本章节主要介绍天翼云物理机的物理网络。 物理机有四种网络类型，分别是VPC网络、高速网络（HB）、自定义vlan网络(QINQ)和IB网络，四种网络之间相互隔离不互通。其中，VPC网络接口和高速网络接口是基于系统维护vlan网卡组建bond后创建的vlan子接口。自定义vlan网络网卡和IB网络网卡由用户进行自定义管理配置。 说明 图中的ToR表示服务器机柜的布线方式，接入交换机放在机架顶部，服务器放在下方。HB表示高速网络。QinQ表示802.1Q隧道。 VPC网络接口和HB高速网络接口由系统生成，租户不可修改。这两个网络接口属于同一个网卡Bond。 弹性云主机和物理机之间可以通过VPC网络通信，只有VPC网络支持安全组、弹性IP和弹性负载均衡能力。 对于高速网络和自定义vlan网络，同一网络中的物理机实例之间仅提供2层连接。

云原生网关 云原生网关是天翼云微服务引擎的子产品，将传统的流量网关和业务网关合二为一，提供全局性和独立业务域级别的流量管理策略，与后端业务紧耦合策略配置。 弹性负载均衡 弹性负载均衡（Elastic Load Balancing）是天翼云产品，通过将访问流量自动分发到多台云主机，扩展应用系统对外的服务能力，实现更高水平的应用程序容错性能。 应用服务网格 应用服务网格是天翼云产品，提供基于Sidecar技术的无侵入式服务治理能力，兼容开源istio服务网格，并基于开源实现做了功能增强，提供了丰富的流量治理、安全管控和观测能力，满足多语言、技术栈应用统一治理的需求，降低业务接入门槛。 资源池或区域 资源池或者区域指资源所在的物理位置。同一区域内可用区之间内网互通，不同区域之间内网不互通。 可用区 每个区域包含许多不同的称为“可用区”的位置，即在同一区域下，电力、网络隔离的物理区域，同一个可用区内网互通，不同可用区之间物理隔离。每个可用区都被设计成不受其他可用区故障的影响，并提供低价、低延迟的网络连接，以连接到同一区域其他可用区。 VPC 虚拟私有云(Virtual Private Cloud)为用户提供一个逻辑隔离的区域，构建一个安全可靠、 可配置和管理的虚拟网络环境。专有网络由逻辑网络设备（如虚拟路由器，虚拟交换机）组成，可以通过专线/VPN等连接方式与传统数据中心组成一个按需定制的网络环境，实现应用的平滑迁移上云。

参数 描述 虚拟私有云 文档数据库实例所在的虚拟专用网络，可对不同业务进行网络隔离，方便地管理、配置内部网络，进行安全、快捷的网络变更。您需要创建或选择所需的虚拟私有云。 说明 实例创建完成后不支持切换虚拟私有云，请谨慎选择所属虚拟私有云。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 实例创建成功后，可以修改子网分配的内网地址。 说明 目前支持选择IPV4和IPV6网段的子网。 内网安全组 内网安全组限制安全访问规则，加强文档数据库服务与其它服务间的安全访问。 说明 请确保所选取的安全组允许客户端访问数据库实例（如协议选择为TCP，方向选择为入方向，端口设置为8635，源地址设置为实例所属子网或所属安全组）。 数据库端口 数据库端口默认8635，实例创建成功后可修改。文档数据库服务访问的数据库端口与数据库缺省值有区别，且需在安全组中添加相应规则，以免影响使用。 跨网段访问配置 现在设置 通过内网连接副本集实例时，当客户端和副本集实例部署在不同网段时，且客户端所在的网段不在“192.168.0.0/16”，“172.16.0.0/24”和“10.0.0.0/8”时，需要进行跨网段访问配置，以实现网络互通。 说明 源端ECS连接实例的前提是与实例节点网络通信正常，如果网络不通，可以配置“对等连接”。 跨网段访问配置当前最多可支持配置9个源端网段， 源端网段之间允许重叠但不能重复。即设置的源端网段之间可以有交集但不能完全一样，禁止使用127开头的网段，允许的IP掩码范围为832。 创建后设置 暂不配置源端对应网段。 IPV6 启用IPv6前，请确保数据库实例所在的VPC和子网已开启IPv6配置，在VPC和子网开启IPv6配置的应用场景和操作步骤。 启用IPv6后，数据库实例可在双堆栈模式下运行，即可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址。此时实例通过IPv4和IPv6进行通信，且IPv4和IPv6通信彼此独立。 企业项目 该参数针对企业用户使用，如需使用该功能，请联系客服申请开通。 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 请在下拉框中选择所在的企业项目，其中，default为默认项目。

本文将为您介绍通过专线网关实现物理专线入云访问多VPC。 应用场景 本地IDC通过一条物理专线接入天翼云华北2地域，实现本地IDC网络与天翼云华北2地域中的多个VPC网络互通。如需使用云企业路由器搭建跨AZ入云网络架构，实现本地IDC与多VPC网络互通，具体操作说明详见通过云企业路由器访问多VPC。 本地IDC接入天翼云华北2地域的物理专线，配置如下。 物理专线名称 互联地址（天翼云侧） 互联地址（用户侧） 掩码 VLAN 物理专线 10.250.0.1 10.250.0.2 255.255.255.252 100 天翼云华北2地域的VPC，配置如下。 VPC名称 VPC网段（IPv4） 子网网段（IPv4） VPC1 10.10.0.0/16 10.10.0.0/24 VPC2 10.20.0.0/16 10.20.0.0/24 前提条件 1、在天翼云华北2已创建一条物理专线，具体操作说明详见创建物理专线。 2、在天翼云华北2已创建一个专线网关，具体操作说明详见创建专线网关。 3、在天翼云华北2已创建两个VPC，具体操作说明详见创建VPC。

