Al desplegar sus servicios en una virtual private cloud (VPC), planifique su red con base en las necesidades actuales y las proyecciones de crecimiento futuro. Esto garantiza que la red cubra la demanda actual y, al mismo tiempo, respalde la expansión del negocio.
Para planificar su red, considere el aislamiento seguro, la recuperación ante desastres y los costos de operación y mantenimiento. Una planificación con visión a futuro asegura la estabilidad del negocio y la escalabilidad de la red; por el contrario, un diseño sin previsión puede obstaculizar la expansión futura e introducir riesgos imprevistos. Reconstruir una red existente resulta costoso y disruptivo. Por lo tanto, es fundamental contar con un plan de red integral y multifacético.
Siga estos pasos para planificar su VPC:
Planificación de regiones y zonas
Dentro de una región, todas las zonas se comunican a través de la red interna. Cada zona está aislada de fallos en otras zonas. Si una zona falla, las demás continúan operando con normalidad. Las instancias desplegadas en la misma zona presentan menor latencia de red, lo que permite un acceso más rápido para los usuarios.
|
Consideración |
Descripción |
|
Latencia |
Desplegar recursos cerca de los usuarios finales reduce la latencia de red y mejora la velocidad de acceso. |
|
Disponibilidad del servicio |
La disponibilidad de los servicios de Alibaba Cloud varía según la región y la zona. Asegúrese de que los servicios en la nube requeridos estén disponibles en las regiones y zonas seleccionadas. |
|
Costo |
El precio de un servicio en la nube puede variar según la región. Se recomienda elegir una región que se ajuste a su presupuesto. |
|
Alta disponibilidad y recuperación ante desastres |
Para servicios que requieren altas capacidades de recuperación ante desastres, despliéguelos en varias zonas dentro de la misma región. También puede desplegar sus servicios en distintas regiones para implementar recuperación ante desastres entre regiones. |
|
Cumplimiento |
Seleccione una región que cumpla con las políticas de localización de datos y registro operativo de su país o región. |
Una VPC no puede desplegarse en varias regiones. Para desplegar sus servicios en múltiples regiones, cree una VPC en cada región y conéctelas mediante conexiones de emparejamiento de VPC o Cloud Enterprise Network (CEN). Un vSwitch es un recurso zonal. Tenga en cuenta lo siguiente:
Si utiliza varias zonas debido a la disponibilidad de servicios en la nube, reserve suficientes bloques CIDR y considere el posible aumento de latencia causado por el tráfico entre zonas.
Algunas regiones ofrecen solo una zona, como China (Nanjing - Local Region, Closing Down). Si requiere recuperación ante desastres dentro de la región, evalúe cuidadosamente si conviene seleccionar dicha región.
Planificación de cuentas y VPC
Tras planificar las regiones y zonas, puede comenzar a crear la VPC. Considere la escala de su negocio y el aislamiento de seguridad para optimizar el uso de recursos y reducir costos.
Planificación de cuentas
Si su negocio es pequeño y puede gestionar todos los recursos con una sola cuenta, o con una cuenta principal y usuarios de RAM, puede omitir esta sección.
Cuando la escala del negocio aumenta, podría ser necesario delegar permisos y aplicar aislamiento de seguridad entre entornos. En este caso, diseñe una arquitectura unificada de múltiples cuentas.
|
Consideración |
Descripción |
|
Aislamiento de permisos |
Cree cuentas separadas para diferentes unidades de negocio con el fin de aislar recursos, costos y permisos para facilitar la gestión. Para proyectos grandes o aplicaciones con requisitos especiales, utilice cuentas independientes para un mejor control. |
|
Aislamiento de sistemas |
En sistemas que requieren un aislamiento estricto, como entornos de producción y pruebas, emplee cuentas dedicadas para reducir el riesgo de interferencias. |
|
Cumplimiento de seguridad |
Para mejorar el cumplimiento normativo, mantenga los datos sensibles y las cargas de trabajo en cuentas separadas y aisladas. |
|
Gestión de costos |
Utilice múltiples cuentas para aislar recursos. Esto facilita el seguimiento de costos y la gestión de facturación. |
|
Registros y operación y mantenimiento |
Use una cuenta independiente para almacenar los datos de registros de todas las cuentas con fines de auditoría de seguridad. |
La complejidad de la red aumenta conforme crece el número de VPC y cuentas. Utilice la función Shared VPC para reducir la complejidad sin comprometer la seguridad ni la estabilidad de la red.
