场景描述 方向 协议/应用 端口 通过Web浏览器登录云堡垒机（HTTPS） 入方向 TCP 443 通过MSTSC客户端登录云堡垒机 入方向 TCP 53389 通过SSH客户端登录云堡垒机 入方向 TCP 2222 通过FTP客户端登录云堡垒机 入方向 TCP 20~21 通过云堡垒机的SSH协议远程访问Linux云服务器 出方向 TCP 22 通过云堡垒机的RDP协议远程访问Windows云服务器 出方向 TCP 3389 通过云堡垒机访问Oracle数据库 入方向 TCP 1521 通过云堡垒机访问Oracle数据库 出方向 TCP 1521 通过云堡垒机访问MySQL数据库 入方向 TCP 33306 通过云堡垒机访问MySQL数据库 出方向 TCP 3306 通过云堡垒机访问SQL Server数据库 入方向 TCP 1433 通过云堡垒机访问SQL Server数据库 出方向 TCP 1433 通过云堡垒机访问DB数据库 入方向 TCP 50000 通过云堡垒机访问DB数据库 出方向 TCP 50000 同一安全组内通过SSH客户端登录云堡垒机 出方向 TCP 2222 短信服务 出方向 TCP 10743、443 DNS域名解析 出方向 UDP 53

查询条件 具体含义 必填/选填 自定义参数 已配置url监控项的拦截header指定key值、拦截url参数指定key值、拦截cookie指定key值参数后，在这里可以设置keyvalue进行搜索。 选填 全局Trace ID 调用链的全局TraceID，填写该搜索条件后，其他搜索条件全部失效，只根据该全局TraceID搜索。 选填 应用码 已配置url监控项的业务code采集长度限制、解析业务code的key、业务code的正确值参数后，会采集相应的应用码，这里可以根据应用码进行搜索。 选填

本文介绍如何删除WAF接入的域名。 域名还未完全接入WAF 如果要删除的防护域名没有完全接入WAF，可直接在域名列表删除防护域名。 域名已接入WAF进行防护 域名接入防护后，用户请求链路如下。如果要删除的防护域名已经接入WAF，请先到DNS服务商处，将该域名重新解析，指向源站服务器地址，然后再删除WAF上接入的域名，从而保证用户业务不中断，否则，如果直接删除WAF上接入的域名，将会导致用户业务不可用。

接口功能介绍 解析IP或端口 接口约束 传参规范 URI GET /vfw/v2addresscontentresolve 路径参数 无 Query参数 参数 是否必填 参数类型 说明 示例 下级对象 groupId 是 Integer 地址簿id 10 addressType 是 String 地址簿类型v4;v6;port v4 contents 是 String ip/端口 ["1.1.1.1"] 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 urlType 是 String 请求地址类型 CTAPI regionId 是 String 资源池id 100054c0416811e9a6690242ac110002 请求体body参数 无 响应参数 参数 参数类型 说明 示例 下级对象 statusCode String 状态码 message String 返回信息 成功 error String 错误码：CFW0000 :成功!;CFW0001:参数错误！;CFW0002：业务错误！ CFW0000 returnObj Array of Objects 接口返回结果 GroupIp 表 GroupIp 参数 参数类型 说明 示例 下级对象 description String 地址簿描述 描述 content String ip/端口 v4

本小节介绍Web应用防火墙术语解释。 域名解析 域名解析（Domain Name Resolution）指互联网上服务器相互间通过IP地址来建立通信，但是为了方便记忆，采用域名代替IP地址标识站点地址，让人们通过注册的域名可以方便地访问到业务的一种服务。域名解析就是域名到IP地址的转换过程。 常用域名解析类型： A记录：用来指定域名的IPv4地址。 AAAA记录：用来指定域名的IPv6地址。 CNAM记录：将域名指向另一个域名，再由另一个域名来提供IP地址。最常用CNAME的场景包括使用CDN、云WAF、企业邮箱与高防DDoS等。 MX记录：用于电子邮件系统发邮件时根据收信人的地址后缀来定位邮件服务器。 TXT记录：用于对域名进行标识和说明，进行SPF反垃圾邮件。 Web应用 Web应用（Web Application）指通过浏览器即可访问的应用程序。 源站 源站（Source Application Server）指实际业务所处的站点，通常也代指源站公网IP及后端到达真实应用服务器间的整个网络拓扑环境。 回源IP 回源IP（Return Source IP Address）指开启云WAF防护后，云WAF用来与源站服务器建立网络连接的公网IP地址。 CC攻击 CC攻击（Challenge Collapsar Attack）指攻击者借助自动化工具脚本模拟多个用户持续向网站发送大量合法请求，造成服务器资源耗尽直至业务不可用。 SSL 证书 SSL 证书（Secure Sockets Layer）及其继任者 TLS（Transport Layer Security）是网络通信的一种安全协议，具有服务器身份验证和数据传输加密功能，为互联网间的数据传输提供安全性与完整性保障。SSL证书遵循SSL协议，可安装在服务器上，实现数据传输加密。

字段 场景 是否必填 字段说明 连接器集群名称 远程办公/办公组网/全球加速 是 给您的连接器集群命名，方便您区分对应的网络数据中心。 描述 远程办公/办公组网/全球加速 否 给您的连接器集群进行描述，方便您对连接器集群进行区分和记忆。 使用场景 远程办公/办公组网/全球加速 是 支持单选或者多选远程办公、办公组网、全球加速。 部署模式 办公组网 是 使用场景仅办公组网时，出现部署模式配置。支持配置为： 加速模式：在全球或区域范围内设置多个 POP 点，企业分支机构先连接到就近的 POP 点，POP 点之间通过专线骨干网互联，然后再通过 POP 点连接到企业总部、数据中心或云资源等。适用于分支众多、有跨省或跨国业务的中大型企业，尤其是对网络性能、安全和管理效率要求较高，需要频繁访问云资源或与多个分支机构进行数据交互的企业。 连接模式：远程办公地点或分支机构直接通过AOne加密方式通过互联网直接连接到企业总部网络，没有中间的 POP 点作为中转，是一种点到点的直接连接方式。适合规模较小、分支机构或远程办公点数量较少，网络需求相对简单，主要是实现与企业总部的直接通信和资源共享，对网络成本较为敏感的企业或组织。 混合模式：连接器集群同时与加速模式和连接模式的其他连接器配为组网。 注意：若您希望该连接器集群同时作为办公组网、办公组网或全球加速共同使用时，部署模式仅支持加速模式。 接入区域 远程办公/办公组网/全球加速 是 请选择连接器集群的部署区域，以便获取最优的接入点。 带宽上限 远程办公/办公组网/全球加速 是 带宽上限将限制集群下所有实例上行+下行带宽之和，如超过则进行限速。 若触发限速，平台将根据实例的实际上行/下行带宽值，按比例进行动态分配，对实例进行限速。 例如：设置带宽上限为15Mbps，此时实例A上行带宽为6Mbps，下行带宽为4Mbps；实例B上行带宽为2Mbps，下行带宽为3Mbps。则平台将对实例A下发上行限速6Mbps，下行限速4Mbps；对实例B下发上行限速2Mbps，下行限速3Mbps。 注意：使用场景为远程办公（中国内地）、办公组网（连接模式）时，不限制带宽上限值。其余使用场景，将限制集群的带宽上限之和不能超过区域的订购带宽值。 连接UDP端口 办公组网 是 部署模式为连接模式时，支持配置连接UDP端口，默认50000。 注意：直连部署模式下进行组网的两个连接器集群，至少有一端可通过公网直接访问。如果有防火墙配置，请设置放行连接器IP及连接UDP端口。 自定义DNS服务器 远程办公/办公组网/全球加速 否 支持设置连接器解析域名的DNS服务器地址，至多填写3个，若填写多个会进行轮询解析，请确保连接器所在服务器和DNS服务器网络连通，若未填写，则使用部署连接器所在的服务器上的DNS服务器地址。 升级方案 远程办公/办公组网/全球加速 是 可选自动升级或手动升级： 自动升级将在工作日按照设定的升级时间段进行自动升级（同集群内多台机器将进行错开升级，保障服务）； 手动升级则由您人工触发升级。 升级过程中若存在异常将自动进行回退，整体升级时间在1分钟左右，若连接器集群仅单连接器，则升级可能存在短暂业务影响，请及时关注。创建连接器集群时配置的升级策略将作为连接器安装实例的初始配置，在您安装完连接器后，您可对安装的连接器实例单独配置升级策略。 升级时间 远程办公/办公组网/全球加速 是 若选择自动升级，则需要选择连接器自动升级时间，若新版本发布后将在自动升级时间点内进行后台推送升级，建议您设置在业务低峰期。

