Access services in an instance over the public network - Platform For AI

Data Science Workshop (DSW) permite exponer los servicios que se ejecutan dentro de una instancia, como API de modelos e interfaces web, a la red pública. Esto le permite acceder a los servicios directamente desde un navegador o compartirlos con colaboradores para realizar pruebas. Esta función se basa en recursos de NAT Gateway y Elastic IP Address (EIP), y está diseñada para entornos de desarrollo y pruebas.

Notas de uso

Se aplican costos adicionales: El acceso a la red pública requiere un NAT Gateway y una Elastic IP Address (EIP), y ambos recursos se facturan por separado.
Tipos de instancia compatibles: Es posible configurar el acceso a la red pública para instancias del resource group público cuyo tipo de instancia no comience con ecs.ebm, así como para instancias de computación inteligente Lingjun. Cada instancia admite un máximo de 5 servicios personalizados.
Los servicios personalizados se detienen al detenerse la instancia DSW: Cuando la instancia DSW se detiene, los servicios en su interior y su acceso a la red pública dejan de estar disponibles.
Utilice PAI-EAS para entornos de producción: Para servicios estables y de alta disponibilidad que admitan escalado elástico, despliegue sus modelos en PAI-EAS (Elastic Algorithm Service).

Funcionamiento

Para hacer que un servicio dentro de una instancia DSW sea accesible desde la red pública (por ejemplo, una API que escucha en el puerto 9000), se utilizan los siguientes recursos:

EIP: Proporciona una dirección IP pública fija (121.40.**.**). Este es el punto de entrada para el acceso a la red pública.
NAT Gateway: Se encuentra en su virtual private cloud (VPC) y asigna las solicitudes de la red pública (EIP:puerto) a la instancia DSW en la red privada (IP privada:puerto).
Security group: Controla el tráfico hacia la instancia DSW como un firewall. Debe agregar explícitamente reglas que permitan el tráfico público en el puerto donde escucha su servicio, como 9000. Este paso es fundamental para lograr un acceso exitoso.

Flujo principal: Usuario externo (navegador/herramienta) -> EIP:puerto -> NAT Gateway -> vSwitch -> verificación de regla de security group -> IP privada de instancia DSW:puerto -> su servicio

Facturación

Los cargos por NAT Gateway y EIP comienzan tan pronto como se crean los recursos.
Incluso si la instancia DSW está detenida, los cargos continúan acumulándose mientras el NAT Gateway y la EIP no se eliminen.
La instancia DSW en sí se factura según su estado. Las instancias pay-as-you-go dejan de generar cargos después de detenerse.

Configurar el acceso a la red pública

Configurar el acceso a la red pública al crear una instancia DSW

Create a DSW instance y configure los siguientes parámetros clave de red.
- En la sección Network Information, seleccione su VPC y security group. Para crear estos recursos, siga los pasos de esta sección. Para obtener más información, consulte Create a VPC and a vSwitch y Create a security group. La VPC y el security group deben estar en la misma región que la instancia DSW.
  
  Pasos para crear una VPC, un vSwitch y un security group
  1. En la página de configuración de DSW, haga clic en Create VPC.
    
    Configure el nombre de la VPC, el bloque CIDR IPv4 y la información del vSwitch. Mantenga los demás parámetros con sus valores predeterminados y luego haga clic en OK para crear la VPC y el vSwitch.
  2. Regrese a la página de configuración de DSW. En VPC Settings, seleccione la VPC que acaba de crear.
  3. Haga clic en Create Security Group. Mantenga los parámetros predeterminados y haga clic en Create. Luego, regrese a la página de configuración de DSW y establezca Security Group ID en el security group que acaba de crear.
    
    Asegúrese de que el security group permita el acceso entrante en el puerto 22.
- Busque Service Access and Port Configuration y haga clic en Add. Para crear un NAT Gateway y una EIP, consulte los siguientes pasos. El NAT Gateway y la EIP deben estar en la misma región que la instancia DSW.
- Introduzca Service Name y Listener Port (por ejemplo, 9000).
- Seleccione Access over Internet y establezca Internet Access Port (por ejemplo, 9000).
- Haga clic en DNAT+EIP y luego seleccione su NAT Gateway y EIP.
  
  Pasos para crear un NAT Gateway y una EIP
  1. Haga clic en Create NAT Gateway.
    
    En la página de creación de NAT Gateway, configure los parámetros o mantenga los valores predeterminados, y luego haga clic en Create EIP.
  2. En la página de creación de EIP, configure los parámetros o mantenga los valores predeterminados, y luego haga clic en Buy Now.
  3. Regrese a la página de creación de NAT Gateway. En Elastic IP Address Instance, seleccione la EIP que acaba de crear y luego haga clic en Buy Now para crear el NAT Gateway.
  Además, puede utilizar un Network Load Balancer (NLB) como alternativa. Al crear el NLB, establezca Instance Network Type en Public y seleccione la misma VPC que la instancia DSW. Para obtener más información, consulte Network Load Balancer.
  
