脑后可点击该按钮。 系统每天在夜间定时给已绑定防火墙带宽下的AI云电脑安装证书。 （2）上网行为默认是开启状态，默认未配置任何策略，即不审计任何流量。 （3）每台AI云电脑可分配一个行为审计策略和一个行为管理策略。 （4）当只审计指定的url时，只支持审计一个url类别，不支持多个url类别。 （5）报告上网审计网站访问记录，包括了AI云电脑里的应用程序产生http（s）协议流量的记录。 （6）报告上网审计，审计记录不是实时产生的，是在连接断开后才产生的，一般是2分钟左右，对长连接，会久一些才产生记录。 （7）下发证书后，如果浏览器报证书问题，重启一下浏览器。

本章节介绍应用容灾多活的接入层配置。 概述 在应用分层架构中，接入层能够在不同应用节点间分配流量，实现故障转移（failover）和故障恢复（failback）。 应用容灾多活为每个站点配置网关集群实例，承接业务外部流量，实现流量识别、路由计算以及转发纠错。 前提条件 已开通接入层功能模块。 已完成系统架构配置以及路由规则配置。 已在每个站点所属资源池创建云原生网关（链接到云原生网关文档）实例。 已按规划打通网关实例与转发目的网络，具体操作可参考虚拟私有云VPC（链接到VPC文档）等网络产品套件。 绑定网关 1. 登录应用高可用服务控制台。 2. 单击左侧菜单栏应用容灾多活 ，在应用容灾多活菜单下单击数据双活/应用双活 ，进入数据双活/应用双活管理页面。 3. 在应用系统列表中找到需要配置的应用系统，单击应用系统名称 ，进入应用系统概览页面。 4. 单击左侧导航栏容灾配置 ，在容灾配置菜单下单击接入层配置 ，进入容灾配置接入层配置页面。 5. 在站点网关列表，单击所选站点操作列选择网关 按钮，弹出接入层网关选择页面。 6. 在接入层网关实例列表，单击所选网关实例操作列选择按钮，完成站点网关实例绑定。 7. 如需调整网关实例，单击所选站点操作列移除网关按钮，根据界面提示解绑后重新绑定即可。 注意 多活系统会将路由规则推送至绑定的网关实例，请勿将已绑定网关实例移作他用，以免产生路由冲突。

本节介绍云下一代防火墙产品优势。 具有全面适应能力的软件防火墙 在云计算环境中，用户的计算、存储、数据资源都是运行在服务器的虚拟机上，在考虑安全防护的设计时，云下一代防火墙可在云主机上实现快速灵活的部署，支持在VMware、KVM、HyperV、XEN等主流虚拟化平台运行，可串联或单臂连接到虚拟网络中（如：虚拟应用服务器前端的网关，或者是VPC网络的边界网关），为虚拟网络或应用提供专业的边界网络安全防护功能。 以虚拟机形式部署设备，能够克服物理防火墙的限制，在云计算环境中可部署于更加靠近云主机的位置，对于云主机内部流量进行过滤，实现同时对于南北向和东西向流量的安全防护。同时，用户可以根据网络搭建需求，弹性调配和管理网络资源等，并且能够按需进行灵活迁移，充分发挥云计算优势。 拥有专业NGFW安全防护功能 云下一代防火墙拥有与NGFW相同的操作系统，具有丰富的网络安全防护功能，对网络威胁进行防御，能够满足企业分支及公有云多租户环境中的网络安全需求。 具备精细化应用管控，可为用户提供多维的应用风险分析和筛选，以及灵活的安全控制，包括策略阻止、会话限制、应用引流和智能流量管理等。同时，还具备入侵防御、病毒过滤、攻击防护、NAT等功能，满足客户对安全访问，攻击防护以及应用识别和控制等需求。 具备HA组网能力，满足配置和会话同步的要求，从而实现高可靠的冗余部署，保障用户业务的不间断连续运营。

