使用实例诊断

• 健康检查是否配置：检查CLB实例的监听是否配置了健康检查。
• 健康检查异常监测：检查CLB实例的监听健康检查是否存在异常。

• 监听为空：检查CLB实例是否已经配置了监听。关于CLB监听的更多信息，请参见监听概述。
• 后端服务器为空：检查CLB实例是否已经配置了后端服务器。关于CLB后端服务器的更多信息，请参见后端服务器概述。

• 带宽限速丢包：检查CLB实例是否因带宽超限而产生丢包。
• 最大支持连接数：检查CLB实例是否存在丢弃连接或并发连接数超85%限额 。
• 最大新建连接数：检查CLB实例是否存在丢弃连接或新建连接数超85%限额。
• 最大每秒查询数：检查CLB实例是否存在查询请求丢弃或查询请求水位超过85%限额。

• HTTPS监听未配置证书：检查CLB实例的HTTPS监听是否配置了证书。
• HTTPS监听存在过期证书：检查CLB实例的HTTPS监听的证书到期时间是否小于60天。

• 实例访问控制：检查CLB实例是否配置了ACL白名单或黑名单。
• DDoS基础防护状态：检查EIP相关网络行为是否被DDoS防护。
• 云防火墙拦截：检查EIP相关网络行为是否被云防火墙防护。
• 安全管控处罚：检查EIP相关网络行为是否被云盾安全管控处罚。
• 风控锁定：检查CLB实例是否被风控锁定。

• 欠费状态告警：检查CLB实例是否已经欠费。
• 欠费到期预警：检查CLB实例是否处于到期前15天的预警状态。

• QPS超限检查：检查VIP（Virtual IP address）级别QPS是否超限。
• 新建连接数超限检查：检查多个VIP间新建连接数是否均匀。首先统计ALB DNS解析后的每个VIP的新建连接数是否超限，然后进一步诊断是否属于访问不均。
• 并发连接数超限检查：检查并发连接数是否超限。
• ALB实例带宽利用率检查：检查多个VIP间带宽利用率，检查带宽是否超限，是否不均。

• 服务器闲置检查：检查服务器是否为空。
• 监听状态检查：检查是否存在停止服务的监听。
• 监听数量超过配额预警：检查ALB实例内监听数是否超过配额的70%。
• ALB闲置状态检查：检查ALB实例是否配置监听。更多信息，请参见管理监听。
• 转发规则配额使用量预警：检查转发规则数量是否超过配额的70%。

• 安全管控处罚：检查ALB关联的EIP相关网络行为是否被云盾安全管控处罚。
• DDoS基础防护状态：检查ALB关联的EIP相关网络行为是否被DDoS防护。
• 云防火墙拦截：检查ALB关联的EIP相关网络行为是否被云防火墙拦截。
• 访问控制配置检查：检查ALB实例是否配置了ACL黑名单和白名单。

• QPS分布检查：检查多个VIP间QPS是否均匀。
• 检查多个VIP间新建连接数分布：检查多个VIP间新建连接数分布情况。
• 并发连接数分布检查：检查实例级别的并发连接数分布情况。
• 客户端TLS握手失败率检查：统计客户端TLS失败连接数在活跃连接数中的占比。
  • >10%：提示。
  • >20%：一般。
  • >50%：严重。
• 带宽分布检查：检查多个VIP间带宽分布情况。
• 服务端TLS握手失败率检查：统计服务端TLS失败连接数在活跃连接数中的占比。
  • >10%：提示。
  • >20%：一般。
  • >50%：严重。
• 5xx状态码：检查ALB实例下所有监听的5xx错误码分布情况。
  • >10%：提示。
  • >20%：一般。
  • >50%：严重。
• 4xx状态码：检查ALB实例下所有监听的4xx错误码分布情况。
  • >10%：提示。
  • >20%：一般。
  • >50%：严重。

