Connect cross-account VPCs with CEN transit routers - Cloud Enterprise Network

Agregue VPC de diferentes cuentas de Alibaba Cloud a la misma instancia de CEN para habilitar la conectividad de red entre cuentas.

Escenario

Suponga que tiene dos cuentas de Alibaba Cloud:

Cuenta A: tiene dos VPC (VPC1 y VPC2) y una instancia de CEN (CEN1).
La cuenta B tiene una VPC (VPC3).

VPC1 y VPC2 ya están asociadas a CEN1 y pueden comunicarse entre sí, como se describe en Communication between VPCs in the same region.

El objetivo es asociar VPC3 a CEN1 para que las tres VPC puedan comunicarse.

Plan de red para las tres VPC:

Parámetro	VPC1	VPC2	VPC3
Cuenta	Cuenta A	Cuenta A	Cuenta B
Región	China (Hangzhou)	China (Hangzhou)	China (Hangzhou)
Bloque CIDR IPv4	10.0.0.0/16	172.16.0.0/16	192.168.0.0/16
vSwitch 1	En la zona de disponibilidad J, con bloque CIDR 10.0.0.0/24	En la zona de disponibilidad J, con bloque CIDR 172.16.0.0/24	En la zona de disponibilidad J, con bloque CIDR 192.168.0.0/24
vSwitch 2	En la zona de disponibilidad K, con bloque CIDR 10.0.1.0/24	En la zona de disponibilidad K, con bloque CIDR 172.16.1.0/24	En la zona de disponibilidad K, con bloque CIDR 192.168.1.0/24
IP de instancia ECS	ECS1: 10.0.0.1	ECS2: 172.16.0.1	ECS3: 192.168.0.1

Importante

Al planificar su red:

Los bloques CIDR de las VPC no deben superponerse. Si esto ocurre, migre los recursos a VPC con bloques CIDR que no se superpongan.
Para la recuperación ante desastres a nivel de zona, cree vSwitch en dos zonas de disponibilidad como mínimo.

Los pasos de esta guía aplican a cualquier bloque CIDR IPv4 válido, incluidos rangos no RFC 1918 como 8.x.x.x y 121.x.x.x. El escenario de ejemplo utiliza 10.0.0.0/16, 172.16.0.0/16 y 192.168.0.0/16, pero el procedimiento funciona independientemente de los bloques CIDR que utilicen sus VPC. El único requisito es que los bloques CIDR de las VPC que desea conectar no se superpongan.

Procedimiento

Este proceso consta de dos pasos:

Inicie sesión en la cuenta B y otorgue autorización a la cuenta A para asociar VPC3 a CEN1.
Inicie sesión en la cuenta A y asocie VPC3 a CEN1.

Paso 1: Otorgar autorización de la cuenta B a la cuenta A

Inicie sesión en la consola de VPC con la cuenta B.
Haga clic en el ID de instancia de VPC3, vaya a la pestaña Cross-account Authorization y haga clic en Cross-account Authorization. Configure los siguientes parámetros:
- Peer Account UID : Introduzca el ID de la cuenta A (la cuenta principal).
  ¿Cómo encuentro el ID de una cuenta de Alibaba Cloud?
  Pase el cursor sobre su foto de perfil en la esquina superior derecha de la consola:
  - Cuenta principal: Haga clic en el nombre de su cuenta en la esquina superior derecha, busque Account ID en el menú desplegable y haga clic en el icono de copiar.
  - Usuario RAM: Haga clic en su nombre de usuario en la esquina superior derecha. El Main Account ID aparece en el menú desplegable.
- Peer CEN Instance ID: Introduzca el ID de la instancia de CEN CEN1 a la que están asociadas VPC1 y VPC2 de la cuenta A.
- Payer: Para este tutorial, seleccione el valor predeterminado, CEN Instance Owner.
  - CEN Instance Owner: La cuenta A (propietaria de la instancia de CEN) paga las attachment and data processing fees por conectar VPC3 al transit router.
  - VPC Users: La cuenta B (propietaria de la VPC) paga las attachment and data processing fees por conectar VPC3 al transit router.
    
    Elija el pagador con cuidado. Cambiarlo posteriormente mediante Changing the payer podría afectar sus servicios.

Paso 2: Asociar `VPC3` a `CEN1` desde la cuenta A

Inicie sesión en la consola de CEN con la cuenta A.
Haga clic en el ID de instancia de CEN1, busque el transit router de la región China (Hangzhou) y, en la columna Actions, haga clic en Create Connection > Create Intra-Region Connection.
En la página Create Intra-Region Connection, configure los siguientes parámetros:
- Network Type: Seleccione VPC.
- Region: Seleccione China (Hangzhou).
- Account: Seleccione Another Account e introduzca el ID de cuenta de Alibaba Cloud de la cuenta B (VPC3 pertenece a la cuenta B).
- Attachment Name: Introduzca attach3.
- Networks: Seleccione el ID de instancia de VPC3.
  