指标ID 指标名称 指标含义 取值范围 测量对象 监控周期（原始指标） requests 请求量 该指标用于统计测量对象近5分钟内WAF返回的请求量的总数。 单位：次 采集方式：统计防护域名请求量的总数 ≥0 次 值类型：Float 防护域名 5分钟 wafhttp2xx WAF返回码（2XX） 该指标用于统计测量对象近5分钟内WAF返回的2XX状态码的数量。 单位：次 采集方式：统计WAF引擎返回的2XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 wafhttp3xx WAF返回码（3XX） 该指标用于统计测量对象近5分钟内WAF返回的3XX状态码的数量。 单位：次 采集方式：统计WAF引擎返回的3XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 wafhttp4xx WAF返回码（4XX） 该指标用于统计测量对象近5分钟内WAF返回的4XX状态码的数量。 单位：次 采集方式：统计WAF引擎返回的4XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 wafhttp5xx WAF返回码（5XX） 该指标用于统计测量对象近5分钟内WAF返回的5XX状态码的数量。 单位：次 采集方式：统计WAF引擎返回的5XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 waffusedcounts WAF熔断量 该指标用于统计测量对象近5分钟内被WAF熔断保护的请求数量。 单位：次 采集方式：统计防护域名被熔断保护的请求数量 ≥0 次 值类型：Float 防护域名 5分钟 inboundtraffic 入网总流量 该指标用于统计测量对象近5分钟内总入带宽的大小。 单位：Mbit 采集方式：统计近5分钟内总入带宽的大小 ≥0 Mbit 值类型：Float 防护域名 5分钟 outboundtraffic 出网总流量 该指标用于统计测量对象近5分钟内总出带宽的大小。 单位：Mbit 采集方式：统计近5分钟内总出带宽的大小 ≥0 Mbit 值类型：Float 防护域名 5分钟 wafprocesstime0 WAF处理时延区间[010ms) 该指标用于统计测量对象近5分钟内WAF处理时延在区间[010ms)内的总数量。 单位：次 采集方式：统计近5分钟内WAF处理时延在区间[010ms)内的总数量 ≥0 次 值类型：Float 防护域名 5分钟 wafprocesstime10 WAF处理时延区间[1020ms) 该指标用于统计测量对象近5分钟内WAF处理时延在区间[1020ms)内的总数量。 单位：次 采集方式：统计近5分钟内WAF处理时延在区间[1020ms)内的总数量 ≥0 次 值类型：Float 防护域名 5分钟 wafprocesstime20 WAF处理时延区间[2050ms) 该指标用于统计测量对象近5分钟内WAF处理时延在区间[2050ms)内的总数量。 单位：次 采集方式：统计近5分钟内WAF处理时延在区间[2050ms)内的总数量 ≥0 次 值类型：Float 防护域名 5分钟 wafprocesstime50 WAF处理时延区间[50100ms) 该指标用于统计测量对象近5分钟内WAF处理时延在区间[50100ms)内的总数量。 单位：次 采集方式：统计近5分钟内WAF处理时延在区间[50100ms)内的总数量 ≥0 次 值类型：Float 防护域名 5分钟 wafprocesstime100 WAF处理时延区间[1001000ms) 该指标用于统计测量对象近5分钟内WAF处理时延在区间[1001000ms)内的总数量。 单位：次 采集方式：统计近5分钟内WAF处理时延在区间[1001000ms)内的总数量 ≥0 次 值类型：Float 防护域名 5分钟 wafprocesstime1000 WAF处理时延区间[1000+ms) 该指标用于统计测量对象近5分钟内WAF处理时延在区间[1000+ms)内的总数量。 单位：次 采集方式：统计近5分钟内WAF处理时延在区间[1000+ms)内的总数量 ≥0 次 值类型：Float 防护域名 5分钟 qpspeak QPS峰值 该指标用于统计近5分钟内防护域名的QPS峰值。 单位：次 采集方式：统计近5分钟内防护域名的QPS峰值 ≥0 次 值类型：Float 防护域名 5分钟 qpsmean QPS均值 该指标用于统计近5分钟内防护域名的QPS均值。 单位：次 采集方式：统计近5分钟内防护域名的QPS均值 ≥0 次 值类型：Float 防护域名 5分钟 wafhttp0 无返回的WAF状态码 该指标用于统计测量对象近5分钟内WAF无返回的状态响应码的数量。 单位：次 采集方式：统计近5分钟内WAF无返回的状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 upstreamcode2xx 业务返回码（2XX） 该指标用于统计测量对象近5分钟内业务返回的2XX系列状态响应码的数量。 单位：次 采集方式：统计近5分钟内业务返回的2XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 upstreamcode3xx 业务返回码（3XX） 该指标用于统计测量对象近5分钟内业务返回的3XX系列状态响应码的数量。 单位：次 采集方式：统计近5分钟内业务返回的3XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 upstreamcode4xx 业务返回码（4XX） 该指标用于统计测量对象近5分钟内业务返回的4XX系列状态响应码的数量。 单位：次 采集方式：统计近5分钟内业务返回的4XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 upstreamcode5xx 业务返回码（5XX） 该指标用于统计近5分钟内业务返回的5XX系列状态响应码的数量。 单位：次 采集方式：统计近5分钟内业务返回的5XX系列状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 upstreamcode0 无返回的业务状态码 该指标用于统计测量对象近5分钟内业务无返回的状态响应码的数量。 单位：次 采集方式：统计近5分钟内业务无返回的状态响应码的数量 ≥0 次 值类型：Float 防护域名 5分钟 inboundtrafficpeak 入网流量的峰值 该指标用于统计近5分钟内防护域名入网流量的峰值。 单位：Mbit/s 采集方式：统计近5分钟内防护域名入网流量的峰值 ≥0 Mbit/s 值类型：Float 防护域名 5分钟 inboundtrafficmean 入网流量的均值 该指标用于统计近5分钟内防护域名入网流量的均值。 单位：Mbit/s 采集方式：统计近5分钟内防护域名入网流量的均值 ≥0 Mbit/s 值类型：Float 防护域名 5分钟 outboundtrafficpeak 出网流量的峰值 该指标用于统计近5分钟内防护域名出网流量的峰值。 单位：Mbit/s 采集方式：统计近5分钟内防护域名出网流量的峰值 ≥0 Mbit/s 值类型：Float 防护域名 5分钟 outboundtrafficmean 出网流量的均值 该指标用于统计近5分钟内防护域名出网流量的均值。 单位：Mbit/s 采集方式：统计近5分钟内防护域名出网流量的均值 ≥0 Mbit/s 值类型：Float 防护域名 5分钟 attacks 攻击总次数 该指标用于统计近5分钟内防护域名攻击请求量的总数。 单位：次 采集方式：统计近5分钟内防护域名攻击请求量的总数 ≥0 次 值类型：Float 防护域名 5分钟 crawlers 爬虫攻击次数 该指标用于统计近5分钟内防护域名爬虫攻击请求量的总数。 单位：次 采集方式：统计近5分钟内防护域名爬虫攻击请求量的总数 ≥0 次 值类型：Float 防护域名 5分钟 baseprotectioncounts web基础防护次数 该指标用于统计近5分钟内由Web基础防护规则防护的攻击数量。 单位：次 采集方式：统计近5分钟内由Web基础防护规则防护的攻击数量 ≥0 次 值类型：Float 防护域名 5分钟 preciseprotectioncounts 精准防护次数 该指标用于统计近5分钟内由精准防护规则防护的攻击数量。 单位：次 采集方式：统计近5分钟内由精准防护规则防护的攻击数量 ≥0 次 值类型：Float 防护域名 5分钟 ccprotectioncounts cc防护次数 该指标用于统计近5分钟内由CC防护规则防护的攻击数量。 单位：次 采集方式：统计近5分钟内由CC防护规则防护的攻击数量。 ≥0 次 值类型：Float 防护域名 5分钟

