GA port mapping for improved flexibility and security - Global Accelerator

Por motivos de seguridad, las organizaciones suelen necesitar aislar los puertos expuestos al exterior de los puertos de las aplicaciones del backend. Puede configurar el mapeo de puertos en Global Accelerator (GA) para asignar puertos de listener a puertos de endpoint, lo que mejora la flexibilidad y la seguridad de los despliegues de sus aplicaciones.

Descripción general

De forma predeterminada, Global Accelerator (GA) reenvía el tráfico a un grupo de endpoints mediante el protocolo y el rango de puertos que se especifican al crear un listener. Los listeners de enrutamiento inteligente admiten el mapeo de puertos. Al configurar un grupo de endpoints, puede asignar puertos de listener a puertos de endpoint específicos. Una vez configurado el mapeo de puertos, GA acepta el tráfico en los puertos de listener y lo reenvía a los puertos de endpoint correspondientes.

Escenarios de uso

El mapeo de puertos es ideal para escenarios donde los puertos de listener difieren de los puertos que utilizan los endpoints para los servicios:

Acceso seguro para aplicaciones empresariales: Para mejorar la seguridad, las organizaciones suelen aislar los puertos expuestos al exterior de los puertos internos de las aplicaciones. Con el mapeo de puertos de GA, puede aceptar solicitudes externas en un puerto estándar, como TCP 80, y reenviarlas a un puerto de aplicación del backend, como 8080. Esto evita la exposición directa de los puertos de servicio internos.
Aislamiento de puertos para aplicaciones SaaS multiinquilino: En una aplicación de Software como Servicio (SaaS), utilice el mapeo de puertos de GA para asignar un puerto diferente expuesto al exterior a cada inquilino, como 8001, 8002 y 8003, y asigne estos puertos a un puerto específico del backend, como 8080. Esto garantiza el aislamiento y la seguridad de los inquilinos.
Aceleración HTTPS para sitios web HTTP: Puede utilizar el mapeo de puertos de GA para cifrar las solicitudes de clientes en sitios web que se ejecutan en el puerto HTTP 80. Por ejemplo, puede configurar un listener HTTPS en el puerto 443 y asignarlo a un servicio del backend que escuche en el puerto HTTP 80. Esto proporciona acceso HTTPS seguro y acelerado a su sitio web HTTP.

Límites

Algunas instancias estándar antiguas de GA no son compatibles con el port mapping para listeners TCP o UDP. Para habilitar esta función, póngase en contacto con su gerente de cuenta para solicitar una actualización de la instancia.
Al configurar un Port Mapping, el Listener Port debe estar dentro del rango de puertos configurado para el listener actual. El Endpoint Port debe ser un valor entre 1 y 65535.
Para listeners TCP y UDP, puede hacer clic en Add Port Mapping para agregar varios mapeos de puertos. El Listener Port en cada mapeo de puertos debe ser único. Puede agregar hasta 30 mapeos de puertos.
Para listeners HTTP y HTTPS, solo puede agregar un mapeo de puertos.
Para listeners TCP:
- No puede configurar el mapeo de puertos para grupos de endpoints virtuales.
- Si ya existe un grupo de endpoints virtuales para el listener, no puede configurar el mapeo de puertos para el grupo de endpoints predeterminado.
- Si ya se ha configurado el mapeo de puertos para el grupo de endpoints predeterminado, no puede agregar un grupo de endpoints virtuales.
Después de configurar el mapeo de puertos, se aplican los siguientes límites a los cambios posteriores del listener:
- Protocolo del listener: Solo puede cambiar entre HTTP y HTTPS. No se admite el cambio entre otros protocolos.
- Puerto del listener: El rango de puertos del listener modificado debe incluir todos los puertos de listener que tengan mapeos de puertos existentes.
  
  Por ejemplo, si el rango de puertos del listener es 80–82 y está asignado a los puertos de endpoint 100–102, el rango de puertos del listener modificado debe incluir los puertos 80–82. Puede cambiar el rango a 80–90, pero no puede reducirlo a 80–81.
Si hay listas de control de acceso (ACL), como reglas de security group, configuradas para el servicio del backend, asegúrese de que las reglas de entrada permitan el tráfico en los puertos de endpoint especificados en los mapeos de puertos.

Por ejemplo, si asigna el puerto de listener 80 al puerto de endpoint 8080, las reglas del security group para el endpoint deben permitir el tráfico de entrada en el puerto 8080.

