本章节介绍云主机DNS篡改故障演练。 背景介绍 DNS 篡改是一种常见的攻击手段或配置错误，它会导致域名被错误地解析到非预期的IP地址，从而引发流量劫持、服务中断或数据泄露等风险。本演练通过模拟 DNS 篡改场景，帮助您检验系统的安全防护机制、验证监控告警的有效性，并评估业务在域名解析被劫持时的表现。 基本原理 预先在探针管理处将内部自研Agent安装至云主机上，使用管控通道下发动作执行命令。 原理是通过修改本地DNS解析文件实现。 故障注入 1、纳管实例资源 1. 导航至 故障演练 > 目标应用 > 应用资源页面。 2. 在资源类型页签中选择云主机 ，然后单击添加资源。 3. 在弹出的对话框中，勾选目标云主机 实例，单击确定。 2、编排演练任务 1. 导航至 故障演练 > 目标应用 > 演练管理 页面，单击新建演练。 2. 在基本信息 页面，按提示填写演练名称和描述，然后单击下一步。 3. 在演练对象配置页面： 配置动作组 ：为动作组 命名，资源类型选择云主机。 添加实例 ：单击添加实例 ，勾选上一步中添加的云主机实例。 添加故障动作 ：单击立即添加 ，在列表中选择DNS篡改动作。 4. 在弹出的参数配置框中，配置所需参数，然后单击确定。 持续时间：故障动作持续时间。 域名：待篡改的域名。 映射IP：将目标域名解析到该IP地址。

本节介绍NAT网关的创建和管理。 使用说明 关于NAT网关的使用，您需要注意以下几点： 当VPC内实例同时配置弹性IP服务和NAT网关服务时，数据优先通过弹性IP转发，请避免同时配置弹性公网 IP 服务和 NAT 服务，以免对 DNAT 数据报文可能造成的中断。 SNAT 规则不能和全端口的 DNAT 规则共用 EIP。 SNAT 规则和 DNAT 规则一般面向不同的业务，如果使用相同的 EIP，会面临业务互相抢占问题，请尽量避免。 配置 DNAT 规则后，需要放通对应的安全组规则。 删除NAT网关前需要将该NAT网关下所有的SNAT规则和DNAT规则先删除后方可删除NAT网关实例。 购买NAT网关 1. 登录ECX控制台。 2. 单击左侧导航栏的【边缘网络>NAT网关】，点击右上角【+购买NAT网关】。 3. 选择“计费模式”、“地域”，输入NAT网关名称，选择已创建的VPC。 4. 公网IP可以选择“暂不使用”或“免费申请”。当选择“暂不使用”时，可以在公网IP列表选择空闲状态的IP绑定到NAT网关；当选择“免费申请”时，需设置对应的带宽值。选择包年包月计费类型时，公网IP暂只支持免费申请。 5. 勾选协议，单击【立即购买】，进入费用中心确认费用并支付，支付成功后，完成NAT网关创建。 6. 查看已创建的NAT网关列表，可在列表上方选择地域查看各地域的NAT网关列表。

本节介绍可通过AI云电脑同步工具将本地电脑数据同步到天翼量子AI云电脑,或者将天翼量子AI云电脑的数据同步到另外一个天翼量子AI云电脑。 简介 如需将本地电脑数据同步到AI云电脑，或者将AI云电脑的数据同步到另外一个AI云电脑，可使用AI云电脑同步工具进行数据同步。同步工具适用于Windows系统、统信UOS系统、银河麒麟系统、中科方德系统等，操作使用方式请参考以下操作指导。 同步工具客户端下载地址：++天翼云电脑同步工具客户端下载++ 登录/退出客户端 扫码登录 在登录界面，使用移动端的天翼云电脑App或翼连App进行二维码扫码，移动端确认登录。 账密登录 在登录界面，输入天翼量子AI云电脑账号密码，点击“安全登录”，即可登录同步工具客户端。 专线接入 若天翼量子AI云电脑的租户开通了企业专线接入，该租户下用户使用同步工具也需要通过专线接入登录，同步工具的专线地址与天翼量子AI云电脑专线地址一致。 1. 勾选“企业/专线地址”，弹出专线接入配置框； 2. 在专线接入配置框中，选择协议类型“http”或“https”，输入专线地址和端口； 3. 点击“启用”按钮。

方案概览 您将部署一组微服务应用，实现服务的注册与发现、服务之间的方法调用，并且通过公网来访问应用。示例应用的架构如下： 为实现本方案，您将： 1. 部署应用：使用示例镜像部署 provider 应用与 consumer 应用，并通过 CAE 内置的 Nacos 实现服务注册与发现，使得 consumer 应用可以调用 provider 应用提供的服务。 2. 通过公网访问应用： 为 consumer 应用配置公网访问地址并访问应用。 操作指引 部署应用 部署 provider 应用 1. 登录云应用引擎控制台 2. 左侧导航栏选择应用管理 > 应用列表 3. 点击创建应用，配置以下参数，点击下一步进入高级设置 1. 自定义应用名称，例如 provider 2. 选择命名空间类型为系统创建，表示应用将会使用系统默认创建的命名空间，并关联 VPC、子网、安全组等网络资源 3. 设置应用部署方式为镜像部署。点击选择镜像，选择 Java 技术栈语言，在示例镜像标签页，找到javaprovider镜像仓库，选择版本为v1.0，点击确定 4. 在容量设置区域，自定义单实例规格和实例数，这决定了应用初始运行的实例数量、系统为每个实例分配多少计算资源 4. 在高级设置页面中，展开服务注册发现区域，启用内置 Nacos 注册中心服务发现 5. 点击创建应用

控制台续费 为保证用户正常使用云堡垒机服务，在云堡垒机许可证到期前或使用许可到期后15天内，用户可通过“续费”操作增加授权使用期限。 在云堡垒机到期前，可以通过“续费”操作延长到期时间。 在云堡垒机到期后，若未及时续费，则进入“保留期”，不能登录云堡垒机系统。“保留期”为15天，到期仍未续订或充值，存储在云堡垒机中的数据将被删除、资源将被释放。 堡垒机续费不会自动续费云主机，请您手动续订对应云主机。 前提条件 已获取控制台的登录账号与密码。 操作步骤 1. 登录管理控制台。 2. 选择“安全 > 云堡垒机（原生版）”，进入云堡垒机实例管理页面。 3. 选择待续费的实例，单击“更多 > 续费”，进入“续费”配置页面。 4. 根据需要选择续费时长。 5. 单击“去支付”，在支付页面完成付款。 6. 返回云堡垒机实例列表页面，在“云堡垒机实例”列表查看授权后最新到期时间。 管理中心续订 登录天翼云官网，进入管理中心，选择续订管理，点击“手动续订”或者“开通自动续订”按钮，即可完成实例的续订。 退订 说明 退订堡垒机不会自动退订对应云主机，请您单独退订云主机。

该任务指导专业版用户将漏洞扫描服务升级为高级版。 当您是专业版用户时，如果需要将专业版扫描配额包中的二级域名配额全部升级为一级域名配额，可以直接将专业版升级为高级版。 前提条件 已获取管理控制台的登录帐号和密码。 已购买专业版的漏洞扫描服务。 升级为高级版 1. 登录管理控制台。 2. 在左侧导航树中，单击，选择“安全 > 漏洞扫描（专业版）”，进入漏洞扫描服务页面。 3. 单击“升级规格”，进入升级规格界面。 4. 在升级规格界面，单击“高级版”，设置配额。在“扫描配额包”栏，单击增加域名扫描配额包数量。 说明 “扫描配额包”即配置的域名/IP地址个数，目前支持的范围为1100。 “扫描配额包”栏的数量默认为专业版配额的数量。 “扫描配额包”可以选择大于或等于当前拥有的专业版配额，VSS仅支持专业版配额全部升级，不支持专业版配额部分升级。 每个扫描配额包默认包含1个一级域名（不限制二级域名个数）/IP（不限制端口个数）。 5. 确认订单详情无误后，单击“去支付”。如果订单填写有误，用户可以单击“上一页”，回到服务选型页面修改配置信息后再继续购买。 6. 在“付款”页面，选择付款方式进行付款。

