边缘安全加速平台—安全与加速服务的计费项有哪些？ 边缘安全加速平台安全与加速计费由三个部分构成：基础套餐+套餐外超量费用+扩展服务。 基础套餐（必选）：您可以根据需求，购买不同规格套餐获得相应标准的安全与加速服务，具体请见安全与加速基础套餐资费。 套餐外超量费用（超量计费）：如果套餐内流量/带宽等用尽，可订购资源包或者开通按需，具体计费请参考安全与加速套餐超出资费。 扩展服务（可选）：如果套餐内包含的能力不能满足您的需求，如需要增加域名数等，您可以选择订购扩展服务，具体计费请参考安全与加速扩展服务资费。 如何申请免费试用边缘安全加速平台？ 边缘安全加速平台暂时不支持官网自助开通试用，如果您需要开通试用，请通过提交工单给天翼云客服，天翼云技术支持将会为您开通。 如何关闭边缘安全加速平台安全与加速服务或停止计费？ 开通边缘安全加速平台安全与加速服务后，只要不添加域名，就不会产生计费。 如果您已经添加了域名，您可以登录边缘安全加速控制台，进入接入管理域名接入域名管理页面，可参考以下方式停止计费： 停用域名：对域名进行停用操作后，天翼云接入层CNAME将立刻解析至不可访问地址。请参见停用域名。 删除域名：删除按钮只能在域名状态为“已停止”时可见，请参见删除域名。

问题描述 已配置公网NAT网关，存量Pod能访问公网，但部分新创建的Pod（Pod IP属于新子网）无法访问公网。 问题原因 新增的Pod子网未加入到NAT网关的SNAT规则。 解决办法 请配置NAT网关SNAT规则，加入新配置的子网。 双栈环境下部分Pod解析集群外域名失败，如何处理？ 问题描述 云主机所在子网开启了IPv6，部分Pod解析外部域名正常，部分Pod持续解析外部域名异常。 问题原因 该域名有A记录，没有AAAA记录，异常容器使用musllibc解析域名。当域名解析收到A NoError和AAAA NxDomain组合时，会认为解析失败。 解决办法 1. 容器镜像使用glibc替代musllibc； 2. 或业务不使用libc解析域名，例如Golang服务使用PureGo Resolver解析名称。

对比类 对比项 分布式消息服务Kafka 开源Kafka 简单易用 立等可用 即开即用，可视化操作，自助创建，自动化部署，分钟级创建实例，立即使用，实时查看和管理消息实例。 自行准备服务器资源，安装配置必要的软件并进行配置，等待时间长。 易出错。 简单API 提供简单的实例管理RESTFul API，使用门槛低。 无 成本低廉 按需使用 提供多种规格，按需使用，支持一键式在线进行实例代理个数、磁盘存储空间和代理规格扩容。 搭建消息服务本身需要费用，而且即使没有使用，所占用资源本身依旧要收费。 成本低廉 完全托管 租户不需要单独采购硬件资源，直接使用就绪的服务，无需额外成本。 需要购买硬件资源，自行搭建整个消息服务，使用和维护成本高。 实践验证 成熟度高 经受电商网站大规模访问考验，并且已经在云服务平台许多产品中使用，广泛部署运行在分布于世界各地的电信级客户云业务系统里。满足严苛的电信级故障模式库标准。紧随社区主流版本，修复开源bug，持续上线新功能，进行版本升级。 使用开源软件成熟度低，无法保证关键业务，商业案例少；自研周期长，并需要长时间进行验证。 实践验证 能力强大 100%兼容开源，支持一键扩容，深度优化开源代码提升性能和可靠性，支持消息查询等高级特性。 功能不完善，需额外投入进行开发。 稳定可靠 稳定高可用 支持跨AZ部署，提升可靠性。故障自动发现并上报告警，保证用户关键业务的可靠运行。 需要自己开发或基于开源实现，开发成本高昂，无法保证业务可靠运行。 稳定可靠 无忧运维 后台运维对租户完全透明，整个服务运行具有完备的监控和告警功能。有异常可以及时通知相关人员。避免724小时人工值守。 需要自行开发完善运维功能，尤其是告警及通知功能，否则只能人工值守。 稳定可靠 安全保证 VPC隔离，支持SSL通道加密。 需要自行进行安全加固。

本章节介绍云原生网关CGW子产品相关名词解释 域名 一串用点分隔的字符，作为互联网中某个实体的名称；在云原生网关中可以根据请求中的域名信息进行路由匹配，域名还可以关联证书，实现TLS加密访问。 服务来源 网关转发请求到的服务的来源，当前支持天翼云容器引擎和天翼云注册配置中心（Nacos引擎）作为服务来源。 服务 网关路由转发到后端的服务，可以是部署在K8s或者注册到Nacos的服务，也可以是固定地址。 路由规则 一个路由规则可以基于配置匹配路径、header等参数，讲请求转发到指定的后端服务；同时可以配置header、限流等策略。 认证鉴权 网关需要对请求的身份进行校验，当前云原生网关支持jwt、oidc及通过扩展插件的方式实现对请求的身份认证和鉴权。

本文将从CC攻击的含义以及Web应用防火墙（边缘云版）提供的防护能力来介绍CC安全防护功能。 功能介绍 CC防护根据访问者的URL，频率、行为等访问特征，智能识别CC攻击，迅速识别CC攻击并进行拦截，在大规模CC攻击时可以避免源站资源耗尽，保证企业网站的正常访问。 什么是CC攻击？ CC攻击是一种恶意网络攻击，旨在通过向目标服务器发送大量的请求，超过其处理能力，从而使其无法正常工作或服务受到严重影响。 前提条件 已开通Web应用防火墙（边缘云版）。 已新增域名并成功接入WAF，具体操作请见WAF接入。 开通套餐为标准版及以上版本，支持使用CC防护功能。 操作步骤 1. 登录Web应用防火墙（边缘云版）控制台。 2. 在左侧导航栏中选择【域名管理】—【域名列表】，单击域名列表操作【安全防护】进入安全配置页面。 3. 进入“CC配置”页面，可以配置CC防护策略。 配置说明 配置项 说明 CC防护 CC防护的功能开关 CC防护模式 1、【CC防护模式】设置为阈值，则域名访问达到防护条件时进行防护 2、【CC防护模式】设置为长久，则域名的每次访问都进行防护校验 阈值 即厨房防护动作的阈值，当统计频率内达到设定的阈值，将触发防护 统计频率 即设定时长内达到防护阈值，将触发防护。满足防护时长后，将重新开始计算统计频率 防护时长 即触发防护后的持续防护时间 在【统计周期】内达到【阈值】则接下来【防护时长】内符合条件的请求均进行防护校验。