Ejemplos

Los listeners de capa 4 (TCP y UDP) y de capa 7 (HTTP y HTTPS) de GA admiten la configuración del mapeo de puertos. Este artículo utiliza los siguientes dos escenarios para ilustrar la capacidad de mapeo de puertos de GA.

Capa 4 (TCP y UDP)

Una empresa de videojuegos aloja un juego multijugador masivo en línea en las instancias ECS ECS01 y ECS02. Las instancias se agregan como backends a un grupo de servidores de Network Load Balancer (NLB) en la región US (Silicon Valley). En la aplicación del juego, el módulo de lógica de combate se ejecuta en el puerto 8080 y el módulo de chat se ejecuta en el puerto 8090.

La empresa enfrenta los siguientes desafíos:

Los jugadores están distribuidos por todo el mundo y experimentan alta latencia, fluctuación y pérdida de paquetes debido a la inestabilidad de las redes internacionales.
El juego requiere diferentes puertos para enrutar el tráfico a los módulos correctos del backend (combate y chat).
Exponer directamente los puertos reales de los servidores del juego representa riesgos de seguridad y dificulta la gestión.

Para resolver estos problemas, la empresa utiliza GA. GA enruta las solicitudes del juego al punto de acceso de Alibaba Cloud más cercano y luego las transmite a través de la red interna de Alibaba Cloud hacia los servidores del juego. Esto acorta la ruta de transmisión de la red pública y reduce problemas de red como latencia, fluctuación y pérdida de paquetes. Además, la empresa utiliza la función de mapeo de puertos de GA para recibir solicitudes externas en los puertos TCP 80 y 90, y reenviarlas a los puertos de servicio del backend 8080 y 8090. Esto aísla los módulos de servicio y mitiga los riesgos de exponer directamente los puertos de servicio internos.

Requisitos previos

Tiene created an NLB instance.
Ha creado un grupo de servidores y un listener con full-port forwarding enabled para la instancia NLB.

Ha agregado ECS01 y ECS02 al grupo de servidores NLB, y ha desplegado módulos de servicio en varios puertos en cada instancia ECS.

Este ejemplo utiliza Alibaba Cloud Linux 3 y Nginx para configurar un servicio de prueba que escucha en los puertos 8080 y 8090.

Comandos de referencia para desplegar un servicio de prueba en ECS01

Ejecute los siguientes comandos para instalar Nginx y desplegar páginas de prueba de muestra.

yum install -y nginx
cd /usr/share/nginx/html/
echo "Hello World! This is ECS01, service running on port 8080." > index8080.html
echo "Hello World! This is ECS01, service running on port 8090." > index8090.html

Ejecute el siguiente comando para abrir el archivo de configuración de Nginx nginx.conf, configure los módulos de servicio para los puertos 8080 y 8090, guarde el archivo y salga.

vim /etc/nginx/nginx.conf

El siguiente contenido es la configuración de muestra:

http {
    ...
    # Existing configuration
    # Add a server block for port 8080.
    server {
        listen 8080;
        server_name localhost;
        location / {
            root /usr/share/nginx/html;
            index index8080.html;
        }
    }
    # Add a server block for port 8090.
    server {
        listen 8090;
        server_name localhost;
        location / {
            root /usr/share/nginx/html;
            index index8090.html;
        }
    }
}

Ejecute el siguiente comando para reiniciar el servicio Nginx.
```
systemctl restart nginx.service
```

Las reglas del security group para las instancias ECS01 y ECS02 permiten el tráfico de entrada en los puertos 8080 y 8090.
Tiene configured a CNAME record for your domain name que apunta a la instancia NLB.

Si utiliza un servicio de DNS distinto al de Alibaba Cloud DNS, consulte la documentación de su proveedor de DNS.

Procedimiento

Paso 1: Configurar la información básica de una instancia

En este ejemplo, se utiliza una instancia estándar pay-as-you-go de GA.

En la página Standard Instance > Instances de la consola de Global Accelerator, haga clic en Create Standard Pay-as-you-go Instance.
En el paso Basic Instance Configuration, configure la información básica y haga clic en Next.

Paso 2: Configurar un área de aceleración

En el paso Configure Acceleration Area, agregue una región de aceleración, asigne ancho de banda a la región y luego haga clic en Next.

En este ejemplo, se utiliza la región China (Hong Kong). El parámetro Acceleration Region se establece en China (Hong Kong) y el parámetro ISP Line Type se establece en BGP (Multi-ISP). Puede utilizar los valores predeterminados para otros parámetros o modificarlos según sea necesario. Para obtener más información, consulte Add and manage acceleration areas.