VPC边界防火墙支持VPC之间通信流量的访问控制，实现内部业务互访活动的可视化与安全防护。 支持的防护对象 虚拟私有云（VPC） 虚拟网关（VGW） VPN网关（VPN） 企业连接网（ECN） 全球接入网关（DGW） 约束条件 仅“专业版”支持VPC边界防火墙。 依赖企业路由器（Enterprise Router, ER）服务引流。 仅支持防护当前账号所属企业项目下的VPC。 配置流程 企业路由器模式（新版）配置及使用流程： 操作步骤 操作说明 创建VPC边界防火墙 为VPC边界防火墙规划用于引流的网段。 说明 引流VPC不会创建在您的账号上，即不占用您的防护VPC个数。 配置企业路由器并将流量引至云防火墙 通过企业路由器连通VPC和云防火墙之间的流量。 为防护VPC添加连接，建立VPC与ER之间的网络互通。 在企业路由器中创建两个路由表作为关联路由表和传播路由表，将VPC和防火墙之间的流量互相传输。 为VPC添加一条指向企业路由器的路由。 开启/关闭VPC边界防火墙并确认流量经过云防火墙 开启VPC边界流量防护，并验证流量是否经过云防火墙。 VPC边界防护规则 通过防护规则放行/拦截流量（放行后的流量会经过入侵防御IPS、病毒防御等功能的检测）。 通过添加黑白名单拦截/放行流量 通过黑白名单放行/拦截流量（放行/拦截的流量，不再经过其它功能的检测）。 访问控制日志 查看防护策略是否生效。

规格限制 WAF支持设置6种拦截类型，每个拦截类型只能设置一条攻击惩罚标准。 最大拦截时长为30分钟。 操作步骤 1. 登录管理控制台。 2. 单击页面顶部的区域选择框，选择区域。 3. 单击页面左上角的“服务列表”，选择“安全 > Web应用防火墙（独享版）”。 4. 在左侧导航树中，选择“防护策略”，进入“防护策略”页面。 5. 单击目标策略名称，进入目标策略的防护配置页面。 6. “攻击惩罚”配置框中，用户可根据自己的需要更改“状态”，单击“自定义攻击惩罚标准”，进入攻击惩罚标准页面。 7. 在“攻击惩罚”列表的左上方，单击“添加攻击惩罚”。 8. 在弹出的对话框中，添加攻击惩罚标准。 参数说明如下： 参数 参数说明 取值样例 拦截类型 支持以下拦截方式： 长时间IP拦截 短时间IP拦截 长时间Cookie拦截 短时间Cookie拦截 长时间Params拦截 短时间Params拦截 说明 黑白名单规则中，不支持选择“长时间IP拦截”和“短时间IP拦截”的攻击惩罚。 长时间IP拦截 拦截时长（秒） 拦截时长需要设置为整数，且设置范围为： 300<长时间拦截时长≤1800 0<短时间拦截时长≤300 500 规则描述 可选参数，设置该规则的备注信息。 9. 输入完成后，单击“确认”，添加的攻击惩罚标准展示在列表中。

本节介绍如何查看证书信息。您可以查看证书的名称、绑定的域名和到期时间等详细信息。 前提条件 在WAF上创建了证书。 操作步骤 步骤 1 登录管理控制台。 步骤 2 单击管理控制台右上角的，选择区域。 步骤 3 单击页面左上方的，选择“安全> Web应用防火墙（独享版）”。 步骤 4 在左侧导航树中，选择“对象管理> 证书管理”，进入“证书管理”页面。 步骤 5 查看证书信息，相关参数说明如表所示。 参数名称 参数说明 名称 证书名称。 证书类型 仅支持“国际证书”。 到期时间 证书到期时间。 证书过期后，对源站的影响是覆灭性的，比主机崩溃和网站无法访问的影响还要大，且会造成WAF的防护规则不生效，建议您在证书到期前及时更新证书。 应用域名 已使用该证书的域名。域名与证书是一一对应的，同一个证书可以绑定到多个域名。 相关操作 当鼠标移到目标证书的名称后时，单击编辑按钮，您可以修改证书的名称。 说明 如果证书正在使用中，请先解除域名和证书的绑定关系，否则无法修改证书名称。 在目标证书所在行的“操作”列中，单击“查看”，您可以查看证书的证书文件和证书私钥信息。 在目标证书所在行的“操作”列中，单击“删除”，您可以删除该证书。

使用须知 在公网访问数据库实例前，您需要购买一个弹性公网IP，并将绑定数据库节点的IP地址，将IP或IP段加进安全组入方向的访问规则。 集群实例仅支持Mongos节点绑定弹性公网IP，其余规格实例均可以绑定任意节点。对于已绑定弹性公网IP的节点，需解绑后，才可重新绑定其他弹性公网IP。 绑定弹性公网IP 1. 进入TeleDB数据库控制台。 2. 在“DDS”>“实例管理”页面，选择指定的目标实例，单击实例名称，进入“基本信息”页面。 3. 在“基本信息 > 节点信息”处，单击“绑定弹性IP”。对于集群实例，选择指定mongos节点，单击操作列的“更多 > 绑定弹性IP”。 4. 在弹出框的弹性公网IP列表中，显示“未绑定”状态的弹性公网IP，选择所需绑定的弹性公网IP，单击“绑定”，提交绑定任务。如果没有可用的弹性公网IP，单击“查看弹性公网IP”，创建新的弹性公网IP。 5. 绑定弹性IP后，查看节点信息的“IPV4”列，可查看绑定成功的弹性公网IP。 解绑弹性公网IP 1. 进入TeleDB数据库控制台。 2. 在“DDS”>“实例管理”页面，选择指定的目标实例，单击实例名称，进入“基本信息”页面。 3. 在“基本信息 > 节点信息”处，单击“绑定弹性IP”。对于集群实例，选择指定mongos节点，单击操作列的“更多 > 解绑弹性IP”。 4. 在弹出框中，单击“解绑”，解绑弹性公网IP。

94 [管理平台]DRDS实例支持热变配（升降配），即变更DRDS实例的CPU和内存后无需重启该DRDS实例，确保服务可用性。详见 规格变更。 93 [Giserver]新增GiServr exporter监控采集功能，用于天翼云数据库生命周期管理平台（DCP）监控GiServer节点状态信息。 体验改进 213 [DBProxy]SQL语句中TruncateStatement命令支持异步执行，不再需要等待数据库操作完成即可继续执行后续的命令，提高命令执行效率。 203 新增开发指南，并合入原用户指南中的SQL指南内容。 196 优化执行DDL语句创建表的策略，提升至最多支持批量创建10000张表。详见：库表管理。 180 [管理平台]优化前序版本引入的连续创建多个Schema需要多次刷新页面后新建的操作体验。 175 优化DRDS实例所在宿主机安全组和防火墙策略，该优化对公有云租户端不可见。 167 例行调整配置文件加密密钥，满足等保3级或以上密码策略要求，该调整对公有云租户端不可见。 166 优化购买DBProxy实例的单可用区节点策略，提升至最多配置6个节点。详见：步骤一：购买DRDS实例。

本节介绍如何添加域名监控。 域名监控可帮助监测多个站点的HTTPS业务状态，并及时发现站点上的SSL证书安全问题，方便统一维护多站点HTTPS。 说明 每个用户免费拥有1个域名监控配额，您可以通过该配额体验域名监控服务。 若需要持续监控多个域名，您可以购买更多配额，具体操作请参见购买域名监控服务。 操作步骤 1. 登录证书管理服务控制台。 2. 在左侧导航栏选择“SSL证书管理 > 域名监控服务”。 3. 在域名列表上方，单击“添加域名”。 4. 在右侧弹出的“添加域名”窗口中根据提示配置参数。 参数说明如下： 参数 说明 当前可监控 显示当前剩余监控域名数量。如果配额不足，单击“前往扩容”可进行购买。 域名/IP 填写需要被监控的域名或IP地址。单次只能输入一个域名或IP。 注意 添加域名后，域名或IP地址不支持修改，请确保配置的域名或IP地址正确且有效。 端口 端口号，默认为443。 开启监控 添加域名时，监控开关默认开启。开启监控后，将对域名所使用证书的状态和有效期进行持续监控。 5. 配置完成后，单击“确定”。 添加完成后，将立即对域名进行扫描，“状态”为“扫描中”。添加域名后有效期为365天，“监控剩余天数”从添加域名成功后开始计时。

