Conexión de emparejamiento de VPC - Virtual Private Cloud - Centro de documentación de Alibaba Cloud

De forma predeterminada, las VPC están aisladas entre sí. Para habilitar la comunicación por red privada entre ellas, cree una conexión de emparejamiento y configure rutas para ambas VPC. Las conexiones de emparejamiento admiten enlaces dentro de la misma cuenta, entre cuentas distintas, en la misma región y entre regiones. Los bloques CIDR de las dos VPC no deben superponerse.

Funcionamiento

Una conexión de emparejamiento de VPC une dos VPC a través de una red privada. Esto permite que los recursos de ambas VPC se comuniquen mediante direcciones IP privadas.

Cree una conexión de emparejamiento de VPC: si las VPC pertenecen a la misma cuenta, el sistema acepta automáticamente la solicitud y establece la conexión. Si pertenecen a cuentas distintas, el propietario de la VPC receptora debe aceptar la solicitud de conexión.
Configure rutas bidireccionales: para habilitar la comunicación entre los recursos, agregue una ruta a la tabla de enrutamiento de cada VPC que apunte a la VPC emparejada.

Para conectar varias VPC con un ancho de banda alto y a bajo costo, utilice conexiones de emparejamiento de VPC junto con Cloud Enterprise Network (CEN). Consulte VPC interconnection para ver una comparación entre ambas opciones.

Configurar una conexión de emparejamiento de VPC

Console

Requisitos previos:
1. Asegúrese de que los bloques CIDR de las dos VPC no se superpongan. Si se superponen, migre sus cargas de trabajo a VPC con bloques CIDR que no coincidan.
2. Si utiliza una conexión de emparejamiento de VPC por primera vez, asegúrese de que Cloud Data Transfer (CDT) esté habilitado en las cuentas propietarias de ambas VPC.
Crear una conexión de emparejamiento:
1. Vaya a la página VPC Console - VPC Peering Connection. En la barra de navegación superior, seleccione la región de la VPC y luego haga clic en Create VPC Peering Connection.
2. En la página de creación, seleccione el tipo de cuenta aceptadora y el tipo de región según las cuentas y regiones de las dos VPC.
  - Tipo de cuenta aceptadora:
    - Same-Account: el sistema acepta automáticamente la solicitud y establece la conexión. Puede seleccionar la opción para agregar una ruta del bloque CIDR de la VPC emparejada a la tabla de enrutamiento del sistema de la VPC. Esta acción configura automáticamente las rutas bidireccionales.
    - Cross-Account: el propietario de la cuenta aceptadora debe ir a la página VPC Console - VPC Peering Connection. Seleccione la región donde se ubica la VPC aceptadora. En la columna Actions de la conexión de emparejamiento de VPC objetivo, haga clic en Accept.
      
      El aceptador también puede Deny o Delete la solicitud de conexión. Para consultar el flujo de trabajo completo, vea VPC peering connection states .
  - Si el tipo de región es Inter-Region, debe configurar Link Type y Accepter Region.
    
    Están disponibles los tipos de enlace Platinum y Gold. Ofrecen distintos niveles de calidad en la transferencia de datos y tienen diferentes billing unit prices.
    - Platinum (Acuerdo de nivel de servicio: 99.995% de disponibilidad): más indicado para cargas de trabajo sensibles a la fluctuación y latencia de la red que requieren alta calidad de enlace, como operaciones bursátiles, llamadas de voz en línea, videoconferencias y juegos en tiempo real.
    - Gold (Acuerdo de nivel de servicio: 99.95% de disponibilidad): diseñado para escenarios de cargas de trabajo que no son sensibles a la calidad del enlace, como la sincronización de datos y las transferencias de archivos.
Configurar rutas bidireccionales:

Para habilitar la comunicación mediante direcciones IPv6, debe configurar entradas de ruta que apunten al bloque CIDR IPv6 de la VPC emparejada.
1. En la cuenta solicitante: en la columna Requester VPC, haga clic en Configure route. Seleccione Route Tables correspondiente al vSwitch que contiene los recursos que se comunicarán. Establezca Destination CIDR Block con el bloque CIDR de la VPC aceptadora.
2. En la cuenta aceptadora: en la columna Accepter, haga clic en Configure route. Seleccione Route Tables correspondiente al vSwitch que contiene los recursos que se comunicarán. Establezca Destination CIDR Block con el bloque CIDR de la VPC solicitante.
Comprobar la conectividad:
- Reachability Analyzer: este análisis no envía paquetes de datos reales ni afecta sus cargas de trabajo.
  1. En la columna Diagnose de la conexión de emparejamiento de VPC objetivo, elija Diagnose > Reachability Analyzer, o bien haga clic en el identificador de la conexión de emparejamiento de VPC objetivo para ir a la pestaña Reachability Analyzer.
  2. Configure el origen y el destino, y especifique el protocolo y el número de puerto para simular un escenario de acceso específico y comprobar la conectividad.
  3. El sistema revisa las configuraciones de rutas, security group y ACL de red, y proporciona un resultado de diagnóstico.
  4. Si una ruta unidireccional es accesible, también debe configurar y analizar la ruta inversa para comprobar la conectividad bidireccional.
- Prueba manual: desde una instancia ECS dentro de la VPC solicitante, ejecute el comando ping <private IP of an ECS instance in the peer VPC>.
Antes de usar Reachability Analyzer , asegúrese de que Network Intelligence Service (NIS) esté activado. El sistema crea automáticamente el rol vinculado al servicio AliyunServiceRoleForNis cuando utiliza esta función por primera vez.

