本节介绍云安全中心告警管理功能。 为用户提供查询、解决建议、处置威胁等功能。 TQL条件查询 选择常用时间查询 选择时间范围（最大查询时间窗口为30天） 查询条件组 保存查询条件，方便用户查询（保存的查询条件最多为10个）。

说明：本章节会介绍天翼云关系型数据库如何创建新实例 操作场景 本节将介绍在关系型数据库服务的管理控制台创建实例的过程。 RDS for MySQL支持“包年/包月”和“按需计费”购买，您可以根据业务需要定制相应计算能力和存储空间的关系型数据库实例。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，单击“创建数据库实例”。 步骤 5 在“服务选型”页面，选择计费模式，填写并选择实例相关信息后，单击“立即购买”。 计费模式： 包年/包月： 若选择该模式，跳过步骤6，执行步骤7。 按需计费： 若选择该模式，继续执行步骤6。 表1 基本信息 参数 描述 区域 租户当前所在区域，也可在页面左上角切换。 说明 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 MySQL。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用MySQL数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况： − 相同，主机和备机会部署在同一个可用区。 − 不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 单机：采用单个数据库节点部署架构，与主流的主备实例相比，它只包含一个节点，但具有高性价比。适用于个人学习、微型网站以及中小企业的开发测试环境。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期可修改。 表2 规格与存储 参数 描述 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。 创建成功后可进行规格变更 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 普通I/O：磁盘类型SATA，最大吞吐量90MB/s 高I/O：磁盘类型SAS，最大吞吐量150MB/s 超高I/O：磁盘类型SSD，最大吞吐量350MB/s 存储池 只有选择“专属存储”的用户才有此选项，是购买专属分布式存储服务时确定的独享的存储池，该存储池与其他池物理隔离，安全性高。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。存储空间支持40GB到4000GB，用户选择容量大小必须为10的整数倍。 数据库创建成功后可进行扩容。 表3 网络 参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 须知 目前RDS实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤，请参见《虚拟私有云操作指导》中的“IPv4/IPv6双栈管理”章节。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 表4 数据库配置 参数 描述 管理员帐户 数据库的登录名默认为root。 管理员密码 所设置的密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@

方案概览 您将部署一组微服务应用，实现服务的注册与发现、服务之间的方法调用，并且通过公网来访问应用。示例应用的架构如下： 为实现本方案，您将： 1. 部署应用：使用示例镜像部署 provider 应用与 consumer 应用，并通过 CAE 内置的 Nacos 实现服务注册与发现，使得 consumer 应用可以调用 provider 应用提供的服务。 2. 通过公网访问应用： 为 consumer 应用配置公网访问地址并访问应用。 操作指引 部署应用 部署 provider 应用 1. 登录云应用引擎控制台 2. 左侧导航栏选择应用管理 > 应用列表 3. 点击创建应用，配置以下参数，点击下一步进入高级设置 1. 自定义应用名称，例如 provider 2. 选择命名空间类型为系统创建，表示应用将会使用系统默认创建的命名空间，并关联 VPC、子网、安全组等网络资源 3. 设置应用部署方式为镜像部署。点击选择镜像，选择 Java 技术栈语言，在示例镜像标签页，找到javaprovider镜像仓库，选择版本为v1.0，点击确定 4. 在容量设置区域，自定义单实例规格和实例数，这决定了应用初始运行的实例数量、系统为每个实例分配多少计算资源 4. 在高级设置页面中，展开服务注册发现区域，启用内置 Nacos 注册中心服务发现 5. 点击创建应用

服务保障 您在业务接入DDoS高防（边缘云版）过程中遇到任何问题，可通过工单或服务热线方式联系天翼云安全专家。 安全专家将针对您的业务特征，结合业务攻击情况进行相应评估，基于业务实际情况指导您进行防护策略配置，更好帮助您使用DDoS高防（边缘云版）保护您的网站安全。

使用堡垒机 云堡垒机为用户提供统一云上安全运维通道，集中管理云上资产及特权账号，统一监控审计运维操作行为，解决云上运维过程中账号密码管理不规范、资源授权混乱、运维过程不透明等问题。天翼云堡垒机为用户连接云主机等资源时提供开箱即用的原生防护能力，构建满足等保合规要求的运维安全体系。请参见云堡垒机（原生版）

VPC终端节点(VPCE),能够将VPC私密地连接到终端节点服务(云服务、用户私有服务),使VPC中的云资源无需弹性公网IP就能够访问同区域跨VPC的服务资源,为您提供更加灵活、安全的服务私网连接组网方式。