该任务用于指导用户完成实例服务器初始化及实例开通。 前提条件 每台实际主机均已进行环境初始化。 操作步骤 步骤1：登录管理控制台 1. 以admin用户名和密码登录控制台。登录地址： 。 2. 进入TeleDBDCP控制台管理页面，单击立即使用。 步骤2：创建实例 1. 在左侧导航树选择系统管理> 授权管理 ，进入授权管理页面。 2. 单击导入授权 ，出现新增/更新授权对话框 。 3. 在新增/更新授权 对话框，单击立即上传 ，在弹出的窗口选择license文件，单击下一步 ，进入导入分类模式。 4. 在产品名称 下拉框选择对应的产品，单击下一步，进入license详情页面。 5. 在license详情页面，确认信息无误后，单击确定 ，完成license导入。 步骤3：创建开通实例租户用户 1. 在左侧导航树中选择安全中心> 用户管理，进入用户管理页面。 2. 单击创建用户 ，出现创建用户弹框，然后填写 用户账号 、 用户名称 、选择用户角色 为 租户管理员 、填写 用户密码 、 确认密码 和 邮箱 ，单击确定新创建的用户将出现在用户列表中。 3. 单击新建用户所在行的编辑，可修改用户信息。

如果您需要对您所拥有的LTS（Log Tank Service）进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织，在您给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用LTS资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将LTS资源委托给更专业、高效的其他或者云服务，这些账号或者云服务可以根据权限进行代运维。 如果已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用LTS服务的其它功能。 本章节为您介绍对用户授权的方法。 前提条件 给用户组授权之前，请您了解用户组可以添加的LTS权限，并结合实际需求进行选择LTS支持的系统权限。 示例流程 1. 登录统一身份认证服务IAM控制台。在IAM控制台创建用户组，并授予云日志服务操作权限“LTS FullAccess”。 说明 选择“LTS FullAccess”，由于该策略有依赖，除了勾选LTS FullAccess外，还需要在同项目中勾选依赖的策略：Tenant Guest、以及“全局区域 对象存储服务项目”中勾选依赖的策略：Tenant Administrator。 2. 在IAM控制台创建用户，并将其加入[步骤1]中创建的用户组。 3. 使用新创建的用户登录控制台，切换至授权区域，验证权限。

参数名 说明 取值样例 名称 连接的名称，根据连接的数据源类型，用户可自定义便于记忆、区分的连接名。 dlilink 访问标识(AK) 密钥(SK) 访问DLI数据库时鉴权所需的AK和SK。 您需要先创建当前账号的访问密钥，并获得对应的AK和SK。 1. 登录控制台，在用户名下拉列表中选择“我的凭证”。 2. 进入“我的凭证”页面，选择“访问密钥>新增访问密钥”，如下图所示：单击新增访问密钥 3.单击“确定”，根据浏览器提示，保存密钥文件。密钥文件会直接保存到浏览器默认的下载文件夹中。打开名称为“credentials.csv”的文件，即可查看访问密钥（Access Key Id和Secret Access Key）。 说明 每个用户仅允许新增两个访问密钥。 为保证访问密钥的安全，访问密钥仅在初次生成时自动下载，后续不可再次通过管理控制台界面获取。请在生成后妥善保管。 项目ID DLI服务所在区域的项目ID。 项目ID表示租户的资源，帐号ID对应当前帐号。用户可在对应页面下查看不同Region对应的项目ID和帐号ID。 1. 注册并登录管理控制台。 2. 在用户名的下拉列表中单击“我的凭证”。 3. 在“我的凭证”页面，查看帐号名和帐号ID，在项目列表中查看项目ID。

IPsec VPN适用连接典型组网结构有哪些？ VPN是打通的点到点的网络，实现两点之间的私网互访，不能打通点到端的网络。 适用典型场景： 天翼云不同节点之间创建VPN，实现跨节点的VPC间网络互访 天翼云与友商云创建VPN，如与阿里云的VPC间网络互访 天翼云与客户IDC机房打通VPN，实现线上VPC与线下的IDC网络互访 不适用的典型场景： 天翼云相同节点的两个VPC不可以使用VPN，推荐使用对等连接打通 天翼云不可与家庭PPPoE拨号网络建立VPN连接 天翼云不可与4G/5G路由器建立VPN连接 天翼云不可与个人终端建立VPN连接 VPN配置下发后，多久能够生效？ 用户在管理控制台中完成VPN资源创建后，配置15分钟下发完成，下发后立即生效。 说明 VPN配置下发成功后，并不表示VPN连接已经建立成功，用户还需要对用户侧网关设备进行配置，完成与天翼云VPN网关的隧道协商。 如何在已创建的VPN连接中，限定特定的主机访问云上子网？ 云下限制： VPN设备的按照策略中限制访问 路由器或交换机上设置ACL限制 云上限制： 安全组限制源IP ACL限制 说明 所有的限定规则需要添加在建立VPN隧道之前的设备上。不建议通过修改本端子网和远端子网的方式来限定访问。

