Accéder aux services d'une instance via le réseau public - Platform For AI

Data Science Workshop (DSW) peut exposer sur le réseau public les services s'exécutant au sein d'une instance, tels que les API de modèles et les interfaces web. Vous pouvez ainsi accéder directement à ces services depuis un navigateur ou les partager avec des collaborateurs à des fins de test. Cette fonctionnalité repose sur les ressources NAT Gateway et Elastic IP Address (EIP) et est destinée aux environnements de développement et de test.

Remarques importantes

Des coûts supplémentaires s'appliquent : L'accès au réseau public nécessite une NAT Gateway et une Elastic IP Address (EIP), qui sont facturées séparément.
Types d'instances pris en charge : Vous pouvez configurer l'accès au réseau public pour les instances du groupe de ressources public dont le type ne commence pas par ecs.ebm, ainsi que pour les instances de calcul intelligent Lingjun. Chaque instance prend en charge un maximum de 5 services personnalisés.
Arrêt des services personnalisés lors de l'arrêt de l'instance DSW : Lorsque l'instance DSW s'arrête, les services qu'elle héberge et leur accès au réseau public deviennent indisponibles.
Utilisez PAI-EAS pour les environnements de production : Pour des services stables, hautement disponibles et prenant en charge la mise à l'échelle élastique, déployez vos modèles sur PAI-EAS (Elastic Algorithm Service).

Fonctionnement

Pour rendre un service interne à une instance DSW accessible depuis le réseau public (par exemple, une API écoutant sur le port 9000), les ressources suivantes interviennent :

EIP : Fournit une adresse IP publique fixe (121.40.**.**). Il s'agit du point d'entrée pour l'accès au réseau public.
NAT Gateway : Réside dans votre Virtual Private Cloud (VPC) et mappe les requêtes provenant du réseau public (EIP:port) vers l'instance DSW sur le réseau privé (private IP:port).
Groupe de sécurité : Contrôle le trafic vers l'instance DSW à la manière d'un pare-feu. Vous devez ajouter explicitement des règles autorisant le trafic public sur le port écouté par votre service, tel que 9000. Cette étape est cruciale pour garantir un accès réussi.

Flux principal : Utilisateur externe (navigateur/outil) -> EIP:port -> NAT Gateway -> vSwitch -> vérification des règles du groupe de sécurité -> IP privée de l'instance DSW:port -> votre service

Facturation

La facturation de la NAT Gateway et de l'EIP débute dès la création des ressources.
Même si l'instance DSW est arrêtée, les frais continuent de s'accumuler tant que la NAT Gateway et l'EIP ne sont pas supprimées.
L'instance DSW elle-même est facturée en fonction de son état. Les instances en paiement à l'utilisation cessent de générer des frais après leur arrêt.

Configurer l'accès au réseau public

Configurer l'accès au réseau public lors de la création d'une instance DSW

Créez une instance DSW et configurez les paramètres réseau clés suivants.
- Dans la section Network Information, sélectionnez votre VPC et votre groupe de sécurité. Pour créer ces ressources, suivez les étapes décrites dans cette section. Pour plus d'informations, reportez-vous aux rubriques Créer un VPC et un vSwitch et Créer un groupe de sécurité. Le VPC et le groupe de sécurité doivent se trouver dans la même région que l'instance DSW.
  
  Étapes pour créer un VPC, un vSwitch et un groupe de sécurité
  1. Sur la page de configuration DSW, cliquez sur Create VPC.
    
    Configurez le nom du VPC, le bloc CIDR IPv4 et les informations du vSwitch. Conservez les valeurs par défaut pour les autres paramètres, puis cliquez sur OK pour créer le VPC et le vSwitch.
  2. Revenez à la page de configuration DSW. Dans VPC Settings, sélectionnez le VPC que vous venez de créer.
  3. Cliquez sur Create Security Group. Conservez les paramètres par défaut et cliquez sur Create. Revenez ensuite à la page de configuration DSW et définissez Security Group ID sur le groupe de sécurité que vous venez de créer.
    
