Edge Security Acceleration:Perguntas frequentes sobre conexão de sites

O Alibaba Cloud ESA utiliza um site (domínio raiz + todos os subdomínios) como unidade de gerenciamento. Principais benefícios:

1. Gerenciamento centralizado e operações simplificadas

   O ESA adota o "site" como unidade de gerenciamento, abrangendo um domínio raiz e todos os seus subdomínios com suas respectivas configurações. Diferentemente de provedores tradicionais que exigem adicionar subdomínios individualmente, o ESA permite gerenciar todos os domínios raiz em uma única página.

   

2. Configure uma vez e aplique a todos os subdomínios

   Em um site do ESA, alterações de configuração, como registros DNS, definições de cache ou regras de segurança, aplicam-se automaticamente a todos os subdomínios. Isso elimina a necessidade de configurar cada subdomínio individualmente e garante políticas uniformes de desempenho e segurança.

   

3. Gerenciamento eficiente de DNS

   O ESA permite configure e gerencie registros DNS diretamente no site, eliminando a necessidade de alternar entre plataformas.

   

4. Segurança aprimorada

   Conectar um domínio raiz, como example.com, centraliza o gerenciamento de segurança. O ESA oferece proteção contra DDoS e Web Application Firewall (WAF), e essas configurações aplicam-se automaticamente a todos os subdomínios.

   

5. Melhoria no desempenho do site

   O ESA encaminha solicitações pela rede distribuída globalmente para o ponto de presença (POP) mais próximo, reduzindo os tempos de carregamento. Todos os subdomínios do site beneficiam-se dessa aceleração automaticamente.

6. Monitoramento e análise facilitados

   O ESA fornece monitoramento em tempo real de dados de acesso, tráfego e métricas de desempenho para ajudar você a identificar rapidamente gargalos ou ameaças à segurança.

Recomendamos conectar seu site ao ESA usando um domínio raiz (como example.com) para gerencie registros DNS, cache e segurança em um único local.

1. Siga o guia Quick start para adicionar api.example.com como site ao ESA usando a configuração NS.

2. Após adicionar o site, acesse a página Overview. O ESA atribui dois valores de registro NS. Adicione esses dois registros NS no provedor de DNS do seu domínio.

   

3. Adicione dois registros NS no provedor de DNS do seu domínio. Os passos a seguir usam o Alibaba Cloud DNS como exemplo para mostrar como adicionar registros NS. O processo de configuração é semelhante em outros provedores de DNS.

   1. Faça login no console do Alibaba Cloud DNS.

   2. Na página Public Zone, localize o domínio raiz example.com e clique em Settings na coluna à direita.

   3. Clique em Add Record, defina Record Type como NS, defina Hostname como api e defina Record Value com o valor de registro NS atribuído pelo ESA na Etapa 2. Mantenha os valores padrão para os demais parâmetros.

      

   4. Clique em OK para concluir o processo.

4. Depois de adicionar os registros NS no seu provedor de DNS, retorne ao console do ESA, acesse a página Overview e clique em Verify Nameserver. Após a verificação, conecte o subdomínio api.example.com ao ESA como site.

   

O ESA não permite alterar o nome de domínio de um site após a adição. Se você digitou o nome de domínio incorretamente (por exemplo, adicionando um prefixo www extra), exclua o site atual e adicione-o novamente com o nome de domínio correto:

1. Na página Websites, localize o site desejado e clique em Delete para remover o site atual.

2. Excluir um site não afeta os planos adquiridos. O plano desvincula-se automaticamente do site.

3. Clique em Add Website e insira o nome de domínio correto.

4. Na etapa de seleção de plano, mude para a aba Purchased Plans e selecione o plano desvinculado anteriormente.

O ESA aloca pontos de presença (POPs) do ESA com base na região de service selecionada. Na maioria dos casos, escolha uma região baseada na distribuição dos seus usuários. Por exemplo, se seus usuários estiverem distribuídos mundialmente, selecione a região Global. Se seus usuários estiverem localizados apenas na China Continental, selecione a região Chinese Mainland.