本节介绍了如何在控制台新增端口接入规则。 使用场景 如果您需要为非网站类业务提供DDoS高防（边缘云版）服务。您可以在DDoS高防（边缘云版）控制台通过TCP、UDP端口接入配置完成业务接入。 注意 相同域名，无法同时进行域名接入（HTTP/HTTPS）和端口接入(TCP/UDP)。 前提条件 已开通DDoS高防（边缘云版）。 不支持80、8080、443、8443端口接入配置，关于上述接口的防护，建议您使用域名接入。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【业务接入】【端口接入】页面。 3.点击右上角【新增规则】按钮。 新增规则配置说明： 配置项 说明 协议类型 支持TCP、UDP协议。 转发端口 即为业务端口，支持配置端口、端口段。 若配置多个转发端口，则对应源站端口、源站均为相同。 部分端口不可用（不可用端口会在控制台更新）。 源站端口 选择端口接入，可支持配置多个，用分号隔开。 选择端口段接入，不可配置，源站端口跟随请求端口进行回源。 回源转发模式 默认为轮询模式。 源站 支持配置IPV6、IPV4、域名作为源站。 支持源站配置20个。 4.配置完成后，点击【确认】按钮，新增规则将变成“配置中”状态。 5.进入后台自动化配置流程（正常情况15分钟以内），流程结束后会自动变成“配置完成”状态。若“配置中”状态持续时间过长，可创建工单获取支持。

本小节介绍如何进行手动DNS验证。 根据CA中心的规范要求，如果您申请了SSL证书，则必须完成域名验证来证明待申请证书要绑定的域名属于您或您所属的组织。 手动DNS验证，是指您需要在域名的DNS解析服务商手动修改域名的DNS解析记录，在解析记录中添加一条用于验证的记录。CA机构验证添加的记录能被解析，则表示验证通过。 如果您在申请证书时域名验证方式选择了手动DNS验证，请参照本章节进行处理。 约束与限制 手动DNS验证的域名解析只能在您的域名管理平台上进行操作，具体的解析方法以域名服务商提供的解析方法为准。 前提条件 绑定的域名须做实名认证，如果未做实名认证，请前往您的域名服务商处完成域名实名认证。 获取域名验证信息 1. 登录证书管理服务控制台。 2. 选择需要进行DNS验证的证书，单击“操作”列的“证书验证”。 3. 在证书验证页面，查看并记录解析记录的记录类型 、主机记录 和记录值。 在天翼云云解析服务器上进行DNS验证 1. 提交证书申请后，单击“证书验证”，获取证书验证信息。 说明 域名型（DV）证书无需经过人工审核，可直接在控制台查阅域名DNS验证信息。 企业型（OV）/增强型（EV）证书需在确认函进入预审流程后（约提交确认函1~2个工作日左右），才可以在控制台查阅域名DNS验证信息。 2. 下面以天翼云解析为例，演示为域名添加DNS解析记录过程。如果您域名对应的DNS域名解析服务不在天翼云，请您前往域名对应的DNS域名解析商添加解析记录。 1. 使用域名持有者所在的天翼云账号，登录云解析服务管理控制台。 2. 在需要添加DNS解析记录的域名记录操作列，单击“解析设置”。 3. 在添加记录面板，将域名认证获取到的验证信息进行添加，填写规则参见下表。 参数 填写说明 主机记录 证书的验证信息对话框，域名服务商返回的“主机记录”。 记录类型 证书的验证信息对话框，域名服务商返回的“记录类型”。 线路类型 选择“默认”。 记录值 证书的验证信息对话框，域名服务商返回的“记录值”。 MX优先级 TTL 选择默认值，不作修改。 4. 单击“√”完成记录添加。 3. 成功配置解析记录后，等待CA中心对DNS验证信息进行审核，审核通过后，证书变为“已签发”状态。

日志下载说明 1、登录DDoS高防（边缘云版）控制台。 2、筛选对应域名和时间后，单击对应域名日志记录的下载图标，具体如下图示：

参数项 说明 区域 指APIG专享版实例部署的区域，建议和您其他的业务部署在相同区域，这样不同的业务可以在VPC内以子网方式通信，节省公网带宽成本，降低网络延时。 可用区 指同一区域内电力、网络等资源物理隔离的地理区域，一般为互相独立的机房。 APIG实例支持同时选择多个可用区，进行跨可用区部署，提升实例高可用性。 实例名称 实例的名称，根据规划自定义。 实例规格 当前开放基础版、专业版、企业版、铂金版实例。 时间窗 指允许云服务技术支持对实例进行维护的时间段。如果有维护需要，技术支持会提前与您沟通确认。 建议选择业务量较少的时间段。 公网入口 指允许外部服务通过弹性IP地址，调用专享版实例创建的API。开启“公网入口”，需要绑定一个“弹性IP地址”。 您需要使用独立域名/子域名访问，使用子域名访问时存在单日访问次数限制。可在创建API分组后，为分组绑定独立域名，独立域名需要解析到专享版实例的弹性IP。 例如您有一个API，请求协议为HTTPS，Path为/apidemo，开启了公网访问，并为分组绑定了独立域名后，可使用 公网出口 指允许专享版实例API的后端服务部署在外部网络，APIG为实例开启公网出口。您可以根据业务预估设置合适的“出公网带宽”。出公网带宽可配置范围为1~2000Mbit/s，费用按小时计算，以弹性IP服务的价格为准。 IPv6 如果后端云主机部署在外部网络，且需要使用IPv6地址访问，则需要勾选“支持IPv6”。 网络 指为实例绑定到一个虚拟私有云，并为其分配子网。 在相同虚拟私有云中的云服务资源（如ECS），可以使用APIG专享版实例的私有地址调用API。 建议将专享版实例和您的其他关联业务配置一个相同的虚拟私有云，确保网络安全的同时，方便网络配置。 安全组 安全组用于设置端口访问规则，定义哪些端口允许被外部访问，以及允许访问外部哪些地址与端口。 例如，后端服务部署在外部网络，则需要设置相应的安全组规则，允许访问后端服务地址与API调用监听端口。 说明 如果开启公网入口，安全组入方向需要放开80（HTTP）和443（HTTPS）端口的访问权限。 描述 实例的描述信息。

