Todos los productos
Search

Este producto

    Platform For AI:Gateway dedicado totalmente administrado

    Centro de documentos

    Platform For AI:Gateway dedicado totalmente administrado

    Última actualización: Sep 04, 2026

    Los gateways compartidos, debido a su ancho de banda compartido y sus directivas de acceso fijas, a menudo no satisfacen los altos requisitos de aislamiento y elasticidad de las aplicaciones con alta concurrencia. Para resolver este problema, Elastic Algorithm Service (EAS) ofrece un gateway dedicado totalmente administrado. Este proporciona un control de acceso flexible para redes públicas y privadas, admite dominios personalizados y ofrece ancho de banda dedicado para garantizar la estabilidad y confiabilidad del servicio.

    Funciones clave

    • Control de acceso: Gestione el acceso a redes públicas y privadas mediante una lista de permitidos.

    • Acceso por dominio personalizado: Configure dominios y certificados personalizados para exponer sus servicios.

    • Acceso a VPC entre cuentas: Permite que los servidores en una Virtual Private Cloud (VPC) de otra cuenta dentro de la misma región accedan a los servicios de EAS a través de un endpoint privado.

    • Acceso a VPC entre regiones: Permite que las VPC de distintas regiones accedan a los servicios de EAS mediante el endpoint privado del gateway una vez establecida la conexión de red.

    • DNS autoritativo: Proporciona resolución DNS autoritativa al invocar servicios de EAS desde otras nubes o centros de datos locales, siempre que exista una conexión de red establecida con Alibaba Cloud.

    Facturación

    • Tarifas del gateway: Admite modelos de facturación pay-as-you-go y subscription. Para obtener más información, consulte Elastic Algorithm Service (EAS) billing.

    • Costos adicionales:

      • Acceso a red privada: Genera costos adicionales de PrivateLink, incluidos cargos por instancia y por procesamiento de datos. Para más detalles, consulte PrivateLink billing overview.

      • Acceso a red pública: Cloud Data Transfer (CDT) factura el tráfico de red pública generado por el servicio. Para más detalles, consulte la consola de CDT.

    1. Crear un gateway dedicado totalmente administrado

    1. Inicie sesión en la PAI console. Seleccione una región en la parte superior de la página. A continuación, seleccione el espacio de trabajo deseado y haga clic en Elastic Algorithm Service (EAS).

    2. En la pestaña Inference Gateway, haga clic en Create Dedicated Gateway y luego seleccione Fully managed dedicated gateway.

    3. En la página de compra del gateway dedicado de EAS, configure los parámetros. Consulte Appendix: Dedicated gateway capacity planning para seleccionar una Gateway Specification que garantice la estabilidad del servicio.

    4. Después de configurar los parámetros, haga clic en Buy Now. Siga las instrucciones en pantalla para confirmar su pedido y completar el pago.

      Puede consultar el gateway dedicado totalmente administrado adquirido en la lista de inference gateways. Podrá comenzar a usar el gateway cuando su Status sea Running.

    Nota

    • Una vez creado el gateway dedicado totalmente administrado, puede actualizar la especificación del gateway y el número de réplicas. Los cambios tardan entre 3 y 5 minutos en surtir efecto.

    • Puede establecer un gateway dedicado como predeterminado. El sistema lo seleccionará automáticamente cuando despliegue nuevos servicios.

    2. Vincular un servicio al gateway dedicado

    Esta sección explica cómo desplegar un nuevo servicio y vincularlo al gateway. Si ya cuenta con un servicio existente, puede actualizarlo para modificar el gateway vinculado.

    1. Inicie sesión en la PAI console. Seleccione una región en la parte superior de la página. A continuación, seleccione el espacio de trabajo deseado y haga clic en Elastic Algorithm Service (EAS).

    2. En la pestaña Inference Service, haga clic en Deploy Service. En la sección Custom Model Deployment, haga clic en Custom Deployment.

    3. En la sección Network Information, seleccione Dedicated Gateway y elija el gateway creado en la lista desplegable.

    3. Habilitar el acceso a la red

    3.1 Configurar el acceso a la red pública

    1. En la pestaña Inference Gateway, haga clic en el nombre del gateway dedicado totalmente administrado objetivo para ir a su página de detalles.