说明：本章节会介绍在关系型数据库服务的管理控制台创建实例的过程 操作场景 本节将介绍在关系型数据库服务的管理控制台创建实例的过程。 RDS for MySQL支持“包年/包月”和“按需计费”购买，您可以根据业务需要定制相应计算能力和存储空间的关系型数据库实例。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台左上角的，选择区域和项目。 步骤 3 选择“数据库 > 关系型数据库”。进入关系型数据库信息页面。 步骤 4 在“实例管理”页面，单击“创建数据库实例”。 步骤 5 在“服务选型”页面，选择计费模式，填写并选择实例相关信息后，单击“立即购买”。 计费模式： 包年/包月：若选择该模式，跳过步骤6，执行步骤7。 按需计费：若选择该模式，继续执行步骤6。 表1 基本信息 参数 描述 区域 租户当前所在区域，也可在页面左上角切换。 说明 不同区域内的产品内网不互通，且购买后不能更换，请谨慎选择。 实例名称 实例名称长度在4个到64个字符之间，必须以字母开头，可以包含字母、数字、中划线或下划线，不能包含其他特殊字符。 数据库引擎 MySQL。 数据库版本 不同区域所支持的数据库版本不同，请以实际界面为准。 选用MySQL数据库时，请根据实际业务需求选择合适的数据库引擎版本。建议您选择当前可用的最高版本数据库，因其性能更稳定，安全性更高，使用更可靠。 实例类型+可用区 l 主备：备机提高了实例的可靠性，创建主机的过程中，同步创建备机，备机创建成功后，用户不可见。 可用区指在同一区域下，电力、网络隔离的物理区域，可用区之间内网互通，不同可用区之间物理隔离。 关系型数据库服务支持在同一个可用区内或者跨可用区部署数据库主备实例，备机的选择和主机可用区对应情况： − 相同，主机和备机会部署在同一个可用区。 − 不同（默认），主机和备机会部署在不同的可用区，以提供不同可用区之间的故障转移能力和高可用性。 l 单机：只创建一个主实例。 时区 由于世界各国家与地区经度不同，地方时也有所不同，因此会划分为不同的时区。时区可在创建实例时选择，后期可修改。 表2 规格与存储 参数 描述 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。 创建成功后可进行规格变更。 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 l 普通I/O：磁盘类型SATA，最大吞吐量90MB/s l 高I/O：磁盘类型SAS，最大吞吐量150MB/s l 超高I/O：磁盘类型SSD，最大吞吐量350MB/s 存储池 只有选择“专属存储”的用户才有此选项，是购买专属分布式存储服务时确定的独享的存储池，该存储池与其他池物理隔离，安全性高。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。存储空间支持40GB到4000GB，用户选择容量大小必须为10的整数倍。 表3 网络 参数 描述 虚拟私有云 关系型数据库实例所在的虚拟专用网络，可以对不同业务进行网络隔离。您需要创建或选择所需的虚拟私有云。如何创建虚拟私有云，请参见《虚拟私有云用户指南》中的“创建虚拟私有云基本信息及默认子网”。 如果没有可选的虚拟私有云，关系型数据库服务默认为您分配资源。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全性。子网在可用区内才会有效，创建关系型数据库实例的子网默认开启DHCP功能，不可关闭。 创建实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址可修改。 内网安全组 内网安全组限制实例的安全访问规则，加强关系型数据库服务与其他服务间的安全访问。请确保所选取的内网安全组允许客户端访问数据库实例。 如果不创建内网安全组或没有可选的内网安全组，关系型数据库服务默认为您分配内网安全组资源。 IPv6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤，请参见《虚拟私有云操作指导》中的“IPv4/IPv6双栈管理”章节。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 表4 数据库配置 参数 描述 管理员帐户 数据库的登录名默认为root。 管理员密码 所设置的密码长度为8~32个字符，至少包含大写字母、小写字母、数字、特殊字符三种字符的组合，其中允许输入~!@

高安全 针对企业各部门间不同的密级，私网NAT支持暴露限定网段的IP和端口，隔离高安全等级的业务。因为安全受限等原因，行业监管部门要求各机构和单位按指定IP地址接入，私网NAT可满足行业监管要求，将私网IP映射为指定IP进行接入。 零冲突 企业多部门间业务隔离，常常使用同一个私网网段，迁移上云后极易冲突。基于私网NAT网关的大小网映射能力，可支持云上的重叠网段互通，助力客户上云后网络零冲突。

本文为您介绍跨域VPC和云专线通过云间高速实现安全访问互联网的操作流程。 前提条件 客户在VPC网络中配置有安全管控服务。 安全管控服务具备互联网访问能力。 此场景仅限天翼云CTYUN4.0资源池 场景示例 在华北2和华东1资源池部署有云上资源。 在广州的IDC需要通过云专线接入华南2资源池，与华北2和华东1的云上资源互访。 三个区域的资源需要通过华东1部署的云上安全服务访问互联网。 组网拓扑 配置步骤 1. 创建云间高速和云企业路由器 创建云间高速 云间高速的创建，具体操作请参见：创建云间高速（标准版）实例云间高速 创建云企业路由器 在华北2、华东1、华南2三个资源池中分别创建云企业路由器。 具体操作请参见：创建云企业路由器实例云间高速 2. 加载网络实例 加载VPC网络实例 在已创建的华北2云企业路由器和华东1云企业路由器中，分别加载对应区域的VPC网络实例。 具体操作请参见：加载VPC网络实例云间高速 加载专线网络实例 在华南2云企业路由器中，加载云专线（CDA）网络实例。 具体操作请参见：加载云专线（CDA）网络实例云间高速

可视化大屏服务为客户提供网站整体安全状况的可视化大屏分析，实时展示网站安全运营情况。 glmoscodeexplain 如何开通可视化大屏服务？ 当前仅支持通过单击变更访问链接，进入变更访问链接后，单击【实例】，可按需在【全部产品】下拉框中过滤出【Web应用防火墙(边缘云版)】。 如果使用可视化大屏服务？ 客户如果购买了态势感知大屏服务，可以在控制台查看实时的安全态势感知服务。安全态势感知服务根据客户维度，实时展示客户业务整体的攻击情况，主要包括：攻击来源IP、攻击 TOP URL、攻击域名TOP排行、攻击类型分布、攻击类型趋势、攻击来源TOP排行、攻击趋势和滚动式的安全威胁信息等。具体功能介绍详见：态势感知 注意 暂时不支持单独退订可视化大屏服务，如果需要单独退订，请