• 共享带宽包到期预警：检查公网共享带宽包是否即将到期。
  • <30天：提示。
  • <15天：一般。
  • <7天：严重。
• ALB实例欠费到期预警：检查ALB实例是否在15天内到期。
• ALB实例欠费状态告警：检查ALB实例是否已经欠费。

• 限速丢包：检查NAT网关实例是否因为超规格使用而导致限速丢包。
• SNAT源端口分配失败检查：检查SNAT源端口分配是否成功。

  访问同一个目的IP和端口的并发连接数超过绑定公网NAT网关的一个EIP提供的端口数量支持的最大并发连接数时，会导致新建失败。您可以将多个EIP加入同一个SNAT地址池中，以支持更大的并发连接数。具体操作，请参见创建SNAT IP地址池。

• 路由缺失检查：检查NAT网关实例所在VPC路由表中是否存在路由指向NAT网关的路由条目。
• 实例状态检查：检查NAT网关实例的状态是否正常。
• NAT策略配置检查：检查NAT网关实例是否已配置SNAT和DNAT规则。具体操作，请参见配置SNAT和配置DNAT。
• EIP绑定状态检查：检查NAT网关实例是否已经绑定了EIP实例。具体操作，请参见绑定IP。

• NAT网关实例流量处理率检测：检查NAT网关实例的流量处理率是否正常。
• NAT实例并发连接利用率监测：检查NAT网关实例的并发连接利用率是否正常。

• 欠费到期预警：检查NAT网关实例是否处于到期前15天的预警状态。
• 欠费状态告警：检查NAT网关实例是否已经欠费。

• 实例业务状态检查：检查EIP实例的业务状态是否正常。
• EIP分配状态检查：检查EIP实例是否已经被绑定到云资源。

• EIP带宽水位高：检测EIP实例的带宽水位是否正常。
• EIP带宽限速丢包：检查EIP实例是否存在由于带宽超限而导致的丢包。

• DDoS基础防护状态：检查EIP实例的相关网络行为是否被DDoS防护。
• 云防火墙拦截：检查EIP实例的相关网络行为是否被云防火墙拦截。
• 安全管控处罚：检查EIP实例的相关网络行为是否被云盾安全管控处罚。
• 风控锁定：检查EIP实例是否被风控锁定。

• 欠费状态告警：检查EIP实例是否已经欠费。
• 欠费到期预警：检查EIP实例是否处于到期前15天的预警状态。

• 实例业务状态检查：检查全球加速实例的业务状态是否正常。
• 配置完整性检查：检查全球加速实例的业务加速配置是否完整。
• 配置正确性检查：检查全球加速实例配置是否正确。
• 实例访问控制：检查实例是否配置访问控制白名单或黑名单。关于访问控制更多信息，请参见访问控制。

• 加速IP带宽水位高：检查加速IP的出入带宽利用率。
  • <60%：通过
  • 61%~80%：一般
  • 81%~90%：严重
  • >90%：致命
• 加速IP带宽限速丢包：检查加速IP的出入丢包情况，按照丢包比例计算。
  • 0%：通过
  • 1%-5%：一般
  • 5%-10%：严重
  • >10%：致命
• 终端节点组带宽水位高：检查终端节点组出公网IP的出入带宽利用率。
  • <60%：通过
  • 61%~80%：一般
  • 81%~90%：严重
  • >90%：致命
• 终端节点组带宽限速丢包：检查终端节点组出公网IP带宽丢包情况，按照丢包比例计算。
  • 0%：通过
  • 1%-5%：一般
  • 5%-10%：严重
  • >10%：致命

关于全球加速证书的更多信息，请参见绑定和管理证书。

• DDoS基础防护状态：检查加速IP相关网络行为是否被DDoS防护，是否处于DDoS清洗或黑洞状态。
• 云防火墙拦截：检查加速IP相关网络行为是否被云防火墙拦截。
• 安全管控处罚：检查加速IP相关网络行为是否被云盾安全管控处罚。
• 风控锁定：检查加速IP是否被风控锁定。

