Enable public internet access for Flink, connect across VPCs - Realtime Compute for Apache Flink

Este tema describe las soluciones de red para diversos escenarios, incluido el acceso a internet público, la comunicación entre VPCs y las conexiones de nube híbrida.

Seleccione una región y zona

Antes de adquirir y utilizar Realtime Compute for Apache Flink, comprenda los siguientes conceptos básicos.

Región

Una región es un área geográfica donde se ubican los centros de datos de Alibaba Cloud; por lo general, recibe el nombre de la ciudad donde reside. Por ejemplo, la región China (Hangzhou) indica centros de datos en la ciudad de Hangzhou. Cuanto más cerca despliegue sus recursos de los datos de su negocio, menor será la latencia de red y más rápido el acceso.
Zona

Una zona es un centro de datos físico con infraestructura de energía y red independiente dentro de una misma región. Una región suele contener varias zonas, y las zonas de diferentes regiones están completamente aisladas. Al desplegar cargas de trabajo, puede elegir deploy them across zones. Dado que las zonas cuentan con infraestructura de energía y red independiente, este enfoque mejora significativamente la fiabilidad del servicio, proporciona redundancia de recuperación ante desastres en distintos centros de datos de la misma ciudad y garantiza alta disponibilidad.

Nota

Seleccione la región y la zona óptimas para sus servicios según la ubicación de los datos de su negocio. Esta elección garantiza alta disponibilidad y estabilidad para sus datos, al tiempo que reduce la latencia en la transferencia de datos.

Opciones de red

Seleccione una solución de red según el entorno de red de sus datos.

Origen de datos	Casos de uso
Public data sources	Elija esta opción para acceder a orígenes de datos externos mediante una dirección IP pública. Es obligatoria si el origen de datos no admite comunicación privada o no se encuentra en una VPC.
Cross-VPC services	Esta opción habilita la comunicación privada entre dos VPCs, las cuales pueden estar en la misma cuenta o en cuentas distintas, así como en la misma región o en regiones diferentes.
Hybrid cloud scenarios	Elija esta opción para conectar servicios de otros proveedores de nube o sus centros de datos locales, con el fin de crear un entorno multinube o híbrido.

Orígenes de datos públicos

El acceso a internet público tiene una latencia menos predecible que las redes privadas. Si su carga de trabajo requiere baja latencia y conectividad estable, priorice el acceso por red privada.

Alibaba Cloud NAT Gateway conecta una VPC a internet público, lo que permite a Realtime Compute for Apache Flink acceder a orígenes de datos públicos.

Acceso a internet público

Paso 1: Crear NAT Gateway y EIP

Inicie sesión en la consola de NAT Gateway.
Haga clic en Create Internet NAT Gateway.

En la página de compra, complete la información obligatoria:

Para las opciones Region, VPC y Associate vSwitch, seleccione las que correspondan a su espacio de trabajo de Realtime Compute for Apache Flink.

Para obtener más información, vaya a la consola de Realtime Compute for Apache Flink y haga clic en More > Workspace Details para un espacio de trabajo. El VPC ID es el identificador de la VPC a la que pertenece el espacio de trabajo, y los nombres e identificadores en la sección vSwitch son los detalles de los vSwitches asociados.
Network Type: Internet NAT Gateway
Elastic IP Address: New EIP (Si su región está fuera de China continental, puede adquirir primero una EIP y luego seleccionar una existente según el tipo de línea).

Line Type: BGP (Multi-ISP)

Si su espacio de trabajo de Realtime Compute for Apache Flink se encuentra en una región fuera de China continental, hay más tipos de línea disponibles. Elija un plan de EIP adecuado según la ubicación de los datos de su negocio.

Tipos de línea

Cree y adquiera una EIP en la consola de Elastic IP Address.