• Global: O ESA fornece aceleração e proteção globais para o seu site ao atribuir POPs de aceleração segura em todo o mundo. Esta região exige que o domínio do seu site possua um registro ICP para a China Continental.

• Chinese Mainland: O ESA utiliza POPs de aceleração segura localizados exclusivamente na China Continental para acelerar e proteger seus serviços dentro da região. Esta opção é adequada quando seus serviços online atendem apenas a usuários na China Continental. É necessário que o domínio do seu site tenha um registro ICP para a China Continental.

• Global (Excluding the Chinese Mainland): O ESA atribui POPs de aceleração segura globais fora da China Continental. Esta região não exige registro ICP.

Ao conectar um site, selecione uma das três regiões de aceleração seguintes: Global, Global (Excluding the Chinese Mainland) e Chinese Mainland. Após conectar o site, alterne a região de aceleração caso o escopo do seu negócio mude.

1. No console do ESA, selecione Websites e, na coluna Websites, clique no site desejado.

2. Na página de detalhes do site, clique em Websites no painel de navegação à esquerda.

3. Na página Website, na seção Basic Information, clique em Overview.

   

4. Na página de seleção de região de aceleração, selecione a região desejada e clique em Overview para concluir o processo.

O ESA Free Edition não suporta a condição de correspondência Country/Region nas regras personalizadas do WAF. Para usar essa condição de correspondência, faça upgrade para a Basic Edition ou superior.

Como alternativa, alterne a região de aceleração para Change. Após a alteração, o ESA implanta nós de aceleração apenas na China Continental, e as solicitações originadas fora da China Continental não passam pelos nós do ESA. Isso bloqueia o acesso externo à China Continental.

Para selecione Change, certifique-se de que seu nome de domínio concluiu o registro ICP. Para obter o procedimento de alternância, consulte a seção "Alternar região de aceleração" neste tópico.

Se você usou a configuração NS e deseja pausar a aceleração de proxy para todo o site sem desativá-la por registro na página Chinese Mainland > Chinese Mainland, ative o Modo de Repasse de DNS. Isso não afeta suas configurações na página DNS > Records.

1. No console do ESA, selecione Websites e, na coluna DNS, clique no site desejado.

2. Na página de detalhes do site, clique em Records no painel de navegação à esquerda.

3. Na página Websites, na seção Site Actions, clique no interruptor para ative Websites.

   

4. Na caixa de diálogo de confirmação exibida, clique em Website.

Aviso

Quando o Modo de Repasse de DNS está ativado, todo o tráfego vai diretamente para o seu servidor de origem, ignorando a aceleração de proxy. Essa ação expõe o endereço do seu servidor de origem. Prossiga com cautela.

O ESA permite que um site esteja ativo em apenas uma conta por vez.

Em grandes empresas, várias contas podem tentar adicionar o mesmo domínio, causando interrupções de service quando diferentes contas ativam o site sequencialmente. Use o recurso Site Hold para impedir que outras contas adicionem seu site e seus subdomínios.

1. No console do ESA, selecione Websites e, na coluna Overview, clique no site desejado.

2. Na página de detalhes do site, clique em Overview no painel de navegação à esquerda.

3. Na página DNS Passthrough, na seção Quick Actions, clique no interruptor para ative OK.

   

A importação de registros DNS pode falhar pelos seguintes motivos:

• O novo registro entra em conflito com um registro existente de mesmo nome. DNS record conflict rules.

• O arquivo contém caracteres inválidos. Utilize o modelo de arquivo fornecido na página para preencher os registros DNS.

• A quantidade de registros a importar em um único lote excede 100. O limite máximo é de 100 registros por vez.

Ao utilizar o Alibaba Cloud OSS como servidor de origem para o ESA, o tráfego do OSS para o ESA recebe desconto automático em comparação com a transferência de dados pública padrão do OSS. Alibaba Cloud OSS data transfer fees.

Com a configuração NS, você delega a resolução de DNS ao ESA alterando seus nameservers. Assim que a alteração entra em vigor, os registros no seu provedor de DNS original tornam-se inválidos. Replique todos os registros DNS necessários no ESA antes de modificar os nameservers para evitar interrupções de service.