• 欠费状态告警：检查全球加速实例或带宽是否处于欠费状态。
• 欠费到期预警：检查实例是否处于到期前7天的预警状态。

• 健康状态检查：检查终端节点的健康状态。
• 访问异常检查：检查后端服务返回超时或异常码。

关于终端节点健康检查更多信息，请参见开启和管理健康检查

如果VPN网关实例处于配置状态，请等待VPN网关实例变为正常状态后再操作。

建议您将VPN网关版本自助升级至最新版以体验更多功能。具体操作，请参见升级VPN网关。

如果系统检测到IPsec连接协商状态异常，您可以根据控制台提供的建议排查问题或参见相关文档排查问题。更多信息，请参见自主排查IPsec-VPN连接问题。

如果系统检测到VPN网关实例缺少配置，请您根据网络互通需求添加相关配置：

• 配置IPsec连接，请参见创建和管理IPsec连接。
• 配置SSL服务端，请参见创建SSL服务端。

100.64.0.0/10是阿里云系统网段，需确保VPN网关实例下策略路由、目的路由和BGP路由的目标网段不与100.64.0.0/10（包含其子网）网段冲突，否则会造成VPN网关实例无法正常工作。

如果系统检测到系统网段冲突，请修改网段配置或使用NAT网关产品进行地址转换。更多信息，请参见VPC NAT网关联动VPN网关实现云上与云下私网互访。

SSL服务端使用UDP协议存在不可靠连接占用连接数的情况，建议修改SSL服务端协议为TCP，使用TCP协议可以规避该问题，且TCP协议可靠性更好。具体操作，请参见修改SSL服务端。

如果系统检测到网段冲突，建议修改SSL服务端的网段配置。具体操作，请参见修改SSL服务端。

如果系统检测到客户端网段IP地址不足，请修改客户端网段。具体操作，请参见修改SSL服务端。

需确保您指定的客户端网段所包含的IP地址个数是SSL-VPN连接数的4倍及以上。

例如：您指定的客户端网段为192.168.0.0/24，系统在为客户端分配IP地址时，会先从192.168.0.0/24网段中划分出一个子网掩码为30的子网段，例如192.168.0.4/30，然后从192.168.0.4/30中分配一个IP地址供客户端使用，剩余三个IP地址会被系统占用以保证网络通信，此时一个客户端会耗费4个IP地址。因此，为保证您的客户端均能分配到IP地址，请确保您指定的客户端网段所包含的IP地址个数是SSL-VPN连接数的4倍及以上。

如果系统检测到SSL服务端的客户端网段为公网网段时，您需要将该公网网段设置为VPC的用户网段。关于用户网段的更多信息，请参见什么是用户网段？和如何配置用户网段？。

如果系统检测到IPsec连接存在上述情况，请排查IPsec连接BGP配置及BGP协议报文收发情况。更多信息，请参见IPsec连接状态为“第二阶段协商成功”，但BGP路由协议的协商状态为“异常”怎么办？。

如果VPN网关实例的带宽利用率已达VPN网关实例带宽规格的80%，您可以根据实际网络需求提升VPN网关实例带宽规格。具体操作，请参见变配VPN网关实例。

如果VPN网关实例下的SSL-VPN连接数已达VPN网关实例SSL-VPN连接数规格的80%，您可以根据实际网络需求提升VPN网关实例SSL-VPN连接数规格。具体操作，请参见修改SSL并发连接数。

如果系统检测到VPN网关实例处于欠费状态，请及时续费充值。具体操作，请参见如何充值和续费VPN网关实例。

如果系统检测到VPN网关实例将在7天内到期，请及时为VPN网关实例续费。具体操作，请参见续费VPN网关实例。

如果系统检测到VPN网关实例存在未发布的策略路由或目的路由，请根据网络互通需求发布路由或删除路由。具体操作，请参见发布策略路由、删除策略路由、发布目的路由和删除目的路由。