安全组 安全组是一种网络安全防护机制，用于防止未经授权的访问和保护计算机网络免受恶意攻击。它是一种虚拟防火墙，用于限制入向和出向网络流量。安全组工作在网络层和传输层，它通过检查数据包的源地址、目标地址、协议类型和端口号等信息来决定是否允许通过。安全组创建后，用户可以在安全组中定义各种访问规则，当弹性云主机加入该安全组后，即受到这些访问规则的保护。 更多内容请参见安全组。 网络ACL 网络ACL是一个子网级别的流量防护策略，您可以自定义设置网络ACL规则，并将网络ACL与子网绑定，实现对子网中云主机实例流量的访问控制。通过出方向/入方向规则控制出入子网的流量数据。 更多内容请参见网络ACL。 常见的高危端口 TCP：42、135、137、138、139、444、445、593、1025、1068、1434、3127、3128、3129、3130、4444、4789、5554、5800、5900、9996 UDP：135139、10261028、1068、1433、1434、4789、5554、9996 定期升级操作系统 您应该定期对云主机内的操作系统进行升级。了解操作系统发布的漏洞公告，及时安装漏洞补丁，以防您的主机收到侵害。天翼云并不承诺对客户操作系统内进行升级和维护。

本节介绍云等保专区产品的升级扩容情况。 约束限制 各产品升配限制如下： 产品 版本升配说明 云安全中心 云安全中心不支持在云等保专区控制台升配，若需要升配，请参见云安全中心升级扩容。 主机安全 主机安全v1.0当前不支持升配，可在同一VPC下购买新的配额。 主机安全v2.0支持升配版本 Web应用防火墙 若购买时未购买扩展包资源，则升配时不能对扩展包的数量进行升配。 若一个订单包含了多个WAF实例，则只能同时对该订单中的WAF实例进行升配，且只能升配到相同的配额。 云下一代防火墙 仅支持升配版本，不支持对数量进行调整。 堡垒机 堡垒机 v1.0仅支持升配规格，不支持对数量进行调整。 堡垒机 v2.0支持升配规格，支持存储扩容，不支持对数量进行调整。 漏洞扫描 仅支持升配规格，不支持对数量进行调整。 日志审计 日志审计v1.0仅支持升配规格，不支持对数量进行调整。 日志审计v2.0支持升配规格，支持存储扩容，不支持对数量进行调整。 数据库审计 数据库审计 v1.0仅支持升配规格，不支持对数量进行调整。 数据库审计 v2.0支持升配规格，支持存储扩容，不支持对数量进行调整。

首先确认云下一代防火墙所防护的业务是否正常，如果正常可以先排查一下云下一代防火墙管理EIP是否被解绑（解绑了会无法通过公网进行管理），是否调整了安全组限制了管理端口（安全组限制会导致公网机内网进行管理）。如果业务不正常，急需恢复业务，请将云主机的EIP从云下一代防火墙上解绑，绑至对应业务云主机上，让VPC南北向流量绕过云下一代防火墙，进行业务的恢复（如果此时业务云主机修改了网关为云下一代防火墙的地址，那么请修改VPC内所有业务云主机的网关为默认网关，网关还请参照虚拟私有云（VPC）内的子网信息）。 其次，天翼云控制台云主机列表找到云下一代防火墙主机，进行远程登录，看是否能打开正常运行，查看配置是否正常。 最后，如果依旧存在问题，请联系客服。

本文为您介绍天翼云SDWAN的定义、产品形态和产品组件。 SDWAN是一种将SDN应用到广域网场景中的软件定义广域网技术。天翼云SDWAN采用SDWAN核心网架构方案（PoP云端网络架构）进行设计研发，为用户提供更加高效快捷的云化SDWAN服务。天翼云SDWAN基于天翼云资源池布局，并依托电信优质骨干网资源（ChinaNet、专线/专网、CN2DCI网、4G/5G无线网络等），可在接入侧兼容各运营商多种网络接入方式，支持一跳入云、多地组网、灵活配置以及智能调度与管理等功能，助力用户分钟级构建云、数据中心、企业分支之间的专属广域网络。 产品形态 智能网关是指天翼云提供的SDWAN网络接入设备，分为硬件版和软件版（vCPE）两种形态。 智能网关硬件版：智能网关硬件版作为部署在客户侧的重要网络设备，主要功能是负责与PoP点通过网络组建加密通道，将客户侧需要通过SDWAN网络传输组网的流量通过加密通道传输至PoP点，进入SDWAN骨干网中，进而传输到组网对端。 智能网关硬件版本分为四种型号：经济版、标准版、企业版、企业增强版。客户可根据业务规模需求，并结合不同型号网关的转发能力，进行设备选型： 智能终端 经济版 标准版 企业版 企业增强版 产品型号 S1000系列 S2000系列 S6000系列 S8000系列 IPSec隧道加密转发能力 100Mbps 500Mbps 1Gbps 5Gbps 智能网关软件版（vCPE）： vCPE是智能网关的软件镜像版。通过将vCPE镜像部署在云主机中。智能网关vCPE可作为一个虚拟CPE设备帮您将网络接入天翼云，为用户提供更加灵活、便捷的入云服务。

