天翼云 3.0 虚拟私有云用户使用指南中国电信股份有限公司云计算分公司

Size: px

Start display at page:

Download "天翼云 3.0 虚拟私有云用户使用指南中国电信股份有限公司云计算分公司"

偿雹韩
5 years ago
Views:

1 天翼云 3.0 虚拟私有云用户使用指南中国电信股份有限公司云计算分公司

2 修订记录修改时间修改说明初次更新

3 目录目录 1 产品介绍虚拟私有云 (CT-VPC) 产品优势应用场景公网连接关联业务子网弹性 IP 安全组虚拟私有云管理指南申请虚拟私有云修改虚拟私有云删除虚拟私有云子网管理创建子网修改子网删除子网安全组安全组介绍 I

4 目录安全组概述默认安全组和规则创建安全组添加安全组规则快速添加多条安全组规则删除安全组规则删除安全组查看弹性云服主机的安全组云主机的常用端口安全组配置示例不同安全组内的弹性云服务器内网互通仅允许特定 IP 地址远程连接弹性云主机 SSH 远程连接 Linux 弹性云主机 RDP 远程连接 Windows 弹性云主机公网 ping 弹性云主机弹性云主机做 Web 服务器弹性云主机做 DNS 服务器使用 FTP 上传或下载文件常见问题操作类子网间是否可以通信? II

5 目录子网的网段是否可以修改? 子网被相关资源占用时, 会导致无法删除子网, 如何排查相关资源? 什么是安全组? 安全组规则支持哪些协议? 安全组默认规则作用是什么? 如何设置安全组规则? 安全组中多个安全组规则冲突时, 安全组规则优先级哪个更高? 使用限制虚拟私有云中可以使用哪些网段 (CIDR)? 一个用户下支持创建多少个 VPC? 子网可以使用的网段是什么? 虚拟私有云和子网的限额是多少? 一个用户能拥有多少个安全组? 变更安全组规则时, 是否对原有流量实时生效? III

6 产品介绍 1 产品介绍 1.1 虚拟私有云 (CT-VPC) 虚拟私有云 (CT-VPC,Virtual Private Cloud) 为用户构建隔离的用户自主配置和管理的虚拟网络环境, 提升用户公有云中资源的安全性, 简化用户的网络部署通过 VPC, 用户可以完全掌控自己的虚拟网络, 包括创建子网配置安全组用户还可以通过在 VPC 中申请公网 IP 将 VPC 连接到公网产品优势灵活配置自定义虚拟私有网络, 按需划分子网, 配置 IP 地址段安全可靠 VPC 之间通过隧道技术进行 100% 逻辑隔离, 不同 VPC 之间默认不能通信, 安全组对弹性云服务器进行防护 4

7 产品介绍互联互通默认情况下,VPC 与公网是不能通信访问的, 我们提供了弹性公网 IP 的方式连接公网应用场景通用性 Web 应用在 VPC 中托管 Web 应用或网站, 可以像使用普通网络一样使用 VPC 通过弹性 IP 连接弹性云服务器与 Internet, 运行弹性云服务器上部署的 Web 应用程序高安全性服务将多层 Web 应用划分到不同的安全域中, 按需在各个安全域中设置访问控制策略, 可以通过创建一个 VPC, 将 Web 服务器和数据库服务器划分到不同的安全组中 Web 服务器所在的子网实现互联网访问, 而数据库服务器只能通过内网访问, 保护数据库服务器的安全, 满足高安全场景公网连接当前情况下公有云以 VPC 为基础提供了弹性公网 IP 这样的公网连接产品, 降低部署难度, 支撑您快速上云少量弹性云服务器通过弹性 IP 连接 Internet 当您仅有少量弹性云服务器访问 Internet 时, 您可将弹性 IP(EIP) 绑定到弹性云服务器上, 弹性云服务器即可连接公网关联业务弹性云服务器 VPC 为弹性云服务器构建隔离的用户自主配置和管理的虚拟网络环境提供多种方式连接弹性云服务器与 Internet 同时, 用户可以自定义安全组内与组间弹性云服务器的访问规则, 加强弹性云服务器的安全保护 5

