七、华为云网络综合实验 & 运维类及其他服务总结

一、网络类服务综合实验

实验目的

1. 理解 VPC 内部 ECS 通信规则；
2. 掌握安全组控制云服务器访问权限；
3. 掌握 EIP 弹性公网 IP 的绑定与公网访问；
4. 掌握 ELB 弹性负载均衡配置，实现流量分发；
5. 掌握同区域 VPC 对等连接配置；
6. 了解 VPN，实现跨区域 / 本地数据中心与云上 VPC 互通（选做）。

核心服务概念

表格

服务	说明
VPC 虚拟私有云	云上隔离虚拟网络，自定义网段、子网，实现资源网络隔离
安全组	实例级别防火墙，对 ECS 出入方向端口、协议做访问控制
EIP 弹性公网 IP	独立公网 IP + 带宽，可灵活绑定 / 解绑 ECS、ELB，不绑定则无公网能力
ELB 弹性负载均衡	将外部流量分发至多台后端 ECS，消除单点故障，提升业务并发
VPC 对等连接	仅支持同一区域 两个 VPC 私有互通；不能跨区域；创建后必须配置双向路由
VPN 虚拟专用网络	加密隧道，用于跨区域 VPC 互通、线下机房和云上 VPC 打通

实验环境（华东‑上海一）

1. VPC‑SH01：网段192.168.0.0/16，子网 subnet‑01 (192.168.0.0/24)、subnet‑02(192.168.1.0/24)
2. VPC‑SH02：网段10.0.0.0/16，子网 subnet‑03 (10.0.0.0/24)
3. ECS 三台
   • ecs‑sh‑01：VPC‑SH01 subnet‑01
   • ecs‑sh‑02：VPC‑SH01 subnet‑02
   • ecs‑sh‑03：VPC‑SH02 subnet‑03

关键实操与实验现象

1. VPC 内网连通验证
   • ✅同一 VPC 不同子网：默认互通，ecs‑sh‑02 可 ping 通 ecs‑sh‑01 私网 IP；
   • ❌不同 VPC：默认完全隔离，ecs‑sh‑02 无法 ping 通 ecs‑sh‑03 私网 IP。
2. 安全组通信控制
   • 删除全部入方向规则，同 VPC 主机 ping 不通；
   • 使用 "一键放通常用端口"，开放 ICMP、22、80、443，主机恢复通信。
3. EIP 公网访问 + 密钥对登录
   • ECS 未绑定 EIP，无法访问外网；
   • 按需购买 EIP 绑定 ECS；可使用 DEW 数据加密服务创建密钥对，使用私钥替代密码 SSH 远程登录；
   • 绑定 EIP 后，ECS 可 ping 公网域名（如baidu.com）访问互联网。
4. ELB 弹性负载均衡 1）ecs‑sh‑01、ecs‑sh‑02 执行命令启动简易 http 服务nohup python -m SimpleHTTPServer 8889 > /dev/null 2>&1 &，分别创建SERVER1、SERVER2标记文件； 2）创建共享型公网 ELB ，分配 EIP； 3）监听器：前端HTTP 8881；后端服务器组，加权轮询策略，后端端口8889，开启健康检查； 4）故障点 ：安全组未放通 8889 端口会导致健康检查异常；放通后状态转为正常； 5）浏览器访问http://ELB公网IP:8881，刷新轮流展示 SERVER1、SERVER2，实现流量负载分担。
5. VPC 对等连接（同区域） 1）创建对等连接，关联 VPC‑SH01 与 VPC‑SH02； 2）必须双向配置路由 ：VPC‑SH01 路由目的10.0.0.0/8下一跳对等连接；VPC‑SH02 路由目的192.168.0.0/16下一跳对等连接； 3）测试：ecs‑sh‑01 可以 ping 通 ecs‑sh‑03 的私网 IP。
6. VPN（选做，跨区域） 对等连接不支持跨区域，跨区域 VPC 使用 VPN；两端分别创建 VPN 网关、对端网关、VPN 连接，IKE/IPSec 加密策略两端配置保持一致，添加对应路由实现跨区域网络互通。