日志审计（原生版）有哪些核心功能和能力？ 支持各类厂商多源异构的数据统一采集，进行支持正则表达式、分隔符，KeyValue、JSON日志解析解析，分类，过滤归并等操作，进行规范化成统一的结构化数据。 支持全文检索，条件检索对所有原始日志内容进行即时在线查询，多条件嵌套逻辑查询，收敛事件范围和事件时候溯源审计。依托大数据底层存储，支持查询结果秒级响应。 支持用户交互式检索审计，并通过柱状图、饼图、折线图、面积图、堆积图、环状图、数值图、地图等形式的统计信息可视化展示，并可将统计结果保存为仪表板和报表。 支持多事件的序列关系，逻辑关系，字段条件逻辑判断等配置，进行实时流的审计分析，关联分析，产生异常审计告警，并实时通知用户处置。 支持对系统中预置报表模板选择生产的时间进行预览、生成报表。支持在报表中以柱状图、曲线图、饼状图方式统计安全报警情况；报表格式支持PDF、Word等。 日志审计（原生版）有哪些应用场景？ 采用日志审计监测、记录和存储网络运行状态和安全事件等信息，实现对系统的全面监控和细致记录，配合多种审计策略，快速定位溯源，全面提升系统服务水平以及网络安全管理水平，满足网络安全法规及等级保护的相关要求。 针对中大型企业设备多，系统多，难以统一监管问题，采用日志审计将所有设备、用户行为日志统一监管，贯穿从边界到核心资产的全流程，扩展对关键数据等资产的保护。 通过对多个不同来源的日志数据进行关联和分析，揭示隐藏在数据背后的模式和趋势，帮助企业识别异常行为和潜在威胁。在当前复杂多变的网络环境中，日志关联分析已经成为了保障网络安全和信息安全的一项重要技术手段。

本节主要介绍如何使用API迁移服务器上的基础服务。 此操作用来迁移HBlock服务器上的基础服务，包括：mdm（元数据管理服务）、ls（日志服务）、cs（协调服务）。 应用场景：基础服务所在的服务器出现损坏、宕机等时，为了不影响HBlock服务，可以迁移服务器上的基础服务。 说明 可以通过查询指定服务器查询基础服务的状态。一次只能迁移一个基础服务，如果有正在迁移的基础服务进程，必须等待迁移完成，才可以执行其他服务迁移操作。 注意 迁移ls服务的时候，要确保两个mdm服务和其他两个ls服务都是up状态，除了源服务器之外的所有的其他节点的ms服务（管理服务）正常，服务状态可以通过查询服务器获取。 迁移mdm服务的时候，要确保另一个mdm服务是up，除了源服务器之外的所有的其他节点的ps服务（协议解析服务）和ms服务（管理服务）正常，服务状态可以通过查询服务器获取。 迁移cs服务的时候，要确保其他两个cs服务都up，除了源服务器之外的所有的其他节点的ps服务（协议解析服务）和ms服务（管理服务）正常，服务状态可以通过查询服务器获取。 请求语法 plaintext PUT /rest/v1/system/server/serverId/migrate HTTP/1.1 Date: date ContentType: application/json; charsetutf8 ContentLength: length Host: ip:port Authorization: authorization { "destServerId": serverId, "service": service, "metaDir": path } 请求参数 参数 类型 说明 是否必须 serverId String 源HBlock服务器的ID。 是 destServerId String 目的服务器ID。 是 service String 需要迁移的基础服务。 取值： mdm：元数据管理服务。 ls：日志服务。 cs：协调服务。 是 metaDir String 迁移服务的数据目录，用于存储基础服务的相关数据信息。 说明 为了提升读写性能，建议各基础服务的数据目录、安装目录、存储数据的数据目录相互独立。 取值：只能包含字母、数字、汉字和特殊字符(~ ! @ $ ( ) + ; . :)。默认目录为安装目录。 否

如何为函数添加依赖包？ 1. 进入函数详情页面，在“代码”页签，单击“依赖代码包”所在行的“添加依赖包”。 公共依赖包：此处的依赖包为函数平台提供，您可以直接添加使用。 私有依赖包：此处的依赖包为用户自行制作上传的依赖包。 2. 完成后单击“保存”，完成依赖包的添加。 如何通过域名访问专享版APIG中注册的接口？ 以域名www.test.com为例 ，具体请参考如下步骤。 1. 登录API网关控制台，在左侧导航栏选择“专享版”，单击实例名称，进入“实例概览”页面，在“入口地址”区域查看“弹性IP地址”，获取APIG的访问地址（ip格式）。 2. 在DNS控制台，配置用户域名www.test.com解析到apig地址的ipv4规则。 3. 最后在函数服务配置该域名的解析配置，这样就能在函数中通过域名(www.test.com)访问专享版APIG中注册的接口了。 函数工作流的常见使用场景？ 1. Web类应用：比如小程序、网页/App、聊天机器人、BFF等。 2. 事件驱动类应用：文件处理、图片处理、视频直播/转码、实时数据流处理、IoT规则/事件处理等。 3. AI类应用：三方服务集成、AI推理、车牌识别。 函数工作流是否支持修改运行时语言? 不支持。函数一旦创建完成，就不能修改运行时语言。 已创建的函数是否支持修改函数名称? 不支持，函数一旦创建完成，就不能修改函数名称。 如何获取上传的文件？ 以Python语言为例，如果用户用os.getcwd()查看当前目录的话，会发现当前目录是/opt/function，但实际代码是传到/opt/function/code里的。 有2种方法可以获取到上传的文件： 1. 函数里使用cd命令切换路径到/opt/function/code 2. 使用全路径（相关目录为RUNTIMECODEROOT环境变量对应的值）