步骤五：测试连通性 完成上述步骤后，您可以测试路由连通性并查看两条物理专线是否负载分担流量。

OOS提供多种类型的资源包，用于抵扣用户在使用过程中产生的各部分费用。但是请注意，一种类型的资源包只能抵扣一种计费项，并且超出了资源包的额度之后，仍会产生按需计费。 以下排查思路根据原因的出现概率进行排序，建议您从高频率原因往低频率原因排查，从而帮助您快速找到问题根因。 如果处理完某个可能原因仍未解决问题，请继续排查其他可能原因。 1. 判断是否已经购买了对应的资源包：目前支持的资源包有标准（低频）存储空间包、标准（低频）公网流出流量包、标准（低频）请求次数包、标准（低频）CN2流出流量包。不同资源包抵扣的费用不同，请确认是否已经购买了产生按需费用的计费项所对应的资源包。如果未购买，产生按需计费的费用为正常现象；如果已购买，请继续按照下面的思路排查。 2. 判断资源包额度是否超出：如果当月使用量超出已购买资源包的额度，超出部分将自动转为按需计费。资源包支持叠加使用，您可以购买新的资源包进行补充，但新购买的资源包不能抵扣已产生的资源用量。如果资源包额度已超出，产生按需计费的费用为正常现象；如果资源包额度未超出，请继续按照下面的思路排查。 3. 判断资源包属性与按需计费资源的属性是否匹配：对于支持包年包月的资源包，只有当资源包的区域（中国大陆通用和中国香港）、存储类别（标准型和低频访问型）与按需计费资源的属性完全一致时，才会抵扣资源包，否则会按需计费。需要依次排查以下属性： 区域匹配 ：资源包仅支持抵扣同区域桶的费用，请确保存储桶（Bucket）所在区域和资源包所属区域一致，否则请重新创建存储桶（Bucket）或重新购买资源包，使其区域属性匹配。 存储包类型匹配 ：OOS提供标准存储资源包和低频访问型资源包，分别用于抵扣标准存储类别文件和低频访问类别文件的费用。 如果上述要求有一项不满足，产生按需计费的费用为正常现象；如果上述要求均满足，请继续按照下面的思路排查。 4. 判断是否产生了资源包未涵盖的计费项：OOS的计费项分为存储空间费用、公网流出流量费用、请求费用、数据取回费用。而资源包只有资源包有标准（低频）存储空间包、标准（低频）公网流出流量包、标准（低频）请求次数包、标准（低频）CN2流出流量包。如果存在低频的数据取回费用，产生按需计费的费用属于正常现象。 5. 提交工单：如果上述方法均不能解决您的疑问，请提交工单，联系天翼云客服为您解答。