Después de crear una conexión de emparejamiento de VPC entre regiones, haga clic en su identificador de instancia para Edit los campos Bandwidth (Mbit/s) y Bandwidth (Mbit/s) .

Cualquiera de las dos cuentas puede eliminar la conexión de emparejamiento de VPC. La eliminación interrumpe de inmediato la comunicación privada y es irreversible. Antes de continuar, asegúrese de que esta acción no afecte sus cargas de trabajo.

API

Crear una conexión de emparejamiento

Llame a CreateVpcPeerConnection para crear una conexión de emparejamiento de VPC.
Si las dos VPC pertenecen a cuentas distintas, el propietario de la cuenta aceptadora debe llamar a AcceptVpcPeerConnection para aceptar la conexión de emparejamiento de VPC.

El aceptador también puede llamar a RejectVpcPeerConnection para rechazar la conexión de emparejamiento de VPC.
Desde cada cuenta, llame a GetVpcPeerConnectionAttribute para consultar el bloque CIDR de la otra VPC.
Desde cada cuenta, llame a CreateRouteEntry para crear entradas de ruta que apunten a la conexión de emparejamiento.

Modificar una conexión de emparejamiento entre regiones

Llame a ModifyVpcPeerConnection para modificar el ancho de banda o el tipo de enlace de una conexión de emparejamiento de VPC entre regiones.

Eliminar una conexión de emparejamiento

Llame a DeleteRouteEntry para eliminar las entradas de ruta que apuntan a la conexión de emparejamiento.
Llame a DeleteVpcPeerConnection para eliminar la conexión de emparejamiento de VPC.

Reachability Analyzer

Llame a las siguientes operaciones de API en orden para usar Reachability Analyzer y comprobar la conectividad.

Terraform

Conexión de emparejamiento en la misma cuenta

Recursos: alicloud_vpc_peer_connection , alicloud_route_entry

Orígenes de datos: alicloud_account

# The account that owns the VPC.
data "alicloud_account" "default" {}

provider "alicloud" {
  alias  = "local"
  region = "cn-hangzhou" # The region of the requester VPC.
}

provider "alicloud" {
  alias  = "accepting"
  region = "cn-beijing" # The region of the accepter VPC. This can be the same as the requester region.
}

# The ID of the requester VPC.
variable "local_vpc_id" {
  default = "vpc-bp1c******"
}

# The ID of the accepter VPC.
variable "accepting_vpc_id" {
  default = "vpc-2zev******"
}

# Create a VPC peering connection.
resource "alicloud_vpc_peer_connection" "example_peer_connection" {
  provider             = alicloud.local
  peer_connection_name = "example_peer_connection_name"
  vpc_id               = var.local_vpc_id                 # The ID of the requester VPC.
  accepting_ali_uid    = data.alicloud_account.default.id # The ID of the accepter account.   
  accepting_region_id  = "cn-beijing"                     # The region of the accepter VPC.
  accepting_vpc_id     = var.accepting_vpc_id             # The ID of the accepter VPC.
  bandwidth            = 1024                             # The bandwidth in Mbps. You can configure this parameter only for inter-region connections.
  link_type            = "Gold"                           # The link type. You can configure this parameter only for inter-region connections.
}

# Configure a route for the requester VPC.
resource "alicloud_route_entry" "example_local_route" {
  provider              = alicloud.local
  route_table_id        = "vtb-bp1a******"            # The route table associated with the vSwitch of the requester instance.
  destination_cidrblock = "172.16.0.0/12"             # The cidr block of the accepter VPC.
  nexthop_type          = "VpcPeer"                   # The next hop is a VPC peering connection.
  nexthop_id            = alicloud_vpc_peer_connection.example_peer_connection.id
}

# Configure a route for the accepter VPC.
resource "alicloud_route_entry" "example_acceptor_route" {
  provider              = alicloud.accepting
  route_table_id        = "vtb-2ze1******"            # The route table associated with the vSwitch of the accepter instance.
  destination_cidrblock = "10.0.0.0/8"                # The cidr block of the requester VPC.
  nexthop_type          = "VpcPeer"                   # The next hop is a VPC peering connection.
  nexthop_id            = alicloud_vpc_peer_connection.example_peer_connection.id
}

Conexión de emparejamiento entre cuentas

Recursos: alicloud_vpc_peer_connection , alicloud_vpc_peer_connection_accepter , alicloud_route_entry

provider "alicloud" {
  alias  = "local"
  region = "cn-hangzhou" # The requester region. 
}