本文介绍Redis集群版客户端常见错误码 50010001：路由队列堵塞。 50010002：添加路由队列异常。 50010003： 路由处理异常。 50010004：注册客户端读失败。 50010005：超过允许的最大客户端连接数。 50010006：注册目标路由读事件异常。 50010007：单个客户端连接请求数大于规定值。 50010008：协议异常，一般为客户端发送了不支持的命令或者断开连接。 50010009：不完整的报文。 50010010：读取redis超时。表示已经发送给redis，redis处理超时；检查请求报文是否过大，如果请求报文过大，建议拆小。 50010011：网络io异常。 50010012：目标服务器繁忙,稍后再试。 50010013：获取目标路由主机失败，检查redis机器是否io繁忙。 50010014：路由主机配置端口不合法。 50010015：连接目标主机失败。 50010016：目标主机网络繁忙。 50010017：路由发送给目标主机时网络错误。 50010018：读取解析客户端请求失败。 50010019：注册redis服务端返回失败。 50010020：redis read io exception。 50010021：接入机内部异常。 50010022：内存池不够。 50010023：处理客户端报文异常。 50010024：route 程序bug。 50010025：没有该分组权限。 50010026：实例密码错误。 50010027：集群版鉴权实例名错误。 50010028：客户端IP不在IP白名单内。 50010029： 用户时间失效。 50010030：解析报文失败。 50010031：鉴权信息不完整。 50010032：尚未通过鉴权，未获取到鉴权通过信息。 50010033：尚未通过鉴权，未获取到鉴权分组信息。 50010034：尚未选择分组，未获取到选择分组信息。 50010036：dborder越界。 50010037：获取接入机对应用户名失败。 50010038：订单服务冻结，获取接入机服务失败。 50010039：该分组不存在。 50010040：操作的集合个数不能超过10个。 50010041：每个集合的大小不能超过1000个。 50010042：接入机改造命令限制30k。 50010043：该账户禁止写数据。 50010044：读取redis返回报文串包。 50010047：订阅连接超时错误码。 50010048：接入机不支持的命令。 50010049：接入机read only错误。 50010050：redis内存满。

接入WAF对现有业务和服务器运行有影响吗？ 接入WAF不需要中断现有业务，不会影响源站服务器的运行状态，即不需要对源站服务站进行任何操作（例如关机或重启）。 注意 以CNAME方式接入WAF时，您需要修改DNS解析使流量经过WAF进行转发。修改DNS解析可能会影响网站访问业务，建议您在业务量少时进行修改，详细操作请参见修改域名DNS。 域名接入时，WAF回源是否需要放行所有客户端IP？ 根据您的业务情况，您可以只放行WAF回源IP段，也可以放行所有客户端IP。 对于Web业务，建议您只放行WAF回源IP，实现源站保护。详细操作请参见放行WAF回源IP段。 对于客户端IP，如果有白名单需要，建议您通过WAF白名单配置进行放行，不建议直接放行所有客户端IP。 说明 WAF采用CNAME的方式将原本去向网站的请求转向到WAF，从而实现对网站访问的安全防护，这些用户请求将在WAF进行安全检测和过滤后，发送回源站。此时由于网站接入WAF，访问网站的IP实际上变成了WAF的回源IP段，从网站的角度来看，访问其的来源IP变得更加集中，访问频率变得更高，服务器上的防火墙或安全软件很容易认为这些IP在发起攻击，从而将WAF回源IP段拉黑。如果WAF的回源IP段被拉黑，WAF的请求将无法得到源站的正常响应。因此，在网站接入WAF后，您应确保源站服务器已将WAF的全部回源IP放行（即加入白名单），否则可能会出现网站无法打开或打开极其缓慢等情况。

本文主要介绍采集常见错误类型。 以下为常见的错误类型以及对应的解决方法说明，可供参考。 LTS 错误码 错误说明 英文说明 解决方法 LTS1400 数据包从产生到发送的过程中等待的时间较长 The waiting time for data packets from generation to transmission is relatively long 检查发送是否正常，或是否存在数据量超过默认配置、配额不足或网络存在问题。 LTS1401 无权限读取指定文件 No permission to read the specified file 检查lmtagent的启动账号，建议以root方式启动。 切要采集的日志目录具备读权限 LTS1402 行首正则与日志行首匹配失败，无法对日志做分行 Failed to match the beginning of the line with the log entry's starting pattern, unable to split the log into lines 检查行首正则正确性。 若是单行日志可以配置为.。 LTS1403 完整正则模式下，日志内容和正则表达式不匹配 No match found between log content and regular expression in full regex mode 查看错误详情，重新调整正则规则适配日志原文。 LTS1404 JSON、分隔符等模式下，由于日志格式不符合定义而解析失败 Parsing failed in JSON, delimiter, and other modes due to mismatched log format definitions 查看错误详情，重新调整规则适配日志原文。 LTS1405 采集配置不合法 The collection configuration is invalid 采集配置JSON格式有误，可以通过控制台重新编辑下发规则。 LTS1406 因超过服务器资源使用上限而崩溃 Crashed due to exceeding server resource limits 调整CPU/内存上限， 主机需要调整 /etc/systemd/system/lmtagent.service 里几个限额项 MemoryMax/MemoryLimit/CPUQuota ； 容器需要在ccse控制台调整日志插件的YAML文件中定义的限额项 resources.limit.cpu/resources.limit.memory。 LTS1407 在Linux系统中注册日志监听失败，可能由于没有文件夹权限或文件夹被删除 Failed to register the log listener in the Linux system, possibly due to lack of folder permissions or the folder being deleted 检查采集器是否有权限访问该文件夹，或者该文件夹是否被删除。 LTS1408 日志采集进度落后于日志产生进度 Log collection is lagging behind log generation 采集有部分延迟，应避免一个配置文件采集过多目录，可以通过拆分配置来解决，如果持续出现错误可以提工单反馈。 LTS1409 日志采集进度落后于日志产生进度，且未处理的日志轮转超过20个，开始丢弃日志 Log collection is lagging behind log generation, and with over 20 unprocessed log rotations, logs are now being discarded 采集延迟较多，应避免一个配置文件采集过多目录，可以通过拆分配置来解决，如果持续出现错误可以提工单反馈。 LTS1410 没有日志监控目录读取权限 No read permission for the log monitoring directory 检查日志监控目录是否存在。如果存在，请检查目录权限设置。 LTS1411 日志采集配置目录中的文件数超限 The number of files in the log collection configuration directory has exceeded the limit 检查采集的目录下是否有较多文件和子目录并合理设置监控目录最大深度。 LTS1412 进程退出时日志落盘到本地超时，此时会丢弃未落盘完成的日志 When the process exits, flushing logs to disk times out, and any unfinished logs will be discarded 该报错通常为采集严重阻塞导致，如果持续出现错误可以提工单反馈。 LTS1413 输入源采集异常 Input source collection exception 查看详细报错，根据具体错误信息进一步排查。 LTS1414 过滤器初始化异常 Filter initialization exception 一般由于过滤器的正则表达式非法导致，请根据提示修复。 LTS1415 向聚合队列中添加数据失败 Failed to add data to the aggregation queue 数据发送过快。若真实数据量很大，可忽略。 LTS1416 Checkpoint解析失败 Checkpoint parsing failed 查看详细报错，根据其中检查点内容（前1024个字节）以及具体错误信息进一步排查。 LTS1417 同时监听的目录数超出限制 The number of simultaneously monitored directories exceeds the limit 检查当前采集配置是否包含较多的目录数，合理设置监控目录最大深度。 LTS1418 执行命令添加Docker文件映射失败 Failed to add Docker file mapping when executing the command 查看详细报错，根据具体错误信息进一步排查。 LTS1419 无法在Docker容器中查找到指定文件 The specified file could not be located within the Docker container 查看详细报错，根据其中的容器信息以及查找的文件路径进一步排查。 LTS1420 servicedockerstdout插件错误，根据配置中的BeginLineRegex编译失败 Error in servicedockerstdout plugin: failed to compile BeginLineRegex from configuration 查看详细报错，检查其中的正则表达式是否正确。 LTS1421 同时打开的文件对象数量超过限制 The number of simultaneously open file objects has exceeded the limit 一般因为当前处于采集状态的文件数过多，请检查采集配置是否合理。 LTS1422 processorsplitlogregex以及 processorsplitlogstring插件错误，无法从日志中获取到配置中指定的SplitKey。 Error in processorsplitlogregex and processorsplitlogstring plugins: unable to extract the configured SplitKey from log data 查看详细报错，检查是否存在配置错误的情况。 LTS1423 执行LZ4压缩发生错误 Error occurred during LZ4 compression execution 查看详细报错，根据具体错误信息进一步排查。 LTS1424 已打开文件数量超过限制，无法打开新的文件 The number of open files has exceeded the limit, preventing new files from being opened 日志采集配置目录中的文件数超限 ，默认上限为100000，需要检查采集配置是否通配了过多文件，调整采集规则。 LTS1425 打开文件出错 Error opening file 文件无法打开，需要查看文件是否损坏。 LTS1426 processorregex插件错误，编译配置中指定的Regex正则表达式失败 Error in processorregex plugin: failed to compile the Regex expression specified in the configuration 查看详细报错，检查其中的正则表达式是否正确。 LTS1427 日志解析速度过慢 Log parsing speed is too slow 查看详细报错，根据其中的日志数量、缓冲区大小、解析时间来确定是否正常。 如果不正常，检查是否有其他进程占用了过多的CPU资源或是存在效率较低的复杂正则表达式等不合理的解析配置。 LTS1428 processorregex插件错误，无法从日志中找到配置中SourceKey指定的字段 Error in processorregex plugin: unable to locate the field specified by SourceKey in the configuration from the log data 查看详细报错，检查是否存在SourceKey配置错误或日志不合法的情况。 LTS1429 processorregex插件错误，匹配失败 Error in processorregex plugin: match failed 查看详细报错，报错根据内容分为如下类型，请根据具体的错误信息进行排查。 unmatch this log content...：日志无法匹配配置中的正则表达式 match result count less...：匹配的结果数量少于配置中指定的 Keys 数量。 LTS1430 splitchar以及splitstring插件错误，无法从日志中找到配置中SourceKey指定的字段 Error in splitchar and splitstring plugins: unable to locate the field specified by SourceKey in the configuration from the log data 查看详细报错，检查是否存在SourceKey配置错误或日志不合法的情况。 LTS1431 processorsplitchar以及processorsplitstring插件错误，解析得到的字段数量与SplitKeys中指定的不相同 Error in processorsplitchar and processorsplitstring plugins: the number of parsed fields does not match the count specified in SplitKeys 查看详细报错，检查是否存在SourceKey配置错误或日志不合法的情况。 LTS1432 解析日志时间失败 Failed to parse log timestamp 正则表达式提取的时间字段是否正确。 指定的时间字段内容是否匹配配置中的时间表达式。 LTS1433 checkpoint相关错误 Checkpointrelated error 读取checkpoint文件格式异常，需要确认文件是否被修改，可能导致重采，如果持续出现错误可以提工单反馈。 LTS1434 inotify监听超限 inotify watch limit exceeded 监听目录数超限 ，默认上限为3000，需要检查采集配置是否通配了过多文件，调整采集规则。 LTS1435 采集器启动配置不存在或解析失败 Collector startup configuration does not exist or failed to parse 主机采集器启动配置格式有误，需要确认文件是否被修改，如果持续出现错误可以提工单反馈。 LTS1436 采集队列已满 The collection queue is full 网络中断等原因导致数据无法上报，反压队列满，会持续重试1h等待恢复，如果持续出现错误可以提工单反馈。 LTS1437 本地目录下配置过多 Too many configurations in the local directory 查看详细报错，根据具体错误信息进一步排查。 LTS1438 采集器上报插件初始化失败 Collector reporting plugin initialization failed 先确认VPCE私网域名是正常开通。如果持续出现错误可以提工单反馈。 LTS1439 采集器上报插件endpoint无法连接 Unable to connect to the endpoint of the collector reporting plugin 先确认VPCE私网域名是正常开通，以及本地DNS到VPCE域名是否能ping通。如果持续出现错误可以提工单反馈。 LTS1440 上报日志网关中出现错误 Error occurred in the log gateway during reporting token失效或者到日志网关的网络不通。如果是token失效需确认AK/SK是否有getToken权限。 LTS1441 上报日志网关后返回错误 The log gateway returned an error after reporting 查看详细报错，根据具体错误信息进一步排查。 LTS1442 获取token失败 Failed to retrieve token 用户指定的AK/SK 获取token失败，可能是未正确授权。查看详细报错，根据具体错误信息进一步排查。 LTS1443 采集内部错误 Internal collection error 未定义在上面详细错误码的都归在此类，需要查看详细报错，根据具体错误信息进一步排查。

创建两个VPC，分别是财务系统VPC环境“vpcfinace”，人力系统VPC环境“vpchr”。 4. 在对等连接创建两个VPC间对等连接，如下图。 5. 在对等连接列表，单击刚刚创建好的对等连接名称“hrfinance”。 6. 在“本端路由”单击“路由表”配置hr去往finance的路由。 创建完成，可在“本端路由”页签看到路由信息。 7. 在“对端路由”单击“路由表”配置finance去往HR的路由。 创建完成，可在“对端路由”页签看到路由信息。 8. 在内网DNS创建内网DNS，关联hr和finance两个VPC。 9. 在目标域名行，单击“管理记录集”添加记录集。 添加hr主机记录 添加finance主机记录 添加完成，可在“解析记录”列表看到解析记录信息。 10. 设置hr和 finance主机的DNS服务地址为内网DNS地址。具体步骤可参见更改主机DNS使内网DNS配置生效。 11. 使用ping命令测试，可以从finance VPC下的主机通过域名访问hr的主机。

本文介绍安全加速计费类问题。 停用安全加速服务后，为什么仍有一部分费用产生？ 造成该情况的原因主要有以下两种： 1. 在停用安全加速服务后，若客户LocalDNS服务器中缓存未过期，LocalDNS会继续把访问已停用安全加速域名的请求解析到加速节点，造成少量安全加速流量计费。 2. 一些下载类软件也存在LocalDNS缓存，在这部分缓存过期前，下载类软件也会把访问已停用安全加速域名的请求解析到加速节点上，造成少量安全加速流量计费。 安全加速中基础带宽方式中日流量计费和日带宽峰值计费是否支持互相变更计费方式？ 此两种计费方式之间可以自由切换，新的计费方式将在下一个计费周期生效。需需要注意的是，一个计费周期内，仅能变更一次。 安全加速的收费项都有哪些？ 安全加速主要有两大功能项：waf防护功能和CC流量清洗功能，每个功能项下面会有不同的计费项 当用户开通了waf防护功能时： 计费项包括：waf防护包+上行+下行总带宽的日峰值带宽/流量+防护请求数+静态https请求数，按日扣费 当用户开通了CC流量清洗功能时： 计费项包括：CC流量清洗包+弹性带宽阶梯+上行+下行总带宽的日峰值带宽/流量+静态https请求数+动态请求数 当用户同时开通waf防护功能和CC流量清洗功能时： 计费项包括：waf防护包+上行+下行总带宽的日峰值带宽+防护请求数+CC流量清洗包+弹性带宽阶梯+静态https请求数，按日扣费 安全加速，但是没有开启https的功能，是否需要收费安全加速，但是没有开启https的功能，是否需要收费 使用安全加速，但是没有使用https的功能，是不会针对https的请求数去费用的。

本文主要介绍使用NodeLocal DNSCache提升DNS性能。 应用现状 集群在做DNS解析时，如果请求量大，那CoreDNS将承受压力，会有如下影响。 查询变慢，影响业务性能。 为保证性能，CoreDNS需要更高规格的配置。 解决方案 NodeLocal DNSCache 通过在集群节点上运行 DNS缓存代理来提高集群 DNS 性能。 启用NodeLocal DNSCache之后，DNS查询所遵循的路径如下图所示。 NodeLocal DNSCache查询路径 插件安装 CCE提供了nodelocaldns插件，可以方便的安装NodeLocal DNSCache。 说明 nodelocaldns插件仅支持1.19及以上版本集群。 NodeLocal DNSCache不提供Hosts、Rewrite等插件能力，仅作为CoreDNS的透明缓存代理。如有需要，可在CoreDNS配置中修改。 kubesystem命名空间下的Pod不支持自动注入。 步骤 1 （可选）修改CoreDNS配置，让CoreDNS优先采用UDP协议与上游DNS服务器通信。 NodeLocal DNSCache采用TCP协议与CoreDNS进行通信，CoreDNS会根据请求来源使用的协议与上游DNS服务器进行通信。当使用了NodeLocal DNSCache时，访问上游DNS服务器时会使用TCP协议，而云上DNS服务器对TCP协议支持有限，如果您使用了NodeLocal DNSCache，您需要修改CoreDNS配置，让其总是优先采用UDP协议与上游DNS服务器进行通信，避免解析异常。 执行如下命令修改。 kubectl edit configmap coredns nkubesystem 在forward插件中指定请求上游的协议为perferudp，修改之后CoreDNS会优先使用UDP协议与上游通信。 forward . /etc/resolv.conf { preferudp } 步骤 2 登录CCE控制台，单击集群名称进入集群，在左侧导航栏中选择“插件管理”，在右侧找到 nodelocaldns ，单击“安装”。 步骤 3 在安装插件页面，选择插件规格，并配置相关参数。 enablednsconfigadmission ：是否自动注入DNSConfig至新建的Pod中。默认为 false ，设置为true表示支持自动注入，避免您手工配置Pod YAML进行注入。 步骤 4 完成以上配置后，单击“安装”。

本文介绍如何将客户端加入已经部署好的AD域。 前提条件 AD域控制器已安装AD域服务并已部署完成。 操作步骤 1. 登录非AD域控制器的云主机客户端，进入“控制面板>系统和安全>系统”，在“计算机名、域和工作组设置”处可以看到当前计算机不属于任何域。 2. 设置DNS，使得客户端能解析AD域的域名。 1）客户端DNS设置。 a.登录客户端，打开“控制面板>网络和共享中心”，在“查看网络活动”找到“连接”，点击已连接的网络，通常为“以太网”。 b.在“以太网状态”弹窗中点击“属性>Internet协议版本4（TCP/IPv4）>属性”。 c.将“自动获得DNS服务器地址”改为“使用下面的DNS服务器地址”，并设置“首选DNS服务器”，设置的IP为AD域控制器的IPv4内网地址，在天翼云官网>弹性云主机控制台列表页获取。备用DNS服务器设置为空即可。 2）AD域控制器DNS设置。 AD域控制器的Internet协议版本4（TCP/IPv4）属性保持为“自动获得DNS服务器地址”。 3）网络验证。 在客户端命令行提示符工具或power shell工具处执行ping AD域名验证网络连通性。本文中执行 ping sfs.com。 3. 设置Sysprep。在客户端 C:Windows/System32/Sysprep，双击Sysprep.exe ，在勾选“通用”选项。防止计算机SID相同而无法加入AD域。 4. 设置域信息。在“计算机名、域和工作组设置”右侧点击“更改设置>更改”，选择“域”，填入AD域的域名“sfs.com”，点击“确定”。 5. 加域。输入步骤二中在域控制器创建用户时设置的用户名和密码。加入成功后会显示“欢迎加入sfs.com域”的提示。 6. 重启计算机使配置生效。 7. 验证。重启后，重新进入“系统”界面，此时可以看到本计算机已经加入到域sfs.com中。

库用户信息 说明 用户类型 可选择“带登录名的SQL用户”和“不带登录名的SQL用户”。不带登录名的SQL用户不能登录，但是可以被授予权限。 用户名 库用户的名称。 登录名 关联登录名。登录名登录后，登录名对此库的权限即为该用户具有的权限。 默认架构 指定服务器为此数据库用户解析对象名时搜索的第一个架构。 拥有的Schema 配置该用户拥有的架构列表。 成员身份 配置该用户具有的角色列表。一个用户具有某个角色，表示该用户具有此角色包含的所有权限。 安全对象 配置该用户对数据库对象的具体权限。

客户端缓存（Client side caching） Redis 客户端缓存在某些方面进行了重新设计。 可以执行Client相关的命令，开启客户端缓存。开启后，服务端后记住客户端连接查询的KEY。同时客户端需要订阅内部有主题， 如果一旦客户端查询的KEY发生变化，客户端会收到发生变化的信息。 由于客户端能感知到KEY的变化，因而客户端可以直接缓存KEY的值在本地内存上，而不需要担心KEY失效的问题。 多线程 IO（Threaded I/O）   Redis 6 引入多线程IO，但多线程部分只是用来处理网络数据的读写和协议解析，执行命令仍然是单线程。但带来了更加的整体性能。