Planificación de su VPC
Una VPC proporciona un entorno de red seguro y flexible. Las distintas VPC están completamente aisladas entre sí, mientras que los recursos dentro de la misma VPC pueden comunicarse a través de la red privada. Planifique la cantidad de VPC adecuada para sus necesidades.
|
Cantidad de VPC |
Casos de uso |
|
Una |
 |
|
Varias |
Planifique múltiples VPC en los siguientes casos de uso:
|
De forma predeterminada, puede crear hasta 10 VPC en cada región. Para solicitar un aumento de cuota, vaya a la página de Quota Management o a la página de Quota Center.
Planificación de vSwitch
Un vSwitch es un recurso zonal. Todos los recursos en la nube dentro de una VPC se despliegan en vSwitches. Crear vSwitches le ayuda a planificar adecuadamente las direcciones IP. De forma predeterminada, todos los vSwitches de una VPC pueden comunicarse entre sí.
|
Consideración |
Descripción |
|
Latencia |
La latencia entre zonas de la misma región es baja. No obstante, las llamadas complejas del sistema y las llamadas entre zonas pueden incrementarla. |
|
Alta disponibilidad y recuperación ante desastres |
Al usar una VPC, cree al menos dos vSwitches y despliéguelos en distintas zonas para la recuperación ante desastres. Configure y gestione centralizadamente las reglas de seguridad, lo cual mejora significativamente la alta disponibilidad y la recuperación ante desastres. |
|
Escala y división del negocio |
Cree vSwitches por módulos de negocio. Por ejemplo, para una arquitectura estándar de aplicación web, cree múltiples vSwitches para alojar las capas web, lógica y de datos. |
Planifique sus vSwitches siguiendo estos principios:
-
Cree al menos dos vSwitches y despliéguelos en distintas zonas para conmutación por error. Cuando un vSwitch deja de funcionar, el otro asume la carga y proporciona recuperación ante desastres.
Tenga en cuenta que la latencia de red puede aumentar debido a la topología compleja de la red y a las llamadas entre zonas. Se recomienda mejorar su arquitectura para equilibrar la alta disponibilidad con una baja latencia.
-
La cantidad de vSwitches depende de la escala y la arquitectura de su sistema. Normalmente, los vSwitches se crean por módulos de negocio. Por ejemplo, despliegue los servicios orientados a Internet en un vSwitch público y agrupe otros servicios en diferentes vSwitches según su tipo. Esto simplifica la configuración y permite gestionar las reglas de seguridad de forma centralizada.
De forma predeterminada, puede crear hasta 150 vSwitches en cada VPC. Para solicitar un aumento de cuota, vaya a la página de Quota Management o a la página de Quota Center.
Planificación de bloques CIDR
Al crear una VPC y un vSwitch, debe especificar los bloques CIDR correspondientes. El tamaño del bloque CIDR determina la cantidad de recursos que pueden desplegarse. Una planificación adecuada de los bloques CIDR evita conflictos de direcciones y garantiza la escalabilidad, mientras que una planificación deficiente puede generar altos costos de reconstrucción.
Una vez especificado un bloque CIDR de vSwitch, no puede modificarlo.
Si el espacio de direcciones es insuficiente debido a una planificación inadecuada, agregue bloques CIDR secundarios para ampliarlo. Los bloques CIDR secundarios no pueden modificarse.
Tenga en cuenta lo siguiente al planificar bloques CIDR:
Utilice bloques CIDR IPv4 privados definidos por RFC 1918 con una longitud de máscara de 16. Para expandir el espacio de direcciones de la VPC, agregue secondary CIDR blocks.
Si despliega sus servicios en una sola VPC, reserve suficientes direcciones especificando una longitud de prefijo menor.
Evite superposiciones de bloques CIDR cuando cree múltiples VPC para su negocio.
Evite superposiciones de bloques CIDR cuando cree múltiples zonas para recuperación ante desastres.
A medida que aumenta la escala de la red, la planificación de bloques CIDR se vuelve más compleja. Utilice IP Address Manager (IPAM) para asignar automáticamente direcciones IP y detectar posibles conflictos de direcciones, mejorando así la eficiencia en la planificación de bloques CIDR. Para obtener más información, consulte IPAM.
Tenga en cuenta lo siguiente al usar IPAM:
Diseñe grupos de IPAM para diferentes entornos, como desarrollo y producción.
Cuando utilice grupos de IPAM para asignar bloques CIDR privados a las VPC, asegúrese de que los bloques CIDR de las VPC no se superpongan entre sí.