8 产品介绍云监控状态当用户开通了虚拟私有云服务后, 无需额外安装其他插件, 即可在云监控查看对应服务的实例 1.2 子网子网是用来管理虚拟机网络平面的一个网络, 可以提供 IP 地址管理, 子网内的虚拟机 IP 地址都属于该子网默认情况下, 同一个 VPC 的所有子网内的弹性云服务器均可以进行通信, 不同 VPC 的弹性云服务器不能进行通信, 在该节点上线对等连接服务后, 可通过创建对等连接通信 1.3 弹性 IP 公网 IP 地址为可以直接访问 Internet 的 IP 地址私有 IP 地址为公有云内局域网络所有的 IP 地址, 私有 IP 地址禁止出现在 Internet 中弹性 IP 是基于互联网上的静态 IP 地址, 将弹性 IP 地址和子网中关联的弹性云服务器绑定, 可以实现 VPC 中的弹性云服务器通过固定的公网 IP 地址与互联网互通一个弹性 IP 只能给一个弹性云服务器使用 1.4 安全组安全组是一个逻辑上的划分, 这个分组由同一个地域内具有相同安全保护需求并相互信任的云主机组成安全组用来实现安全组内和组间虚拟机的访问控制, 加强虚拟机的安全保护安全组创建后, 用户可以在安全组中定义各种访问规则, 当虚拟机加入该安全组后, 即受到这些访问规则的保护安全组默认出方向放行, 并且组内云主机可相互访问 6

9 虚拟私有云管理指南 2 虚拟私有云管理指南 2.1 申请虚拟私有云当需要为您的弹性云主机构建隔离的用户自主配置和管理的虚拟网络环境时, 首先要申请虚拟私有云 1. 登录控制中心 ; 2. 在系统首页, 单击网络 > 虚拟私有云 ; 3. 在虚拟私有云列表界面, 单击创建虚拟私有云 ; 4. 在申请虚拟私有云页面, 根据界面提示配置参数 ; 参数说明如下表 : 7

10 虚拟私有云管理指南参数说明取值样例名称 VPC 名称 VPC-001 网段 VPC 的地址范围,VPC 内的子网地址必须在 VPC 的地址范围内目前支持网段范围 : /8~ /12~ /16~ / 16 子网名称子网的名称 Subnet-001 子网网段子网的地址范围, 需要在 VPC 的地址范围内 / 24 网关子网的网关单击立即创建 2.2 修改虚拟私有云 1. 在虚拟私有云列表界面, 单击待修改虚拟私有云的修改 2. 在修改虚拟私有云页面, 根据界面提示修改参数, 单击确定 8

11 虚拟私有云管理指南 2.3 删除虚拟私有云当 VPC 中存在子网安全组时,VPC 不能删除需要删掉这些资源后, 才能进行 VPC 删除, 默认 vpc 不能删除 1. 删除子网请参见 3.3 删除子网 ; 2. 删除安全组请参见删除安全组 ; 3. 在虚拟私有云列表界面, 单击待删除虚拟私有云的删除 ; 说明 : 当存在弹性 IP 资源时, 最后一个 VPC 不能删除 4. 确认删除虚拟私有云信息, 单击确定 9

12 虚拟私有云管理指南 10

13 子网管理 3 子网管理 3.1 创建子网申请 VPC 时会创建一个子网, 当该 VPC 还需要添加其他子网时, 可以通过以下两种方式创建新的子网来为 VPC 增加私有网络方式一 : 1. 登录控制中心 ; 2. 在系统首页, 单击网络 > 虚拟私有云 ; 3. 选择需要创建子网的 VPC, 并单击子网, 在子网页签, 单击创建子网 ; 4. 在创建子网下拉区域, 根据界面提示配置参数 ; 11

子网管理参数如下表所示 : 参数说明取值样例子网名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 192.168.0.

