Ao distribuir recursos estáticos, como imagens, áudio, vídeo e documentos do Object Storage Service (OSS), você pode usar a aceleração do ESA para melhorar significativamente a velocidade de acesso, reduzir a latência de rede e diminuir os custos de transferência de dados.
Caso de uso
Um site usa o OSS para armazenar um grande volume de ativos estáticos, como imagens e vídeos, atendendo principalmente a usuários fora da China continental. Conforme a base de usuários cresce, os tempos de resposta para downloads de arquivos e carregamento de ativos aumentam, e usuários geograficamente distantes enfrentam maior latência. Para resolver esse problema, o site utiliza o ESA para acelerar o acesso ao OSS. Essa solução fornece entrega rápida de conteúdo com custo mínimo e inclui recursos de segurança, como Web Application Firewall (WAF) e proteção contra DDoS, para melhorar a experiência geral do usuário e a segurança do site.
Como funciona
Armazene seus recursos estáticos em um bucket privado do OSS e use o ESA para acelerar o acesso. Quando um cliente envia uma solicitação, o ESA seleciona automaticamente o ponto de presença (POP) mais rápido com base no nome de domínio. Se o POP tiver o recurso solicitado em cache, ele entregará o recurso diretamente ao usuário. Caso o recurso não esteja em cache, o POP enviará uma solicitação de busca na origem para o servidor de origem. Em seguida, o POP retorna o recurso ao usuário e o armazena em cache para solicitações subsequentes.
Observações de uso
Ao usar este recurso pela primeira vez, é necessário ative a política de permissão padrão. Após ative, a política concede ao ESA acesso somente leitura a todos os buckets na sua conta do OSS. Esse acesso utiliza tokens temporários do Security Token Service (STS) e não permite operações de gravação ou exclua, como PUT.
Se optar por configure um token de segurança permanente, certifique-se de restringir suas permissões para evitar operações de gravação ou exclua, como PUT, em seus buckets do OSS. Para obter mais informações sobre como configure as permissões de acesso ao OSS para um usuário do RAM, consulte Mitigate unauthorized access risks from leaked account credentials.
Após conceder autorização e ative o recurso de busca na origem de bucket privado para um nome de domínio acelerado, você poderá usar o nome de domínio acelerado para acessar todos os recursos no bucket privado. Tome essa decisão com cuidado, com base nas necessidades do seu negócio. Se o conteúdo do bucket privado não for adequado como conteúdo de origem para a aceleração do ESA, não conceda autorização nem ative esse recurso.
Caso seu site esteja sob risco de ataques, adquira um service avançado de proteção contra DDoS e tenha cautela ao autorizar ou ative o recurso de busca na origem de bucket privado.
O recurso do ESA para busca na origem a partir de um bucket privado do OSS é incompatível com a configuração de página de índice padrão do recurso de hospedagem de site estático do OSS. Se precisar usar ambos os recursos ao mesmo tempo, consulte "You are forbidden to list buckets" error is reported when I access a domain name after I enable origin fetch from a private OSS bucket.
Após ative o recurso de busca na origem de bucket privado, um ponto de presença (POP) do ESA adiciona um cabeçalho chamado
Authorizationà solicitação de busca na origem, o qual contém a assinatura de autenticação para o bucket privado do OSS. Observe que uma solicitação de busca na origem para o OSS falhará na autenticação se contiver assinaturas tanto no cabeçalho quanto nos parâmetros da url .
Pré-requisitos
Você ativou o Object Storage Service (OSS) e armazenou seus recursos estáticos em um bucket privado.
-
Você registered a domain name.
NotaSe a sua região de aceleração incluir a China continental, você deve obter um ICP filing para o nome de domínio.
Adicionar um site
Após adicionar o domínio raiz do seu site, como example.com, ao ESA, você pode acelerar e gerencie o domínio raiz e todos os seus subdomínios.
Etapa 1: Adicionar um site
No console do ESA, acesse a página Websites e clique em Websites.
-
Na página Websites, insira o domínio raiz do site que deseja adicionar, como
example.com, e clique em Add Website.
-
Na seção Enter Website, selecione Select Location and DNS Setup. Para Chinese Mainland, selecione Global (Excluding the Chinese Mainland) e clique em DNS Setup.