Importante

Si las regiones de aceleración incluyen regiones en China continental, debe solicitar una ICP filing para el nombre de dominio con el fin de proporcionar servicios.
Si especifica un valor bajo para el ancho de banda máximo, puede producirse limitación de velocidad y caída de paquetes. Especifique un ancho de banda máximo según sus necesidades.

GA加速区域.png

Paso 3: Configurar un listener

En la página Configure Listener, configure el protocolo y el puerto de reenvío, y luego haga clic en Next.

En este escenario, establezca Protocol en TCP y Port en un rango que incluya los puertos 80 y 90, por ejemplo, 80-90. Puede utilizar los valores predeterminados para otros parámetros o modificarlos según sus requisitos comerciales. Para obtener más información sobre cómo configurar un listener, consulte Add and manage an intelligent routing listener.

Paso 4: Configurar un grupo de endpoints y endpoints

En la página Configure an Endpoint Group, configure el servicio del backend para el grupo de endpoints y luego haga clic en Next.

En este escenario, establezca Region en US (Silicon Valley), Backend Service Type en NLB, y Backend Service en la instancia NLB de destino. En la sección Port Mapping, asigne el puerto de listener 80 al puerto de endpoint 8080 y el puerto de listener 90 al puerto de endpoint 8090. Luego, lea y seleccione Compliance Commitments Regarding Cross-border Data Transfers. Puede utilizar los valores predeterminados para otros parámetros o modificarlos según sus requisitos comerciales. Para obtener más información sobre cómo configurar un grupo de endpoints, consulte Add and manage an endpoint group for an intelligent routing listener.
En la página Configuration Review, confirme las configuraciones de la instancia de GA y haga clic en Submit.

Paso 5: Configurar un registro CNAME

En un entorno de producción, se recomienda utilizar su propio nombre de dominio. Cree un registro CNAME que apunte su dominio al CNAME proporcionado por la instancia de GA. Esto enruta el tráfico de su aplicación a GA para su aceleración.

Si ya tiene un registro A que apunta a su servidor del backend, primero agregue un registro CNAME para la instancia de GA en la región China (Hong Kong) para realizar pruebas. Una vez que la prueba sea exitosa, puede expandirse gradualmente a otras regiones o cambiar completamente al registro CNAME de GA.

En la página Public Zone, busque el nombre de dominio que desea utilizar y haga clic en Settings en la columna Actions.

Nota
Para un nombre de dominio que no esté registrado en Alibaba Cloud, add it to Alibaba Cloud DNS antes de configurar los registros DNS.
En la página DNS Settings, haga clic en Add Record, configure un registro CNAME y luego haga clic en OK.

En este ejemplo, el parámetro Record Type se establece en CNAME, el parámetro Hostname se establece en www, el parámetro Query Source se establece en China (Hong Kong), y el parámetro Record Value se establece en el CNAME de la instancia de GA. Utilice los valores predeterminados para otros parámetros o modifíquelos según sea necesario. Para obtener más información, consulte Add DNS records.

Paso 6: Probar la configuración

Verificar el mapeo de puertos

Desde una computadora en la región de aceleración, que en este ejemplo es China (Hong Kong):

Abra un navegador y visite http://<your-domain-name>:80. Actualice la página varias veces. Las solicitudes deberían alternarse entre ECS01 y ECS02. La página devuelve un mensaje como Hello World! This is ECS01, service running on port 8080. o Hello World! This is ECS02, service running on port 8080.
Abra un navegador y visite http://<your-domain-name>:90. Actualice la página varias veces. Las solicitudes deberían alternarse entre ECS01 y ECS02. La página devuelve un mensaje como Hello World! This is ECS01, service running on port 8090. o Hello World! This is ECS02, service running on port 8090..

Verificar el rendimiento de la aceleración

Este ejemplo utiliza la herramienta de detección única para comparar la latencia del servicio en el puerto 8080 antes y después de habilitar GA. Al comparar los tiempos de respuesta, puede medir la mejora del rendimiento. Para obtener más información, consulte Use a network probe tool to test acceleration performance.

Introduzca http://<your-domain-name>:8080 para probar la latencia de la red antes de configurar GA.

Antes de realizar esta prueba, asegúrese de que el registro DNS apunte al CNAME de la instancia NLB.

Puede consultar información como el tiempo de respuesta. La dirección IP resuelta es la IP pública de la instancia NLB, lo que indica que el tráfico se enruta directamente a ella.
Introduzca http://<your-domain-name>:80 para probar la latencia de la red después de configurar GA.