14 子网管理参数如下表所示 : 参数说明取值样例子网名称子网的名称 Subnet 子网网段子网的地址范围, 需要在 VPC 的地址范围内 /24 网关子网的网关参数配置完成后, 单击确定方式二 : 1. 登录控制中心 ; 2. 在系统首页, 单击网络 > 虚拟私有云 ; 3. 点击左侧子网 ; 12

15 子网管理 4. 在子网示意图中, 单击创建子网, 并根据界面提示配置参数 ; 5. 参数配置完成后, 单击确定 3.2 修改子网 1. 在子网界面待修改子网所在行, 单击修改按钮 ; 2. 根据界面提示修改参数, 单击确定 13

16 子网管理 3.3 删除子网前提条件 : 已经删除使用该子网的以下资源弹性云主机请在管理控制台上相关资源所在页面进行排查和删除方式一 : 1. 在子网界面待删除子网所在行, 单击删除 ; 2. 确认删除子网信息, 并单击确定 14

17 子网管理说明 : 当子网有弹性云主机时, 不能删除子网需要删掉这些资源才能进行子网删除方式二 : 1. 在虚拟私有云进入需要删除子网的虚拟私有云详情页 2. 找到需要删除的子网, 单击删除 ; 15

18 安全组 4 安全组 4.1 安全组介绍安全组概述安全组安全组是一个逻辑上的分组, 为同一个 VPC 内具有相同安全保护需求并相互信任的弹性云主机提供访问策略安全组创建后, 用户可以在安全组中定义各种访问规则, 当弹性云主机加入该安全组后, 即受到这些访问规则的保护系统会为每个用户默认创建一个默认安全组, 默认安全组的规则是在出方向上的数据报文全部放行, 入方向访问受限, 安全组内的弹性云主机无需添加规则即可互相访问默认安全组您可以直接使用, 详情请参见默认安全组和规则您也可以根据需要创建自定义的安全组, 请参见创建安全组安全组规则安全组创建后, 您可以在安全组中设置出方向入方向规则, 这些规则会对安全组内部的弹性云主机出入方向网络流量进行访问控制, 当弹性云主机加入该安全组后, 即受到这些访问规则的保护每个安全组都自带默认安全组规则您也可以自定义添加安全组规则, 请参见添加安全组规则安全组的限制默认情况下, 一个用户可以创建 100 个安全组默认情况下, 一个安全组最多只允许拥有 50 条安全组规则 16

安全组默认情况下, 一个弹性云主机或辅助网卡最多只能被添加到 5 个安全组中 4.1.

19 安全组默认情况下, 一个弹性云主机或辅助网卡最多只能被添加到 5 个安全组中默认安全组和规则系统会为每个用户默认创建一个安全组, 默认安全组的规则是在出方向上的数据报文全部放行, 入方向访问受限, 安全组内的弹性云主机无需添加规则即可互相访问, 如下图所示默认安全组规则如下表 : 方向出方向入方向协议端口范围目的地址 / 源地址说明 All All 目的地址 : /0 允许所有出站流量的数据报文通过 All All 源地址 : 当前安全组 ID ( 例如 :sg-xxxxx) 仅允许安全组内的弹性云主机彼此通信, 丢弃其他入站流量的全部数据报文创建安全组操作场景 : 您可以创建安全组并定义安全组中的规则, 将 VPC 中的弹性云主机划分成不同的安全域, 以提升弹性云主机访问的安全性建议您将不同公网访问策略的弹性云主机划分到不同的安全组 17

20 安全组操作步骤 : 1. 登录控制中心 ; 2. 在系统首页, 单击网络 > 虚拟私有云, 选择安全组选项 ; 3. 在安全组界面, 单击创建安全组 ; 4. 在创建安全组下拉区域, 根据界面提示配置参数 ; 5. 单击确定添加安全组规则操作场景 : 安全组创建成功后, 即具备默认的安全组规则您可以自定义添加新的出方向入方向安全组规则入方向 : 指从外部访问安全组规则下的弹性云主机出方向 : 指安全组规则下的弹性云主机访问安全组外的实例操作步骤 : 18