Elemento	EIP (BGP Multi-ISP)	EIP (BGP Multi-ISP Pro)	Anycast EIP
Ventaja principal	Líneas públicas BGP de alta calidad para acceso a internet de bajo costo.	Tráfico de retorno optimizado hacia China continental, con acceso directo mediante líneas de operadores premium.	Proporciona una sola IP para usar en varias regiones del mundo. El tráfico ingresa a la red de Alibaba Cloud desde el punto de acceso más cercano.
Escenario	Cargas de trabajo desplegadas en cualquier región. Los usuarios finales acceden a los servicios desde cualquier ubicación a través de internet. El tráfico pasa por líneas estándar de operadores.	Cargas de trabajo desplegadas en regions outside the Chinese mainland. Los usuarios finales acceden a los servicios desde China continental a través de internet. El tráfico pasa por líneas premium de operadores.	Cargas de trabajo desplegadas en regions outside the Chinese mainland. Los usuarios finales acceden a los servicios desde ubicaciones en el extranjero via an Anycast EIP. El tráfico pasa por líneas estándar de operadores y la red de transmisión global de Alibaba Cloud.
Calidad	Baja	Alta	Alta
Costo	Bajo	Medio	Alto

Haga clic en Purchase y complete el pago. A continuación, se aprovisiona el recurso.
Configure una entrada SNAT.
1. En su instancia de Internet NAT Gateway, haga clic en Configure SNAT.
2. Haga clic en Create.
3. Seleccione VPC como ámbito y seleccione la Elastic IP Address (EIP) asociada.
4. Haga clic en Create Now.

Paso 2: Configurar el acceso ascendente y descendente

En este punto, su espacio de trabajo de Realtime Compute for Apache Flink puede acceder a orígenes de datos públicos. Sin embargo, por lo general necesita agregar la Elastic IP Address (EIP) a las reglas de su firewall o a las directivas de security group para autorizar la conexión.

Por ejemplo, para acceder a una base de datos MySQL desplegada en una instancia ECS de Alibaba Cloud, debe agregar una regla de security group correspondiente. Esta instancia ECS ya debe tener una EIP vinculada.

Vaya a Consola de ECS - Instancias.
Haga clic en la instancia destino. En la pestaña Security Groups, haga clic en el nombre del security group destino.
En la pestaña Inbound Rules, haga clic en Quick Add. Para Authorization Object, introduzca la Elastic IP Address (EIP) del NAT Gateway y seleccione el puerto de MySQL.
Haga clic en OK. Ahora Realtime Compute for Apache Flink puede acceder a la base de datos MySQL mediante la dirección IP pública de la instancia ECS.
Utilice la función Network detection en la esquina superior derecha de la consola de desarrollo de Realtime Compute for Apache Flink para probar la conexión de red.

Introduzca el Host y el Port destino (por ejemplo, 3306) y haga clic en Detect. Un mensaje "Network detection successful" indica que la conexión funciona correctamente.

Servicios entre VPCs

Si los demás servicios aún se encuentran en una etapa inicial de planificación o pueden reemplazarse, despliéguelos en la misma VPC que Realtime Compute for Apache Flink. Como alternativa, vuelva a crear su espacio de trabajo de Flink en la misma VPC que los demás servicios.

Los siguientes métodos se utilizan comúnmente para conexiones de red entre VPCs:

VPC Peering Connection: Una VPC Peering Connection conecta dos VPCs, que pueden estar en diferentes cuentas o regiones. Esto les permite comunicarse directamente mediante direcciones IP privadas, como si estuvieran en la misma red.
TR: Un TR conecta y reenvía tráfico entre instancias de red en la misma región o entre regiones distintas. Cuando asocia instancias de red como VPCs al TR, las rutas se sincronizan automáticamente. Admite conexiones tanto dentro de la misma región como entre regiones.
PrivateLink: PrivateLink habilita el acceso a servicios entre VPCs a través de un canal privado y seguro. Esto evita la exposición a internet público (por ejemplo, fugas de datos y ataques DDoS), simplifica la arquitectura de red y mejora la eficiencia y fiabilidad del acceso.