本文简述如何配置源站信息。 功能介绍 源站配置模块支持客户自定义源站。支持IP或域名，支持配置天翼云媒体存储和天翼云对象存储作为源站；支持配置多个源站地址，多源站场景下，支持设置源站的主备优先级和权重，实现负载均衡。 回源场景 功能简介 配置入口 多层级主备及权重回源 客户有多个源站时，支持多主多备，及按不同权重回源。 客户控制台域名管理域名列表回源配置源站配置。 动态回源策略 如果您的加速域名有多个源站，可以配置合适的回源策略来实现不同的效果。动态回源策略支持择优回源、按权重回源、保持登录三种回源方式。 详见：动态回源策略 区分地区、运营商回源 支持分地区、运营商回源。 通过提交工单，由天翼云客服人工配置。 区分IPv4/IPv6协议回源 支持分IPv4/IPv6协议回源。 通过提交工单，由天翼云客服人工配置。 注意事项 一个加速域名最多配置60个源站。 配置说明 1.登录边缘安全加速控制台。 2.在域名基础配置页面，点击目标域名。 3.进入源站设置页面，单击“编辑配置” 4.点击“添加源站”，输入源站地址，在“层级”下拉框中选择“主或备”，即可添加源站。 5.如需对已经添加的源站信息进行修改，可直接在配置项中进行修改。 6.也可以点击对应源站后面的“删除”键删除对应源站。

本文主要介绍通过自定义域名访问集群 操作场景 集群服务端证书中签入的 主题备用名称（Subject Alternative Name，缩写SAN） 。SAN通常在TLS握手阶段被用于客户端校验服务端的合法性：服务端证书是否被客户端信任的CA所签发，且证书中的SAN是否与客户端实际访问的IP地址或DNS域名匹配。 当客户端无法直接访问集群内网私有IP地址或者公网弹性IP地址时，您可以将客户端可直接访问的IP地址或者DNS域名签入集群服务端证书，以支持客户端开启双向认证，提高安全性。典型场景例如DNAT访问、域名访问等特殊场景。 域名访问场景的典型使用方式如下： 客户端配置Host域名指定DNS域名地址，或者客户端主机配置/etc/hosts，添加域名映射。 云上内网使用，云解析服务DNS支持配置集群弹性IP与自定义域名的映射关系。后续更新弹性IP可以继续使用双向认证+自定义域名访问集群，无需重新下载kubeconfig.json配置文件。 自建DNS服务器，自行添加A记录。 约束与限制 仅支持1.19及以上版本集群。 添加自定义SAN 步骤 1 登录CCE控制台。 步骤 2 在集群列表中单击集群，进入集群详情页。 步骤 3 在连接信息的自定义SAN处单击，在弹出的窗口中添加IP地址或域名，然后单击“保存”。 说明 当前操作将会短暂重启kubeapiserver并更新kubeConfig.json文件，请避免在此期间操作集群。 请输入域名或ip，以英文逗号（,）分隔，最多128个。 自定义域名如需绑定弹性公网，请确保已配置公网地址。

本文带您快速熟悉如何查询终端节点(Endpoint)。 对象存储（简称ZOS）为每个地域提供一个终端节点，终端节点可以理解为ZOS在不同地域的域名，用于处理各自地域的访问请求。 操作场景 如果您选择使用SDK、API或客户端，则需要提前获取创建桶时所选地域的终端节点（Endpoint），来访问ZOS资源。ZOS为每个地域提供了通过外网和内网的访问方式，具体请查看访问规则。 操作步骤 1.开通对象存储ZOS服务后，在管理控制台点击目标桶的Bucket名称，进入“概览”页面。 2.进入页面后，在“域名信息”中，记录当前资源池的终端节点（Endpoint）、Bucket外网访问、同资源池内网访问的IPV4或IPV6地址。 说明 终端节点（Endpoint）：ZOS为每个地域提供Endpoint，可通过这个地址访问和调用对象存储及其功能。 Bucket外网访问域名：桶的域名地址，支持公网访问ZOS。域名结构为“协议://BucketName.Endpoint”，BucketName为桶名称，Endpoint为桶对应的地域域名。 同资源池内网访问（IPV4）域名：支持同资源池云主机通过内网访问ZOS的IPV4地址，内网访问不产生公网流量。 同资源池内网访问（IPV6）域名：支持同资源池云主机通过内网访问ZOS的IPV6地址，内网访问不产生公网流量。 例如，华东华东1和广东广州6的endpoint地址如下表： 访问控制 Endpoint 地域 终端节点（Endpoint） 华东华东1 同资源池内网访问(IPV4) 华东华东1 访问控制 Endpoint 地域 终端节点（Endpoint） 广东广州6 同资源池内网访问(IPV4) 广东广州6

了解什么是存储资源盘活系统。 HBlock是中国电信天翼云自主研发的存储资源盘活系统（Storage Resource Reutilization System，简称SRRS），是一款轻量级存储集群控制器，实现了全用户态的软件定义存储，将通用服务器及其管理的闲置存储资源转换成高可用的虚拟磁盘，通过标准 iSCSI 协议提供分布式块存储服务，挂载给本地服务器（或其他远程服务器）使用，实现对资源的集约利用。同时，产品拥有良好的异构设备兼容性及场景化适配能力，支持数据上传到对象存储，提供软件和一体机两种产品形态。 在非联网模式下，HBlock软件可被视为本地盘阵的替代品，用于本地数据存储；在联网模式下，HBlock软件还可以作为本地与云端存储之间的桥梁，将全量数据自动同步到对象存储中，本地仅保留热数据以节省本地存储空间，或者保留全量数据以保障本地I/O性能，实现混合云存储。