本文介绍如何通过独享型接入方式将网站接入WAF进行防护。 使用独享型接入方式接入WAF前，需要先添加防护对象。 前提条件 已购买WAF独享型实例，且当前实例支持接入的防护对象数量未超过限制。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 进入到云WAF控制台，在左侧导航栏选择“接入管理”，选择“独享型接入”页签。 5. 点击“添加防护对象”进入信息配置页，依次配置“防护对象”、“服务器配置”、“代理情况”、“负载均衡策略”等信息。 配置项说明如下： 配置项 说明 选择实例 单击“选择实例”，在弹出的选择实例对话框中，找到目标实例，单击操作列的“选择”。 防护对象 填写防护网站的域名或IP。 域名：支持添加精确域名和泛域名。 精确域名：支持多级别精确域名，例如主域名ctyun.cn、子域名www.ctyun.cn等。 泛域名：支持使用泛域名格式，例如.ctyun.cn可以匹配www.ctyun.cn、test.ctyun.cn。 说明 使用泛域名后，WAF将自动匹配该泛域名对应的所有子域名，例如，.ctyun.cn能够匹配www.ctyun.cn、test.ctyun.cn等。 泛域名不支持匹配对应的主域名，例如.ctyun.cn不能匹配ctyun.cn。 如果同时存在精确域名和泛域名，则精确域名的转发规则和防护策略优先生效。 IP：支持防护公网IP、私网IP。 当填写公网IP时，指客户端访问业务系统直接指向的弹性IP（该弹性IP可能绑定在防火墙或WAF上）。 当填写私网IP时（用于内网访问防护场景），填写内网客户端访问的内网IP（因内网访问情况下，WAF代理业务系统，此处需填写WAF代理业务系统的IP而非业务系统本身的IP，即WAF业务网卡的VIP，业务系统内网IP填写在回源IP处）。 说明 采用内部IP代理场景下，因直接通过IP访问，WAF监听对象为WAF本身的IP，为了区分不同的业务，后端多业务不能采用相同端口，例如后端两个不同的业务不能同时采用80端口，否则WAF无法判断业务需要回源到哪个端口，会导致防护无法生效；若内部WAF采用域名进行区分则可配置相同端口。 防护对象名称 自定义防护网站的显示名称。 服务器配置 单击“添加一个服务器端口组”，弹出新增服务器端口组窗口。 选择网站使用的协议类型以及对应的转发服务端口： 协议类型：HTTP/HTTPS。 端口：选中协议后，系统会对应设置默认端口，HTTP协议默认为80端口，HTTPS协议默认为443端口。 用户也可自定义选择其他端口，可选类型： 标准端口：80、8080；443、8443。 非标端口：除以上标准端口以外的端口。 说明 如果防护域名使用非标准端口，请查看WAF支持的端口。 WAF通过此处添加的端口为网站提供流量的接入与转发服务，网站域名的业务流量只通过已添加的服务端口进行转发。对于未添加的端口，WAF不会转发任何该端口的访问请求流量到源站服务器，因此这些端口的启用不会对源站服务器造成任何安全威胁。 源站地址：设置网站的源站服务器地址，支持IP地址格式和域名格式。完成接入后，WAF将过滤后的访问请求转发到此处设置的服务器地址。设置说明如下： IP地址格式：填写源站的私网IP地址。 最多支持添加40个源站IP或服务器域名。 支持同时配置IPv4和IPv6地址。 说明 如果此处配置私网IP，请确保WAF到源站的网络路径是可访问的，以便于WAF能够对流量进行监控。 域名格式：一般对应该域名在DNS服务商处配置的CNAME。使用域名格式时， WAF会将客户端请求转发到回源域名解析出来的IP地址。 权重：当负载均衡算法为“加权轮询”时生效，所有请求将此处配置的权重轮流分配给源站服务器，权重越大，回源到该源站的几率越高。 不输入则视同为最低权重1。 当输入值为0时，业务不会回源到该站点。 取值范围：0~100的正整数。 说明 当健康检查发现站点出现问题时，剩余站点将按照剩余配置权重进行动态比例变化后的结果进行回源转发，节点回源请求比例节点权重/所有权重之和。 若回源列表中所有源站健康检查均失败了，为保障业务默认通路WAF将会强制回源至回源列表中顺序为第一个的站点。 若设置多个权重为0的节点，仅会回源至列表上第一个权重为0的节点。 所有站点全部健康检查失败，会强制回配置列表第一个节点。 证书配置 若选择HTTPS协议，还需要上传证书，且证书必须正确、有效，才能保证WAF正常防护网站的HTTPS协议访问请求。 1. 点击“上传证书”，进入服务器端证书配置页面。 2. 选择证书类型，支持“通用证书”和“国密证书”。 3. 配置证书。支持证书选择、手动填写、文件上传方式： 证书选择：如您使用了证书管理服务，可通过下拉框选择已有证书。 手动填写：填写证书名称，并将与域名关联的证书文件和私钥文件的文本内容的PEM编码分别复制粘贴到证书文件和证书私钥中。 文件上传：填写证书名称，点击“上传”，将与域名关联的证书文件和私钥文件上传至平台中。 说明 手动填写需要将证书和私钥的PEM编码内容填入。 上传证书时，如果证书是.PEM/.CER/.CRT的后缀，可以直接上传；私钥文件若为.KEY/.PEM的后缀，请确保内容格式为PME编码，即可上传。 高级设置 > HTTP强制跳转 选择HTTPS后，还支持启用HTTP强制跳转功能。 HTTPS强制跳转表示将客户端的HTTP请求强制转换为HTTPS请求，默认跳转到443端口。 如果您需要强制客户端使用HTTPS请求访问网站以提高安全性，则开启该设置。 说明 只有在未选中HTTP协议时，支持开启该设置。 请确保网站支持HTTPS业务再开启该设置。开启该设置后，部分浏览器将被强制设置为使用HTTPS请求访问网站。 高级设置 > TLS协议版本和加密套件 选择证书后，需要配置TLS协议版本和加密套件。WAF默认配置的TLS协议版本为“TLS1.0及以上版本”，加密套件为“全部加密套件”。 TLS协议版本 配置说明如下，为了确保网站安全，请根据业务实际需求进行配置： 支持TLS1.0及以上版本：所有的TLS协议都可以访问网站，兼容性最高，适用于网站无安全性要求的场景。 支持TLS1.1及以上版本：WAF将自动拦截TLS1.0协议的访问请求，适用于网站安全性能要求一般的场景。 支持TLS1.2及以上版本：WAF将自动拦截TLS1.0和TLS1.1协议的访问请求，适用于网站安全性能要求很高的场景。 自定义加密协议：WAF只允许所选TLS协议访问网站。 加密套件 配置说明： 全部加密套件：兼容性较高，安全性较低。 协议版本的自定义加密套件：请谨慎选择，避免影响业务。 WAF支持的加密套件及TLS协议版本详细信息请参见WAF支持的加密套件。 高级设置 > SSL解析方式 选择HTTPS后，支持配置SSL解析方式。支持“单向认证”和“双向认证”。 说明 国密证书暂不支持双向认证。 健康检查 开启健康检查将自动移除对失效源站的转发策略，当失效源站恢复健康后将重新加入转发列表。 开启后，还需配置健康检查策略。 代理情况 选择网站业务在接入WAF前是否开启了其他代理服务（例如DDoS高防、CDN等），按实际情况选择： 否：表示WAF收到的业务请求来自发起请求的客户端。WAF直接获取与WAF建立连接的IP作为客户端IP。 是：表示WAF收到的业务请求来自其他代理服务转发，而非直接来自发起请求的客户端。 为了保证WAF可以获取真实的客户端IP进行安全分析，需要进一步设置“源IP获取方式”。 源IP获取方式：系统默认设置为“从Socket连接中获取”，您也可按实际情况，创建一个有序的判定列表，系统将从列表的第一项开始查找，若不存在或者是非法的IP格式，则尝试下一条。 其中检测末项固定为“从Socket连接中获取”。获取方式列表最多可添加5条规则，可选项如下： 从Socket连接中获取 从XFowardedFor连接中获取倒数第x层代理 从HTTP头“XClientIP”中获取 负载均衡策略 当设置了多个源站服务器地址时，需设置多源站服务器间的负载均衡算法。可选项如下： 轮询：将所有请求轮流分配给不同的源站服务器。 IP Hash：将来自同一个IP的请求定向分配给同一个源站服务器。 加权轮询：根据同一组回源地址内配置的权重进行加权回源，权重越大，回源到该源站的几率越高。 设置生效后，WAF将根据设置的负载均衡算法向多个源站地址分发回源请求，实现负载均衡。 流量标记 开启流量标记功能，WAF在转发客户端请求到源站服务器时，通过在回源请求头部添加标记字段，标记该请求经过WAF转发，可以帮助源站判断请求来源。 如果请求中存在指定标记字段，则为WAF检测后的正常请求，放行该请求；如果请求中不存在指定标记字段，则为攻击者请求，拦截该请求。 单击“添加一个标记”，添加流量标记。最多支持添加5个标记字段。 支持如下标记类型： 自定义请求Header，配置自定义Header名、Header值。 客户端真实IP，配置客户端真实IP所在的HTTP Header名。 客户端真实源端口，配置客户端真实源端口所在的HTTP Header名。 注意 请勿填写标准的HTTP头部字段，否则会导致标准头部字段内容被自定义的字段值覆盖。 回源长连接 功能开启后，支持回源长连接功能，WAF独享版最大支持50000个回源长连接。 开启“回源长连接”后，还需配置“空闲连接超时时间”，默认值为10秒，最多支持60秒。 功能关闭后，将不支持WebSocket。 说明 当针对源站健康检查失败时，WAF会主动将失效的源站剔除回源列表，并将请求按照剩余站点权重比例/轮询转发至剩余健康站点，直至该源站恢复健康。 若回源列表中所有源站健康检查均失败了，为保障业务默认通路WAF将会强制回源至回源列表中顺序为第一个的站点。 源站响应超时切换时间公式：（检查间隔 + 响应超时时间） × 请求失败失效阈值。 源站恢复切换时间公式：（检查间隔 + 响应超时时间） × 失效后恢复健康阈值。 超时配置 开启超时配置，可以配置如下超时时间： 连接超时时间：WAF转发客户端请求时，与源站建立连接的超时时间。 读连接超时时间：WAF等待源站响应的超时时间。 写连接超时时间：WAF向源站发送请求的超时时间。 以上默认值均为60秒，最短支持10秒，最长支持1200秒。 备注 防护对象的描述信息，可以自定义。 6. 配置完成后单击“保存”，返回独享型接入页面。该网站的WAF防护开关默认开启。

