Object Storage Service:Accelerate OSS access with CDN

Configurações necessárias

1. Ative as requisições Range GET: Enable Range-based origin fetch para o seu nome de domínio acelerado. Isso permite que os nós de borda do CDN solicitem arquivos grandes em partes, o que suporta a busca em vídeos e downloads retomáveis.

2. Configure um TTL de cache adequado: Arquivos de vídeo geralmente são atualizados com pouca frequência. Defina um TTL de cache longo, como 30 dias ou mais, para reduzir as buscas frequentes na origem.

3. Use o prefetch de recursos: Antes de lançar um vídeo, use o recurso Refresh and Prefetch Resources do CDN para distribuir o vídeo para os nós de borda.

Recomendações de taxa de bits de vídeo

A velocidade de carregamento do vídeo está intimamente relacionada à taxa de bits. Se os usuários relataram que a reprodução do vídeo está travando ou picotando, verifique a taxa de bits do vídeo:

Método 1: Arquitetura de subdomínios separados

Atribua subdomínios separados e semânticos aos buckets para diferentes recursos ou tipos de recursos e, em seguida, configure a aceleração do CDN para cada subdomínio individualmente.

O uso de uma arquitetura de subdomínios separados oferece os seguintes benefícios:

• Subdomínios semânticos são fáceis de identificar e manter pelas equipes de desenvolvimento.

• O tráfego é distribuído no nível de DNS, o que evita os limites de conexões simultâneas de um único domínio.

• Cada bucket pode ter suas próprias políticas de cache, configurações de segurança e alertas de monitoramento.

• O monitoramento independente ajuda a identificar gargalos de desempenho e tráfego anormal.

Método 2: Domínio unificado com roteamento baseado em caminho

Para fornecer um ponto de acesso unificado para buckets de diferentes services, configure um único nome de domínio acelerado e use o rules engine para rotear requisições para buckets específicos com base no caminho da requisição. Este exemplo mostra como configurar o nome de domínio acelerado oss.example.com para buscar conteúdo de dois buckets: cdn-bucket1 e cdn-bucket2.

1. Adicione as informações de origem: Adicione cdn-bucket1 e cdn-bucket2 às Origin Information do nome de domínio acelerado e, em seguida, configure CNAME resolution para o domínio.

2. Adicione regras de caminho: Para o nome de domínio acelerado, acesse Add Rule e crie duas regras de caminho de URL que correspondam a http://oss.example.com/bucket1/* e http://oss.example.com/bucket2/*, respectivamente.

   Nome da regra	Tipo	Operador de correspondência	Valor de correspondência
   bucket1 (personalizável)	URI	Contains any of	/bucket1/*
   bucket2 (personalizável)	URI	Contains any of	/bucket2/*

3. Adicione origens condicionais: Em Basics, use a opção Add Conditional Origin para associar as regras de caminho às suas origens correspondentes.

   Rule Condition	Origin Address
   bucket1	cdn-bucket1.oss-<region-id>.aliyuncs.com
   bucket2	cdn-bucket2.oss-<region-id>.aliyuncs.com

4. Especifique o cabeçalho Host de origem: Na Origin Fetch, use a opção Specify Origin HOST para garantir que as requisições de busca na origem sejam roteadas corretamente para o bucket de destino.

   Origin Server Type	Origin Address	Tipo de HOST de origem	Origin Host	Rule Condition
   Primary Origin Address	cdn-bucket1.oss-<region-id>.aliyuncs.com	Primary Origin Domain	cdn-bucket1.oss-<region-id>.aliyuncs.com	bucket1
   Primary Origin Address	cdn-bucket2.oss-<region-id>.aliyuncs.com	Primary Origin Domain	cdn-bucket2.oss-<region-id>.aliyuncs.com	bucket2

5. Reescreva a URL de origem: Na Origin Fetch, adicione uma regra para Origin Path Rewrite. Esta regra remove o caminho virtual (como /bucket1) durante uma busca na origem para corresponder ao caminho de armazenamento real do objeto.

   Path to Be Rewritten	Target Path	Flag
   ^/bucket1/(.*)$	/$1	break
   ^/bucket2/(.*)$	/$1	break

6. Verifique a configuração: Após concluir a configuração, você pode usar o único nome de domínio acelerado para acessar recursos de diferentes buckets do OSS com base no caminho. Por exemplo, uma requisição para http://oss.example.com/bucket1/example.jpg busca o arquivo example.jpg no diretório raiz do bucket cdn-bucket1.