创建迁移作业 1. 选择“表/文件迁移 > 新建作业”，开始创建数据迁移任务，如下图“创建MySQL到Hive的迁移任务”所示。 说明 “导入前清空数据”选“是”，这样每次导入前，会将之前已经导入到Hive表的数据清空。 2. 作业参数配置完成后，单击“下一步”，进入字段映射界面，如下图“Hive字段映射”所示。 映射MySQL表和Hive表字段，Hive表比MySQL表多三个字段y、ym、ymd，即是Hive的分区字段。由于没有源表字段直接对应，需要配置表达式从源表的StartDate字段抽取。 3. 单击 进入转换器列表界面，再选择“新建转换器 > 表达式转换”，如下图“配置表达式”所示。 y、ym、ymd字段的表达式分别配置如下： DateUtils.format(DateUtils.parseDate(row[2],"yyyyMMdd HH:mm:ss.SSS"),"yyyy") DateUtils.format(DateUtils.parseDate(row[2],"yyyyMMdd HH:mm:ss.SSS"),"yyyyMM") DateUtils.format(DateUtils.parseDate(row[2],"yyyyMMdd HH:mm:ss.SSS"),"yyyyMMdd") 说明 CDM的表达式已经预置常用字符串、日期、数值等类型的字段内容转换。 4. 单击“下一步”配置任务参数，一般情况下全部保持默认即可。 该步骤用户可以配置如下可选功能： 作业失败重试：如果作业执行失败，可选择是否自动重试，这里保持默认值“不重试”。 作业分组：选择作业所属的分组，默认分组为“DEFAULT”。在CDM“作业管理”界面，支持作业分组显示、按组批量启动作业、按分组导出作业等操作。 是否定时执行：如果需要配置作业定时自动执行，请参见 配置定时任务。这里保持默认值“否”。 抽取并发数：设置同时执行的抽取任务数。这里保持默认值“1”。 是否写入脏数据：如果需要将作业执行过程中处理失败的数据、或者被清洗过滤掉的数据写入OBS中，以便后面查看，可通过该参数配置，写入脏数据前需要先配置好OBS连接。这里保持默认值“否”即可，不记录脏数据。 作业运行完是否删除：这里保持默认值“不删除”。 5. 单击“保存并运行”，回到作业管理界面，在作业管理界面可查看作业执行进度和结果。 6. 作业执行成功后，单击作业操作列的“历史记录”，可查看该作业的历史执行记录、读取和写入的统计数据。 在历史记录界面单击“日志”，可查看作业的日志信息。