Para testar o service online antes de migrar para o ESA, teste diferentes registros:

1. Para registros somente DNS, execute o comando dig para o seu registro e especifique o nameserver atribuído pelo ESA. Isso recupera a resolução DNS do nameserver especificado do ESA. Em seguida, verifique se o valor do registro resolvido corresponde àquele configurado no ESA. Comando de exemplo: dig <DNS_only_record> @<ESA_assigned_NS>. Exemplo:

   

   Obtenha o nameserver atribuído a você pelo ESA na página Overview do console.

   

2. Não é possível pré-testar registros com proxy.

Envie um ticket para obter o endereço IP de um ponto de presença (POP) de teste. Em seguida, modifique seu arquivo hosts local para forçar o domínio acelerado, como api.example.com, a apontar para o endereço IP do POP de teste para verificação.

Não. O ESA é um service de aceleração baseado em domínio que suporta apenas métodos de conexão CNAME e NS. O ESA utiliza um sistema inteligente de agendamento DNS para atribuir automaticamente nós de aceleração ideais, e os IPs dos nós mudam dinamicamente conforme as condições da rede. Resolver um domínio diretamente para um IP específico de nó faz com que a aceleração pare de funcionar e, quando o nó mudar, ocorrerão falhas de acesso.

Se você precisar de um IP fixo, o Enterprise plan oferece um recurso de IP fixo baseado em Anycast.

• Um site está conectado para o domínio raiz example.com, e um registro para a.b.example.com é adicionado aos registros do site. O hostname é a.b.

• Um site está conectado para o subdomínio b.example.com, e um registro para a.b.example.com é adicionado aos registros do site. O hostname é a.

Se ambas as situações acima ocorrerem e ambos os sites estiverem ativos, quando um cliente acessar a.b.example.com, o ESA aplicará a configuração do segundo site (b.example.com). Isso significa que a configuração do site de subdomínio tem precedência.

Na configuração de cenário de negócios de um registro DNS, o ESA oferece três cenários: Websites, Websites e Website. Se sua seleção não corresponder perfeitamente ao cenário de negócios, as funções básicas de acesso não serão afetadas. No entanto, uma correspondência precisa melhora o agendamento de recursos e o desempenho. Selecione o cenário que melhor se adapta à sua carga de trabalho para que o ESA possa atribuir políticas ideais de segurança e aceleração. Ajuste o tipo de negócio a qualquer momento.

Causa

Todos os domínios adicionados ao ESA devem passar por moderação de conteúdo. Se o seu domínio falhar ao ser adicionado ao ESA, pode ser porque ele não está em conformidade com as regras de conexão do ESA. Para mais informações sobre os padrões e limites para adicionar domínios ao ESA, consulte Limitations.

Solução

1. Na página Overview, confirme se o Overview do domínio é Review Failed. Clique em Review Failed para visualize o motivo da falha.

2. Selecione o domínio que falhou na revisão, clique no ícone e selecione Site Hold.

3. Com base no motivo da falha na revisão, ajuste o conteúdo do seu site e adicione o domínio novamente para revisão.

Referências

Para informações sobre como adicionar um domínio, siga Add a website.

Resolução de nomes de domínio

• O que é resolução de nomes de domínio?

  Servidores cloud recebem endereços IP, mas domínios como example.aliyundoc.com são mais fáceis de memorizar. A resolução de nomes de domínio mapeia um domínio para o endereço IP do seu servidor, permitindo que os usuários acessem seu site através desse domínio.

  O Alibaba Cloud DNS é um service DNS autoritativo seguro e escalável que converte domínios em endereços IP, roteando usuários para os servidores apropriados.

• Por que a resolução de nomes de domínio é necessária?

  A resolução de nomes de domínio é necessária para que usuários externos acessem seu site. Após adquirir um servidor, implantar seu site, registrar um domínio e concluir o registro ICP, configure a resolução DNS como etapa final.

• Como realizo a resolução de nomes de domínio?

  A maioria dos registradores de domínio na China Continental possui seus próprios servidores DNS.