本章节介绍云主机DNS篡改故障演练。 背景介绍 DNS 篡改是一种常见的攻击手段或配置错误，它会导致域名被错误地解析到非预期的IP地址，从而引发流量劫持、服务中断或数据泄露等风险。本演练通过模拟 DNS 篡改场景，帮助您检验系统的安全防护机制、验证监控告警的有效性，并评估业务在域名解析被劫持时的表现。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过修改本地DNS解析文件实现。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择DNS篡改动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 域名：待篡改的域名。 映射IP：将目标域名解析到该IP地址。

本文为您介绍如何将WAF云SaaS型实例从低版本升级到更高版本。 购买了WAF云SaaS型实例后，支持从较低版本的主套餐升级至任一更高版本，可支持根据实际使用需求购买域名扩展包、业务扩展包和规则扩展包。 前提条件 已购买WAF云SaaS型实例。 规格限制 基础版不支持购买资源扩展包，可升级到标准版或更高版本才能购买。 1个域名扩展包支持10个域名，其中支持添加1个主域名（备案的域名）。 一个业务扩展包包含：1000QPS/个，最多支持30个业务扩展包。 规则扩展包用于提升防护规则配额，支持以下两种扩展方式（二选一）： IP黑白名单：每个扩展包包含50条防护规则。 重保防护场景：每个扩展包包含1000个IP。（需通过工单指定） 约束条件 已到期的服务版本，不支持直接升级，需先完成续费再升级。 主套餐版本升级后，已购买的资源扩展包也将同步升级至对应的版本。 对实例进行升级扩容时，资源到期时间不变。 资源扩展包不支持独立购买，必须在购买主套餐的基础上进行叠加购买。 资源扩展包购买后与主套餐绑定，资源到期时间与主套餐一致，不支持单独退订或单独续订。

参数 说明 取值样例 子网名称 输入子网的名称。要求如下： 长度范围为164位。 名称由中文、英文字母、数字、下划线（）、点（.）组成。 subnet01 子网IPv4网段 设置子网的IPv4网段范围，子网是VPC内的IP地址块，可以将VPC的网段分成若干块。 192.168.0.0/24 子网IPv6网段 开启IPv6功能后，将自动为子网分配IPv6网段，暂不支持自定义设置IPv6网段。该功能一旦开启，将不能关闭。 关联路由表 路由表由一系列路由规则组成，用于控制VPC内出入子网的流量走向。创建VPC时会创建一个默认路由表，子网自动关联至默认路由表。默认路由表可以确保VPC内子网之间网络互通。 如果默认路由表无法满足使用需求，VPC创建完成后，您还可以创建自定义路由表，并将子网关联至自定义路由表，此时子网入流量仍然依据默认路由表，出流量会依据自定义路由表。 高级配置 网关 单击“展开”按钮，展开折叠的高级配置区域，可以设置该参数。 子网的网关，如果没有特殊需求，建议保持系统默认设置。 192.168.0.1 高级配置 DNS服务器地址 单击“展开”按钮，展开折叠的高级配置区域，可以设置该参数。 此处默认填写天翼云的DNS服务器地址，可实现云主机在VPC内直接通过内网域名互相访问。同时，还支持不经公网，直接通过内网DNS访问云上服务。 若您由于业务原因需要指定其他DNS服务器地址，您可以修改默认的DNS服务器地址。如果您删除默认的DNS服务器地址，可能会导致您无法访问云上其他服务，请谨慎操作。 您也可以通过“DNS服务器地址”右侧的“重置”将DNS服务器地址恢复为默认值。 DNS服务器地址最多支持2个IP，请以英文逗号隔开。 100.125.x.x 高级配置 域名 单击“展开”按钮，展开折叠的高级配置区域，可以设置该参数。 此处填写DNS域名后缀，支持填写多个域名，不同的域名之间以空格分隔，单个域名长度不超过63个字符，并且域名总长度不超过254个字符。 访问某个域名时，只需要输入域名前缀，子网内的云主机会自动匹配设置的域名后缀。 域名设置完成后，子网内新创建的云主机会自动同步该配置。 子网内的存量云主机，需要更新DHCP配置使域名生效，您可以重启云主机、重启DHCP Client服务或者重启网络服务。 test.com 高级配置 IPv4 DHCP租约时间 单击“展开”按钮，展开折叠的高级配置区域，可以设置该参数。 您可以设置IPv4地址的DHCP租约时间。 DHCP租约时间是指DHCP服务器自动分配给客户端的IP地址的使用期限。超过租约时间，IP地址将被收回，需要重新分配。 期限租约：设置DHCP租约期限，单位为天或者小时。 无限租约：设置DHCP不过期。 DHCP租约时间修改后，对于子网内的实例（比如ECS）来说，当实例下一次续租时，新的租约时间将会生效。实例续租分为自动更新租约和手动更新租约两种，续租不会改变实例当前的IP地址。如果需要DHCP租约立即生效，请在实例中手动更新租约或者重启实例。 高级配置 NTP服务器地址 单击“展开”按钮，展开折叠的高级配置区域，可以设置该参数。 如果您需要为当前子网新增NTP服务器地址，则需要填写该地址。此处填写的地址不会影响默认NTP服务器地址。 新增或修改原有子网的NTP服务器地址后，需要子网内的ECS重新获取一次DHCP租约，或者重启ECS，才能生效。 清空NTP服务器地址时，需要子网内的ECS重新获取一次DHCP租约，重启ECS无法生效。 192.168.2.1 高级配置 标签 单击“展开”按钮，展开折叠的高级配置区域，可以设置该参数。 您可以在创建子网的时候为子网绑定标签，标签用于标识云资源，可通过标签实现对云资源的分类和搜索。 键：subnetkey1 值：subnet01 高级配置 描述 单击“展开”按钮，展开折叠的高级配置区域，可以设置该参数。 您可以根据需要在文本框中输入对该子网的描述信息。 描述信息内容不能超过255个字符，且不能包含“<”和“>”。