本节介绍云容器引擎的最佳实践：容器升级业务不中断。 应用场景 在 Kubernetes 集群中，常见的应用部署模式是使用 Deployment 与 LoadBalancer 类型的Service 对外提供访问。在进行应用更新或升级时，Deployment 会创建新的 Pod 并逐步替换旧的 Pod，但在这个过程中可能会出现服务中断的情况。 解决方案 为了最大程度的减少服务中断，我们可以采取一系列措施： 设置滚动更新策略：通过设置Deployment的滚动更新策略来控制更新的速度，可以指定更新期间的最大不可用副本数（maxUnavailable）和同时可用的最大副本数（maxSurge），通过合理设置这些参数，可以确保在更新过程中保持足够的可用性。 健康检查和就绪探针：在容器中配置健康检查和就绪探针，确保新Pod在完全就绪之前不会接收流量，从而减少中断。 外部负载均衡器配置：如果使用LoadBalancer类型的Service对外提供访问，可以配置服务对外部请求的负载均衡行为，主要包括以下两种： 1. Cluster：默认模式，外部流量可以转发到其它节点上的Pod，转发时会替换掉报文的源IP为上一个转发节点的地址。 2. Local：外部流量只会发给本机的Pod，转发时会保留源IP。 实践 登录云容器引擎控制台，单击集群名称进入集群 左侧菜单栏选择工作负载，在工作负载列表中，单击无状态进入Deployment列表页，单击创建新Deployment，进入Deployment配置页面。 单击显示 高级设置，升级策略处可以自定义MaxSurge与MaxUnavailable。本示例中配置最大不可用副本数为25%，同时可用的最大副本数为25%，用于控制工作负载的滚动步长。 在实例内容器选框位置，单击显示 高级设置，容器健康检查选区可以设置存活检查与就绪检查。本示例为TCP端口检查，请根据应用实际情况进行设置，配置就绪检查的启动延时探测时间为20s，用于控制工作负载滚动更新的时间间隔。 在实例内容器选框位置，单击显示 高级设置，对容器进行停止前处理，可以设置为工作负载收到删除请求后休眠30s，使其具备充足的时间来处理剩余请求，保证服务正常运行。 左侧菜单栏选择网络，在网络列表中，单击服务进入Service列表，单击创建服务，进入Service配置页面。 服务类型选择负载均衡，下方访问设置处会出现外部流量策略选框，用户可以自行选择Cluster类型流量策略或Local类型流量策略。 单击显示 高级设置，可以选择Session Affinty方式。 1. None：Kubernetes不会保持与特定客户端的会话状态，每个请求都根据负载均衡算法独立地路由到后端Pod，意味着即使是来自同一客户端的连续请求，也可能被发送到不同的后端Pod上，从而不会保持会话状态。 2. 客户端IP：Kubernetes将使用客户端的IP地址来决定将请求路由到哪个后端Pod，同一个客户端的请求始终转发至同一个后端的Pod对象。 设置完成后，进入Deployment列表页，选择某个工作负载，单击右侧重新部署，重启方式选择滚动重启，可以看到新实例被首先创建出来，然后停止旧的实例，确保始终有实例正在运行。

Web攻击 针对用户上网行为或网站服务器等设备进行攻击的行为。 系统提权 利用现有的信息对已经获取的系统进行提权从而获取最高控制权限。 隐蔽通道 隐蔽通道指通过各种技术手段将数据流量隐藏在常规网络流量中，以绕过安全设备和监管，从而实现网络穿透、恶意攻击或数据窃取等目的的行为。

步骤三：访问OBS服务 请确保您的本地数据中心已通过虚拟专用网络或者云专线与VPC连通。 虚拟专用网络VPN网关允许访问的VPC子网网段，需要包含OBS的网段，详细请联系对象存储服务的产品经理获取。 专线虚拟网关允许访问的VPC子网网段，需要包含OBS的网段，详细请联系对象存储服务的产品经理获取。 操作步骤 1. 在“终端节点”列表，单击创建的连接DNS服务的终端节点ID，查看该终端节点的“节点IP”。 2. 在用户本地数据中心的DNS服务器配置相应的DNS转发规则，将解析OBS域名的请求转发到连接DNS服务的终端节点。不同操作系统中配置DNS转发规则的方法不同，具体操作请参考对应DNS软件的操作指导。 3. 配置用户本地数据中心节点到VPN网关或者专线网关的DNS路由。为了通过VPN或者云专线访问DNS，需要将用户本地数据中心节点访问DNS的流量指向用户本地数据中心节点的专线网关或者VPN网关。在用户本地数据中心节点配置永久路由，指定访问DNS的流量下一跳为用户本地数据中心节点专线网关或者VPN网关的IP地址。 route p add xx.xx.xx.xx mask 255.255.255.255 xxx.xxx.xxx.xxx 说明 不同操作系统的Route命令格式存在差异，请以用户实际操作系统对应的Route命令格式为准。 4. 配置用户本地数据中心节点到VPN网关或者专线网关的OBS路由。连接OBS服务的终端节点的IP地址网段为100.125.0.0/16，为了通过VPN或者云专线访问OBS，需要将用户本地数据中心节点访问OBS服务的流量指向用户本地数据中心节点的专线网关或者VPN网关。在用户本地数据中心节点配置永久路由，指定访问OBS的流量下一跳为用户本地数据中心节点专线网关或者VPN网关的IP地址。 route p add 100.125.0.0 mask 255.255.0.0 xxx.xxx.xxx.xxx 5. 在本地数据中心，通过以下命令验证本地数据中心与OBS的连通性。 1. bucketname：表示OBS的桶名称。 2. endpoint：表示桶所在区域的终端节点（区域域名）。您可以向企业管理员获取不同区域OBS的Endpoint信息。 telnet bucketname.endpoint

