共计 3675 个字符，预计需要花费 10 分钟才能阅读完成。
一、背景
随着 IoT 的疾速倒退，越来越多的设施应用 IoT 能力，实现近程的数据采集、数据分析、设施治理。然而故障诊断、设施配置等运维工作却仍然在现场执行。如以下场景：
场景一：扫地机器人不工作，寄回厂家返修，厂家用软件工具检测发现，只是某个传感器沾灰了，擦一下就好了。
场景二：某企业门禁打卡异样，运维人员上门，发现是因异样断电导致配置文件谬误，重新配置一下就复原了。
相似场景还有很多，设施运维目前少数还是依赖现场运维的形式，时效性和经济性都不高，设施厂商付出了很大的老本却没有换来好的客户体验 。
如果故障诊断工作可能提前，诊断后能近程操作复原，将给企业和用户都带来极大的便当。
二、技术难点
IoT 设施和运维 PC 都能连网，为什么运维 PC 不能近程拜访 IoT 设施？
- 没有公网 IP：IoT 设施个别没有公网 IP，可通过 NAT 网关连贯互联网，但不能被互联网外部设备通过公网 IP 间接拜访。
- 没有拜访权限：NAT 网关都有本人的平安防护策略，不反对外网间接拜访内网设施。
解决内网穿透问题，常见的解决方案有 NAT 穿透或者虚构专用网络(VPN)。 - NAT 穿透：也叫 P2P 打洞，实现免服务器两个端点对点通信，但因为 NAT 网关类型多穿透过程简单，以至成功率低，并不牢靠;
- 虚构专用网络(VPN)：VPN 也是一种近程拜访技术，通过公网搭建专有网络。IoT 设施个别通过 VPN 网关能力应用 VPN，老本高、依赖内部网络部署。
IoT 设施因运行网络环境碎片化，设施资源无限，以上两种内网穿透形式并不能很好满足 IoT 设施的近程拜访需要。
阿里云物联网平台联合本身的音讯传输能力，推出了 平安隧道性能，提供易用、低成本、平安、牢靠的近程拜访 IoT 设施的能力。
三、平安隧道介绍
平安隧道：通过物联网平台进行流转，提供给拜访端与设施端之间安全可靠的双向数据流传输能力。该数据流同 TCP 的数据流一样，可确保数据是程序达到的。用户可应用隧道传输任意协定的数据，如 SSH、Telnet、FTP 等 TCP 的利用协定数据，也反对自定义协定数据。
平安隧道会话：平安隧道的底层实现是 TCP 连贯，在 TCP/IP 四层模型中，一个 TCP 连贯上只有一个应用层，如 HTTP、SSH。为了让单个隧道可被多个利用同时应用 ，平安隧道在应用层和传输层之间减少了会话层，数据收发以会话作为根本单元。隧道提供多会话治理能力，能让会话能像 TCP 连贯一样应用，每个会话承载一个利用，单个隧道最大反对 10 个会话。
注：单个隧道的传输能力有下限，如果会话的数据过多，倡议创立多个隧道。
平安隧道与会话的关系，相似于事实中隧道与车道的关系，多个车道共享隧道。
四、平安隧道个性及价值
平安隧道的外围是提供内网穿透的能力，突破用户在运维时的网络限度。除外围能力外，物联网平台平安隧道还具备以下个性，在应用老本、易用性、平安、可扩大等方向上都做了优化。
五、平安隧道关键技术
5.1 隧道创立
平安隧道性能买通了物联网平台的 音讯服务 和隧道服务 ，通过音讯服务可对设施的隧道实现创立、开启 / 敞开、删除，实现 设施只需一套身份即可同时应用两种服务。隧道创立的流程：
1、设施建连：设施应用 MQTT 协定连贯音讯服务，通过设施认证信息鉴权，实现音讯链路搭建。
2、创立隧道：拜访端通过云端 api 或者控制台实现隧道创立，返回隧道建连信息。
3、下发隧道建连信息：隧道创立后，物联网平台会给设施发送隧道建连信息，蕴含隧道令牌 (token)，用户自定义信息。
4、设施端隧道连贯：设施端收到隧道建连信息后，连贯隧道服务，通过隧道令牌(token) 鉴权。
5、拜访端隧道连贯：拜访端创立隧道胜利后，也取得隧道建连信息，连贯隧道服务。
拜访端和设施端都连贯上隧道服务后，即可应用隧道进行双向通信，以上过程都应用 TLS 加密，确保传输平安。
5.2 会话创立
隧道建设当前，由拜访端发动会话，设施端响应会话。会话有个要害属性: 会话类型，由用户定义，设施依据会话类型决定该会话数据的传输目的地。
建设会话前，用户需预设置会话类型与设施本地服务 IP 和端口的映射关系，如：[_SSH 会话]–>[127.0.0.1: 22]。
六、平安隧道
应用实现隧道创立及会话创立后，可通过两种形式解决传输的数据，TCP 本地代理形式和自定义解决形式。
- TCP 本地代理形式：会话的数据收发将由本地代理解决，本地代理会对接管到的数据透传给对应 TCP 服务。常见场景：外网通过 TCP 协定拜访内网设施的 TCP 服务，设施端作为 server，拜访端作为 client。