网站无法访问怎么办？ 无法访问弹性云主机实例中运行的网站的原因较多，此处列举较为常见的问题原因，具体原因以现场的排查结果为准。 TCP 80端口不可用。 Web服务不可用。 网站未备案。 网站资源或后端服务存在异常。 以CentOS 7.6系统为例，为大家介绍排查思路： 1. 检查80端口配置 plaintext netstat ntulp grep 80 如果端口被正常监听，请执行检查安全组规则。 如果端口没有被正常监听，请检查Web服务进程是否启动或者正常配置。 2. 检查安全组配置 如果安全组没有网站访问使用的端口，需要在云主机实例对应的安全组中添加放行该端口的规则。 1. 在弹性云主机控制，单击主机名称。 2. 选择“安全组”页签，展开安全组规则。 3. 单击“更改安全组规则”。 4. 根据网站使用的端口配置新的安全组规则，放行网站使用的端口。 3. 检查防火墙配置 1. 使用iptables nvL linenumber命令查看已配置的防火墙策略。 2. 依次执行以下命令放行80端口。 3. plaintext iptables A INPUT p tcp dport 80 j ACCEPT 4. plaintext iptables A OUTPUT p tcp sport 80 j ACCEPT 5. 使用service iptables save命令保存添加的规则。 6. 使用service iptables restart命令重启iptables。 7. 使用iptables nvL linenumber命令查看增加的规则是否生效。 8. 关闭防火墙后，重新测试网站访问是否正常。 4. 检查云主机CPU利用率 可以通过云监控查看云主机负载情况，您可以创建告警任务，当CPU或带宽利用率高时，系统会自动发送告警给您。使用Top命令查看系统运行状态，排查异常进程并终止，再次尝试访问。 5. 检查网站备案及域名解析是否正常 无论网站是通过IP地址还是通过域名对外提供服务，都需要进行备案。请检查您的备案信息是否正常。 如果域名已备案，但未正确配置域名解析也可能会导致域名无法Ping通。您可以在域名提供商的控制台查看解析详情。 如果上述排查都没能成功访问网站，请提交工单，联系技术支持人员帮助解决。

本节介绍云容器引擎的最佳实践： 容器中域名解析的最佳实践。 Pod的DNS解析行为 Kubernetes以Pod为最小可创建、管理、部署单元，Pod内部包含一个或一组共享namespace和cgroup的紧密关联的容器。容器内部的DNS解析行为与Pod的DNS解析行为概念上是对等的。 Pod中的DNS查询行为直接受Pod的/etc/resolv.conf配置文件的影响，Kubelet在拉起Pod时，会根据Pod规约中dnsPolicy的配置为Pod生成/etc/resolv.conf配置。 默认情况下，Pod的dnsPolicy设置为clusterFirst, Pod的/etc/resolv.conf值类似: nameserver 172.20.0.10 search .svc.cluster.local svc.cluster.local cluster.local options ndots:5 各字段解释如下: nameserver : 域名解析服务器 search : 域名查找后缀规则，会在 .svc.cluster.local svc.cluster.local cluster.local三个域中搜索匹配的记录 options : 域名解析选项，KV值格式，典型的有ndots，表示解析的域名字符串内的点字符数量超过ndots值，则认为是完整域名，直接解析，如不足，则追加.svc.cluster.local后缀 默认情况下, nameserver值为云容器引擎内置的CoreDNS service ClusterIP, Kubernetes在CoreDNS中为普通Service赋予一个形如 mysvc.mynamespace.svc.clusterdomain.example的DNS A记录,该名称会解析成Service对应的clusterIP。 Pod访问集群内部Service域名时，根据域名后缀规则依次查询Service名称，获得Service对应的ClusterIP。 Pod访问集群外部域名时，根据Pod规约的dnsPolicy值不同，使用Pod所在节点配置的DNS或者使用CoreDNS所在节点的配置DNS服务器进行解析。

本文介绍全站加速相关术语解释。 CNAME记录 CNAME ( Canonical Name )，即别名，用于把一个域名解析到另一个域名，当DNS系统在查询CNAME左面的名称的时候，都会转向CNAME右面的名称再进行查询，一直追踪到最后的PTR或A名称，成功查询后才会做出回应，否则失败。例如，您有一台服务器，使用docs.ctyun.cn访问，您又希望通过documents.ctyun.cn也能访问该服务器，那么就需要在您的DNS解析服务商添加一条CNAME记录，将documents.ctyun.cn指向docs.ctyun.cn，添加该条CNAME记录后，所有访问documents.ctyun.cn的请求都会被转到docs.ctyun.cn，获得相同的内容。 CNAME域名 接入全站加速时，在天翼云控制台添加完加速域名后，您会得到一个天翼云给您分配的CNAME域名， 您需要在您的DNS解析服务商添加CNAME记录，将自己的加速域名指向这个CNAME域名，这样该域名所有的请求才会指向天翼云全站加速的节点，达到加速效果。 DNS DNS即Domain Name System，是域名解析服务的意思。它在互联网的作用是：把域名转换成为网络可以识别的ip地址。人们习惯记忆域名，但机器间互相只认IP地址，域名与IP地址之间是一一对应的，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成，整个过程是自动进行的。比如：上网时输入的www.ctyun.cn会自动转换成为220.181.112.143。 常见的DNS解析服务商有：阿里云解析，万网解析，DNSPod，新网解析，Route53（AWS），Dyn，Cloudflare等。

本小节介绍云解析批量管理，包括批量管理域名和批量添加/删除记录。 批量暂停/启用域名 1. 登录控制中心找到天翼云云解析产品列表，点击“解析管理”进入域名维护页面。 2. 在域名维护页面，通过状态栏可查看域名当前状态。 3. 勾选域名前复选框选择要修改状态的域名，点击“更改状态”按钮，从下拉菜单中选择“暂停”或“启用”。域名状态修改支持多域名批量操作。 批量添加/删除记录 目前平台批量修改功能支持A、AAAA和CNAME的默认线路解析记录的批量增加和批量删除操作。 操作前先下载操作模板，按模板填写解析记录后进行上传。记录导入完毕后，系统会提示操作结果。 1. 在“记录管理”界面，点击页面右上方“域名设置”进入域名设置界面。界面最下方为“解析记录批量操作”功能模块。 2. 点击“下载模板”下载《导入解析记录模板》。 3. 根据模板格式填写主机名、记录类型、线路类型、记录值、TTL等信息。 4. 点击“上传文件”将填写好的模板文件上传至平台，平台将根据操作情况反馈上传结果。