安全体检连通性检测说明。网络不可达将导致体检失败，请您根据以下提示对体检IP展开全面检测。 体检IP连通性检测是开始体检任务前的一项重要工作。体检IP与体检引擎互联网IP网络不通将会导致体检失败。 您可以点击体检IP列表右上角“检测联通性”，检测所有体检IP与体检引擎互联网IP的网络连通性。 当单个体检IP网络不可达时，您可以点击此体检IP的刷新按钮，完成单个IP的检测。 注意 当前体检引擎IP到此IP地址网络不可达，建议您检查： 1. 安全组策略是否限此IP访问。 2. 防火墙配置是否限制此IP访问。 3. 体检引擎互联网IP是否添加至白名单。 4. 此弹性IP是否正确绑定云主机。 5. 云主机是否正常开机。

云下一代防火墙是否支持六个月日志留存？ 六个月的日志保留期限通常是为了合规性、安全审计和犯罪调查需要而设定的。而云下一代防火墙日志主要留存在内存中，可存容量有限，不支持六个月留存，需要日志审计或者日志服务器配置snmp或者syslog进行日志保存， 具体配置为登录云下一代防火墙UI界面→监控→日志→日志配置→日志服务器配置→新建→填写日志服务器信息对日志进行发送。 云下一代防火墙可以防护多个VPC之间的流量吗？ 防火墙可以实现多个VPC流量防护。 前提条件如下： VPC的虚拟路由器需要支持写全0默认路由，配置下一跳为对等连接，且写了默认路由不影响直接绑定EIP的业务主机转发。 该方式会打通原本隔离的2个VPC网络，能接受2个VPC网络打通带来的安全风险。 云下一代防火墙是否支持上网行为审计？ 支持，例如QQ用户、微信用户、微博用户的使用情况。云下一代防火墙在上网行为审计方面的功能相对有限，可能不如专门的审计工具或高级审计解决方案强大。如果您有特定的审计需求，可能需要考虑额外的审计工具以满足您的要求。然而，云下一代防火墙通常专注于网络安全和流量管理，提供基本的审计功能以辅助安全监控和合规性要求。 云下一代防火墙默认账号密码？ 强烈建议在云下一代防火墙安装交付后立即更改默认账号和密码以提高安全性。默认账号和密码是保密信息，为了确保您的网络的安全，无法在此提供默认凭据。 请在天翼云官网上提交云下一代防火墙的技术支持工单联系支持团队以获取有关如何更改及默认凭据的详细信息。保护默认凭据的机密性对于网络安全至关重要。

本节介绍了云数据库TaurusDB的常用概念。 了解以下概念，有助于您更好地选购和使用云数据库TaurusDB： 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。一般情况下，TaurusDB实例应该和弹性云主机实例位于同一地域，以实现最高的访问性能。 可用区（Availability Zone，简称AZ）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个实例，可用区是指在某个地域内拥有独立电力和网络的物理区域。 可用区之间内网互通，不同可用区之间物理隔离。每个可用区都不受其他可用区故障的影响，并提供低价、低延迟的网络连接，以连接到同一地区其他可用区。通过使用独立可用区内的TaurusDB，可以保护您的应用程序不受单一位置故障的影响。同一Region的不同AZ之间没有实质性区别。 规格：每个节点的资源配置，比如16核64GB。

如何清理云主机或镜像文件所在虚拟机的网络规则文件？ 清理云主机或镜像文件所在虚拟机的网络规则文件可能会因不同的操作系统和网络规则配置而有所不同。以下是一般情况下的步骤： 注意 在进行任何系统文件的修改之前，请务必备份相关文件，以防意外情况导致系统故障。 Linux 操作系统操作步骤 对于基于 Linux 的操作系统，通常会使用类似 iptables 或 nftables 来管理网络规则。如果您想清理这些规则，可以按以下步骤操作： 1. 清除 iptables 规则： plaintext sudo iptables F sudo iptables X sudo iptables P INPUT ACCEPT sudo iptables P FORWARD ACCEPT sudo iptables P OUTPUT ACCEPT 2. 清除 nftables 规则（适用于使用 nftables 的系统）： plaintext sudo nft flush ruleset Windows 操作系统操作步骤 对于 Windows 操作系统，网络规则通常由 Windows 防火墙管理。您可以按照以下步骤来清除防火墙规则： 1. 打开 Windows 防火墙设置：在 Windows 搜索框中输入“Windows Defender 防火墙”并打开。 2. 在左侧面板中，选择“高级设置”。 3. 在左侧面板中，选择“入站规则”或“出站规则”，具体取决于您想要清理的规则。 4. 在右侧窗口中，找到您想要清理的规则，然后点击右键并选择“删除”。 如何配置IPv6地址？ 配置使用IPv6地址可以有效弥补IPv4网络地址资源有限的问题。如果当前云主机使用IPv4，那么启用IPv6后，云主机可在双栈模式下运行，即云主机可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址，这两个IP地址都可以进行内网/公网访问。

