步骤六：验证Agent与数据库安全审计实例之间的网络通信正常 待审计的数据库与数据库安全审计实例连接成功后，您需要验证Agent与数据库安全审计实例之间的网络通信是否正常。 1. 在安装Agent的节点执行一条SQL语句或对数据库进行操作（例如，“Select 1;”）。 2. 在左侧导航树中，选择“总览”，进入“总览”界面。 3. 在“选择实例”下拉列表框中，选择需要查看数据库慢SQL语句信息的实例。 4. 选择“语句”页签。 5. SQL语句列表将显示登录数据库操作的记录，如dbss060004/fig1960916145112所示。如果不能查询到SQL语句，请您参照如何处理Agent与数据库安全审计实例之间通信异常？进行排查。 步骤七：查看审计结果 验证成功后，您可参照本节内容在总览界面查看审计结果信息，同时也可根据需求在报表界面进行设置生成报表、下载或预览报表。 进入总览入口，如图所示，查看总览信息。 在总览界面，展示了该实例的审计时长、SQL语句总量、风险总量以及今日语句、今日风险、今日会话量 您可以选择“语句”或“会话”页签，分别查看SQL语句信息和会话分布图。 1. 生成报表、下载或预览报表。进入报表管理界面，进入报表管理入口 2. 在左侧导航树中，选择“报表”。 3. 在“选择实例”下拉列表框中，选择需要生成审计报表的实例。选择“报表管理”页签。 4. 在需要生成报表的模板所在行的“操作”列，单击“立即生成报表”。 5. 在弹出的对话框中，单击 ，设置报表的开始时间和结束时间，选择生成报表的数据库。 6. 单击“确定”。系统跳转到“报表结果”页面，您可以查看报表的生成进度。报表生成后，您可以“预览”或“下载”报表，如图所示。如果您需要在线预览报表，请使用Google Chrome或Mozilla FireFox浏览器。

短信服务支持基于Restful的POST方式发送HTTP/HTTPS请求。请求参数需要包含在Body中，请求及返回结果都使用 UTF8 编码。 短信发送流程 1. 在控制台中添加签名、模板并经审核通过。 2. 调用短信服务的短信发送接口。 3. 短信服务成功收到请求后转发请求给运营商，运营商发送短信。 4. 用户收到短信后，短信服务会有最终的状态消息确认，即消息回执。 对应的协议是： 1. 支持HTTP或HTTPS协议请求通信。为了获得更高的安全性，推荐您使用HTTPS协议发送请求。 2. 发送API采用Rest协议，其中签名算法使用了天翼云的EOP协议。 3. 发送后的消息回执采用Restful的方式异步通知给客户。 服务地址 调用API的服务地址为 请注意，本系统所接口响应类的时间格式均为RFC3339标准，请按照标准进行解析。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包乱序动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 观察运行在目标节点上的业务 Pod 与其他 Pod 或外部服务通信时，是否出现性能下降、卡顿或功能异常。 某些对数据包顺序敏感的应用层协议可能会出现解析错误或连接中断。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包乱序动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 观察运行在目标节点上的业务 Pod 与其他 Pod 或外部服务通信时，是否出现性能下降、卡顿或功能异常。 某些对数据包顺序敏感的应用层协议可能会出现解析错误或连接中断。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包损坏动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的HTTP请求错误数、HTTP状态码统计指标。 2、业务应用验证： 观察运行在目标节点上的业务 Pod 与其他 Pod 或外部服务通信时，是否出现性能下降或连接中断。 检查应用日志，确认是否有因重传或超时导致的错误或警告信息。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包损坏动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的HTTP请求错误数、HTTP状态码统计指标。 2、业务应用验证： 观察运行在目标节点上的业务 Pod 与其他 Pod 或外部服务通信时，是否出现性能下降或连接中断。 检查应用日志，确认是否有因重传或超时导致的错误或警告信息。

本节介绍云下一代防火墙功能特性，包括应用识别、监控统计等。 功能介绍 产品功能 功能解释 应用识别 在进行分析报文头的基础上，结合不同的应用协议特征库综合判断所属的应用 监控统计 对设备数据进行统计，并以柱状图、折线图、表格、报表、日志等方式呈现出来，帮助用户通过统计数据掌握设备状况，排查问题 用户认证 对用户进行识别，通过认证的用户可以访问对应的管理资源 访问控制 划分安全区域和非安全区域，区域之间的访问基于安全策略进行控制 攻击防护 暴力破解，DDoS攻击，泛洪攻击等多种攻击方式监测与拦截 入侵防御 实时监控多种网络攻击并根据配置对网络攻击进行阻断等操作 病毒过滤 探测各种病毒威胁，例如恶意软件、恶意网站等，并且根据配置对发现的病毒进行处理。 数据安全 文件级数据安全防护，根据文件格式和传输协议探测文件数据安全 僵尸网络防护 外连网络安全监测，可以识别内网失陷主机，拦截挖矿等外连服务 IP信誉库 国家地址位置IP信誉识别，识别风险IP双向流量，定期更新特征库 云沙箱 未知威胁风险文件模拟运行环境，动态静态双模式识别 页面访问控制 针对不同用户的权限对页面的访问进行区别 带宽管理 能够管理和优化网络带宽，提高用户的网络体验和带宽资源利用率 高可用性 在通信线路或设备产生故障时提供备用方案，从而保证数据通信的畅通，有效增强网络的可靠性 IPV6 全面适配IPV6环境，支持IPV4与IPV6双栈网络 授权管理 集中管理功能授权并可进行不同种类授权的统一下发 REST API 标准restAPI接口，特殊用户需求可进行联调开发 VPN 支持IPSEC VPN和SSL VPN功能配置

