为保障云原生内存数据库Tair的安全稳定,系统默认禁止所有IP地址访问Tair实例。在开始使用Tair实例前,您需要将客户端的IP地址或IP地址段添加到Tair实例的白名单中。正确使用白名单可以让Tair得到高级别的访问安全保护,建议您定期维护白名单。

准备工作

首先您需要先根据客户端的所属位置,获取应添加的客户端IP地址。

客户端位置 连接使用的网络类型 获取客户端IP地址的方法
ECS实例(推荐) 专有网络 查询ECS实例的IP地址
说明 需确保ECS实例与Tair实例属于同一专有网络(即实例基本信息中的专有网络ID一致),如果不同,您可以更换ECS实例所属的专有网络。具体操作,请参见更换ECS实例的VPC
本地或第三方云 公网 根据本地设备的操作系统,选择下述方法:
  • Linux操作系统:在本地设备上执行curl ipinfo.io |grep ip命令,获取其公网IP地址,返回示例如下。查看公网IP结果
  • Windows操作系统:在本地设备上访问淘宝IP地址库,获取其公网地址。

白名单设置方法介绍

设置方法 说明
方法一:手动添加白名单 手动添加客户端所属的IP地址到Tair实例的白名单,以允许该客户端访问Tair实例。
方法二:通过ECS安全组设置白名单 安全组是一种虚拟防火墙,用于控制安全组中的ECS实例的出入流量。如果需要授权多个ECS实例访问Tair实例,您可以通过为Tair实例绑定ECS所属安全组的方式实现快速授权(无需手动填写ECS的IP地址),提升运维的便捷性。
说明 集群架构的云盘实例,暂不支持该功能。
说明 您也可以同时设置白名单分组和ECS安全组,白名单分组中的IP地址和安全组中的ECS实例都可以访问该Tair实例。

方法一:手动添加白名单

  1. 访问Tair实例列表,在上方选择地域,然后单击目标实例ID。
  2. 在左侧导航栏,单击白名单设置
  3. default默认安全组,单击修改
    说明 您也可以单击添加白名单分组创建一个新的分组。分组名称长度为2~32个字符,由小写字母、数字或下划线(_)组成,需以小写字母开头,以小写字母或数字结尾。
  4. 在弹出的对话框中,根据要执行的操作,选择下述操作步骤:
    • 手动添加IP地址或IP地址段

      组内白名单文本框中输入IP地址或IP地址段。

      图 1. 手动修改白名单
      手动修改白名单
      说明
      • IP地址以英文逗号(,)分隔,不可重复,最多1000个。支持格式为:
        • 具体IP地址,例如10.23.12.24。
        • CIDR模式,即无类域间路由,/24表示地址中前缀的长度,范围为1~32,例如10.23.12.0/24表示的IP段范围为10.23.12.0 ~ 10.23.12.255。
      • 0.0.0.0/0表示允许所有IP地址访问该实例,存在高安全风险,请谨慎设置。
    • 加载ECS实例的内网IP地址到白名单
      1. 单击加载ECS私网IP

        将展示该实例所属地域的ECS私网IP。

      2. 根据业务需求选中对应的IP地址。
        图 2. 加载ECS内网IP地址
        加载ECS内网IP地址
        说明 为便于定位目标IP地址,您可以将鼠标指针悬浮在对应的IP地址上,系统将为您展示该IP地址所属ECS实例的ID和名称。
    • 清除白名单分组

      当某个白名单分组中的所有IP地址均需要移除且需要保留该分组时,您可以单击清除白名单分组来完成该操作。

  5. 单击确定
  6. 可选:若某个白名单分组中的所有IP地址均需要移除,您可以在目标白名单分组的右侧单击删除来完成该操作。
    系统默认生成的白名单分组无法删除,例如defaulthdm_security_ips等。

方法二:通过ECS安全组设置白名单

将ECS安全组添加至Tair实例后,该安全组中的所有ECS实例可以通过内网、公网访问Tair实例(公网访问Tair实例时,需提前已申请Tair实例的公网连接地址,具体操作请参见如何通过公网连接Tair实例)。

说明
  • 通过本方法设置白名单时,要求ECS实例和Tair实例属于同一专有网络(同一个VPC ID)。
  • 暂不支持设置ECS安全组的地域:华南2(河源)、华南3(广州)、华东5(南京)、华北6(乌兰察布)。

  1. 访问Tair实例列表,在上方选择地域,然后单击目标实例ID。
  2. 在左侧导航栏,单击白名单设置
  3. 单击安全组
  4. 安全组页签,单击添加安全组
  5. 在弹出的对话框中,选择需要添加的安全组。

    支持通过安全组名称安全组ID进行模糊搜索。

    图 3. 添加安全组
    添加安全组
    说明 每个实例最多可设置10个安全组。
  6. 单击确定
  7. 可选:当您需要移除所有安全组时,您可以单击清除安全组来实现。

相关API

API 说明
DescribeSecurityIps 查询Tair实例的IP白名单。
ModifySecurityIps 设置Tair实例的IP白名单。
DescribeSecurityGroupConfiguration 查询Tair实例白名单中已配置的安全组。
ModifySecurityGroupConfiguration 重新设置Tair实例白名单中的安全组。

常见问题

  • Q:Tair实例里有一些自动生成的白名单分组,它们的来源是什么?可以删除吗?

    A:初始情况下,Tair实例的白名单分组仅包含default,随着对实例执行某些操作,白名单分组会逐渐增多,详情请参见下表。

    白名单分组名称 来源说明
    default 系统默认的白名单分组,不可删除。
    ali_dms_group 通过DMS登录Tair实例时,DMS自动创建的白名单分组。具体操作,请参见通过DMS登录Tair。请勿删除或修改该白名单分组,否则可能导致无法通过DMS登录Tair实例。
    hdm_security_ips 使用CloudDBA相关功能时(例如离线全量Key分析),DAS自动创建的白名单分组。请勿删除或修改该白名单分组,否则可能导致CloudDBA功能使用异常。
  • Q:白名单分组里除了包含客户端的IP地址,还包含了127.0.0.1,这种情况下该客户端可以连接Tair实例吗?

    A:该客户端可以正常连接,如果所有的白名单分组里仅剩下127.0.0.1,则禁止所有IP地址连接Tair实例。

  • Q:为什么通过redis-cli连上后提示(error) ERR illegal address

    A:您的redis-cli所属设备的IP地址未添加至白名单中,请确认白名单配置。

  • Q:通过telnet测试端口返回如下报错。
    Escape character is '^]'.
    Connection closed by foreign host.

    A:表示当前设备的IP地址未添加到目标实例的白名单中,请参考上文方法将IP地址添加至白名单中,并进行重试。