Registro A

Ao configurar a resolução de domínio, selecione um tipo de registro.

Um registro A, também conhecido como ponteiro IP, registra o endereço IP correspondente a um domínio. Na figura a seguir, o hostname é um prefixo de domínio, como www ou mail, e o valor do registro é o endereço IP do servidor do seu site.

Para apontar vários domínios para o mesmo servidor, configure cada subdomínio (domínios de segundo e terceiro nível) para resolver para esse servidor.

Se você trocar de servidores, atualize todos os registros de domínio individualmente. Usar um registro CNAME simplifica esse processo.

Registro CNAME

Um registro CNAME, também conhecido como registro de alias, resolve um domínio para outro domínio. É comumente usado para resolução de e-mail e Edge Security Acceleration.

Para aceleração do ESA, configure um CNAME é fundamental. Após ative o ESA e adicionar um domínio, o Alibaba Cloud ESA atribui um endereço CNAME. Aponte seu domínio para este endereço para encaminhar solicitações aos POPs do ESA. Configure a CNAME record.

O domínio para o qual um CNAME aponta também deve, em última instância, apontar para um registro A.

Registro A versus Registro CNAME

Um registro A resolve um domínio para um endereço IP, enquanto um registro CNAME resolve um domínio para outro domínio.

Para hospedagem de longo prazo, use um registro CNAME. Ele permite a aceleração do ESA e oculta seu IP de origem para reduzir o risco de ataques.

Princípio do CNAME na aceleração do ESA****

A principal função do ESA é armazenar em cache o conteúdo do servidor de origem no POP mais próximo dos visitantes para um acesso mais rápido. O tópico How it works explica o CNAME na aceleração do ESA.

Conflito entre registros CNAME e A

Primeiro exclua o registro A e depois configure o registro CNAME. Excluir o registro A não afeta o acesso ao site porque, após configure o registro CNAME, as solicitações do cliente são enviadas ao ESA, e então o ESA acessa o servidor de origem.

Conflito entre registros CNAME e MX

Resolva o conflito entre registros CNAME e MX usando um registro de redirecionamento de URL. Observe que tanto o domínio de origem quanto o de destino para o redirecionamento de URL devem ter um registro ICP.

A configuração do registro DNS é a seguinte:

Type	Hostname	Resolution line	Value	TTL
URL	@	Default	example.com	10 minutes
MX	@	Default	demo.aliyundoc.com	10 minutes

Sintoma

Após configure o ESA para um nome de domínio, uma consulta ping ou dig no nome de domínio ainda retorna o endereço IP do servidor de origem em vez do registro CNAME do ESA.

Causa

A zona DNS do nome de domínio não possui registro CNAME, ou um registro CNAME está configurado, mas os servidores DNS do nome de domínio não estão apontados para o Alibaba Cloud DNS.

Etapas de solução de problemas

1. Execute uma consulta dig <domain name> CNAME para verifique o registro CNAME. Se a resposta retornar um registro A em vez de um registro CNAME, o registro CNAME não está configurado.

2. Se o registro CNAME estiver configurado, mas não entrar em vigor, verifique se os servidores DNS do nome de domínio foram alterados para os endereços atribuídos pelo Alibaba Cloud DNS (ns1.alidns.com e ns2.alidns.com).

Correção

1. Exclua o registro A existente para o nome de domínio. Um registro CNAME e um registro A não podem coexistir.

2. Adicione um registro CNAME. Defina o hostname como @ (para um domínio de segundo nível) ou www, e defina o valor do registro como o endereço CNAME atribuído pelo ESA (por exemplo, a1.inituu.com).

3. Certifique-se de que os servidores DNS do nome de domínio apontem para o Alibaba Cloud DNS.

Verificação

Após adicionar o registro CNAME, execute uma consulta dig <domain name>. A resposta deve retornar o registro CNAME do ESA em vez do endereço IP do servidor de origem.

