为保障云原生内存数据库Tair的安全稳定，系统默认禁止所有IP地址访问Tair实例。在开始使用Tair实例前，您需要将客户端的IP地址或IP地址段添加到Tair实例的白名单中。正确使用白名单可以让Tair得到高级别的访问安全保护，建议您定期维护白名单。

准备工作

首先您需要先根据客户端的所属位置，获取应添加的客户端IP地址。

客户端位置连接使用的网络类型获取客户端IP地址的方法
ECS实例（推荐） 专有网络 查询ECS实例的IP地址
说明 需确保ECS实例与Tair实例属于同一专有网络（即实例基本信息中的专有网络ID一致），如果不同，您可以更换ECS实例所属的专有网络。具体操作，请参见更换ECS实例的VPC。
本地或第三方云 公网 根据本地设备的操作系统，选择下述方法：
  • Linux操作系统：在本地设备上执行curl ipinfo.io |grep ip命令，获取其公网IP地址，返回示例如下。查看公网IP结果
  • Windows操作系统：在本地设备上访问ipinfo，获取其公网地址。

白名单设置方法介绍

设置方法说明
方法一：手动添加白名单手动添加客户端所属的IP地址到Tair实例的白名单，以允许该客户端访问Tair实例。
方法二：通过ECS安全组设置白名单安全组是一种虚拟防火墙，用于控制安全组中的ECS实例的出入流量。如果需要授权多个ECS实例访问Tair实例，您可以通过为Tair实例绑定ECS所属安全组的方式实现快速授权（无需手动填写ECS的IP地址），提升运维的便捷性。
说明 集群架构的云盘实例，暂不支持该功能。
说明 您也可以同时设置白名单分组和ECS安全组，白名单分组中的IP地址和安全组中的ECS实例都可以访问该Tair实例。

方法一：手动添加白名单

  1. 访问Tair实例列表，在上方选择地域，然后单击目标实例ID。
  2. 在左侧导航栏，单击白名单设置。
  3. 在default默认安全组，单击修改。
    说明 您也可以单击添加白名单分组创建一个新的分组。分组名称长度为2~32个字符，由小写字母、数字或下划线（_）组成，需以小写字母开头，以小写字母或数字结尾。
  4. 在弹出的对话框中，根据要执行的操作，选择下述操作步骤：
    • 手动添加IP地址或IP地址段

      在组内白名单文本框中输入IP地址或IP地址段。

      IP地址以英文逗号（,）分隔，不可重复，最多1000个。支持格式为：
      • 具体IP地址，例如10.23.12.24。
      • CIDR模式，即无类域间路由，/24表示地址中前缀的长度，范围为1~32，例如10.23.12.0/24表示的IP段范围为10.23.12.0 ~ 10.23.12.255。
      警告 在白名单中添加0.0.0.0/0表示允许所有IP地址访问该实例。该操作存在高安全风险，请谨慎设置。
      图 1. 手动修改白名单
      手动修改白名单
    • 加载ECS实例的内网IP地址到白名单
      1. 单击加载ECS私网IP。

        将展示该实例所属地域的ECS私网IP。

      2. 根据业务需求选中对应的IP地址。
        图 2. 加载ECS内网IP地址
        加载ECS内网IP地址
        说明 为便于定位目标IP地址，您可以将鼠标指针悬浮在对应的IP地址上，系统将为您展示该IP地址所属ECS实例的ID和名称。
    • 清除白名单分组

      当某个白名单分组中的所有IP地址均需要移除且需要保留该分组时，您可以单击清除白名单分组来完成该操作。

  5. 单击确定。
  6. 可选：若某个白名单分组中的所有IP地址均需要移除，您可以在目标白名单分组的右侧单击删除来完成该操作。
    系统默认生成的白名单分组无法删除，例如default、hdm_security_ips等。

方法二：通过ECS安全组设置白名单

将ECS安全组添加至Tair实例后，该安全组中的所有ECS实例可以通过内网、公网访问Tair实例（公网访问Tair实例时，需提前已申请Tair实例的公网连接地址，具体操作请参见如何通过公网连接Tair实例）。

说明
  • 通过本方法设置白名单时，要求ECS实例和Tair实例属于同一专有网络（同一个VPC ID）。
  • 暂不支持设置ECS安全组的地域：华南2（河源）、华南3（广州）、华东5（南京）、华北6（乌兰察布）。
  • 暂不支持设置ECS安全组的实例架构：云盘版集群架构、云盘版读写分离架构。

  1. 访问Tair实例列表，在上方选择地域，然后单击目标实例ID。
  2. 在左侧导航栏，单击白名单设置。
  3. 单击安全组。
  4. 在安全组页签，单击添加安全组。
  5. 在弹出的对话框中，选择需要添加的安全组。

    支持通过安全组名称、安全组ID进行模糊搜索。

    图 3. 添加安全组
    添加安全组
    说明 每个实例最多可设置10个安全组。
  6. 单击确定。
  7. 可选：当您需要移除所有安全组时，您可以单击清除安全组来实现。

相关API

API说明
DescribeSecurityIps - 查询实例的IP白名单查询Tair实例的IP白名单。
ModifySecurityIps - 修改IP白名单修改Tair实例的IP白名单。
DescribeSecurityGroupConfiguration - 查询已配置的安全组查询Tair实例白名单中已配置的安全组。
ModifySecurityGroupConfiguration - 重新设置Redis实例白名单中的安全组重新设置Tair实例白名单中的安全组。

常见问题

  • Q：Tair实例里有一些自动生成的白名单分组，它们的来源是什么？可以删除吗？

    A：初始情况下，Tair实例的白名单分组仅包含default，随着对实例执行某些操作，白名单分组会逐渐增多，详情请参见下表。

    白名单分组名称来源说明
    default系统默认的白名单分组，不可删除。
    ali_dms_group通过DMS登录Tair实例时，DMS自动创建的白名单分组。具体操作，请参见通过DMS登录Tair。请勿删除或修改该白名单分组，否则可能导致无法通过DMS登录Tair实例。
    hdm_security_ips使用CloudDBA相关功能时（例如离线全量Key分析），DAS自动创建的白名单分组。请勿删除或修改该白名单分组，否则可能导致CloudDBA功能使用异常。
  • Q：白名单分组里除了包含客户端的IP地址，还包含了127.0.0.1，这种情况下该客户端可以连接Tair实例吗？

    A：该客户端可以正常连接，如果所有的白名单分组里仅剩下127.0.0.1，则禁止所有IP地址连接Tair实例。

  • Q：为什么通过redis-cli连上后提示(error) ERR illegal address？

    A：您的redis-cli所属设备的IP地址未添加至白名单中，请确认白名单配置。

  • Q：通过telnet测试端口返回如下报错。
    Escape character is '^]'.
Connection closed by foreign host.

    A：表示当前设备的IP地址未添加到目标实例的白名单中，请参考上文方法将IP地址添加至白名单中，并进行重试。