基于NAT网关的用户网络，可以配置哪些安全策略实现访问限制？ NAT网关提供隔离主机网络的安全能力，但不支持做主机访问的策略控制，如用户需要对主机进行访问限制，可以配置以下安全策略来实现访问限制： 1. 网络ACL：可以通过网络ACL来配置子网出入流量的规则，限制特定协议、端口或IP地址的访问。 2. 安全组：安全组是一种虚拟防火墙，可以在弹性云主机中配置。通过安全组，可以定义允许和拒绝的流量规则，限制特定协议、端口或IP地址的访问。 安全组对弹性云主机进行防护，网络ACL对子网进行防护，两者结合起来，可以实现更精细、更复杂的安全访问控制。 同时存在指向NAT网关的默认路由和指向IPv4网关的默认路由，路由优先级是什么样的？ VPC的默认路由表中，如果同时存在指向IPv4网关的自定义路由，和指向NAT网关的自定义路由，由于指向IPv4网关的自定义路由优先级更高，流量会转发到IPv4网关； 示例如下：假如VPC路由表中存在两条自定义路由，目的地址为默认路由（0.0.0.0/0），下一跳为NAT网关；目的地址为默认路由（0.0.0.0/0），下一跳为IPv4网关。 如果线下IDC通过专线接入云上公网NAT网关，转发时会匹配优先级更高的路由规则，此时流量会转发至IPv4网关，无法抵达NAT网关； 如果VPC内的同一个子网下部分ECS绑定了EIP，部分ECS通过NAT网关出公网，会匹配子网的策略路由；将绑定了EIP的ECS流量转发给IPv4网关，而未绑定EIP的ECS流量则转发给NAT网关出公网。

本节介绍云下一代防火墙产品优势。 具有全面适应能力的软件防火墙 在云计算环境中，用户的计算、存储、数据资源都是运行在服务器的虚拟机上，在考虑安全防护的设计时，云下一代防火墙可在云主机上实现快速灵活的部署，支持在VMware、KVM、HyperV、XEN等主流虚拟化平台运行，可串联或单臂连接到虚拟网络中（如：虚拟应用服务器前端的网关，或者是VPC网络的边界网关），为虚拟网络或应用提供专业的边界网络安全防护功能。 以虚拟机形式部署设备，能够克服物理防火墙的限制，在云计算环境中可部署于更加靠近云主机的位置，对于云主机内部流量进行过滤，实现同时对于南北向和东西向流量的安全防护。同时，用户可以根据网络搭建需求，弹性调配和管理网络资源等，并且能够按需进行灵活迁移，充分发挥云计算优势。 拥有专业NGFW安全防护功能 云下一代防火墙拥有与NGFW相同的操作系统，具有丰富的网络安全防护功能，对网络威胁进行防御，能够满足企业分支及公有云多租户环境中的网络安全需求。 具备精细化应用管控，可为用户提供多维的应用风险分析和筛选，以及灵活的安全控制，包括策略阻止、会话限制、应用引流和智能流量管理等。同时，还具备入侵防御、病毒过滤、攻击防护、NAT等功能，满足客户对安全访问，攻击防护以及应用识别和控制等需求。 具备HA组网能力，满足配置和会话同步的要求，从而实现高可靠的冗余部署，保障用户业务的不间断连续运营。

本节介绍安全云应用的产品介绍。 产品简介 安全云应用是一种基于天翼云托管的应用程序流式传输服务，通过天翼云自研的clink传输协议，将音视频、图像、外设等信息传输到用户的远程设备上，实现跨平台、安全、易用的应用程序访问。 注意 目前安全云应用功能仅在部分资源池（石家庄3、郴州2、佛山3）开放，如当前资源池的AI云电脑（政企版）控制台没有安全云应用的功能菜单，请联系运维客服进行开通（运维客服邮箱：clouddesktop@chinatelecom.cn）。 应用场景 国产化转型 在国产操作系统上无缝运行Windows应用，确保用户业务系统的连续性，轻松实现国产化转型。 安全办公场景 远程访问应用，内外网隔离，兼顾外网访问需求的同时，最大限度保证用户数据安全。 支持的操作系统 服务桌面：承载云应用运行的AI云电脑，支持Windows Server 2019 用户桌面：用户使用的国产化AI云电脑，统信V20, 麒麟V10，中科方德 产品规格 规格类型 功能适用 规格参数 系统支持 基础版 适用于简单办公、文档编辑、客户服务等场景 2C4G 80G系统盘 Windows 标准版 适用于视频娱乐，在线会议，OA办公等场景 4C8G 80G系统盘 Windows 旗舰版 适用于高效办公，开发设计，视频监控等场景 8C16G 80G系统盘 Windows

安全及管理 云服务名称 作用范围 系统策略名称 系统策略描述 云监控 全局 cm admin 云监控服务管理员权限 云监控 全局 cm viewer 云监控服务观察者权限 服务器安全卫士（原生版） 全局 ctcsscn viewer 服务器安全卫士(viewer)权限 服务器安全卫士（原生版） 全局 ctcsscn admin 服务器安全卫士(admin)权限 Web应用防火墙（原生版） 全局 ctwaf admin ctwaf admin策略 Web应用防火墙（原生版） 全局 ctwaf viewer ctwaf viewer策略 云审计 全局 cloudauditauditor 云审计审计员 云审计 全局 cloudauditviewer 云审计普通用户策略 云审计 全局 cloudauditadmin 云审计管理员 密钥管理 全局 kms admin kms admin 密钥管理 全局 kms viewer kms viewer 企业应用 云服务名称 作用范围 系统策略名称 系统策略描述 云通信短信 全局 SMS admin 拥有云通信主账号的所有权限 云通信短信 全局 SMS viewer 拥有云通信控制台的只读权限