    Assurez-vous que le groupe de sécurité autorise l'accès entrant sur le port 22.
- Repérez Service Access and Port Configuration et cliquez sur Add. Pour créer une NAT Gateway et une EIP, reportez-vous aux étapes suivantes. La NAT Gateway et l'EIP doivent se trouver dans la même région que l'instance DSW.
- Saisissez le Service Name et le Listener Port (par exemple, 9000).
- Sélectionnez Access over Internet et définissez le Internet Access Port (par exemple, 9000).
- Cliquez sur DNAT+EIP, puis sélectionnez votre NAT Gateway et votre EIP.
  
  Étapes pour créer une NAT Gateway et une EIP
  1. Cliquez sur Create NAT Gateway.
    
    Sur la page de création de la NAT Gateway, configurez les paramètres ou conservez les valeurs par défaut, puis cliquez sur Create EIP.
  2. Sur la page de création de l'EIP, configurez les paramètres ou conservez les valeurs par défaut, puis cliquez sur Buy Now.
  3. Revenez à la page de création de la NAT Gateway. Dans Elastic IP Address Instance, sélectionnez l'EIP que vous venez de créer, puis cliquez sur Buy Now pour créer la NAT Gateway.
  Vous pouvez également utiliser un Network Load Balancer (NLB). Lors de la création du NLB, définissez Instance Network Type sur Public et sélectionnez le même VPC que celui de l'instance DSW. Pour plus d'informations, reportez-vous à la rubrique Network Load Balancer.
  
  Remarque
  Si plusieurs instances DSW partagent la même entrée DNAT et la même EIP (ou NLB), utilisez des ports différents pour l'accès public.
Ajoutez une règle entrante pour le port d'écoute au groupe de sécurité que vous avez sélectionné. Les paramètres clés sont les suivants. Pour plus d'informations, reportez-vous à la rubrique Ajouter une règle de groupe de sécurité.
- Authorization Policy : Allow
- Protocol Type : Sélectionnez le protocole utilisé par votre service, tel que TCP.
- Port Range : Saisissez le port d'écoute configuré, par exemple 9000/9000.
- Authorization Object : 0.0.0.0/0 (autorise l'accès depuis toutes les adresses IP publiques ; réservé aux tests) ou une plage d'IP restreinte selon vos besoins. Pour les environnements de production, restreignez strictement les adresses IP sources.
  
  Une fois la règle ajoutée, la liste des règles inbound du groupe de sécurité affiche une règle avec le protocole Custom TCP, la plage de ports 9000/9000 et la source 0.0.0.0/0.

Configurer l'accès au réseau public pour une instance DSW existante

Pour une instance DSW existante, vous pouvez modifier la configuration d'accès au réseau public de l'une des manières suivantes :

Remarque : Pour ajouter ou modifier des ressources telles que le VPC ou la NAT Gateway, vous devez toujours utiliser Change Settings puis redémarrer l'instance.

Configurer sur la page des détails de l'instance

Sur la page de liste des instances DSW, cliquez sur le nom de l'instance pour accéder à la page des détails et modifier la configuration d'accès au réseau public.

Dans la section Access Configurations de la page des détails, repérez la ligne Custom Service et cliquez sur Modify Configuration pour configurer l'accès au réseau public. Si vous devez ouvrir un port pendant la configuration, récupérez l'Security Group ID dans la section Network Configuration (par exemple, sg-bp1g37d4lmajq...), puis accédez au groupe de sécurité pour ajouter la règle correspondante.

Configurer depuis l'instance DSW

Dans l'environnement de développement DSW, cliquez sur Change Settings en haut de la page pour modifier les services personnalisés.