-
Na página CNAME, escolha um plano adequado selecionando Next ou vinculando um Select Plan e, em seguida, siga as instruções no console para concluir a compra do plano.
Novo plano
Na aba New Plans, select a plan.
Plano existente
Na aba Purchased Plans, selecione um plano existente para vincular.
Na página New Plans, associe um plano de acordo com suas necessidades:
Se você não comprou um pacote, na aba Purchased Plans, selecione as especificações de pacote apropriadas. Confirme o Select Plan e clique em New Plans. Após a conclusão do pagamento, retorne ao console para confirmar.
Caso já possua um plano disponível, selecione-o na aba Total Cost e clique em Buy Now.
Para ative o pagamento conforme o uso, na aba Purchased Plans, conclua a configuração, selecione o contrato de service e clique em OK.
Para associar uma instância existente de pagamento conforme o uso, selecione uma instância na aba New Pay-as-you-go Instances e clique em OK.
Se o sistema exibir a mensagem Purchased Pay-as-you-go Instances, selecione um plano que cubra a região de aceleração escolhida ou clique em OK para alterar a região de aceleração.
Se o seu site for um subdomínio, a seguinte mensagem será exibida: The selected location is not supported by the current plan. Select another plan or return to the previous step to change the location. Para comparar os recursos dos planos, consulte Select a suitable plan.
Após associar um plano, o sistema prossegue automaticamente com base no método de configuração de DNS selecionado:
Se você selecionou Previous (conexão NS): Você será redirecionado para a página de configuração de registros DNS. Prossiga para concluir a configuração da conexão NS.
Se você selecionou Only supports root domains such as example.com. To add a subdomain, please upgrade to a paid plan. (conexão CNAME): Você será redirecionado para a página de visão geral do site.
Etapa 2: Verifique a propriedade do domínio
É necessário verifique a propriedade do seu nome de domínio na primeira vez que o adiciona ao ESA.
-
Na página ESA One-Stop Service, copie o For CDN Users, o Overview e o Record Type que o ESA gera para você.
Faça login no console do Alibaba Cloud DNS. Na página Hostname, encontre o seu nome de domínio, como
example.com, e clique em Record Value na coluna Public Zone.-
Clique em Settings, preencha os parâmetros com os valores copiados em Step 1 e clique em Actions.
Add Record:
TXTOK:
_esaauthRecord Type: Hostname
Query Source:
verify_3***9e1Default: 10 (Recomendado)
-
Retorne ao console do ESA. Na página Overview do seu site, clique em Record Value.
Se o sistema exibir uma mensagem de Verification Successful , a verificação estará concluída.
Adicionar e resolver um nome de domínio
Para ative a aceleração, adicione o nome de domínio acelerado ao ESA e crie um registro DNS para ele no Alibaba Cloud DNS. Esta seção usa o nome de domínio images.example.com e o endpoint do bucket privado do OSS bucket***aliyuncs.com como exemplo. Na prática, substitua esses exemplos pelo seu nome de domínio e endpoint de bucket reais.
Exemplos comuns para o valor de Hostname incluem: www (resolve para www.example.com), @ (resolve o domínio raiz example.com), mail (resolve para mail.example.com, geralmente para services de e-mail) e * (resolução curinga, que corresponde a todos os outros subdomínios, como *.example.com). Diferentes planos possuem limits on the number of wildcard domains.
Etapa 1: Adicionar um domínio no ESA
Adicione um registro DNS para configure informações como o nome de domínio acelerado e o endereço do bucket privado do OSS no servidor do ESA e obter um valor CNAME.
No console do ESA, selecione Websites e clique no site de destino na coluna TTL.
-
No painel de navegação à esquerda, escolha e clique em Websites. Preencha os parâmetros do registro conforme descrito abaixo e clique em Website.
DNS: Records.
Add Record:
images.Next: ative a aceleração de proxy.
Record Type: Selecione OSS.
CNAME: Selecione Hostname.
Proxy Status: Por padrão, o acesso a buckets privados na mesma conta do OSS é autorizado automaticamente.
