因各種因素，用戶通過私網(wǎng)或本地公網(wǎng)訪問云服務(wù)器 ECS 上相關(guān)業(yè)務(wù)時(shí)，可能出現(xiàn)訪問異常的情況。本文先對(duì)整個(gè)鏈路上，可能引發(fā)訪問異常的相關(guān)因素及癥狀進(jìn)行說明，然后闡述了出現(xiàn)異常時(shí)的排查思路及處理辦法。最后對(duì)工單提交時(shí)的注意事項(xiàng)進(jìn)行了說明。
說明：本文相關(guān)說明不考慮阿里云 CDN 或第三方 CDN 網(wǎng)絡(luò)相關(guān)因素的影響。
從客戶端到服務(wù)端的整個(gè)鏈路上，可能引發(fā)訪問異常的相關(guān)因素主要如下ECS 訪問異常關(guān)聯(lián)因素示意圖所示：
相關(guān)因素可能導(dǎo)致的癥狀，主要如下ECS 訪問異常癥狀對(duì)應(yīng)圖所示：
如果客戶端是通過私網(wǎng)訪問，則其鏈路相對(duì)簡單?？赡芤l(fā)訪問異常的因素及導(dǎo)致的客戶端癥狀包括：
- 源服務(wù)器內(nèi)部配置
- 因素說明：
源服務(wù)器內(nèi)部防火墻、安全軟件等安全策略，或系統(tǒng)中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致訪問異常。
- 可能癥狀及原因：
- ping 丟包：源服務(wù)器中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致網(wǎng)絡(luò)異常。
- ping 不通：源服務(wù)器系統(tǒng)內(nèi)安全軟件等安全策略禁止外 ping。
- 所有端口 telnet 都不通：源服務(wù)器中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致網(wǎng)絡(luò)異常。
- 只有部分端口 telnet 不通：源服務(wù)器系統(tǒng)內(nèi)安全軟件等安全策略禁止了對(duì)部分端口的訪問。
- 源服務(wù)器安全組配置
- 因素說明：
源服務(wù)器歸屬安全組規(guī)則阻斷了對(duì)目標(biāo)服務(wù)器的訪問。
- 可能癥狀及原因：
- ping 不通：源服務(wù)器出方向配置了禁 ping 規(guī)則。
- 所有端口 telnet 都不通：源服務(wù)器出方向?yàn)橹付ǘ丝谂渲昧?nbsp;drop 規(guī)則。
- 只有部分端口 telnet 不通：源服務(wù)器出方向?yàn)樗卸丝谂渲昧?nbsp;drop 規(guī)則。
- 負(fù)載均衡白名單
- 因素說明：
如果目標(biāo)服務(wù)器是負(fù)載均衡，則相應(yīng)監(jiān)聽端口開啟白名單后，只有指定的 IP 或 IP 段地址才能對(duì)其訪問。
- 可能癥狀及原因：
- 只有部分端口 telnet 不通：源服務(wù)器 IP 不在白名單之內(nèi)，導(dǎo)致無法訪問相應(yīng)監(jiān)聽端口。
- 目標(biāo)服務(wù)器安全組配置
- 因素說明：?目標(biāo)服務(wù)器歸屬安全組規(guī)則阻斷了源服務(wù)器的訪問。
- 可能癥狀及原因：
- ping 不通：目標(biāo)服務(wù)器入方向配置了禁 ping 規(guī)則。
- 所有端口 telnet 都不通：目標(biāo)服務(wù)器入方向?yàn)橹付ǘ丝谂渲昧?nbsp;drop 規(guī)則。
- 只有部分端口 telnet 不通：目標(biāo)服務(wù)器入方向?yàn)樗卸丝谂渲昧?nbsp;drop 規(guī)則。
- 目標(biāo)服務(wù)器內(nèi)部配置