# The accepter region. This can be the same as the requester region.
variable "accepting_region" {
  default = "cn-beijing"
}

# The accepter account.
variable "accepting_uid" {
  default = "1234******"
}

# The AccessKey ID of the accepter account.
variable "access_key_id" {
  description = "The AccessKey ID for operating your infrastructure"
}
# The AccessKey secret of the accepter account.
variable "access_key_secret" {
  description = "The AccessKey Secret for managing your infrastructure"
}

provider "alicloud" {
  alias      = "acceptor"
  region     = var.accepting_region
  access_key = var.access_key_id
  secret_key = var.access_key_secret
}

# The ID of the requester VPC.
variable "local_vpc_id" {
  default = "vpc-2ze0******"
}

# The ID of the accepter VPC.
variable "accepting_vpc_id" {
  default = "vpc-wz9e******"
}

# Create a VPC peering connection.
resource "alicloud_vpc_peer_connection" "example_peer_connection" {
  provider             = alicloud.local
  peer_connection_name = "example_peer_connection_name"
  vpc_id               = var.local_vpc_id     # The ID of the requester VPC.
  accepting_ali_uid    = var.accepting_uid    # The ID of the accepter account.
  accepting_region_id  = var.accepting_region # The accepter region.
  accepting_vpc_id     = var.accepting_vpc_id # The ID of the accepter VPC.
  bandwidth            = 1024                 # The bandwidth in Mbps. You can configure this parameter only for inter-region connections.
  link_type            = "Gold"               # The link type. You can configure this parameter only for inter-region connections.
}

# The accepter accepts the peering connection request.
resource "alicloud_vpc_peer_connection_accepter" "example_peer_connection_accepter" {
  provider    = alicloud.acceptor
  instance_id = alicloud_vpc_peer_connection.example_peer_connection.id
}

# Configure a route for the requester VPC.
resource "alicloud_route_entry" "example_local_route" {
  provider              = alicloud.local
  route_table_id        = "vtb-2zel******" # The route table associated with the vSwitch of the requester instance.
  destination_cidrblock = "192.168.0.0/24" # The cidr block of the accepter VPC.
  nexthop_type          = "VpcPeer"        # The next hop is a VPC peering connection.
  nexthop_id            = alicloud_vpc_peer_connection.example_peer_connection.id
}

# Configure a route for the accepter VPC.
resource "alicloud_route_entry" "example_acceptor_route" {
  provider              = alicloud.acceptor
  route_table_id        = "vtb-wz95******" # The route table associated with the vSwitch of the accepter instance.
  destination_cidrblock = "172.16.0.0/12"  # The cidr block of the requester VPC.
  nexthop_type          = "VpcPeer"        # The next hop is a VPC peering connection.
  nexthop_id            = alicloud_vpc_peer_connection.example_peer_connection.id
}

Solucionar problemas de conectividad de red

Se recomienda utilizar Reachability Analyzer para comprobar la conectividad de red.

Elemento a revisar	Descripción	Solución
Estado de la conexión de emparejamiento	Compruebe que el campo Status de la conexión de emparejamiento objetivo sea Activated.	Si el estado es Accepting, solicite al aceptador que acepte la solicitud de conexión.
Configuración del bloque CIDR	Revise los bloques CIDR de las VPC solicitante y aceptadora para detectar los siguientes problemas: Bloques CIDR superpuestos. Uso de bloques CIDR privados que no siguen el estándar RFC 1918 (como 198.19.0.0/16 o 30.0.0.0/8). Una VPC trata estos bloques CIDR como direcciones públicas. Cuando una instancia ECS tiene una dirección IP pública, el tráfico hacia estos destinos se enruta de forma predeterminada a través de la red pública. Conflictos con las direcciones de la interfaz de red de Docker cuando docker está desplegado en una instancia ECS.	Si los bloques CIDR se superponen, migre sus cargas de trabajo a VPC con bloques CIDR que no coincidan y luego cree una nueva conexión de emparejamiento. Si se utilizan bloques CIDR privados que no siguen el estándar RFC 1918, consulte use an IPv4 Gateway to enable private use of public IP addresses para garantizar que el tráfico se enrute correctamente hacia la VPC de destino. Modify the Docker CIDR block.
Configuración de rutas	En la página de detalles de la conexión de emparejamiento, revise Route Entry List: Se configuró una entrada de ruta que apunta a la VPC emparejada para cada VPC. El bloque CIDR de destino se estableció correctamente con el bloque CIDR de la VPC emparejada. La entrada de ruta se agregó a la tabla de enrutamiento del vSwitch donde están desplegados sus recursos.	Revise y corrija la bidirectional route configuration.
Configuración de reglas de acceso	Las reglas de entrada y salida de los security group de las instancias ECS que se comunican permiten el tráfico desde la dirección IP emparejada. La dirección IP emparejada está incluida en las listas de permitidos de servicios en la nube como RDS, Redis, MongoDB y Elasticsearch. Las reglas de entrada y salida de la ACL de red asociada al vSwitch permiten el tráfico desde la dirección IP emparejada.	Asegúrese de que los security group, las ACL de red y las listas de permitidos de todos los servicios en la nube admitan el tráfico proveniente de la dirección IP emparejada.

