MT公有云租赁服务项目产品手册

MQUTAI

文档修改记录

目录

1项目概述........................................................3

1.1项目背景................................................3

1.2产品概述.................................................3

2网络............................................................4

2.1网络带宽................................................4

2.2数字专线电路............................................5

2.3CDN.........................................................................................................5

2.4抗DDOS................................................................................................14

2.5LVS...........................................................................................................2

2.6SLB负载均衡............................................6

3laaS......................................................................................................................11

3.1云服务器ECS......................................................................................11

3.2云硬盘-高效云盘.........................................15

3.3云硬盘-SSD云盘.........................................15

3.4对象存储................................................18

3.5裸金属服务器BMS.............................................................................27

4数据库.........................................................30

4.1云数据库MySQL...............................................................................30

4.2云数据库Redis...................................................................................33

5中间件.........................................................36

5.1ES...........................................................................................................36

5.2Hbase......................................................................................................39

5.3应用集群K8s.......................................................................................47

6安全等保...................................................49

6.1VPN........................................................................................................49

6.2主机安全高级版......................................51

6.3防火墙综合版........................................55

6.4云综合日志审计......................................59

6.5云堡垒机............................................63

6.6数据库审计..........................................66

6.7漏洞扫描............................................69

6.8WEB防篡改系统.....................................72

6.9Web应用防火墙.....................................74

II

1项目概述

1.1项目背景

围绕企业数字化转型要求，为全面贯彻落实相关工作部署，并推进智

慧茅台建设，提升信息化系统建设水平，要求通过科技增能、数字赋能、

文化聚能，推动云计算等新型数字化技术在包装生产、仓储物流、订单交

付、产品溯源、金融结算等关键环节的应用。

在茅台营销业务创新层面，进入“十四五”，茅台集团面临新秩序重

塑期、新格局形成期、新改革攻坚期“三期”叠加的新形势，新秩序的核

心是供应秩序和市场秩序，新格局主要指产品、产业和销售布局，新改革

有方方面面，核心是现代化管理。面对复杂的新形势，茅台全力推进营销

模式创新，探索发展新零售渠道，为消费者提供更高质量的产品和服务。

主要通过建设茅台资金结算系统、茅台519网上商城系统、流通溯源系统、

仓储物流系统、股份公司营销管理系统和茅台酒终端渠道管控等业务系统

