Deploy single-AZ NAT gateways for high availability - NAT Gateway

Le déploiement d'une passerelle NAT dans chaque zone de disponibilité limite le domaine de panne du trafic sortant public à une seule zone et empêche les pannes en cascade interzones.

Présentation de la solution

Pour minimiser l'impact d'une panne affectant une seule zone de disponibilité, alignez vos charges de travail cloud par zone et évitez les appels interzones. Sur la base de cette architecture haute disponibilité, déployez indépendamment une passerelle NAT Internet mono-zone dans chaque zone de disponibilité et utilisez des tables de routage personnalisées pour acheminer le trafic public de chaque zone de manière indépendante. Cette approche confine le rayon de panne à une seule zone de disponibilité.

Comme illustré dans la figure, si une panne survient dans la zone de disponibilité A, seules les charges de travail de cette zone sont affectées. Les charges de travail des zones de disponibilité B et C restent opérationnelles.

Ce mode de reprise après sinistre est disponible dans toutes les régions qui prennent en charge la passerelle NAT Internet. Pour activer cette fonctionnalité, contactez votre gestionnaire de compte.

Procédure

Déployez des passerelles NAT Internet mono-zone dans plusieurs zones de disponibilité
Accédez à la page d'achat de la passerelle NAT Internet et créez une passerelle NAT Internet pour chaque zone de disponibilité.
- Billing Method : Paiement à l'utilisation.
- Region : Sélectionnez la région dans laquelle vous souhaitez créer la passerelle NAT Internet.
- Network and Zone : Sélectionnez le VPC et le vSwitch pour la passerelle NAT Internet. Créez chaque passerelle NAT dans un vSwitch appartenant à une zone de disponibilité différente. Ce paramètre ne peut pas être modifié après la création.
- Disaster Recovery : Sélectionnez Single-zone disaster recovery. La passerelle est déployée au sein de la zone de disponibilité sélectionnée et utilise une redondance au niveau des appareils pour garantir une haute disponibilité.
- EIP : Choisissez une option selon que vous disposez ou non d'une EIP existante.
  - Select EIP : Sélectionnez une EIP non associée.
  - Purchase EIP : Sélectionnez cette option si vous ne disposez pas d'EIP disponible. Par défaut, une EIP facturée au trafic avec le type de ligne BGP (Multi-ISP) est créée. Vous pouvez définir la Maximum Bandwidth selon vos besoins.
    
    Pour associer une EIP de type de ligne BGP (Multi-ISP) Premium ou une EIP avec une autre méthode de facturation, vous devez d'abord <a data-tag="xref" data-root="16523" data-node="12804" href="t12804.xdita#" id="945c133a41xqr">demander une EIP</a> puis sélectionner Select EIP lors de la création.
  - Configure Later : La passerelle NAT n'aura pas accès à Internet public tant que vous n'aurez pas associé une EIP.
    
