Connectez votre intranet d’entreprise ou vos appareils personnels à un VPC à l’aide de CEN ou de SSL-VPN pour accéder aux services Alibaba Cloud et aux services auto-gérés via un réseau privé.
Risques de sécurité liés à l’accès par le réseau public
L’accès par le réseau public expose les services à des attaques DDoS, à l’exploitation de vulnérabilités à distance et à des accès non autorisés en cas de divulgation des identifiants. Pour répondre aux exigences des entreprises en matière de sécurité des données, de gestion unifiée du réseau et de maîtrise des coûts, les scénarios suivants nécessitent un accès via un réseau privé :
Collaboration dans un environnement hybride : connectez votre centre de données sur site à des ressources cloud telles que OSS et ECS via une ligne louée ou un VPN afin d’unifier le réseau privé pour la sauvegarde des données, la reprise après sinistre et la planification des adresses.
Accès depuis l’intranet d’entreprise : permettez aux employés d’accéder aux systèmes internes déployés dans le cloud, tels que les ERP et les OA, ainsi qu’aux services Alibaba Cloud comme OSS, sans exposer les données sur Internet.
Télétravail sécurisé : les employés distants se connectent à l’intranet de l’entreprise via un VPN avant d’accéder aux ressources cloud, ce qui permet d’unifier les politiques de sécurité et d’éviter les risques liés à une connexion directe depuis Internet.
Communication inter-services : lorsqu’une instance ECS dans un VPC appelle des API Alibaba Cloud, l’utilisation des VPC endpoints améliore la sécurité, réduit la latence et réduit les coûts du trafic Internet.
Alibaba Cloud propose des solutions de connexion privée qui vous permettent d’utiliser la plupart des services Alibaba Cloud dans un environnement de réseau privé.
Bonnes pratiques
Accéder aux services Alibaba Cloud depuis une instance ECS avec des VPC endpoints
La plupart des services Alibaba Cloud proposent à la fois des endpoints publics et des VPC endpoints. Les instances ECS situées dans un VPC doivent utiliser des VPC endpoints. Consultez la rubrique Comment appeler des API via un réseau interne.
Exemple : lorsque vous utilisez Alibaba Cloud CLI sur une instance ECS dans la région Chine (Hangzhou), spécifiez le VPC endpoint.
# The --endpoint parameter specifies the VPC Endpoint for the China (Hangzhou) region
aliyun ecs DescribeZones --RegionId cn-hangzhou --endpoint ecs-vpc.cn-hangzhou.aliyuncs.comRemarque : chaque service Alibaba Cloud dispose de VPC endpoints indépendants par région. L’accès privé interrégion n’est pas pris en charge. Pour activer la communication privée entre régions, connectez les VPC entre différentes régions et configurez les routes.
Remarque : la résolution du nom de domaine d’un VPC endpoint peut renvoyer une adresse IP publique. Il s’agit d’une adresse IP virtuelle (VIP) utilisée par Alibaba Cloud : le trafic ne transite pas par Internet et ces VIP ne sont pas accessibles depuis Internet.
Connecter un réseau d’entreprise à un VPC avec CEN
CEN permet de connecter votre intranet d’entreprise à un VPC et prend en charge différents types de connexions, tels que les circuits Express Connect, SAG et VPN, chacun offrant des niveaux de sécurité, de fiabilité et de bande passante distincts.
La figure suivante illustre la connexion d’un centre de données sur site à la région Hangzhou d’Alibaba Cloud, permettant un accès mutuel entre le VPC et le réseau privé du centre de données. Consultez la rubrique Connecter les réseaux cloud et sur site. Après avoir configuré les routes, l’intranet de l’entreprise peut accéder aux VPC endpoints des services Alibaba Cloud sans passer par Internet.
Connecter un appareil personnel à un VPC avec SSL-VPN
SSL-VPN permet de connecter un appareil personnel à un VPC, offrant ainsi la possibilité d’accéder aux services auto-gérés et aux services Alibaba Cloud via des endpoints privés ou des VPC endpoints (comme illustré dans la figure suivante). Consultez la rubrique Connecter des clients PC et Android via SSL-VPN.
La console Alibaba Cloud ne prend pas en charge les VPC endpoints et n’est accessible que depuis Internet.