实现数字化营销转型。

为了保证茅台系统服务的正常运行，将茅台使用的服务进行监控，并

根据使用资源的不同，对监控指标进行告警。

1.2产品概述

结合茅台信息化建设现状，通过租赁公有云平台的模式，茅台重点使

用的产品种类分为网络、IAAS、数据库、中间件、安全等保等5类多款产

品，重点产品覆盖：网络包括网络带宽、数字专线电路、CDN、抗DDOS、负

载均衡LVS、负载均衡SLB等；laaS包括云服务器ECS、云硬盘-高效云盘、

云硬盘-SSD云盘、对象存储、裸金属服务器BMS等；数据库包括云数据库

RDS、云数据库Redis等；中间件包括ES、Hbase、应用集群K8s等；安全

等保包括VPN、主机安全高级版、防火墙综合版、云综合日志审计、云堡垒

3

机、数据库审计、漏洞扫描、WEB防篡改系统、Web应用防火墙等。

本文档将重点使用产品手册汇编成册。

2网络

2.1网络带宽

1、产品介绍

弹性公网IP(ElasticIPAddress)是基于互联网上的静态IP地

址，将弹性IP地址和子网中关联的弹性云服务器、裸金属服务器以及负

载均衡进行绑定和解绑，可以实现专有网络VPC中的云服务器通过公网

IP地址与互联网互通；且联通云弹性公网IP支撑包年包月以及按量计费

的计费模式，可满足不同用户在不同场景下的资源使用需求。

2、产品价值

(1)弹性灵活

支持与云服务器、负载均衡等实例灵活地绑定和解绑，支持带宽灵活

调整，应对各种业务变化。

(2)即开即用

即开即用，绑定解绑，续费操作实时生效。

(3)实时监控

使用提供弹性公网IP以及IPv6带宽的监控数据，使用户实时了解实

例状态。

(4)计费模式多样

支撑包年包月以及按量计费模式，用户可根据自身业务选择合适的模

式。

3、产品功能

(1)支持弹性公网IP的创建、退订、查询。

4

(2)支持弹性公网IP的续费、升配。

(3)支持弹性公网IP绑定以及解绑云服务器、裸金属服务器以及负

载均衡。

(4)支撑IPv4以及IPv6带宽功能，最大带宽值可达1000Mbps。

(5)支持对弹性公网IP公网流入速率以及流出速率的监控。

(6)提供主子账号功能，授权不同子账号以只读权限或者操作权限

操作弹性公网IP资源。

(7)支持在用户创建资源的配额到达规定的上限后，通过工单形

式，可调整配额大小，满足不同客户对于资源的需求量。

4、产品性能

联通云弹性公网IP支撑l-1000Mbps的带宽

5、应用场景

(1)公网出口

构建联通云各资源的公网出口，与多种业务资源灵活地绑定和解绑，

满足用户多种使用场景。

2.2数字专线电路

2.3CDN

1、产品介绍

联通云CDN通过将内容发布至遍布全球的加速节点，支持多场景业务

类型CDN加速，通过智能流量调度系统，使用户可以就近快速获取资源，

避免了网络、地域、运营商等因素带来的延迟，有效提升速度、降低时延、

优化用户体验。

5

海量储备

多节点、高带宽、多运营商、优质网络护航各类型业务

智能调度

自研流量调度系统实时获取链路R«,为客户分配最优节点

监控告警

全方©a体监控，掌®®sttsSM务波动

数据分析

流式日志计算服务，多种运营报表及定制化分析

2、产品优势

(1)高规格加速节点覆盖全球

＞高质量节点覆盖全国，国内拥有1100+加速节点

＞全网100Tbps+带宽资源储备，其中联通网内15Tbps+带宽全部接入

云联网络，紧邻骨干路由，为各类型业务保驾护航

＞运营商覆盖全面(包括融合)：联通，移动，电信，铁通，鹏博士，教

育网，华数，广电等

(2)高性能自研流量调度系统

＞自研高性能流量调度体系

＞对内容分发网络加速进一步优化，精准的为用户分配最优节点，保障

访问质量。

(3)一键接入多样配置管理

开通CDN服务并添加域名后，前往域名服务商添加对应CNAME记录，

即可正式启用加速服务，无需业务侧做任何调整。

6

灵活的回源机制丰富的缓存策略

•域名回源•HTTP/HTTPS回源­是否缓存、遵循源站•软件安装包回源策略

・IP轮询回源-HOST回源•图片文件回源策略-缓存时长

•对象存储回源•Range回源•音视频文件回源策略•缓存权重

精准的访问控制秒级刷新智能预热

•Referer黑白名单-URL参数鉴权•目录刷新，即刻生效

•URL路径鉴权•IP黑名单•分级预热，降低回源

•UNg白名单-视频拖拽控制•刷新状态，实时监控

丰富的监控;报表强悍的抗攻击能力

•多维度、实时的业务用量及质量监控•海量DDoS清洗能力

•5分钟粒度，来源分析、热点分析、趋势分析•精准识别、清洗DDoS和CC攻击

•丰富的数据接口•WAF防攻击

・访问日志下载

(4)安全透明全方位站点监控

稳定可信赖的CDN,电信级服务保障，7*24小时全网监控与工单响应；

服务可用性高达99.9%；支持全网HTTP安全传输，网站防盗链等高级安全

控制功能能力。

网络质量准入

网络质星感知

大数据预测故障

客户控制台统计

(5)节省成本

支持按日峰值带宽、按流量计赛；按需付费，用多少计多少；月带宽

峰值在lOGbps以上的客户可以通过工单申请按月计费商务洽谈。

3、产品架构

联通云CDN产品为了解决复杂多变网络环境下页面、下载、流媒体等

7

内容访问速度慢、访问可用性不高的普遍问题，通过联通云部署在全国各

地的边缘、中间节点辅以涵盖全局的监控系统组成了CDN缓存网络，配备

完善的运营管理系统，建成了涵盖“管理一内容一监控”的联通云CDN架构

平台。平台架构如图所示：

地

本

DhNS

备

请

求

庠g

®H

亚洲源站

器9HI

;境内源站

卷

鼠H

其他源站

一

4、平台万案

联通云CDN平台根据加速内容的不同，分为网页加速平台、下载加速

平台、点播加速平台和直播加速平台。各平台虽然有所不同，但是具有一

些相同的功能特性。

(1)HTTPS优化

为了提升网站安全性以及防止流量劫持，广告植入等问题，各大网站

纷纷启用HTTPS,其中百度，阿里更是先后实现了全站的HTTPS方案。但

是根据Google的性能数据，针对1024位的证书，CPU单核性能大约为

1500CPS(ConnectionPerSecond)。由SSL加密中的非对称加密消耗大量

CPU资源，对源站改造成的成本和压力较大。如果是针对2048位证书，CPU

的CPS更是下降到300-800CPS,对比HTTP请求，性能下降6-8倍，下降

了一个数量级。如果需要在性能相当的情况下进行改造，需要付出一定的

8

硬件成本和人力成本。SSL证书意味着使用HTTP协议，但是并不意味着有

着相同的安全性。即使购买的证书和使用的服务符合苹果推荐的ATS协议:

