Antes de utilizar o Bastionhost, revise os limites a seguir para garantir a estabilidade e a segurança do service.
Utilize o nome de domínio atribuído pelo Bastionhost
O Bastionhost fornece um nome de domínio público ou privado fixo para conexões de O&M. Utilize esse nome de domínio em vez do endereço IP subjacente, pois o endereço IP pode mudar e interromper as conexões de O&M.
Limites de concorrência
Cada conexão TCP em uma sessão consome um slot de concorrência. O Bastionhost opera de forma confiável apenas quando o uso permanece dentro da cota de concorrência. Exceder essa cota pode interromper o service. Para visualizar a cota da sua instância, consulte Billing methods.
-
Para manter a estabilidade do sistema, o Bastionhost oferece proteção contra sobrecarga. Caso operações que demandem muitos recursos sobrecarreguem o sistema, o Bastionhost poderá rejeitar novas conexões de sessão ou encerrar sessões ativas. Se a proteção contra sobrecarga for acionada, entre no grupo do DingTalk (ID: 33797269) e contate um especialista técnico do product para obter assistência.
ImportanteOutras operações intensivas em recursos que podem acionar a proteção contra sobrecarga incluem operações gráficas complexas em sessões de área de trabalho remota, reprodução de vídeo em navegadores na área de trabalho remota e exportações de tabelas durante O&M de banco de dados.
Para uma instância da Basic Edition com suporte a 50 ativos, os cenários a seguir podem acionar a proteção contra sobrecarga:
Windows RDP em rede privada (1080p): 20 sessões RDP simultâneas podem acionar a proteção contra sobrecarga se exibirem um GIF animado que muda a cada 5 segundos durante 30 minutos.
Linux SSH em rede privada: 50 sessões simultâneas de Secure Shell (SSH) podem acionar a proteção contra sobrecarga se cada sessão enviar um comando a cada 5 segundos durante 30 minutos.
Sessões de banco de dados: 50 sessões simultâneas de banco de dados executando consultas simples podem acionar a proteção contra sobrecarga se cada sessão contiver mais de 10 conexões.
Limites de ferramenta cliente e versão para O&M
Utilize uma ferramenta cliente e uma versão compatíveis para evitar falhas de conexão e manter a estabilidade do sistema. Para opções suportadas, consulte Client remote connection tools and versions.
Para preservar a estabilidade e a segurança do sistema, utilize apenas o recommended client tools and versions. Conexões estabelecidas por meio de outras ferramentas não são cobertas pelo SLA.
Por exemplo, iShell, Dartshell e FinalShell podem criar um grande número de sessões exec em um curto período. Essas sessões consomem recursos excessivos do sistema e podem prejudicar outras sessões e funcionalidades.
Autenticação de dois fatores para usuários RAM
Para usuários RAM, o MFA é o único método de autenticação de dois fatores suportado.
Para ativar o MFA, faça logon no RAM console e vincule um dispositivo MFA ao usuário RAM. Para instruções, consulte Bind an MFA device to an Alibaba Cloud account.
Para usuários não RAM, como usuários locais e usuários Active Directory (AD)/LDAP, a autenticação de dois fatores pode utilizar códigos de verificação dinâmicos enviados por mensagem de texto, e-mail, notificação de trabalho do DingTalk ou token OTP.
Limite de comprimento de nome de usuário para RDP
Devido a limitações do cliente, os nomes de usuário do Bastionhost para O&M via RDP podem conter até 63 caracteres. Se um nome de usuário exceder esse limite, utilize web-based O&M.
Entrega de endereço de O&M por SMS para a China continental
Operadoras podem bloquear mensagens SMS contendo o endereço de O&M do Bastionhost quando a Alibaba Cloud International as envia para números móveis da China continental (+86). Caso uma mensagem seja bloqueada, utilize a autenticação por e-mail.
Outros recursos baseados em SMS, como autenticação de dois fatores e notificações de mensagens, não são afetados.
Auditoria de O&M via SSH: ambientes shell suportados
O Bastionhost consegue auditar sessões de O&M via SSH em ativos que utilizam bash, zsh, ksh ou dash. Ativos que utilizam outros shells podem apresentar problemas de compatibilidade durante O&M ou quando comandos são recuperados para auditoria.
Perguntas frequentes
A lista de permissões de endereços IP públicos do Bastionhost suporta endereços IPv6?
Não. A lista de permissões de endereços IP públicos do Bastionhost suporta apenas endereços IPv4. O parâmetro WhiteList aceita somente endereços no formato IPv4.
O Bastionhost pode auditar tráfego ou operações de VPNs autogerenciadas em instâncias ECS?
Não. O Bastionhost não consegue auditar tráfego ou operações provenientes de VPNs autogerenciadas em instâncias ECS. Para garantir que todas as atividades de O&M sejam registradas e auditadas, utilize um grupo de segurança ECS para restringir o acesso às portas SSH e RDP ao endereço IP de saída do Bastionhost e proibir conexões diretas às instâncias ECS a partir de outras origens.
Como a quantidade de ativos é contabilizada ao conectar por meio de um jump server?
O valor de Number of assets no console inclui apenas os servidores de destino gerenciados diretamente pelo Bastionhost. O próprio jump server não entra nessa contagem.