Se um registro DNS apontar diretamente para um nó ou domínio do ESA em vez de para o seu servidor de origem, o ESA nega a solicitação. Essa configuração incorreta ocorre de duas formas:

• Um registro CNAME que aponta para o domínio CNAME atribuído pelo ESA: O ESA não suporta apontar um domínio via CNAME para o domínio CNAME que o ESA atribui. A zona DNS desse domínio CNAME contém apenas um registro SOA e nenhum registro A, portanto, um CNAME que aponte para ele causa falha na resolução DNS e o site torna-se inacessível.

• Um registro A que aponta diretamente para um endereço IP de nó do ESA: os endereços IP dos nós do ESA são atribuídos e ajustados dinamicamente pelo sistema inteligente de agendamento DNS e não são endereços fixos. Um registro A que aponte para um endereço IP de nó também é negado.

A configuração correta é um registro A que aponte para o endereço IP do seu servidor de origem, não para um domínio ou endereço IP de nó do ESA. Para corrigir o registro, execute as seguintes etapas:

1. Faça login no console do Alibaba Cloud DNS.

2. Na página Domain Resolution, localize o domínio e clique em Configure na coluna Actions.

3. Localize o registro que aponta para um domínio ou endereço IP de nó do ESA e altere Type para A.

4. Em Value, insira o endereço IP do seu servidor de origem (por exemplo, 203.0.113.10) em vez de um endereço IP de nó do ESA e clique em Confirm para salve o registro.

Após conectar um site, use os métodos a seguir para verifique se a aceleração do ESA entrou em vigor.

• Verificar o status do site

  Faça login no console do ESA, clique em Web no painel de navegação à esquerda e verifique a coluna de status do site desejado. Se o status for Running, a configuração do site entrou em vigor.

• Consulta de propriedade de IP

  No painel de navegação à esquerda do console do ESA, escolha Tools > API, insira o endereço IP resolvido pelo nome de domínio e clique em Image/Video. Se o resultado indicar que o endereço IP pertence a um nó do ESA, a aceleração entrou em vigor.

• Verificação de CNAME

  Use o comando nslookup ou dig para consultar o registro CNAME do nome de domínio e confirme que ele foi resolvido para o domínio CNAME atribuído pelo ESA. Comando de exemplo:

  dig example.com

• Visualize dados de tráfego

  No painel de navegação à esquerda do console do ESA, clique em Websites e verifique o tráfego de resposta e a contagem total de solicitações. Tráfego passando pelos nós do ESA indica que a aceleração entrou em vigor.

• Solucionar problema de ping retornando o IP do servidor de origem

  Se o ping ainda retornar o IP do servidor de origem após a configuração do ESA, a causa pode ser a resolução DNS ainda não ter entrado em vigor globalmente, ou um cache DNS local estar retornando o IP antigo. Isso não significa necessariamente que a aceleração do ESA não está funcionando. Para solucionar:

  1. Confirme se o registro CNAME está configurado corretamente no seu provedor de DNS e se não existe nenhum registro A conflitante para o mesmo hostname. Um registro CNAME e um registro A não podem coexistir. Para resolução de conflitos, consulte a seção "Lidar com conflitos de registros DNS" neste tópico.

  2. Use uma ferramenta de diagnóstico de rede para verifique se o registro CNAME entrou em vigor globalmente. Para instruções, consulte a seção "Como verifico se os registros DNS entraram em vigor em diferentes regiões?" neste tópico.

  3. Se a resolução DNS tiver entrado em vigor globalmente, mas o ping ainda retornar o IP antigo, o problema é causado por um cache DNS local. Limpe o cache DNS local ou mude para um servidor DNS público (como 8.8.8.8) e teste novamente.

  Se a causa for um registro CNAME ausente ou servidores DNS não apontando para o Alibaba Cloud DNS, consulte a seção "O que faço se ping ou dig ainda retornarem o IP do servidor de origem após configure o ESA?" neste tópico.