(1)服务端必须支持TLS1.2或以上版本；(2)必须使用支持前向保密的

密码；(3)证书必须使用SHA-256或者更好的签名hash算法来签名等，

但是还有许多因素制约着实际使用HTTPS的安全，著名的网站SSLLABS.COM

提供了针对HTTPS安全的评估方案。

(2)防盗链

盗链是指服务提供商自己不提供服务的内容，通过技术手段绕过其它

有利益的最终用户界面(如广告)，直接在自己的网站上向最终用户提供

其它服务提供商的服务内容，骗取最终用户的浏览和点击率。受益者不提

供资源或提供很少的资源，而真正的服务提供商却得不到任何的收益。为

了满足绝大多数客户的防盗链需求，联通云CDN对外提供2种防盗链的方

式：

>Referer防盗链

实现原理：

通过httpreferer过滤请求内容返回对应信息的配置。httpreferer

是http请求包包头的一部分，当浏览器向web服务器发送请求时，会带上

referer,告诉服务器此请求是从哪个链接而来，从而可进行信息的处理。

注意事项：

(1)Referer黑名单、白名单二者不兼容，同一时间只能生效一种类

型；

(2)当防盗链黑、白名单为空时，等同于关闭防盗链，防盗链规则不

生效；

(3)防盗链输入内容最多可输200条。

9

防盗链规则匹配的设定如下：

（1）支持域名/IP规则，且为前缀匹配。

（2）支持域名前缀通配符：Referer为空（即指用户在浏览器中直接

访问域名，则Referer为空），空Referer默认不匹配任何规则。包含空

Referer：包含空Referer即指：选择Referer白名单时，白名单中包含空

的Referer（即：通过浏览器地址栏直接访问该资源URL）时，CDN将正常返

回资源信息。

>User-Agent防盗链

User-Agent头部包含了发起原始请求的客户端（通常是指浏览器）信

息。不同的客户端通常具有不同的User-Agent信息。和Referer类似，联

通云CDN支持针对HTTP请求头中User-Agent信息，禁止或者允许符合特

定User-Agent规则（支持正则匹配）的请求。但是由User-Agent很容易

伪造，因此UserAgent防盗链安全性较低。适用场景举例：

（1）某个页面或者资源只希望被IE浏览器访问，不希望或者不支持

被Chrome访问，这种情况下就可以配置User-Agent防盗链。

（2）客户有自己专属的客户端下载工具进行内容下载，该下载工具在

请求时User-Agent使用了自己定制的名称，希望只针对符合这种规则的请

求开放下载，这种情况下也可以使User-Agent防盗链。

（3）网站加速平台

联通云CDN产品的网页加速平台是专门针对网页图片进行深度优化的

加速方案。针对网页文件普遍为中小图片文件，更新频繁且数目巨大以及

动态请求占比较高的特点进行了优化。同时，制定了动态加速、图片无损

压缩优化等专门针对网页动静态内容加速的策略。做到快速分发内容，智

能路由回源，解决了终端用户访问各种内容可能产生的访问延迟问题，大

10

致具有以下效果：用户端：提升访问速度和访问质量(可用性)；源站端：

减少回源量，降低源站压力，减少源站投入；业务端：应对可能的带宽突

增，保证服务质量稳定，业务顺利运营；运维端：保证源站安全运维，防

止恶意入侵和海量攻击。同时提供内容完整，数据准确的用户日志和多维

度数据统计分析系统，保证运维时刻掌握系统情况。

网页加速平台主要用于解决当前复杂网络环境下(尤其是移动互联网

环境下)各类PC/手机网站以及移动APP访问速度慢、可用性偏低的问题。

主要适用于HTTP/HTTPS协议进行传输的内容，尤其对含有大量图文内容的

页面、应用有很好的加速效果。例如门户网站、电子商务平台、游戏、阅

读资讯、社交、生活工具、政府网站、办公系统等。

(4)下载加速平台

相比于网站加速平台而言，针对较大文件的分发带来了完全不同的问