- 因素說明：目標(biāo)服務(wù)器內(nèi)部防火墻、安全軟件等安全策略，或系統(tǒng)中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致訪問異常。
- 可能癥狀及原因：
- ping 丟包：目標(biāo)服務(wù)器中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致訪問異常。
- ping 不通：目標(biāo)服務(wù)器系統(tǒng)內(nèi)安全軟件等安全策略禁 ping。
- 所有端口 telnet 都不通：目標(biāo)服務(wù)器中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致訪問異常。
- 只有部分端口 telnet 不通：目標(biāo)服務(wù)器系統(tǒng)內(nèi)安全軟件等安全策略禁止了對(duì)部分端口的訪問。
如果客戶端通過公網(wǎng)訪問，則涉及的關(guān)聯(lián)因素較多，包括：
對(duì)于客戶端網(wǎng)絡(luò)環(huán)境，可能引發(fā)訪問異常的因素及導(dǎo)致的客戶端癥狀包括：
- 用戶本地網(wǎng)絡(luò)
- 因素說明：
如果用戶本地網(wǎng)絡(luò)存在異常，可能會(huì)導(dǎo)致部分 IP 或所有 IP 均無法正常訪問。
- 可能癥狀及原因：
- 非阿里云服務(wù) IP 也無法訪問：不僅是目標(biāo)服務(wù)器無法訪問，其它非阿里云 IP 也無法訪問。
- 本地 DNS 劫持
- 因素說明：
用戶本地網(wǎng)絡(luò)或當(dāng)?shù)剡\(yùn)營商有 DNS 劫持行為，導(dǎo)致訪問目標(biāo)服務(wù)器關(guān)聯(lián)業(yè)務(wù)時(shí)，出現(xiàn)非正常跳轉(zhuǎn)或者被插入廣告。
- 可能癥狀及原因：
- 非正常跳轉(zhuǎn)：DNS 劫持導(dǎo)致訪問目標(biāo)服務(wù)器關(guān)聯(lián)業(yè)務(wù)時(shí)，跳轉(zhuǎn)到了其它無關(guān)聯(lián)網(wǎng)站。
- 被插入廣告：DNS 劫持導(dǎo)致訪問目標(biāo)服務(wù)器關(guān)聯(lián)業(yè)務(wù)時(shí)，頁面被插入廣告。
對(duì)于運(yùn)營商網(wǎng)絡(luò)環(huán)境，可能引發(fā)訪問異常的因素及導(dǎo)致的客戶端癥狀包括：
- 運(yùn)營商網(wǎng)絡(luò)策略
- 因素說明：
運(yùn)營商根據(jù)其策略，可能會(huì)進(jìn)行 DNS 劫持，或阻斷某些 IP、域名或端口的訪問。
- 可能癥狀及原因：
- 被插入廣告：DNS 劫持導(dǎo)致訪問目標(biāo)服務(wù)器關(guān)聯(lián)業(yè)務(wù)時(shí)，頁面被插入廣告。
- 域名無法訪問但 IP 訪問正常：運(yùn)營商對(duì)某些違規(guī)域名的訪問做了阻斷。
- 所有端口 telnet 都不通：運(yùn)營商對(duì)某些違規(guī) IP 的訪問做了阻斷。
- 只有部分端口 telnet 不通：運(yùn)營商對(duì)某些高危端口的訪問做了阻斷。
- 備案
- 因素說明：
對(duì)于境內(nèi)服務(wù)器，根據(jù)行政管控要求，需要進(jìn)行備案。
- 可能癥狀及原因：
- 非正常跳轉(zhuǎn)：目標(biāo)服務(wù)器關(guān)聯(lián)域名未備案，導(dǎo)致訪問關(guān)聯(lián)業(yè)務(wù)時(shí)，跳轉(zhuǎn)到了備案提示頁面。
- 域名無法訪問但 IP 訪問正常：目標(biāo)服務(wù)器關(guān)聯(lián)域名未備案，導(dǎo)致訪問時(shí)，跳轉(zhuǎn)到了備案提示頁面，但通過 IP 訪問無影響。
