Edge Security Acceleration:Perguntas frequentes sobre conexão de sites

O ESA da Alibaba Cloud usa um site (domínio raiz + todos os subdomínios) como unidade de gerenciamento. Principais benefícios:

1. Gerenciamento centralizado e operações simplificadas

   O ESA usa um "site" como unidade de gerenciamento, contendo um domínio raiz e todos os seus subdomínios com suas configurações. Ao contrário dos provedores tradicionais, que exigem adicionar subdomínios individualmente, o ESA permite que você gerencie todos os domínios raiz em uma única página.

2. Configure uma vez e aplique a todos os subdomínios

   Em um site do ESA, alterações de configuração, como registros DNS, configurações de cache ou regras de segurança, aplicam-se automaticamente a todos os subdomínios. Isso elimina a configuração por subdomínio e garante políticas uniformes de desempenho e segurança.

3. Gerenciamento eficiente de DNS

   O ESA permite configurar e gerenciar registros DNS diretamente no site, eliminando a necessidade de alternar entre plataformas.

4. Segurança aprimorada

   Conectar um domínio raiz, como example.com, centraliza o gerenciamento de segurança. O ESA oferece proteção contra DDoS e um Web Application Firewall (WAF), e essas configurações aplicam-se automaticamente a todos os subdomínios.

5. Melhoria no desempenho do site

   O ESA roteia solicitações pela rede distribuída globalmente para o ponto de presença (POP) mais próximo, reduzindo o tempo de carregamento. Todos os subdomínios do site se beneficiam dessa aceleração automaticamente.

6. Monitoramento e análise facilitados

   O ESA fornece monitoramento em tempo real de dados de acesso, tráfego e métricas de desempenho, ajudando a identificar gargalos ou ameaças à segurança rapidamente.

Recomendamos conectar seu site ao ESA usando um domínio raiz (como example.com) e gerencie registros DNS, cache e segurança em um único local.

1. Siga o guia Quick start para adicionar api.example.com como site ao ESA usando a configuração NS.

2. Após adicionar o site, acesse a página Overview. O ESA atribui dois valores de registro NS. Adicione esses dois registros NS no provedor de DNS do seu domínio.

3. Adicione dois registros NS no provedor de DNS do seu domínio. As etapas a seguir usam o Alibaba Cloud DNS como exemplo para adicionar registros NS. O processo de configuração é semelhante para outros provedores de DNS.

   1. Faça login no console do Alibaba Cloud DNS.

   2. Na página Public Zone, localize o domínio raiz example.com e clique em Settings na coluna à direita.

   3. Clique em Add Record, defina o Record Type como NS, o Hostname como api e o Record Value como o valor de registro NS atribuído pelo ESA na Etapa 2. Mantenha os valores padrão para os outros parâmetros.

   4. Clique em OK para concluir o processo.

4. Após adicionar os registros NS no provedor de DNS, retorne ao console do ESA, acesse a página Overview e clique em Verify Nameserver. Após a verificação, conecte o subdomínio api.example.com ao ESA como site.

O ESA não permite alterar o nome de domínio de um site após adicioná-lo. Se você inseriu o nome de domínio incorretamente (por exemplo, adicionando um prefixo www extra), exclua o site atual e adicione-o novamente com o nome de domínio correto:

1. Na página Websites, localize o site de destino e clique em Delete para remover o site atual.

2. Excluir um site não afeta os planos adquiridos. O plano é desvinculado automaticamente do site.

3. Clique em Add Website e insira o nome de domínio correto.

4. Na etapa de seleção de plano, mude para a aba Purchased Plans e selecione o plano desvinculado.

O ESA aloca pontos de presença (POPs) com base na região de service selecionada. Na maioria dos casos, escolha uma região com base na distribuição dos seus usuários. Por exemplo, se seus usuários estiverem distribuídos mundialmente, selecione a região Global. Se seus usuários estiverem localizados apenas na China continental, selecione a região Chinese Mainland.

• Global: O ESA fornece aceleração e proteção globais para o seu site, atribuindo POPs de aceleração segura de todo o mundo. Esta região exige que o domínio do seu site tenha um registro ICP para a China continental.

• Chinese Mainland: O ESA usa POPs de aceleração segura localizados apenas na China continental para acelerar e proteger seus services na região. Isso é adequado quando seus services online atendem apenas a usuários na China continental. Esta região exige que o domínio do seu site tenha um registro ICP para a China continental.

• Global (Excluding the Chinese Mainland): O ESA atribui POPs de aceleração segura globais fora da China continental. Esta região não exige registro ICP.

