阿里云堡垒机网络诊断

安装指南

1. ClawHub CLI 从源直接安装技能的最快方式。
   npx clawhub@latest install alibabacloud-bastionhost-network-diag
2. 手动安装 将技能文件夹复制到以下位置之一
   全局模式
   ~/.openclaw/skills/
   工作区
   /skills/
   优先级：工作区 > 本地 > 内置
3. 提示词安装 将此提示词复制到 OpenClaw 即可自动安装。
   请帮我使用 Clawhub 安装 alibabacloud-bastionhost-network-diag。如果尚未安装 Clawhub，请先安装（npm i -g clawhub）。
   更倾向于下载？
   获取包含原生技能文件的ZIP压缩包。
   下载技能 (.zip)

什么是

此 Openclaw Skills 条目可帮助查明客户端无法访问阿里云堡垒机的原因，包括超时、SSH 或 RDP 连接失败、网页无法访问、白名单不匹配以及云防火墙丢弃流量。支持基础版、企业双擎版和国密版堡垒机 V3.2。
此工作流程将用户提供的连接详情与只读阿里云 CLI 查询相结合，以检查实例可用性、公网访问、白名单配置、协议端口、云防火墙防护和流量日志。它还针对不符合自动诊断条件的私域名访问提供单独指导，并提示潜在的跨境连接问题。

应用场景

调查通过公网域名访问堡垒机时出现的 SSH、RDP 或 HTTPS 超时。
检查公网访问开关是否启用，以及客户端 IP 是否与配置的白名单匹配。
比较客户端使用的端口与实例配置的 SSH、RDP 或 HTTPS 端口。
确定云防火墙是否保护堡垒机入口 IP，以及入站流量是否被丢弃。
获取私域名访问的手动网络排障指导，而不触发云 API 查询。
查看客户端访问中国大陆地域的堡垒机时可能存在的跨境网络不稳定问题。

工作原理

在进行任何云 API 调用前，检查提供的访问地址。如果它是私域名（不包含 -public），则停止自动诊断并提供针对协议的指导。
对于公网域名或地址未知的情况，获取地域（若未提供则默认为 cn-hangzhou），并在获得授权后首先查询 describe-instances，以验证实例并获取其终端节点和地域。
根据需要收集访问地址、协议、端口、客户端公网 IP 和异常时间。继续进行基于 API 的检查前，确认该地址为公网地址。
查询实例属性并评估公网开关、白名单以及实际端口与配置端口是否一致。如果自定义端口不同于标准端口，则予以标记：SSH 60022、RDP 63389 和 HTTPS 443。
检查云防火墙是否保护堡垒机入口 IP。如果已启用防护，则在允许的七天时间范围内查询客户端 IP 和入口 IP 的入站丢弃日志。
解读结果，包括匹配的任何防火墙规则，并说明访问中国大陆地域时的跨境注意事项。
使用用户的语言返回结构化报告，其中包含实例 ID 和地域、检查结果、根因摘要及建议的后续步骤。

配置指南

在运行环境中安装并配置阿里云 CLI（aliyun-cli）。
为 yundun-bastionhost 和 cloudfw 产品提供只读权限。
自动执行所列只读查询前，必须获得用户明确授权。
确保技能清单位于 references/manifest.json 且包含 version 字段。如果缺少该字段，必须停止自动执行。
执行保护措施
此技能仅允许只读查询；不得修改或删除云资源。
每条命令执行前，展示命令并说明其用途。如果 CLI、凭证或权限不可用，则停止并提供手动排障步骤。
绝不读取、打印、复制、持久化或修改凭证文件或机密信息。
每条 aliyun 命令必须在单个物理行中运行，并附加所需的 user-agent 值。
准备 user-agent
export SESSION_ID=$(openssl rand -hex 16)
从 references/manifest.json 读取 version 值，并将其用作 ${VERSION}。将以下精确的 user-agent 模式附加到每条阿里云 CLI 命令： --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-bastionhost-network-diag/${SESSION_ID} skill-version/${VERSION}" 首条查询示例
获得授权后，将用户提供的地域代入 ；如果用户未提供，则使用 cn-hangzhou。在公网域名或地址未知的工作流程中，这必须是首个数据面查询，即使用户已提供实例 ID 也不例外。
aliyun yundun-bastionhost describe-instances --biz-region-id --region --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-bastionhost-network-diag/${SESSION_ID} skill-version/${VERSION}"
如果未返回任何实例，则请用户在继续操作前提供或补充实例 ID 和地域。

数据架构

输入和标识符
实例身份： InstanceId 和 RegionId；每份诊断报告均以实例 ID 和地域开头。
访问详情： 公网或私网域名、协议以及客户端使用的端口。公网终端节点包含 -public；私网终端节点不包含。
网络终端节点： 实例列表中的 InternetEndpoint 和 IntranetEndpoint；防护处于启用状态时，云防火墙检查使用入口 InternetAddress。
客户端和时间： 客户端公网 IP 和异常时间，用于筛选入站流量日志。查询范围限于最近七天。
云 API 响应字段
来源 使用的字段 用途
describe-instances Instances、InstanceId、InternetEndpoint、IntranetEndpoint、RegionId 验证实例并识别其终端节点和地域
describe-instance-attribute 公网访问开关、白名单配置、协议 CustomPort 值 检查可达性设置和端口是否一致
describe-asset-list Assets、ProtectStatus、InternetAddress 确定云防火墙是否保护入口 IP
describe-traffic-log DataList、RuleName、DstPort、Proto、RuleResult 识别入站防火墙丢弃记录及相关规则和端口
报告格式
最终回复包含一张诊断表，列出公网开关、白名单、自定义端口、云防火墙和地域检查结果，随后提供根因摘要。仅在已收集客户端 IP 时才将其纳入报告。私域名情况会在聊天回复中提供指导，而不会自动生成云诊断报告。

高级特性

在任何阿里云 API 调用前执行私域名拦截，即使用户提供了实例 ID 也不例外。
在公网域名或地址未知的诊断中，首先执行强制性的实例发现查询，然后进行实例属性和防火墙检查。
通过必需的 user-agent，为每个 CLI 请求添加唯一会话 ID 和从清单读取的技能版本。
仅在堡垒机入口 IP 受到保护时查询云防火墙丢弃日志，并使用入站方向和指定的丢弃结果筛选条件。
根据报告的事件时间确定流量日志查询时间范围，并遵守七天查询限制。
严格执行只读、授权、凭证保护和单行命令保护措施。
要求每份最终回复都包含特定场景术语，包括云防火墙发现、私网指导、缺失的实例详情，以及跨境 VPN 或 Global Accelerator 建议。

name: alibabacloud-bastionhost-network-diag description: > Diagnose client timeouts or anomalies when accessing Alibaba Cloud Bastion Host — quickly root-cause public network connectivity, Bastion Host configuration,
Cloud Firewall blocking, and other causes. Use when users report: connection timeout to Bastion Host, abnormal Bastion Host access,
SSH/RDP cannot connect to Bastion Host, Bastion Host web page inaccessible, Bastion Host public network access failure, Bastion Host whitelist issues,
Bastion Host blocked by Cloud Firewall, even if the user does not explicitly mention "Bastion Host" or "bastionhost".
Applicable to Basic Edition, Enterprise Dual-Engine Edition, and National Cryptography Edition Bastion Host V3.2.
compatibility: >
Requires Alibaba Cloud CLI (aliyun-cli) and read-only permissions on yundun-bastionhost and cloudfw products.