本文通过图文说明新增证书的操作步骤。 功能介绍 天翼云边缘安全加速平台安全与加速服务基于边缘云底座，HTTPS为边缘云网络内容传输提供了更好的保障，客户端在极速访问内容的同时，可以更安全有效地浏览网站内容。本文主要指导客户如何新增证书。 HTTPS功能的具体介绍，详情请见：HTTPS相关配置。 配置说明 新增证书时，客户需要填写证书备注名、证书公钥以及证书私钥。其中公钥和私钥支持PEM格式。具体操作步骤如下： 1.登录边缘安全加速平台控制台。 2.进入【域名】【证书管理】【AOne 证书管理】页面，找到添加自有证书按键。 3.单击【添加自有证书】。 4.输入证书备注名、证书公钥和证书私钥。 注意 证书备注名，是指在添加自有证书时，为了方便识别和记忆，可以支持客户自定义所上传证书的名称，方便在域名配置关联证书选择时，选定正确的证书与域名进行关联。 5.填写完成后，单击【确定提交】。 参数说明 参数名 说明 证书备注名 在添加自有证书时，为了方便识别和记忆，可以支持客户自定义所上传证书的名称，方便在域名配置关联证书选择时，选定正确的证书与域名进行关联。 证书公钥（PEM格式） 证书公钥，需使用PEM格式。以“BEGIN CERTIFICATE”开头，以“END CERTIFICATE”结尾。 证书私钥（PEM格式） 证书私钥，需使用PEM格式。以“BEGIN RSA PRIVATE KEY”开头，“END RSA PRIVATE KEY”结尾。

本文为您介绍如何将您的网站通过域名接入WAF实例进行防护。 开通云WAF SaaS版实例后，需要将您需要防护的网站域名接入WAF，使网站的访问流量全部流转到WAF进行检测并转发，实现恶意流量的拦截。 域名接入WAF后，WAF作为一个反向代理存在于客户端和服务器之间，服务器的真实IP被隐藏起来，Web访问者只能看到WAF的IP地址。 WAF SaaS版提供CNAME接入方式，可以防护通过域名访问的Web应用/网站，包括Web业务服务器部署在天翼云上、非天翼云或线下的域名。 CNAME接入流程 在WAF控制台添加需要防护的网站域名后，通过修改域名的DNS解析设置，将网站流量解析到WAF，使访问网站的流量经过WAF并受到WAF的防护。WAF将过滤和处理后的请求转发回该域名的源站服务器。接入流程如下： 1. 添加域名 ：配置域名、协议、源站等相关信息，详情请参见添加域名。 2. 放行WAF回源IP段 ：WAF使用特定的回源IP段将经过防护引擎检测后的正常流量转发回网站域名的源站服务器。网站接入WAF进行防护时，您需要设置源站服务器的安全软件或访问控制策略，放行WAF回源IP段的入方向流量，详情请参见放行WAF回源IP段。 3. 本地验证 ：添加域名后，在本地电脑上搭建简易的模拟环境，验证网站流量转发设置已经生效，避免转发设置未生效时修改域名的DNS解析设置，导致业务访问异常，详情请参见本地验证。 4. 修改域名DNS ：若域名在接入WAF前未使用代理，则需要到该域名的DNS服务商处，修改域名的DNS解析配置，将网站的流量解析到WAF；若域名在接入WAF前使用了代理（DDoS高防、CDN等），则需要将使用的代理类服务（DDoS高防、CDN等）的回源地址修改为的目标域名的“CNAME”值，详情请参见修改域名DNS。 说明 完成接入流程后，网站访问流量将经过WAF转发检测。WAF包含多种防护检测模块，帮助网站应对不同类型的安全威胁，其中Web基础防护模块默认开启，用于防御常见的Web应用攻击（例如SQL注入、XSS跨站、Webshell上传等），其他防护模块需要您手动开启并配置具体防护规则。

选择地域时，建议考虑以下几个因素： 1. 地理位置：用户和资源部署地域的距离越近，网络时延越低，访问速度越快。 中国内地：一般情况下建议选择和您目标用户所在地域最为接近的数据中心，可以进一步提升用户访问速度。如果您使用天翼云承载全部业务，电信网络可以保证中国内地地域间的快速访问。 其他国家及地区：其他国家及地区提供的带宽主要面向非中国内地的用户。如果您在中国内地，使用这些地域会有较长的访问延迟，不建议使用。 2. 资源价格及资源覆盖：不同地域的资源价格、产品覆盖可能有差异，请根据您的需求及预算选择合适的地域。 3. 产品之间的关系：如果购买了多款天翼云产品搭配使用，需要注意不同地域的云主机、对象存储、负载均衡等服务内网不互通。 4. 经营性备案：如果使用弹性云主机实例作为Web主机，您需要完成经营性备案，同时需要在指定的地域购买实例。（各省或市通信管理局对经营性备案的审批要求不同，请以当地管理局经营性备案网站公示内容为准。）

本文介绍如何查询CC攻击事件。 使用场景 业务接入DDoS高防（边缘云版）后，您可以在控制台查询已产生的CC攻击事件。 前提条件 已开通DDoS高防（边缘云版）。 开启CC防护配置，并触发产生CC攻击事件。 使用说明 1.登录DDoS高防（边缘云版）控制台。 2.进入【安全分析】【攻击事件】【CC攻击事件】页面。 查询功能 您可以在CC攻击事件表头部指定您要查询的域名（支持多选）及时间范围。默认将展示最近7天，用户名下所有域名的统计数据。 攻击详情 攻击事件列表将展示被攻击域名、攻击开始时间、攻击结束时间、攻击峰值/QPS、攻击总次数。 点击单条攻击事件的攻击详情【查看】按钮，即可查询CC攻击事件的攻击趋势、TOP攻击IP、TOP URL排名。