對(duì)于阿里云網(wǎng)絡(luò)環(huán)境，可能引發(fā)訪問異常的因素及導(dǎo)致的客戶端癥狀包括：
- 云盾-肉雞關(guān)停
- 因素說明：
目標(biāo)服務(wù)器因肉雞、中毒等問題，持續(xù)對(duì)外攻擊，被云盾關(guān)停。
- 可能癥狀及原因：
- ping 不通：服務(wù)器被關(guān)停導(dǎo)致無法 ping 通。
- 所有端口 telnet 都不通：服務(wù)器被關(guān)停導(dǎo)致所有端口都不通。
- 云盾-訪問攔截
- 因素說明：
源服務(wù)器因持續(xù)掃描探測、攻擊等行為，被云盾阻斷。
注意：如果源服務(wù)器本地網(wǎng)絡(luò)是通過 NAT 共享方式訪問公網(wǎng)的，則攻擊源不一定是客戶自身服務(wù)器，而可能是同網(wǎng)絡(luò)內(nèi)其它服務(wù)器。由于共享相同的公網(wǎng) IP，導(dǎo)致云盾阻斷相應(yīng) IP 后，源服務(wù)器的訪問也受到了波及和影響。
- 可能癥狀及原因：
- ping 不通：源服務(wù)器 IP 被云盾攔截，導(dǎo)致禁 ping。
- 所有端口 telnet 都不通：源服務(wù)器 IP 被云盾攔截，導(dǎo)致所有端口都無法訪問。
- 綠網(wǎng)-違規(guī)屏蔽
- 因素說明：
目標(biāo)服務(wù)器相關(guān) URL 存在違規(guī)內(nèi)容，訪問被阻斷。
- 可能癥狀及原因：
- 非正常跳轉(zhuǎn)：源服務(wù)器業(yè)務(wù)異常，導(dǎo)致相關(guān)訪問跳轉(zhuǎn)到了 DDos 高防或 Web 應(yīng)用防火墻源站異常提示頁面。
- 部分 URL 無法訪問：被 Web 應(yīng)用防火墻規(guī)則命中的相應(yīng) URL，客戶端無法正常訪問，會(huì)跳轉(zhuǎn)到了相應(yīng)的阻斷提示頁面。
- DDos 高防和 Web 應(yīng)用防火墻
- 因素說明：
目標(biāo)服務(wù)器業(yè)務(wù)異常，或者源服務(wù)器相關(guān)訪問行為被 DDos 高防或 Web 應(yīng)用防火墻攔截規(guī)則命中，導(dǎo)致訪問異常。
- 可能癥狀及原因：
- ping 不通：服務(wù)器被關(guān)停導(dǎo)致無法 ping 通。
- 所有端口 telnet 都不通：服務(wù)器被關(guān)停導(dǎo)致所有端口都不通。
- 負(fù)載均衡白名單
- 因素說明：
如果目標(biāo)服務(wù)器是負(fù)載均衡，則相應(yīng)監(jiān)聽端口開啟白名單后，只有指定的 IP 或 IP 段地址才能對(duì)其訪問。
- 可能癥狀及原因：
- 只有部分端口 telnet 不通：源服務(wù)器 IP 不在白名單之內(nèi)，導(dǎo)致無法訪問相應(yīng)監(jiān)聽端口。
- 目標(biāo)服務(wù)器安全組配置
- 因素說明：
目標(biāo)服務(wù)器歸屬安全組規(guī)則阻斷了源服務(wù)器的訪問。
- 可能癥狀及原因：
- ping 不通：目標(biāo)服務(wù)器入方向配置了禁 ping 規(guī)則。
- 所有端口 telnet 都不通：目標(biāo)服務(wù)器入方向?yàn)橹付ǘ丝谂渲昧?nbsp;drop 規(guī)則。
- 只有部分端口 telnet 不通：目標(biāo)服務(wù)器入方向?yàn)樗卸丝谂渲昧?nbsp;drop 規(guī)則。
對(duì)于目標(biāo) ECS 服務(wù)器自身相關(guān)環(huán)境，可能引發(fā)訪問異常的因素及導(dǎo)致的客戶端癥狀包括：
- 目標(biāo)服務(wù)器欠費(fèi)停機(jī)
- 因素說明：目標(biāo)服務(wù)器欠費(fèi)停機(jī)導(dǎo)致無法訪問。
- 可能癥狀及原因：
- ping 不通：目標(biāo)服務(wù)器欠費(fèi)停機(jī)導(dǎo)致無法 ping 通。
- 所有端口 telnet 都不通：目標(biāo)服務(wù)器欠費(fèi)停機(jī)導(dǎo)致所有端口無法訪問。
- 目標(biāo)服務(wù)器內(nèi)部配置
- 因素說明：
目標(biāo)服務(wù)器內(nèi)部防火墻、安全軟件等安全策略，或系統(tǒng)中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致訪問異常。
- 可能癥狀及原因：
- ping 丟包：目標(biāo)服務(wù)器中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致訪問異常。
- ping 不通：目標(biāo)服務(wù)器系統(tǒng)內(nèi)安全軟件等安全策略禁ping。
- 所有端口 telnet 都不通：目標(biāo)服務(wù)器中毒等操作系統(tǒng)內(nèi)部問題導(dǎo)致訪問異常。
- 只有部分端口 telnet 不通：目標(biāo)服務(wù)器系統(tǒng)內(nèi)安全軟件等安全策略禁止了對(duì)部分端口的訪問。
- 軟件源地址訪問控制
- 因素說明：
目標(biāo)服務(wù)器內(nèi)部業(yè)務(wù)軟件對(duì)源 IP 做了訪問控制，導(dǎo)致源服務(wù)器無法訪問。
- 可能癥狀及原因：
- 只有部分端口 telnet 不通：相應(yīng)端口對(duì)應(yīng)業(yè)務(wù)軟件對(duì)源 IP 做了訪問控制，阻斷了源服務(wù)器的訪問。
對(duì)于 ECS 訪問異常問題，基本排查思路如下ECS 服務(wù)器訪問異常問題排查流程圖所示：
對(duì)于 ECS 訪問異常問題，參照前圖，其排查思路說明如下：
如果客戶端通過私網(wǎng)訪問，則訪問異常時(shí)，可通過如下步驟進(jìn)行判斷、排查分析和處理：
- 所有服務(wù)器訪問目標(biāo)服務(wù)器均存在異常？
即從其它不同服務(wù)器同時(shí)訪問目標(biāo)服務(wù)器做對(duì)比測試。
- 【1-A】 是（所有服務(wù)器訪問目標(biāo)服務(wù)器均存在異常）：
如果所有服務(wù)器訪問均存在異常，則推斷是目標(biāo)服務(wù)器歸屬安全組、或服務(wù)器內(nèi)部自身存在異常所致。需要做進(jìn)一步排查分析。
-
【1-B】 否（只有源服務(wù)器訪問目標(biāo)服務(wù)器存在異常）：
如果只有源服務(wù)器訪問存在異常，則推斷是源服務(wù)器歸屬安全組、服務(wù)器內(nèi)部自身存在異常或源服務(wù)器到目標(biāo)服務(wù)器之間的網(wǎng)絡(luò)存在異常所致。需要做進(jìn)一步排查分析。
如果客戶端通過公網(wǎng)訪問，則訪問異常時(shí)，可通過如下步驟進(jìn)行判斷、排查分析和處理：
- URL 訪問問題判斷：
1.1 被插入廣告？
即客戶端訪問目標(biāo)服務(wù)器業(yè)務(wù)時(shí)，是否出現(xiàn)了頁面被插入廣告的情況。
- 【1.1-A】 是（頁面被插入廣告）：
如果是頁面被插入廣告情況，則參閱如下步驟進(jìn)一步排查：
- 1.1-A.1 系統(tǒng)內(nèi)部訪問是否正常？
即通過 管理終端 進(jìn)入目標(biāo)服務(wù)器，在服務(wù)器內(nèi)部使用 127.0.0.1做對(duì)比訪問測試看是否正常。