Antes de realizar esta prueba, asegúrese de que el registro DNS se haya cambiado para apuntar al CNAME de la instancia de GA.

La dirección IP resuelta es la dirección IP acelerada de la instancia de GA, lo que indica que el tráfico se enruta a la instancia de GA para su aceleración.

Los resultados de la prueba muestran que el uso de GA reduce la latencia para los clientes en China (Hong Kong) cuando acceden al servicio en la región US (Silicon Valley).

Nota

El rendimiento real de aceleración de GA puede variar según sus condiciones de red y la configuración del servicio.

Capa 7 (HTTP y HTTPS)

Una empresa utiliza una instancia de Application Load Balancer (ALB) para desplegar un servicio web de alta disponibilidad en la región US (Silicon Valley). El servicio web se ejecuta en el puerto HTTP 8081 y atiende a usuarios en todo el mundo.

La empresa enfrenta los siguientes desafíos:

La baja calidad de la red pública causa alta latencia de red para algunos usuarios, lo que degrada la experiencia del usuario.
HTTP transmite datos en texto plano y no autentica el sitio web, lo que representa importantes riesgos de seguridad.
El servicio web se ejecuta en el puerto personalizado 8081, por lo que los usuarios no pueden acceder directamente al servicio a través del puerto HTTPS estándar 443.

Para resolver estos problemas, la empresa utiliza GA para mejorar la experiencia del usuario. La empresa también utiliza la función de mapeo de puertos de GA para aceptar solicitudes externas en el puerto HTTPS 443 y reenviarlas al servicio del backend en el puerto HTTP 8081. Esto cifra las solicitudes de los clientes y permite acceder al servicio en el puerto HTTPS estándar.

Requisitos previos

Tiene created an ALB instance.
Tiene created a server group y added an HTTP listener para la instancia ALB.
Ha agregado ECS01 y ECS02 al grupo de servidores ALB, y se ha desplegado un servicio en el puerto 8081 en ambas instancias ECS.

Este ejemplo utiliza Alibaba Cloud Linux 3 y Nginx para configurar un servicio de prueba que escucha en el puerto 8081.
Comandos de referencia para desplegar un servicio de prueba en ECS01
1. Ejecute los siguientes comandos para instalar Nginx y desplegar una página de prueba de muestra.
  yum install -y nginx cd /usr/share/nginx/html/ echo "Hello World! This is ECS01, service running on port 8081." > index8081.html
2. Ejecute el siguiente comando para abrir el archivo de configuración de Nginx nginx.conf, configure un módulo de servicio para el puerto 8081, guarde el archivo y salga.
  vim /etc/nginx/nginx.conf
  El siguiente contenido es la configuración de muestra:
  http { ... # Existing configuration # Add a server block for port 8081. server { listen 8081; server_name localhost; location / { root /usr/share/nginx/html; index index8081.html; } } }
3. Ejecute el siguiente comando para reiniciar el servicio Nginx.
  systemctl restart nginx.service
Las reglas del security group para las instancias ECS01 y ECS02 permiten el tráfico de entrada en el puerto 8081.
Tiene configured a CNAME record for your domain name que apunta a la instancia ALB.

Si utiliza un servicio de DNS distinto al de Alibaba Cloud DNS, consulte la documentación de su proveedor de DNS.
Ha adquirido un certificado o ha cargado un certificado de terceros en SSL Certificates Service y lo ha asociado con su nombre de dominio. Para obtener más información sobre cómo crear un certificado, consulte Enable HTTPS access for a website with an official certificate.

Procedimiento

Paso 1: Configurar la información básica de una instancia

En este ejemplo, se utiliza una instancia estándar pay-as-you-go de GA.

En la página Standard Instance > Instances de la consola de Global Accelerator, haga clic en Create Standard Pay-as-you-go Instance.
En el paso Basic Instance Configuration, configure la información básica y haga clic en Next.

Paso 2: Configurar un área de aceleración

En el paso Configure Acceleration Area, agregue una región de aceleración, asigne ancho de banda a la región y luego haga clic en Next.

Importante

Si las regiones de aceleración incluyen regiones en China continental, debe solicitar una ICP filing para el nombre de dominio con el fin de proporcionar servicios.
Si especifica un valor bajo para el ancho de banda máximo, puede producirse limitación de velocidad y caída de paquetes. Especifique un ancho de banda máximo según sus necesidades.