- 自定义解决形式：会话的数据收发将由用户自定义解决。常见场景：UDP 协定应用隧道、串口传输转换为隧道传输。
6.1 TCP 本地代理形式
本地代理为在本地运行的独立过程，分为设施端代理和拜访端代理，设施端代理运行在设施端，代理设施侧音讯的收发，拜访端代理运行在拜访端 (个别为 PC)，代理拜访侧音讯的收发。
设施端代理：提供 C 语言实现，集成在物联网平台设施端 SDK 中，详情请参考官网文档。
拜访端代理：提供 Java 及 Go 语言两种实现，详情请参考官网文档。
以 SSH 会话建连为示例形容工作流程：
- 设施端代理：配置会话类型与服务地址的映射关系，连贯上物联网平台隧道服务
- 拜访端代理：配置监听端口号与会话类型的映射，连贯上物联网平台隧道服务
- SSH 客户端：连贯拜访端代理，端口 xxx。
- 拜访端代理：接管端口 xxx 连贯申请，依据端口辨认为 SSH 会话，发动创立 SSH 类型会话
- 设施端代理：接管到 SSH 类型会话创立申请，依据会话类型找到服务地址[127.0.0.0:22]，连贯 SSH 服务，返回会话创立后果。
- 拜访端代理：收到创立后果，反馈给 SSH 客户端
以上过程实现会话创立，前面的数据传输本地代理会透传数据，最终成果就像是 SSH 客户端直连 SSH 服务。
6.2 自定义解决形式
对于非 TCP 协定的利用场景，不能应用本地代理模式。
用户可基于开源协定进行对接，协定阐明可点击下方链接拜访物联网平台官网获取。
https://help.aliyun.com/document_detail/313816.html
也可基于 SDK 进行革新，批改 SDK 中对于会话的创立与数据收发的局部代码。近期也将推出自定义解决的应用示例，敬请关注。
七、平安隧道性能扩大 – 近程登录
平安隧道很好的解决了 IoT 设施的近程拜访问题，但用户在运维的时候，还是要先部署拜访端，为进一步提高隧道的易用性，阿里云物联网平台针对平安隧道高频应用的场景 –SSH 登录设施，扩大了 近程登录 性能。实现免环境部署，在 控制台即可登录设施 ，同时提供合作及容灾能力，反对 近程登录分享、设施被动申请登录 的个性。
7.1 控制台近程登录
不须要装置任何软件，在控制台 (web 页面) 即可通过 SSH 近程登录设施，体验如同局域网登录设施。
7.2 近程登录分享
这个个性是解决登录权限分享问题。
利用场景：IoT 设施的所有者和运维人员可能隶属于不同的公司主体，当设施须要运维的时候，须要合作解决。
例如：设施属于 A 公司，软件模块是 ISV 公司 B 实现的，设施故障时，A 公司可将近程 SSH 登录权限分享给 B 公司，由 B 公司对设施进行登录运维。
近程登录性能不限度分享次数，但最多反对 10 个会话同时登录。
7.3 设施被动申请登录信息
这个个性是为了解决当设施业务故障时，近程登录性能不可用的问题。
近程登录性能为了放弃经济性及易用性，反对动静开启 / 敞开的，按需开启能够节俭网络资源的应用，合乎低碳的目标。
动静开启 / 敞开命令应用的物联网平台的音讯通道，设施的业务个别也会应用音讯通道，设施的业务程序普遍存在频繁应用、频繁更新特色，因而呈现故障的概率会更大。
为了防止当业务故障的时(如内存谬误)，导致音讯通道不可用，不能开启近程登录，推出该个性作为解决方案。
设施被动申请近程登录信息，再将业务性能与运维性能拆分为不同的过程运行，确保业务故障时，运维性能可用。应用流程：
设施端业务性能与运维性能实现过程隔离，业务过程定时申请近程登录信息，保留在本地或传递给运维过程。在登录信息过期前(最长 7 天)，当业务过程故障时，运维过程能持续运行，反对近程登录。如上图所示：业务过程实现过程 1.2.3 后，呈现故障，不影响运维过程过程 4.5 的运行。
八、总结
本文次要介绍阿里云物联网平台的运维性能平安隧道和近程登录，包含业务背景，性能个性，原理介绍、以及利用场景。
如背景中提到的两个场景：扫地机故障检测，检测工具与扫地机通信应用的是自定义的行业协定，可平安隧道，近程实现故障检测，再领导用户复原；打卡机的故障，应用近程登录性能连贯设施，剖析设施日志，定位问题后，再对设施进行配置，实现故障复原。
物联网平台的运维工具除近程登录和平安隧道外，还有设施日志、设施降级、近程配置等能力，多种能力配合应用，能够更好的满足不同设施的利用场景，更多材料请点击“浏览原文”拜访阿里云物联网平台官网进行理解。
物联网平台产品介绍详情：https://www.aliyun.com/product/iot/iot_instc_public_cn
阿里云物联网平台客户交换群