- 【1.1-A.1-A】 是（目標(biāo)服務(wù)器系統(tǒng)內(nèi)部訪問也存在異常）：
如果目標(biāo)服務(wù)器內(nèi)部訪問也存在異常，則需要聯(lián)系業(yè)務(wù)提供商或者業(yè)務(wù)運(yùn)維人員，檢查代碼配置、軟件運(yùn)行狀態(tài)。
- 【1.1-A.1-B】 否（目標(biāo)服務(wù)器系統(tǒng)內(nèi)部訪問正常）：
如果目標(biāo)服務(wù)器內(nèi)部訪問正常，則判斷是由于本地網(wǎng)絡(luò)異常或者本地運(yùn)營商劫持所致。用戶可以嘗試修改本地 DNS 服務(wù)器地址看問題能否解決。如果還有問題，建議聯(lián)系本地網(wǎng)絡(luò)部門排查分析，或向當(dāng)?shù)剡\(yùn)營商進(jìn)行問題反饋。
- 【1.1-B】 否（頁面沒有被插入廣告）：
如果不是頁面被植入廣告問題，則參閱后續(xù)步驟進(jìn)一步排查分析。
- 1.1-B.1 頁面異常跳轉(zhuǎn)？
即客戶端訪問目標(biāo)服務(wù)器業(yè)務(wù)時(shí)，相關(guān) URL 是否出現(xiàn)了非正常跳轉(zhuǎn)。
- 【1.1-B.1-A】 是（頁面出現(xiàn)了非正常跳轉(zhuǎn)）：
如果是頁面出現(xiàn)了非正常跳轉(zhuǎn)，則參閱如下步驟進(jìn)一步排查分析：
- 1.1-B.1-A.1 系統(tǒng)內(nèi)部訪問是否正常？
即通過 管理終端 進(jìn)入目標(biāo)服務(wù)器，在服務(wù)器內(nèi)部使用 127.0.0.1做對(duì)比訪問測試看是否正常。
- 【1.1-B.1-A.1-A】 否（目標(biāo)服務(wù)器系統(tǒng)內(nèi)部訪問也存在異常）：
如果目標(biāo)服務(wù)器內(nèi)部訪問也存在異常，則需要聯(lián)系業(yè)務(wù)提供商或者業(yè)務(wù)運(yùn)維人員，檢查代碼配置、軟件運(yùn)行狀態(tài)。
- 【1.1-B.1-A.1-B】 是（目標(biāo)服務(wù)器系統(tǒng)內(nèi)部訪問正常）：
如果目標(biāo)服務(wù)器內(nèi)部訪問正常，則可以根據(jù)跳轉(zhuǎn)到的頁面做進(jìn)一步處理。比如：
- 【1.1-B.1-B】 否（頁面沒有出現(xiàn)非正常跳轉(zhuǎn)）：
如果不是頁面非正常跳轉(zhuǎn)問題，則參閱后續(xù)步驟進(jìn)一步排查分析。
- < >
如果不是 URL 訪問異常問題，則需要通過對(duì)比分析確定問題范圍：
2.1 所有網(wǎng)絡(luò)訪問都有異常？
即通過第三方撥測平臺(tái)，從全國各地做對(duì)比訪問測試，判斷是否所有網(wǎng)絡(luò)訪問目標(biāo)服務(wù)器都存在同樣異常。
【2.1-A】 是（所有網(wǎng)絡(luò)訪問均存在異常）：
如果經(jīng)過測試，所有外部網(wǎng)絡(luò)訪問均存在異常，則參閱如下步驟進(jìn)一步排查分析：
-
【2.1-B】 否（只有源服務(wù)器訪問目標(biāo)服務(wù)器存在異常）
如果只有源服務(wù)器訪問存在異常，則參閱后續(xù)步驟進(jìn)一步排查分析。
- < >
如果只有源服務(wù)器訪問存在異常，則需要通過 ping 或 telnet 等測試做進(jìn)一步排查分析。
3.1 ping 是否正常？
即客戶端 ping 目標(biāo)服務(wù)器 IP 地址是否正常。< >3.1-A】 否（ping 目標(biāo)服務(wù)器正常）：
如果客戶端 ping 目標(biāo)服務(wù)器丟包或不通，則可能是中間鏈路或?qū)Χ朔?wù)器存在異常所致，則需要通過 MTR 鏈路測試做進(jìn)一步排查分析。