在Linux ECS上使用obsutil通过内网访问OBS obsutil是适用于Windows、macOS和Linux操作系统的命令行工具，支持通过配置内网DNS服务器地址的方式，使Linux ECS通过内网直接访问OBS，下面将介绍其具体操作流程和操作步骤。 注意 obsutil需通过公网下载，或者从其他可以访问公网的云服务器下载后传到当前云服务器安装。 登录Linux ECS 1. 登录OBS并进入OBS控制台页面。 2. 在服务列表，选择“计算 > 弹性云服务器 ECS”。 3. 选择待登录的云服务器，登录弹性云服务器。 查看Linux ECS是否已配置内网DNS 1. 成功登录Linux ECS后，打开命令行终端。 2. 运行cat /etc/resolv.conf命令，查看“nameserver”后的IP地址是否为当前ECS所在区域的内网DNS地址。 注意 云解析服务提供了内网DNS服务器地址，具体请登录云解析服务控制台，在内网域名页面单击域名进入详情页查看 − 否，执行步骤3。 − 是，执行步骤5。 配置内网DNS 修改ECS的DNS服务器为云解析服务提供的内网DNS，可以通过修改VPC子网DNS地址和修改本地DNS配置两种方式实现。 方式一：修改VPC子网DNS地址 确定ECS所在VPC，并修改VPC子网的DNS服务器地址为内网DNS地址后，可以使整个VPC内的ECS都通过内网DNS进行解析，从而访问内网的OBS服务。详细操作请参见修改子网信息。 方式二：修改本地DNS配置 此处以CentOS 6.x 64bit弹性云服务器为例，介绍如何修改本地DNS配置。 1. 打开命令行终端。 2. 运行以下命令，打开“/etc/resolv.conf”文件。 vi /etc/resolv.conf 3. 按下i键进入编辑模式，在“/etc/resolv.conf”文件中按照以下格式，在原有的DNS服务器地址之前新增内网DNS服务器地址。 nameserver 内网DNS服务器地址 4. 按下Esc键，并输入:wq!，保存并退出文件。 注意 内网DNS服务器地址：需要根据ECS所在区域选择内网DNS服务器地址，具体的地址信息请登录云解析服务控制台，在内网域名页面点击域名进入详情页查看。 新增的DNS服务器地址必须位于所有原有的DNS服务器地址之前。 DNS服务器按照nameserver顺序选择，且仅在前一个DNS服务器出现故障、不可用或无法解析请求的域名时，才选择下一个DNS服务器。因此，后续如果想切换成公网方式，需要将首行DNS地址改为公网的DNS，或者在已有DNS服务器地址前增加一条公网DNS服务器地址。 修改后的DNS地址在保存“/etc/resolv.conf”文件的修改操作后立即生效。

本文解释新增域名时系统提示审核失败可能的原因及解决方案。 背景说明 在天翼云直播控制台添加加速域名时，需通过域名审核。若审核未通过，直播控制台会显示审核不通过，需确认审核失败的原因，重新添加域名。 可能原因及解决方案 域名未备案：您需确认备案号，然后重新添加此域名。新增备案流程，详情请参见：新增备案。 域名归属权认证有误或操作失误 。问题排查，详情请参见：添加加速域名、验证域名归属权。 接入的加速域名不符合天翼云视频直播加速的基本条件。详情请参见：使用限制。

通过Go语言连接实例 主要介绍使用Go语言访问GeminiDB Redis实例的方法。 前提条件 已成功创建GeminiDB Redis实例，且实例状态为“正常”。 已创建弹性云主机，创建弹性云主机的方法，请参见《弹性云主机快速入门》中“登录弹性云主机”章节。 操作步骤 获取GeminiDB Redis实例的内网IP地址或域名、端口。 内网IP地址和端口的查看方法请参见查看IP地址和端口。 内网域名获取方法请参见配置内网域名。 登录弹性云主机，具体操作请参见《弹性云主机快速入门》中“登录弹性云主机”。 使用Golang客户端连接GeminiDB Redis实例，本文以使用goredis SDK为例。 goredis的下载地址为： 样例代码： package main import ( "fmt" "github.com/goredis/redis" ) func main() { client : redis.NewClient(&redis.Options{ Addr: "xx.xx.xx.xx:8635", // redis address Password: "xx", // password DB: 0, // use default DB }) pong, err : client.Ping().Result() fmt.Println(pong, err) err client.Set("key1", "value1", 0).Err() if err ! nil { panic(err) } val, err : client.Get("key1").Result() if err ! nil { panic(err) } fmt.Println("key1", val) } 预期输出为： PONG key1 value1 使用goredis连接GeminiDB Redis时，需要使用普通模式，不能使用集群模式，如上示例代码所示。 上述实例代码中的GeminiDB Redis地址和密码，请根据实际情况填写。

本节介绍了容器镜像服务:通过内网域名跨地域或从IDC环境访问容器镜像服务。 操作场景 当您需要跨地域或从IDC环境通过内网域名访问容器镜像服务时，可按以下步骤操作。 操作步骤 1.参考 内网访问 创建容器镜像服务的VPCE和对象存储的VPCE（容器镜像文件存储再对象存储，拉取镜像需要访问对象存储） 示例说明（域名和IP仅用来说明，请以实际为准）： 在华东1的VPC中为容器镜像服务创建VPCE，内网域名testregistryhuadong1.crsinternal.ctyun.cn解析至VPCE IP 192.168.0.11 为对象存储创建VPCE，内网域名huadong1internal.zos.ctyun.cn解析至VPCE IP 192.168.0.21 2.使用云间高速或云专线等产品打通网络，确保源资源池或者IDC环境能访问目标资源池的容器镜像服务 VPCE IP和对象存储的VPCE IP。注意：拉取镜像和访问对象存储都是使用域名，需要确保在访问侧可以解析容器镜像和对象存储的内网域名。 通过专线/VPN打通与华东1 VPC的网络 配置本地DNS，将容器镜像服务内网域名指向192.168.0.11，对象存储内网域名指向192.168.0.21 3.验证与使用 执行nslookup testregistryhuadong1.crsinternal.ctyun.cn确认域名解析正确 在Docker配置中指定内网镜像地址即可正常拉取镜像