21 安全组 1. 登录控制中心进入安全组页面, 选择需要添加规则的安全组 ; 2. 在安全组详情界面, 单击添加规则 ; 3. 根据界面提示配置安全组规则 ; 参数如下表所示 : 参数说明取值样例方向选择规则适用方向入方向协议网络协议, 取值范围为 :TCP,UDP,ICMP,All 等 TCP 19

22 安全组参数说明取值样例端口范围安全组规则的端口范围, 取值范围为 :1~ 或源地址源地址 : 可以是 IP 地址, 也可以是安全组例如 : xxx.xxx.xxx.xxx/32(ipv4 地址 ) /0 default xxx.xxx.xxx.0/24( 子网 ) /0( 任意地址 ) 4. 单击确定快速添加多条安全组规则操作场景 : 支持快速添加多条不同协议端口的安全组规则操作步骤 : 1. 登录管理控制台 2. 在系统首页, 单击网络 > 虚拟私有云 3. 在左侧导航树选择安全组 4. 点击快速添加规则为入方向或者出方向添加规则 5. 根据页面提示配置规则 20

23 安全组删除安全组规则操作场景 : 当安全组规则入方向出方向源地址 / 目的地址有变化时, 可以通过先删除安全组规则之后重新添加安全组规则的方式进行安全组规则的更新操作步骤 : 1. 在安全组界面, 展开对应的安全组区域 ; 2. 当不需要安全组规则时, 单击规则所在行的删除 ; 21

24 安全组 3. 确认删除的安全组规则, 单击确定删除安全组 1. 当安全组未被弹性云主机使用时, 可以删除安全组在安全组界面待删除的安全组所在行, 单击删除 ; 2. 确认删除的安全组信息, 单击确定查看弹性云服主机的安全组操作场景 : 22

25 安全组查看弹性云主机所属的安全组出方向入方向的规则详情操作步骤 : 1. 登录管理控制台 2. 选择计算 > 弹性云主机 3. 在弹性云主机列表中, 单击弹性云主机名称 4. 选择安全组页签, 查看弹性云主机所属的安全组详情云主机的常用端口弹性云主机常用端口如下表所示您可以通过配置安全组规则放通弹性云主机对应的端口, 详情请参见错误! 未找到引用源错误! 未找到引用源弹性云主机常用端口协议端口说明 FTP 21 FTP 服务上传和下载文件 SSH 22 远程连接 Linux 弹性云主机 Telnet 23 使用 Telnet 协议远程登录弹性云主机 HTTP 80 使用 HTTP 协议访问网站 POP3 IMAP HTTPS SQL Server 使用 POP3 协议接收邮件 143 使用 IMAP 协议接收邮件 443 使用 HTTPS 服务访问网站 SQL Server 的 TCP 端口, 用于供 SQL Server 对外提供服务 23

26 安全组协议端口 SQL Server Oracle MySQL Windows Server Remote Desktop Services 代理 NetBIOS 说明 SQL Server 的 UDP 端口, 用于返回 SQL Server 使用了哪个 TCP/IP 端口 Oracle 通信端口, 弹性云主机上部署了 Oracle SQL 需要放行的端口 MySQL 数据库对外提供服务的端口 Windows 远程桌面服务端口, 通过这个端口可以连接 Windows 弹性云主机 8080 端口常用于 WWW 代理服务, 实现网页浏览如果您使用了 8080 端口, 访问网站或使用代理服务器时, 需要在 IP 地址后面加上 :8080 安装 Apache Tomcat 服务后, 默认服务端口为 8080 NetBIOS 协议常被用于 Windows 文件打印机共享和 Samba :UDP 端口, 通过网上邻居传输文件时使用的端口 139: 通过这个端口进入的连接试图获得 NetBIOS/SMB 服务 4.2 安全组配置示例不同安全组内的弹性云服务器内网互通场景举例 : 在同一个 VPC 内, 用户需要将某个安全组内一台弹性云主机上的资源拷贝到另一个安全组内的弹性云云主机上时, 用户可以将两台弹性云云主机设置为内网互通后再拷贝资源安全组配置方法 : 由于同一个 VPC 内, 在同一个安全组内的弹性云服务器默认互通, 无需配置但是, 在不同安全组内的弹性云服务器默认无法通信, 此时需要添加安全组规则, 使得不同安全组内的弹性云主机内网互通在两台弹性云主机所在安全组中分别添加一条入方向安全组规则, 放通来自另一个安全组内的实例的访问, 实现内网互通, 安全组规则如下所示 24

