本文介绍如何利用全球加速 GA 智能路由监听的端口映射能力，将前端外网监听端口与后端业务端口解耦，覆盖企业应用端口隔离、多租户 SaaS 独立端口分配、以及给仅支持有限特殊端口的 CDN/DCDN 前置自定义入口等典型场景。

背景信息 #

出于安全管控需求，企业普遍要求外部访问端口与后端应用服务端口物理隔离。GA 智能路由监听原生支持端口映射：

• 默认转发：GA 按照监听配置的协议与端口范围，将入站流量原端口直接转发至终端节点组。
• 开启端口映射：GA 前端监听端口承接公网 / 外部访问流量，按预设映射规则精准转发至终端节点上实际对外提供服务的业务端口，实现前后端端口解耦与灵活转发。

与之相对，火山引擎 CDN/DCDN 等加速产品仅开放有限的特殊端口（如 7443、8009、8080、8084、8086、8088、8443、9088、10000、10010、10443 等），对于业务侧需要自定义外网端口的场景覆盖不足。GA 端口映射可覆盖更完整的端口段，并可作为 CDN/DCDN 的前置入口，为七层加速场景补齐端口能力。

适用场景 #

企业应用安全访问

通过 GA 端口映射实现外网端口与内网业务端口的物理隔离，规避内部服务端口直接暴露的风险。例如：外部客户端统一通过 TCP 8888 发起访问，GA 将流量映射转发至后端应用的实际服务端口（如 8080），对内网业务端口做隐藏防护，提升整体网络安全等级。

多租户 SaaS 应用端口隔离

面向多租户架构的 SaaS 平台，可为不同租户分配独立的外网监听端口（如 8001~8100），统一映射至后端相同的业务服务端口（如 8080）。依靠端口映射实现租户流量的逻辑隔离，保障各租户业务数据与访问链路互不干扰，同时后端仍可按单一端口做统一部署。

方案架构 #

根据后端是否叠加七层加速，GA 端口映射有两种典型架构：

架构 A：GA 直接映射到源站

客户端 → GA 加速 IP / CNAME（外网监听端口如 8001~8100）→ GA 智能路由（开启端口映射）→ 终端节点组（后端服务端口如 8080）。

适用于源站可以直接暴露且业务只需四层加速与端口解耦的场景。

架构 B：GA + CDN/DCDN 联动

客户端 → GA 加速 IP / CNAME（外网监听端口如 8001~8100）→ GA 智能路由（开启端口映射，转发至 CDN/DCDN 支持的端口如 80/443）→ CDN/DCDN 加速链路 → 客户源站。

适用于业务已使用或需要叠加 CDN/DCDN 做七层加速，但 CDN/DCDN 仅支持有限特殊端口、无法直接承载业务自定义外网端口的场景。此时利用 GA 前置端口映射，先接入非受限端口，再将流量落到 CDN/DCDN 支持的端口上继续加速回源。

前置条件 #

• 已注册火山引擎账号并完成企业实名认证，账号未欠费。
• 已使用主账号开通全球加速 GA服务。
• 若使用子账号操作，主账号已授予子账号 GAFullAccess 权限；如涉及跨境场景（中国内地与全球其他区域之间传输数据），需同时授予 CRBFULLAccess 权限。详见IAM 权限管理。

配置步骤 #

步骤一：购买标准型加速器 #

购买一个标准型加速器，同时购买公网带宽包与加速器绑定。

1. 前往 全球加速控制台。
2. 单击 创建标准型加速器，然后完成加速器和公网带宽包配置。根据您的业务需求，选择不同的计费方式。
   • 预付费
     • 必须同时购买公网带宽包，才能实现客户端与源站在公网内传输数据。
     • 公网带宽包支持按固定带宽订阅，订阅时长与加速器的购买时长相同。
   • 后付费：
     默认同时开通公网带宽包，支持按日、按月结算。
     • 按日结算：公网带宽包仅支持按日流量计费。
     • 按月结算：公网带宽包支持按月 95 峰值带宽、月流量计费。
3. 提交订单并完成支付。

步骤二：购买和绑定跨域带宽包 #

本教程的业务场景涉及中国内地与中国香港之间的跨境数据传输。您必须绑为实例定跨域带宽包，才能实现跨境数据传输。接下来，购买一个中国联通版跨域带宽包。

1. 前往 跨域带宽控制台。
2. 单击 购买联通跨域带宽包，然后完成相关配置。
   详细配置说明，请参见 购买跨域带宽包。
   请注意，在 绑定产品 处选择 全球加速。
3. 成功支付后，前往 全球加速控制台。
4. 在 跨域带宽包管理 页面，找到刚刚购买的带宽包，单击 绑定实例，然后选择在步骤一中购买的加速器实例。