Ao conectar um site, você pode selecionar uma das três regiões de aceleração a seguir: Global, Global (Excluding the Chinese Mainland) e Chinese Mainland. Após conectar o site, você poderá alternar a região de aceleração caso o escopo do seu negócio mude.

1. No console do ESA, selecione Websites e, na coluna Websites, clique no site de destino.

2. Na página de detalhes do site, clique em Websites no painel de navegação à esquerda.

3. Na página Website, na seção Basic Information, clique em Overview.

4. Na página de seleção da região de aceleração, selecione a região para a qual deseja alternar e clique em Overview para concluir o processo.

O ESA Free Edition não oferece suporte à condição de correspondência Country/Region nas regras personalizadas do WAF. Para usar essa condição, faça upgrade para o Basic Edition ou superior.

Como alternativa, alterne a região de aceleração para Change. Após a alternância, o ESA implanta nós de aceleração apenas na China continental, e as solicitações de fora da China continental não passam pelos nós do ESA. Isso bloqueia o acesso de fora da China continental.

Para selecionar Change, certifique-se de que o seu nome de domínio concluiu o registro ICP. Para o procedimento de alternância, consulte a seção "Alternar região de aceleração" neste tópico.

Se você usou a configuração NS e deseja pausar a aceleração de proxy para todo o site sem desativá-la por registro na página Chinese Mainland > Chinese Mainland, ative o DNS Passthrough Mode. Isso não afeta as configurações na página DNS > Records.

1. No console do ESA, selecione Websites e, na coluna DNS, clique no site de destino.

2. Na página de detalhes do site, clique em Records no painel de navegação à esquerda.

3. Na página Websites, na seção Site Actions, clique no seletor para ativar o Websites.

4. Na caixa de diálogo de confirmação, clique em Website.

Aviso

Quando o DNS Passthrough Mode está ativado, todo o tráfego vai diretamente para o servidor de origem, contornando a aceleração de proxy. Essa ação expõe o endereço do servidor de origem. Prossiga com cautela.

O ESA permite que um site esteja ativo em apenas uma conta por vez.

Em grandes empresas, várias contas podem adicionar o mesmo domínio, causando interrupções no service quando contas diferentes ativam o site sequencialmente. Use o recurso Site Hold para impedir que outras contas adicionem seu site e seus subdomínios.

1. No console do ESA, selecione Websites e, na coluna Overview, clique no site de destino.

2. Na página de detalhes do site, clique em Overview no painel de navegação à esquerda.

3. Na página DNS Passthrough, na seção Quick Actions, clique no seletor para ativar o OK.

A importação de registros DNS pode falhar pelos seguintes motivos:

• O novo registro entra em conflito com um registro existente com o mesmo nome. Consulte DNS record conflict rules.

• O arquivo contém caracteres inválidos. Use o modelo de arquivo fornecido na página para preencher os registros DNS.

• O número de registros a serem importados em um único lote excede 100. É possível importar no máximo 100 registros por vez.

Ao usar o Alibaba Cloud OSS como servidor de origem para o ESA, o tráfego do OSS para o ESA recebe desconto automático em comparação com a transferência de dados pública padrão do OSS. Consulte Alibaba Cloud OSS data transfer fees.

Com a configuração NS, você delega a resolução de DNS ao ESA alterando os nameservers. Assim que a alteração entra em vigor, os registros no provedor de DNS original tornam-se inválidos. Replique todos os registros DNS necessários no ESA antes de modificar os nameservers para evitar interrupções no service.

Para testar o service online antes de migrar para o ESA, teste diferentes registros:

1. Para registros somente DNS, execute o comando dig para o seu registro e especifique o nameserver atribuído pelo ESA. Isso recupera a resolução DNS do nameserver especificado. Em seguida, verifique se o valor do registro resolvido corresponde ao configurado no ESA. Exemplo de comando: dig <DNS_only_record> @<ESA_assigned_NS>.

   Obtenha o nameserver atribuído a você pelo ESA na página Overview no console.

2. Não é possível pré-testar registros com proxy.

Abra um ticket para obter o endereço IP de um ponto de presença (POP) de teste. Em seguida, modifique o arquivo hosts local para forçar o domínio acelerado, como api.example.com, a apontar para o endereço IP do POP de teste e fazer a verificação.