对象 描述 举例 集群服务 可以完成具体业务的一类功能集合 例如：HDFS集群服务、YARN集群服务。 服务角色 组成一个完整服务的一类功能实例，一般情况下可使用角色标识 例如：HDFS由NameNode、DataNode、HDFSClient、ZKFC、JournalNode组成，在组件中起到不同的作用，就像扮演着不同的角色，相互通信协调，提供分布式文件存储能力。 实例分组 相同角色的实例组合成实例分组，通常实例分组对应一个角色，名称一般和角色的名称一样 例如：JournalNode实例分组、DataNode实例分组。 角色实例 服务角色在主机节点上运行的具体实例 例如：运行在Host2上的KerberosAdmin，运行在Host3上的KerberosServer。 主机 用于运行角色实例的物理主机或虚拟主机 例如：Host1～Host5。 集群 由多台主机组成的可以提供多种服务的逻辑实体 例如：名为Cluster1的集群由（Host1～Host5）5个主机组成，提供了HDFS和YARN等服务。

私有（内网）证书 加密标准 证书种类 域名类型 标准资费（元/个/年） 国际算法 企业型（OV） 单域名 1912.5 国际算法 企业型（OV） 通配符 5270 国际算法 企业型（OV） 多域名主单域名 1912.5 国际算法 企业型（OV） 多域名附加单域名 510 国际算法 企业型（OV） 多域名附加通配符 4760 国密标准 企业型（OV） 单域名 3825 国密标准 企业型（OV） 通配符 11475 国密标准 企业型（OV） 多域名主单域名 3825 国密标准 企业型（OV） 多域名附加单域名 2550 国密标准 企业型（OV） 多域名附加通配符 11475 个人证书 个人证书是由权威CA机构颁发的数字身份证，用于身份认证、数据签名和加密通信等场景。 服务类型 加密标准 计费方式 标准资费（元/个/年） 个人证书 国密标准 按个计费 150 证书托管服务 证书托管服务仅支持天翼云上产品，实现证书更新后的自动替换能力。 服务类型 计费方式 标准资费（元/次） 证书托管服务 按次计费 30

本文介绍如何下载根证书。 如果您的业务用户通过Java等客户端访问Web业务，您需要下载与服务端证书类型一致的根证书，并手动安装到对应的客户端，确保客户端与服务端建立HTTPS安全连接。 背景概述 根证书是建立信任链的基础。一旦客户端安装了根证书，它即可验证由该根证书签发的所有证书。这使得客户端可以信任与该根证书相关的所有服务器和应用程序，从而建立起一个完整的信任链。 如果您的业务用户通过浏览器访问您的Web业务，则您无需关注根证书和中间证书，因为根证书和中间证书已经内置在浏览器，您只需在Web服务器安装经CA签发的SSL证书，即可实现客户端与服务端的HTTPS通信。如何获取SSL证书（服务端证书），请参见购买SSL证书。 如果业务用户通过Java等客户端访问您的Web业务，由于客户端没有内置根证书和中间证书，您可能需要在对应客户端或者系统默认信任库手动安装根证书和中间证书，保证客户端能够校验服务端的加密信息。例如，服务端安装了标准版SSL证书，则客户端需要有标准版OV型根证书，才能实现客户端与服务端的HTTPS通信。 下载根证书 证书分类 下载根证书 标准版 国密标准：国密版本根证书.zip 标准版 国际标准： 2025年4月3日之后签发：国际版本根证书（20250403后）.zip 2025年1月14日2025年4月3日之间签发：国际版本根证书（2025011420250403）.zip 2025年1月14日前签发：国际版本根证书（旧）.zip SecureSite GeoTrust TrustAsia ECC算法：DigiCertGlobalRootG3root.rar SecureSite GeoTrust TrustAsia RSA算法：DigiCertGlobalRootG2root.rar GlobalSign OV证书、EV证书：GlobalSign Root CA R3.zip GlobalSign DV证书：GlobalSign Root CA R6.zip CFCA 国密标准：CFCA CS SM2 CA.zip CFCA 国际标准：CFCA EV ROOT.zip 个人证书 国密标准：个人证书根证书.zip