Por qué la configuración del bloque CIDR puede provocar fallos de conectividad

Bloques CIDR superpuestos:

Si los bloques CIDR de las VPC emparejadas se superponen y usted configura el bloque CIDR de la VPC emparejada como destino, el tráfico coincide primero con la ruta local del sistema. Como resultado, el tráfico se enruta dentro de la VPC local y no llega a la VPC emparejada.
1. Aunque es posible configurar una ruta hacia un bloque CIDR de vSwitch emparejado que no se superponga, este enfoque dificulta el escalamiento. Cualquier vSwitch nuevo que cree también deberá usar un bloque CIDR que no coincida con los existentes, lo cual complica la planificación de la red. Se recomienda migrar sus cargas de trabajo a una VPC con un bloque CIDR que no se superponga y crear una nueva conexión de emparejamiento.
2. Si los bloques CIDR de los vSwitch se superponen, no podrá configurar una ruta más específica que la ruta del sistema. En este caso, debe migrar sus cargas de trabajo a una VPC con un bloque CIDR que no se superponga y crear una nueva conexión de emparejamiento.
Bloques CIDR privados que no siguen el estándar RFC 1918:

Una VPC trata cualquier espacio de direcciones IP fuera del estándar RFC 1918 (por ejemplo, 30.0.0.0/16) como un bloque CIDR público. Si los recursos de la VPC tienen acceso a internet, el tráfico destinado a ese espacio de direcciones se enruta hacia internet en lugar de pasar por la conexión de emparejamiento. Debe consultar use an IPv4 Gateway to enable private use of public IP addresses para garantizar que el tráfico se enrute correctamente hacia la VPC de destino.

Solución de problemas con varias tablas de enrutamiento

Cuando existen varias tablas de enrutamiento en la misma VPC, tenga en cuenta lo siguiente:

Las entradas de ruta deben agregarse a la tabla de enrutamiento asociada al vSwitch donde está desplegada la instancia ECS, no solo a la tabla de enrutamiento del sistema.
Si un vSwitch está asociado a una tabla de enrutamiento personalizada, las entradas de ruta de la tabla del sistema no surten efecto para ese vSwitch.

Si crea una tabla de enrutamiento personalizada y asocia un vSwitch a ella, pero solo agrega una entrada de ruta que apunta a la conexión de emparejamiento en la tabla del sistema sin agregarla a la tabla personalizada, las instancias ECS de ese vSwitch no podrán comunicarse con la VPC emparejada.

Pasos para solucionar el problema:

Vaya a la página VPC Console - Route Tables. Busque la tabla de enrutamiento personalizada asociada al vSwitch y haga clic en su identificador.
En la pestaña Custom Route, compruebe si existe una entrada de ruta que apunte a la conexión de emparejamiento para el bloque CIDR de destino. Si no existe, haga clic en Add Route Entry, introduzca el bloque CIDR del vSwitch emparejado, establezca Next Hop Type en VPC Peering Connection y seleccione la instancia de conexión de emparejamiento correspondiente.

Ejemplos de configuración

Conectar tres VPC

Al configurar rutas para el emparejamiento de VPC, dispone de las siguientes opciones:

Establecer el bloque CIDR de destino con el bloque CIDR de la VPC emparejada. Esto permite que todas las instancias de ambas VPC se comuniquen entre sí y simplifica la gestión.
Configurar rutas más específicas al establecer el bloque CIDR de destino con el bloque CIDR de un vSwitch en la VPC emparejada o con la dirección IP de una instancia concreta. Esta alternativa mejora la seguridad, pero requiere actualizar manualmente la tabla de enrutamiento cuando nuevas instancias necesiten comunicarse.

Por ejemplo, las rutas de VPC1 apuntan al bloque CIDR del vSwitch 3 en VPC2 y a la instancia ECS04 en VPC3. Por lo tanto, los recursos de VPC1 solo pueden comunicarse de forma privada con los recursos del vSwitch 3 y con ECS04. En cambio, las rutas de VPC2 y VPC3 apuntan a los bloques CIDR completos de sus VPC emparejadas, lo que permite la comunicación total entre sus recursos.

Migrar de CEN a una conexión de emparejamiento de VPC

Cambie la comunicación por red privada entre dos VPC de Cloud Enterprise Network (CEN) a una conexión de emparejamiento de VPC. Utilice este ejemplo cuando solo requiera conectividad punto a punto entre las dos VPC y busque una topología más sencilla a menor costo. En un escenario entre cuentas, cada cuenta ejecuta las operaciones correspondientes a su propia VPC.

Requisitos previos

Los bloques CIDR de las dos VPC no se superponen.
Confirmó que las dos VPC se comunican actualmente a través de CEN y registró las entradas de ruta existentes de ambas VPC para poder restaurarlas.