本节介绍了更改安全组的操作场景、操作步骤。 操作场景 本节操作介绍当弹性云主机的网卡需要变更所属安全组时的操作步骤。 更改安全组（单台弹性云主机） 1.登录管理控制台。 2.选择“计算 > 弹性云主机”。 3.在弹性云主机列表中，单击“操作”列下的“更多 > 网络/安全组 > 更改安全组”。 系统弹窗显示“更改安全组”页面。 图 更改安全组 4.根据界面提示，在下拉列表中选择待更改安全组的网卡，并重新选择安全组。 您可以同时勾选多个安全组，弹性云主机的访问规则遵循几个安全组规则的并集。 如需创建新的安全组，请单击“新建安全组”。 说明 使用多个安全组可能会影响弹性云主机的网络性能，建议您选择安全组的数量不多于5个。 5.单击“确定”。 更改安全组（多台弹性云主机） 1.登录管理控制台。 2.选择“计算 > 弹性云主机”。 3.在弹性云主机列表中，勾选待更改安全组的云主机。 4.单击列表上方的“更多 > 安全组 > 更改安全组”。进入“批量更改安全组”页面。 5.根据界面提示，在下拉列表中选择待更改安全组的网卡，并重新选择安全组。 您可以同时勾选多个安全组，弹性云主机的访问规则遵循几个安全组规则的并集。 如需创建新的安全组，请单击“新建安全组”。 说明 使用多个安全组可能会影响弹性云主机的网络性能，建议您选择安全组的数量不多于5个。 6.点击“确认”。

本文将为您介绍天翼云短信服务的产品功能特性，方便您快速了解短信服务。 天翼云短信服务的功能有短信通知、短信验证码、异步通知、数据统计，群发助手。 短信通知 99%到达率，电信级运维保障，实时监控自动切换。大容量高并发，智能调度。 短信验证码 3秒可达，三网合一专属通道，与工信部携号转网平台实时互联。变量灵活，支持带入变量，内容灵活，适用于各业务场景。 异步通知 可在后端服务处理完成任务时，回调通知用户。进而减少用户、Web前端和后端服务之间大量不必要的轮询请求。 数据统计 可查看请求量、发送成功量、失败量等统计数据；通过日期、手机号等维度查看发送详情。 群发助手 SaaS工具，支持在短信控制台中发送所有模板消息，以可视化的方式提供短信发送服务，适合初次接触短信服务的新手，非研发类人员使用。

本文向您介绍如何开启网卡多队列功能。 操作场景 随着网络IO的带宽不断提升，单核CPU处理网络中断存在瓶颈，不能完全满足网卡的需求，通过开启网卡多队列功能，您可以将弹性云主机中的网卡中断分散给不同的CPU处理，以满足网卡的需求，从而提升网络PPS和带宽性能。 假设以下场景所述的弹性云主机满足规格和虚拟化类型要求： 使用网卡多队列支持列表中的公共镜像创建的弹性云主机，默认已开启网卡多队列，无需执行本节操作。 对于私有镜像场景，如果您的外部镜像文件的操作系统在网卡多队列支持列表范围内，需要按照如下流程开启网卡多队列： 将外部镜像文件导入镜像服务控制台。 使用私有镜像创建弹性云主机。 执行网卡多队列的配置脚本。 说明 云主机开启网卡多队列功能后，如果后续有新增或删除网卡，切换VPC等操作，需要重新对云主机设置网卡多队列。 网卡多队列支持列表 网卡多队列的支持情况和实例规格、虚拟化类型、镜像的操作系统有关，只有同时满足这些要求，弹性云主机才能开启网卡多队列功能。 支持网卡多队列的规格请参考弹性云主机产品规格，网卡多队列数大于1的表示支持多队列。 所有公共镜像均支持网卡多队列。

云防火墙的应用场景及限制。 约束限制 CFW ALG标签功能受限。 CFW默认不开启网络层流量类型DDoS攻击与IP欺骗防御功能。 域名防护依赖于用户配置的域名服务器。默认域名服务器可能存在域名解析对应的IP地址不全，建议优先使用自定义域名服务器。 CFW长连接业务场景限制，配置策略的时候需要同时开启双向放通的安全策略，如果只开启单向策略，部分场景（开启和关闭防护、扩容引擎）需要客户端重新发起连接。 外部入侵防御 通过云防火墙，对已开放公网访问的服务资产进行安全盘点，可一键开启入侵检测与防御。 主动外联管控 云防火墙支持基于域名的访问控制，可对主动外联行为进行精准管控。 VPC间互访控制 云防火墙支持VPC间流量的访问控制，实现内部业务互访活动的可视化与安全防护。 等保合规 云防火墙可满足《网络安全等级保护2.0》中对区域边界防护、网络入侵防范、网络访问控制、安全日志审计等检查要求。

云堡垒机变更规格可以降低资产规格吗？ 不支持。 如需降低当前规格，你可以先备份相关数据后，退订当前云堡垒机，再重新购买降低规格的云堡垒机。 如果需要纳管的资产数小于标准的售卖资产规格该如何选择规格？ 如果堡垒机购买页没有与您资产数量一致的套餐规格，您需要选择比现有资产数量更大的套餐规格以保证可以统一运维。 例如，您现在有15资产，则您需要选购20资产套餐规格。 订购时如何配置VPC信息，堡垒机实例VPC信息可以修改吗？ 在购买云堡垒机实例时，为降低网络时延，建议配置云堡垒机实例与ECS等资源在同一区域同一VPC网络。堡垒机实例的VPC信息在购买时指定，后续不能修改。 如何选择云堡垒机实例区域和可用区？ 选择堡垒机实例区域和可用区的选择通常根据所需要运维的服务器、数据库等资产的区域和可用区的距离来确定，一般根据就近原则进行选择。 如您要运维的服务器或数据库资产在上海，那么您可以选择华东区域，这样可以减少访问服务的网络时延，提高访问速度。