Não. O ESA é um service de aceleração baseado em domínio que oferece suporte apenas aos métodos de conexão CNAME e NS. O ESA usa um sistema inteligente de agendamento de DNS para atribuir automaticamente os nós de aceleração ideais, e os IPs dos nós mudam dinamicamente com base nas condições da rede. Resolver um domínio diretamente para um IP de nó específico faz com que a aceleração pare de funcionar e, quando o nó mudar, ocorrerão falhas de acesso.

Se você precisar de um IP fixo, o plano Enterprise oferece um recurso de IP fixo baseado em Anycast.

• Um site está conectado para o domínio raiz example.com, e um registro para a.b.example.com é adicionado aos registros do site. O hostname é a.b.

• Um site está conectado para o subdomínio b.example.com, e um registro para a.b.example.com é adicionado aos registros do site. O hostname é a.

Se ambas as situações ocorrerem e os dois sites estiverem ativos, quando um cliente acessar a.b.example.com, o ESA aplicará a configuração do segundo site (b.example.com). Isso significa que a configuração do site de subdomínio tem precedência.

Na configuração do cenário de negócios de um registro DNS, o ESA oferece três cenários: Websites, Websites e Website. Se a sua seleção não corresponder perfeitamente ao cenário, as funções básicas de acesso não serão afetadas. No entanto, uma correspondência precisa melhora o agendamento de recursos e o desempenho. Selecione o cenário que melhor se adapta à sua carga de trabalho para que o ESA possa atribuir políticas ideais de segurança e aceleração. Ajuste o tipo de negócio a qualquer momento.

Causa

Todos os domínios adicionados ao ESA devem passar por moderação de conteúdo. Se o seu domínio falhar ao ser adicionado ao ESA, pode ser porque não está em conformidade com as regras de conexão do ESA. Para obter mais informações sobre os padrões e limites para adicionar domínios ao ESA, consulte Limitations.

Solução

1. Na página Overview, confirme se o Overview do domínio é Review Failed. Clique em Review Failed e visualize o motivo da falha.

2. Selecione o domínio que falhou na revisão, clique no ícone e selecione Site Hold.

3. Com base no motivo da falha na revisão, ajuste o conteúdo do seu site e adicione o domínio novamente para revisão.

Referências

Para obter informações sobre como adicionar um domínio, siga Add a website.

Resolução de nomes de domínio

• O que é resolução de nomes de domínio?

  Os servidores em cloud recebem endereços IP, mas domínios como example.aliyundoc.com são mais fáceis de lembrar. A resolução de nomes de domínio mapeia um domínio para o endereço IP do servidor, permitindo que os usuários acessem o site por meio desse domínio.

  O Alibaba Cloud DNS é um service de DNS autoritativo seguro e escalável que converte domínios em endereços IP, roteando os usuários para os servidores apropriados.

• Por que a resolução de nomes de domínio é necessária?

  A resolução de nomes de domínio é necessária para que usuários externos acessem o seu site. Após comprar um servidor, implantar o site, registrar um domínio e concluir o registro ICP, configure a resolução DNS como etapa final.

• Como realizo a resolução de nomes de domínio?

  A maioria dos registradores de domínio na China continental possui seus próprios servidores DNS.

Registro A

Ao configurar a resolução de domínio, selecione um tipo de registro.

Um registro A, também conhecido como ponteiro IP, registra o endereço IP que corresponde a um domínio. Na figura a seguir, o hostname é um prefixo de domínio, como www ou mail, e o valor do registro é o endereço IP do servidor do seu site.

Para apontar vários domínios para o mesmo servidor, configure cada subdomínio (domínios de segundo e terceiro nível) para resolver para esse servidor.

Se trocar de servidor, atualize todos os registros de domínio individualmente. Usar um registro CNAME simplifica esse processo.

Registro CNAME

Um registro CNAME, também conhecido como registro de alias, resolve um domínio para outro domínio. É comumente usado para resolução de e-mail e Edge Security Acceleration.

Para a aceleração do ESA, configurar um CNAME é fundamental. Após ativar o ESA e adicionar um domínio, o ESA da Alibaba Cloud atribui um endereço CNAME. Aponte o domínio para esse endereço para encaminhar solicitações aos POPs do ESA. Consulte Configure a CNAME record.

O domínio para o qual um CNAME aponta também deve, em última análise, apontar para um registro A.

Registro A versus registro CNAME

Um registro A resolve um domínio para um endereço IP, enquanto um registro CNAME resolve um domínio para outro domínio.

Para hospedagem de longo prazo, use um registro CNAME. Ele permite a aceleração do ESA e oculta o endereço IP de source para reduzir o risco de ataques.