Procedimiento

Cree la conexión de emparejamiento de VPC. En la página VPC Console - VPC Peering Connection, el solicitante hace clic en Create VPC Peering Connection e introduce el identificador de la cuenta emparejada y la información de la VPC emparejada. Para una conexión entre cuentas, la cuenta aceptadora hace clic en Accept para la solicitud de conexión. Continúe únicamente después de que se establezca la conexión.
Elimine las entradas de ruta que apuntan a CEN. En la página VPC Console - Route Tables, abra Route Tables de ambas VPC y localice las entradas de ruta cuyo siguiente salto sea Transit Router (CEN Enterprise Edition) o cuyo tipo sea CEN (CEN Basic Edition). Las entradas de ruta que agregó manualmente se pueden eliminar directamente. Las entradas de ruta que CEN anuncia automáticamente a la VPC no se pueden eliminar en esta página; se retiran después de desvincular la conexión de la instancia de red de la VPC desde el lado de CEN.
Agregue las entradas de ruta que apuntan a la conexión de emparejamiento de VPC. En la tabla de enrutamiento de cada VPC, haga clic en Add Route Entry, establezca Destination CIDR Block con el bloque CIDR de la VPC emparejada (también puede limitarlo a un bloque CIDR de vSwitch o a la dirección IP de una instancia específica en la VPC emparejada), configure Next Hop Type en VPC Peering Connection y seleccione la instancia de conexión de emparejamiento que creó.
Compruebe el resultado. En Route Entry List de ambas VPC, confirme que las nuevas entradas de ruta que apuntan a la conexión de emparejamiento estén disponibles y que ninguna entrada de ruta siga apuntando a CEN. Luego, compruebe la comunicación por red privada entre los recursos de las dos VPC.

Evaluación de la interrupción del servicio

La comunicación por red privada entre las dos VPC se interrumpe desde el momento en que se eliminan las entradas de ruta de CEN hasta que las nuevas entradas de ruta surten efecto. La duración depende del tiempo que tome el cambio de rutas, por lo que se recomienda ejecutar esta operación fuera del horario de mayor actividad.
Cree y acepte la conexión de emparejamiento antes de cambiar las entradas de ruta. De este modo, solo el cambio de rutas quedará dentro de la ventana de interrupción.
Conserve la configuración original de CEN hasta que haya comprobado el cambio. Así podrá restaurar las entradas de ruta originales y revertir el proceso rápidamente.

Conectar varias VPC a una VPC central

Por ejemplo, las VPC de rama pueden acceder a los servicios desplegados en la VPC central, pero no pueden comunicarse entre sí. A continuación se muestran algunos escenarios típicos:

Aislamiento entre departamentos: las VPC de distintos departamentos de negocio no pueden comunicarse entre sí, pero necesitan acceder a servicios compartidos en la VPC central.
Aislamiento entre usuarios: los servicios se despliegan en una VPC dedicada para varios usuarios. La VPC de cada usuario puede comunicarse con la VPC de servicios, pero las VPC de distintos usuarios no pueden comunicarse entre sí.

Restringir conexiones no autorizadas entre cuentas

De forma predeterminada, un usuario de RAM con los permisos vpc:CreateVpcPeerConnection y vpc:AcceptVpcPeerConnection puede establecer una conexión de emparejamiento de VPC con cualquier cuenta. Para restringir a los usuarios de RAM de modo que solo se conecten con cuentas de su organización o con cuentas emparejadas específicas, y evitar que datos confidenciales se filtren por canales de red no autorizados entre cuentas, utilice claves de condición globales como acs:TargetRDId y acs:TargetRDPath en políticas personalizadas de RAM para limitar qué cuentas emparejadas están permitidas.

Clave de condición

Durante la autorización, RAM busca la resource directory de la cuenta emparejada con base en AcceptingAliUid (al crear una conexión de emparejamiento) o RequestingAliUid (al aceptar una conexión de emparejamiento). Luego, inserta las siguientes claves de condición en el contexto de autorización para compararlas con las condiciones de su política personalizada.

Clave de condición	Tipo	Descripción	Caso de uso
`acs:TargetRDId`	String	El identificador del directorio de recursos al que pertenece la cuenta emparejada; por ejemplo, `rd-xxxxxx`.	Exigir que la cuenta emparejada pertenezca a un directorio de recursos específico.
`acs:TargetRDPath`	String	La ruta del directorio de recursos a la que pertenece la cuenta emparejada, con el formato `{RDId}/{RootFolderId}/{FolderId}/{AccountId}`. Admite coincidencias con comodines.	Exigir que la cuenta emparejada esté dentro de una carpeta específica del directorio de recursos, lo que permite una gobernanza jerárquica.

Restricciones de uso:

Solo vpc:CreateVpcPeerConnection y vpc:AcceptVpcPeerConnection insertan las claves de condición anteriores. Otras operaciones sobre conexiones de emparejamiento, como consultar, modificar y eliminar, no se ven afectadas.