Dans le volet de navigation de gauche, cliquez sur Access Configurations. La section des services personnalisés affiche les services configurés (par exemple, un service nommé gradio avec le port d'écoute 9000) ainsi que leurs URL d'accès public et leur état de configuration. Cliquez sur Modify Configuration pour éditer les services personnalisés.

Dans le volet de navigation de gauche, cliquez sur Network. Dans les informations de configuration réseau à droite, repérez l'Security Group ID (par exemple, sg-bp1g37d4lmajugsicmz2) et notez-le pour la configuration des règles du groupe de sécurité.

Tester la connectivité

Dans le terminal DSW, exécutez les commandes suivantes pour démarrer le serveur HTTP intégré de Python :

# Create an HTML file that contains test content
echo 'Hello, World!' > index.html
# Start the Python built-in HTTP server (listening on port 9000)
python -m http.server 9000 --bind 0.0.0.0

Sur la page des détails de l'instance, consultez Access Configurations pour obtenir les URL d'accès.

Le tableau de la section Access Configurations contient deux colonnes d'adresses : VPC Access et Public Access. Lorsque l'état de la configuration est Ready, l'URL d'accès correspondante est disponible.

Pour l'accès au réseau public, copiez l'URL d'accès public 121.40.**.**:9000 et ouvrez-la dans un navigateur. Si Hello, World! s'affiche, le service est accessible via le réseau public.

Application en production

Réservé au développement et aux tests : La fonctionnalité d'accès au réseau public de DSW est conçue pour des tests temporaires et le débogage collaboratif.
Déployez les services de production sur PAI-EAS : Déployez les services d'inférence sur PAI-EAS pour une utilisation en production. PAI-EAS offre les capacités suivantes :
- Haute disponibilité et équilibrage de charge.
- Mise à l'échelle élastique automatique pour gérer les fluctuations du trafic.
- Surveillance et alertes complètes, gestion des versions et déploiements canaris.
- Accès au réseau public optimisé et modèles de facturation adaptés. Pour plus d'informations, reportez-vous à la rubrique PAI-EAS.
Réduire les coûts :
- Après l'arrêt de l'instance DSW : L'instance DSW elle-même (paiement à l'utilisation) cesse de générer des frais. Cependant, la NAT Gateway et l'EIP continuent de générer des frais tant qu'elles existent.
- Lorsque vous n'avez plus besoin de l'accès au réseau public : Si vous êtes certain de ne plus en avoir besoin, supprimez la NAT Gateway et l'EIP pour arrêter la facturation associée. Vous pouvez les supprimer depuis la console VPC et la console EIP.

FAQ

Q : J'ai configuré l'accès au réseau public, mais l'accès via le navigateur ou les connexions externes échouent (This site can't be reached, Connection refused ou délai d'attente expiré). Que faire ?

Étape 1 : Vérifiez les règles du groupe de sécurité (cause la plus fréquente)
- Assurez-vous qu'une règle inbound a été ajoutée au groupe de sécurité.
- Vérifiez que la Port Range de la règle inclut le port configuré, par exemple 9000.
- Vérifiez que l'Authorization Object de la règle inclut votre adresse IP publique ou 0.0.0.0/0.
- Vérifiez que le Protocol Type de la règle (TCP/UDP) est correct.
Étape 2 : Assurez-vous que le service est en cours d'exécution et écoute sur le bon port
- Dans le terminal de l'instance DSW, exécutez netstat -tunlp | grep <port> (par exemple, netstat -tunlp | grep 9000) pour vérifier si un processus écoute sur le port.
- Assurez-vous que le processus de l'application est démarré et écoute sur le port configuré.
Étape 3 : Vérifiez l'état de la NAT Gateway et de l'EIP
- Dans la console VPC, assurez-vous que la NAT Gateway est à l'état Running.
- Dans la console EIP, assurez-vous que l'EIP associée est à l'état Associated et que le compte n'a aucun impayé.
Étape 4 : Test local : Depuis l'instance DSW, exécutez curl http://localhost:<port> ou curl http://<instance private IP>:<port> pour vérifier si le service répond.
Étape 5 : Utilisez des outils de diagnostic réseau :
- Alibaba Cloud VPC propose le Network Intelligence Service (NIS) pour vous aider à résoudre les problèmes de chemin (le NIS doit être activé au préalable).
- Depuis l'instance DSW, exécutez telnet <EIP> <port> pour tester la connectivité du port (installez d'abord telnet).