题，下载场景的显著特点就是可以概括为：大文件、高带宽、波动大、下

载工具广泛。针对以上特点，当前下载类的用户常见问题主要包含：下载

质量不高，成功率低；软件发布不及时；带宽不稳定，客户下载体验差，

盗链现象严重等。

下载产品平台主要适用于：各类手机应用分发商店，应用和页面内影

音文件的分发，游戏更新/程序/客户端，固件/硬件/软件更新程序的下载

等，所以主要分为发行商、下载商以及视频供应商三类。为有大内容分发

的内容提供商提供快速优质的服务。

(5)点播加速平台

最近几年，各大视频网站将自制内容提升到战略高度，内容向着精品

化方向发展。而且在商业模式上，会员付赛收入表现出非常强劲的增长趋

势。而点播加速平台是联通云CDN视频解决方案的核心之一。通过提供完

11

整的，囊括上传、转码、管理、发布、统计各个视频点播服务阶段的核心

能力，联通云为客户提供一站式云视频PaaS服务。借助灵活、快速、高质

量的视频发布服务，点播加速平台在过去的几年，各大视频网站将自制内

容提升到战略高度，内容向着精品化方向发展。而且在商业模式上，会员

付费收入表现出非常强劲的增长趋势。而点播加速平台是联通云CDN视频

解决方案的核心之一。通过提供完整的，囊括上传、转码、管理、发布、

统计各个视频点播服务阶段的核心能力，联通云为客户提供一站式云视频

PaaS服务。借助灵活、快速、高质量的视频发布服务，用户可以快速具备

稳定可靠的视频发布能力，聚焦于业务本身，敏捷响应市场变化。

方案的主要优势如下：

经验优势：基于联通云长期在音视频领域的技术积累和能力，包括支

撑联通云视频亿级日均播放量的长期技术积淀等；

资源优势：覆盖全国的CDN节点网络，现有1100+全球节点，以及超

过100T带宽。超过10000台分布式转码集群，2000并发转码，保障转码

质量效率；

方案安全：支持对播放速度进行限制，可快速构建分级服务体验；支

持基于时间戳等多种防盗链方案，保障视频内容的安全私密。

联通云CDN点播平台将CDN的分布式部署的优势以及中心处理的高性

能进行了结合，解决了流媒体点播在实际使用过程中的大流量、高延迟的

问题。适用于所有基于HTTP以及HTTPS协议为主的流媒体点播站点。例

如：各种视频网站（影视类、教育类等）、门户网站、音乐网站、网络电

视台、网络音乐台、UGC网站等。目前在线点播目前常用的格式为FLV、MP4

和HLSo

12

(6)直播加速平台

视频直播应用，尤其是互联网的广泛应用和近几年的OTT的应用，对

直播视频要求越来越大。自2008年互联网视频的爆发式增长极大的带动

CDN服务的成长，CDN驶入高速发展轨道。2016年-2018年，中国CDN发展

增速达到70%以上。2018年，达到201.6亿元人民币，增速最高达到81.8%o

从业务类型来看，2018—2019年，中国CDN市场传统的业务如页面和视频

加速仍为当前主要业务流量和收入来源。从CDN业务日均流量上看，视频

业务流量最多，占比61.2%。到2022年，我国超高清视频产业总体规模超

过4万亿元。随着5G网络的进一步完善以及资费的下调，在手机上收看视

频以及直播已经变得愈加普遍。

传统的电信网络是可以直接提供组播的专有网络，网络内部可以通过

采用组播协议来完成骨干网和接入网整个流程的组播支持，但在现有的

Internet互联网应用下，0TT运营商是采用公网来进行直播服务的，而且

考虑到防火墙的问题，大多数都采用HTTP和RTMPoverHTTP的协议来支持，

但是这种情况下，就要求媒体直播服务器LiveMediaServer需要非常大的

网络带宽来支持上百万的客户请求，而且运营商网络接入和用户网络接入

的最后一公里就成为直播质量的关键，往往会产生许多的问题：延迟/清晰

度：视频业务的核心竞争力是流畅和清晰度，这两个因素是受限于好的网

络保障，但是运营商会经常遇到跨运营商的多网络连接，特别是接入网络