Consulte los bloques CIDR de VPC y el uso de direcciones en la consola de IPAM.
Planificación del bloque CIDR de VPC
Utilice direcciones IPv4 privadas especificadas en el estándar RFC 1918 para los bloques CIDR IPv4 secundarios. La longitud de máscara recomendada va de /16 a /28, por ejemplo, 10.0.0.0/16, 172.16.0.0/16, 192.168.0.0/16. También puede especificar bloques CIDR de VPC personalizados.
|
CIDR de VPC |
Rango de direcciones IP |
|
|
|
|
|
|
|
|
|
Al especificar bloques CIDR para VPC, observe las siguientes reglas:
Si tiene solo una VPC y esta no necesita comunicarse con un centro de datos, especifique uno de los bloques CIDR RFC o sus subconjuntos como bloque CIDR de la VPC.
Si tiene múltiples VPC o desea configurar un entorno de nube híbrida entre una VPC y su centro de datos, evite conflictos de bloques CIDR entre VPC, o entre una VPC y el centro de datos.
No puede especificar
100.64.0.0/10,224.0.0.0/4,127.0.0.0/8,169.254.0.0/16ni ninguno de sus subconjuntos como bloque CIDR personalizado.La elección del bloque CIDR de VPC también depende de si utiliza la red clásica. Si usa la red clásica y planea conectar instancias ECS de la red clásica a su VPC, no especifique
10.0.0.0/8como bloque CIDR de la VPC, ya que el bloque CIDR de la red clásica es10.0.0.0/8.Puede usar IPAM para planificar grupos y especificar una máscara de red predeterminada para las asignaciones. Consulte el uso de direcciones de una VPC mediante IPAM.
Planificación de bloques CIDR de vSwitch
El bloque CIDR de un vSwitch debe ser un subconjunto del bloque CIDR de la VPC. Por ejemplo, si el bloque CIDR de la VPC es 192.168.0.0/24, la máscara de red de los vSwitches en esa VPC debe ser de /25 a /29.
Al especificar bloques CIDR para vSwitches, tenga en cuenta los siguientes límites:
La máscara de red del bloque CIDR IPv4 para un vSwitch debe ser de /16 a /29, lo que proporciona de 8 a 65,536 direcciones IP.
El bloque CIDR del vSwitch no puede ser igual al bloque CIDR de la VPC.
La planificación del bloque CIDR del vSwitch debe considerar la cantidad de instancias ECS y otros recursos en la nube que contendrá. Elija un bloque CIDR lo suficientemente grande para reservar direcciones IP suficientes para uso futuro. Sin embargo, no asigne un bloque CIDR excesivamente grande, ya que esto podría dificultar la segmentación futura de la red.
Si crea una VPC con el bloque CIDR
10.0.0.0/16, esta admite 65,536 direcciones IP. Considerando que necesita desplegar recursos como ECS y RDS dentro de vSwitches, planifique una máscara/24para sus vSwitches, de modo que cada uno admita 256 direcciones IP. Una VPC con el bloque CIDR10.0.0.0/16puede dividirse en un máximo de 256 vSwitches con máscara/24. Ajústelo si es necesario.-
El sistema reserva la primera dirección y las últimas tres direcciones del bloque CIDR IPv4 de cada vSwitch. Asimismo, el sistema reserva la primera dirección y las últimas nueve direcciones del bloque CIDR IPv6 de cada vSwitch. Por ejemplo:
Versión de IP
CIDR de vSwitch
Direcciones IP reservadas
IPv4
192.168.1.0/24192.168.1.0192.168.1.253192.168.1.254192.168.1.255IPv6
2001:XXXX:XXXX:1a00/642001:XXXX:XXXX:1a00::2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff72001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff82001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff92001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffa2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffb2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffc2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffd2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffe2001:XXXX:XXXX:1a00:ffff:ffff:ffff:ffff Si hay múltiples VPC desplegadas y un vSwitch necesita comunicarse con otro vSwitch en una VPC diferente o con un centro de datos, asegúrese de que el bloque CIDR del vSwitch no se superponga con el bloque CIDR del par. De lo contrario, la comunicación fallará.
La función ClassicLink permite que las instancias ECS en una red clásica se comuniquen con instancias ECS en una VPC cuyo bloque CIDR sea
10.0.0.0/8,172.16.0.0/12o192.168.0.0/16. Si el bloque CIDR de la VPC es10.0.0.0/8, el bloque CIDR del vSwitch perteneciente a dicha VPC debe ser10.111.0.0/16. Para obtener más información, consulte Overview of ClassicLink.
