Alibabacloud Network Reachability Analysis — 网络可达分析

Language / 语言: Respond in the same language the user uses.
If the user speaks Chinese, use the Chinese (zh-CN) prompts below.
If the user speaks English, use the English (en) prompts below.
使用与用户相同的语言进行回复。
如果用户使用中文，请使用下面的中文（zh-CN）提示词。
如果用户使用英文，请使用下面的英文（en）提示词。

Guides an agent through interactive network reachability analysis using Alibaba Cloud NIS. Covers forward/reverse path analysis, topology visualization (Mermaid), and monitoring diagnostics for resources along the path.

架构: NIS (CreateAndAnalyzeNetworkPath + GetNetworkReachableAnalysis) + CloudMonitor (DescribeMetricData)

⚠️ CRITICAL / 关键: READ-ONLY OPERATIONS ONLY

This skill performs read-only network diagnostics. DO NOT create, modify, or delete any cloud resources.
本技能仅执行只读网络诊断操作。严禁创建、修改或删除任何云资源。

Allowed: CreateAndAnalyzeNetworkPath, GetNetworkReachableAnalysis, DescribeMetricData, Describe APIs
允许：分析任务创建与查询、监控数据查询、Describe 类查询 API

Forbidden: Create (except CreateAndAnalyzeNetworkPath), Modify, Delete, Start, Stop, Run APIs
禁止：创建类 API（除 CreateAndAnalyzeNetworkPath 外）、修改、删除、启停、执行类 API

核心工作流程

步骤 1：正向路径分析

aliyun nis create-and-analyze-network-path \
--source-id  \
--source-type  \
--target-id  \
--target-type  \
--protocol  \
--target-port  \
--source-ip-address  \
--target-ip-address  \
--region  \
--user-agent AlibabaCloud-Agent-Skills

若 SourceType/TargetType 不是 vpn 或 vbr，可省略 --source-ip-address / --target-ip-address。
若 Protocol 是 icmp，可省略 --target-port。
记录返回的 NetworkReachableAnalysisId。

⚠️ 强制要求：正向分析完成后，必须执行反向路径分析。

必须在步骤 2 完成后立即执行步骤 3（反向路径分析）。严禁跳过或省略反向路径检查。

步骤 2：轮询正向结果

aliyun nis get-network-reachable-analysis \
--network-reachable-analysis-id  \
--region  \
--user-agent AlibabaCloud-Agent-Skills

重复执行直至 NetworkReachableAnalysisStatus 为 finish。提取 Reachable 和 NetworkReachableAnalysisResult。

步骤 3：反向路径分析

交换源和目的：

• 正向 SourceId/Type → 反向 TargetId/Type
• 正向 TargetId/Type → 反向 SourceId/Type
• 正向 SourceIpAddress → 反向 TargetIpAddress
• 正向 TargetIpAddress → 反向 SourceIpAddress

端口处理：

• 反向 --source-port = 正向 TargetPort（服务端监听端口）
• 反向 --target-port = 临时端口范围内的随机端口 49152 ~ 65535（客户端临时端口）

由于客户端发起连接时使用动态分配的临时端口，反向路径（服务端→客户端）的目的端口应使用临时端口范围（49152-65535）内的随机值来模拟真实回程流量。

aliyun nis create-and-analyze-network-path \
--source-id  \
--source-type  \
--target-id  \
--target-type  \
--protocol  \
--source-port  \
--target-port  \
--source-ip-address  \
--target-ip-address  \
--region  \
--user-agent AlibabaCloud-Agent-Skills

若源/目的类型不是 vpn 或 vbr，可省略 --source-ip-address / --target-ip-address。

步骤 4：轮询反向结果

与步骤 2 相同，使用反向的 NetworkReachableAnalysisId。

步骤 5：结果解读

关键：始终使用主动发起的分析任务返回的 topologyData.positive。
忽略任何响应中的 topologyData.reverse——它不可靠。

对正向和反向分别：

• 检查 Reachable 字段，true 表示可达。
• 若为 false，分析以下字段定位阻断点：

步骤 6：拓扑可视化（Mermaid）

从 topologyData.positive 生成 Mermaid 图：

`` graph LR

节点：从 nodeList 提取 nodeType 和 bizInsId

链接：从 linkList 构建有向边
示例：

步骤 7：途经资源监控诊断
对 topologyData 中途经的资源 ID，若匹配以下前缀，查询最近 1 小时监控数据：
前缀
命名空间
指标
ecs-
acs_ecs_dashboard
CPUUtilization, ConnectionUtilization, DiskReadWriteIOPSUtilization, BurstCredit, DiskIOQueueSize
eip-
acs_vpc_eip
out_ratelimit_drop_speed, net_out.rate_percentage, net_rxPkgs.rate
nat-
acs_nat_gateway
ErrorPortAllocationCount, SessionLimitDropConnection, SessionActiveConnectionWaterLever, SessionNewConnectionWaterLever, BWRateOutToOutside, DropTotalPps
clb-
acs_slb_dashboard
UnhealthyServerCount, UpstreamCode5xx, InstanceQpsUtilization, InstanceMaxConnectionUtilization, UpstreamRt, StatusCode4xx
vbr-
acs_physical_connection
VbrHealthyCheckLossPercent, VbrHealthyCheckLatency, PkgsRateLimitDropOutFromVpcToVbr, RateOutFromVpcToIDC

查询命令（CMS 使用 PascalCase API 风格，非插件模式）：

• 仅支持 IPv4 — 仅支持 IPv4 路径分析。
• 单向分析 — 每次分析为单向；反向路径需要单独的任务并交换源/目的。
• CMS 配额 — DescribeMetricData 与其他 CMS 查询 API 共享每月 1,000,000 次免费调用。
• CMS 频控 — 每账户每秒 10 次调用（包括 RAM 用户）。

最佳实践

• 始终执行正向+反向分析以确认双向连通性。
• 路径不可达时，优先检查安全组规则和路由表。
• vpn/vbr` 场景务必提供云下私网 IP。
• 使用 Mermaid 拓扑图帮助用户可视化流量路径。
• 仅查询实际路径上的资源监控数据以减少 API 调用。
• 将监控异常与可达性结果一并呈现，提供完整诊断。

参考文件