本章节介绍对RDS创建的云数据库进行相关操作的授权。 假如您已经完成数据库资产委托授权，并开通了天翼云关系型数据库（RDS），且已在RDS里创建了数据库，可参考本章节操作，具体如下： 进行授权“只读权限”：只能使用敏感数据识别功能。 进行授权“读写权限”：可使用敏感数据识别和数据脱敏功能。 说明 DSC暂不支持对RDS中已开启SSL的MySQL数据库进行扫描和脱敏。 前提条件 已完成数据库资产委托授权，参考云资源委托授权/停止授权操作。 已开通RDS服务，且RDS中已有资产，且对应子网下含有可用的IP配额。 RDS实例的“状态”为“正常”。 操作步骤 1. 登录管理控制台。 2. 单击左上角的，选择区域或项目。 3. 在左侧导航树中，单击，选择“安全与合规 >数据安全中心”，进入数据安全中心总览界面。 4. 在左侧导航树中选择“资产列表”，并选择“数据库 > 未授权”，进入未授权数据库资产列表页面。 5. 在需要授权的数据库资产所在行的“操作”列，单击“授权”。 说明 如果只需要授权数据库实例下的某个数据库，单击数据库实例前的向下按钮，展开实例列表，单击数据库所在行的操作列的“授权”即可。 6. 在弹出的“数据库批量授权”对话框中，参考下表配置数据库参数。 参数名称 参数说明 权限设置 只读权限：只能用于敏感数据识别。 注意 创建了RDS只读权限后，DSC服务会在RDS创建一个dscreadonly帐户。 dscreadonly帐户的密码在RDS重置后，将不会自动同步到DSC服务，会导致敏感数据识别任务失败，因此，建议您不要重置该帐户密码。 如果您已在RDS里重置了dscreadonly帐户的密码，建议您在DSC服务里先删除已授权的rds实例，再重新对该实例进行权限设置。 读写权限：可使用敏感数据识别和数据脱敏功能。 资产列表 “权限设置”选择“只读权限”时，可修改需要授权的“资产名称”。 “权限设置”选择“读写权限”时，可修改需要授权的“资产名称”，必需配置访问该数据库的“用户名”和“密码”。 7. 单击“确定”，数据库添加完成，并展示在已授权的数据库列表中。 数据库添加完成后，该数据库的“连通性”为“检查中”，此时，DSC会测试数据库的连通性。 DSC能正常访问已添加的数据库，该数据库的“连通性”状态为“成功”。 若DSC不能正常访问已添加的数据库，该数据库的“连通性”状态为“失败”。单击“原因”查看失败的原因或者参照如何排查添加数据库连通性失败？解决。

方法二：开通安全防护功能 CDN加速作为帮助用户加速获取资源文件的产品，其主要功能在于缓存加速，如果客户的业务存在潜在的被恶意访问风险，需要防止流量盗刷，配置高级频率控制和其他安全类防护，建议叠加开通Web应用防火墙（边缘云版），详情请见：Web应用防火墙（边缘云版）。 注意 针对同一个域名，天翼云CDN加速支持叠加Web应用防火墙（边缘云版）产品，无需做域名的迁移，但域名需先在CDN控制台添加完成后再在Web应用防火墙（边缘云版）控制台上新增。具体操作指南实例，详情请见：CDN叠加Web应用防火墙（边缘云版）。 方法三：开启带宽控制功能 天翼云CDN加速支持带宽控制功能，该功能可以控制带宽总用量，从而避免因带宽突发带来更多的费用。如果客户需要对使用天翼云CDN加速的域名带宽做限速，可通过提交工单或拨打4008109889热线电话联系天翼云客服进行咨询。相关功能介绍，详情请见：带宽控制。 方法四：开启访问控制功能 天翼云CDN加速控制台支持自助配置访问控制功能，您可以针对域名访问特性进行配置，从而避免产生不必要的流量消耗。 访问控制功能 说明 Referer防盗链 Referer防盗链是基于HTTP请求头中Referer字段来设置访问控制规则，实现对用户来源的识别和过滤，防止网站资源被非法盗用。 IP黑白名单 客户端IP是客户端与CDN节点建立连接时所使用的IP，通过识别客户端IP来过滤用户请求，拦截特定IP的访问或者允许特定IP的访问，可以用来解决恶意IP盗刷、攻击等问题。 UA黑白名单 UserAgent（简称UA）是HTTP请求头的一部分，可体现用户使用的终端标识。通过识别HTTP请求头中的UA字段，可以识别特定终端，从而限制用户行为，拦截或允许某一类用户的访问，实现防盗链、防盗刷、防攻击的目的。 URL黑白名单 URL黑白名单是网络安全管理中的一种重要机制，主要用于控制用户对特定资源的访问权限。 URL鉴权配置 为了防止站点资源被恶意下载或者非法盗用，避免产生不必要的带宽浪费，可配置URL鉴权功能。配置URL鉴权后，CDN会对加密串及时间戳进行校验，从而有效地保护用户站点资源。 单请求限速 单请求限速功能可以限制CDN节点响应给用户的下行速率，从而减少域名的整体带宽，节省成本。

本节主要介绍密钥。 点击“访问控制”>“安全凭证”，可以查看账户详细信息和密钥、对密钥进行操作。账户详细信息包括：用户ID、创建时间、用户类型、密钥。 可以对密钥进行下列操作： 创建密钥：点击“创建密钥”，可以创建新的密钥。 启用密钥：勾选目标密钥，点击“启用”，可以启用选中的密钥。或者点击处于禁用状态密钥“操作”列的“启用”按钮，启用该密钥。 禁用密钥：勾选目标密钥，点击“禁用”，可以禁用选中的密钥。或者点击处于启用状态密钥“操作”列的“禁用”按钮，禁用该密钥。 删除密钥：勾选目标密钥，点击“删除”，可以删除选中的密钥。或者点击密钥“操作”列的“删除”按钮，删除该密钥。 注意 一个用户最多拥有2个访问密钥，如果将密钥全部删除，则该用户不能使用删除的AK/SK进行签名。 如果用户的密钥丢失，可以对原密钥进行删除，然后通过“创建密钥”的方式获取新的密钥，并下载密钥凭证。密钥只能下载一次，关闭弹窗后无法再次看到私有访问密钥的信息。 项目 描述 AccessKeyID 密钥ID。点击编辑按钮，可以对密钥ID进行复制。 SecretAccessKey 密钥值，点击查看按钮，可以查看密钥值的明文形式。 说明 在IAM上线之前创建的密钥才有此项。 创建时间 密钥创建时间。 无：表示该密钥是在IAM功能上线前创建的。 最后使用时间 密钥最后一次使用的时间。 密钥类型 主密钥。 普通密钥。 说明 在IAM上线之前创建的密钥才有此项。 状态 密钥启用状态： 启用。 禁用。 超期标记 密钥创建时间超过90天后，会有超期标记。建议及时删除超期密钥，并创建新的密钥。 ：表示未超期。 操作 可以对密钥进行操作： 启用。 禁用。 删除。

接口功能介绍 调用本接口查询所有的运营商信息。 使用说明 单个用户一分钟限制调用10000次，并发不超过100。 接口详情 请求方式：get 请求路径：/auxiliarytools/queryisplist 请求参数 无 响应参数 参数 类型 说明 ::: code int 状态码 message string 描述信息 result list 返回结果数组 result[].ispid int 运营商ID result[].ispcode int 运营商编码 result[].ispcnname string 运营商中文名称 result[].ispenname string 运营商英文名称 result[].ispabbr string 运营商缩写 示例 请求路径： 请求示例 正常响应示例 { "code": 100000, "message": "success", "result": [ { "ispid": 10000, "ispabbr": "CTC", "ispcode": 1, "ispenname": "DianXin", "ispcnname": "中国电信" }, { "ispid": 10001, "ispabbr": "CUC", "ispcode": 2, "ispenname": "LianTong", "ispcnname": "中国联通" }, { "ispid": 10002, "ispabbr": "CMC", "ispcode": 3, "ispenname": "YiDong", "ispcnname": "中国移动" }, { "ispid": 10003, "ispabbr": "CRC", "ispcode": 4, "ispenname": "TieTong", "ispcnname": "中国铁通" }, { "ispid": 10004, "ispabbr": "EDU", "ispcode": 5, "ispenname": "JiaoYuWang", "ispcnname": "教育网" }, { "ispid": 10005, "ispabbr": "PBS", "ispcode": 6, "ispenname": "PengBoShi", "ispcnname": "鹏博士" }, { "ispid": 10006, "ispabbr": "other", "ispcode": 100, "ispenname": "other", "ispcnname": "其他" }, { "ispid": 10007, "ispabbr": "DX", "ispcode": 7, "ispenname": "DuoXian", "ispcnname": "多线" }, { "ispid": 10008, "ispabbr": "BGP", "ispcode": 8, "ispenname": "BGP", "ispcnname": "BGP" }, { "ispid": 10009, "ispabbr": "gwbn", "ispcode": 9, "ispenname": "GreatWallBroadbandNetwork", "ispcnname": "长城宽带" }, { "ispid": 10010, "ispabbr": "cbn", "ispcode": 10, "ispenname": "ChinaBroadcastNetwork", "ispcnname": "广电网络" } ] }