本文主要介绍AI加速型 AI加速型云主机（AI Accelerated Cloud Server, AIACS）是专门为AI业务提供加速服务的云主机。搭载昇腾系列芯片及软件栈。 AI推理加速型系列：搭载昇腾310芯片，为AI推理业务加速。 AI加速型实例总览 规格名称 计算 磁盘类型 网络 Ai1s CPU/内存配比：1:4 vCPU数量范围：232 处理器：第二代英特尔® 至强® 可扩展处理器 基频/睿频：2.6GHz/3.5GHz 支持开启/关闭超线程功能，详细内容请参见开启/关闭超线程。 超高IO 通用型SSD 高IO 极速型SSD 超高网络收发包能力 实例网络性能与计算规格对应，规格越高网络性能越强 最大网络收发包：200万PPSl 最大内网带宽：25Gbps 说明 Ai1s支持最新的 AI推理加速增强I型Ai1s 概述 AI推理加速增强I型实例Ai1s是以昇腾310（Ascend 310）芯片为加速核心的AI加速型弹性云主机。基于Ascend 310芯片低功耗、高算力特性，实现了能效比的大幅提升，助力AI推理业务的快速普及。通过AI推理加速型实例Ai1s将Ascend 310芯片的计算加速能力在云平台上开放出来，方便用户快速简捷地使用Ascend 310芯片强大的处理能力。 AI推理加速型实例Ai1s基于Altas300I加速卡设计，更多详细信息请参考昇腾社区。 AI加速型云主机可用于机器视觉，安防监控，智慧园区，智慧城市，智慧交通，智慧零售，互联网音视频，视频编解码等业务场景。 类型 CPU基频/睿频 CPU型号 Ai1s 2.6GHz/3.5GHz 6278

本文为您介绍删除云网关实例的操作流程。 操作步骤 1. 登录控制中心。 2. 登录云间高速（标准版）管理控制台，并在左侧菜单列表中选择“云间高速（标准版）”。 3. 单击目标云间高速实例名称（或单击目标云间高速实例操作列的“管理”），进入目标实例详情页面。 4. 在云间高速实例详情页面，在“云企业路由器管理”页签，可查看已创建的云企业路由器列表。 5. 在云企业路由器管理页签，找到目标云企业路由器，在操作列，单击“删除”，进入删除页面。 6. 在删除页面，单击“确定”，删除目标云企业路由器实例。 注意 当云企业路由器中存在网络实例、自定义路由表、自定义路由策略时，不允许删除。需先卸载网络实例、删除自定义路由表、自定义路由策略，才能执行删除操作。

实例是否支持自定义或修改端口？ 不支持指定端口，也不支持修改。 实例是否支持修改访问地址？ DCS实例创建后，实例IP连接地址和域名连接地址不支持修改。 如何确认CTECS和Redis的网络环境是否相同？ 为了使CTECS实例与Redis实例通过内网连接，您需要确保二者的网络类型同为经典网络，或者同为专有网络（VPC）且所属的VPC相同。可在云主机管理控制台中查看云主机所属的VPC，具体请参考查看云主机详细信息。同时在Redis控制台中查看Redis实例所在的VPC，具体请参考查看实例信息。 Redis公网访问所需弹性IP是否收费？ 公网访问Redis实例所需的弹性公网IP需要收取一定的费用。 在开启公网访问开关前，您首先需要创建一个弹性公网IP。具体收费规则，请参考弹性IP计费模式。 客户Http的Server端关闭导致Redis访问失败，是什么原因？ 原因分析：客户端使用长连接，或者连接池，用完后关闭与DCS实例的连接，再次使用时，出现报错。 解决方案：使用长连接或连接池，用完后不要关闭连接；如果发现连接中断，请重新建连。 客户端出现概率性超时错误是什么原因？ 针对低概率超时错误，是Redis使用的正常现象。Redis使用受到网络传输、客户端设置超时时间等因素影响，可能出现单个请求超时问题。 建议客户业务编码时，具备重试操作，提升业务的可靠性，避免低概率的单次请求失败时业务失败。

本文为您介绍云容灾服务与其他服务的关系。 云容灾与其他服务的关系如下表所示： 服务名称 交互功能 位置 弹性云主机 保护组创建完成后，将需要容灾的云主机添加到指定的保护组中。 启动容灾复制后，连续复制时容灾中心会创建复影云主机。 当故障切换或容灾演练时，云上容灾恢复拉起时会部署云主机。 配置跨可用区容灾 云硬盘 挂载在复影云主机下，存放实时复制的数据。 对复影云主机下的磁盘的历史时间节点打快照，供容灾恢复使用。 启动容灾复制 虚拟私有云 为弹性云主机构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云上资源的安全性，简化用户的网络部署。云容灾的生产中心和容灾中心，都需要配置VPC。 创建保护组