本章节介绍应用服务网格CSM对接Nacos注册中心 概述 天翼云应用服务网格CSM对接Nacos架构如下图所示，控制面通过xDS协议从nacos发现服务，通过xDS协议下发到数据面中。 注意 服务网格对接Nacos注册中心前需要您已经订购了微服务引擎注册配置中心实例（Nacos内核）。 开通网格实例时添加Nacos注册中心 在网格开通页面可以选择添加Nacos注册服务，选择已经开通的同VPC下的Nacos注册中心实例即可。 访问Nacos中注册的服务 访问服务网格中从Nacos注册中心发现的服务格式如下： ${服务名}.${nacos分组名}.${nacos命名空间id}.nacos

本文向您介绍企业版VPN中连接故障或无法PING通类常见问题。 VPN配置完成了，为什么连接一直处于未连接状态？ 可能存在信息配置错误，请从以下方面进行排查： 1. 确认两端的预共享密钥和协商信息一致，云上与用户侧数据中心的本端子网/对端子网、本端网关/对端网关互为镜像。 2. 确认用户侧数据中心设备的路由、NAT和安全策略配置无误。 如何防止VPN连接出现中断情况？ VPN连接在正常的使用过程中会存在重协商情况，触发重协商的条件有IPsec SA的生命周期即将到期和VPN传输的流量超过20GB，重协商一般不造成连接中断。 大多数的连接中断都是因为两端的配置信息错误造成的，或公网异常导致重协商失败造成的。 常见的连接中断原因有： 两端的ACL不匹配； SA生命周期不匹配； 用户侧数据中心未配置DPD； VPN使用过程中修改了配置信息； 运营商网络抖动。 因此请在配置VPN时确保操作和配置，以进行连接状态保活： 两端的子网配置互为镜像； SA生命周期信息一致； 用户侧数据中心网关开启DPD配置，探测次数不少于3次； 连接过程中修改参数两侧同步修改； 设置用户侧数据中心设备TCP MAXMSS为1300； 确保用户侧数据中心出口有足够的带宽可被VPN使用； 确认VPN连接可被两端触发协商，开启用户侧数据中心设备的主动协商配置；

参数 说明 使用场景 分为虚拟私有云和云专线两种方式。 虚拟私有云：表示虚拟私有云中的云主机将通过DNAT的方式共享弹性IP，为公网提供服务。 云专线：表示通过云专线方式接入虚拟私有云的本地数据中心中的服务器，将通过DNAT的方式为公网提供服务。 支持协议 协议类型分为TCP、UDP、全部三种类型。 弹性IP 弹性IP地址及公网端口。只能使用未绑定的弹性IP或者被绑定在当前VPC中DNAT规则上的弹性IP。 私网IP 当使用场景为虚拟私有云时，指云主机的IP地址。表示此IP地址的云主机将通过DNAT方式为公网提供服务。 当使用场景为云专线时，指用户本地数据中心中服务器的IP地址或者用户的私有IP地址。 表示通过云专线接入到虚拟私有云的本地数据中心端的此私有IP服务器，可以通过DNAT方式为公网提供服务。 协议类型为TCP、UDP时，需要配置私网IP的端口。 描述 DNAT规则信息描述。最大支持255个字符。

编辑终端 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 主机资产”，进入主机资产页面。 3. 选择需要编辑的终端，点击右侧操作项 中的“编辑”。 4. 在弹出的对话框中编辑终端信息，点击“确定”，即可修改终端信息。 编辑终端信息时，若绑定状态开关的状态调整为关闭，将解绑该终端，被解绑的终端会从终端列表中删除。 查看策略 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 主机资产”，进入主机资产页面。 3. 选择需要查看的终端，点击右侧操作项 的“策略” ，即可对该终端的策略信息进行查看和编辑操作，详情请参考策略管理。 其他操作 1. 登录大模型安全卫士实例。 2. 在菜单栏选择“资产中心 > 主机资产”，进入主机资产页面。用户可在此页面修改终端分组、修改终端标签、导出终端、登记管理操作。 3. 勾选终端，点击“更多”，在弹出的下拉框中选择不同的菜单项，可对终端进行卸载客户端、删除终端、停止防护、启动防护、关闭主机、重启主机、重启客户端、迁移终端、修改远程管理端口、导出终端调试日志、消息推送、一键隔离、取消隔离等操作。 具体操作说明如下： 操作 说明 导出终端 可将终端信息以CSV格式导出至本地。 修改分组/修改标签 修改所选终端的分组/标签，每个终端必须且只能在一个分组内，可以有多个标签。 卸载客户端 卸载终端上的EDR客户端软件。 删除终端 删除终端后，EDR不能对终端进行管控，许可也将释放。终端信息以及相关日志将会删除，但部分防护依然有效。 停止防护 关闭所选终端当前所有防护。 启动防护 启动对终端的防护。 关闭主机/重启主机 对所选终端进行关机或重启。 重启客户端 对客户端进行重启。 锁定主机 锁定目标客户端。 迁移终端 填写新中心IP和UUID，点击 ，可对租户内终端进行同中心跨租户迁移以及不同中心间迁移。 修改远程管理端口 填写需要修改的远程管理端口，勾选立即重启，点击 即可修改远程管理端口。 导出终端调试日志 将所选终端的客户端运行日志，异常转储日志，操作系统日志信息导出。 升级 对客户端主程序进行升级操作。 消息推送 对客户端所在终端进行消息推送（仅适用于Windows主机）。 重新登记信息 对客户端重新登记资产信息。 一键隔离 对选定客户端进行一键断网。 取消隔离 对选定客户端取消一键断网策略。