本文主要介绍如何配置健康检查。 您可以在添加监听器时配置健康检查。通常，使用默认的健康检查配置即可。 健康检查与ELB的后端协议是两个相互独立的能力，所以健康检查协议可以与ELB的后端协议相同，也可以不同。 为了减少后端云主机的CPU占用，建议您使用TCP协议做健康检查。如果您希望使用HTTP健康检查协议，建议使用HTTP+静态文件的方式。 通过增加“检查间隔”，可以降低健康检查的检测频率。 开启健康检查后不会影响已建立连接的流量转发，负载均衡会立即对后端云主机执行健康检查。如果健康检查正常，则新建连接的流量会根据分配策略和权重向该云主机转发流量；如果健康异常，则系统会设置该云主机状态为异常，不转发新的流量到该云主机。建议挑选无业务时间段执行此操作。 请求不会转发到权重为0的后端云主机上，此时健康检查状态没有参考意义。 配置独享型负载均衡健康检查 1. 登录管理控制台。 2. 在管理控制台左上角选择区域和项目。 3. 选择“服务列表 > 网络 > 弹性负载均衡”。 4. 在“负载均衡器”界面，单击需要开启健康检查的负载均衡名称。 5. 在“后端主机组”页签下，选择需要开启健康检查的后端主机组名称。 6. 在基本信息页面，单击“健康检查”右侧的“配置”。 7. 在“配置健康检查”界面，可根据需要开启健康检查。 独享型负载均衡配置健康检查参数说明表 参数 说明 示例 ::: 是否开启 开启或者关闭健康检查。 协议 健康检查支持TCP、HTTP、HTTPS方式，设置后不可修改。 当前端协议选择UDP，健康检查协议默认为UDP。 HTTP 域名 健康检查的请求域名。 默认值为空，由数字、字母、‘’、‘.’组成的字符串，只能以数字或字符开头。 只有健康检查协议为HTTP时，需要设置。 www.elb.com 高级配置 检查间隔（秒） 每次健康检查响应的最大间隔时间。 取值范围[150]。 5 超时时间（秒） 每次健康检查响应的最大超时时间。取值范围[150]。 3 检查路径 指定健康检查的URL地址。当“协议”为HTTP时生效。检查路径只能以/开头，长度范围[180]。 支持使用英文字母、数字和‘’、‘/’、‘.’、‘%’、‘&’以及特殊字符~';@$+,!:()。 /index.html 最大重试次数 健康检查最大的重试次数，取值范围[110]。 3 8. 单击“完成“。

禁用规则 1. 登录公共算力服务控制台。 2. 单击左侧导航栏的【网络>子网ACL】，进入子网ACL列表。 3. 在子网ACL列表页点击【配置规则】进入到子网ACL详情页面。 4. 点击入/出方向规则中某一规则操作栏的【禁用】执行规则禁用。 子网ACL默认规则 1. 默认入方向规则 2. 默认出方向规则 说明： 1. 子网ACL创建后包含默认的入方向规则和出方向规则： 入方向规则：拒绝所有入方向流量，优先级低于自定义ACL规则。 出方向规则：拒绝所有出方向流量，优先级低于自定义ACL规则。 2. 默认策略禁止修改、删除和禁用，优先级最低。

为什么选择弹性云主机 选择弹性云主机，您可以轻松构建具有以下优势的计算资源： 无需自建机房，无需采购以及配置硬件设施。 分钟级交付，快速部署，缩短应用上线周期。 成本透明，按需使用，支持根据业务波动随时扩展和释放资源。 提供GPU云主机以及通用x86/ARM架构云主机。 支持通过内网访问其他天翼云服务，形成丰富的行业解决方案，降低公网流量成本。 提供安全组、ACL、角色权限控制、防流量攻击等多重安全方案。 提供性能监控框架和主动运维体系。 提供行业通用标准API，提高易用性和适用性。 管理方式 天翼云提供如下方式进行云主机的配置和管理： 控制台：天翼云提供Web化的服务管理平台，即控制台。 OpenAPI：天翼云提供基于HTTPS请求的API（Application programming interface）管理方式。