  Nota
  Si varias instancias DSW comparten la misma entrada DNAT y EIP (o NLB), utilice puertos diferentes para el acceso público.
Agregue una regla de entrada para el puerto de escucha al security group que seleccionó. Los parámetros clave son los siguientes. Para obtener más información, consulte Add a security group rule.
- Authorization Policy: Allow
- Protocol Type: Seleccione el protocolo que utiliza su servicio, como TCP.
- Port Range: Introduzca el puerto de escucha que configuró, como 9000/9000.
- Authorization Object: 0.0.0.0/0 (permite acceso desde todas las direcciones IP públicas; solo para pruebas) o un rango de IP restringido según sus necesidades. Para entornos de producción, restrinja estrictamente las direcciones IP de origen.
  
  Después de agregar la regla, la lista de reglas inbound del security group mostrará una regla con el protocolo Custom TCP, el rango de puertos 9000/9000 y el origen 0.0.0.0/0.

Configurar el acceso a la red pública para una instancia DSW existente

Para una instancia DSW existente, puede modificar la configuración de acceso a la red pública de cualquiera de las siguientes maneras:

Nota: Para agregar o cambiar recursos como la VPC o el NAT Gateway, debe seguir utilizando Change Settings y luego reiniciar la instancia.

Configurar en la página de detalles de la instancia

En la página de lista de instancias DSW, haga clic en el nombre de la instancia para ir a la página de detalles y modificar la configuración de acceso a la red pública.

En la sección Access Configurations de la página de detalles, busque la fila Custom Service y haga clic en Modify Configuration para configurar el acceso a la red pública. Si necesita abrir un puerto durante la configuración, obtenga el Security Group ID de la sección Network Configuration (por ejemplo, sg-bp1g37d4lmajq...) y luego vaya al security group para agregar la regla correspondiente.

Configurar dentro de la instancia DSW

En el entorno de desarrollo DSW, haga clic en Change Settings en la parte superior de la página para modificar los servicios personalizados.

En el panel de navegación izquierdo, haga clic en Access Configurations. La sección de servicio personalizado muestra los servicios configurados (por ejemplo, un servicio llamado gradio con el puerto de escucha 9000), sus URL de acceso público y el estado de la configuración. Haga clic en Modify Configuration para editar los servicios personalizados.

En el panel de navegación izquierdo, haga clic en Network. En la información de configuración de red a la derecha, busque el Security Group ID (por ejemplo, sg-bp1g37d4lmajugsicmz2) y anótelo para la configuración de la regla del security group.

Probar la conectividad

En la Terminal de DSW, ejecute los siguientes comandos para iniciar el servidor HTTP integrado de Python:

# Create an HTML file that contains test content
echo 'Hello, World!' > index.html
# Start the Python built-in HTTP server (listening on port 9000)
python -m http.server 9000 --bind 0.0.0.0

En la página de detalles de la instancia, consulte Access Configurations para obtener las URL de acceso.

La tabla en la sección Access Configurations contiene dos columnas de información de dirección: VPC Access y Public Access. Cuando el estado de la configuración es Ready, la URL de acceso correspondiente está disponible.

Para el acceso a la red pública, copie la URL de acceso público 121.40.**.**:9000 y ábrala en un navegador. Si se devuelve Hello, World!, el servicio es accesible a través de la red pública.

Aplicación en producción

Solo para desarrollo y pruebas: La función de acceso a la red pública de DSW está diseñada para pruebas temporales y depuración colaborativa.
Despliegue servicios de producción en PAI-EAS: Despliegue servicios de inference en PAI-EAS para uso en producción. PAI-EAS ofrece las siguientes capacidades:
- Alta disponibilidad y load balancer.
- Escalado elástico automático para manejar fluctuaciones de tráfico.
- Monitoreo y alertas integrales, gestión de versiones y lanzamientos canary.
- Acceso optimizado a la red pública y modelos de facturación. Para obtener más información, consulte PAI-EAS.
Reducción de costos:
- Después de detener la instancia DSW: La instancia DSW en sí (pay-as-you-go) deja de generar cargos. Sin embargo, el NAT Gateway y la EIP continúan generando cargos mientras existan.
- Cuando ya no necesite acceso a la red pública: Si está seguro de que ya no lo necesita, elimine el NAT Gateway y la EIP para detener los cargos asociados. Puede eliminarlos en la consola de VPC y en la consola de EIP.

Preguntas frecuentes

P: Configuré el acceso a la red pública, pero el acceso desde el navegador o las conexiones externas fallan (Este sitio no es accesible, Conexión rechazada o tiempo de espera agotado). ¿Qué debo hacer?