远程登录物理机后控制台显示异常，如何解决？ 问题描述 远程登录物理机后，控制台出现如下异常现象： 使用vim编辑退出后，可编辑区域剩下半个屏幕。 输入字符长度超过80个时，当前行被覆盖。 使用vim等文本编辑器时，调整浏览器窗口大小后，屏幕出现错行，乱行等。 可能原因 物理机远程登录受限于串口通信，无法自适应调整控制台屏幕大小，默认的控制台大小行列数为24x80（24为行数，80为列数）。 解决方案 远程登录物理机操作系统后，单击右键，选择“Resize: xxx”（如下图所示），此时命令行中会粘贴一条命令，比如 stty cols 166 rows 48 ，然后按“Enter”执行调整控制台大小操作。 注意 在使用vim或其它文本编辑器时，请勿调整浏览器窗口大小。如果需要改变浏览器窗口大小，请在退出vim等编辑器后，调整浏览器窗口大小，再按上述解决方案调整控制台大小。

类别 规划项 规划值 VPC 待互通子网 192.168.0.0/16 VPN网关 互联子网 用于VPN网关和VPC通信，请确保选择的互联子网存在4个及以上可分配的IP地址。 192.168.2.0/24 VPN网关 HA模式 双活 VPN网关 EIP地址 EIP地址在购买EIP时由系统自动生成，VPN网关默认使用2个EIP。本示例假设EIP地址生成如下： 主EIP：11.xx.xx.11 主EIP2：11.xx.xx.12 VPN连接 Tunnel接口地址 用于VPN网关和对端网关建立IPsec隧道，配置时两边需要互为镜像。 VPN连接1：169.254.70.1/30 VPN连接2：169.254.71.1/30 数据中心 待互通子网 172.16.0.0/16 对端网关 网关IP地址 网关IP地址由运营商统一分配。本示例假设网关IP地址如下： 22.xx.xx.22 对端网关 Tunnel接口地址 VPN连接1：169.254.70.2/30 VPN连接2：169.254.71.2/30

本小节介绍服务器安全卫士的Agent管理操作方法。 登录天翼云云平台，进入控制中心“服务器安全卫士”界面，点击订单中的“控制台”，进入服务器安全卫士控制台，选择“通用功能 > 服务工具 > Agent管理”，进入Agent管理界面，即可管理Agent运行状态。 在排查问题的过程中，可设置Agent运行级别，下载日志和运行报告。 设置运行级别 正常：Agent拥有完整能力，执行服务器的任务。 降级：是一种保护模式，Agent不再接受服务器下发的任务，直至恢复为非"降级"状态。 停用：停止Agent业务功能，只保留基本通信能力和任务执行能力（如：卸载，恢复在线）。 设置日志级别 下载日志 下载运行报告 下载Agent运行情况的报告。 重启Agent 重新启动Agent，不改变原"主机状态"和"运行级别"。

帮助您在单资源池多VPC场景下进行网络设计。 背景介绍 单资源池多VPC的云网络架构设计旨在解决传统单VPC架构在扩展性、安全性、隔离性以及多业务场景适配性等方面的局限性。单资源池多VPC架构通过逻辑隔离和灵活组网，解决了单VPC在扩展性、安全性和管理粒度上的不足，尤其适合中大型企业、复杂业务场景及合规要求高的环境。尽管引入了一定管理复杂度，但结合自动化工具和合理设计，其收益显著高于单VPC架构。本文适用于虚拟私有云的可用区资源池，不同资源池列表见产品简介资源池区别页面，实际情况以控制台展现为准。 设计目标 1. 业务隔离：通过多VPC实现部门、环境（生产/测试）或租户级隔离。 2. 安全管控：精细化控制跨VPC流量，避免非授权访问。 3. 灵活互通：按需打通VPC间通信，支持业务协同。 4. 统一运维：共享通用服务（如NAT网关、堡垒机），降低管理成本。 基础架构组件 组件 作用 虚拟私有云VPC 创建逻辑隔离的私有网络环境 子网 按业务分层划分网络段（Web/App/DB） 路由表 控制虚拟私有云（VPC）内网络流量的转发路径。 安全组 实例级流量控制（有状态防火墙） 网络ACL 子网级流量过滤（无状态规则） 弹性负载均衡 流量分发至多台后端服务器 NAT网关 私有子网访问互联网的统一出口 弹性IP 为云主机或NAT网关绑定公网地址 对等连接 实现跨VPC内网互通 云监控 网络流量监控