使用场景 当您的VPC需要更换原来关联的DHCP选项集时可以使用更换功能；当您的VPC需要解除DHCP选项集时可以使用解除关联功能。 前提条件 已经创建完成VPC和DHCP选项集。 已经完成VPC和DHCP选项集关联。 使用限制 VPC更换DHCP选项集后对云服务器的生效策略如下： 实例类型 生效策略 存量云主机实例（VPC和DHCP选项集更换关联后， 如VPC原来关联DHCP选项集1 更换后为DHCP选项集2） 执行以下任意操作后，云主机实例会取消DHCP选项集1中的DHCP选项配置，恢复为DHCP选项集2中的DHCP选项配置： 重启云主机实例 重启DHCP Client服务 重启网络服务。 新建云主机实例（VPC和DHCP选项集更换关联后） 云主机会按照DHCP选项集中的DHCP选项配置生效。 操作步骤 1. 登录控制中心。 2. 在控制中心页面左上角点击，本文我们以某可用区资源池为例。 3. 依次选择“网络”，单击“虚拟私有云”；进入网络控制台页面。 4. 在网络控制台界面，选择虚拟私有云，单击进入虚拟私有云详情页。 5. 在虚拟私有云详情页可以查看该VPC关联的DHCP选项集；单击“解除关联”并点击“确定”，可以将VPC和DHCP选项集解除关联；您也可以在DHCP选项集详情中解除与VPC的关联关系。 6. 单击“更换关联”并点击“确定”，可以更换VPC关联的DHCP选项集。

本文汇总了使用虚拟私有云产品时常见的使用安全类问题。 弹性云服务器加入安全组过后能否变更安全组？ 可以。进入弹性云服务器详情界面，在网卡下拉窗口选择更改安全组。 一个用户能拥有多少个安全组？ 一个用户最多可以拥有100个安全组，5000条安全组规则。 创建弹性云服务器时，可以选择多个安全组（建议不超过5个）。 一个用户可以拥有多少个网络ACL？ 一个用户最多可以拥有200个网络ACL，每个网络ACL出方向或入方向建议最多创建20条规则，超过20条会影响转发性能 。 变更安全组规则和网络ACL规则时，是否对原有流量实时生效？ 安全组是有状态的，即无论安全组入方向的规则如何，都允许对出方向流量的响应流入实例，反之亦然。安全组使用连接跟踪来跟踪有关进出实例的流量信息，在安全组规则增加、删除、更新时，或者该安全组下实例创建、删除时，会自动清除该安全组下所有实例入方向的连接跟踪，此时，流入或流出实例的流量会被当做新的连接，需要重新匹配相应入方向或出方向的安全组规则，以保证规则能立即生效，从而保障流入实例的流量的安全。 网络ACL规则配置变更，对于原有流量不会立刻生效。用户需断开变更规则所影响的流量一段时间（约120秒）后，变更后的规则才能对流量生效。如要确保流量在变更规则时能立即中断，建议使用安全组进行安全策略配置。

参数 说明 虚拟私有云 文档数据库服务实例所在的虚拟专用网络，可对不同业务进行网络隔离，方便地管理、配置内部网络，进行安全、快捷的网络变更。 子网 通过子网提供与其他网络隔离的、可以独享的网络资源，以提高网络安全。 安全组 安全组限制安全访问规则，加强文档数据库服务与其它服务间的安全访问。

本节主要介绍网络ACL关联子网。 使用说明 一个子网只能关联其所属VPC下的网络ACL。 一个子网可以按需关联网络ACL，但只能关联一个网络ACL，具有相同访问控制的多个子网可以关联到一个网络ACL。 网络ACL关联或解关联子网 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>访问控制>网络ACL】，选择对应的地域，查看当前已创建的网络ACL。 3. 选中所要关联子网的网络ACL，单击对应操作栏中的【关联管理】，进入网络ACL的详情页。 4. 单击【关联管理>添加子网关联】，在弹出框中勾选该网络ACL所属虚拟私有云下未关联其他网络ACL的子网，单击【提交】执行关联。 5. 单击【关联管理】查看当前网络ACL已关联的子网，选中所要解除关联的子网列表，在对应的操作栏中单击【取消关联】，在弹出框中单击【确定】执行取消关联。 查看网络ACL中已关联的子网 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>访问控制>网络ACL】，选择对应的地域，查看已创建的网络ACL。 3. 选中所要查看关联子网的网络ACL，单击网络ACL的名称进入详情页。 4. 单击【关联管理】查看当前网络ACL下已关联的子网。

本节介绍了开启网卡多队列功能的操作场景、网卡多队列支持列表、将外部镜像文件导入镜像服务控制台、为镜像添加网卡多队列标签、使用私有镜像创建弹性云主机、执行网卡多队列的配置脚本、查看网卡队列数。 操作场景 随着网络IO的带宽不断提升，单核CPU处理网络中断存在瓶颈，不能完全满足网卡的需求，通过开启网卡多队列功能，您可以将弹性云主机中的网卡中断分散给不同的CPU处理，以满足网卡的需求，从而提升网络PPS和带宽性能。 假设以下场景所述的弹性云主机满足规格和虚拟化类型要求： 使用网卡多队列支持列表中的公共镜像创建的弹性云主机，默认已开启网卡多队列，无需执行本节操作。 对于私有镜像场景，如果您的外部镜像文件的操作系统在网卡多队列支持列表范围内，需要按照如下流程开启网卡多队列： a. 将外部镜像文件导入镜像服务控制台。 b. 为私有镜像添加网卡多队列标签。 c. 使用私有镜像创建弹性云主机。 d. 执行网卡多队列的配置脚本。 说明 云主机开启网卡多队列功能后，如果后续有新增或删除网卡，切换VPC等操作，需要重新对云主机设置网卡多队列，详细操作请参考