27 安全组协议方向端口范围 /ICMP 协议类型设置内网互通时使用的协议类型 ( 支持 TCP/UDP/ICMP/All) 入方向设置端口范围或者 ICMP 协议类型源地址 IPv4 地址 IPv4 CIDR 或者另一个安全组的 ID 仅允许特定 IP 地址远程连接弹性云主机场景举例 : 为了防止弹性云主机被网络攻击, 用户可以修改远程登录端口号, 并设置安全组规则只允许特定的 IP 地址远程登录到弹性云主机安全组配置方法 : 以仅允许特定 IP 地址 ( 例如, ) 通过 SSH 协议访问 Linux 操作系统的弹性云主机的 22 端口为例, 安全组规则如下所示协议方向端口范围 SSH (22) 源地址入方向 22 IPv4 地址 IPv4 CIDR 或者另一个安全组的 ID 例如 : SSH 远程连接 Linux 弹性云主机场景举例 : 创建好 Linux 弹性云主机后, 为了通过 SSH 远程连接到弹性云主机, 您可以添加安全组规则安全组配置方法 : 协议方向端口范围源地址 SSH(22) 入方向 / RDP 远程连接 Windows 弹性云主机场景举例 : 创建好 Windows 弹性云主机后, 为了通过 RDP 远程连接弹性云主机, 您可以添加安全组规则安全组配置方法 : 协议方向端口范围源地址 25

28 安全组协议方向端口范围源地址 RDP(3389) 入方向 / 公网 ping 弹性云主机场景举例 : 创建好弹性云主机后, 为了使用 ping 程序测试弹性云主机之间的通讯状况, 您需要添加安全组规则安全组配置方法 : 协议方向端口范围源地址 ICMP 入方向 All / 弹性云主机做 Web 服务器场景举例 : 如果您在弹性云主机上部署了网站, 即弹性云主机作 Web 服务器用, 希望用户能通过 HTTP 或 HTTPS 服务访问到您的网站, 您需要在弹性云主机所在安全组中添加以下安全组规则安全组配置方法 : 协议方向端口范围源地址 TCP 入方向 80(HTTP) /0 TCP 入方向 443(HTTPS) / 弹性云主机做 DNS 服务器场景举例 : 如果您将弹性云主机设置为 DNS 服务器, 则必须确保 TCP 和 UDP 数据可通过 53 端口访问您的 DNS 服务器您需要在弹性云服务器所在安全组中添加以下安全组规则安全组配置方法 : 协议方向端口范围源地址 26

29 安全组协议方向端口范围源地址 TCP 入方向 /0 UDP 入方向 / 使用 FTP 上传或下载文件场景举例 : 如果您需要使用 FTP 软件向弹性云主机上传或下载文件, 您需要添加安全组规则说明 : 您需要在弹性云主机上先安装 FTP 服务器程序, 再查看端口是否正常工作安全组配置方法 : 协议方向端口范围源地址 FTP 入方向 /0 27