本文从边缘安全加速平台的视角介绍IPv6改造服务最佳实践。 概述 国家已经将支持IPv6的关键信息基础设施列入战略重点。本最佳实践依托天翼云边缘安全加速平台的云安全节点形成云安全网络，实现在不改变用户源站网络架构的基础上，快速、高效地完成从IPv4到IPv6的平滑升级，畅享IPv6与IPv4同等的安全防护效果，满足合规要求。 应用场景 企业网络改造：企业需要对网络进行IPv6改造，以支持更多的设备接入、更高的网络速度和更全面的服务提供能力。 移动互联网服务：IPv6改造服务可以为移动互联网应用提供更强大的支持能力，支持更多的移动设备接入和更快的网络速度。 公共服务场所：公共服务场所需要支持IPv6协议，以满足更多用户的需求，提供更好的服务质量。 物联网应用：物联网应用需要支持IPv6协议，以支持更多的物联设备接入和更多的数据传输。 合规检测：帮助政企网站满足上级单位、测评机构的安全检测需要。 方案优势 支持一键式网页外链转化，智能解析IPv6，提供客户无感知网页切换。 网站页面高度一致，IPv4/IPv6访问场景下，网页展示效果无明显变化。 提供网页深度解析，多级链接请求均提供网页IPv6访问。 安全防护能力全面，集成Web防护、CC防护、爬虫防护等多项能力。 同时支持IPv4/IPv6双栈协议，系统零改动，实现IPv4/IPv6无障碍通信。 DNS解析同时支持IPv4及IPv6解析，根据客户端的IP协议，指定以何种协议回源。支持IPv4回IPv4源站及IPv6回IPv6源站。 支持IPv6标识，对HTML页面进行改写，在网站指定位置增加一个悬浮窗提示信息： “当前正在使用IPv6网络访问此网站”等信息。

本章节主要介绍 更换HA证书 。 操作场景 HA证书用于主备进程与高可用进程的通信过程中加密数据，实现安全通信。该任务指导用户为MRS Manager完成主备管理节点的HA证书替换工作，以确保产品安全使用。 证书文件和密钥文件可由用户生成。 对系统的影响 更换过程中MRS Manager需要重启，此时系统无法访问且无法提供服务。 前提条件 获取需要更换的HA根证书文件“rootca.crt”和密钥文件“rootca.pem”。 准备一个访问密钥文件的密码password，例如“Userpwd@123”用于访问密钥文件。 密码复杂度要求如下，如果密码复杂度不满足如下要求，可能存在安全风险。 密码字符长度至少为8个字符。 至少需要包含大写字母、小写字母、数字、特殊字符~!?,.:;'(){}[]/<>@ $%^&+中的4种类型字符。 操作步骤 登录主管理节点。 1. 执行以下命令切换用户： sudo su root su omm 2. 执行以下命令在主管理节点“${OMSRUNPATH}/workspace0/ha/local/cert”目录生成“rootca.crt”和“rootca.pem”： sh${OMSRUNPATH}/workspace/ha/module/hacom/script/gencert.sh rootcacountry country state state city city company company organize organize commonname commonname email管理员邮箱 password password 例如，执行以下命令： sh${OMSRUNPATH}/workspace/ha/module/hacom/script/gencert.sh rootcacountryCN stategd citysz companyxx organizeITcommonnameHADOOP.COM emailabc@xx.1com passwordUserpwd@123 提示以下信息表示命令执行成功： Generate rootca pair success. 3. 在主管理节点以“omm”用户执行以下命令，复制“rootca.crt”和“rootca.pem”到“${BIGDATAHOME}/om0.0.1/security/certHA”目录。 cparp ${OMSRUNPATH}/workspace0/ha/local/cert/rootca. ${BIGDATAHOME}/om0.0.1/security/certHA 4. 使用“omm”用户将主管理节点生成的“rootca.crt”和“rootca.pem”复制到备管理节点“${BIGDATAHOME}/om0.0.1/security/certHA”目录。 5. 执行以下命令，生成HA用户证书并自动替换。 sh${BIGDATAHOME}/om0.0.1/sbin/replacehaSSLCert.sh 根据提示信息输入password，并按回车键确认。 Please input ha ssl cert password: 界面提示以下信息表示HA用户证书替换成功： [INFO] Succeed to replace ha ssl cert. 6. 执行以下命令，重启OMS。 sh${BIGDATAHOME}/om0.0.1/sbin/restartoms.sh 界面提示以下信息： start HA successfully. 7. 登录备管理节点并切换到omm用户，重复步骤6步骤7。 执行 sh ${BIGDATAHOME}/om0.0.1/sbin/statusoms.sh ，查看管理节点的“HAAllResOK”是否为“Normal”，并可以重新访问MRS Manager表示操作成功。