• Solucionar falhas intermitentes de acesso para subdomínios

  Falhas intermitentes de acesso após uma alteração de registro DNS são tipicamente causadas pelo Local DNS local ou da operadora armazenando em cache o resultado antigo da resolução. Antes que o registro em cache expire, algumas solicitações são resolvidas para o endereço antigo, resultando em falhas temporárias. Assim que o cache expira, o acesso é restaurado automaticamente. Para resolver esse problema, limpe o cache DNS local e verifique o acesso novamente:

  Operating system	Command
  Windows	ipconfig /flushdns
  macOS	sudo dscacheutil -flushcache
  Linux	sudo systemd-resolve --flush-caches

Causa

O sistema adicionou automaticamente o nome de domínio ou a conta a uma lista de bloqueios devido a suspeita de atividade fraudulenta. Ao tentar adicionar um site, aparece uma mensagem indicando que o nome do registro está em uma lista de bloqueios e o site não pode ser adicionado. Depois que um domínio ou conta é colocado na lista de bloqueios, outros nomes de domínio sob a mesma conta também podem não conseguir ser adicionados como sites.

Solução

Para solicitar a remoção da lista de bloqueios, envie os seguintes materiais:

1. Uma descrição comercial do nome de domínio afetado, explicando sua finalidade e uso reais.

2. Materiais válidos de prova de conformidade. Os materiais necessários diferem com base na sua identidade como registrante do domínio:

   Identity	Required materials
   Registrant of the root domain	Business license or ICP filing documents
   Non-registrant (using a subdomain only)	Compliance documents or credentials related to the services deployed on the subdomain

Após envie os materiais e eles passarem pela verificação, sua solicitação entrará no processo de revisão de remoção da lista de bloqueios.

Causa

O código de status HTTP 200 indica que a solicitação chegou com sucesso ao servidor de origem, significando que a resolução DNS e o pipeline de aceleração do ESA estão funcionando corretamente. No entanto, o service web no servidor de origem (como aaPanel ou Nginx) não tem o nome de domínio acelerado configurado como um site. Como resultado, o servidor de origem não consegue identificar o nome de domínio e retorna uma página padrão ou a página de erro "Site not found".

Solução

1. No painel de controle de hospedagem web do servidor de origem, adicione o nome de domínio acelerado como uma configuração de site.

2. Após a configuração do site no servidor de origem estar correta, limpe o cache do ESA e verifique o acesso novamente.

Após alterar os servidores DNS de um nome de domínio primário para os endereços NS atribuídos pelo ESA, observe o seguinte:

1. Os registros DNS originais tornam-se inválidos. Os registros DNS configurados no seu provedor de DNS original (como Alibaba Cloud DNS) deixam de ter efeito. O DNS autoritativo para o domínio é transferido inteiramente para o ESA.

2. Configure todos os registros DNS necessários no ESA. Recrie todos os registros DNS exigidos pelo domínio no console do ESA, incluindo registros para páginas frontend, APIs backend e todos os outros subdomínios. Qualquer registro ausente faz com que o subdomínio correspondente falhe na resolução e torne-se inacessível.

3. O modo de configuração NS não exige separar serviços frontend e backend em nomes de domínio diferentes. No entanto, certifique-se de que todos os registros DNS no lado do ESA estejam completos e que os certificados SSL estejam configurados corretamente.

Para instruções sobre como configure registros DNS no ESA antes de modificar o NS, consulte a seção "Motivos para pré-configuração de DNS" neste tópico.

Sim. Se tanto o nome de domínio acelerado do ESA quanto o nome de domínio de origem apresentarem volume de consultas DNS excedendo a cota, você precisará fazer upgrade do plano de DNS para ambos.

• Se o volume de consultas DNS dos clientes para o ESA exceder a cota, isso afeta diretamente o acesso do usuário final.

• Se o volume de consultas DNS do ESA para o servidor de origem exceder a cota, isso afeta o estabelecimento de conexões de busca na origem.

Os dois lados operam independentemente, mas ambos requerem cota suficiente de consultas DNS para garantir a disponibilidade do service. Faça upgrade do plano para cada lado separadamente conforme necessário.

Um InternalError é tipicamente causado por um erro temporário no lado do servidor, não pela configuração do seu site. Para resolver este problema:

1. Aguarde alguns minutos e tente novamente adicionar o site.

2. Se o erro persistir após várias tentativas, verifique sua conectividade de rede e tente novamente mais tarde.