网络实验小结

1. 对等连接仅限同区域，跨区域选 VPN；
2. 对等连接创建完成不等于可以通信，双向路由是必要条件；
3. 安全组是实例级防火墙，业务端口不放通会造成业务、健康检查失败；
4. EIP 是独立资源，可以随时绑定解绑。

---

二、运维类服务实践

实验拓扑：ECS 分别上报操作事件至 CTS、性能指标至 CES、系统日志至 LTS。

实验目的

1. 理解云审计 CTS，查看云资源操作事件，配置关键操作通知；
2. 掌握云监控 CES，配置监控指标、告警规则，验证性能告警；
3. 掌握云日志 LTS，安装采集代理、采集、检索 ECS 主机日志。

2.1 云审计服务 CTS

作用：记录人对云资源的操作行为，记录操作人、时间、操作内容，用于安全审计溯源；对接 SMN 消息通知，异常操作推送短信 / 邮件。

1. 创建 CentOS7.8 的 ECS，开通 CTS，系统自动生成追踪器，保存租户 7 天内全部云资源操作事件。
2. 创建关键操作通知，监控 ECS 重启、删除服务器操作。
3. 配置 SMN 消息通知服务：
   • 创建 SMN 主题，添加短信订阅；收到订阅确认短信链接，完成订阅确认；
   • 在 SMN 页面手动发布测试文本消息，手机收到测试短信；
4. 将 SMN 主题绑定 CTS 关键操作通知；重启 ECS，手机收到 ECS 操作告警短信。
5. 在 CTS「事件列表」查看近 7 天全部操作记录，可以看到rebootServer等操作事件。

自主练习作业：创建 ECS，配置云审计，变更 ECS 规格，到 CTS 事件列表查看规格变更事件。

2.2 云监控服务 CES

作用：采集 ECS CPU、内存、磁盘、网络性能指标；配置告警规则，资源性能异常触发告警。

1. 进入云监控主机监控页面，确认监控 Agent 正常运行，查看 CPU、内存性能曲线。

2. 创建告警规则：监控 Agent 的 CPU 使用率，阈值大于 90% 触发告警。

3. root 登录 ECS 执行压力命令打满 CPU：

   echo "scale=800000;4*a(1)" | bc -l -q

4. 监控面板 CPU 飙升至 100%，告警记录状态变为告警中；

5. 使用top命令定位高占用 bc 进程，执行kill -9 PID终止进程；CPU 指标回落，告警自动变更为已解决。

2.3 云日志服务 LTS

作用：集中采集、存储、检索主机系统 / 业务日志；依赖ICAgent 采集代理完成日志采集。

1. LTS 控制台创建日志组、日志流；日志组是日志流的集合。
2. 获取华为云账号 AK/SK 凭证；在 ECS 执行脚本安装 ICAgent；控制台确认 Agent 状态为运行。
   • 故障点：控制台显示 Agent 离线，绝大多数是 AK/SK 凭证错误，重新获取重装。
3. 日志接入配置：创建主机组并加入目标 ECS；配置采集路径/var/log/messages（Linux 系统日志）。
4. 在 ECS 手动写入测试日志；LTS 控制台查看「实时日志」；使用关键词error检索原始日志。

三大运维服务对比

表格

服务	缩写	核心用途	监控对象
云审计服务	CTS	安全审计、操作溯源	人的操作行为（谁做了什么操作）
云监控服务	CES	资源性能监控、性能告警	CPU、内存、磁盘等性能指标
云日志服务	LTS	日志集中存储检索	主机系统、业务日志文本

