阿里云
阿里云大学认证0元起
发表主题 回复主题
  • 407阅读
  • 2回复

[求助]9月4日阿里云官方说我ecs禁了slb的内网IP

级别: 码农
发帖
166
云币
256
9/8+R%  
9月4日阿里官方说我ecs禁了slb的内网IP N\ <riS9  
wy|b Hkr_  
,I|^d.[2  
SLB健康检查源地址相关通知 M.SF}U  
2018-09-04 k_1;YO BF  
我们评估发现您SLB后端的ECS或者ECS HTTP服务设置了访问控制,未对SLB的访问IP段放行。为了确保您对外服务的可用性,请您检查看是否已将100.64.0.0/10这个地址段添加到您相关SLB的后端ECS的访问控制白名单,并请检查ECS的HTTP服务设置以确保此网段所有地址的访问HTTP服务能正常工作。 KD\%B5Jy  
相关问题参考: fvta<  
问:如果我不在后端ECS上添加这个地址段,会出现什么问题? 2 .Xx)(>  
答:将会出现对这个ECS做健康检查时不通,健康检查一直异常,而服务不可用。 %*q^i}5)E  
问:如何在后端ECS上添加白名单? vx$DKQK@l\  
答:利用iptables可以进行白名单的添加。 .,VLQ btg  
问:如何放开HTTP服务的访问控制? b$Ei>%'/";  
答:使用的HTTP的服务软件不同,配置不同,典型的HTTP Server软件tomcat和nginx都提供了对应的IP访问控制功能,需要检查它们的配置。 Wt5pK[JV  
sOz {spA  
M!hD`5.3  
<2O#!bX1  
)~xH!%4F  
疑点1  b utBS  
我2个slb后端绑的是同一台ecs,阿里云官方说,仅其中一台slb提示ecs禁了slb内网ip.另一台slb没有提示ecs禁了slb内网ip。这不是笑话吗?我2个slb后端绑的是同一台ecs,居然一个slb正常,另一个slb被禁! vytO8m%U  
疑点2 h0x'QiCc  
阿里云官方评估标准:尝试使用新旧两个不同网段负载均衡IP的代理, 使用http访问配置的http 服务端口,获取http返回码,一个正常返回,一个连接超时。 3k8nWT:wT  
由于受网络状况和ECS当时运行状况影响,评估结果也不能保证100%正确,但一般出问题可能性不大。 hZ|0<u  
如果您已经确定后端服务器没有其他阻碍100.64.0.0/10这个地址段的规则,则可以放心继续使用。 00-2u~D&  
9 %Vy,  
[k%u$  
以上是阿里云官方答复 re4z>O*  
这种评测根本不可能受ECS当时运行状况影响!!!就算受影响他不可能一直永远是连接超时状态!!!! 即然出现了连接超时,阿里云官方居然告诉我一般出问题可能性不大?都超时了,阿里云官方居然说不会出问题????!!!!阿里云官方仔细查了吗?会不会是阿里云官方检测系统(新负载均衡IP)出了问题(阿里云官方检测别人的,他们别人的超时的多不多,从而判断是不是阿里云官方检测系统出错了,大家有没有出现这个情况及时回贴共同讨论下解决办法)   Y~r)WV!G  
可气的是:阿里云官方评测连接都超时了,还在回复里告诉我“但一般出问题可能性不大”“则可以放心继续使用”这样严重误导我的字眼。这字眼是暗示我不要较真了?是阿里云检测系统出了点小错误(但我又怕不是这种暗示,导致我网站打不开!) SgN?[r)  
I4 <_y5  
8X? EB6=c  
9月4日阿里云官方说我ecs禁了slb的内网IP,我马上就着急了,马上查了,和开多个工单和阿里云沟通的结果,已证实的是: FLG{1dS  
1 mYk~ ]a-  
slb仿问ecs不走安全组,所以ecs安全组禁了slb内网IP的可能性排除 lQRtsmZ0  
2 C0^r]^$Z  
iptables -L -n -v W%MS,zkAE  
Chain INPUT (policy ACCEPT 0 packets, 0 bytes) $&jVEMia  
pkts bytes target     prot opt in     out     source               destination         Qip@L WvT  
ExFz@6@  
c:B` <  
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) 0hXx31JN N  
pkts bytes target     prot opt in     out     source               destination         ^ME'D  
Bq-}BN?pz  
L)9Z Op5  
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes) mM{cH=  