Trânsito seguro: Ative o HTTPS

Para criptografar a transmissão de dados entre clientes e nós de CDN, configure an HTTPS certificate para o seu nome de domínio acelerado e ative o redirecionamento forçado para HTTPS. O HTTPS não apenas evita que os dados sejam roubados ou adulterados em trânsito, mas também evita avisos de segurança do navegador, o que aumenta a confiança do usuário e a imagem da marca.

Locais de configuração do certificado

Otimização de desempenho: Configure a política de cache

As políticas de cache são fundamentais para o desempenho do CDN e devem abranger tanto a duração do cache quanto o tratamento de parâmetros.

Defina a expiração do cache

Maximize sua taxa de acerto de cache por meio de configuring CDN cache expiration rules:

Configure o tratamento de parâmetros para ativar o Processamento de Imagem

O Processamento de Imagem do OSS, que inclui recursos como redimensionamento, recorte e marca d'água, é frequentemente usado. Por padrão, o CDN filtra todos os parâmetros para maximizar a taxa de acerto de cache, o que desativa as diretivas de Processamento de Imagem, como ?x-oss-process. Para usar esse recurso, modifique as configurações de parameter filtering na seção Optimization do seu nome de domínio acelerado no console do CDN.

Disponibilidade: Use prefetch e atualização automática

Após ativar o cache, as atualizações nos arquivos de origem não são propagadas imediatamente para os nós de borda do CDN. Use as seguintes estratégias:

• Prefetch: Antes de um novo lançamento ou evento promocional, use o recurso Refresh and Prefetch Resources do CDN para distribuir recursos populares para nós de borda em todo o mundo. Isso evita que um aumento repentino de requisições à origem sobrecarregue sua origem no lançamento.

• Atualização automática de cache: Na seção Bucket Settings > Domain Names do seu bucket, ative a atualização automática do cache do CDN para o domínio vinculado. Quando você atualiza um arquivo do OSS usando uma API, o OSS aciona automaticamente uma tarefa de atualização do CDN.

Acesso entre origens: Configure uma política CORS

Quando um aplicativo front-end precisa fazer requisições entre origens para recursos do OSS acelerados pelo CDN, as regras CORS configuradas apenas no bucket do OSS podem não funcionar devido ao cache do CDN. A melhor prática é configurar os cabeçalhos de resposta relacionados ao CORS diretamente no nível do CDN:

1. No console do CDN, clique no nome de domínio acelerado ou clique em Manage na coluna Actions.

2. Na aba Cache > Modify Outgoing Response Header, configure os parâmetros e valores do cabeçalho de resposta.

   Response Header	Header Value	CORS
   Access-Control-Allow-Origin	*	Enable
   Access-Control-Allow-Methods	POST, GET, HEAD, PUT, DELETE	Not applicable
   Access-Control-Max-Age	3600	Not applicable

   Nota

   As configurações de parâmetros são apenas para referência. Ajuste-as com base no seu cenário de negócios real.

Otimização de desempenho: Melhore a transferência de arquivos grandes e dados

• Ative o back-to-origin com Range: Para cenários como vídeo sob demanda e distribuição de arquivos grandes, é crucial configure Range back-to-origin. Este recurso permite que os nós do CDN solicitem arquivos grandes em partes, habilitando recursos avançados como busca em vídeos e reduzindo significativamente o tráfego de origem e a latência da primeira tela.

• Otimize a transferência de dados: Para reduzir o tamanho de transferência de arquivos baseados em texto, como JS, CSS e HTML, você pode ativar Gzip compression ou Page Optimization no console do CDN.

Lançamento suave: Troca de domínio sem tempo de inatividade

Ao migrar seu service existente de um domínio de bucket do OSS para um nome de domínio acelerado, adote uma abordagem por fases:

1. Fase de preparação: Conclua todas as configurações para o nome de domínio acelerado e teste minuciosamente sua funcionalidade e desempenho em um ambiente de testes. Em particular, confirme se o Origin Host corresponde à vinculação de domínio do OSS e se os códigos de status de origem estão normais, para evitar que uma configuração de origem incorreta seja temporariamente mascarada pelo cache do CDN e, em seguida, cause uma interrupção nos negócios após a expiração do cache.

2. Fase de lançamento canário (recomendada fora dos horários de pico): Use um lançamento canário para mudar uma parte do seu tráfego para o nome de domínio acelerado, aumentando gradualmente o volume para mitigar riscos.

3. Fase de verificação: Monitore de perto os logs de acesso e as taxas de erro. Analise métricas importantes, como tempo de resposta e taxa de sucesso, para garantir que o service esteja funcionando normalmente.