  Si el menú desplegable está vacío, significa que no se ha configurado la autorización entre cuentas para VPC3 hacia CEN1. Compruebe que el Peer Account UID corresponde al ID de la cuenta A y que el Peer CEN Instance ID es el ID de instancia de CEN1.
- VSwitch: El sistema selecciona automáticamente dos vSwitch en VPC3.
  
  El sistema selecciona automáticamente vSwitch de dos zonas de disponibilidad para la recuperación ante desastres. Si VPC3 solo tiene vSwitch en una zona, cree uno en una zona diferente antes de continuar.
- Advanced Settings: Mantenga los valores predeterminados. Estos parámetros se explican en How routing works.

Comprobar la conexión

Asegúrese de que las reglas del security group de las tres instancias ECS allow el tráfico ICMP entrante.

Log on a ECS3 en la cuenta B y ejecute ping para alcanzar ECS1:

ping 10.0.0.1

[root@iZbp xxx ~]# ping 10.0.0.1
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=63 time=0.580 ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=63 time=0.421 ms
64 bytes from 10.0.0.1: icmp_seq=3 ttl=63 time=0.281 ms
64 bytes from 10.0.0.1: icmp_seq=4 ttl=63 time=0.295 ms
64 bytes from 10.0.0.1: icmp_seq=5 ttl=63 time=0.296 ms
64 bytes from 10.0.0.1: icmp_seq=6 ttl=63 time=0.247 ms
64 bytes from 10.0.0.1: icmp_seq=7 ttl=63 time=0.269 ms

Un ping exitoso confirma que VPC3 y VPC1 pueden comunicarse. Ejecute ping 172.16.0.1 para comprobar la conectividad entre VPC3 y VPC2.

Enrutamiento

Cuando se crea la asociación de VPC, el sistema configura automáticamente el enrutamiento basándose en tres funciones avanzadas habilitadas de forma predeterminada:

De forma predeterminada, hay tres opciones habilitadas: Associate with default route table of transit router (asocia la conexión de VPC con la tabla de rutas predeterminada del transit router), Propagate system routes to default route table of transit router (propaga las rutas del sistema de la VPC al transit router, lo que permite la comunicación con otras instancias de red asociadas) y Automatically create route that points to transit router and add to all route tables of current VPC (agrega tres rutas —10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16— a todas las tablas de rutas de la VPC, con saltos siguientes que apuntan al transit router; de forma predeterminada, los transit routers no propagan rutas a las VPC). Para personalizar el enrutamiento, desmarque estas casillas y configure manualmente las asociaciones y la propagación de rutas. Consulte Route management.

Nota

Para el tráfico IPv6, después de crear la conexión de VPC, habilite route synchronization o manually add IPv6 route entries que apunte a la conexión de VPC en la VPC.

Tabla de rutas predeterminada del TR

Bloque CIDR de destino	Siguiente salto	Tipo de ruta
10.0.0.0/24	`attach1`	Propagada
10.0.1.0/24	`attach1`	Propagada
172.16.0.0/24	`attach2`	Propagada
172.16.1.0/24	`attach2`	Propagada
192.168.0.0/24	`attach3`	Propagada
192.168.1.0/24	`attach3`	Propagada

Tabla de rutas del sistema de VPC1

Bloque CIDR de destino	Siguiente salto	Tipo de ruta
10.0.0.0/24	Local	Sistema
10.0.1.0/24	Local	Sistema
10.0.0.0/8	`attach1`	Personalizada
172.16.0.0/12	`attach1`	Personalizada
192.168.0.0/16	`attach1`	Personalizada

Tabla de rutas del sistema de VPC2

Bloque CIDR de destino	Siguiente salto	Tipo de ruta
172.16.0.0/24	Local	Sistema
172.16.1.0/24	Local	Sistema
10.0.0.0/8	`attach2`	Personalizada
172.16.0.0/12	`attach2`	Personalizada
192.168.0.0/16	`attach2`	Personalizada

Tabla de rutas del sistema de VPC3

Bloque CIDR de destino	Siguiente salto	Tipo de ruta
192.168.0.0/24	Local	Sistema
192.168.1.0/24	Local	Sistema
10.0.0.0/8	`attach3`	Personalizada
172.16.0.0/12	`attach3`	Personalizada
192.168.0.0/16	`attach3`	Personalizada

Preguntas frecuentes

Conexión de VPC entre regiones y entre cuentas

El proceso es similar al descrito en Connect VPCs across regions, excepto que las VPC pertenecen a cuentas diferentes. Complete la autorización entre cuentas (Step 1) antes de crear la asociación.

Conectividad parcial y aislamiento de red

Utilice varias tablas de rutas del transit router para aislar VPC1 y VPC2, permitiendo al mismo tiempo que ambas se comuniquen con VPC3. Consulte Isolate VPCs and enable access to shared services.