鏈路測試操作說明可以參閱 ping 丟包或不通時(shí)鏈路測試說明。< >3.1-B】 是（ping 目標(biāo)服務(wù)器正常，但是端口訪問不通）：
如果 ping 目標(biāo)服務(wù)器正常，但是端口訪問不通，則需要參閱后續(xù)步驟進(jìn)一步排查分析。< >端口是否被目標(biāo)服務(wù)器攔截？
即目標(biāo)服務(wù)器歸屬安全組或系統(tǒng)內(nèi)部安全設(shè)置，是否有策略阻斷了客戶端對(duì)相應(yīng)端口的訪問。< >3.1-B.1-A】 是 （目標(biāo)服務(wù)器阻斷了客戶端對(duì)某些端口的訪問）：
如果確認(rèn)有對(duì)源服務(wù)器的阻斷策略，則需要進(jìn)行相應(yīng)調(diào)整。
安全組的常見使用問題，可以參閱安全組使用FAQ。
【3.1-B.1-B】 否（目標(biāo)服務(wù)器沒有阻斷策略）：
如果目標(biāo)服務(wù)器沒有針對(duì)源服務(wù)器的阻斷策略，則可能是相應(yīng)被運(yùn)營商攔截所致，則需要通過 tracetcp 等工具對(duì)端口阻斷情況做進(jìn)一步跟蹤分析。
端口可用性探測說明可以參閱 能 ping 通但端口不通時(shí)端口可用性探測說明。
如果經(jīng)過前述步驟還是未能成功解決問題，請(qǐng)參閱如下步驟依次進(jìn)行測試并記錄測試結(jié)果，然后提交工單。
如果客戶端是通過私網(wǎng)進(jìn)行訪問的，則請(qǐng)參閱如下步驟依次進(jìn)行測試并記錄測試結(jié)果：
- 通過不同服務(wù)器向目標(biāo)服務(wù)器做相同的訪問測試，看是否有同樣的異常癥狀。
- ping 目標(biāo)服務(wù)器 IP ，看是否正常。
- telnet 目標(biāo)服務(wù)器相應(yīng)端口，看是否正常。
- 源服務(wù)器 ping 自身網(wǎng)關(guān)，看是否正常。
- 目標(biāo)服務(wù)器 ping 自身網(wǎng)關(guān)，看是否正常。
- 源服務(wù)器 ping 目標(biāo)服務(wù)器網(wǎng)關(guān)，看是否正常。
- 目標(biāo)服務(wù)器 ping 源服務(wù)器網(wǎng)關(guān)，看是否正常。
- （按情況可選）參閱網(wǎng)絡(luò)異常時(shí)抓包操作說明，出現(xiàn)異常時(shí)同時(shí)從源服務(wù)器和目標(biāo)服務(wù)器抓包。
如果客戶端是通過公網(wǎng)進(jìn)行訪問的，則請(qǐng)參閱如下步驟依次進(jìn)行測試并記錄測試結(jié)果：
- 從不同地域不同網(wǎng)絡(luò)環(huán)境，向目標(biāo)服務(wù)器做同樣的訪問測試，看是否存在同樣的異常癥狀。
- 異常情況是否是頁面被插入廣告？
- 異常情況是否是頁面出現(xiàn)了異常跳轉(zhuǎn)？
- 客戶端 ping 目標(biāo)服務(wù)器，看是否正常。
- 客戶端 telnet 目標(biāo)服務(wù)器相應(yīng)業(yè)務(wù)端口，看是否正常。
- 如果是 ping 存在異常（丟包或中斷），則參閱 ping 丟包或不通時(shí)鏈路測試說明進(jìn)行測試，并記錄測試數(shù)據(jù)。
- 如果 ping 正常，但端口無法訪問，則參閱 能 ping 通但端口不通時(shí)端口可用性探測說明 進(jìn)行測試，記錄測試數(shù)據(jù)。
- （按情況可選）參閱網(wǎng)絡(luò)異常時(shí)抓包操作說明，出現(xiàn)異常時(shí)同時(shí)從源服務(wù)器和目標(biāo)服務(wù)器抓包。
- 售后技術(shù)支持。