和最后一共里网络经常不稳定，会大大影响用户的观看体验。流量的突发：

在内容提供商进行市场推广或重大事件的现场直播活动，以及一些突发热

点事件的发生时，经常会突发产生大量的网络直播请求，而原有的网络不

一定能承受这种突发流量的要求。内容的不可控：直播的展现内容完全由

主播自主生成，实时的向观众传递。在保证直播的流畅和实时性的基础上，

13

平台策略和相关法律法规需要确保主播推送内容的合法性。一旦主播推送

的内容触及相关法规，不仅会在用户群中对平台产生严重的负面影响，更

会让平台承担极大的政策压力。

联通云CDN产品的直播加速平台能够帮客户解决直播方案中的：均衡

延迟/清晰度，应对流量突发，监控直播内容等问题。一方面提升视频直播

的质量，增加用户粘性；另一方面保障直播平台的安全以及内容的合规。

直播加速产品适用于各类流媒体直播APP以及页面：游戏直播、美女直播、

新闻直播、体育比赛、网络课堂、视频会议等。

2.4抗DDOS

1、产品介绍

DDoS攻击

分布式拒绝服务DDoS(DistributedDenialofService)攻

击是指借助于客户/服务器技术，将多个计算机联合起来作为攻击平

台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻

击的威力。

通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计

算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程

序已经被安装在Internet上的许多计算机上。代理程序收到指令

时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活

成百上千次代理程序的运行。

CC(ChallengeCollapsar)攻击

HTTPFlood,是针对Web服务在0SI协议第七层协议发起的攻

14

击，攻击者极力模仿正常用户的网页请求行为，发起方便、过滤困

难，极其容易造成目标服务器资源耗尽无法提供服务。

高防IP

DDoS高防IP是针对游戏、互联网、金融及政企等行业遭受

大流量DDoS/CC攻击导致用户服务不可用的情况而推出的付费

防护服务。

采用BGP线路，单节点最高可防护T级攻击。相较传统的静

态IDC高防IP服务，BGP高防IP天然具有灾备能力、线路

更稳定、访问速度更快。

支持TCP,UDP,HTTP,HTTPS,WEBSOCKET和WEBSOCKETS等协议，覆

盖游

戏、互联网、金融及政务等各类业务。

15

IP防护原理

接入前

黑客

用户

配置防御前：用户访问和攻击流量均会直达源站

配置防御后：用户访问和攻击流量均先请求到高防IP,经防御集

群过滤后转发用户正常请求回到源站完成数据交换

接入后

黑客

曲S/cc攻击防御、

TCP/UDP/HTTP/HTTPS

---------------------------------A

_____________________y

百度云高防中心源站服务器

高防

用户IP

16

2、接入配置

若为网站类业务(HTTP/HTTPS)------------------

高防中心推妒了谓求域名与对应服务.源站50

疆IP及蝇口的对应关系回源IP^PORTa।------------------

接入配置转发原理图

转发规则

前置条件：必须先购买高防IP实例

需要先明确接入云高防防护的业务类型和需求，再针对性

地配置转发规则。点击高防实例中红框标记的按钮进入“转

云安全DDoS防护云高防V3.0。自动蟆酬

无势！B知+由买富防加1Pv调输入旧进行掇案Q

应用防火墙WAF

SW8W/IDffiUE/务性防护受防护域姨及配置运行状态与站监控版务到期时，作

DDoSBKRFy