Planificación de tablas de rutas
Cada entrada en una tabla de rutas es una ruta, la cual consta de un bloque CIDR de destino, un tipo de siguiente salto y un siguiente salto. Una ruta dirige el tráfico de un bloque CIDR hacia su siguiente salto. Cada VPC puede tener hasta 10 tablas de rutas, incluida la tabla de rutas del sistema. Consulte las siguientes recomendaciones para planificar las tablas de rutas.
Uso de una sola tabla de rutas
Si no existen diferencias significativas en el enrutamiento de tráfico entre los vSwitches de su VPC, basta con una sola tabla de rutas. Al crear una VPC, el sistema genera automáticamente una tabla de rutas del sistema y agrega rutas del sistema para gestionar el tráfico de la VPC. No puede crear ni eliminar la tabla de rutas del sistema, pero sí puede agregarle rutas personalizadas para dirigir el tráfico hacia un bloque CIDR de destino.
Uso de múltiples tablas de rutas
Si las rutas de tráfico de los vSwitches difieren significativamente, por ejemplo, para restringir el acceso a Internet de ciertos servicios en la nube, puede utilizar múltiples tablas de rutas. Puede desplegar vSwitches públicos y privados. Las instancias en vSwitches privados pueden acceder a Internet mediante una puerta de enlace NAT de Internet, lo que permite un control unificado del acceso a Internet y cumple con los requisitos de aislamiento.
Cada VPC admite hasta nueve tablas de rutas personalizadas. Para aumentar la cuota, vaya a la página de Quota Management o de Quota Center.
Planificación de la conectividad de red
Alibaba Cloud ofrece una red en la nube con aislamiento seguro y escalabilidad elástica, además de conexiones rápidas entre la nube y los centros de datos. Utilice una VPC para acceder a Internet, a otra VPC o a un centro de datos. Combine la VPC con otros servicios para lograr una conectividad de red adaptada a su negocio.
Acceso a Internet
Tenga en cuenta lo siguiente cuando sus aplicaciones necesiten acceder a Internet o ser accesibles desde él:
Configure una IP pública para la instancia ECS, que puede ser una IP pública estática o una elastic IP address (EIP). Se recomienda utilizar una EIP.
Si solo se usa una instancia ECS para proporcionar servicios a través de Internet, puede producirse un punto único de fallo (SPOF) que afecte la disponibilidad del sistema. Utilice un Server Load Balancer (SLB) instance como punto de ingreso unificado para el tráfico de Internet y asocie múltiples instancias ECS a la instancia de SLB. Esto previene SPOF y mejora la disponibilidad del servicio.
Si múltiples instancias ECS necesitan acceder a Internet, utilice la función SNAT de un Internet NAT gateway para permitir que compartan EIP y accedan a Internet. Esto ahorra direcciones IP públicas.
Si sus instancias ECS proporcionan servicios a través de Internet, utilice IPv4 gateway o IPv6 gateway para gestionar el acceso a Internet de las instancias ECS de manera unificada.
Conexión entre VPC
Puede utilizar los siguientes servicios para habilitar la conectividad entre VPC.
Si el número de VPC no supera cinco, utilice VPC peering connection para crear conexiones entre cada par.
Si su arquitectura de red es compleja y cuenta con muchas VPC, utilice CEN para gestionar eficientemente las VPC, facilitar la operación y mantenimiento, y garantizar una transferencia segura de datos.
Al acceder a un servicio de Alibaba Cloud como Object Storage Service (OSS) a través de Internet, podrían filtrarse datos sensibles. Utilice PrivateLink para conectar la VPC donde reside el endpoint con la VPC donde reside el servicio de endpoint, reduciendo así los riesgos de seguridad.
-
Utilice la puerta de enlace VPN para establecer una conexión segura entre dos VPC, aunque la latencia de red será mayor.
Nube híbrida
Utilice los siguientes servicios para conectar un centro de datos a una VPC.
Si requiere alta seguridad y baja latencia, utilice Express Connect circuits.
-
Si desea reducir costos, utilice VPN gateway.
¿Cuáles son los requisitos para las conexiones VPC y el despliegue de nube híbrida?
Para conectar una VPC a otra VPC o a un centro de datos, asegúrese de que los bloques CIDR no se superpongan. Siga estos principios de asignación por orden de prioridad:
CIDR de VPC únicos. Asigne un bloque CIDR único y sin superposiciones a cada VPC. Usar subredes de rangos estándar RFC 1918 aumenta la cantidad de CIDR disponibles.
