Egress Proxy Gateway:Configure HTTP/HTTPS proxy access

Différences entre les écouteurs HTTP et HTTPS

Lorsque vous créez une instance EPG, un écouteur HTTP et un écouteur HTTPS sont automatiquement provisionnés, par exemple HTTP:1080 et HTTPS:443. Ces deux écouteurs se distinguent par le chiffrement du canal de communication entre le client et EPG. L'écouteur HTTP offre un canal en texte clair, tandis que l'écouteur HTTPS propose un canal chiffré via TLS.

Prérequis

• Vous avez créé une instance EPG dotée d'un écouteur HTTP et d'un écouteur HTTPS, et vous avez créé le pool d'adresses par défaut.

• Les procédures décrites dans cette rubrique utilisent un proxy Internet à titre d'exemple. Vous devez associer au moins une adresse IP élastique (EIP) disponible à chaque zone du pool d'adresses par défaut, afin que l'instance EPG puisse acheminer les requêtes vers Internet.

• Vous avez déployé une application dans le VPC auquel appartient l'instance EPG, et cette application doit accéder aux services Internet via le proxy EPG.

Configurer l'accès via le proxy

EPG fonctionne comme un proxy explicite et ne prend pas en charge l'interception transparente du trafic. Le client doit explicitement rediriger ses requêtes sortantes vers l'adresse du proxy EPG. Après avoir appliqué les règles de contrôle, EPG transfère les requêtes vers le service de destination. Si vous utilisez EPG pour la première fois, consultez le guide Démarrage rapide pour commencer.

sudo tee /etc/profile.d/epg-proxy.sh > /dev/null <<'EOF'
# The proxy port points to the HTTP listener port (such as 1080) for both http_proxy and https_proxy
export http_proxy=http://<your EPG domain name>:1080
export https_proxy=http://<your EPG domain name>:1080
# Internal networks, localhost, and Alibaba Cloud internal services bypass the proxy. For the meaning of each CIDR block, see "no_proxy recommendations" below.
export no_proxy=localhost,127.0.0.1,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16,100.64.0.0/10,100.100.100.200,aliyuncs.com
# Both the lowercase and the uppercase variables are set for compatibility with different tools
export HTTP_PROXY="$http_proxy"
export HTTPS_PROXY="$https_proxy"
export NO_PROXY="$no_proxy"
EOF
# Apply the configuration to the current session immediately. New logon sessions load it automatically.
source /etc/profile.d/epg-proxy.sh

# Verify HTTP access to the Internet. An HTTP status code of 301 indicates success.
curl -I --max-time 15 http://www.alibabacloud.com/help

# Verify HTTPS access to the Internet. An HTTP status code of 302 indicates success.
curl -I --max-time 15 https://www.alibabacloud.com/help

# The following example uses an ECS instance in the Shanghai region to verify that no_proxy takes effect. Alibaba Cloud internal services must be accessed directly. An XML error response indicates that the direct connection succeeds.
curl --max-time 15 https://ecs.cn-shanghai.aliyuncs.com

import requests

proxies = {
    'http': 'http://<your EPG domain name>:1080',
    'https': 'http://<your EPG domain name>:1080',
}
response = requests.get('https://www.alibabacloud.com/help', proxies=proxies)

Supprimer la configuration du proxy

Recommandations pour no_proxy

La variable no_proxy spécifie les adresses auxquelles le client accède directement, sans passer par le proxy EPG. Cela évite que le trafic destiné à localhost, aux réseaux internes et aux services internes d'Alibaba Cloud ne soit involontairement routé via le proxy. La liste suivante décrit les types courants. Configurez-les en fonction de votre périmètre de proxy réel :

• Adresses localhost : localhost et 127.0.0.1

• Plages CIDR privées internes : 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16

• Plage CIDR réservée d'Alibaba Cloud : 100.64.0.0/10 (plage d'adresses partagée utilisée par les services internes d'Alibaba Cloud)

• Service de métadonnées d'Alibaba Cloud : 100.100.100.200 (si le trafic est acheminé via le proxy, l'obtention des métadonnées d'instance et des identifiants temporaires RAM échouera)

• Services internes d'Alibaba Cloud : aliyuncs.com (y compris ses sous-domaines, tels que ecs.cn-shanghai.aliyuncs.com. Notez qu'il ne s'agit pas de aliyun.com.)

Les règles de correspondance pour no_proxy varient selon les clients (par exemple, prise en charge ou non des sous-domaines et des blocs CIDR). Adaptez-vous au comportement du client que vous utilisez.

Notes d'utilisation

• EPG prend uniquement en charge le protocole de proxy HTTP. Lors de la configuration, utilisez une adresse de proxy commençant par http:// ou https://. Les méthodes de proxy SOCKS, telles que socks5://, ne sont pas prises en charge.

Quota

Pour augmenter un quota, contactez votre responsable commercial.