子网规划 子网是流量隔离与防护的最小单元，按“功能专属”原则规划了如下子网： 子网类型 核心用途 规格要求 部署VPC 关键限制与实践要点 业务子网 部署无EIP的后端 ECS（如 Web 服务器、数据库服务器）、私网 ELB 后端节点 按需配置（如24位，满足业务扩容） vpc1/vpc2 与公网ELB、绑定EIP的ECS所在子网严格隔离； 同业务模块的ECS可归为一个子网（如 “Web 业务子网”“DB 业务子网”），便于安全组精细化管控。 公共子网 部署公网ELB、绑定EIP的 ECS/HAVIP/裸金属服务器 按需配置（如26位，根据公网暴露资源数量调整） vpc1/vpc2 公网ELB与其后端ECS必须分属不同子网（避免流量绕开防火墙，同时降低单点故障影响）； 仅放置需直接暴露公网的资源，禁止混入后端业务ECS。 NAT网关子网 专属部署NAT 网关 固定28位（子网掩码255.255.255.240，仅需16个IP，满足 NAT网关部署需求） vpc1/vpc2（或vpcnat） 子网需单独关联 NAT网关，禁止部署其他组件； 仅允许需通过NAT出访的业务子网（如 vpc1的业务子网）路由指向该NAT网关。 GWLBE引流子网 2个专属子网，分别用于： EIP / 公网 ELB 入访流量引流； NAT 网关出访流量引流 每个子网固定28位 vpccfw 子网仅用于云防火墙流量引流，禁止部署其他业务组件； 需在 VPC 路由表中配置 “EIP/ELB 流量→引流子网 1→GWLBE”“NAT 出访流量→引流子网 2→GWLBE” 的路由。 安全产品子网 部署云等保专区、漏洞扫描等安全组件 按需配置（如28位，安全产品节点数量少） vpcsec 与业务子网、公共子网完全隔离； 仅开放安全产品与云防火墙、管理端的必要通信端口（如 3389/RDP、22/SSH，仅允许管理员IP访问）。

云主机备份与云硬盘备份的区别是什么？ 两者的主要差异如下： 对比维度 云主机备份 云硬盘备份 备份/恢复对象 以云主机为单位进行备份，云主机中的所有云硬盘（系统盘和数据盘）。 以云硬盘为单位进行备份，指定的单个或多个云硬盘（系统盘或数据盘）。 推荐场景 需要对整个云主机进行保护时，确保业务稳定性及数据安全。 仅对数据盘或系统盘中的个人数据、隐私数据、重要数据进行备份时。 优势 对云主机进行备份指的是同时对其上的所有云硬盘同时进行备份，具有一致性，不存在因备份创建时间差带来的数据不一致问题。 能以更低的成本，更精细的粒度来确保数据安全。 备份和容灾的区别？ 产品 应用场景 使用目的 备份 当发生软件错误、病毒入侵、人为删除等事件时，可将数据恢复到任意备份点。 避免数据丢失，出现故障后，可通过备份将数据恢复至最近的备份点。 容灾 主要针对火灾、地震等重大自然灾害，因此生产中心和容灾中心之间必须保证一定的安全距离。 避免业务中断，在灾难发生后，可以在容灾中心启动容灾主机，保证业务的连续性。

本章节介绍应用服务网格CSM产品定义 什么是应用服务网格CSM？ 天翼云应用服务网格（CSM）提供基于Sidecar技术的无侵入式服务治理能力，兼容开源istio服务网格，并基于开源实现做了功能增强，提供了丰富的流量治理、安全管控和观测能力，满足多语言、技术栈应用统一治理的需求，降低业务接入门槛。 核心功能 网格全生命周期管理：一键创建、销毁网格实例、网格规格扩容，支持日志、链路、指标等自动化配置；实现Sidecar定制化配置，支持Sidecar注入策略及Sidecar代理配置能力。 流量治理能力：支持原生的istio流量治理能力，并提供了本地限流、流量打标、全链路灰度等高阶治理能力；无缝对接云容器引擎，实现多集群统一治理。 可观测及安全策略：支持数据面指标监控，提供控制面和数据面日志及链路追踪能力；支持全链路加密通信，请求认证授权，集成外部授权服务和OPA策略引擎，支持控制台API操作审计。 应用服务网格CSM的核心功能说明如下。更多信息，请参见用户指南。 功能项 说明 相关文档 网格管理 网格可观测、OPA配置等配置能力，全局命名空间管理。 网格管理 sidecar管理 sidecar注入策略配置，sidecar代理配置。 sidecar管理 集群与工作负载管理 ServiceEntry管理，多集群管理。 集群与工作负载 流量治理 提供多集群治理能力，支持基于istio CRD的流量治理，以及扩展的高阶治理能力。 流量管理中心 安全策略 一键开启mTLS安全链路，支持丰富的请求认证和授权策略，支持使用外部授权服务对网格内的服务进行访问授权，支持一键集成OPA策略引擎。 网格安全中心 可观测管理 指标监控，数据面、控制面日志监控能力。 可观测管理中心 网格优化 sidecar资源管理，服务发现范围配置以及自适应配置分发配置。 网格优化中心 网关 ingress、egress网关生命周期管理。 网关

云原生网关 云原生网关是天翼云微服务引擎的子产品，将传统的流量网关和业务网关合二为一，提供全局性和独立业务域级别的流量管理策略，与后端业务紧耦合策略配置。 弹性负载均衡 弹性负载均衡（Elastic Load Balancing）是天翼云产品，通过将访问流量自动分发到多台云主机，扩展应用系统对外的服务能力，实现更高水平的应用程序容错性能。 应用服务网格 应用服务网格是天翼云产品，提供基于Sidecar技术的无侵入式服务治理能力，兼容开源istio服务网格，并基于开源实现做了功能增强，提供了丰富的流量治理、安全管控和观测能力，满足多语言、技术栈应用统一治理的需求，降低业务接入门槛。 资源池或区域 资源池或者区域指资源所在的物理位置。同一区域内可用区之间内网互通，不同区域之间内网不互通。 可用区 每个区域包含许多不同的称为“可用区”的位置，即在同一区域下，电力、网络隔离的物理区域，同一个可用区内网互通，不同可用区之间物理隔离。每个可用区都被设计成不受其他可用区故障的影响，并提供低价、低延迟的网络连接，以连接到同一区域其他可用区。 VPC 虚拟私有云(Virtual Private Cloud)为用户提供一个逻辑隔离的区域，构建一个安全可靠、 可配置和管理的虚拟网络环境。专有网络由逻辑网络设备（如虚拟路由器，虚拟交换机）组成，可以通过专线/VPN等连接方式与传统数据中心组成一个按需定制的网络环境，实现应用的平滑迁移上云。

站点 对于特定的MPLS VPN网络，一个不需要通过MPLS VPN承载网就能完成互联的IP网络系统，称之为一个站点。 云内网络 由天翼云资源池内的虚拟化网络设备（如vRouter、vSwitch）、物理网络设备（交换机或路由器）及其连接线路构成的资源池内的网络。 虚拟私有云（VPC） VPC为用户在云端构建一个安全可靠、可配置和管理的虚拟网络环境。虚拟私有云可以申请配置弹性带宽/IP、创建子网、设置安全组、配置DHCP等服务。 云网关（CGW，Cloud Gateway） 第三方公有云与CN2DCI网络PE互联的网关设备。

本文介绍SNAT规则的添加、查看、修改和删除。 添加SNAT规则 私网NAT网关创建成功后，您需要创建SNAT规则。通过创建SNAT规则，虚拟私有云子网中全部或部分云主机可以通过中转IP地址访问云上云下资源。 1. 登录天翼云控制中心，选择目标区域节点。选择“网络>NAT网关>私网NAT网关”，进入私网NAT网关页面。 2. 点击需要添加规则的私网NAT网关名称，进入私网NAT网关详情页，下拉至SNAT规则标签页，点击添加SNAT规则。 3. 根据界面提示，配置SNAT规则的基本信息，配置参数如表所示 参数 参数说明 源网段类型 选择VPC内子网：选择现有子网，使子网内云主机通过SNAT方式访问云资源。手动输入自定义网段：自定义一个网段，使网段内服务器或云主机通过SNAT方式访问云资源。 子网/源网段 子网为需要关联的VPC中的子网，只能在未设置SNAT规则的子网下创建SNAT规则。源网段为自定义网段或某个主机地址，支持配置0.0.0.0/0的地址段，为所有经过私网NAT网关的报文进行源地址转换。 中转IP 用于NAT地址转换的IP地址，NAT网关根据对应规则会把通过NAT网关的报文的源地址更换为中转IP地址； 只能使用未绑定的中转IP或者被绑定在当前NAT网关中SNAT或DNAT规则上的中转IP。若无符合条件的中转IP，您可前往创建中转IP后，刷新即可。 选择多个中转IP时，业务连接会通过轮询方式分配到多个中转IP，由于每个连接的流量不同，可能会出现多中转IP业务流量不均匀的情况；并且同一个内网IP访问单一目的IP，可能使用不同的中转IP。访问单一目标的并发连接数过多时，会造成端口分配失败，需持续监控SNAT源端口溢出丢包数。 描述 SNAT规则信息描述。 4. 配置完成上述信息，点击“确定”，完成SNAT规则的添加。