本文将向您介绍如何查询您的网站业务统计分析报表。 功能介绍 可以通过安全报表，可以查询Web安全、CC安全两个维度的攻击数、攻击趋势、威胁类型分布、攻击IP TOP 10、TOP攻击URL等报表，并且支持导出报表。 前提条件 已开通Web应用防火墙（边缘云版） 已新增域名并成功接入WAF，具体操作请见WAF接入 新增域名后，边缘云WAF将会自动为域名开启域名防护规则功能，一旦识别到攻击行为，将产生攻击日志，并将攻击数据统计在安全报表中 查看安全报表 1. 登录Web应用防火墙（边缘云版）控制台，在左侧导航栏中选择【统计分析】模块 2. 根据您的站点业务数据查看需求，选择业务分析报表或者热门分析报表页面 业务分析报表说明 业务分析模块可为客户提供带宽流量、请求数、状态码等指标。 通过筛选项进行组合查询带宽流量、请求数、状态码等指标。筛选项包括域名、运营商、地区、时间。 带宽流量。界面中展示的是您所选范围、域名、运营商、地区、时间范围内的带宽和流量统计图表，可通过切换“带宽”和“流量”的按钮查看带宽和流量图，同时会给出查询时间范围内每日总流量、带宽峰值、峰值时间点。 请求数。界面中展示的是您所选范围、域名、运营商、地区、时间范围内的请求数和QPS统计图表，可通过切换“请求数”和“QPS”的按钮查看请求数和QPS图，请求数图表中包括了总请求数、动态http请求数、动态https请求数、静态http请求数、静态https请求数。 天粒度数据统计说明： 没有开启WAF防护：防护请求数0，总请求数静态http请求数+静态https请求数+动态请求数+动态https请求数。 开启WAF防护：动态请求数0，总请求数静态http请求数+静态https请求数+防护请求数。 状态码。界面中展示的是您所选域名、运营商、地区、时间范围内的状态码统计图表，可通过切换“所有状态码”、“2XX”、“3XX”、“4XX”、“5XX”的按钮查看不同状态码的图表，并显示查询时间范围内的总状态码量，同时展示状态码占比表和状态码占比饼图。

本节介绍了Web应用防火墙（边缘云版）的告警管理功能。 功能介绍 域名接入天翼云Web应用防火墙（边缘云版）（下文简称WAF）后，您可以通过设置告警，使WAF在网站请求流量中检测到攻击事件、异常流量时向您发送告警通知，帮助您及时掌握业务的安全状态。本文介绍如何设置告警和查看告警 前提条件 1、已开通Web应用防火墙（边缘云版） 2、新增域名并接入域名成功，具体可见WAF接入 说明 默认脱敏显示您的联系方式等敏感信息，点击明文显示时，请您注意保护数据安全！ 使用说明 1.登录Web应用防火墙（边缘云版）控制台。 2.进入【告警管理】页面。 设置告警策略 1、在左侧导航栏中选择【告警管理】—【告警配置】页面。 2、单击【新增】按钮，可以根据需要配置适合的告警，支持配置的告警类型有WAF攻击和CC攻击； 配置项 说明 告警名称 自定义告警名称 告警状态 您可以选择开启或者关闭告警 域名 您可以选择需要配置告警的域名，支持选择多个 告警类型 支持选择WAF告警、CC告警 攻击类型 告警类型选择WAF告警，则支持选择WAF相关的攻击类型，能够以单个或多个攻击类型的粒度配置告警条件 告警通知间隔时间 若不希望某段时间内由于攻击频繁导致触发多次告警通知，可配置通知间隔时间 告警条件 当您告警类型选择WAF告警，在单位时间内，攻击请求数达到您设定的阈值就会告警 当您告警类型选择CC告警， 支持勾选多条告警条件，当满足任一条件均会产生告警 勿扰时间 当配置时间内，不产生告警 告警邮箱 支持设置接收告警的邮箱或者手机号

本文主要介绍如何验证负载均衡服务。 负载均衡实例配置完成后，可通过访问ELB实例对应的域名，验证是否实现访问到不同的后端主机。 1. 修改本地PC的“C:WindowsSystem32driversetchosts”文件，将域名映射到创建的ELB实例的EIP上。 ELB实例的EIP请在负载均衡器的基本信息界面查看。 2. 在本地PC的命令行窗口，执行以下命令测试域名映射ELB实例的EIP是否成功。 ping www.example.com 如有回复数据包，则说明域名映射成功。 3. 使用浏览器访问“ 4. 再次使用浏览器访问“

函数计算平台提供两种方式直接访问函数：自定义域名和Http触发器。这两种方式各自都支持公网访问和内网访问，根据不同的访问场景，部分需要额外配置。 公网访问 对于公网访问，根据相关规章制度，需要您提供合规的域名用于创建自定义域名，并在公网配置指定的公网CNAME记录，此举的目的是为了验证您拥有此域名的所有权 ，具体请看自定义域名。创建公网的自定义域名后，您既可直接通过自定义域名访问，也可以把该自定义域名用于创建公网Http触发器，具体请看Http触发器。 内网访问 内网访问也需要在公网配置指定的内网CNAME记录，操作步骤和公网一致，除此之外，根据不同的内网访问场景，还需要额外配置VPCE和内网DNS解析。 从vpc环境内直接访问函数，例如云主机。 创建函数计算服务的终端节点（VPCE）。创建步骤请查看创建VPCE，选择cn.ctyun.cnhuadong1.faas 函数服务，同时打开高级配置中的“私网域名”。 配置内网域名。具体步骤请查看内网域名，该内网域名保持和您的自定义域名一致。 创建解析记录，添加CNAME类型记录值。具体步骤请查看添加记录值，这里建议添加两条记录，一条主机记录为空，一条主机记录填写通配符，记录值均填写内网CNAME值。