8e系列 采用第五代英特尔® 至强® 可扩展处理器 （Emerald Rapids）， 基于新一代虚拟化平台，支持IPI虚拟化（IPI Virtualization），使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套25GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制。支持 Intel® 高级矩阵扩展（Intel®AMX）、TME（Total Memory Encryption）运行内存加密等高级特性，同时可提供 192C1536G 大规格实例，计算性能、安全性、稳定性更强大，在人工智能、媒体应用、网站应用的性能均有所提升。 8ne系列 采用第五代英特尔® 至强® 可扩展处理器 （Emerald Rapids）， 基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术，搭载天翼云自研紫金智能网卡，通过软硬结合的方式提高虚拟化性能，大幅提升实例的网络带宽能力和网络收发包能力。可提供192C1536G的大规格实例、3600万收发包能力 。适用各种于网络密集型应用场景，如NFV/SDWAN、移动互联网、视频弹幕、电信业务转发等；中小型数据库系统、缓存、搜索集群；各种类型和规模的企业级应用；大数据分析和机器学习。 8a系列 搭载AMD EPYC™ Genoa处理器（2.6GHz），基于新一代虚拟化平台，使用NUMA(Non Uniform Memory Access Architecture)绑定技术， 配套100GE网卡，搭载全新网络加速引擎以及DPDK(Data Plane Development Kit)快速报文处理机制，可提供稳定的算力输出和更强劲的I/O引擎。适用于对价格敏感、性能要求高的场景，如各种类型和规模的企业级应用、大数据分析与处理、高网络收发包场景（如游戏、直播等）、AI训练与推理，音视频转码类应用等。

本章节介绍云主机网络延迟故障演练。 背景介绍 网络延迟是分布式系统中最常见的微故障之一。跨数据中心的调用、网络拥塞、路由路径过长或中间设备处理耗时，都可能导致服务间的通信延迟增加。这会直接影响应用的响应时间，降低用户体验，甚至在级联调用中引发雪崩效应。本演练模拟可控的网络延迟，帮助您检验系统的超时设置、熔断机制的有效性，并发现潜在的性能瓶颈。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过增加TC和Netem规则模拟主机内网络延迟。 注意 只对出方向流量生效，不会影响入流量；如果系统已配置有TC规则，动作执行会失败。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择网络延迟动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 本地端口：仅对源端口为指定端口的流量生效。例如，可设置为您对外提供服务的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 远程端口：仅对目标端口为指定端口的流量生效。例如，可设置为您的应用访问数据库的端口。可以指定多个，使用逗号分隔或者连接符表示范围，例如 80,80008080。 排除端口：排除指定端口的流量。可以指定多个，使用逗号分隔或者连接符表示范围，例如 22,8000 或者 80008010。 这个参数不能与本地端口或者远程端口参数一起使用。 目标IP： 支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 网卡设备：指定在哪个网络接口上实施故障，网卡可通过ifconfig命令查询，例如 eth0。 排除IP：排除受影响的 IP，支持通过子网掩码来指定一个网段的IP地址, 例如 192.168.1.0/24. 则 192.168.1.0~192.168.1.255 都生效。也可以指定固定的 IP，如 192.168.1.1 或者 192.168.1.1/32，还可以通过逗号分隔多个参数，例如 192.168.1.1,192.168.2.1。 延迟时间(毫秒)：为每个数据包增加的固定延迟时长。 延迟浮动值(毫秒)：在固定延迟时长上的随机浮动范围。最终延迟为延迟时间 ± 延迟浮动值，用于模拟更真实的网络抖动。

本文为您介绍可信计算能力,以及如何开通、使用可信云主机。 什么是可信计算 可信计算是实现云租户计算环境高级安全的重要功能之一。通过在虚拟化层面上使用可信虚拟化技术（vTPM）作为可信根，构建从系统启动到用户指定应用的信任链，并实现远程证明机制，从而为用户提供从启动阶段到运行阶段的全方位可信保障。在系统和应用中加入可信验证，可以显著降低因使用未知或被篡改的系统/软件而遭受攻击的风险。 说明 当前仅对部分用户开放试用可信云主机功能，如您需要体验，请联系客户经理。 支持可信系统的实例规格 鲲鹏网络增强通用型ks2xne 鲲鹏网络增强计算型kc2xne 鲲鹏网络增强内存型km2xne 创建可信云主机 创建可信云主机的步骤与创建普通云主机基本一致，以下仅列出与可信相关的关键配置。通用配置请参见：创建弹性云主机。 1. 登录天翼云管理控制台。 2. 单击左上角选择区域，选择 华东1。 3. 依次点击 计算 > 弹性云主机，进入云主机控制台，单击右上角创建云主机。 4. 在 基础配置 的规格列表中，选择支持可信系统的实例规格（见本文”支持可信系统的实例规格“）。 5. 在 基础配置 的镜像区域，勾选开启可信系统复选框，系统将自动展示支持可信系统的镜像，选择所需镜像。 6. 按页面提示完成实例创建。

本节带您了解如何将智能网关绑定天翼云SDWAN实例、专线。 操作场景 用户将智能网关绑定天翼云SDWAN实例或者专线，实现分支互联、访问云上资源。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已经完成SDWAN实例、智能网关实例和云专线的创建。 操作步骤 绑定SDWAN 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本节我们选择华东1。 3. 依次选择“网络”，单击“天翼云SDWAN”；进入天翼云SDWAN总览页面。 4. 选择“智能网关”，单击目标智能网关“操作”列的“绑定网络实例”，进入绑定网络实例页面。 5. 网络类型选择“SDWAN”,根据页面提示，选择要加入的天翼云SDWAN实例。 6. 单击“确定”，完成智能网关绑定天翼云SDWAN实例。 绑定专线 1. 在天翼云SDWAN总览页面，选择“智能网关”，单击目标智能网关“操作”列的“绑定网络实例”，进入绑定网络实例页面。 2. 在绑定网络实例页面，网络类型选择“专线”。 3. 根据页面提示配置参数，具体参数配置如下： 参数 说明 网络类型 选择智能网关接入云资源池的方式，这里我们选择专线。 资源池 可以选择公有云资源池。 专线网关 选择该资源池下的专线网关。 物理专线 选择上述专线网关下的物理专线。 客户侧子网 可选当前专线网关下已经配置的客户侧IPv4子网，当前暂不支持客户侧子网变更，如需修改子网，请解绑专线网关后重新绑定。 4. 单击“确定”按钮，完成绑定。