    2. En la sección Gateway Access Control, dentro de la pestaña Internet, habilite el interruptor Access Portal. Cuando el estado sea Activated, el canal de acceso público estará abierto.

    3. De forma predeterminada, el gateway no es accesible públicamente. Haga clic en Add to Whitelist e introduzca los bloques CIDR de IP pública que tienen permiso de acceso (por ejemplo, 192.0.2.0/24).

      • Separe las entradas con una coma (,) o un salto de línea.

      • Para permitir el acceso desde todas las direcciones IP públicas, agregue el bloque CIDR 0.0.0.0/0. Puede agregar hasta 15 bloques CIDR.

    4. Compruebe la conectividad de red pública del gateway dedicado totalmente administrado.

      1. En la pestaña Internet, localice el Endpoint. En la página Gateway Access Control, haga clic en la pestaña Public Network, consulte la Domain Name Address (por ejemplo, gw-c***s.aliyuncs.com) y confirme que el estado de Access Entry sea Enabled.

      2. Desde un dispositivo dentro de un bloque CIDR permitido, ejecute ping al nombre de dominio. La siguiente salida indica que la conexión se estableció correctamente.

        C:\Users\xxx>ping gw-cxxx.cn-beijing.pai-eas.aliyuncs.com

Pinging nlb-w0ncxxx.cn-beijing.nlb.aliyuncs.com [xxx] with 32 bytes of data:
Reply from xxx: bytes=32 time=24ms TTL=89
Reply from xxx: bytes=32 time=29ms TTL=89
Reply from xxx: bytes=32 time=24ms TTL=89
Reply from xxx: bytes=32 time=24ms TTL=89

Ping statistics for xxx:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 24ms, Maximum = 29ms, Average = 25ms

    5. Para deshabilitar el acceso a la red pública, en la pestaña Internet, deshabilite el interruptor Access Portal.

      Desde su terminal local, intente acceder al nombre de dominio. Es posible que el comando ping siga funcionando al resolver la IP del NLB, pero una conexión telnet al puerto 80 fallará, lo cual indica que el canal de acceso público está cerrado.

      C:\Users\xxx> ping gw-ccqv77ddlxxx-xxx.cn-beijing.pai-eas.aliyuncs.com

Pinging gw-ccq xxx cn-beijing.pai-eas.aliyuncs.com [47.xxx.xxx.xxx] with 32 bytes of data:
Reply from xxx: bytes=32 time=26ms TTL=89
Reply from xxx: bytes=32 time=26ms TTL=89
Reply from xxx: bytes=32 time=27ms TTL=89
Reply from xxx: bytes=32 time=26ms TTL=89

Ping statistics for 47.xxx.xxx.xxx:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 26ms, Maximum = 27ms, Average = 26ms
      (base) niki@xxx ~ % telnet gw-ccqxxx.cn-beijing.pai-eas.aliyuncs.com 80
Trying 47.xx.xx.xxx...
telnet: connect to address 47.xx.xx.xxx: Bad file descriptor
telnet: Unable to connect to remote host

    3.2 Configurar el acceso a la red privada

    1. En la pestaña Inference Gateway, haga clic en el nombre del gateway dedicado totalmente administrado objetivo para ir a su página de detalles.

    2. En la sección Gateway Access Control, dentro de la pestaña VPC, haga clic en Add VPC y seleccione la VPC y el vSwitch que desea conectar.

      • Puede agregar una VPC de una cuenta diferente en la misma región. Después de agregar una VPC perteneciente a la Cuenta B (la Cuenta B debe tener habilitados PAI-EAS, PrivateLink y PrivateZone), los servidores en esa VPC podrán acceder a los servicios de EAS que utilizan este gateway dedicado mediante el endpoint de la VPC.

        Nota

        Esta es una función restringida por lista de permitidos. Para habilitarla, envíe un ticket de soporte.

        En el cuadro de diálogo Add VPC, introduzca el Account ID (para escenarios entre cuentas, introduzca el UID de la cuenta destino), VPC (ID) y vSwitch ID. El vSwitch debe estar en una zona de disponibilidad compatible con el gateway (por ejemplo, cn-hangzhou-j, cn-hangzhou-k o cn-hangzhou-i). Puede habilitar el interruptor Authoritative DNS según sea necesario y luego hacer clic en OK.