ADAS-7b9f48…

2021-03-24

娘精10/10Gbps4个6个0•巳过RI・异常Q

DDoS高防IPCDc11：09：07

adas-MM

•防护报袤

dunfinMV.1789^12021-09-14

10/10Gbps7个・运行中・释常。

adas--(BGP)10：17：21升级

・需防IP实例

防妒模板GR0UP-cd60._

•2022-02*缘a

an5个500/600Gbps。个18个・送行中•号素。

2822：35：28升辘

主机安全»g心■■

安全检泅雇务SRD10▼.[□>

3条每页显示

流量审计

报警设置

发配置〃

17

网站防护（七层转发）

〈遁回二防IP列表dun-••行中

转发设・

网站域名V酒猱，麻沾犍不遇行Q全都导出

ccnr«tt转发■法会iS保持aatfifi।（作

-0能懈己关闱己关闭■-ten副甘

nianche...

HTTPS/443http.52du...Mtp.52du...D2个9>花询己关闭己关闭«•tttflKtt

□0-B

□HTTP/80http.52du...http.52du...O1个。-B轮询已关断己关饰9«!SW

针对网站类防护可以单条添加或批量添加转发规则，下方以单条添加为例

进行说明。

网站转发规则配置：

18

dun・击行中

I添加转发规则

勘迷协议・HTTPSv国

域名：

前口"口：443

1-65535之间,无R（制

回源与以：HTTPv叵）

回源地址：⑥P及18口回暴O«名的春田

+津蔺IPRBI口

□»P途口操作

□1180保存取消

HTTPSiifl：nginx/v+津阑江由WitttrHifi审WSSlii书

HXAJMv0

会话保挎。美痢⑥开启

cook«e4tBL^KIfl入cookieV叵］

超时时间：30»

1-15557。tJOBB

回温超时时间：30

CC防护策略澳板空幅标V

I健康检查设81

健雄检发⑥关闭O开店

保存取消

前端协议：为最终用户提供服务的协议，可选择Http或Https

19

域名：需要接入防护的具体域名（支持泛域名）

回源协议：云高防将正常用户请求转发回源站所使用的协议，支持Http

或Https回源

回源地址：支持IP加端口或域名加端口两种方式回源，支持配置

多个源站地址（可选择轮询或最小连接数的算法分发请求）

HTTPS证书：仅当前端协议选择HTTPS时出现。可从下拉框中选择

或新添加Https证书,根据源站Web服务器类型（Nginx/Apache/

添加证书X

・证书名称:test

•证书类型:

・证书:

•私钥:

确定取消

Ils等）上传对应正确的公钥和私钥。

转发规则：即上文中针对多个回源地址所选择转发回源的算法

会话保持：七层转发的会话保持可以在指定的时间范围内将同一客

户端的请求转发至同一台后端服务器上

20

a)Cookie处理方式:

n植入Cookie：客户端第一次访问时，云高防转发会在返回用

户请求中插入标识后端服务地址的Cookie项，下次客户端

携带此Cookie即可把请求转发到对应的后端服务器上

21

n重写Cookie：指定Http/Https响应中插入改写指定

Cookie,在后端服务器上维护该Cookie的过期时间和生存

时间

超时时间：即会话保持的超时时间，（可选1-15552000）秒

回源超时时间：超过此设置的时间仍然没有得到源站响应，则回源超时（输

入范围为

「3600间的整数，建议设置为

30秒）CC防护策略模板：可以按需选择和关联CC

防护模板以便更好地应用CC攻击，具体在后面章节介绍

健康检查：定时由云高防发出回源探活请求，评估源站是否存活，连

续健康检查失败超过“不健康阈值"时，源站服务器将被认定为异常，

从服务器池中摘除，直到恢复正常；反之连续健康检查成功超过''健

康阈值“，源站服务