ApsaraMQ for RocketMQ：IP白名單

配置 IP 白名單後連線逾時或失敗怎麼辦？

請按照以下步驟排查：

1. 確認執行個體已開通公網訪問（如使用公網串連）。

2. 檢查本地出口 IP 是否與白名單中配置的地址完全一致。若本地使用 NAT Gateway或代理，實際出口 IP 可能與預期不同，建議通過第三方工具確認實際出口 IP。

3. 使用 telnet 或 nc 命令測試網路連通性，例如：

   nc -zv <endpoint> 8080

4. 若報錯 No route info，檢查代碼中 Namespace（執行個體 ID）及使用者名稱密碼配置是否正確。

5. 區分內外網串連情境：

   • 外網串連：必須配置 AccessKey 和 SecretKey 進行鑒權。

   • 內網串連：無需鑒權，但需檢查 VPC 路由及安全性群組配置是否正確。

如何測試用戶端與 RocketMQ 執行個體的網路連通性？

在容器或伺服器環境下，可以使用以下命令測試與雲訊息佇列 RocketMQ 版執行個體的網路連通性：

• 使用 nc 命令：

  nc -zv <endpoint> 8080

• 使用 curl 命令：

  curl -v telnet://<endpoint>:8080

若串連失敗，請依次檢查：

• 容器網路設定是否正確。

• ECS 安全性群組出方向規則是否允許存取了相關連接埠。

• 如使用 Kubernetes，檢查 NetworkPolicy 策略是否限制了出方向流量。

同帳號下不同 VPC 的 ECS 如何串連 RocketMQ 執行個體？

若 ECS 與雲訊息佇列 RocketMQ 版執行個體分屬同帳號下不同 VPC，可通過以下方式實現跨 VPC 訪問：

1. 在兩個 VPC 之間建立對等串連（同地區免費）。

2. 在兩端 VPC 的路由表中分別添加指向對方 VPC 網段的路由條目，下一跳選擇對等串連執行個體。

3. 確保兩端安全性群組允許存取雲訊息佇列 RocketMQ 版相關連接埠（如 9876、10911 等）。

配置完成後，使用 nc 或 curl 命令驗證網路連通性，確認 ECS 可正常訪問雲訊息佇列 RocketMQ 版執行個體的存取點。

Serverless 執行個體的安全性群組應該如何配置？

為保障雲訊息佇列 RocketMQ 版 Serverless 執行個體的安全性，安全性群組配置建議如下：

• 不建議在安全性群組入方向規則中允許存取 0.0.0.0/0（即允許所有 IP 訪問）。

• 應僅允許存取業務所在 VPC 網段的入方向訪問。

• 允許 8080 和 8081 連接埠的入方向訪問。

通過限定訪問來源網段，可有效降低執行個體被未授權訪問的風險。

開啟 ACL 是否會影響現有的 IP 白名單配置？

不會。ACL（存取控制）與 IP 白名單是兩個獨立的安全機制，開啟 ACL 不會影響已有的 IP 白名單配置及正常使用，兩者可以共存。

• IP 白名單：控制哪些 IP 位址可以串連雲訊息佇列 RocketMQ 版執行個體。

• ACL：控制串連後的操作許可權，如 Topic 的發布和訂閱許可權。

可以同時啟用兩者，實現網路層和應用程式層的雙重存取控制。