30 修订记录 5 常见问题 5.1 操作类子网间是否可以通信? 子网是属于 VPC 的资源, 一个 VPC 内的不同子网默认可以互相通信子网的网段是否可以修改? 子网的网段创建好后不能进行修改子网被相关资源占用时, 会导致无法删除子网, 如何排查相关资源? 虚拟私有云的子网被以下资源使用时, 子网无法删除 : 弹性云服务器请根据子网信息排查子网中是否含有以上资源, 先删除子网中的全部资源, 再删除子网什么是安全组? 安全组用来实现安全组内组外和组间弹性云主机的访问控制, 加强弹性云主机的安全保护安全组创建后, 用户可以在安全组中定义各种访问规则, 当弹性云主机加入该安全组后, 即受到这些访问规则的保护安全组规则支持哪些协议? 安全组规则支持配置 TCP UDP ICMP 和 ANY,ANY 表示对所有协议生效选择 TCP UDP 协议时, 配置允许该协议访问安全组的端口范围为 , 选择 ICMP 协议时, 可以在下拉列表中指定 ICMP 28

31 修订记录协议类型, 默认使用 ANY 安全组默认规则作用是什么? 安全组规则入方向表示外部访问弹性云主机, 出方向表示弹性云主机访问外部弹性云主机加入安全组后, 如果安全组中没有任何规则, 则弹性云主机无法访问外部网络, 同时外部网络也无法访问弹性云主机安全组默认出方向规则表示弹性云主机可以访问外部, 默认入方向规则表示弹性云主机可以被同一安全组内其他弹性云主机访问需要注意的是, 安全组不能解决网络故障或网络配置错误类问题例如, 因为网络原因, 两个弹性云主机之间本来就无法互相访问, 即使配置了允许他们互相访问安全组规则, 这两个弹性云主机仍无法通信如何设置安全组规则? 安全组规则支持入方向和出方向对于入方向规则, 限制源地址为安全组或者网段 (CIDR), 源地址若为安全组, 则仅可以选同一 VPC 下的安全组 ; 对于出方向规则, 限制目的地址为安全组或网段 (CIDR), 目的地址若为安全组, 则仅可以选择同一 VPC 下的安全组安全组中多个安全组规则冲突时, 安全组规则优先级哪个更高? 安全组添加的规则是白名单, 多个安全组规则冲突, 安全组取其并集生效 5.2 使用限制虚拟私有云中可以使用哪些网段 (CIDR)? 当前 VPC 支持的网段有 : / / / 一个用户下支持创建多少个 VPC? 默认情况一个用户支持创建 5 个 VPC, 如果配额不满足实际需求, 您可以提工单申请扩大配额 29

32 修订记录子网可以使用的网段是什么? 子网的网段要在 VPC 的网段内部,VPC 提供三段私网网段, / /12-24 和 /16-24, 所以子网的网段也会在这些范围内虚拟私有云和子网的限额是多少? 用户最多可创建 10 个 VPC, 每个 VPC 下最多可创建 10 个子网一个用户能拥有多少个安全组? 一个用户最多可以拥有 100 个安全组,5000 条安全组规则变更安全组规则时, 是否对原有流量实时生效? 安全组规则配置变更, 对于原有流量可能不会立刻生效用户需断开变更规则所影响的流量一段时间 ( 约 120 秒 ) 后, 变更后的规则才能对流量生效 30

天翼云 3.0 VPN 用户使用指南中国电信股份有限公司云计算分公司

天翼云 3.0 VPN 用户使用指南中国电信股份有限公司云计算分公司天翼云 3.0 VPN 用户使用指南中国电信股份有限公司云计算分公司目录目录 1 产品定义... 2 2... 3 2.1 申请 VPN... 3 2.2 修改 VPN 配置信息... 5 2.3 查看 VPN 策略详情... 6 2.4 删除 VPN... 7 3 常见问题... 8 3.1 每个用户可申请多少个 VPN?... 8 3.2 VPN 是否收费?... 8 3.3 使用 VPN

天翼云 3.0 虚拟私有云 用户使用指南 中国电信股份有限公司云计算分公司

天翼云 3.0 虚拟私有云用户使用指南中国电信股份有限公司云计算分公司