EAS access to public and private resources - Platform For AI

Si un service EAS doit appeler des API publiques, télécharger des fichiers depuis Internet, se connecter à une base de données RDS ou accéder à d'autres services externes, vous devez configurer un Virtual Private Cloud (VPC) pour établir la connectivité réseau.

Fonctionnement

Lorsque vous configurez un VPC pour un service EAS, le système crée une interface réseau élastique (ENI) pour chaque instance de service et lui attribue une adresse IP privée issue du vSwitch spécifié. Cela confère à l'instance une identité réseau au sein du VPC, ce qui lui permet de communiquer avec d'autres ressources du VPC ou d'accéder à Internet public via une passerelle NAT.

Facturation

La configuration d'un VPC pour un service EAS est gratuite. Toutefois, NAT Gateway et Elastic IP Address (EIP) sont des produits payants. Pour plus de détails sur la facturation, consultez les rubriques Facturation de NAT Gateway et Présentation de la facturation EIP.

Avant de commencer : planifiez et préparez votre réseau

Avant de commencer, planifiez la connectivité de votre réseau et préparez le VPC, le vSwitch et le groupe de sécurité requis. Si vous devez créer ces ressources, reportez-vous aux rubriques Créer un VPC et un vSwitch et Utiliser les groupes de sécurité.

Les règles de groupe de sécurité contrôlent tout le trafic sortant des services EAS. Assurez-vous que les règles sortantes de votre groupe de sécurité autorisent le service EAS à accéder au service cible.
Pour activer la communication via le réseau privé, la méthode la plus simple consiste à déployer le service EAS et le service cible dans le même VPC. Si le service cible se trouve dans un autre VPC, vous devez connecter les réseaux à l'aide de services tels que VPC Peering Connection ou Cloud Enterprise Network.

Procédure

Étape 1 : Configurer un VPC

La configuration du VPC est la première étape pour activer la communication via le réseau privé ou l'accès à Internet public pour votre service EAS. EAS prend en charge la configuration du VPC au niveau du service et au niveau du groupe de ressources :

Niveau du service : Spécifie un VPC pour un seul service. Cette configuration a la priorité la plus élevée.
Niveau du groupe de ressources : Définit un VPC par défaut pour tous les services d'un groupe de ressources dédié, ce qui simplifie la configuration par lot.

Important

Si vous configurez les paramètres réseau à la fois au niveau du service et au niveau du groupe de ressources, la configuration au niveau du service est prioritaire.

Niveau du service

Console

Lors de la création ou de la mise à jour d'un service, configurez le VPC dans la section Network Information. Après avoir sélectionné un VPC dans la liste déroulante, configurez le vSwitch et le groupe de sécurité.

Outre les paramètres VPC, la section Network Information inclut la sélection de la passerelle (Gateway Selection, avec les options shared gateway ou dedicated gateway), ainsi que les options pour associer un Network Load Balancer (Associate Network Load Balancer (NLB)) et associer la découverte de services (Associate Service Discovery (Nacos)).

Remarque

Après la création d'un VPC, d'un vSwitch ou d'un groupe de sécurité, il peut s'écouler 1 à 2 minutes avant que la nouvelle ressource n'apparaisse dans les listes déroulantes de la PAI console. Si la nouvelle ressource n'apparaît pas, patientez quelques instants puis actualisez la page.

Client eascmd

Dans le fichier de configuration JSON du service, ajoutez ou modifiez le champ cloud.networking pour y inclure les ID de votre VPC, de votre vSwitch et de votre groupe de sécurité. L'exemple suivant illustre les champs de mise en réseau :
```
{
    "cloud": {
        "networking": {
            "vpc_id": "your-vpc-id",
            "vswitch_id": "your-switch-id",
            "security_group_id": "your-security-group-id"
        }
    }
}
```
Vous pouvez trouver les ID requis sur les pages de liste des VPC et des vSwitch dans la console VPC et sur la page Security Groups de la console ECS.
Reportez-vous à la rubrique Référence des commandes et utilisez la commande create ou modify pour créer le service ou appliquer la nouvelle configuration.

Niveau du groupe de ressources

Console : Sur la page Resource Group, configurez le VPC pour l'ensemble du groupe de ressources. Sélectionnez le groupe de ressources cible et cliquez sur Enable VPC Configuration dans la colonne Actions.
Client eascmd : Consultez la rubrique Configurer un VPC pour un groupe de ressources.

Étape 2 : Configurer la passerelle NAT et l'entrée SNAT

Si votre service EAS nécessite un accès à Internet public, vous devez configurer une passerelle NAT avec une adresse EIP. Pour plus de détails, consultez la rubrique Utiliser la fonctionnalité SNAT d'une passerelle NAT Internet pour accéder à Internet.

Créer une passerelle NAT Internet et lier une adresse EIP : Accédez à la page d'achat de la passerelle NAT Internet, sélectionnez la région et le VPC où se trouve votre service EAS, puis liez-y une adresse EIP. Cette adresse EIP sert d'adresse IP de sortie unifiée pour permettre à votre service EAS d'accéder à Internet public.
Configurer une entrée SNAT : Dans la passerelle NAT que vous avez créée, créez une entrée SNAT. Définissez l'option SNAT Entry sur VPC Granularity. Cela garantit que tout le trafic de ce VPC vers Internet public est routé via cette passerelle NAT.