• 在IPsec-VPN连接使用BGP动态路由协议的情况下，不建议为VPN网关实例配置策略路由或目的路由，建议使用BGP动态路由协议实现组网。
• 在IPsec-VPN连接使用BGP动态路由协议的情况下，建议为IPsec连接关闭健康检查功能。
• 在IPsec-VPN连接使用BGP动态路由协议的情况下，建议IPsec连接的路由模式使用目的路由模式。

• 在使用IPsec-VPN连接过程中，检查VPN网关实例是否缺少路由配置。

  如果需要为VPN网关实例添加目的路由、策略路由或BGP配置，请参见使用策略路由、使用目的路由和创建和管理IPsec连接。

• 在IPsec-VPN连接启用BGP动态路由协议的情况下，检查VPN网关实例是否已开启路由自动传播功能。

  如果您需要为VPN网关实例开启路由自动传播功能，请参见开启路由自动传播。

如果系统检测到目的路由的目标网段之间有重叠，请删除目的路由重新创建，确保目的路由的目标网段之间没有重叠。具体操作，请参见使用目的路由。

您也可以使用BGP动态路由协议实现组网。更多信息，请参见建立VPC到本地数据中心的连接（BGP动态路由）。

如果系统检测到策略路由的目标网段之间有重叠，请删除策略路由重新创建，确保策略路由的目标网段之间没有重叠。具体操作，请参见使用策略路由。

您也可以使用BGP动态路由协议实现组网。更多信息，请参见建立VPC到本地数据中心的连接（BGP动态路由）。

• 检查BGP路由的目标网段之间是否有重叠。
• 检查BGP路由的目标网段与目的路由的目标网段是否有重叠。
• 检查BGP路由的目标网段与策略路由的目标网段是否有重叠。

如果BGP路由的目标网段与其他路由的目标网段重叠，请根据控制台建议进行操作。

需确保策略路由的目标网段包含VPC路由表中指向VPN网关实例的路由的目标网段。

如果系统检测到当前配置不满足需求，您需要修改策略路由的目标网段，请先删除策略路由然后重新创建。具体操作，请参见使用策略路由。

• 健康检查配置：检查云企业网CEN（Cloud Enterprise Network）或者VBR上连是否已经配置高速通道健康检查。
• 健康检查丢包状态：检查VBR上连或CEN场景下配置的健康检查丢包情况。

• 物理端口状态异常：检查接入设备物理专线的物理端口状态是否异常。
• 专线直连地址可达性检查：检查VBR阿里云侧的IP地址是否可以ping通客户IDC侧的IP地址。
• BGP连接状态异常：检查VBR上BGP的邻居状态是否为已建立状态。
• VBR冗余关系检查：检查云企业网的转发路由器TR（Transit Router）到VBR或者专有网络VPC（Virtual Private Cloud）到VBR的部分或全部网段是否未配置冗余线路。
• 物理端口收光异常：检查阿里侧物理端口是否能正常收到客户IDC侧发来的光信号。

• BGP路由条目超限：检查VBR的边界路由协议BGP（Border Gateway Protocol）路由是否超过限制。
• VBR限速丢包：检查流量是否超出VBR规格导致丢包。

• VBR欠费检查：检查VBR实例是否处于欠费状态。
• VBR上连欠费检查：检查VBR上连实例是否处于欠费状态。
• PC欠费检查：检查VBR实例关联的物理端口是否处于欠费状态。

如果转发路由器下的网络实例连接不需要和转发路由器路由表建立路由学习关系，请确保转发路由器路由表下存在去往网络实例的静态路由，否则转发路由器无法将流量转发至网络实例。

关于路由学习的更多信息，请参见路由学习。

关于关联转发的更多信息，请参见关联转发。

关于网络ACL的更多信息，请参见网络ACL概述。

如果需要VBR实例可以自动学习到转发路由器侧的路由，本端转发路由器可以学习到对端转发路由器侧的路由，VBR连接和跨地域连接需要需打开自动发布路由的开关。

每个转发路由器路由表下支持的路由条目数量为2000条。