设置回源IP方案通知 1.登录边缘安全加速平台控制台。 2.在工具回源IP管理中，选择“通知渠道”页面， 3.可设置需要通知的方式，支持邮件通知、语音通知和短信通知，其中邮件通知必填。 4.支持查看发送记录 发送记录支持查看回源IP方案发送时间、域名、查看回源IP和获取解析key，支持选择记录进行回源IP比对。

本小节介绍域名无忧产品定义与优势。 产品定义 域名是互联网业务的入口，域名劫持是通过拦截域名解析请求或篡改域名服务器上的数据，使用户在访问相关域名时返回虚假IP地址或使用户的请求失败。因此域名系统故障、配置错误、恶意篡改将直接造成业务中断，给政府和企业客户信誉带来恶劣影响的同时，还可能造成巨大的经济损失。 天翼云域名无忧为天翼云用户自助实现域名监测、域名告警、域名刷新，通过对电信所有省份的DNS服务器的检测及时发现域名是否被污染，并且提供按次刷新的服务，清除DNS服务器缓存还原原始DNS解析记录。 产品优势 智能监控 实时监控客户域名列表的安全状态，支持对监控指标设置报警规则，提供多种告警方式并及时预警，为客户域名的安全和稳定保驾护航。 秒级刷新 得益于中国电信骨干网络控制能力，实现中国电信全网缓存DNS服务器的秒级刷新，高速解决客户遭遇的域名劫持问题。 便捷操作 客户登录服务平台即可便捷查看各项指标，启动域名修正服务。

源端类型 说明 参数配置 OBS 支持以CSV、JSON或二进制格式抽取数据，其中二进制方式不解析文件内容，性能快，适合文件迁移。 参见 MRS HDFs FusionInsight HDFS Apache HDFS 支持以CSV、Parquet或二进制格式抽取HDFS数据，支持多种压缩格式。 参见 MRS HBase FusionInsight HBase Apache HBase CloudTable 支持从MRS、FusionInsight HD、开源Apache Hadoop的HBase，或CloudTable服务导出数据，用户需要知道HBase表的所有列族和字段名。 参见 MRS Hive FusionInsight Hive Apache Hive 支持从Hive导出数据，使用JDBC接口抽取数据。 Hive作为数据源，CDM自动使用Hive数据分片文件进行数据分区。 参见 DLI 支持从DLI导出数据。 参见 FTP SFTP 支持以CSV、JSON或二进制格式抽取FTP/SFTP的数据。 参见 HTTP 用于读取一个公网HTTP/HTTPS URL的文件，包括第三方对象存储的公共读取场景和网盘场景。 当前只支持从HTTP URL导出数据，不支持导入。 参见 数据仓库DWS 云数据库MySQL 云数据库SQL Server 云数据库PostgreSQL 支持从云端的数据库服务导出数据。 从这些数据源导出数据时，CDM使用JDBC接口抽取数据，源端作业参数相同，详细请 参见 FusionInsight LibrA 支持从FusionInsight LibrA导出数据。 从这些数据源导出数据时，CDM使用JDBC接口抽取数据，源端作业参数相同，详细请 参见 MySQL PostgreSQL Oracle Microsoft SQL Server SAP HANA MYCAT 分库 这些非云服务的数据库，既可以是用户在本地数据中心自建的数据库，也可以是用户在ECS上部署的，还可以是第三方云上的数据库服务。 从这些数据源导出数据时，CDM使用JDBC接口抽取数据，源端作业参数相同，详细请 参见 MongoDB 文档数据库服务（DDS） 支持从MongoDB或DDS导出数据。 参见 Redis 支持从开源Redis导出数据。 参见 Apache Kafka DMS Kafka MRS Kafka 仅支持导出数据到云搜索服务。 参见 。 云搜索服务 Elasticsearch 支持从云搜索服务或Elasticsearch导出数据。 参见

当用户无需使用该记录集时，可以使用删除记录集功能。 删除记录集后，对应类型的记录集功能会失效。例如，如果删除A类型记录集，该域名将无法被解析为一个IPv4地址。如果删除CNAME类型记录集，该别名将无法映射到之前指定的域名上。 1. 登录管理控制台，并选择目标区域。 2. 选择“网络 > 内网DNS服务”。 进入内网DNS服务页面。 3. 在“总览”页签，选择“我的资源”下的“内网域名”。进入域名列表页。 4. 在域名列表页面，单击域名名称。 进入该域名的记录集页面，选择待删除的记录集，单击“操作”列下的“删除”。 5. 单击“确定”，确认删除该记录集。

本文介绍HTTP2.0的定义和配置方法。 功能介绍 HTTP/2也叫HTTP2.0，比HTTP1.1新增了多路复用、压缩HTTP头、划分请求优先级和服务端推送等功能，解决了在HTTP1.1中存在的一些问题，优化了请求性能，同时可兼容HTTP1.1的语义。 HTTP2.0的优势包括： 1. 采用二进制格式传输数据，而非 HTTP1.1 的文本格式，二进制格式在协议的解析和优化扩展上带来更多的优势。 2. 对消息头采用 HPACK 进行压缩传输，能够节省消息头占用的网络的流量，而 HTTP1.1 每次请求，都会携带大量冗余头信息，浪费了很多带宽资源，头压缩能够很好的解决该问题。 3. 多路复用，即多个请求都是通过一个 TCP 连接并发完成，HTTP1.1 虽然通过pipeline也能并发请求，但是多个请求之间的响应会被阻塞，所以 pipeline 至今也没有被普及应用，而 HTTP2.0做到了真正的并发请求，同时，流还支持优先级和流量控制。 4. 服务端主动推送，服务端能够更快的把资源推送给客户端，例如服务端可以主动把 JS 和 CSS 文件推送给客户端，而不需要客户端解析 HTML 再发送这些请求。 配置说明 1. 登录客户控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】，勾选【请求协议】中的【HTTPS】。 5. 单击右侧【HTTPS配置】，选择域名对应的国际标准证书、国密证书。如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加对应证书。添加完毕后，再选择对应证书，如未找到目标证书，可点击右侧的刷新按钮刷新后再重新选择。 6. 开启【HTTP2.0】功能，配置完毕单击【保存】。