Cuando la política deniega una solicitud, se devuelve el código de error Forbidden.NoPermission con NoPermissionType establecido en ExplicitDeny . Puede usar el RequestId para rastrear la coincidencia de la política en ActionTrail .

Seleccionar una política de restricción

Al configurar políticas, reemplace el identificador del directorio de recursos, la ruta o el identificador de cuenta de los ejemplos con los valores reales de su organización. Puede encontrar el identificador y la ruta del directorio de recursos en la consola de Resource Management .

Por identificador del directorio de recursos

Permita que los usuarios de RAM creen conexiones de emparejamiento de VPC solo con cuentas del directorio de recursos especificado. Reemplace rd-xxxxxx con el identificador de su directorio de recursos.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "acs:TargetRDId": ["rd-xxxxxx"]
        }
      }
    }
  ]
}

Por ruta del directorio de recursos

Permita que los usuarios de RAM creen conexiones de emparejamiento de VPC solo con cuentas ubicadas bajo una ruta de carpeta específica. Esta opción es adecuada para una gobernanza jerárquica detallada. Reemplace la ruta del ejemplo con su ruta real.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotLike": {
          "acs:TargetRDPath": ["rd-xxxxxx/r-xxxxxx/fd-xxxxxx/*"]
        }
      }
    }
  ]
}

Cree y asigne la política

Consola

Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, seleccione Permissions > Policies.
Haga clic en Create Policy. En la pestaña JSON Editor, pegue la política del esquema que eligió anteriormente. Reemplace el ID del directorio de recursos, la ruta o el ID de la cuenta con sus valores reales.
Haga clic en OK, introduzca el valor en Policy Name y haga clic en OK.
Attach the policy to the target RAM user, user group, or role.

API

Llame a CreatePolicy para crear una política personalizada. Pase la política del esquema que eligió anteriormente como parámetro PolicyDocument.
Llame a AttachPolicyToUser, AttachPolicyToGroup o AttachPolicyToRole para asignar la política al usuario, grupo de usuarios o rol de RAM de destino.

Monitoreo y operación y mantenimiento

En las conexiones de emparejamiento entre regiones, es posible monitorear métricas como el tráfico, el ancho de banda y la pérdida de paquetes. Utilice CloudMonitor para crear reglas de alerta basadas en umbrales. De esta manera, supervisará el estado de la conexión en tiempo real y atenderá rápidamente cualquier congestión o falla de red.

Las métricas no están disponibles para las conexiones de emparejamiento dentro de la misma región.

Métricas

Métrica	Descripción
Tráfico entrante	Tráfico enviado desde el solicitante hacia el receptor durante un periodo estadístico.
Tráfico saliente	Tráfico enviado desde el receptor hacia el solicitante durante un periodo estadístico.
Ancho de banda entrante	Ancho de banda del tráfico que va del solicitante al receptor.
Ancho de banda saliente	Ancho de banda del tráfico que va del receptor al solicitante.
Paquetes salientes descartados por limitación de velocidad	Tasa de paquetes de datos descartados debido a la limitación del ancho de banda saliente en la instancia de conexión de emparejamiento.

Consola

Monitoreo de la conexión de emparejamiento

Vaya a la página VPC Console - VPC Peering Connections. En la barra de navegación superior, seleccione la región donde se encuentra la VPC.
En la columna Monitor de la instancia de conexión de emparejamiento de VPC entre regiones de destino, haga clic en el ícono para consultar métricas como el tráfico, el ancho de banda y la pérdida de paquetes.

Alertas de CloudMonitor

Vaya a la página CloudMonitor Console - Alert Rules y haga clic en Create Alert Rule.
Configure los umbrales de cada nivel de alerta para las métricas de la conexión de emparejamiento de VPC. Cuando una métrica alcanza su umbral, el grupo definido en Alert Contact Group recibe las notificaciones. También puede hacer clic en Alert History, dentro de la columna Actions de una regla de alerta, para consultar su línea de tiempo.
Desde la columna Actions de una regla de alerta, tiene la opción de Modify, Disable o Delete dicha regla.

API

Llame a PutResourceMetricRules para establecer reglas de alerta basadas en umbrales para las métricas de la conexión de emparejamiento de VPC. Consulte la lista de métricas compatibles en Métricas de CloudMonitor para conexiones de emparejamiento.
Llame a EnableMetricRules para habilitar una o más reglas de alerta.
Llame a DisableMetricRules para deshabilitar una o más reglas de alerta.
Llame a DeleteMetricRules para eliminar una o más reglas de alerta.

Terraform

Para configurar reglas de alerta basadas en umbrales, consulte la lista de métricas disponibles en Métricas de CloudMonitor para conexiones de emparejamiento .