      • Habilita el DNS autoritativo para el dominio del gateway. Esto permite que los clientes de otras nubes o centros de datos locales resuelvan la dirección del servicio tras establecer una conexión de red con Alibaba Cloud. Actualmente, solo puede habilitar el DNS autoritativo en la configuración de una única VPC.

    3. Al agregar una VPC, el sistema configura una lista de permitidos predeterminada de 0.0.0.0/0, lo que permite el acceso desde todas las IP dentro de dicha VPC. Puede Modify Whitelist según sea necesario.

    4. Compruebe la conectividad de red privada del gateway dedicado.

      1. En la pestaña VPC, localice el Endpoint. En la página Access Control, seleccione la pestaña VPC y obtenga el nombre de dominio del gateway en la columna Domain Name (por ejemplo, gw-xxx.eas.aliyuncs.com).

      2. Desde una terminal dentro de la VPC, acceda al nombre de dominio. La siguiente salida indica que la conectividad funciona correctamente.

        Nota

        Dentro de la VPC, puede acceder al gateway dedicado desde cualquier zona de disponibilidad configurando la lista de permitidos. El acceso no se limita a la zona de disponibilidad del vSwitch agregado al gateway.

        [root@iZ2xxx ~]# ping gw-567lydxxx-vpc.cn-beijing.pai-eas.aliyuncs.com
PING ep-2zeixxx.epsrv-2zemwo87lxxx.cn-beijing.privatelink.aliyuncs.com (192.xxx.xxx.xxx) 56(84) bytes of data.
64 bytes from 192.xxx.xxx.11: icmp_seq=1 ttl=102 time=1.11 ms
64 bytes from 192.xxx.xxx.11: icmp_seq=2 ttl=102 time=1.05 ms
64 bytes from 192.xxx.xxx.11: icmp_seq=3 ttl=102 time=0.572 ms
64 bytes from 192.xxx.xxx.11: icmp_seq=4 ttl=102 time=0.515 ms
64 bytes from 192.xxx.xxx.11: icmp_seq=5 ttl=102 time=0.519 ms
64 bytes from 192.xxx.xxx.11: icmp_seq=6 ttl=102 time=0.514 ms
64 bytes from 192.xxx.xxx.11: icmp_seq=7 ttl=102 time=0.508 ms
^C
--- ep-2zeixxx.epsrv-2zemwo87lxxx.cn-beijing.privatelink.aliyuncs.com ping statistics ---
7 packets transmitted, 7 received, 0% packet loss, time 6111ms
rtt min/avg/max/mdev = 0.508/0.682/1.107/0.252 ms

    5. Para deshabilitar el acceso a la VPC, busque la VPC en la lista y haga clic en Delete en la columna Configure vSwitch.

      Desde una terminal dentro de la VPC, los intentos de acceso al nombre de dominio fallarán. Los comandos ping y telnet agotarán el tiempo de espera, lo cual indica que el canal de acceso privado para el gateway dedicado está cerrado.

      [root@iZ2zef8xxx ~]# ping gw-xxx-vpc.cn-beijing.pai-eas.aliyuncs.com
PING ep-2zei6xxxlcb.epsrv-2zeute2zixxx.cn-beijing.privatelink.aliyuncs.com (1xxx) 56(84) bytes of data.
      [root@iZ2zcr0StvqwCommduccSU ~]# telnet gw-ccqvxxx-vpc.cn-beijing.pai-eas.aliyuncs.com 80
Trying 1xxx...
    Nota

    Para habilitar el acceso a VPC entre regiones, complete los pasos anteriores y realice las siguientes acciones:

    1. Establezca una conexión de red entre las VPC mediante Cloud Enterprise Network (CEN), una conexión de emparejamiento de VPC u otro método.

    2. Asocie el gateway dedicado con la VPC entre regiones del solicitante.

    Para conocer los pasos detallados de configuración, consulte Access a fully-managed dedicated gateway across VPCs.

    4. Probar las llamadas al servicio

    1. En la pestaña Inference Service, localice el servicio objetivo y haga clic en Invocation Method en la columna Service Type.

    2. En la pestaña Dedicated Gateway, obtenga el Internet Endpoint, el VPC Endpoint y el Token.

    3. Utilice el comando curl para enviar una solicitud y verificar que la respuesta sea correcta.

      • Llamada pública: Ejecute el comando desde cualquier computadora con acceso a Internet público.

      • Llamada privada: Ejecute el comando desde una terminal dentro de la VPC conectada.

      curl <endpoint_URL> -H'Authorization:<token>'

      La API de prueba utiliza una solicitud GET sin parámetros. La respuesta esperada es True.

    5. Configurar un dominio personalizado

    1. (Opcional) Preparar un certificado SSL

    Para acceder a su servicio mediante HTTPS, primero debe gestionar el certificado SSL de su dominio personalizado en Digital Certificate Management Service.

    1. Inicie sesión en la consola de Digital Certificate Management Service y seleccione SSL Certificate Management.

    2. Seleccione Purchase Certificate o cargue un certificado existente. Para obtener más información, consulte Purchase an SSL certificate y Upload an SSL certificate.

    2. Configurar el dominio personalizado

    Dominio personalizado público

    1. En la página de detalles del gateway dedicado, cambie a la pestaña Domain Name y haga clic en Create Domain Name. Configure los parámetros como se indica a continuación.

      En el panel Create Domain que aparece, establezca Access Method en Public o VPC. Introduzca su dominio personalizado en el campo Domain y seleccione un certificado SSL en la lista desplegable Certificate. Si no hay ningún certificado disponible, haga clic en Purchase/Upload Certificate para ir a la página de gestión de certificados.

      Nota

      • Si el servicio ya se desplegó con este gateway, la configuración del dominio personalizado público puede tardar hasta 5 minutos en surtir efecto.

      • Revise la información de llamada del servicio para confirmar que el endpoint público ahora utiliza el dominio personalizado público que configuró para el gateway.

    2. Configurar la resolución DNS pública.

      1. En la pestaña Gateway del gateway dedicado, localice el nombre de dominio público.

        En la página Gateway Access Control, haga clic en la pestaña Public Network y consulte el Domain Name (por ejemplo, gw-c***s.aliyuncs.com). Confirme que el estado de Access Entry sea Enabled.

      2. Agregue un registro CNAME para su dominio personalizado público que apunte al nombre de dominio público del gateway.

      Para obtener información sobre el DNS público autoritativo de Alibaba Cloud, consulte Domain management y Add a DNS record .

    Dominio personalizado privado

    1. En la página de detalles del gateway dedicado, cambie a la pestaña Domain Name y haga clic en Create Domain Name. Configure los parámetros como se indica a continuación.

      Establezca Access Method en VPC, introduzca su dominio personalizado (por ejemplo, www.test.com) en el campo Domain, seleccione un certificado SSL en la lista desplegable Certificate si es necesario y luego haga clic en OK.

    2. Si el servicio ya se desplegó con este gateway, espere aproximadamente 5 minutos después de configurar correctamente el dominio personalizado privado. Revise la información de llamada del servicio. La configuración habrá surtido efecto cuando la URL del endpoint de la VPC utilice el dominio personalizado privado que configuró.

    Monitoreo y alertas

    Para mantener la estabilidad del gateway y detectar oportunamente problemas operativos, se recomienda habilitar el registro, el monitoreo y las alertas.

    Procedimiento

    1. Habilite el registro, el monitoreo y las alertas. En la página de detalles del gateway, vaya a las pestañas Logs, Monitoring y Alert, y siga las instrucciones en pantalla para habilitar cada función.

    2. Cree una directiva de alerta: Después de habilitar las alertas, aparecerá el botón Create Alert Policy for EAS Dedicated Gateway. Haga clic en este botón. Consulte Manage alert rules para crear reglas de alerta para el gateway.

