Alibabacloud Sase Pa Network Diagnosis — 阿里云 SASE PA 网络诊断

SASE 私有访问网络诊断 诊断企业网络通过 SASE 集群到办公应用的连接路径，提供链路级别的可见性和问题定位。 架构：SASE Client → POP 入口点 → Connector/CEN/VPN → VPC → 源服务器 诊断类型 类型 描述 用例 FullLink 诊断整个路径：终端 → POP → 源 问题排除端到端连接问题 Application 诊断 POP → 源路径 问题排除 SASE 集群到源网络问题 限制 以下功能无法通过 CLI 或 SDK 实现，需要使用 SASE 控制台： 功能 原因 解决方法 视觉链路图 控制台独有的 UI 功能 分析 API 响应中的 NetworkLinkInfo JSON 数据 删除诊断任务 无公共 API 可用 在控制台中操作：私有访问 > 网络诊断 重试诊断任务 无公共 API 可用 重新创建一个具有相同参数的新任务 列出诊断任务 无列表 API 可用 记录 DiagnoseId 并单独查询 SASE App 版本检查 客户端功能 确保 SASE App >= 4.4.1 诊断任务并发限制 最多 5 个并发运行任务 等待并在 DiagnosisTask.NumberExceedsLimit 错误时重试 前提条件 SASE App 版本 >= 4.4.1 网络隧道已建立（VPC/CEN/Connector/VPN） 办公应用已添加并配置零信任策略 安装 预检查：Aliyun CLI >= 3.3.3 必须 运行 aliyun version 验证 >= 3.3.3。如果未安装或版本过低，运行 curl -fsSL https://aliyuncli.alicdn.com/setup.sh | bash 安装/更新，或者参阅 references/cli-installation-guide.md 获取安装说明。 预检查：Aliyun CLI 插件更新必需 [MUST] 运行 aliyun configure set --auto-plugin-install true 启用自动插件安装。 [MUST] 运行 aliyun plugin update 确保任何现有插件都保持最新。 aliyun configure set --auto-plugin-install true aliyun plugin update CLI 调用规则：仅使用 Aliyun CLI 插件模式。 命令必须使用小写 kebab-case 动作和参数，例如 aliyun csas create-pa-diagnosis-task --diagnose-type FullLink .... 不要在 CLI 调用中使用 PascalCase OpenAPI 动作名称，也不要使用 --force 通用模式进行这些诊断 API。 环境变量 无特定技能的环境变量要求。 使用现有的 Aliyun CLI 凭证配置文件并通过 aliyun configure list 验证。 身份验证 预检查：阿里云凭证必需 安全规则： NEVER 读取、回显或打印 AK/SK 值（例如，echo $ALIBABA_CLOUD_ACCESS_KEY_ID 是禁止的） NEVER 直接要求用户在对话或命令行中输入 AK/SK NEVER 使用 aliyun configure set 以字面值设置凭证 仅使用 aliyun configure list 检查凭证状态 aliyun configure list 检查输出以获取有效的配置文件（AK、STS 或 OAuth 身份）。 如果没有有效的配置文件，停止这里。 从阿里云控制台获取凭证 在此会话外配置凭证（通过 aliyun configure 在终端或 shell 配置文件中的环境变量） 返回并重新运行，直到 aliyun configure list 显示有效的配置文件 RAM 权限 以下 RAM 权限是必需的： 操作 描述 csas:ListUserDevices 查询用户设备列表（以获取 DevTag） csas:CreatePADiagnosisTask 创建私有访问诊断任务 csas:GetPADiagnosisTask 查询私有访问诊断任务详细信息 参阅 references/ram-policies.md 获取完整的策略详细信息。 [MUST] 权限失败处理： 当任何命令或 API 调用由于权限错误在执行过程中的任何时候失败时，按照以下过程： 阅读 references/ram-policies.md 以获取所需的权限列表 使用 ram-permission-diagnose 技能引导用户请求必要的权限 暂停并等待，直到用户确认已授予所需的权限 参数确认 重要：参数确认 — 在执行任何命令或 API 调用之前，所有用户可自定义的参数（例如 RegionId、实例名称、CIDR 块、密码、域名、资源规格等）必须与用户确认。 不要假设或在没有用户明确批准的情况下使用默认值。 参数名称 必需/可选 描述 默认值 --diagnose-type 必需 诊断类型：FullLink / Application — --host 必需 目标地址（IP 或域名） — --port 必需 目标端口 — --protocol 必需 协议：TCP / UDP — --username 条件性 用户名（FullLink 必需） — --dev-tag 条件性 设备 ID（FullLink 必需） — --user-group-id 条件性 用户组 ID（Application 必需） — --pop-mode 必需 POP 选择模式：AutoSelect / ManualSelect — --pop-id 条件性 POP 入口点 ID（ManualSelect 时必需） — --udp-extra-configs 可选 UDP 探测配置对象，例如 RequestContent= ExpectedResponse=