3.1.获取idtoken 3.1.1.获取方式一（跳转到浏览器） 1. 拼接跳转到浏览器的地址。 2. 配置app的URL types，URL Schemes配置上ctyunaone。 3. 通过web界面完成anoeid的认证，并接收回调数据。 4. 解析回调成功后的idtoken。 3.1.2拼接跳转链接 1. 需要拿到跳转页面的地址，如参考代码中的address。（联系零信任对接人员获取） 2. 需要拿到租户id，如参考代码中的pollid。（联系零信任对接人员获取） 3. 需要拿到认证地址的key，如参考代码中的key。（联系零信任对接人员获取） 参考demo / address:认证页面域名比如 pollid:认证的租户id比如 fsiofjiosfjoaisf key:认证地址的key比如 fjioregjoiertgjo / (NSString)jointUrl:(NSString)address Pollid:(NSString)pollid Key:(NSString)key{ return [NSString stringWithFormat:@"%@/%@/app/%@",address,pollid,key]; } 3.1.3.URLtypes配置参考 特别注意scheme本文全部以"ctyunaone"表示，具体在接入的时候，这个scheme以真实配置的为准（重要），配置方式可参考配置文档： 3.1.4.跳转到web，并接收回调数据 { [[UIApplication sharedApplication] openURL:[NSURL URLWithString:thirdUrl] options:@{} completionHandler:nil]; } (BOOL)application:(UIApplication )app openURL:(NSURL )url options:(NSDictionary )options { return [self handleOpenURL:url]; } //解析url (NSDictionary)parseQueryParameters:(NSURL )url { NSMutableDictionary queryParameters [NSMutableDictionary dictionary]; NSURLComponents urlComponents [NSURLComponents componentsWithURL:url resolvingAgainstBaseURL:NO]; NSArray queryItems urlComponents.queryItems; for (NSURLQueryItem queryItem in queryItems) { if (queryItem.value) { queryParameters[queryItem.name] queryItem.value; } } return [queryParameters copy]; // 返回不可变字典 } //处理回调url (BOOL)handleOpenURL:(NSURL)url { NSLog(@"URL end with 'aa': %@", url.absoluteString); if ([url.absoluteString hasPrefix:@"ctyunaone://aoneid"]) { // 在这里处理以 "aa" 开头的 URL NSDictionary queryDic [self parseQueryParameters:url]; NSLog(@"URL starts with 'aa': %@", url.absoluteString); // 发送通知 NSDictionary userInfo @{@"url": url, @"query": queryDic}; // 可选的用户信息 [[NSNotificationCenter defaultCenter] postNotificationName:@"AoneidLoginNotification" object:nil userInfo:userInfo]; NSLog(@"Notification sent: %@", userInfo); return YES; // 返回 YES 表示成功处理 } // 处理其他 URL return NO; // 返回 NO 表示未处理该 URL }

本文介绍HTTP2.0的定义和配置方法。 功能介绍 HTTP/2也叫HTTP2.0，比HTTP1.1新增多路复用、压缩HTTP头、划分请求优先级和服务端推送等功能，解决在HTTP1.1中存在的一些问题，优化请求性能，同时可兼容HTTP1.1的语义。 HTTP2.0的优势包括： 1. 采用二进制格式传输数据，而非 HTTP1.1 的文本格式，二进制格式在协议的解析和优化扩展上带来更多的优势。 2. 对消息头采用 HPACK 进行压缩传输，能够节省消息头占用的网络的流量，而 HTTP1.1 每次请求，都会携带大量冗余头信息，浪费很多带宽资源，头压缩能够很好的解决该问题。 3. 多路复用，即多个请求都是通过一个 TCP 连接并发完成，HTTP1.1 虽然通过pipeline也能并发请求，但是多个请求之间的响应会被阻塞，所以 pipeline 至今也没有被普及应用，而 HTTP2.0做到真正的并发请求，同时，流还支持优先级和流量控制。 4. 服务端主动推送，服务端能够更快的把资源推送给客户端，例如服务端可以主动把 JS 和 CSS 文件推送给客户端，而不需要客户端解析 HTML 再发送这些请求。 配置说明 1. 登录CDN控制台。 2. 单击左侧导航栏【域名管理】【域名列表】。 3. 在【域名列表】页面，找到目标域名，单击【操作】列的【编辑】。 4. 单击右侧【请求协议】。 5. 在【请求协议】模块，勾选【HTTPS】。 6. 单击右侧【HTTPS配置】。 7. 选择域名对应的证书。如果已经在【证书管理】上传证书，可直接选择对应域名证书。如果还未上传证书，可单击【点击上传】，添加自有证书。添加完毕后，再选择对应证书。 8. 在【HTTP2.0】模块，开启功能。 9. 单击【保存】，完成配置。 参数名 说明 HTTP2.0 默认关闭，即不开启HTTP2.0功能。开启HTTP2.0功能之前，需要先完成HTTPS证书配置。

本章节介绍应用容灾多活的路由配置。 概述 单元组，是业务单元划分的不同逻辑小组，单元组之间路由规则相互独立，不同的单元组可设置不同的路由转发逻辑。 路由规则，描述流量在单元间分配的规则，包括路由标识、标识解析、流量比例、精准转发等功能策略。 路由标识，是业务请求的特征标识，是路由计算的输入，常采用业务系统的用户ID。 前提条件 已完成单元配置。 创建单元组 1. 登录应用高可用服务控制台。 2. 单击左侧菜单栏应用容灾多活 ，在应用容灾多活菜单下单击数据双活/应用双活 ，进入数据双活/应用双活管理页面。 3. 单击应用系统名称，进入应用系统管理页面。 4. 单击左侧菜单栏路由规则配置，进入路由规则配置页面。 5. 单击左上角创建按钮，进入创建单元组页面。 6. 如下表配置项所示，填写单元组信息，单击确定完成创建。 7. 在单元组列表，查看单元组已创建成功。 配置项 描述 示例 单元组名称 单元组自定义标识。 名称不支持数字或符号开头，长度为132个字符；仅支持输入[中文、数字、字母、 ]。 订单单元组 单元组编码 单元组唯一编码。 名称不支持数字或符号开头，长度为132个字符；仅支持输入[中文、数字、字母、 ]。 GORDER 服务类型 根据不同的访问诉求，赋予单元组内应用服务相应的路由类型，便于用户理解和管理。 中心服务 ：适用于数据不可拆分或还未拆分的应用服务；需选择中心单元，即主容灾单元，所有数据读写均在中心单元内。 普通服务 ：适用于数据水平拆分流量在单元内闭环的应用服务，请求按路由规则转发至指定单元，其他分片的流量将被接入层转发或数据层拦截。 本地服务：适用于副本类或只读类的应用服务，数据读写本地单元，不限制数据分片。 普通服务 应用流量封闭 配置流量在同单元内闭环。 是 路由标规整化策略 路由标处理 ：指定对路由标值的处理规则，对处理后的值进行路由计算。 正整数：直接根据路由标取值，值为正整数。 数值取模：指定模数，通过计算（路由标值%模数）落点将请求转发至对应单元。 正整数 10000 解析规则 应用服务类型 ：请求的服务类型。 HTTP：HTTP请求。 DUBBO：RPC请求，Dubbo框架。 MQ：消息生产消费。 路由标来源 ：路由标提取方式。 HTTP：header从header获取；cookie从cookie中获取；parameter从请求参数中获取。 DUBBO：parameter从方法参数获取；attachment从attachment中获取。 MQ：header从header获取；body从body中获取。 路由标名称 ：路由标提取标识。 HTTP：header指定key；cookie指定key；parameter指定key。 DUBBO：parameter指定第几个参数，序号从1开始；attachment指定key。 MQ：header指定key；body指定key。 注意：同应用服务类型下有多条解析规则时，以列表顺序从上往下逐个匹配。 HTTP header userId 流量比例 单元 ：规则匹配时转发的目标单元。 路由类型 ： 范围：范围匹配。 精确：精确匹配。 流量比例 ： 范围值：路由标计算落点的命中范围。 精确值：路由标计算落点的枚举列表，多个值用英文逗号分隔。 注意：同单元内流量路由匹配优先级：精确匹配 > 范围匹配。 广州单元 范围值[0,599]