Recursos: alicloud_cms_alarm_contact , alicloud_cms_alarm_contact_group , alicloud_cms_alarm

# The ID of the peering connection instance to monitor
variable "vpc_peer_id" {
  default = "pcc-28cv******"
}

# Create an alert contact
resource "alicloud_cms_alarm_contact" "example_cms_alarm_contact" {
  alarm_contact_name = "example_cms_alarm_contact_name"
  describe           = "example_vpc_peer_alarm"
  channels_mail      = "xxx@xxx.com" # Replace with your email address
  lifecycle {
    ignore_changes = [channels_mail]
  }
}

# Create an alert contact group
resource "alicloud_cms_alarm_contact_group" "example_cms_alarm_contact_group" {
  alarm_contact_group_name = "example_cms_alarm_contact_group"
  contacts                 = [alicloud_cms_alarm_contact.example_cms_alarm_contact.id] # Alert contact
}

# Create an alert rule
resource "alicloud_cms_alarm" "example_cms_alarm" {
  name               = "example_cms_alarm_name"
  project            = "acs_vpcpeer" # The data namespace of the cloud service
  metric             = "IntranetRX"  # The metric name
  period             = 60            # The statistical period
  contact_groups     = [alicloud_cms_alarm_contact_group.example_cms_alarm_contact_group.alarm_contact_group_name]
  effective_interval = "06:00-20:00" # The effective period
  metric_dimensions  = <<EOF
  [
    {
      "instanceId": "${var.vpc_peer_id}"
    }
  ]
  EOF
  escalations_critical {            # Defines the critical-level alert
    statistics          = "Sum"     # The statistical method for the alert
    comparison_operator = ">="      # The comparison operator for the threshold
    threshold           = 104857600 # The threshold
    times               = 2         # The number of consecutive periods the threshold must be met to trigger the alert
  }
}

Preguntas frecuentes

¿Se admiten las conexiones de emparejamiento transfronterizas?

Sí. Se admite tanto la conectividad nacional como la transfronteriza.

Nacional: conecta dos regiones dentro de China continental o dos regiones fuera de China continental.
Transfronteriza: conecta una región de China continental con una región fuera de China continental. Asegúrese de que su cuenta haya completado la verificación de identidad comercial.

No es posible seleccionar la VPC de destino

Asegúrese de que la región y la cuenta seleccionadas coincidan con los campos Region y Owner de la VPC de destino.

La región del solicitante se muestra en la parte superior de la página, y la cuenta actual actúa como solicitante. La cuenta y la región del receptor se especifican al crear la conexión de emparejamiento.

Falla de comunicación en ECS con Docker

Si las configuraciones de enrutamiento y del security group son correctas, es probable que exista un conflicto entre el bloque CIDR de la interfaz de red de Docker y el bloque CIDR de destino. Ejecute ip addr para comprobar si la dirección de la interfaz de red de Docker entra en conflicto con el bloque CIDR de destino.

Si existe un conflicto, siga estos pasos para modificar el bloque CIDR de Docker.

Detener el servicio de Docker o modificar su bloque CIDR interrumpe las cargas de trabajo. Se recomienda ejecutar esta operación fuera del horario de mayor actividad.
Al modificar el bloque CIDR de Docker, asegúrese de que sea compatible con la configuración de red de los contenedores y aplicaciones existentes para evitar posibles problemas de conectividad.

Ejecute sudo systemctl stop docker para detener el servicio de Docker.
Ejecute sudo vim /etc/docker/daemon.json para editar el archivo de configuración de Docker. Agregue el siguiente contenido al archivo y guarde los cambios:

El archivo de configuración de Docker suele ubicarse en /etc/docker/daemon.json o en /etc/docker/daemon.conf . El nombre exacto del archivo puede variar.
```
{
    "bip":"new Docker CIDR block"
}
```
Ejecute sudo systemctl start docker para iniciar el servicio de Docker y aplicar los cambios.

Un usuario de RAM recibe un error de permisos de CDT al crear una conexión de emparejamiento de VPC

Un usuario de RAM tiene asignado el permiso AliyunVPCFullAccess, pero recibe un error que indica la falta del permiso cdt:GetCdtServiceStatus al crear una conexión de emparejamiento de VPC. Esto ocurre porque dichas conexiones dependen del servicio Cloud Data Transfer (CDT) y requieren llamadas a las API relacionadas con CDT. Los permisos de VPC por sí solos no son suficientes.

Asigne al usuario de RAM uno de los siguientes permisos:

AliyunCDTFullAccess: acceso total a CDT.
AliyunCDTReadOnlyAccess: acceso de solo lectura a CDT. Esta opción es adecuada si el usuario de RAM únicamente necesita crear conexiones de emparejamiento y no requiere gestionar recursos de CDT.

¿Una conexión de emparejamiento de VPC afecta el acceso a la red pública?

No. Una conexión de emparejamiento de VPC solo agrega entradas de ruta privadas y no modifica la ruta predeterminada. El tráfico de la red pública se sigue reenviando a través de las puertas de enlace NAT, las direcciones IP elásticas y otras rutas públicas existentes.