产品服务协议请查看： 天翼云分布式消息服务协议

产品服务协议请查看： 天翼云分布式消息服务协议

此小节介绍什么是企业主机安全。 企业主机安全服务（Host Security Service，HSS）是以工作负载为中心的安全产品，集成了主机安全、容器安全和网页防篡改，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。 HSS不受地理位置影响，为主机、容器等提供统一的可视化和控制能力。 HSS通过对主机、容器进行系统完整性的保护、应用程序控制、行为监控和基于主机的入侵防御等，保护工作负载免受攻击。 主机安全 主机安全是提升主机整体安全性的服务，通过主机管理、风险预防、入侵检测、高级防御、安全运营、网页防篡改功能，全面识别并管理主机中的信息资产，实时监测主机中的风险并阻止非法入侵行为，帮助企业构建服务器安全体系，降低当前服务器面临的主要安全风险。 在主机中安装Agent后，您的主机将受到HSS云端防护中心全方位的安全保障，在安全控制台可视化界面上，您可以统一查看并管理同一区域内所有主机的防护状态和主机安全风险。 企业主机安全服务的工作原理如图所示。 企业主机安全服务的组件功能及工作流程说明如下： 组件功能及工作流程说明 组件 说明 管理控制台 可视化的管理平台，便于您集中下发配置信息，查看在同一区域内主机的防护状态和检测结果。 HSS云端防护中心 使用AI、机器学习和深度算法等技术分析主机中的各项安全风险。 集成多种杀毒引擎，深度查杀主机中的恶意程序。 接收您在控制台下发的配置信息和检测任务，并转发给安装在服务器上的Agent。 接收Agent上报的主机信息，分析主机中存在的安全风险和异常信息，将分析后的信息以检测报告的形式呈现在控制台界面。 Agent Agent通过HTTPS和WSS协议与HSS云端防护中心进行连接通信，默认端口：10180。 每日凌晨定时执行检测任务，全量扫描主机；实时监测主机的安全状态；并将收集的主机信息（包含不合规配置、不安全配置、入侵痕迹、软件列表、端口列表、进程列表等信息）上报给云端防护中心。 根据您配置的安全策略，阻止攻击者对主机的攻击行为。 如果未安装Agent或Agent状态异常，您将无法使用主机安全服务。 根据操作系统版本选择对应的安装命令/安装包进行安装。 网页防篡改、容器安全与主机安全共用同一个Agent，您只需在同一主机安装一次。

本文为您介绍跨域连接创建的操作流程。 使用说明 用户根据规划的网络，为需要进行互通的两个区域设置域间通信带宽。 同区域网络实例之间互通无需配置带宽。 操作步骤 1. 登录控制中心。 2. 登录云间高速（标准版）管理控制台，并在左侧菜单列表中选择“云间高速（标准版）”。 3. 单击目标云间高速实例名称（或单击目标云间高速实例操作列的“管理”），进入目标实例详情页面。 4. 在云间高速实例详情页面，单击“跨域连接管理”页签。 5. 在跨域连接管理页签，单击“创建跨域连接”，进入跨域连接创建页面。 6. 在跨域连接创建页面，根据提示，选择互通区域（云企业路由器），配置域间带宽，单击“确定”，完成设置。 参数 说明 云间高速(标准版) 选择需要配置的云间高速网络实例。 连接名称 定义需要创建的跨域连接名称。 带宽配置方式 跨域连接配置方式。 目前仅支持“从带宽包分配（包年/包月）”模式。 带宽包 选择需要使用的带宽包。 带宽 配置跨地域连接的带宽值。 单位：Mbps。 地域A/地域B（云企业路由器） 选择需要连接的两个区域（云企业路由器） 高级配置 “自动学习对端（云企业路由器）路由”：选择开启，表示两端的云企业路由器自动同步各自默认路由表中的路由；选择关闭，则表示不自动同步，您可以通过自定义路由进行配置 注意 输入的带宽值必须为整数，且不能超过可用带宽。

$%^&()+ <>?:{},./;'[,]·！@ ￥%……&（） —— +{},。 instanceType：服务后端实例类型，vm:虚机类型,bm:物理机,vip:vip类型,lb:负载均衡类型, 这里需要填vm。 instanceID：第5点展示的Node ID。 subnetID：服务后端子网id。 autoConnection：是否自动连接，true 表示自动链接，这里需要填true。 rules：节点服务规则。 protocol：协议，TCP:TCP协议,UDP:UDP协议。 serverPort：服务端口(用于创建backend传入)，这里根据需要填写，端口范围：90119020、1000118000。 endpointPort：节点端口(用于创建rule传入)，这里根据需要填写，端口范围：90119020、1000118000。 参数示例： 记录响应信息中的“endpointServiceID”参数值，此参数表示终端节点服务的ID，也可以在VPC终端节点服务里面看到（在管理控制台左上角单击，选择“网络 > VPC终端节点”，进入”终端节点服务“页面） 9.参考8，为5中其他节点创建终端节点服务，并记录终端节点服务的ID。 购买终端节点 1.在管理控制台左上角单击，选择“网络 > VPC终端节点”，进入终端节点页面。 2.单击“创建终端节点”，进入“创建终端节点”页面。 3.设置如下参数。 区域：与Kafka实例保持一致。 服务类型：选择“按实例服务ID查找服务”。 服务名称：输入第8点中记录的终端节点服务名称，单击“验证”。显示“已找到服务”后，继续后续操作。 虚拟私有云：选择Kafka客户端所属的VPC。 子网：选择Kafka客户端所属的子网。 其他参数保持默认，如果想要了解更多的参数信息，请参考购买终端节点。 图6 终端节点参数设置 4.单击“下一步”，进入规格确认页面。 5.确认无误后，点击“确认下单”。 6.购买成功后，返回终端节点页面，查看终端节点状态是否为“已接受”，“已连接”表示终端节点已成功连接至终端节点服务。 图7 查看终端节点状态 7.单击终端节点ID，在“基本信息”页签，查看并记录节点IP。 您可以使用节点IP访问终端节点服务，进行跨VPC资源通信。 图8 查看节点IP 8.参考1~7，为9中创建的终端节点服务购买终端节点，查看并记录节点IP。