Record Value: Selecione
bucket***aliyuncs.com.Access Type: O padrão é Private Access (STS Temporary Token).
Selecione Authorization e clique em OSS Bucket.
-
No TTL, copie o Auto e o Image/Video. Em seguida, acesse o console do Alibaba Cloud DNS para add a CNAME record.
Etapa 2: Resolver o domínio
Após obter o valor CNAME do ESA, adicione um registro CNAME correspondente no Alibaba Cloud DNS. Quando um usuário acessa o nome de domínio acelerado, o Alibaba Cloud DNS resolve a solicitação para o ponto de presença (POP) apropriado do ESA, que então fornece o service de aceleração.
No console do Alibaba Cloud DNS, na página Public Zone, encontre o nome de domínio de destino (como
example.com) e clique em OK na coluna CNAME Configuration Guide.-
Clique em Hostname e preencha os parâmetros usando o Record Value e o Settings copiados do ESA:
Actions:
CNAMEAdd Record:
imagesHostname: Record Value
Record Type:
images.example.com.a1.initzz.comHostname: 10 (Recomendado)
-
Aguarde alguns minutos e retorne ao ESA para verifique se o nome de domínio acelerado está ativo. Quando o Query Source mudar para Default, a aceleração estará ativada.
Etapa 3: Verifique a aceleração
Acesse o mesmo arquivo por meio do nome de domínio acelerado do ESA e do endpoint do bucket para verifique o efeito de aceleração do ESA.
Em nosso exemplo, o acesso ao arquivo pelo nome de domínio acelerado levou aproximadamente 128 ms, enquanto o acesso pelo endpoint do bucket levou 163 ms. Isso representa um aumento de velocidade de cerca de 21%.
Os dados servem apenas como referência. O efeito real pode variar devido a fatores como ambiente de rede e localização geográfica. Normalmente, a aceleração é mais significativa para usuários mais próximos de um ponto de presença (POP) ou com uma conexão de rede melhor.
Acesso por meio do nome de domínio acelerado do ESA
Acesso por meio do endpoint do bucket
ative a proteção de segurança
Para melhorar a segurança dos dados em trânsito e a postura de segurança geral do seu site, configure vários recursos de segurança. Eles incluem proteção contra DDoS para defender contra ataques de inundação, Web Application Firewall (WAF) para proteger aplicações web contra ataques maliciosos e gerenciamento de certificados ssl para garantir a criptografia dos dados em trânsito. Esses recursos trabalham em conjunto para ajudar você a construir um ambiente de site mais seguro e confiável.
Proteção contra acesso anômalo
A proteção contra acesso anômalo é uma parte fundamental da segurança de sites. Ela ajuda a defender contra ataques maliciosos e garante a estabilidade e a disponibilidade do seu site. O ESA usa seus recursos nativos de WAF, combinados com predefined and custom rules, para filtrar inteligentemente o tráfego de solicitações do cliente. Isso garante que apenas tráfego legítimo e limpo chegue ao seu servidor, reduzindo possíveis riscos de segurança. Você também pode enable anti-botting para evitar eficazmente a extração maliciosa de recursos e garantir a estabilidade do service.
Durante a execução, o ESA usa os módulos Security Analytics e Event Analysis para coletar e analisar dados de solicitação do cliente em tempo real e identificar comportamentos anômalos. Em combinação com WAF custom rules, configure de forma flexível várias ações de proteção, como Block, Challenge e Redirect, para neutralizar com precisão diferentes tipos de ataques.
Além disso, o ESA ativa o recurso DDoS Basic Protection por padrão. Esse recurso defende eficazmente contra ataques DDoS e CC em grande escala, garantindo que seu site permaneça operacional durante ataques de alto tráfego.
Com essas medidas de proteção em várias camadas, o ESA não apenas ajuda a identificar e bloquear rapidamente o acesso anômalo, mas também fornece segurança robusta contra ataques complexos, protegendo seu site de forma abrangente.
Criptografia de dados em trânsito
Criptografar dados em trânsito é uma medida fundamental para proteger as comunicações de rede e evitar eficazmente que dados sensíveis sejam interceptados ou adulterados durante a transmissão. O ESA fornece uma solução abrangente de segurança de transmissão de dados entre clientes e seu servidor de origem, garantindo a segurança dos dados em cada etapa.