Étape 3 : Configurer une liste d'autorisation (facultatif)

Si un service cible utilise une liste d'autorisation basée sur l'adresse IP ou le groupe de sécurité, vous devez ajouter la plage d'adresses IP ou l'ID du groupe de sécurité de votre service EAS à cette liste. Les sections suivantes expliquent comment trouver les adresses IP privées et publiques de votre service EAS.

Trouver l'adresse IP privée

Important

Les instances EAS sont planifiées de manière dynamique. Lorsqu'une instance redémarre ou est mise à jour, EAS peut créer une nouvelle instance sur un nœud physique différent et lui attribuer une nouvelle adresse IP privée issue du pool d'adresses du vSwitch. Par conséquent, pour le contrôle d'accès basé sur l'adresse IP, vous devez utiliser le bloc CIDR du vSwitch dans votre liste d'autorisation au lieu de coder en dur l'adresse IP d'une seule instance.

Connectez-vous à la console VPC et recherchez le bloc CIDR IPv4 correspondant sur la page vSwitch.

Trouver l'adresse IP publique

Connectez-vous à la console VPC. Sur la page NAT Gateway > Internet NAT Gateway, recherchez la passerelle que vous avez configurée pour EAS. La colonne Elastic IP Address affiche l'adresse EIP liée.

Bonnes pratiques pour la production

Planification des adresses IP : Dédiez un vSwitch disposant d'un nombre suffisant d'adresses IP disponibles pour votre service EAS. Calculez le nombre minimal d'adresses IP requises comme suit : Nombre d'instances en cours d'exécution + Nombre d'instances supplémentaires pour les mises à jour progressives + Adresses IP de réserve. Un nombre insuffisant d'adresses IP entraîne des échecs de création ou de mise à l'échelle du service.
Isolation des groupes de sécurité : Utilisez des groupes de sécurité distincts pour différents services ou environnements, tels que le développement, les tests et la production. Appliquez le principe du moindre privilège en n'ouvrant que les ports et les adresses IP source nécessaires.
Optimisation des coûts : Téléchargez les ressources vers OSS dans la même région et montez le volume OSS lors du déploiement. Cela permet d'éviter les coûts liés au trafic sur le réseau public.

FAQ

Q : Pourquoi les services EAS ne peuvent-ils pas accéder à Internet public par défaut ?

Par défaut, les services EAS s'exécutent dans un environnement isolé sans accès à Internet public afin de garantir la sécurité et la stabilité. Une sortie publique non restreinte dans un environnement partagé peut entraîner une utilisation abusive de la bande passante et des performances imprévisibles. Pour activer l'accès à Internet public, configurez un VPC et une passerelle NAT.

Q : Comment tester rapidement la connectivité à Internet public ?

Dans la configuration de votre service, vous pouvez ajouter une commande de test réseau au champ Command, par exemple curl -I -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/120.0.0.0" --connect-timeout 5 https://www.aliyun.com.

Après le déploiement, vérifiez le journal en temps réel de l'instance. Si vous voyez un code d'état tel que 200, cela confirme que l'accès à Internet public fonctionne.

Q : Pourquoi mon service ne peut-il pas accéder aux autres ressources du VPC après la configuration du VPC ?

Suivez ces étapes pour résoudre le problème :

Configuration du VPC : Confirmez que le service EAS et le service cible se trouvent dans le même VPC.
Règles du groupe de sécurité : Confirmez que les règles sortantes du groupe de sécurité associé au service EAS autorisent le trafic vers le service cible.
Contrôle d'accès du service cible : Si le service cible utilise une liste d'autorisation d'adresses IP ou un groupe de sécurité pour restreindre l'accès, assurez-vous d'avoir ajouté le bloc CIDR du vSwitch ou l'ID du groupe de sécurité du service EAS à la liste d'autorisation.

Q : Pourquoi n'y a-t-il pas d'accès à Internet public après la configuration de la passerelle NAT ?

Suivez ces étapes pour résoudre le problème :

Règles SNAT : Confirmez que le vSwitch spécifié dans l'entrée SNAT correspond à celui utilisé pour le déploiement du service EAS. Dans la console Internet NAT Gateway, accédez à l'onglet SNAT management. Vérifiez trois conditions : la liste des entrées SNAT contient une entrée avec un bloc CIDR source de 0.0.0.0/0 ; la colonne ECS/ENI/vSwitch/VPC ID est associée à votre instance cible ; et le statut est Available.
Table de routage du VPC : Dans la console VPC, vérifiez la table de routage pour confirmer qu'elle contient une route vers 0.0.0.0/0 avec le saut suivant pointant vers la passerelle NAT.
Règles sortantes du groupe de sécurité : Confirmez que les règles sortantes du groupe de sécurité du service EAS autorisent tout le trafic public. La règle par défaut autorise le trafic vers 0.0.0.0/0.