GA加速区域.png

Paso 3: Configurar un listener

En la página Configure Listener, configure el protocolo y el puerto de reenvío, y luego haga clic en Next.

En este escenario, establezca Protocol en HTTPS y Port en 443. En la lista desplegable Select a server certificate, seleccione el certificado SSL asociado con su nombre de dominio. Puede utilizar los valores predeterminados para otros parámetros o modificarlos según sus requisitos comerciales. Para obtener más información sobre cómo configurar un listener, consulte Add and manage an intelligent routing listener.

Paso 4: Configurar un grupo de endpoints y endpoints

En la página Configure an Endpoint Group, configure el servicio del backend para el grupo de endpoints y luego haga clic en Next.

En este escenario, establezca Region en US (Silicon Valley), Backend Service Type en ALB, y Backend Service en la instancia ALB de destino. En la sección Port Mapping, asigne el puerto de listener 443 al puerto de endpoint 8081. Luego, lea y seleccione Compliance Commitments Regarding Cross-border Data Transfers. Puede utilizar los valores predeterminados para otros parámetros o modificarlos según sus requisitos comerciales. Para obtener más información sobre cómo configurar un grupo de endpoints, consulte Add and manage an endpoint group for an intelligent routing listener.
En la página Configuration Review, confirme las configuraciones de la instancia de GA y haga clic en Submit.

Paso 5: Configurar un registro CNAME

En la página Public Zone, busque el nombre de dominio que desea utilizar y haga clic en Settings en la columna Actions.

Nota
Para un nombre de dominio que no esté registrado en Alibaba Cloud, add it to Alibaba Cloud DNS antes de configurar los registros DNS.
En la página DNS Settings, haga clic en Add Record, configure un registro CNAME y luego haga clic en OK.

En este ejemplo, el parámetro Record Type se establece en CNAME, el parámetro Hostname se establece en www, el parámetro Query Source se establece en China (Hong Kong), y el parámetro Record Value se establece en el CNAME de la instancia de GA. Utilice los valores predeterminados para otros parámetros o modifíquelos según sea necesario. Para obtener más información, consulte Add DNS records.

Paso 6: Probar la configuración

Verificar el mapeo de puertos

Desde una computadora en la región de aceleración, que en este ejemplo es China (Hong Kong), abra un navegador y visite https://<your-domain-name>:443. Actualice la página varias veces. Las solicitudes deberían alternarse entre ECS01 y ECS02, y podrá acceder al servicio en el puerto 8081 a través del puerto HTTPS 443.

Verificar el rendimiento de la aceleración

Este ejemplo utiliza la herramienta de detección única para probar el nombre de dominio y su puerto correspondiente antes y después de configurar GA. Puede consultar el tiempo de respuesta para conocer la latencia de los datos. Para obtener más información, consulte Use a network probe tool to test acceleration performance.

Introduzca http://<your-domain-name>:8081 para probar la latencia de la red antes de configurar GA.

Antes de realizar esta prueba, asegúrese de que el registro DNS apunte al CNAME de la instancia ALB.

Puede consultar información como el tiempo de respuesta. La dirección IP resuelta es la dirección IP pública asignada a la instancia ALB orientada al público, lo que indica que el tráfico se enruta a la instancia ALB.
Introduzca https://<your-domain-name>:443 para probar la latencia de la red después de configurar GA.

Antes de realizar esta prueba, asegúrese de que el registro DNS se haya cambiado para apuntar al CNAME de la instancia de GA.

La dirección IP resuelta es la dirección IP acelerada de la instancia de GA, lo que indica que el tráfico se enruta a la instancia de GA para su aceleración.

Los resultados de la prueba muestran que el uso de GA reduce la latencia para los clientes en China (Hong Kong) cuando acceden al servicio en la región US (Silicon Valley).

Nota

El rendimiento real de aceleración de GA puede variar según sus condiciones de red y la configuración del servicio.

Referencias

Para desplegar GA y acceder a un sitio web HTTP 80 en la región US (Silicon Valley) mediante HTTPS 443, consulte Securely accelerate access to HTTP websites over HTTPS.
ALB está integrado con GA. Configure rápidamente un acelerador de GA desde la consola de ALB para simplificar el proceso de configuración. Para obtener más información, consulte Enable application acceleration quickly by integrating ALB with GA.
Para obtener información sobre problemas comunes con GA, consulte los siguientes temas:
Utilice el parámetro PortOverrides de las siguientes operaciones de API para configurar el mapeo de puertos: