Function Compute:Configurar la red

Notas de uso

Cuando configure el acceso a una VPC para una función acelerada por GPU creada a partir de una imagen de instancia de Alibaba Cloud Container Registry (ACR) Enterprise Edition, la selección de la VPC y del vSwitch debe seguir estos principios.

• Si la página Access Control de la instancia de ACR Enterprise Edition muestra una Access IP con la etiqueta Default Resolution, la VPC y el vSwitch de la función deben corresponder a la dirección IP de resolución predeterminada.

• Si la página Access Control de la instancia de ACR Enterprise Edition muestra una Access IP sin la etiqueta Default Resolution, puede establecer cualquier par de VPC y vSwitch vinculado a la instancia.

Capacidades de acceso a la red

Habilitar el acceso a una VPC aumenta la latencia de arranque en frío de Function Compute. Se recomienda usar esta configuración solo cuando sea necesario. Como alternativa, considere utilizar la autorización de RAM para acceder a los recursos. Para obtener más información, consulte Use a function role to access other cloud services.

Las capacidades de acceso a la red de una función dependen de su configuración. Puede ajustarlas según sus necesidades.

• Tráfico de salida de la función: determina si la función puede enviar tráfico de salida a la red pública o a los recursos de una VPC. Los parámetros correspondientes son Allow VPC Access y Allow function to access public network.

  Tabla 1. Tráfico de salida de la función

  Configuration	Description
  Permitir que la función acceda únicamente a la red pública	La función accede a la red pública y a la red interna de Function Compute. El acceso a través de su VPC está deshabilitado. Configuración de red obligatoria: Establezca Allow VPC Access en No. Establezca Allow function to access public network en Yes.
  Permitir que la función acceda únicamente a una VPC	La función accede a la red pública y a los recursos internos solo a través de su VPC. Esta opción es adecuada para escenarios con PrivateZone, NAT Gateway o funciones vinculadas a una VPC. Configuración de red obligatoria: Establezca Allow VPC Access en Yes y configure la información de la VPC a la que la función puede acceder. Establezca Allow function to access public network en No.
  Permitir que la función acceda tanto a la red pública como a una VPC	Para funciones sin GPU: Acceso a la red pública a través de la red de la función. Acceso a la red interna a través de su VPC. PrivateZone es compatible con la resolución de nombres de dominio privados. Para funciones con GPU: Acceso a la red pública y a la red interna del bloque CIDR 100.0.0.0/8 a través de la red de la función. Acceso a la red interna fuera del bloque CIDR 100.0.0.0/8 a través de su VPC. PrivateZone no admite la resolución de nombres de dominio privados. Para habilitar esta función, submit a ticket. Configuración de red obligatoria: Establezca Allow VPC Access en Yes y configure la información de la VPC a la que la función puede acceder. Establezca Allow function to access public network en Yes.
  Prohibir que la función acceda tanto a la red pública como a una VPC	La función puede acceder a la red interna de Function Compute. El acceso a la red pública y a su VPC está deshabilitado. Configuración de red obligatoria: Establezca Allow VPC Access en No. Establezca Allow function to access public network en No.

• Tráfico de entrada de la función: determina si la función puede recibir tráfico de entrada desde la red pública o desde una VPC. El parámetro correspondiente es Allow Only Specified VPCs to Invoke the Function.

  Tabla 2. Tráfico de entrada de la función

  Configuration	Description
  Permitir que la función se invoque desde la red pública y desde VPC	De forma predeterminada, una función nueva se puede invocar desde la red pública y desde el interior de las VPC. La configuración de red predeterminada es la siguiente: Establezca Allow Only Specified VPCs to Invoke the Function en No.
  Permitir que la función se invoque solo desde VPC específicas	Esta configuración permite invocar la función únicamente desde las VPC especificadas y rechaza las solicitudes provenientes de la red pública. Configuración de red obligatoria: Establezca Allow Only Specified VPCs to Invoke the Function en Yes y configure las VPC desde las cuales se puede invocar la función.

Zonas de disponibilidad compatibles

Si sus recursos se encuentran en una zona de disponibilidad no admitida por Function Compute, cree un vSwitch en su entorno de VPC dentro de una zona de disponibilidad compatible con Function Compute. Después, establezca el ID de este vSwitch en la configuración de VPC de la función de Function Compute. Dado que los vSwitch dentro de la misma VPC se comunican entre sí a través de la red privada, Function Compute utiliza el vSwitch para acceder a los recursos de otras zonas de disponibilidad de esa misma VPC. Para obtener más información, consulte What do I do if I encounter the 'vSwitch is in unsupported zone' error?.

Requisitos previos

• Create a function

• (Opcional) Cree los recursos de red.

  Si aún no ha creado los recursos necesarios, seleccione Automatic Configuration durante el proceso de configuración. De lo contrario, cree los recursos de antemano siguiendo las instrucciones de estos temas:

  • Create a VPC and a vSwitch

  • Create a security group

Configurar la red y los roles

1. Inicie sesión en la consola de Function Compute. En el panel de navegación izquierdo, elija Function Management > Functions.

2. En la barra de navegación superior, seleccione una región. En la página Functions, haga clic en la función de destino.

3. En la página de detalles de la función, haga clic en la pestaña Configuration y luego haga clic en Modify en la sección Advanced Settings.

4. En el panel Advanced Settings, busque la sección Network, configure los parámetros según sus necesidades y luego haga clic en Deploy.

   • Allow VPC Access: controla si la función puede acceder a los recursos de una VPC. Valores válidos:

     • Enable: permite que la función acceda a los recursos de una VPC. Después de seleccionar Enable, debe elegir un Configuration Method. Valores válidos:

       • (Recomendado) Automatic Configuration: Function Compute crea automáticamente recursos como una VPC, un vSwitch y un security group. El sistema reutiliza los recursos existentes en la región actual en lugar de crear nuevos.

       • Custom Configuration: debe seleccionar manualmente los recursos de red existentes. Asegúrese de haber creado los recursos necesarios de antemano.

         • VPC: seleccione en la lista la VPC a la que desea acceder.

           Importante

           Puede crear un máximo de 10 vSwitch en la VPC seleccionada.

         • vSwitch: seleccione como mínimo un vSwitch de la lista.

           Este campo especifica las subredes a las que Function Compute puede acceder. Se recomienda especificar dos o más vSwitch. Esto permite que la función se ejecute en otras subredes si falla una zona de disponibilidad o si se agotan las direcciones IP de una subred.

         • Security Group: seleccione un security group de la lista.

           Este security group asocia una interfaz de red elástica (ENI) con la función, lo cual controla el acceso a los recursos dentro de la VPC. De forma predeterminada, las reglas de salida del security group permiten todo el tráfico. También puede configurar reglas de salida para definir políticas de control de acceso detalladas para la función.

           Nota

           Las reglas de salida del security group deben permitir el protocolo ICMP. Function Compute usa ICMP para comprobar la conectividad de red de la VPC.

     • Disable: impide que la función acceda a los recursos de una VPC.

   • Static Public IP: especifica si se obtiene una dirección IP pública estática para el acceso a internet mediante un NAT Gateway y una Elastic IP Address. Para obtener más información, consulte Configure a static public IP address.

   • Allow Default ENI to Access the Internet: especifica si se permite que la función acceda a la red pública. Valores válidos:

     • Enable: permite que la función acceda a la red pública.

     • Disable: impide que la función acceda a la red pública.

   • Allow Only Specified VPCs to Invoke the Function: especifica si se permite invocar la función únicamente desde VPC específicas. Valores válidos:

     • Enable: permite invocar la función solo desde las VPC especificadas. Tenga en cuenta los siguientes puntos:

       • Una función se puede vincular a un máximo de 20 VPC.

       • Las invocaciones de la función realizadas por un trigger no se ven afectadas.

       • La vinculación de VPC aplica a todas las versiones y alias de la función.

       • Después de habilitar esta configuración, se rechazan las solicitudes de invocación provenientes de la red pública y de otras VPC. El sistema devuelve un StatusCode de 403, un ErrorCode de AccessDenied y el mensaje de error Resource access is bound by VPC: VPC ID.

       • La vinculación de VPC solo es compatible con endpoints HTTP privados. No admite endpoints públicos ni endpoints HTTPS privados.

     • Disable: permite invocar la función desde la red pública y desde todas las VPC.

Preguntas frecuentes

• ¿Por qué Function Compute no logra conectarse a una VPC para depurar?

  Si habilitó el acceso a la VPC para su función pero la conexión falla, las posibles causas son las siguientes:

  • La subred que aloja el vSwitch presenta fallas o las direcciones IP de la subred se agotaron. Puede proporcionar dos o más ID de vSwitch cuando configure la VPC. Esta configuración mejora la tolerancia a fallas, ya que permite que la función se ejecute en otras zonas de disponibilidad si una falla.

  • El security group está configurado incorrectamente. Configure el security group de la siguiente manera:

    • Debe configurar las reglas de entrada del security group en la VPC para permitir el acceso desde el security group de Function Compute.

    • Las reglas de salida del security group deben permitir el protocolo ICMP. Function Compute usa ICMP para comprobar la conectividad de red de la VPC.

    Para conocer los pasos detallados sobre cómo configurar un security group, consulte Add a security group rule.

• ¿Qué debo hacer si los recursos de red son insuficientes?

  Al crear recursos de red de VPC, la configuración automática proporciona un prefijo de red /24, que ofrece 252 direcciones IP disponibles. Si tiene demasiadas instancias, podría superar este límite. En ese caso, debe ajustar manualmente el bloque CIDR del vSwitch y del security group correspondiente.

Solución de problemas

Function Compute no puede comprobar los permisos de acceso a la VPC cuando configura vpcConfig. Estos permisos se validan únicamente durante la ejecución de la función. Por lo tanto, podrían surgir nuevos tipos de errores al invocar una función mediante la API InvokeFunction. A continuación se describen los errores comunes que ocurren al acceder a una VPC para ayudarle a solucionar problemas rápidamente.

Documentos relacionados

• Para acceder a una base de datos en una VPC, se recomienda configurar una lista de direcciones IP permitidas para dicha base de datos. En la lista, especifique el bloque CIDR del vSwitch que configuró en esta página. Para obtener más información, consulte Access a database.

• Para controlar el tráfico de salida de una función hacia la red pública, debe usar una dirección IP estática. Para obtener más información, consulte Configure a static public IP address.