步骤六：验证Agent与数据库安全审计实例之间的网络通信正常 待审计的数据库与数据库安全审计实例连接成功后，您需要验证Agent与数据库安全审计实例之间的网络通信是否正常。 1. 在安装Agent的节点执行一条SQL语句或对数据库进行操作（例如，“Select 1;”）。 2. 在左侧导航树中，选择“总览”，进入“总览”界面。 3. 在“选择实例”下拉列表框中，选择需要查看数据库慢SQL语句信息的实例。 4. 选择“语句”页签。 5. SQL语句列表将显示登录数据库操作的记录，如dbss060004.xmldbss060004/fig1960916145112所示。 如果不能查询到SQL语句，请您参照如何处理Agent与数据库安全审计实例之间通信异常？进行排查。 步骤七：查看审计结果 验证成功后，您可参照本节内容在总览界面查看审计结果信息，同时也可根据需求在报表界面进行设置生成报表、下载或预览报表。 1. 查看总览信息。 进入总览入口，如图所示，查看总览信息。 在总览界面，展示了该实例的审计时长、SQL语句总量、风险总量以及今日语句、今日风险、今日会话量 您可以选择“语句”或“会话”页签，分别查看SQL语句信息和会话分布图。 2. 生成报表、下载或预览报表。参照下图进入报表管理界面。 在左侧导航树中，选择“报表”。 在“选择实例”下拉列表框中，选择需要生成审计报表的实例。选择“报表管理”页签。 在需要生成报表的模板所在行的“操作”列，单击“立即生成报表”。 在弹出的对话框中，单击，设置报表的开始时间和结束时间，选择生成报表的数据库。单击“确定”。 系统跳转到“报表结果”页面，您可以查看报表的生成进度。报表生成后，您可以“预览”或“下载”报表，如图所示。 如果您需要在线预览报表，请使用Google Chrome或Mozilla FireFox浏览器。

Apache Dubbo是一款RPC框架，用于实现微服务架构；Dubbo2.X版本通信层基于私有协议实现，Dubbo3的底层通信协议已经升级为HTTP/2，利用服务网格原生的HTTP治理能力就可以实现对Dubbo3服务的治理。服务网格针对使用Dubbo2的场景提供了CRD的形式实现服务治理能力，本文主要介绍服务网格对Dubbo2服务的治理和配置说明。 注意 本功能仅针对Dubbo2.X版本，如果要对Dubbo3做服务治理，基于服务网格原生DestinatinRule、VirtualService就可以实现。 操作 进入服务网格控制台 > 流量管理中心 > Dubbo协议治理 菜单下，可以创建、查看、修改、删除DubboProxyRule规则。 配置示例 服务网格提供了CRD的配置方式实现对Dubbo2服务的治理配置。如下示例 给匹配标签appdubbosamplesapiserverconsumerdubbo的Dubbo服务消费者下发访问Dubbo服务治理规则，匹配规则为： 1. 请求Dubbo接口名不限，版本号为1.0.0 2. Dubbo方法为sayHello 3. 参数0的范围在10086和11000之间 4. 请求路由到dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local的v1和v2版本，权重比例为20/80（目标服务的版本通过DestinationRule定义） apiVersion: istio.ctyun.cn/v1beta1 kind: DubboProxyRule metadata: name: testmethodparamsexact spec: workloadSelector: labels: app: dubbosamplesapiserverconsumer port: 20880 configs: name: dubboroutertestmethodparamsexact interface: '' version: 1.0.0 routes: match: method: name: exact: sayHello paramsmatch: '0': rangematch: start: 10086 end: 11000 route: destination: host: dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local subset: v1 weight: 20 host: dubbosamplesapiserverprovider.dubbodemo.svc.cluster.local subset: v2 weight: 80