Paso 1: Compruebe las reglas del security group (la causa más común)
- Asegúrese de que se haya agregado una regla inbound al security group.
- Asegúrese de que el Port Range de la regla incluya el puerto que configuró, como 9000.
- Asegúrese de que el Authorization Object de la regla incluya su dirección IP pública o 0.0.0.0/0.
- Asegúrese de que el Protocol Type de la regla (TCP/UDP) sea correcto.
Paso 2: Asegúrese de que el servicio se esté ejecutando y escuchando en el puerto correcto
- En la Terminal de la instancia DSW, ejecute netstat -tunlp | grep <puerto> (por ejemplo, netstat -tunlp | grep 9000) para comprobar si hay un proceso escuchando en el puerto.
- Asegúrese de que el proceso del servicio de aplicación esté iniciado y escuchando en el puerto configurado.
Paso 3: Compruebe el estado del NAT Gateway y la EIP
- En la consola de VPC, asegúrese de que el NAT Gateway esté en estado Running.
- En la consola de EIP, asegúrese de que la EIP asociada esté en estado Associated y que la cuenta no tenga pagos vencidos.
Paso 4: Pruebe localmente: Dentro de la instancia DSW, ejecute curl http://localhost:<puerto> o curl http://<IP privada de instancia>:<puerto> para comprobar si el servicio responde.
Paso 5: Utilice herramientas de diagnóstico de red:
- Alibaba Cloud VPC proporciona Network Intelligence Service (NIS) para ayudarle a solucionar problemas de ruta (NIS debe activarse primero).
- Dentro de la instancia DSW, ejecute telnet <EIP> <puerto> para probar la conectividad del puerto (instale telnet primero).

P: ¿Qué debo hacer si la interfaz web muestra "disconnected (1006): no reason"?

Este mensaje indica que la conexión WebSocket entre el navegador y el servicio dentro de la instancia se cerró inesperadamente. Primero asegúrese de que la instancia DSW en sí funcione correctamente y luego solucione problemas en la ruta de acceso a la red pública.

Paso 1: Compruebe el estado de la instancia DSW
- En la página de lista de instancias DSW en la consola de Platform for AI (PAI), busque la instancia objetivo y compruebe si su estado es Running.
Paso 2: Reinicie la instancia anómala
- Si la instancia está en un estado distinto de Running, como Stopped o Failed, haga clic en Start en la columna Actions, o llame a la operación de API StartInstance de DSW para iniciar la instancia.
- Una vez que la instancia vuelva al estado Running, vuelva a abrir la interfaz web para restaurar el acceso.
Paso 3: Si el estado de la instancia es normal pero el error persiste, solucione problemas en la ruta de acceso a la red pública: Siga los pasos de solución de problemas de la pregunta anterior. Compruebe los siguientes elementos en orden: las reglas inbound del security group, si el servicio está escuchando en el puerto configurado y el estado del NAT Gateway y la EIP.

Importante

No ejecute ps aux | grep gateway dentro de la instancia DSW para buscar o reiniciar el proceso de gateway. El gateway de DSW es un servicio del lado de la plataforma de PAI (corresponde a nombres de dominio de plataforma como dsw-gateway-<region>.data.aliyun.com) y no se ejecuta dentro de la instancia DSW. Por lo tanto, no puede encontrar el proceso dentro de la instancia ni reiniciarlo desde allí. Los procesos dentro de una instancia DSW gestionados por supervisord incluyen dsw-agent, dsw-manager, jupyter-lab y web-terminal, que escuchan en los puertos 8888, 8887, 8088 y 8090, respectivamente.

P: ¿La configuración de acceso a la red pública sigue generando cargos después de detener DSW?

Sí. Después de detener la instancia DSW, la instancia en sí (pay-as-you-go) deja de generar cargos. Sin embargo, el NAT Gateway y la EIP asociados continúan generando cargos independientes mientras no se eliminen. Elimínelos manualmente para ahorrar costos.

P: ¿Puede una EIP asignar varios puertos?

Sí. Varios puertos de servicio configurados en la misma instancia DSW (hasta 5) se asignan todos a través de la misma EIP y NAT Gateway para el acceso. Utilice EIP:<puerto> para acceder a cada servicio.

P: ¿Por qué no puedo encontrar la VPC o el NAT Gateway que creé en la lista desplegable?

La causa más común es una discrepancia de región. En la esquina superior izquierda de la página de DSW, compruebe si la región actual coincide con la región de la VPC o el NAT Gateway. DSW solo puede utilizar VPC y NAT Gateways en la misma región.
La lista desplegable no se ha actualizado. Si la VPC o el NAT Gateway se crearon recientemente, espere a que se cree el recurso y luego haga clic en el botón de actualización en la página de configuración de DSW para recargar la lista.