本节介绍了专属云（计算独享型）操作类相关问题。 是否支持共享池的ECS加入到专属云（计算独享型）中 专属云（计算独享型）不支持共享池的ECS加入到集群中。 如何选择地域？ 地域是一个地理区域的概念。我国地域面积广大，由于带宽的原因、不可能只建设一个数据中心为全国客户提供服务。因此，我们根据地理区域的不同将全国划分成不同的区域。 选择区域时通常根据就近原则进行选择，例如您或者您的客户在江苏，那么您可以选择苏州资源池，这样可以减少访问服务的网络时延，提高访问速度。 选择区域时，您需要考虑以下因素： 地理位置 一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。不过，在基础设施、BGP网络品质、资源的操作与配置等方面，中国大陆各个区域间区别不大，如果您或者您的目标用户在中国大陆，可以不用考虑不同区域造成的网络时延问题。 专属计算资源池的内存分配率是如何计算的？ 在“资源使用详情”区域内，内存分配率统计了当前系统的真实情况，包括部分系统管理内存。各项指标的计算方法如下。 总量：可用内存容量，指所有DeC物理服务器上的物理内存容量总和。内存总量数值为“分配给DeC物理服务器的总内存容量”减去“物理服务器的管理内存容量”。物理服务器的管理内存容量通常包括XEN，Kdump等管理弹性云主机时所需要的内存总量，该部分内存无法作为弹性云主机操作系统所使用的内存，约占分配给用户的可用物理内存的2%~3%。 分配：已用内存容量，统计已经分配给用户的可用物理内存上被已创建的弹性云主机消耗的内存总量。已用内存包括用户弹性云主机中可使用的内存（即弹性云主机规格所定义大小的内存）及为了管理该云主机所需要消耗的DeC物理服务器的可用内存。管理该云主机所需要消耗的DeC物理服务器可用内存通常约占弹性云主机定义内存规格的1%~2%，该部分内存无法被弹性云主机使用。 空闲：未被使用的内存容量，数值为“可用内存容量”减去“已分配内存容量”。

本小节介绍日志审计(原生版)产品介绍类常见问题。 日志审计（原生版）是什么？ 日志审计（原生版）系统能够实时不间断地采集汇聚企业中不同厂商不同种类的安全设备、网络设备、主机、操作系统、用户业务系统的日志信息，协助用户进行安全分析及合规审计，及时、有效的发现异常安全事件及违规事件。 系统提供了众多基于日志分析的强大功能，如安全日志的集中采集、分析挖掘、合规审计、实时监控及安全告警等，系统配备了全球IP归属及地理位置信息数据，为安全事件的分析、溯源提供了有力支撑，综合日志审计分析系统能够同时满足企业实际运维分析需求及审计合规需求，是企业日常信息安全工作的重要支撑平台。 日志审计（原生版）市场需求有哪些？ 日志审计需求主要源自于两个方面的驱动力： 一方面，从企业和组织自身安全的需要出发，日志审计能够帮助用户获悉信息系统的安全运行状态，识别针对信息系统的攻击和入侵，以及来自内部的违规和信息泄露，能够为事后的问题分析和调查取证提供必要的信息； 另一方面，从国家法律法规、行业标准和规范的角度出发，日志审计已经成为了满足合规与内控需求的必备功能。 日志审计（原生版）适用范畴？ 日志审计（原生版）系统提供了众多基于日志分析功能，系统具有广泛的应用范围和客户群，在政府、企业、电信、金融、电力、公安、军工、等行业均有成功的应用，满足企业实际运维分析需求及审计合规需求，是企业日常信息安全工作的重要支撑平台。

了解存储资源盘活系统计费类问题。 存储资源盘活系统如何收费？ 存储资源盘活系统提供软件和一体机两种产品形态。 软件通过购买软件许可证的方式进行计费，软件许可证类型分为订阅模式和永久许可模式。产品价格参见软件许可证计费模式。 一体机： 固定规格的一体机按照服务节点和使用时长计费，产品价格参见云存储一体机HBlock计费模式。 选配规格的一体机目前主要根据服务器节点收费，3年服务期价格服务器标准资费台数。后续进行扩容时，同样仅对扩容的服务器数量进行独立收费。 注意 报价不包含集成交付服务费用和一线运维费用，仅提供三线远程运维支撑。后续运维由电信地市公司提供一线运维人员协助（定期巡检、简单硬件运维开关机、插拔盘等）。 选配规格涉及到维保，维保费用如何收取？ 维保包含软件维保和硬件维保服务。初始报价已包含前三年维保费用，不再单独收取。3年服务期结束后，客户可续订，维保费用（/年）标准资费（3年）10%。 一体机服务期内是否允许退订？ 存储一体机HBlock以服务的形式按时长收费，因一体机涉及硬件部分，交付后，不支持中途退订，到期后，用户可根据需要选择全部续订或部分续订，不续订的机器天翼云会收回。