    Une fois la passerelle créée, cliquez sur Associate Now dans la colonne EIP de l'instance de passerelle NAT Internet cible. Vous pouvez alors sélectionner une adresse IP élastique existante ou en créer et en associer une nouvelle.
Configurez une entrée SNAT pour chaque passerelle NAT.
Accédez à la page Passerelle NAT Internet. Dans la colonne Actions de l'instance cible, cliquez sur Configure SNAT , puis sur Create SNAT Entry.
- SNAT Entry : Étendue d'application de la règle SNAT. Sélectionnez la granularité en fonction de vos exigences de gestion.
- Select EIP : Dans la liste déroulante, sélectionnez les EIP à utiliser pour l'accès à Internet public.
  - Vous pouvez sélectionner plusieurs EIP. Les connexions sont réparties entre les EIP à l'aide d'un algorithme de hachage. Étant donné que le trafic varie selon les connexions, la charge entre les EIP peut être inégale. Nous vous recommandons d'ajouter toutes les EIP à la même instance de bande passante partagée pour éviter les interruptions de service causées par l'atteinte de la limite de bande passante d'une seule EIP.
- EIP Affinity : Si l'affinité EIP est désactivée, une seule adresse IP privée peut utiliser différentes adresses IP de sortie pour accéder à la même destination. Si elle est activée, la même adresse IP de sortie est utilisée. Toutefois, un nombre élevé de connexions simultanées vers une seule destination peut entraîner des échecs d'allocation de ports. Vous devez surveiller les <a data-tag="xref" data-root="16523" data-node="147949" href="t147949.xdita#17ad1a6e34mm1" id="c91ca2cc20kja">pertes dues aux échecs d'allocation de ports</a>.
Une fois l'entrée créée, vous pouvez cliquer sur Edit dans la colonne Actions de l'entrée cible pour modifier les EIP et les paramètres d'affinité EIP.
Configurez les routes en liant une table de routage personnalisée distincte au vSwitch de chaque zone de disponibilité. Dans chaque table de routage, ajoutez une route 0.0.0.0/0 pointant vers la passerelle NAT située dans la même zone. Cela garantit que le trafic public de chaque zone est acheminé de manière indépendante.
1. Accédez à la page Console VPC - Tables de routage. Dans la barre de menu supérieure, sélectionnez la région où se trouvent les passerelles NAT Internet.
2. Créez une table de routage : Cliquez sur Create Route Table, sélectionnez le VPC cible et définissez le Associated Resource Type sur vSwitch.
3. Lie un vSwitch : Sur la page Console VPC - Tables de routage, repérez la table de routage cible et cliquez sur Bind dans la colonne Associated Resource. Sélectionnez Associate vSwitch et choisissez le vSwitch cible dans la boîte de dialogue qui s'affiche.
4. Ajoutez une route personnalisée : Sur la page des détails de la table de routage, accédez à l'onglet Route Entry List > Custom Route, puis cliquez sur Add Route Entry. Définissez le Destination CIDR Block sur 0.0.0.0/0 et le Next Hop Type sur NAT Gateway. Pour le saut suivant, sélectionnez la passerelle NAT située dans la même zone de disponibilité que le vSwitch.

Vérifier la configuration

Connectez-vous aux instances ECS dans différentes zones de disponibilité et exécutez la commande suivante pour vérifier l'adresse IP de sortie.

# Verify that the egress IP address is the EIP bound to the NAT gateway in the same availability zone.
curl ifconfig.me

L'adresse IP de sortie de l'instance ECS dans la zone de disponibilité A doit correspondre à l'EIP de NATGW-1, tandis que l'adresse IP de sortie de l'instance dans la zone de disponibilité B doit correspondre à l'EIP de NATGW-2. Cette différence confirme que l'isolation du domaine de panne fonctionne correctement.

Bonnes pratiques pour l'environnement de production

Redondance des charges de travail par zone de disponibilité : Déployez vos charges de travail applicatives sur plusieurs zones de disponibilité afin que, si une zone tombe en panne, les charges de travail des autres zones continuent de fonctionner indépendamment.
Redondance multi-EIP : Associez plusieurs EIP à l'entrée SNAT de chaque passerelle NAT. Si une EIP devient indisponible en raison d'une attaque, le trafic peut toujours transiter par les autres EIP.
Surveillance et alertes : Configurez des alertes pour les métriques clés de chaque passerelle NAT, telles que les connexions simultanées, la bande passante entrante/sortante et les <a data-tag="xref" data-root="16523" data-node="147949" href="t147949.xdita#17ad1a6e34mm1" id="xref_monitor">pertes dues aux échecs d'allocation de ports</a>. Cela vous permet de mettre à l'échelle les ressources avant qu'elles ne deviennent des goulots d'étranglement.
vSwitch dédiés : Créez un vSwitch dédié pour chaque passerelle NAT et réservez suffisamment d'adresses IP privées pour éviter l'épuisement des adresses IP, ce qui pourrait bloquer l'association de nouvelles EIP.