基础信息 为您展示当前域名的基础信息，有CNAME、加速区域、产品类型、套餐版本、创建时间，并支持对域名进行基础配置。基础配置的功能介绍参见：基础配置。 配置说明 防护开关（中国内地区域）：展示当前域名在中国内地区域的DDoS防护开关状态，默认为开启并不允许关闭。 防护开关（非中国内地区域）：展示当前域名在非中国内地区域的DDoS防护开关状态，当域名加速区域为全球或全球（非中国内地）时，可进行配置。 注意 当开启IPv6解析时，暂不支持开启DDoS防护（非中国内地区域）开关。

本文主要介绍使用CDN加速后出现访问异常如何初步排查。 问题概述 当使用CDN加速后出现访问异常如何初步排查是CDN造成的异常还是源站自身异常导致的。 排查步骤 步骤一：确认客户端网络环境是否正常 例如，通过浏览器访问百度页面，或者使用在线诊断工具，确认客户端自身网络环境是否正常。 可以通过搜索引擎搜索在线诊断工具，来获取方便定位客户端自身信息的工具。如客户端网络环境正常，则继续查看下一步。 步骤二：确认是否为CDN节点异常 通过浏览器F12开发者工具，我们可以轻松得到访问到的节点IP。 得到节点IP后，判断此IP是否归属于天翼云，详情请见：如何验证IP地址是否属于天翼云CDN节点IP。 如果IP不属于天翼云，进一步判断域名解析是否正常：可以通过nslookup（Windows）或者dig（Linux）来验证域名解析是否正常。 如果解析不符合预期情况且您域名的DNS配置无误，那么大概率遭遇DNS劫持。推荐您使用公共的DNS规避此问题。 如果IP归属于天翼云，那么进一步确认源站情况是否正常。

可以在OBS上托管我的静态网站吗？ OBS支持静态网站托管。用户可以通过OBS管理控制台将自己的桶配置成静态网站托管模式，当客户端通过桶的website接入点访问桶内的对象资源时，浏览器可以直接解析出这些网页资源，呈现给最终用户。 哪些类型的网站适合使用OBS进行静态网站托管？ 静态网站通常仅包含静态网页，以及可能包含部分可在客户端运行的脚本，如JavaScript、Flash等。 如何获取桶的静态网站托管地址？ 您可以在控制台的静态网站托管页面上获取到桶的静态网站托管地址。 您也可以拼接桶的静态网站访问地址。拼接地址格式为： 。

应用场景 客户端IP指的是访问者（用户设备）的IP地址。在Web应用开发中，通常需要获取客户端真实的IP地址。例如，投票系统为了防止刷票，需要通过获取客户端真实IP地址，限制每个客户端IP地址只能投票一次。 当您的网站已接入Web应用防火墙（Web Application Firewall，简称WAF）进行安全防护后，WAF作为一个反向代理存在于客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。此时，您可直接通过WAF获取客户端的真实IP，也可以通过配置网站服务器获取客户端的真实IP。 本章节介绍了通过WAF直接获取真实IP的方法，以及不同类型的Web应用服务器（包括Tomcat、Apache、Nginx、IIS 6和IIS 7）如何进行相关设置，以获取客户端的真实IP。 方案架构 通常情况下，网站访问并不是简单地从用户的浏览器直达服务器，中间可能部署有CDN、WAF、高防等代理服务器（架构为“用户> CDN/WAF/高防等代理服务 > 源站服务器”）。 说明 当网站没有接入到WAF前，DNS直接解析到源站的IP，用户直接访问服务器。 当网站接入WAF后，需要把DNS解析到WAF的CNAME，这样流量才会先经过WAF，WAF再将流量转到源站，实现网站流量检测和攻击拦截。 在这种情况下，访问请求到达源站服务器之前可能经过了多层安全代理转发或加速代理转发，服务器如何获取发起请求的真实客户端IP呢？ 一个透明的代理服务器在把用户的HTTP请求转到下一环节的服务器时，会在HTTP的头部中加入一条“XForwardedFor”记录，用来记录用户的真实IP，其形式为“XForwardedFor：客户端的真实IP，代理服务器1IP， 代理服务器2IP，代理服务器3IP，……”。 因此，您可以通过获取“XForwardedFor”对应的第一个IP来得到客户端的真实IP。

场景描述 方向 协议/应用 端口 通过Web浏览器登录云堡垒机（HTTPS） 入方向 TCP 22333 通过MSTSC客户端登录云堡垒机 入方向 TCP 53389 通过SSH客户端登录云堡垒机 入方向 TCP 2222 通过FTP客户端登录云堡垒机 入方向 TCP 20~21 通过云堡垒机的SSH协议远程访问Linux云服务器 出方向 TCP 22 通过云堡垒机的RDP协议远程访问Windows云服务器 出方向 TCP 3389 通过云堡垒机访问Oracle数据库 入方向 TCP 1521 通过云堡垒机访问Oracle数据库 出方向 TCP 1521 通过云堡垒机访问MySQL数据库 入方向 TCP 33306 通过云堡垒机访问MySQL数据库 出方向 TCP 3306 通过云堡垒机访问SQL Server数据库 入方向 TCP 1433 通过云堡垒机访问SQL Server数据库 出方向 TCP 1433 通过云堡垒机访问DB数据库 入方向 TCP 50000 通过云堡垒机访问DB数据库 出方向 TCP 50000 同一安全组内通过SSH客户端登录云堡垒机 出方向 TCP 2222 短信服务 出方向 TCP 10743、443 DNS域名解析 出方向 UDP 53

方式二：无域名接入 前提条件 已经订购边缘安全加速平台边缘接入服务，并且套餐+域名扩展包支持的域名数量未超过限制。 使用无域名接入方式时，不支持80、8080、443、8443端口的TCP请求端口，如需配置80、8080、443、8443端口的TCP请求端口请使用域名接入方式。 操作步骤 1. 登录边缘安全加速控制台，进入边缘接入控制台的【域名】【IP应用加速接入】，这个页面您可以查看已添加的域名/实例的信息，包括域名/实例名称、接入方式、CNAME、加速区域、状态、IPv6解析、DDoS防护、操作等信息。点击左上角【新增接入】。 2. 接入方式选择"无域名接入"，必须填写实例名称，选择加速区域（中国内地、全球（不含中国内地）、全球），是否启用IPv6。基本信息详细介绍详见：基本信息。 3. 根据您的需要，配置【回源配置】、【访问控制】、【传递用户IP回源】等相关功能。回源配置详细介绍详见：回源配置。IP黑白名单详细介绍详见：IP黑白名单。传递用户IP回源详细介绍详见：传递用户IP回源。 4. 完成加速配置后，点击右下角的下一步，进入安全防护配置页面，按需开启DDoS防护后提交。 5. 新增接入完成后，可通过【IP应用加速接入】首页列表查看该域名所处状态。 6. 域名配置完成，生成域名CNAME，域名状态变更为【已启用】，即可以在【IP应用加速接入】首页列表中，查看对应域名的详情，进行停用/启用/删除等操作，也可以开启IPv6解析开关，修改加速配置或安全防护配置等。