      Importante

      La variable {{$labels.envoy_clusterid}} en el contenido de la alerta muestra el ID interno de un gateway en lugar de su nombre definido por el usuario, lo que dificulta identificar rápidamente el gateway específico al recibir una alerta. Para facilitar la identificación, se recomienda encarecidamente modificar manualmente la plantilla de notificación para reemplazar o complementar esta variable con un nombre de gateway reconocible al crear una regla de alerta. En el campo Alert Content, introduzca una plantilla de alerta. Por ejemplo: PAI-EAS dedicated gateway {{$labels.envoy_clusterid}} node ({{$labels.pod_name}}) CPU utilization exceeds {{ $labels.metrics_params_value }}, current value {{ printf "%.2f" $value }}%. La variable {{$labels.envoy_clusterid}} representa el ID del clúster del gateway dedicado.

    Métricas de alerta

    Nombre de la métrica

    Definición y fórmula

    Umbral y escenario

    Utilización de CPU del gateway dedicado de EAS

    Porcentaje de utilización de CPU de la instancia del gateway (Pod).

    Recomendación: > 85% for 5 consecutive minutes.Escenario: Una utilización alta sostenida indica que los recursos del gateway están cerca de su límite y podrían requerir un escalado ascendente.

    Utilización de memoria del gateway dedicado de EAS

    Porcentaje de utilización de memoria de la instancia del gateway (Pod).

    Recomendación: > 85% for 5 consecutive minutes.Escenario: Una utilización alta sostenida puede provocar eventos OOMKilled, lo que afecta la estabilidad del gateway.

    Tasa de éxito general del gateway dedicado de EAS

    (Number of requests with 2xx status codes / Total number of requests) * 100%.

    Recomendación: < 99.9% for 1 consecutive minute.Escenario: Una caída en esta métrica suele indicar un problema crítico con el servicio backend o la configuración del gateway.

    Vencimiento del certificado del gateway dedicado de EAS

    Monitorea el número de días restantes hasta que venza el certificado HTTPS configurado en el gateway.

    Recomendación: Days remaining < 15.Escenario: Previene interrupciones del servicio HTTPS causadas por un certificado vencido.

    Proporción de solicitudes 4xx/5xx del gateway dedicado de EAS

    (Number of 4xx or 5xx requests / Total number of requests) * 100%. Se recomienda configurar alertas separadas para errores 4xx y 5xx.

    Recomendación para 5xx: > 1% for 1 consecutive minute.Recomendación para 4xx: > 5% for 5 consecutive minutes.Escenario: Un aumento repentino en errores 5xx indica problemas graves del lado del servidor. Un aumento en errores 4xx puede indicar anomalías en las llamadas del cliente o problemas de autenticación.

    RT promedio de solicitudes del gateway dedicado de EAS

    Promedio de todos los tiempos de respuesta de las solicitudes dentro de un período estadístico, medido en milisegundos (ms).

    Recomendación: Establézcalo según su línea base de negocio; por ejemplo, > 200ms for 3 consecutive minutes.Escenario: Un aumento en el RT impacta directamente la experiencia del usuario y requiere investigación.

    Volumen de solicitudes del gateway dedicado de EAS vs. ayer

    Cambio porcentual en el volumen de solicitudes durante un período de N minutos en comparación con el mismo período de N minutos del día anterior.

    Recomendación: < -50% for 10 consecutive minutes o > 200% for 10 consecutive minutes.Escenario: Utilice esta métrica para detectar caídas repentinas en el tráfico (posible interrupción del servicio) o aumentos (posible ataque o tráfico promocional).

    Limitación de solicitudes del gateway dedicado de EAS

    Número total de solicitudes rechazadas por la directiva de limitación de tasa del gateway durante un período estadístico.

    Recomendación: > 10 times in 1 minute.Escenario: Una limitación frecuente indica que el tráfico ha superado las expectativas. Es posible que deba ajustar su directiva de limitación de tasa o escalar sus recursos.

    Notas de uso

    Cuando un servicio utiliza un gateway dedicado, no se admite el escalado automático desde cero. El número mínimo de réplicas debe ser 1 o superior.

    Preguntas frecuentes

    P: Error al agregar una VPCVswitch vsw-2zeqwh8hv0gb96zcd**** in zone cn-beijing-g is not supported, supported zones: [cn-beijing-i cn-beijing-l cn-beijing-k]

    El vSwitch seleccionado se encuentra en una zona de disponibilidad no compatible. Elija un vSwitch en una zona de disponibilidad compatible.

    Apéndice: Arquitectura de red

    image