Q : Que faire si l'interface web affiche « disconnected (1006): no reason » ?

Ce message indique que la connexion WebSocket entre le navigateur et le service interne à l'instance a été fermée de manière inattendue. Assurez-vous d'abord que l'instance DSW fonctionne normalement, puis résolvez les problèmes liés au chemin d'accès au réseau public.

Étape 1 : Vérifiez l'état de l'instance DSW
- Sur la page de liste des instances DSW dans la console Platform for AI (PAI), repérez l'instance cible et vérifiez si son état est Running.
Étape 2 : Redémarrez l'instance en cas d'anomalie
- Si l'instance se trouve dans un état autre que Running, tel que Stopped ou Failed, cliquez sur Start dans la colonne Actions, ou appelez l'opération API DSW StartInstance pour démarrer l'instance.
- Une fois que l'instance revient à l'état Running, rouvrez l'interface web pour rétablir l'accès.
Étape 3 : Si l'état de l'instance est normal mais que l'erreur persiste, résolvez les problèmes liés au chemin d'accès au réseau public : Suivez les étapes de dépannage de la question précédente. Vérifiez dans l'ordre les éléments suivants : les règles inbound du groupe de sécurité, l'écoute du service sur le port configuré, ainsi que l'état de la NAT Gateway et de l'EIP.

Important

N'exécutez pas ps aux | grep gateway au sein de l'instance DSW pour rechercher ou redémarrer le processus de passerelle. La passerelle DSW est un service côté plateforme de PAI (elle correspond à des noms de domaine de plateforme tels que dsw-gateway-<region>.data.aliyun.com) et ne s'exécute pas au sein de l'instance DSW. Par conséquent, vous ne pouvez ni trouver le processus à l'intérieur de l'instance, ni le redémarrer depuis celle-ci. Les processus gérés par supervisord au sein d'une instance DSW incluent dsw-agent, dsw-manager, jupyter-lab et web-terminal, qui écoutent respectivement sur les ports 8888, 8887, 8088 et 8090.

Q : La configuration d'accès au réseau public continue-t-elle d'engendrer des frais après l'arrêt de DSW ?

Oui. Après l'arrêt de l'instance DSW, l'instance elle-même (paiement à l'utilisation) ne génère plus de frais. Cependant, la NAT Gateway et l'EIP associées continuent d'engendrer des frais indépendants tant qu'elles ne sont pas supprimées. Supprimez-les manuellement pour réduire les coûts.

Q : Une seule EIP peut-elle mapper plusieurs ports ?

Oui. Plusieurs ports de service configurés sur la même instance DSW (jusqu'à 5) sont tous mappés via la même EIP et la même NAT Gateway pour l'accès. Utilisez EIP:<port> pour accéder à chaque service.

Q : Pourquoi ne puis-je pas trouver le VPC ou la NAT Gateway que j'ai créés dans la liste déroulante ?

La cause la plus fréquente est une incompatibilité de région. Dans le coin supérieur gauche de la page DSW, vérifiez si la région actuelle correspond à celle du VPC ou de la NAT Gateway. DSW ne peut utiliser que des VPC et des NAT Gateway situés dans la même région.
La liste déroulante n'est pas actualisée. Si le VPC ou la NAT Gateway vient d'être créé(e), attendez que la ressource soit créée, puis cliquez sur le bouton d'actualisation sur la page de configuration DSW pour recharger la liste.