Princípio do CNAME na aceleração do ESA**

O principal recurso do ESA é armazenar em cache o conteúdo do servidor de origem no POP mais próximo dos visitantes para um acesso mais rápido. O tópico How it works explica o CNAME na aceleração do ESA.

Conflito entre registros CNAME e A

Primeiro, exclua o registro A e, em seguida, configure o registro CNAME. Excluir o registro A não afeta o acesso ao site porque, após a configuração do registro CNAME, as solicitações do cliente são enviadas ao ESA e, então, o ESA acessa o servidor de origem.

Conflito entre registros CNAME e MX

Resolva o conflito entre registros CNAME e MX usando um registro de encaminhamento de URL. Observe que tanto o domínio de origem quanto o de destino para o encaminhamento de URL devem ter um registro ICP.

A configuração do registro DNS é a seguinte:

Type	Hostname	Resolution line	Value	TTL
URL	@	Default	example.com	10 minutes
MX	@	Default	demo.aliyundoc.com	10 minutes

Causa

O sistema adicionou automaticamente o nome de domínio ou a conta a uma lista de bloqueios devido a suspeita de atividade fraudulenta. Ao tentar adicionar um site, uma mensagem é exibida indicando que o nome do registro está na lista de bloqueios e o site não pode ser adicionado. Após um domínio ou conta entrar na lista de bloqueios, outros nomes de domínio sob a mesma conta também podem não conseguir ser adicionados como sites.

Solução

Para solicitar a remoção da lista de bloqueios, envie os seguintes materiais:

1. Uma descrição comercial do nome de domínio afetado, explicando sua finalidade e uso reais.

2. Materiais válidos de comprovação de conformidade. Os materiais necessários variam de acordo com a sua identidade como registrante do domínio:

   Identity	Required materials
   Registrant of the root domain	Business license or ICP filing documents
   Non-registrant (using a subdomain only)	Compliance documents or credentials related to the services deployed on the subdomain

Após o envio e a verificação dos materiais, a sua solicitação entrará no processo de revisão de remoção da lista de bloqueios.

Causa

O código de status HTTP 200 indica que a solicitação chegou com sucesso ao servidor de origem, o que significa que a resolução DNS e o pipeline de aceleração do ESA estão funcionando corretamente. No entanto, o web service no servidor de origem (como aaPanel ou Nginx) não tem o nome de domínio acelerado configurado como site. Como resultado, o servidor de origem não consegue identificar o nome de domínio e retorna uma página padrão ou a página de erro "Site not found".

Solução

1. No painel de controle de hospedagem web do servidor de origem, adicione o nome de domínio acelerado como configuração de site.

2. Depois que a configuração do site no servidor de origem estiver correta, limpe o cache do ESA e verifique o acesso novamente.

Após alterar os servidores DNS de um nome de domínio primário para os endereços NS atribuídos pelo ESA, observe o seguinte:

1. Os registros DNS originais tornam-se inválidos. Os registros DNS configurados no provedor de DNS original (como o Alibaba Cloud DNS) não têm mais efeito. O DNS autoritativo para o domínio é transferido inteiramente para o ESA.

2. Configure todos os registros DNS necessários no ESA. Recrie todos os registros DNS exigidos pelo domínio no console do ESA, incluindo registros para páginas de frontend, APIs de backend e todos os outros subdomínios. Qualquer registro ausente faz com que o subdomínio correspondente falhe na resolução e fique inacessível.

3. O modo de configuração NS não exige a separação de services de frontend e backend em nomes de domínio diferentes. No entanto, certifique-se de que todos os registros DNS no lado do ESA estejam completos e que os certificados SSL estejam configurados corretamente.

Para obter instruções sobre como configurar registros DNS no ESA antes de modificar o NS, consulte a seção "Motivos para a pré-configuração de DNS" neste tópico.

Sim. Se tanto o nome de domínio acelerado do ESA quanto o nome de domínio de origem apresentarem um volume de consultas DNS que exceda a cota, será necessário fazer upgrade do plano de DNS para ambos.

• Se o volume de consultas DNS dos clientes para o ESA exceder a cota, isso afetará diretamente o acesso do usuário final.

• Se o volume de consultas DNS do ESA para o servidor de origem exceder a cota, isso afetará o estabelecimento de conexões de busca de origem.

Os dois lados operam de forma independente, mas ambos exigem cota de consultas DNS suficiente para garantir a disponibilidade do service. Faça upgrade do plano para cada lado separadamente, conforme necessário.