步骤三：配置监听和终端节点 #

本步骤是端口映射方案的核心，架构 A 与架构 B 在终端节点组配置上略有差异，请按实际场景选择。

创建监听

1. 在左侧导航栏，选择 加速器管理 > 标准型加速器。

2. 在标准型加速器列表中找到目标加速器，单击 操作 列的 配置监听。

3. 在 监听 页面，单击 创建监听。

4. 在 配置监听 标签页，完成如下配置，然后单击 下一步配置终端节点组：

   • 名称：如 listener1。
   • 协议：选择 TCP。
   • 端口：按业务规划配置外网监听端口，例如多租户 SaaS 场景设置为 8001~8100。
   • 客户端亲和性：默认关闭；如果客户端访问有状态应用，可开启，将同一客户端的请求定向到同一终端节点。
   • 访问控制：按需配置黑名单或白名单。

   

配置终端节点组（架构 A：直接映射到源站）

在 配置终端节点组 标签页，完成如下配置：

• 区域：根据业务分布选择终端节点所在区域（如亚太、欧洲、中东、北美、南美等）。
• 后端服务：按实际业务后端填写地址与端口。
• 保持客户端源 IP：按需选择。
• 端口映射：开启，将 GA 监听端口（如 8001~8100）映射到源站实际服务端口（如 8080）。

配置终端节点组（架构 B：GA + CDN/DCDN 联动）

如果业务涉及七层加速，由于火山 CDN/DCDN 仅支持有限特殊端口（如 7443、8009、8080、8084、8086、8088、8443、9088、10000、10010、10443 等），可通过 GA 特殊端口接入，再由 CDN/DCDN 完成七层加速回源。终端节点组配置调整如下：

• 区域：按业务选择（如华南等）。
• 后端服务：填写 CDN/DCDN 的加速 CNAME 地址。
• 端口映射：开启，将 GA 监听端口映射到某一 CDN/DCDN 支持的端口（如 80、443）。
• 保持客户端源 IP：如需将真实用户 IP 透传给 CDN/DCDN 及回源链路，可开启该选项，同时需要在 CDN/DCDN 对应域名配置中开启 Proxy Protocol 支持，否则可能导致响应异常。

完成创建

在 确认配置 标签页核对监听与终端节点的信息，确认无误后单击 完成。刚完成配置的监听器状态显示为 配置中，稍后自动切换为可用。

步骤四：添加加速区域 #

加速区域表示客户端的接入区域，用于让业务流量就近接入 GA。

1. 在左侧导航栏，选择 加速器管理 > 标准型加速器。
2. 单击目标加速器名称，进入详情页后单击 加速区域 标签页。
3. 单击 添加加速区域，按业务用户分布选择区域（如华北、东北、西北、华南等）。
4. 单击 确定，完成加速区域的创建；加速区域下的加速 IP 稍后自动分配完成。

步骤五：将业务访问域名请求指向 GA #

业务域名可通过 CNAME 解析或直接绑定 GA 加速 IP 两种方式将请求指向 GA。

方式一：CNAME 解析

1. 获取 CNAME：在标准型加速器列表页，选择目标加速器，在 CNAME 列复制加速器的 CNAME 地址。
2. 添加 CNAME：在 DNS 服务商、本地 DNS 服务器或 PrivateZone 中，为业务域名添加一条 CNAME 记录，指向上一步获取的加速器 CNAME。
3. 验证 CNAME 记录生效：不同 DNS 服务商的生效时间不同（云解析控制台新增记录实时生效，修改需等待 TTL）。可使用 nslookup 或 dig 命令进行验证。

方式二：绑加速 IP

若不方便通过 CNAME 变更完成接入（如临时联调、灰度验证），可通过步骤四获取加速区域下的加速 IP，将请求手工绑定到该 IP 进行访问（以 www.example.com 为例）：

• 方法一：curl 命令临时指定解析

  curl -v https://www.example.com:8001 --resolve www.example.com:8001:<IP>
  

• 方法二：写入本地 hosts 文件

  在 /etc/hosts 中追加：

  <IP> www.example.com
  

完成上述任一方式后，客户端即可通过 GA 的外网监听端口访问业务，GA 依据端口映射规则将流量转发至后端实际服务端口，端到端链路生效。