运维实验收尾

实验结束删除 ECS、告警规则、日志组 / 日志流，释放资源避免扣费。

---

三、更多云服务

包含计算、存储、数据库、安全四大类华为云服务。

3.1 计算类服务

1. ECS 弹性云服务器 弹性虚拟云主机；支持按需 / 包年包月计费；支持 x86、鲲鹏 ARM 架构；支持密码、SSH 密钥对登录；可执行关机、重启、重装系统、变更规格。
2. IMS 镜像服务 镜像即服务器系统模板，包含操作系统 + 预装软件。
   • 将现有运行 ECS 制作私有镜像；利用私有镜像批量创建多台相同环境 ECS；支持镜像复制、共享；
   • 典型场景：业务环境批量部署。
3. AS 弹性伸缩服务（Auto Scaling） 根据业务负载，自动增加或减少 ECS 实例；业务高峰扩容、业务低峰缩容，节约成本。
   • 组件：伸缩配置、伸缩组、伸缩策略；伸缩组定义实例最小、最大实例数；可绑定 ELB 负载均衡；
   • 实验流程：创建伸缩配置→创建伸缩组→配置告警策略（如 CPU＞70% 扩容，CPU＜30% 缩容）→模拟业务压力，观察实例数量自动变化。

3.2 存储类服务

1. EVS 云硬盘（块存储） 块存储，用作 ECS 系统盘、数据盘；支持磁盘在线扩容、快照备份；只能挂载给单台 ECS 使用；适合操作系统、数据库。
2. SFS 弹性文件服务（文件存储） NFS 协议；支持多台 ECS 同时挂载读写同一个文件系统；适合大数据集群、多主机文件共享业务。
3. OBS 对象存储服务 对象存储，存放图片、视频、安装包等海量非结构化数据；核心概念为桶（Bucket）；支持文件上传下载、静态网站托管、生命周期冷热分层；多台主机通过网络 API 访问对象存储。
4. CBR 云备份 对 ECS、云硬盘整机备份；备份数据独立于磁盘，支持跨可用区恢复；区别快照：快照依附原磁盘，CBR 备份独立。

存储服务	存储类型	多主机共享访问	典型业务场景
EVS 云硬盘	块存储	❌单台挂载	操作系统盘、数据库盘
SFS 弹性文件	文件存储	✅多台同时挂载	大数据集群、多主机文件共享
OBS 对象存储	对象存储	✅网络 API 访问	图片视频、静态网站、归档备份

3.3 数据库类服务

1. RDS 关系型数据库 托管型数据库，支持 MySQL、PostgreSQL；华为云负责底层硬件、补丁、自动备份；主备架构实现故障自动切换；
   • 操作：购买实例、配置访问白名单、连接数据库、建库建表、备份恢复；
   • 优势：不用自行搭建维护数据库，开箱即用。
2. DCS 分布式缓存服务 兼容 Redis，内存缓存服务；存放热点业务数据、会话 Session，减轻后端数据库压力；创建实例后，ECS 可读写 key‑value 缓存数据。

3.4 安全类服务

1. HSS 企业主机安全：主机 Agent，漏洞扫描、病毒木马查杀、入侵行为检测。
2. WAF Web 应用防火墙：防护 Web 网站，拦截 SQL 注入、XSS 跨站脚本等 Web 攻击。
3. CBH 云堡垒机：云主机统一登录入口，账号权限管控，全部登录操作录像审计。
4. DEW 数据加密服务：SSH 密钥对管理，KMS 密钥用于云硬盘加密。

四、通用实验收尾要求

所有实验完成后，务必清理全部实验资源：删除 ECS、ELB、EIP、告警规则、日志资源、VPC 子网、RDS、缓存实例等，防止持续产生云服务费用。

全套实验知识总览

1. 网络：VPC、子网、安全组、EIP、ELB 负载均衡、VPC 对等连接（同区域）、VPN（跨区域）
2. 运维监控：CTS 云审计（操作审计）、CES 云监控（性能告警）、LTS 云日志（日志采集检索）
3. 计算：ECS 弹性云服务器、IMS 镜像服务、AS 弹性伸缩
4. 存储：EVS 块存储、SFS 文件存储、OBS 对象存储、CBR 云备份
5. 数据库：RDS 托管关系数据库、DCS 分布式缓存
6. 安全：HSS 主机安全、WAFWeb 防火墙、CBH 堡垒机、DEW 数据加密