本文简述如何配置源站信息。 功能介绍 源站配置模块支持客户自定义源站。支持IP或域名，支持配置天翼云媒体存储和天翼云对象存储作为源站；支持配置多个源站地址，多源站场景下，支持设置源站的主备优先级和权重，实现负载均衡。 回源场景 功能简介 配置入口 多层级主备及权重回源 客户有多个源站时，支持多主多备，及按不同权重回源。 客户控制台域名管理域名列表回源配置源站配置。 动态回源策略 如果您的加速域名有多个源站，可以配置合适的回源策略来实现不同的效果。动态回源策略支持择优回源、按权重回源、保持登录三种回源方式。 详见：动态回源策略 区分地区、运营商回源 支持分地区、运营商回源。 通过提交工单，由天翼云客服人工配置。 区分IPv4/IPv6协议回源 支持分IPv4/IPv6协议回源。 通过提交工单，由天翼云客服人工配置。 注意事项 一个加速域名最多配置60个源站。 配置说明 1.登录边缘安全加速控制台。 2.在域名基础配置页面，点击目标域名。 3.进入源站设置页面，单击“编辑配置” 4.点击“添加源站”，输入源站地址，在“层级”下拉框中选择“主或备”，即可添加源站。 5.如需对已经添加的源站信息进行修改，可直接在配置项中进行修改。 6.也可以点击对应源站后面的“删除”键删除对应源站。

本章节为您介绍风险监测的相关内容。 您在数据源管理页面新增数据源后，将自动生成同名的风险检测任务。风险检测主要针对包含数据库的数据源中的漏洞风险、配置基线风险、弱口令风险以及敏感数据。 风险监测结果概况 可视化报表 可视化图表直观展示了数据源中存在的漏洞、配置基线、弱口令风险数，并分别指出风险数最多的前5项数据源。点击数据源名称，可以跳转至对应的风险检测详情界面。 风险数量统计基于所有已完成风险扫描任务的数据源，不包括扫描失败的任务。当未成功扫描到特定类型的风险时，对应图表区域显示“暂无数据”。 报表导出 1.登录数据分类分级实例。 2.在左侧导航栏选择“安全评估 > 风险监测”，进入“风险监测”页面。 3.单击页面右上角的“导出”即可导出报表。 风险监测任务管理 新增数据源后，本页面将自动生成同名的风险检测任务。 当数据源被删除时，对应的风险检测任务也将自动删除。 风险监测任务列表 任务列表的展示字段包括：任务名称、数据源名称、数据源主机、风险评分、风险数、状态、更新时间。 风险评分：指在对数据源进行扫描后，基于漏洞风险、基线风险、弱口令以及数据源的分类分级结果综合计算后得出的分数；数据源的分类分级结果会影响其风险评分，具体来说，分类分级后，数据源中的敏感表、敏感字段越多，其风险评分就越高； 风险数：漏洞、基线、弱口令等三类漏洞的数量； 状态：分为已完成、扫描中、失败、待扫描。 列表默认按照风险评分降序排序，您可以单击表头的“风险评分”和“更新时间”，使表格切换为按该列降序或升序排序。

体检通知信息管理说明，包括添加、删除、刷新等功能。 每次安全体检任务结束后，将自动生成体检报告，如您已经在体检列表内配置通知信息，报告生成后，将自动发送至通知人邮箱内。因报告数据汇总及报告渲染原因，体检结束至报告发送至邮箱，可能会有一定延迟，请您耐心等待报告发送。 添加通知信息 点击通知列表右侧“添加”按钮，打开“添加通知”对话框，并输入姓名、邮箱、分组信息，点击“确定”，即可完成添加。 说明 支持在选择分组处新建分组。 分组支持选择当前已有分组，直接输入代表新建分组，您可以根据实际业务情况，创建不同部门分组，实现体检报告快速分发至相关责任人员。 添加分组 添加通知信息时，您可以直接输入分组名称，并选择下方弹出的分组名称，如当前分组已存在，则自动加入已有分组，如当前分组不存在，选择并点击确定后，将自动新建分组。 刷新分组 如果您添加通知信息后，通知列表内没有正确显示，请您点击右上角“刷新”按钮，手动刷新数据。 删除通知信息 您可以通过点击通知列表右侧“删除”图标，删除已经添加的通知人员信息及分组信息，删除后数据无法恢复，请您谨慎操作。 如点击单个通知信息的删除图标，信息将自动删除，如删除后分组内无其他通知人员信息，则此分组自动删除。 点击分组删除按钮时，系统将弹窗再次确认是否删除，点击确定后，此分组及分组下的所有通知信息都将被删除。