pkts bytes target     prot opt in     out     source               destination   ^nFP#J)_5  
这是ecs iptables 结果,所以也排除了iptables禁了slb内网IP 7e#|Iq:o  
3 d*U<Ww^q  
web应用自身的拦截名单,apache网站的.htaccess配置文件中可以设置屏蔽某些IP地址访问网站,ECS上有配置安全软件,等等其他拦截了slb内网IP &2ty++gC  
这些更不可能,我ecs没这些东西,我是原生态的阿里云linux 所以这些禁了slb内网IP的可能性也排除了(另外用膝盖想想,都能想得出来,谁没事会禁内网IP?就算安全软件也不会禁内网IP吧?) v5{2hCdt  
 BJg  
eq<!  
疑点3 yGV>22vv M  
问:如果我不在后端ECS上添加这个地址段,会出现什么问题? *|@386\  
答:将会出现对这个ECS做健康检查时不通,健康检查一直异常,而服务不可用。 Nz; \PS  
$(*>]PC+)  
H9!q)qlK  
我slb和ecs配置好后,多年来,一直就没有动过配置了,而且我自己没有发现打不开网站的时候,阿里云公告里我看写的字样一直是 健康检查时不通,从而服务不可用(知字未提网友仿问slb.slb转发ecs能不能转发成功)这个公告为什么过分强调的是健康检查?而不是直接网友仿问slb就不能用了?不会这个公告仅针对健康检查吧?(公告写的不清不楚的!) hR.vJ2oa  
RU>qj *e  
|TR +Wn  
总结: ip1gCH/?_+  
阿里云官方那意思是让我凑合着用!但我担心打不开我的网站啊?所以发贴和大家讨论一下?看看有什么办法,我这边能自查的都查了
级别: 码农
发帖
166
云币
256
只看该作者 沙发  发表于: 09-07
在我的不懈努力下,质问了无数的阿里云一线客服,终于出来了个领导,在对话的过程中搞清楚原因了:原来是ecs安全组默认会封掉所有内网IP,但slb的IP不会经过安全组,所以以前一直没有事,但是最近slb增加了一些新的IP,这些新的slb的IP会经过安全组,所以被拦截了(因为ecs安全组默认是封掉所有内网IP的)。是阿里云官方忘了把slb的新IP放进ecs安全组里默认放行,导致的,这样的话,肯定大部分测试都没有通过啊,然后这么多测试没通过阿里云不自己先排查错误原因,居然发公告让用户自己查,结果我浪费了几天时间,现在搞清楚了,阿里云下次测试时要用点心啊,这么低级的错误也能出!吓我一跳(而且在对话过程中,那堆一线阿里云客服一直在“误导”我(往错误路线上引我),总把"责任"往我身上推,让我自己找原因,好在我聪明,坚持了一下,找到原因了)(而且吧后来阿里云好像自己也查出原因来了,直接告诉我没事,不用管了(但是我担心我站打不开啊,才一直强问),但不告诉我原因,是我强问下,才告诉我是这个原因的!)
级别: 码农
发帖
166
云币
256
只看该作者 板凳  发表于: 09-07
解答疑点1 f$vTDak  
我那2个slb绑定的同一台ecs 1台slb是http方式,另一台是tcp方式。原来他们仅测试的是http方式,所以tcp方式的另一台slb显示正常  nb6Y/`G  
解答疑点2 XP?)x Dr8  
负载均衡旧内网IP会跳过ecs安全组所以测试正常 KDH<T4#x  
新增加的负载均衡新内网IP不会跳过ecs安全组(ecs安全组默认封掉所有内网IP)所以连接超时。因为之前的阿里云一线客服直接明确告诉我的是slb仿问ecs是不经过ecs安组的,所以我也没有往安全组那里想!误导了我很久!而且负载均衡增加新内网IP这么大的变化,居然在公告里知字未提,如果提了,会引起我点警觉!往新内网IP被拦截那边想想,之前一直不知阿里云增加了新的负载均衡内网IP(仔细想想slb增加内网IP这事理论上不告诉我好像也正常) |{_>H '  
解答疑点3 ;EJ!I+�  
阿里云9月4日那个公告,整篇文字读完给我的感觉就是在说 slb健康检查的事,其实还真就是个slb健康检查,就不能写得清楚点,吓人一跳,而且整个公告没提ecs安全组会拦截新增加的slb内网IP的事,可能发公告时阿里云真的不知道ecs安全组默认会拦截slb新增加内网IP,可能阿里云的项目太多了,每个项目之间有哪些关联,可能阿里云自己都忘了,才出来这样的乌龙事件。而且出了这样的测试错误,阿里云居然没先内部自查一下,直接发公告让用户查,吓用户。而且在对话最后的过程中好像阿里云已经找到原因了,但不明确告诉我原因(可能因为出了这么低级的错误,怕没面子担负责吧),直接告诉我“没事不用管了”,如果那时可以及时告诉我原因,我可能都不会发这个贴子了,因为可能问题早就解决了
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您提交过一次失败了,可以用”恢复数据”来恢复帖子内容
 
验证问题: ECS是阿里云提供的什么服务? 正确答案:云服务器
上一个 下一个