4. Fase de lançamento completo: Após uma verificação minuciosa, migre todo o tráfego para o nome de domínio acelerado.

5. Plano de rollback: Se ocorrerem problemas, reverta imediatamente para o domínio do bucket, analise a causa raiz e, em seguida, faça uma nova implantação.

Proteção contra hotlink: Configure o Referer e a autenticação de URL

Para evitar que sites não autorizados façam hotlink dos seus recursos, o que pode levar a custos de tráfego desnecessários e consumo de largura de banda, você deve configurar políticas de segurança:

• Proteção contra hotlink baseada em Referer: Configure a Referer whitelist or blacklist para permitir o acesso apenas de domínios especificados, validando o campo Referer no cabeçalho da requisição HTTP.

• Autenticação de URL: Para um bucket privado do OSS, ativar o back-to-origin para bucket privado autoriza os nós do CDN a acessá-lo. Isso significa que recursos privados que anteriormente exigiam uma assinatura podem ser acessados publicamente através do domínio do CDN. Para restaurar o controle de segurança sobre esses recursos, configure URL authentication no nível do CDN.

Monitore anomalias de tráfego

Create an alert rule para o seu nome de domínio acelerado no Cloud Monitor para detectar prontamente picos anormais no tráfego do CDN.

Segurança da origem: Configure o SNI e o host

Garantir uma comunicação estável e segura entre o CDN e o OSS é fundamental para a disponibilidade do service.

Garanta que o host de origem corresponda à configuração de domínio do OSS

Quando o CDN busca conteúdo do OSS, ele usa o Origin Host como o cabeçalho Host da requisição de origem, e o OSS usa esse Host para identificar e rotear para o bucket de destino. Portanto, o Origin Host deve corresponder à configuração de domínio no lado do OSS. Caso contrário, o OSS não consegue identificar o bucket, e a busca na origem falha com erros como InvalidBucketName (HTTP 400), o que, por sua vez, faz com que o CDN retorne erros 5xx e interrompa o acesso.

• Quando você adiciona a origem como um tipo OSS Domain (como em Step 1), o Origin Host assume como padrão o domínio do bucket de origem, que o OSS consegue identificar sem configuração extra.

• Quando você adiciona a origem do OSS como um tipo origin domain ou IP, ou define manualmente o Origin Host como o CDN Domain, a requisição de origem carrega o domínio acelerado como seu Host, que o OSS não consegue identificar por padrão. Nesse caso, você deve vincular esse domínio acelerado ao bucket de destino em Domain Names do bucket do OSS para que o OSS possa identificar o bucket e buscar o conteúdo corretamente. Em resumo: se o Origin Host for o domínio do bucket, nenhuma vinculação é necessária; se o Origin Host for o domínio acelerado, você deve vincular o mesmo domínio no lado do OSS. Os dois devem corresponder, e a ausência de qualquer um deles causa erros.

Configure o SNI de back-to-origin

Para evitar que requisições de origem sem Server Name Indication (SNI) causem problemas de acesso ao OSS, você deve configure the default back-to-origin SNI no CDN. Defina o SNI para corresponder ao host de back-to-origin, que assume como padrão o nome de domínio acelerado. Quando uma requisição de origem inclui um SNI, o OSS pode identificar o domínio de negócios durante o handshake TLS e retornar o certificado correspondente. Se o OSS receber uma requisição sem um SNI, ele não poderá identificar com precisão o domínio de negócios e poderá acionar limites de tráfego mais rigorosos.

Oculte as informações de origem

Por padrão, o CDN usa o domínio do bucket para requisições de origem. Se ocorrer um erro de origem, como um arquivo não encontrado, a mensagem de erro pode expor o domínio do bucket do OSS, o que representa um risco de segurança. Para ocultar essas informações, altere o host de back-to-origin para o nome de domínio acelerado:

1. Na página Buckets, clique no bucket de destino. Em seguida, na seção Bucket Settings > Domain Names, vincule o nome de domínio acelerado ao bucket.

2. No console do CDN, clique no nome de domínio acelerado de destino. Em seguida, na seção Origin Fetch > Default Origin Host, clique em Modify e altere o Domain Type para CDN Domain.

Auditoria e solução de problemas: Ative os logs de acesso

Um ambiente de produção deve ter recursos abrangentes de registro de log para auditorias de segurança, análise de desempenho e solução de problemas. Configure real-time log delivery no console do CDN para enviar logs de acesso ao Log Service. Você pode usar o Log Service para realizar análises aprofundadas e configurar alertas para comportamento de acesso, distribuição de tráfego, recursos populares e erros de requisição.