Por padrão, o ESA ativa a criptografia ssl/TLS. O protocolo ssl/TLS estabelece um canal criptografado entre o cliente e o servidor, garantindo a confidencialidade e a integridade dos dados durante a transmissão.
Para aumentar ainda mais a segurança, você pode request a free edge certificate. A implantação de um certificado de borda permite que os clientes se comuniquem com os POPs do ESA por HTTPS. Isso garante que os dados sejam criptografados e autenticados durante o trânsito.
Além disso, o ESA permite que você enable the edge TLS mutual authentication feature. Esse recurso estabelece um mecanismo de verificação de identidade bidirecional entre clientes e POPs do ESA para garantir que apenas clientes autorizados possam acessar o servidor. Esse mecanismo de autenticação mútua melhora a segurança da transmissão de dados, evitando acessos não autorizados e ataques maliciosos.
Essas medidas de segurança em várias camadas protegem os dados do seu negócio contra várias ameaças de rede durante a transmissão.
Configurações recomendadas
O ESA fornece várias estratégias de otimização para melhorar o desempenho de acesso a recursos, otimizar o desempenho da rede e aumentar a taxa de acertos de cache.
Otimizar o desempenho de acesso a recursos
Ao ative e otimizar as configurações do site, o ESA melhora significativamente o desempenho da aplicação. Especificamente, o ESA usa várias tecnologias avançadas para otimizar de forma abrangente os recursos acessados, como custom image transformation, resource minification e transport protocol upgrade. Essas otimizações melhoram a velocidade de acesso do seu site em vários aspectos, garantindo que você possa recuperar os recursos necessários mais rapidamente, melhorando assim a experiência geral.
Custom image transformation: Ajusta automaticamente o tamanho e o formato da imagem com base no dispositivo e no tamanho de tela do usuário para reduzir transferências de dados desnecessárias.
Resource minification: Compacta e otimiza recursos estáticos removendo código redundante e dados desnecessários para reduzir o tamanho dos arquivos de recursos.
Transport protocol upgrades: Oferece suporte aos protocolos de transporte mais recentes, como HTTP/2 e HTTP/3, para melhorar a eficiência da transferência de dados e reduzir a latência.
Otimizar o desempenho da rede
Para melhorar ainda mais a velocidade de transmissão da rede, o ESA fornece várias configurações de otimização de rede que aprimoram o desempenho geral da rede, desde o suporte a protocolos até os métodos de comunicação.
IPv6 protocol support: O ESA é totalmente compatível com o protocolo IPv6 para melhorar a utilização dos recursos de endereços de rede e otimizar a eficiência da conexão de rede.
Low-latency communication with WebSocket: O ESA usa o protocolo WebSocket para comunicação em tempo real, reduzindo a latência de transmissão de dados e melhorando a velocidade de resposta de aplicações em tempo real.
Efficient service interaction with gRPC: O ESA fornece interação de service de baixa latência e alto throughput com base no mecanismo de comunicação gRPC eficiente, ideal para cenários com requisitos de desempenho extremamente altos.
Intelligent rate limiting to prevent overload: O ESA usa tecnologias inteligentes de controle de tráfego e balanceamento de carga para evitar congestionamento e sobrecarga da rede, garantindo velocidade de transmissão estável mesmo em cenários de alta concorrência.
Melhorar a taxa de acertos de cache
Para melhorar a velocidade de acesso aos recursos, configure o cache policies ou create cache rules do site no ESA para armazenar arquivos de recursos frequentemente usados nos POPs. Quando um usuário solicita um arquivo, o POP responde diretamente. Isso evita solicitações de busca na origem de longa distância e reduz significativamente o tempo de carregamento do recurso.
Website cache policy: Configure de forma flexível as regras de cache com base nas necessidades do negócio para especifique quais recursos devem ou não ser armazenados em cache, maximizando a taxa de acertos.
POP storage: Armazena recursos populares e arquivos estáticos em POPs distribuídos globalmente, garantindo que os usuários possam acessar os recursos de um local próximo para reduzir a distância e a latência da rede.