内容预取 预取功能是指提交URL预取请求后，CDN将会主动回源获取文件并将其缓存到CDN节点。当用户首次请求时，就能直接从CDN节点缓存中获取到该文件，无需再回源站。预取功能可提高缓存命中率，同时降低源站压力，适用于即将发布热门文件场景。功能介绍，详情请见：预取。 SSL/TLS SSL（Secure Sockets Layer，安全通讯协议），是一个构架于TCP之上的安全套接层，是为网络通信提供安全及数据完整性的一种安全协议。标准化之后的SSL名称为TLS（Transport Layer Security，传输层安全协议）。目的是为互联网通信提供安全及数据完整性保障。最典型的应用就是HTTPS，HTTPS即HTTP over TLS，就是更安全的HTTP，运行在HTTP层之下，TCP层之上，为HTTP层提供数据加解密服务。功能介绍，详情请见：HTTPS配置。 OCSP OCSP（Online Certificate Status Protocol，在线证书状态协议），是由数字证书颁发机构CA（Certificate Authority）提供的一个在线证书查询接口，它建立一个可实时响应的机制，客户端发送查询证书请求到CA服务器，然后CA服务器实时响应验证证书是否合法有效。 客户端会在SSL握手时去实时查询OCSP接口，并在获得查询结果前会阻塞后续流程，在网络不佳时会造成较长时间的页面空白，降低了HTTPS性能，严重影响用户体验。开启OCSP装订功能可有效缓解OCSP过程带来的阻塞效果，相关功能介绍，详情请见：OCSP装订。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包乱序动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 观察应用，特别是那些对网络延时和顺序敏感的服务（如视频流、实时通信、大规模数据传输），是否出现性能下降、卡顿或功能异常。 检查应用日志，确认是否有因超时或数据完整性问题而产生的错误。

3、配置全局策略 1. 在全局配置 页面，按需添加保护策略 和监控指标。 2. 配置完成后，单击完成 按钮，创建演练任务。 4、发起故障注入 1. 发起演练 ：在演练管理 列表找到对应演练任务，单击操作列的执行演练， 在新页面中点击发起新演练。 2. 进入实验 ：系统将自动跳转到本次演练的运行详情 页，或在演练执行记录 列表点击对应执行实例的详情进入。 3. 注入故障 ：在动作组 中，找到网络包乱序动作卡片，单击执行。 4. 查看日志 ：单击动作卡片本身，在右侧弹出的侧边栏中查看执行详情。 效果验证 在故障注入期间，您可以通过以下方式验证演练效果： 1、观测实例指标： 登录应用性能监控 控制台，观测已接入应用的应用提供服务平均响应时间指标。 2、业务应用验证： 观察应用，特别是那些对网络延时和顺序敏感的服务（如视频流、实时通信、大规模数据传输），是否出现性能下降、卡顿或功能异常。 检查应用日志，确认是否有因超时或数据完整性问题而产生的错误。

本页介绍天翼云TeleDB数据库切换数据源。 操作场景 切换数据源是指系统根据业务需求动态地选择和使用不同数据库连接。该功能是基于读写分离、负载均衡和故障切换等来优化数据性能，提高系统可用性和扩展性。它通常用于数据迁移、业务解耦、异步通信、缓存消息等场景。 操作步骤 1. 切换至TeleDB控制台，在左侧导航单击实例列表。 2. 单击目标实例所在行的详情 ，进入实例详情页面。 3. 进入实例详情，单击备节点操作列的切换数据源， 弹出切换协调节点数据源 对话框。 4. 在切换数据节点数据源对话框中，在数据源节点 和同步类型 下拉框选择节点组 和同步类型 。 同步类型包括同步复制和异步复制。 同步复制：是指要求所有操作完成后再返回结果给用户，以此确保数据的完整性和一致性。 异步复制：它允许在操作未完成时即响应用户请求，此操作提高系统响应速度和用户体验。 5. 单击确定 完成切换数据源。

分类 SSL证书域名证书 SSL证书IP证书 私有（内网）证书 个人证书 应用场景 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的 域名 。 用于网站安全加密，是保护网站数据的必备证书。 仅支持能进行互联网验证的 IP 。 用于 内网身份认证、系统间加密通信 和设备安全管理。 用于个人电子邮件或文档签名，无法用于网站HTTPS加密，常用于密评场景。 支持的加密标准 国际标准 国密标准 国际+国密 国际标准 国际标准 国密标准 国密标准 支持的证书种类 域名型证书（DV） 企业型证书（OV） 企业型基础版（OVBasic） 企业型专业版（OVPro） 增强型证书（EV） 增强型基础版（EVBasic） 企业型证书（OV） 企业型专业版（OVPro） 企业型基础版（OVBasic） 企业型证书（OV） 支持的证书版本 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 SecureSite GeoTrust GlobalSign CFCA TrustAsia 标准版 支持的域名类型 通配符 单域名 多域名 单IP 通配符 单域名 多域名

本文主要介绍弹性IP计费类的问题。 在开通按需按流量计费方式的弹性IP实例后，流量如何进行收费？ 在开通按需按流量计费方式的弹性IP实例后，将收取出云流量费用，即VPC内通过此弹性公网IP地址发送至互联网的流量。 包年/包月的共享带宽实例到期销毁后，为何会产生按需流量费以及IP保有费？ 如包年/包月的共享带宽实例在到期前，加入此共享带宽中的按需弹性IP没有被您手动释放掉，那么此共享带宽实例中的所有按需弹性IP将在共享带宽实例到期销毁后，全部自动转换为按需按流量计费方式的弹性IP。 若这些弹性IP与您的主机或其它资源实例处于绑定状态，且与互联网持续进行通信，那么将会向您收取按需流量费用；若这些弹性IP处于未绑定状态，则会收取按需计费方式的IP保有费。