Elemento	VPC Peering Connection	TR	PrivateLink
Método de conexión	Conexión punto a punto entre dos VPCs	Las VPCs se conectan a un TR mediante conexiones de red	Conexión direccional entre VPCs basada en un endpoint service
Propagación de rutas	No compatible	Compatible	No compatible
Dirección de acceso	Bidireccional	Bidireccional	Unidireccional
Entre cuentas	Compatible	Compatible	Compatible
Entre regiones	Compatible	Compatible	No compatible
Ideal para	Conectar un número reducido de VPCs	Conectar un gran número de VPCs	Acceso direccional a un servicio en otra VPC
Complejidad de configuración	Alta. Requiere establecer una peering connection y configurar rutas en ambas VPCs para cada par.	Baja. Cada VPC solo necesita asociarse al TR y tener una ruta que apunte a dicha asociación.	Baja. PrivateLink simplifica la configuración de red al eliminar la necesidad de gestionar conflictos de direcciones o configuraciones de rutas.
Latencia de red	Baja	Media. El tráfico que pasa por el TR añade un salto adicional, lo que aumenta la latencia.	Baja
Costo	Sin cargo para conexiones dentro de la misma región. Para conexiones entre regiones, Cloud Data Transfer (CDT) cobra por la transferencia de tráfico saliente.	Se aplican tarifas por conexiones y procesamiento de datos. Las conexiones entre regiones también generan cargos por planes de ancho de banda.	La facturación se basa en el uso real del servicio PrivateLink, lo que incluye tarifas por instancia y por procesamiento de datos.
Bloques CIDR superpuestos	No permitido	No permitido	Permitido

Escenario de ejemplo

Una empresa crea VPC1 en la región China (Hangzhou) y VPC2 en la región China (Beijing). Realtime Compute for Apache Flink se despliega en la región China (Hangzhou), mientras que una instancia ECS para almacenamiento de datos y desarrollo se aprovisiona en la región China (Beijing).

Una VPC Peering Connection es la mejor solución para este escenario, que requiere comunicación de red entre diferentes VPCs (potencialmente entre regiones) bajo la misma cuenta de Alibaba Cloud o cuentas distintas.

Nota

Los bloques CIDR de las VPCs y los vSwitches en ambos extremos de una peering connection no pueden superponerse.

Por ejemplo, dos VPCs con bloques CIDR 192.168.0.0/16 y 192.168.0.0/24 no pueden comunicarse incluso si se establece una VPC Peering Connection, porque sus bloques CIDR se superponen.
Para crear una VPC Peering Connection entre cuentas, asegúrese de que tanto la cuenta solicitante como la aceptante hayan creado VPCs.
Para obtener instrucciones detalladas, consulte Use a VPC Peering Connection to enable private communication between VPCs.

Escenarios de nube híbrida

Los siguientes productos admiten la conexión de centros de datos locales y otras redes a una VPC, lo que le permite construir rápidamente una nube híbrida.

Express Connect: Express Connect utiliza circuitos físicos dedicados para conectar centros de datos locales, otras plataformas de nube y otras redes a Alibaba Cloud. Incluso a largas distancias, Express Connect proporciona una calidad de comunicación comparable a la de una red privada, con baja latencia, baja pérdida de paquetes y alto ancho de banda.
VPN Gateway: VPN Gateway establece una conexión cifrada, segura y fiable entre su VPC de Alibaba Cloud y diversas redes, incluidos centros de datos locales, redes corporativas, clientes de internet y otras plataformas de nube.

Elemento	Express Connect	VPN Gateway
Calidad	Alta (circuito dedicado)	Baja (internet público)
Tiempo de aprovisionamiento	Largo (2 a 3 meses)	Corto (disponible inmediatamente después de la activación y autenticación)
Costo	Alto	Bajo
Ancho de banda	Un solo enlace admite hasta 100 Gbps. Puede agregar varios circuitos para alcanzar un ancho de banda de nivel Tbps.	Limitado por el ancho de banda de la dirección IP pública.
Casos de uso	Migración a la nube para empresas con altos requisitos de seguridad de red, como las de los sectores financiero y gubernamental.	Migración a la nube para servicios básicos como redes corporativas y almacenamiento de datos.