En comparación con el acceso por internet público, el acceso a la red interna proporciona un aislamiento total frente a redes externas. Esto ayuda a prevenir ataques de red y accesos no autorizados. Este tipo de acceso es ideal para comunicaciones internas que requieren alta seguridad y velocidades rápidas de transferencia de datos. El acceso a la red interna utiliza direcciones IP privadas y nombres de dominio privados. Puede usar funciones como listas de control de acceso (ACL) de red y security groups para controlar el acceso entre distintas instancias ECS dentro de una VPC. Para el acceso entre VPC, como conectar VPC en diferentes cuentas o regiones, Alibaba Cloud ofrece soluciones como Cloud Enterprise Network y VPC Peering Connection.
Métodos de acceso interno
Direcciones IP privadas
Las direcciones IP privadas, que normalmente son direcciones IPv4, no admiten acceso desde internet. Utilice direcciones IPv4 privadas para comunicarse entre instancias ECS y otros recursos internos. Alibaba Cloud asigna direcciones IPv4 privadas a las instancias ECS mediante el protocolo DHCP (Dynamic Host Configuration Protocol).
Si necesita usar IPv6 para acceder a la red interna en su VPC, cree instancias ECS con direcciones IPv6. Estas instancias deben crearse en una VPC y un vSwitch con bloques CIDR IPv6 habilitados.
Para obtener más información, consulte IP addresses.
Nombres de dominio privados
Asigne nombres de dominio privados a las instancias ECS en una VPC para lograr acceso sin IP y gestionar automáticamente los registros DNS.
Después de habilitar la función de nombre de host DNS para su VPC, configure la resolución DNS privada para las instancias ECS. De esta forma, permitirá el acceso interno mediante nombres de dominio privados. Para obtener más información, consulte Private DNS resolution for ECS instances.
Control de acceso interno
ACL de red
Una ACL de red es una función de control de acceso dentro de una VPC. Cree reglas personalizadas de ACL de red y asocie la ACL con un vSwitch para controlar el tráfico entrante y saliente de las instancias ECS en ese vSwitch. Para obtener más información, consulte Network ACLs y Create and manage a network ACL.
También puede usar las ACL de red para restringir la comunicación interna entre instancias ECS ubicadas en distintos vSwitch. Para obtener más información, consulte Restrict communication between ECS instances in different vSwitches.
Reglas de security group
Los security groups bien configurados mejoran significativamente la seguridad de sus instancias. Un security group actúa como un firewall virtual que controla el tráfico entrante y saliente de sus instancias ECS en el nivel de interfaz de red. Dentro de la misma VPC, utilice reglas de security group para controlar el acceso interno entre instancias ECS.
Mismo security group: para habilitar esta comunicación, coloque las instancias ECS que requieran acceso interno en el mismo security group básico. De forma predeterminada, un security group básico permite la comunicación entre las instancias del grupo. En cambio, un security group avanzado aísla todas las instancias que contiene. Para obtener más información, consulte Modify the internal access control policy of a basic security group.
Entre security groups: si necesita permitir la comunicación entre instancias ECS de distintos security groups, o bien utilizar un security group avanzado para un control de acceso granular, cumplimiento estricto o entornos de red complejos, autorice a un security group para que acceda a otro. De forma predeterminada, un security group avanzado aísla las instancias que contiene, y esta política no se puede modificar. Para obtener más información, consulte Security group guidelines and use cases.
Firewall del sistema del host
Un firewall crea una barrera de protección entre las redes internas y externas. Si tiene un firewall habilitado en su servidor con reglas que bloquean el acceso externo, es posible que no pueda conectarse al servidor de forma remota. Para obtener más información, consulte los siguientes temas:
Conectividad interna entre VPC
De forma predeterminada, las redes privadas virtuales (VPC) están aisladas. Utilice una VPC Peering Connection o una Cloud Enterprise Network (CEN) para establecer conexiones privadas entre ellas y permitir que las instancias se comuniquen entre VPC.
Estos métodos de conexión difieren en su implementación, las regiones compatibles, la complejidad de configuración, la cantidad de VPC que se pueden conectar y los precios. Para obtener más información, consulte Connect VPCs.
Documentación relacionada
Para modificar la dirección IP privada principal predeterminada asignada a una instancia, consulte Primary private IP addresses.
Si tiene escenarios que requieren varias direcciones IP privadas, como hosting de múltiples aplicaciones o conmutación por error, asigne una o más direcciones IP privadas secundarias a una instancia ECS. Para obtener más información, consulte Secondary private IP addresses.
Para conocer las prácticas recomendadas sobre el uso de security groups, consulte Security group best practices.
-
Un firewall de VPC inspecciona y controla el tráfico entre redes privadas virtuales (VPC), así como entre las VPC y los centros de datos locales. Si sus VPC están conectadas mediante Cloud Enterprise Network (CEN) o un circuito de Express Connect, cree un firewall de VPC para controlar el tráfico entre VPC y entre las VPC y sus centros de datos locales.
Para obtener más información, consulte VPC Firewall.