步骤二：开通云服务器 使用镜像市场"标准VCPE镜像CTyunOS2.0.1X86 64位"镜像开通云主机。云主机配置要求：配置要求2c4g以上，推荐计算型云主机，网卡使用自动分配内网IPv4地址，并有用弹性IP，带宽大小根据需要设置。 1. 登录天翼云，点击页面右上方“控制中心”，进入控制台。 2. 单击管理控制台左上角的选择区域。 3. 点击计算弹性云主机进入创建云主机页面。 4. 单击右上角创建云主机进入云主机购买页面。 5. 进行基础配置。 a. 根据业务需求配置“计费模式”、“地域”、“企业项目”、“虚拟私有云”、“实例名称”、“主机名称”等。 b. 选择规格。此处选择"CPU架构"为"X86计算"、分类可以选 "通用型"或"计算型"，推荐选用计算型。规格为2c4G以上。 c. 选择镜像。“镜像类型”选择“云镜像市场”，在云镜像市场中选择预置了vCPE的"标准VCPE镜像CTyunOS2.0.1X86 64位"镜像。 d. 设置云盘类型和大小。此处选择"系统盘"为"通用型SSD"，40GB。 6. 网络配置 设置网络，此处"网卡"选择“单网卡”，设置“自动分配内网地址”；"安全组"根据客户需求自行配置； "弹性IP"用于连通SDWAN POP接入点，带宽根据客户网络需求进行配置。 7. 高级配置 设置高级配置，包括"登录方式"、"云主机组"、"用户数据"。用户数据需配置为vCPE实例的SN号。vCPE SN号信息可通过“天翼云SDWAN控制台>目标智能网关详情页>基本信息模块”查看，操作步骤可参考：查看基本信息。 用户数据填写格式如下： 其中，CTCEXXXXXXXXXSN根据客户订购的vCPE实例SN号进行替换。 plaintext

本节介绍如何为漏洞扫描v1.0开启/切换IPv6防护。 子网开启IPv6 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“网络 > 虚拟私有云”。 4. 选择对应的虚拟私有云，选择对应子网，点击子网后的“修改”进入修改子网页面，勾选“开启IPv6”，单击“确定”。 漏洞扫描系统开通 在设备成功开通后，默认一张网卡设定为管理网卡，以供单点登录设备时使用；需新增一张网卡专门用于业务操作。 漏洞扫描系统开通 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 云等保专区”。 4. 在资源概览页面右上角，单击“立即购买”。 5. 在购买页面配置基础信息（包括区域 、虚拟私有云 、子网、可用区 和CPU分类 ），套餐选择自定义中的漏洞扫描、并进行产品规格配置。 6. 选择购买时长后，勾选“我已阅读，理解并接受《云等保专区服务协议》”，点击“立即购买”。完成购买后等待资源开通成功。 新增业务网卡 1. 创建弹性网卡 在天翼云控制中心服务列表页，选择“网络 > 虚拟私有云”；在网络控制台左侧导航栏，选择“弹性网卡”，单击弹性网卡页面右上角的“创建弹性网卡”，配置弹性网卡的区域、名称、VPC、子网、安全组等信息，点击“确定”。 2. 绑定网卡 在云等保专区左侧导航栏，选择“漏洞扫描”，在开通的设备右侧操作列点击“更多 > 绑定网卡”，选中上一步创建的弹性网卡，点击“确定”。 3. 重启漏洞扫描系统 在云等保专区左侧导航栏，选择“漏洞扫描”，在开通的设备右侧操作列点击“更多 > 重启”。 登录漏洞扫描系统 在云等保专区左侧导航栏，选择“漏洞扫描”，在目标资源右侧操作列单击“配置”，进入漏洞扫描系统。 开启IPv6防护 开通漏洞扫描v1.0后，还需要配置网络才能开启IPv6防护，请提交工单联系技术支持进行配置。

此小节介绍云堡垒机登录系统概述。 开放端口要求 为避免网络故障或网络配置问题影响登录系统，请管理员优先检查网络ACL配置是否允许访问云堡垒机，并参考表配置实例安全组。 入/出方向规则配置参考 场景描述 方向 协议/应用 端口 :::: 通过Web浏览器登录云堡垒机（HTTPS） 入方向 TCP 22333 通过MSTSC客户端登录云堡垒机 入方向 TCP 53389 通过SSH客户端登录云堡垒机 入方向 TCP 2222 通过FTP客户端登录云堡垒机 入方向 TCP 20~21 通过云堡垒机的SSH协议远程访问Linux云服务器 出方向 TCP 22 通过云堡垒机的RDP协议远程访问Windows云服务器 出方向 TCP 3389 通过云堡垒机访问Oracle数据库 入方向 TCP 1521 通过云堡垒机访问Oracle数据库 出方向 TCP 1521 通过云堡垒机访问MySQL数据库 入方向 TCP 33306 通过云堡垒机访问MySQL数据库 出方向 TCP 3306 通过云堡垒机访问SQL Server数据库 入方向 TCP 1433 通过云堡垒机访问SQL Server数据库 出方向 TCP 1433 通过云堡垒机访问DB数据库 入方向 TCP 50000 通过云堡垒机访问DB数据库 出方向 TCP 50000 同一安全组内通过SSH客户端登录云堡垒机 出方向 TCP 2222 短信服务 出方向 TCP 10743、443 DNS域名解析 出方向 UDP 53