出网流量路径 出网流量遵循请求从哪进来，响应从哪出去的原则。 通过负载均衡器进入的访问流量，对应的响应流量通过负载均衡器返回。由于负载均衡器实际是通过绑定的EIP接收来自公网的流量和响应请求，所以负载均衡器的限制实际是在负载均衡器绑定的EIP 上，并在EIP上进行计费。从负载均衡到后端云主机之间通过VPC内网进行通信，不收取费用。 通过NAT网关进入的访问流量，对应的响应流量通过NAT网关返回。在NAT网关上限速和计费。由于NAT网关实际是通过绑定的EIP接收来自公网的流量和访问公网，所以NAT网关上进行的是连接数的限制，带宽或者流量的限制是在NAT网关绑定的EIP上，并分别在NAT网关和弹性公网IP上进行计费。 通过EIP进入的访问流量，对应的响应流量通过EIP返回，在EIP上限速和计费。

本章节主要介绍导入数据的最佳实践。 从OBS并行导入数据 • 将导入数据拆分为多个文件 导入大数据量的数据时通常需要较长的时间及耗费较多的计算资源。 从OBS上导入数据时，如下方法可以提升导入性能：将数据文件存储到OBS前，尽可能均匀地将文件切分成多个，文件的数量以DN的整数倍更适合。 • 在导入前后验证数据文件 从OBS导入数据时，首先将您的文件上传到OBS存储桶中，我们建议您列出存储桶的内容，然后验证该存储桶是否包含所有正确的文件并且仅包含这些文件。 在完成导入操作后，请使用SELECT查询语句以验证所需文件是否已导入。 • OBS导入导出数据时，不支持中文路径。 使用GDS导入数据 • 数据倾斜会造成查询表性能下降。对于记录数超过千万条的表，建议在执行全量数据导入前，先导入部分数据，以进行数据倾斜检查和调整分布列，避免导入大量数据后发现数据倾斜，调整成本高。 • 为了优化导入速度，建议拆分文件，使用多GDS进行并行导入。另外，单个导入任务可以拆分成多个导入任务并发执行导入，多个导入任务使用同一GDS时可以使用t参数打开GDS多线程并发执行导入。GDS建议挂载在不同物理盘以及不同网卡上，避免物理IO以及网络可能出现的瓶颈。 • 在GDS IO与网卡未达到物理瓶颈前，可以考虑在数据仓库开启SMP进行加速。SMP开启之后会对对应的GDS产生成倍的压力。需要特别说明的是：SMP自适应衡量的标准是数据仓库的CPU压力，而不是GDS所承受的压力。 • GDS与数据仓库通信要求物理网络畅通，并且尽量使用万兆网。千兆网无法承载高速的数据传输压力，极易出现断连。即使用千兆网时数据仓库无法提供通信保障。满足万兆网的同时，数据磁盘组I/O性能大于GDS单核处理能力上限（约400MB/s）时，方可寻求单文件导入速率最大化。 • 并发导入场景，与单表导入相似，至少应保证I/O性能大于网络最大速率。 • GDS跟DN的数据比例建议在1:3至1:6之间。 • 为了优化列存分区表的批量插入效率，在批量插入过程中会对数据进行缓存后再批量写盘。通过GUC参数“partitionmembatch”和“partitionmaxcachesize”，可以设置缓存个数以及缓存区大小。这两个参数的值越小，列存分区表的批量插入越慢。当然，越大的缓存个数和缓存分区，会带来越多的内存消耗。

本文带您了解内网DNS的功能特性。 内网域名 内网域名是用于云VPC网络访问目标服务器的一串点分隔的名称，包含了您所管理的域名或子域名的记录集。通过使用内网域名，您可以在云内部快速、安全地进行网络通信和访问。 内网域名可以用于在云环境中标识和定位各种资源，如弹性云主机、物理机、弹性负载均衡等。通过将内网域名与相应的记录集绑定，可以实现在云环境中根据域名进行网络访问。 内网域名解析 内网域名记录了域名和地址之间的映射关系，用于域名解析时在一个或多个VPC 内部进行访问。注册域名以后，您只拥有了这个域名的使用权，但无法通过域名直接访问您的网站，或作为电子邮箱后缀进行邮件收发。原因在于，域名只是为了方便记忆而专门建立的一套地址转换系统，要访问一台互联网上的服务器，必须通过IP地址来实现。而域名解析就是将域名指向IP地址的过程。 关联VPC 内网DNS服务将内网域名与私网IP地址相关联，为天翼云上云服务提供VPC内的域名解析服务。您可以将私有域与一个或多个需要访问的VPC相关联。当确定某些VPC不再需要访问特定的内网域名时，可以将这些VPC解除关联并替换为其他要关联的VPC。解除关联的VPC将不再能够通过内网DNS解析私有域内的资源记录。