本文向您介绍通过企业版VPN实现数据中心和VPC互通第五步：配置对端网关设备。 操作步骤 说明 本示例对端网关以华为AR路由器为例。 1. 登录AR路由器配置界面。 2. 进入系统视图。 shell systemview 3. 配置公网接口的IP地址。本示例假设AR路由器GigabitEthernet 0/0/8为公网接口。 shell [AR651]interface GigabitEthernet 0/0/8 [AR651GigabitEthernet0/0/8]ip address 22.xx.xx.22 255.255.255.0 [AR651GigabitEthernet0/0/8]quit 4. 配置默认路由。 shell [AR651]ip routestatic 0.0.0.0 0.0.0.0 22.xx.xx.1 其中，22.xx.xx.1为AR路由器公网IP的网关地址，请根据实际替换。 5. 开启SHA2算法兼容RFC标准算法功能。 shell [AR651]IPsec authentication sha2 compatible enable 6. 配置IPsec安全提议。 shell [AR651]IPsec proposal hwproposal1 [AR651IPsecproposalhwproposal1]esp authenticationalgorithm sha2256 [AR651IPsecproposalhwproposal1]esp encryptionalgorithm aes128 [AR651IPsecproposalhwproposal1]quit 7. 配置IKE安全提议。 shell [AR651]ike proposal 2 [AR651ikeproposal2]encryptionalgorithm aes128 [AR651ikeproposal2]dh group14 [AR651ikeproposal2]authenticationalgorithm sha2256 [AR651ikeproposal2]authenticationmethod preshare [AR651ikeproposal2]integrityalgorithm hmacsha2256 [AR651ikeproposal2]prf hmacsha2256 [AR651ikeproposal2]quit 8. 配置IKE对等体。 shell [AR651]ike peer hwpeer1 [AR651ikepeerhwpeer1]undo version 1 [AR651ikepeerhwpeer1]presharedkey cipher Test@123 [AR651ikepeerhwpeer1]ikeproposal 2 [AR651ikepeerhwpeer1]localaddress 22.xx.xx.22 [AR651ikepeerhwpeer1]remoteaddress 11.xx.xx.11 [AR651ikepeerhwpeer1]rsa encryptionpadding oaep [AR651ikepeerhwpeer1]rsa signaturepadding pss [AR651ikepeerhwpeer1]ikev2 authentication signhash sha2256 [AR651ikepeerhwpeer1]quit [AR651]ike peer hwpeer2 [AR651ikepeerhwpeer2]undo version 1 [AR651ikepeerhwpeer2]presharedkey cipher Test@123 [AR651ikepeerhwpeer2]ikeproposal 2 [AR651ikepeerhwpeer2]localaddress 22.xx.xx.22 [AR651ikepeerhwpeer2]remoteaddress 11.xx.xx.12 [AR651ikepeerhwpeer2]rsa encryptionpadding oaep [AR651ikepeerhwpeer2]rsa signaturepadding pss [AR651ikepeerhwpeer2]ikev2 authentication signhash sha2256 [AR651ikepeerhwpeer2]quit 相关命令说明如下： presharedkey cipher：预共享密钥，需要和VPN连接配置的预共享密钥保持一致。 localaddress：AR路由器的公网地址。 remoteaddress：VPN网关的主EIP/主EIP2。 9. 配置IPsec安全框架。 shell [AR651]IPsec profile hwpro1 [AR651IPsecprofilehwpro1]ikepeer hwpeer1 [AR651IPsecprofilehwpro1]proposal hwproposal1 [AR651IPsecprofilehwpro1]pfs dhgroup14 [AR651IPsecprofilehwpro1]quit [AR651]IPsec profile hwpro2 [AR651IPsecprofilehwpro2]ikepeer hwpeer2 [AR651IPsecprofilehwpro2]proposal hwproposal1 [AR651IPsecprofilehwpro2]pfs dhgroup14 [AR651IPsecprofilehwpro2]quit 10. 配置虚拟隧道接口。 shell [AR651]interface Tunnel0/0/1 [AR651Tunnel0/0/1]mtu 1400 [AR651Tunnel0/0/1]ip address 169.254.70.1 255.255.255.252 [AR651Tunnel0/0/1]tunnelprotocol IPsec [AR651Tunnel0/0/1]source 22.xx.xx.22 [AR651Tunnel0/0/1]destination 11.xx.xx.11 [AR651Tunnel0/0/1]IPsec profile hwpro1 [AR651Tunnel0/0/1]quit [AR651]interface Tunnel0/0/2 [AR651Tunnel0/0/2]mtu 1400 [AR651Tunnel0/0/2]ip address 169.254.71.1 255.255.255.252 [AR651Tunnel0/0/2]tunnelprotocol IPsec [AR651Tunnel0/0/2]source 22.xx.xx.22 [AR651Tunnel0/0/2]destination 11.xx.xx.12 [AR651Tunnel0/0/2]IPsec profile hwpro2 [AR651Tunnel0/0/2]quit 相关命令说明如下： interface Tunnel0/0/1、interface Tunnel0/0/2：两条VPN连接对应的Tunnel隧道。 本示例中，Tunnel0/0/1对应VPN网关主EIP所在的VPN连接；Tunnel0/0/2对应VPN网关主EIP2所在的VPN连接。 ip address：AR路由器的Tunnel接口地址。 source：AR路由器的公网地址。 destination：VPN网关的主EIP/主EIP2。 11. 配置NQA。 shell [AR651]nqa testinstance IPsecnqa1 IPsecnqa1 [AR651nqaIPsecnqa1IPsecnqa1]testtype icmp [AR651nqaIPsecnqa1IPsecnqa1]destinationaddress ipv4 169.254.70.2 [AR651nqaIPsecnqa1IPsecnqa1]sourceaddress ipv4 169.254.70.1 [AR651nqaIPsecnqa1IPsecnqa1]frequency 15 [AR651nqaIPsecnqa1IPsecnqa1]ttl 255 [AR651nqaIPsecnqa1IPsecnqa1]start now [AR651nqaIPsecnqa1IPsecnqa1]quit [AR651]nqa testinstance IPsecnqa2 IPsecnqa2 [AR651nqaIPsecnqa2IPsecnqa2]testtype icmp [AR651nqaIPsecnqa2IPsecnqa2]destinationaddress ipv4 169.254.71.2 [AR651nqaIPsecnqa2IPsecnqa2]sourceaddress ipv4 169.254.71.1 [AR651nqaIPsecnqa2IPsecnqa2]frequency 15 [AR651nqaIPsecnqa2IPsecnqa2]ttl 255 [AR651nqaIPsecnqa2IPsecnqa2]start now [AR651nqaIPsecnqa2IPsecnqa2]quit 相关命令说明如下： nqa testinstance IPsecnqa1 IPsecnqa1、nqa testinstance IPsecnqa2 IPsecnqa2：NQA名称。 本示例中，IPsecnqa1对应VPN网关主EIP所在的VPN连接；IPsecnqa2对应VPN网关主EIP2所在的VPN连接。 destinationaddress：VPN网关的Tunnel接口地址。 sourceaddress：AR路由器的Tunnel接口地址。 12. 配置静态路由联动NQA功能。 shell [AR651]ip routestatic 192.168.0.0 255.255.255.0 Tunnel0/0/1 track nqa IPsecnqa1 IPsecnqa1 [AR651]ip routestatic 192.168.0.0 255.255.255.0 Tunnel0/0/2 track nqa IPsecnqa2 IPsecnqa2 相关参数说明如下： 192.168.0.0：VPC的本端子网。 同一条命令中，Tunnelx 和IPsecnqax需要同属于一条VPN连接。

本文为您介绍Web基础防护模块中，自定义防护规则组的配置方式。 云WAF的防护规则引擎支持用户自定义搭建防护规则组，为具体的防护场景创建有针对性的防护策略。在设置网站防护功能时，如果默认的防护规则组不能满足您的需求，建议您自定义防护规则组。 前提条件 已开通了Web应用防火墙，且实例版本为标准版及以上版本。 已完成网站接入。具体操作，请参见添加域名。 使用限制 基础版不支持自定义防护规则组，请升级到更高版本使用。 使用流程 防护规则组应用流程如下： 1. 新建规则组：为具体防护功能创建自定义防护规则组，形成有针对性的防护策略。 2. 应用规则组：添加自定义防护规则组后，您可以为网站域名应用自定义防护规则组。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > Web应用防火墙（原生版）”。 4. 在左侧导航栏，选择“防护配置 > 对象防护配置”，进入防护配置页面。 5. 在“防护配置”页面上方的“防护对象选择”下拉框，切换到要设置的域名。 6. 在“安全防护”页签定位到“Web基础防护”模块，在防护规则组后方点击“前去配置”。 7. 进入“规则组配置”页面，可以看到当前的规则组列表。规则组列表展示了系统默认防护规则组及自定义防护规则组。 8. 在规则组列表上方，点击“新建规则组”，进入新建规则组页面，完成以下信息配置。 配置项 说明 规则组名称 设置规则组的名称。规则组名称用于标识当前规则组，建议您使用有明确含义的名称。 规则组模板 选择要应用的规则组模板。可选项： 严格规则组 中等规则组 宽松规则组 其他自定义规则组 规则组模板可以多选，系统会将所选的规则组最大集作为模板，下一步基于该集合进行规则配置。 规则组描述 输入规则组的描述信息。 规则配置 选择当前规则组要应用的防护规则。当前规则列表默认展示您所选的规则组模板集合中的所有规则，您需要从中勾选适用的规则，将不适用或者可能造成误拦截的规则取消勾选。 您可以使用筛选和搜索功能查询规则，例如通过危险等级、防护类型筛选规则，或者输入规则名称、CVE编号、规则ID搜索规则。 危险等级：表示规则防御的Web攻击的危险等级，包括高危、中危、低危。 防护类型：表示规则防御的Web攻击类型，包括SQL注入、XSS、目录穿越、Java代码执行、PHP代码执行、ASP代码执行、通用代码执行、Java反序列化、PHP反序列化、本地文件包含、远程文件包含、文件上传、CSRF、SSRF、命令注入、信息泄露、模板注入、XML实体注入、Xpath注入、LDAP注入、自定义精准攻击、未知攻击。 9. 如您暂时无需应用新建的规则组，可以在完成以上配置后，点击“保存”，完成配置向导。后续需要应用该规则组的时候再配置即可。 10. （可选）点击“下一步，应用到防护对象”将规则组应用到域名。从“待接入防护对象”列表中选择要应用当前规则组的域名，添加到“已接入防护对象”列表，单击“保存”。 注意 每个防护对象只能应用一个防护规则组。 11. 完成操作后，您可以在规则组列表中查看新建的规则组，包括规则组的更新时间以及应用域名的情况。 12. 您可以根据需要调整应用防护规则组的域名，通过点击“应用到防护对象”进行操作即可。 13. 创建规则组后，您可以在防护规则组列表中查看规则组内置规则情况，点击“内置规则数”列的数字进入规则列表。