配置项 说明 集群服务商 服务商类型。 集群名称 自定义集群的名称，实例名称不允许重复。 舰队 创建注册集群完成后自动将集群加入指定舰队。创建时可不指定，注册集群创建完成后可手动加入舰队。 企业项目 集群归属的企业项目。企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 虚拟私有云 配置集群的虚拟私有云VPC。在已有VPC列表中选择已创建的VPC，或单击 创建虚拟私有 云创建新的VPC。 子网 在列表中根据可用区选择已有子网，或单击 创建子网 创建新的子网。集群控制面与默认节点池将使用此处指定的子网。 安全组 支持选择 自动创建安全组 、 选择已有安全组 。 指定已有安全组时，系统默认不会为安全组配置额外的访问规则，可能会导致访问异常，请参考 API server 访问 为API Server创建一个 按量付费 的私网ELB实例，作为集群API Server的内网连接端点。API Server提供了各类资源对象（Pod、Service等）的增删改查及Watch等HTTP Rest接口。 支持选择是否开放 使用 EIP 暴露 API Server 。 开放：开启后，将为 API Server 私网 ELB 实例绑定一个 EIP，获得从公网访问集群 API Server 的能力。 不开放：不会创建EIP，仅能在VPC内使用KubeConfig连接并操作集群。 注意 删除默认创建的ELB实例会导致API Server无法访问。 绑定EIP到ELB实例后，API Server可以通过公网接收请求，但集群内的资源无法通过此访问公网。 绑定公网IP 设置是否启用绑定EIP。选中此选项，会在集群中自动绑定EIP，用于建立集群链接。 说明 公网接入必选项；如果云上云下集群已通过专线接通网络，可以不勾选。 集群删除保护 推荐开启集群删除保护，防止通过控制台或OpenAPI误删除集群。

类别 云防火墙 安全组 网络ACL 定义 云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等，同时支持AI提升智能防御能力满足云上业务的变化和扩张需求，极简应用让用户快速灵活应对威胁。云防火墙服务是为用户业务上云提供网络安全防护的基础服务。 安全组是一个逻辑上的分组，为具有相同安全保护需求并相互信任的云服务器、云容器、云数据库等实例提供访问策略。安全组创建后，用户可以在安全组中定义各种访问规则，当实例加入该安全组后，即受到这些访问规则的保护。 网络ACL是一个子网级别的可选安全层，通过与子网关联的出方向/入方向规则控制出入子网的网络流量。 防护场景 互联网边界 VPC边界 SNAT场景 弹性云服务器 子网 功能特性 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。 支持通过地理位置、域名、域名组、黑/白名单过滤。 支持入侵防御系统（IPS）、病毒防御（AV）功能。 支持三元组（即协议、端口和对端地址）过滤。 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。

本章节介绍应用服务网格的日志中心功能 概述 应用服务网格支持采集控制面（control plane）、数据面（sidecar）日志以及应用服务网格网关日志，您可以在控制台日志中心查看日志。 基础概念 1. 日志单元：日志单元是云日志服务中日志数据的采集、存储、查询、分析的基本单元。每个日志单元隶属于一个日志项目，每日志项目中可创建多个日志单元。 2. 日志项目：日志项目是云日志服务的资源管理单位，您可使用日志项目管理不同的应用、产品或项目中的数据。每个日志项目下可创建多个日志单元，是您访问云日志服务资源的入口。 前提条件 1. 天翼云账号已经开通了云日志服务，如果没有开通可以通过服务网格控制台>网格实例>自定义配置>创建云日志服务。 2. 网格控制面和数据面集群已经安装了日志采集插件logoperator。可以通过ccse控制台>插件>插件市场安装。 启用服务网格日志采集 1. 登录服务网格控制台，在左侧的导航栏中选择网格实例>自定义配置。 2. 选择启用日志服务，可以选择已有的日志项目或者新建日志项目，支持为数据面、控制面和网关分别创建日志单元，您可以参考云日志服务管理日志项目查看已有的项目。如果需要新建项目，应用服务网格控制台会自动为您创建对应名称的项目。 日志中心日志查询 您可以在日志服务控制台查询服务网格控制面和数据面的日志，更多详情可参考云日志服务日志查询。

本节为您介绍如何续订云安全中心。 为避免云安全中心实例到期后，服务自动停止，需要在实例到期前进行手动续费，或设置到期自动续费。 到期说明 服务到期后，如果没有按时续费，平台会冻结服务，但用户配置信息会提供15天的保留期。 保留期内，平台会冻结云安全中心的服务，用户配置的各类数据会继续生效，但用户无法访问云安全中心。 保留期满，用户若仍未续费，平台会清除实例资源，用户原有的配置信息将会被删除，同时云安全中心将不再获取第三方日志、用户云上资产等信息。 续订说明 在购买云安全中心时，支持勾选并同意“自动续订”，则在服务到期前，系统会自动按照默认的续费周期生成续费订单并进行续费，无须用户手动续费。 若购买云安全中心时勾选了“自动续订”，系统将会默认设置续费周期：按月购买，自动续费周期默认为3个月；按年购买，自动续费周期默认为1年。如需要修改自动续费周期，可进入天翼云“费用中心”，进入“订单管理 > 续订管理”页面，在资源页面找到待修改自动续订的资源，单击操作列的“修改自动续订”，拖动“续订周期”可修改自动续订周期。 手动续订 1. 登录天翼云控制中心。 2. 在控制台列表页，选择“安全 > 云安全中心”。 3. 在左侧导航栏，选择“已购资源”。 4. 在当前实例信息展示界面，点击“续订”。 5. 在“续订管理”操作界面，可以根据需要进行“手动续订”或者“开通自动续订”。 6. 点击“手动续订”后，进入手动续订页面。 7. 选择续订时长，确认续订时长、续订金额后，单击“确定提交”提交续订订单。 8. 在订单页完成订单确认并支付，付费成功后，续订生效。