Más información

Límites

No es posible crear una conexión de emparejamiento de VPC en los siguientes escenarios:
- Las dos VPC pertenecen a cuentas de distintos sitios de Alibaba Cloud. Por ejemplo, una cuenta del sitio de Alibaba Cloud China y otra del sitio internacional de Alibaba Cloud.
La conexión de emparejamiento de VPC no admite el enrutamiento transitivo.

Por ejemplo, si la VPC 1 se conecta a la VPC 2 y a la VPC 3 mediante conexiones de emparejamiento independientes, la VPC 2 y la VPC 3 no pueden comunicarse entre sí a través de la VPC 1.

Para habilitar la comunicación entre la VPC 2 y la VPC 3, debe crear una conexión de emparejamiento independiente entre ellas y configurar rutas bidireccionales.
Cuando una VPC se comparte entre varias cuentas, solo el propietario del recurso puede crear, modificar o eliminar una conexión de emparejamiento de VPC. Los usuarios del recurso no tienen autorización para ejecutar estas acciones.

Facturación

Las conexiones de emparejamiento de VPC dentro de la misma región son gratuitas, sin importar si las VPC pertenecen a la misma cuenta o a cuentas distintas.

En las conexiones de emparejamiento de VPC entre regiones, Cloud Data Transfer (CDT) cobra una tarifa de data transfer fee basada en el tráfico saliente.

El precio unitario depende del par de regiones y del tipo de enlace. Están disponibles los tipos de enlace Platinum y Gold, los cuales ofrecen distintos niveles de servicio.
El ciclo de facturación es por hora. Si cambia el tipo de enlace dentro de un ciclo de facturación, se aplicará la tarifa del nivel de servicio más alto durante todo ese ciclo.

Como se muestra en la figura, se establece una conexión de emparejamiento de VPC entre regiones y entre cuentas distintas para VPC1 y VPC2. Supongamos que el tráfico saliente de VPC1 y VPC2 es de 200 GB y 100 GB respectivamente, que el tipo de enlace es Gold y que la tarifa de data transfer fee de China (Hohhot) a China (Guangzhou) es de 0.072 USD/GB. En este caso, los cargos se calculan según la regla de facturación por tráfico saliente:

Cargo para la cuenta A: 0.072 USD/GB × 200 GB = 14.4 USD

Cargo para la cuenta B: 0.072 USD/GB × 100 GB = 7.2 USD

Ciclo de vida de la conexión de emparejamiento de VPC

Después de que el solicitante envía una solicitud de creación, la conexión de emparejamiento de VPC pasa por varios estados.

Si crea una conexión de emparejamiento de VPC dentro de la misma cuenta, el sistema inicia y acepta la solicitud automáticamente, y la conexión queda activada.

Estados

Estado	Descripción
Creating	El solicitante inició la solicitud de conexión de emparejamiento de VPC.
Accepting	Se espera a que el receptor acepte la solicitud de conexión de emparejamiento de VPC.
Updating	La conexión se configura después de aceptar la solicitud.
Activated	La conexión de emparejamiento de VPC se estableció correctamente. La comunicación entre las VPC está habilitada.
Rejected	El receptor rechazó la solicitud de conexión de emparejamiento de VPC.
Expired	La solicitud caduca si el receptor no responde en un plazo de siete días.
Deleting	La conexión se elimina a petición de una de las partes.
Deleted	La conexión de emparejamiento de VPC se eliminó correctamente.

Regiones compatibles

Área	Regiones
Asia Pacífico - China	China (Hangzhou), China (Shanghai), China (Nanjing - Local Region, Closing Down), China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Ulanqab), China (Shenzhen), China (Heyuan), China (Guangzhou), China (Chengdu), China (Zhongwei), China (Hong Kong), China (Wuhan - Local Region) y China (Fuzhou - Local Region - Closing Down)
Asia Pacífico - Otras	Japan (Tokyo), South Korea (Seoul), Singapore (Singapore), Malaysia (Kuala Lumpur), Indonesia (Jakarta), Philippines (Manila), Thailand (Bangkok) y Malaysia (Johor Bahru)
Europa y América	Germany (Frankfurt), UK (London), US (Silicon Valley), US (Virginia) y Brazil (São Paulo)
Medio Oriente	UAE (Dubai) y Saudi Arabia (Riyadh - Partner Region)

Cuotas

Nombre de la cuota	Descripción	Cuota predeterminada	Acciones
vpc_quota_cross_region_peer_num_per_vpc	Número de conexiones de emparejamiento de VPC entre regiones por cada VPC.	20	Para solicitar un aumento de cuota, vaya a la página Quota Management o al Quota Center.
vpc_quota_intra_region_peer_num_per_vpc	Número de conexiones de emparejamiento de VPC dentro de la misma región por cada VPC.	10
vpc_quota_peer_num	Número de conexiones de emparejamiento de VPC por cuenta de Alibaba Cloud y por región.	20
vpc_quota_peer_cross_border_bandwidth	Ancho de banda transfronterizo máximo.	1,024 Mbps
vpc_quota_peer_cross_region_bandwidth	Ancho de banda máximo entre regiones.	1,024 Mbps