CIDR de vSwitch únicos. Si no puede garantizar bloques CIDR de VPC únicos, asegúrese de que los bloques CIDR de los vSwitches dentro de las VPC que se comunican no se superpongan.
CIDR único para vSwitches en comunicación. Si incluso los bloques CIDR de los vSwitches se superponen, garantice que los vSwitches que necesitan comunicarse entre sí tengan bloques CIDR sin superposición. De lo contrario, la comunicación de red fallará.
Suponga que tiene tres VPC en diferentes regiones: VPC1 en China (Hangzhou), VPC2 en China (Beijing) y VPC3 en China (Shenzhen). También cuenta con un centro de datos local en China (Hangzhou).
VPC1 necesita conectarse a VPC2 mediante una conexión de emparejamiento de VPC.
VPC1 necesita conectarse al centro de datos local mediante Express Connect.
VPC3 no necesita conectarse a nada por ahora, pero podría necesitar conectarse a otras VPC en el futuro.
IP Address Manager (IPAM) puede ayudarle a gestionarlo. Cree grupos separados en IPAM para cada región con el fin de garantizar una asignación adecuada de IP. Cree una asignación personalizada y asigne 10.0.2.0/24 al centro de datos. Esto previene conflictos de direcciones IP y asegura que no se haga un uso indebido de ellas.
Planificación de capacidades de seguridad
El aislamiento de seguridad incluye el aislamiento de servicios, recursos y red. Debe considerar los requisitos de aislamiento de seguridad al planificar regiones, zonas, cuentas y bloques CIDR. Separar cuentas logra el aislamiento de recursos, mientras que segmentar VPC logra el aislamiento de red. Ambos son métodos para conseguir el aislamiento del negocio. Planifique sus capacidades de seguridad combinando escenarios de conexión de red con un enfoque de seguridad por capas.
|
Capa de seguridad |
Sugerencia |
|
Dentro de la VPC |
Si despliega múltiples servicios en una VPC, cree un vSwitch para cada servicio y utilice security groups y network ACLs. |
|
Límite de la VPC |
|
Utilice flow log y traffic mirror para monitorear las VPC y solucionar problemas. Esto mejora la estabilidad y fiabilidad del sistema.
|
Métrica |
Descripción |
|
Registro de flujo |
Recopile datos de tráfico y analice registros de tráfico para optimizar el ancho de banda y eliminar cuellos de botella en la red. |
|
Espejo de tráfico |
Duplique paquetes específicos que pasan por las ENI para inspección de contenido, monitoreo de amenazas y solución de problemas. |
Planificación de capacidades de recuperación ante desastres
Planifique capacidades de recuperación ante desastres que se ajusten a su arquitectura para garantizar la seguridad de los datos y la disponibilidad del servicio.
Si tiene altos requisitos de recuperación ante desastres, despliegue VPC en varias regiones y vSwitches en varias zonas para la recuperación ante desastres.
Si su servicio requiere respuesta rápida, alta concurrencia y mayor seguridad de datos, utilice SLB para implementar recuperación de clústeres, persistencia de sesiones y despliegue entre zonas.
Utilice circuitos de Express Connect para conectar sus centros de datos a las VPC mediante conexiones rápidas y estables. Esto garantiza la sincronización de datos, previene SPOF y mejora la disponibilidad del servicio.
Si tiene altos requisitos de disponibilidad de servicio, utilice la función de dirección IP virtual de alta disponibilidad (HaVip) junto con Keepalived o Heartbeat para crear una arquitectura de alta disponibilidad. Esto asegura que la IP del servicio permanezca inalterada durante la conmutación.
Considere las capacidades de recuperación ante desastres inherentes a los propios servicios en la nube. Por ejemplo, RDS High-availability Edition Active utiliza una arquitectura clásica de alta disponibilidad con un nodo principal y uno en espera. Los nodos principal y en espera pueden desplegarse en la misma zona o en zonas diferentes dentro de la misma región.
La siguiente figura muestra cómo actualizar una arquitectura de zona única a una arquitectura activa/en espera, que proporciona mayor seguridad y disponibilidad.
Antes de crear una VPC, asegúrese de haber considerado la escala actual del negocio y su expansión futura, el aislamiento de seguridad, la disponibilidad del servicio y la recuperación ante desastres, los costos, la cantidad de VPC y vSwitches, así como los bloques CIDR asignados a VPC y vSwitches. Para obtener más información, consulte Create and manage a VPC.