外网防火墙与端口映射

先理解这项功能

外网防火墙和端口映射用于控制公网请求如何到达实例。安全目标不是“能够访问”，而是在满足业务的同时只暴露必要端口、必要协议和必要来源。

本文面向使用 Linux GPU 环境进行开发、训练、微调、推理或图形工作负载的工程师和管理员。完成本文后，你应当能够独立完成配置、验证结果，并知道出现异常时应该保留哪些信息。

云资源和模型能力会随区域、库存、模型版本及账号权限变化。页面显示的可用规格、价格、配额和状态是本次操作的直接依据；文档用于解释操作逻辑和风险边界。

完成后你将获得

• 完成资源创建或配置并验证 GPU 环境
• 理解实例、镜像、存储和网络的责任边界
• 具备费用控制、数据保护和故障定位能力

按协议、端口和来源限制公网访问。

开始前的准备

先完成以下准备，再进入控制台操作。对生产环境而言，准备阶段还应明确资源负责人、费用归属、数据级别和回滚方式。

• 明确区域、GPU 显存、CPU、内存、系统盘和持久化容量需求
• 确认余额、预算和资源负责人，了解页面展示的计费规则
• 决定重要数据写入云硬盘或独立备份位置，而非仅保存在临时系统盘
• 准备强密码或 SSH 公钥，并规划最小化的公网端口

重要提醒： 开放 0.0.0.0/0 会允许任意来源尝试访问。管理端口不得长期对全网开放。

完整操作步骤

按照下面的顺序执行。每完成一步都应检查页面反馈，不要在状态仍为“处理中”时连续提交相同操作。涉及删除、重装、退款、密钥禁用等不可逆动作时，应再次核对资源名称和影响范围。

1. 确认应用监听

在实例内确认进程实际监听的地址和端口。只监听 127.0.0.1 的服务不能直接从外部访问。

2. 规划规则

列出管理端口、业务端口、协议和允许来源。SSH 等管理入口优先限制为固定出口地址。

3. 创建防火墙规则

填写外部端口、内部端口、协议和来源范围，添加用途和到期时间。避免端口冲突。

4. 验证实例内防火墙

检查系统防火墙、容器端口和应用认证，确保云侧放行后仍有纵深防护。

5. 从授权网络测试

使用正确域名或公网地址访问，记录返回、延迟和日志。不要通过关闭全部安全策略排障。

6. 定期收敛

删除测试规则和过期来源，监控扫描和失败登录，发现攻击时先缩小暴露面。

生产使用建议

功能能够使用并不等于已经具备生产条件。正式承载业务前，请把可观测性、权限、费用和数据恢复纳入同一套运行基线。

• 用项目和命名规范标识环境、负责人和用途
• 训练任务定期保存检查点，并在实例外验证备份可恢复
• 只开放业务需要的端口和来源地址，及时关闭调试端口
• 记录镜像、驱动、CUDA、框架和模型版本，保证环境可复现
• 设置预算和运行时长提醒，任务结束后逐项检查实例、磁盘和公网资源

建议为关键资源建立变更记录，至少包含操作者、时间、原因、预期结果、实际结果和回退步骤。团队协作时，不要通过聊天工具传递密码或完整 API Key。

相关规则

• GPU 智算云服务规则
• 计费、退款与资源处置规则

常见问题与排查

排查时先确认影响对象、开始时间和最近一次变更，再区分是浏览器、账号权限、平台资源、网络还是应用自身问题。提交工单时，请附上资源 ID、请求 ID、发生时间、错误信息和已经执行过的排查步骤；不要提交密码、完整密钥或身份证件原图。

操作长时间处于处理中

不要连续重复提交。记录实例或资源 ID、开始时间和当前状态，检查是否存在并行变更；超过合理时间后提交工单。

实例内看不到 GPU 或资源

先确认实例状态与购买规格，再运行 nvidia-smi 检查驱动。若系统重装或修改过驱动，请提供命令输出和最近变更。

连接失败或服务端口不可达

依次检查实例运行状态、登录凭证、外网防火墙、端口监听和来源地址。不要为了排障把所有端口开放给全网。

完成检查清单

离开页面前，逐项确认：

• 操作对象、所属项目和费用主体正确，页面状态与预期一致
• 关键数据已有独立副本，临时文件、公开端口和测试密钥已经清理
• 资源负责人、预算与通知接收人已经明确
• 必要的资源 ID、订单号或 Request ID 已记录，便于后续审计和支持
• 已阅读与本功能相关的专项协议，并理解计费、数据和违规处置规则

如结果与本文不一致，应停止继续扩大变更范围，通过页面右上角“工单支持”提交问题。