实例概览展示分布式消息服务RabbitMQ实例详情信息,包括基本信息、统计信息、节点、端口等,并提供导出服务、元数据导入服务等功能。 场景描述 实例概览展示分布式消息服务RabbitMQ实例详情信息，包括基本信息、统计信息、节点、端口等，并提供导出服务、元数据导入服务等功能。 基本信息：展示实例订购选择的参数信息，支持安全组修改和绑定公网弹性IP。 统计信息：统计实例连接数、信道数、交换器数、队列数、消费者数等数据。 节点：列表展示实例节点信息。 端口：列表展示实例端口信息。 导出服务：下载ssl文件和broker元数据。 元数据导入服务：支持本地元数据文件Json格式导入。 操作步骤 基本信息 （1）登录天翼云，进入分布式消息服务RabbitMQ管理控制台。 （2）在实例列表页在操作列，对目标实例点击“管理”。 （3）点击“实例概览”后点击“基本信息”。 统计信息 （1）登录天翼云，进入分布式消息服务RabbitMQ管理控制台。 （2）在实例列表页在操作列，对目标实例点击“管理”。 （3）点击“实例概览”后点击“统计信息”。 节点 （1）登录天翼云，进入分布式消息服务RabbitMQ管理控制台。 （2）在实例列表页在操作列，对目标实例点击“管理”。 （3）点击“实例概览”后点击“节点”。

步骤一：开启VPC的IPv6功能 登录网络控制台，在VPC列表页，找到vpc17f2 进入vpc17f2实例详情页，点击 ； 开启IPv6后，在VPC详情页，可以看到自动分配的vpc网段（IPv6），表示VPC的IPv6功能启用成功； 步骤二：开启子网的IPv6功能 登录网络控制台，在子网列表页，找到subnet17f2，点击 ； 弹出修改子网页，在子网IPv6网段，点击 点击 开启IPv6后，在子网详情页，可以看到自动分配的子网网段（IPv6），表示子网的IPv6功能启用成功； 步骤三：开启弹性云主机的IPv6 登录计算控制台，在云主机列表页，找到ecmc553 进入主机ecmc553详情页，点击 ； 弹出框中，在主私网IPv6地址，点击 ； 点击 ，即可分配IPv6地址 分配IPv6地址后，在云主机详情页中的弹性网卡sheet页，可以查看到分配的IPv6地址（240e:982:6a3c:e000:757a:9004:a3d2:123f），表示云主机的IPv6功能启用成功 注意 请确认云主机绑定的安全组有放行此IPv6地址，且ACL规则已放行此IPv6地址。

P1型弹性云主机功能如下： 处理器与内存配比为1:8。 处理器：Intel Xeon E52690V4 2.6GHz。 支持NVIDIA Tesla P100 GPU卡，单实例最大支持4张P100显卡，如果需要使用单机8张P100显卡，可以使用物理机。 提供GPU硬件直通能力。 单精度能力9.3 TFLOPS，双精度能力4.7 TFLOPS。 最大网络带宽10Gb/s。 使用16GiB HBM2显存，显存带宽732Gb/s。 使用800GiB的NVMe SSD卡作为本地临时存储。 完整的基础能力 网络自定义，自由划分子网、设置网络访问策略；海量存储，弹性扩容，支持备份与恢复，让数据更加安全；弹性伸缩，快速增加或减少云主机数量。 灵活选择 与普通云主机一样，P1型云主机可以做到分钟级快速发放。用户可以根据业务规模灵活选择规格，后续将逐步支持1:2、1:4、1:8规格云主机的创建。 优秀的超算生态 拥有完善的超算生态环境，用户可以构建灵活弹性、高性能、高性价比的计算平台。大量的HPC应用程序和深度学习框架已经可以运行在P1实例上。 常规支持软件列表 P1型云主机主要用于计算加速场景，例如深度学习训练、推理、科学计算、分子建模、地震分析等场景。应用软件如果使用到GPU的CUDA并行计算能力，可以使用P1型云主机。常用的软件支持列表如下： Tensorflow、Caffe、PyTorch、MXNet等深度学习框架 RedShift for Autodesk 3dsMax、VRay for 3ds Max Agisoft PhotoScan MapD

P2s型弹性云主机功能如下： 处理器：第二代英特尔® 至强® 可扩展处理器 6278，主频2.6GHz，睿频3.5GHz，或英特尔® 至强® 可扩展处理器 6151, 主频3.0GHz，睿频3.4GHz。 支持NVIDIA Tesla V100 GPU卡，每台云主机支持最大8张Tesla V100显卡。 支持NVIDIA CUDA并行计算，支持常见的深度学习框架Tensorflow、Caffe、PyTorch、MXNet等。 单精度能力14 TFLOPS，双精度能力7 TFLOPS。 支持NVIDIA Tensor Core能力，深度学习混合精度运算能力达到112 TFLOPS。 单实例最大网络带宽30Gb/s。 使用32GiB HBM2显存，显存带宽900Gb/s。 完整的基础能力 网络自定义，自由划分子网、设置网络访问策略；海量存储，弹性扩容，支持备份与恢复，让数据更加安全；弹性伸缩，快速增加或减少云主机数量。 灵活选择 与普通云主机一样，P2s型云主机可以做到分钟级快速发放。 优秀的超算生态 拥有完善的超算生态环境，用户可以构建灵活弹性、高性能、高性价比的计算平台。大量的HPC应用程序和深度学习框架已经可以运行在P2s实例上。 常规软件支持列表 P2s型云主机主要用于计算加速场景，例如深度学习训练、推理、科学计算、分子建模、地震分析等场景。应用软件如果使用到GPU的CUDA并行计算能力，可以使用P2s型云主机。常用的软件支持列表如下： Tensorflow、Caffe、PyTorch、MXNet等常用深度学习框架 RedShift for Autodesk 3dsMax、VRay for 3ds Max等支持CUDA的GPU渲染 Agisoft PhotoScan MapD

前言 随着 DeepSeek 新春爆火，带动又一轮大模型热潮；用户访问量突增导致 DeepSeek 服务器繁忙，卡顿或无响应导致用户体验不佳；如何顺畅的体验使用这些大模型服务成为一个挑战。 本文介绍如何使用天翼云函数计算服务快速部署 DeepSeekR1 大模型，构建个人私有的 AI 大模型应用；通过 OpenWebUI 页面与 Ollama 运行的本地大模型交互，体验到极致流畅的 DeepSeek 能力。 关键名词 OpenWebUI 是一个开源可扩展、功能丰富且用户友好的自托管 AI 平台，专为生成式人工智能模型的交互而设计；它支持多种大型语言模型（LLM）运行器，兼容 Ollama 和 OpenAI 兼容的 API；还支持自定义模型创建，集成特定提示词、知识库等；并内置了 RAG 推理引擎；旨在实现完全离线运行。 Ollama 是一款开源工具（大模型管理工具），旨在简化大型语言模型（LLM）在本地计算机上的运行、部署和交互；它支持多种流行的预训练模型，如 LLaMA 2、Gemma 等；可以有效降低打语音模型的使用门槛，推动 AI 技术的普惠。 天翼云函数计算（FAAS）是一项由事件驱动的全托管 Serverless 计算服务，用户无需管理基础设施，只需编写上传代码；由平台负责计算资源与代码运行，并提供高弹性、高可用、安全稳定、免运维、按需付费的云计算服务。FAAS 平台提供 GPU 函数支持一键创建部署大模型应用，帮助用户快速体验最新大模型。

本节介绍可通过AI云电脑同步工具将本地电脑数据同步到天翼量子AI云电脑，或者将天翼量子AI云电脑的数据同步到另外一个天翼量子AI云电脑。 1.简介 如需将本地电脑数据同步到AI云电脑，或者将AI云电脑的数据同步到另外一个AI云电脑，可使用AI云电脑同步工具进行数据同步。同步工具适用于Windows系统、统信UOS系统、银河麒麟系统、中科方德系统等，操作使用方式请参考以下操作指导。 同步工具客户端下载地址：++天翼云电脑同步工具客户端下载++ 2.登录/退出客户端 2.1 扫码登录 在登录界面，使用移动端的天翼云电脑App或翼连App进行二维码扫码，移动端确认登录。 2.2 账密登录 在登录界面，输入天翼量子AI云电脑账号密码，点击“安全登录”，即可登录同步工具客户端。 2.3 专线接入 若天翼量子AI云电脑的租户开通了企业专线接入，该租户下用户使用同步工具也需要通过专线接入登录，同步工具的专线地址与天翼量子AI云电脑专线地址一致。 1. 勾选“企业/专线地址”，弹出专线接入配置框； 2. 在专线接入配置框中，选择协议类型“http”或“https”，输入专线地址和端口； 3. 点击“启用”按钮。