PrivateLink:How it works

Fournisseur de services

En tant que propriétaire du service, un fournisseur de services utilise des ressources Alibaba Cloud pour créer et proposer un endpoint service aux consommateurs de services. Ces derniers accèdent au service via un endpoint associé à cet endpoint service.

• Ressources de service : un endpoint service peut utiliser des équilibreurs de charge déployés sur plusieurs zones de disponibilité en tant que ressources de service. Les types de ressources de service pris en charge incluent Network Load Balancer (NLB), Application Load Balancer (ALB), Classic Load Balancer (CLB) et Gateway Load Balancer (GWLB).

• Nom de l'endpoint service : il s'agit de l'identifiant unique d'un endpoint service. Un consommateur de service utilise ce nom pour spécifier le service cible lors de la création d'un endpoint.

• Liste d'autorisation du service : un endpoint service n'est pas visible par tous les consommateurs de services par défaut. Si un fournisseur de services souhaite autoriser un VPC appartenant à un autre compte Alibaba Cloud à accéder à l'endpoint service, il doit ajouter l'ID de ce compte à la liste d'autorisation du service.

  Une fois l'endpoint service créé, le compte du fournisseur de services est automatiquement ajouté à la liste d'autorisation du service.

• Statut de l'endpoint service : Création, Modification, Disponible ou Suppression.

Consommateur de services

Un consommateur de services crée un endpoint pour accéder à un endpoint service depuis un VPC ou un centre de données sur site.

• Type d'endpoint : le consommateur de services crée un endpoint d'un type spécifique en fonction de l'endpoint service auquel il souhaite accéder.

  Un gateway endpoint ne repose pas sur PrivateLink. Il agit comme une passerelle virtuelle permettant à un VPC d'accéder à certains services cloud, en utilisant l'espace d'adresses réservé 100.64.0.0/10 et des politiques d'endpoint pour un accès plus sécurisé. Actuellement, Object Storage Service (OSS) est le seul service cloud prenant en charge les gateway endpoints.

  • Interface endpoint : un consommateur de services utilise un interface endpoint pour accéder à un endpoint service dont les ressources sont des instances NLB, CLB ou ALB.

  • Gateway Load Balancer endpoint : un consommateur de services utilise un Gateway Load Balancer endpoint pour accéder à un endpoint service qui utilise une instance GWLB comme ressource de service. Un Gateway Load Balancer endpoint peut être configuré comme saut suivant dans une table de routage VPC pour diriger le trafic.

  • Reverse endpoint : cela permet à un fournisseur de services d'initier l'accès aux services cloud au sein du VPC du consommateur de services. Ce dernier peut restreindre la portée de l'accès en configurant un groupe de sécurité sur le reverse endpoint. Les reverse endpoints peuvent se connecter uniquement aux endpoint services destinés aux services Alibaba Cloud.

• Zone de disponibilité de l'endpoint : lorsqu'un consommateur de services crée un endpoint, PrivateLink crée une interface réseau élastique (ENI) dans la zone de disponibilité de l'endpoint spécifiée pour servir de point d'entrée local au service.

• Politique d'endpoint : vous pouvez configurer une politique d'endpoint pour un interface endpoint uniquement lorsque vous l'utilisez pour accéder à un service Alibaba Cloud. Par défaut, tout utilisateur ou service au sein du VPC disposant d'identifiants de compte Alibaba Cloud valides peut accéder à n'importe quelle ressource du service correspondant.

• Statut de l'endpoint : Création, Modification, Disponible ou Suppression.

Connexion d'endpoint

Lorsqu'un consommateur de services crée un endpoint, l'endpoint service du fournisseur reçoit une demande de connexion. Une fois que le fournisseur accepte la demande, une connexion d'endpoint est établie entre l'endpoint et l'endpoint service.

Une connexion d'endpoint peut avoir l'un des statuts suivants : Connexion en cours, Connecté, Déconnexion en cours, Déconnecté, Modification, Suppression ou Service supprimé.

Une connexion peut se trouver à l'état Déconnecté pour les raisons suivantes :

• L'endpoint service n'est pas configuré pour accepter automatiquement les connexions. Après la création de l'endpoint, son statut est Déconnecté.

• L'endpoint service a rejeté la demande de connexion de l'endpoint, ou le service n'a pas encore approuvé la connexion.

• L'endpoint présente un impayé.

• L'endpoint service présente un impayé.

Nom de domaine de l'endpoint service

Lorsqu'un consommateur de services crée un interface endpoint, Alibaba Cloud génère des noms de domaine de service régionaux et zonaux pour la connexion au service :

• Nom de domaine de l'endpoint service : endpoint_id.endpoint_service_id.service_region.privatelink.aliyuncs.com

  • endpoint_id : ID de l'endpoint, généré automatiquement après sa création.

  • endpoint_service_id : ID de l'endpoint service.

  • service_region : ID de la région où se trouve le service, par exemple cn-hangzhou.

  • privatelink.aliyuncs.com: suffixe de domaine fixe.

• Nom de domaine zonal : endpoint_id-endpoint_zone.endpoint_service_id.service_region.privatelink.aliyuncs.com

  • endpoint_zone : ID de la zone de disponibilité de l'endpoint, par exemple cn-hangzhou-j.

  • -: trait d'union séparant l'ID de l'endpoint et l'ID de la zone de disponibilité.

Lorsque vous accédez aux services Alibaba Cloud dans un VPC, vous utilisez généralement un nom de domaine de service spécifique. Si le service est configuré avec un nom de domaine de service personnalisé, vous pouvez l'activer pour l'interface endpoint que vous créez. Cela vous permet de continuer à utiliser ce nom de domaine pour accéder au service via PrivateLink, sans avoir à modifier l'adresse de service de votre application.

Un nom de domaine de service personnalisé n'est effectif qu'au sein du VPC où se trouve l'interface endpoint. Seul ce VPC peut résoudre le nom de domaine en une adresse IP privée. Les autres VPC et centres de données sur site peuvent utiliser le nom de domaine de service personnalisé pour accéder au service après s'être connectés au VPC de l'endpoint et avoir configuré la résolution DNS.

Versions IP

Un fournisseur de services peut proposer un endpoint service à un consommateur de services en utilisant IPv4 ou une pile double (dual-stack).

• La pile double ne peut être sélectionnée que si toutes les ressources de service associées à l'endpoint service prennent en charge la pile double.

• Si un endpoint service prend en charge la pile double, un consommateur de services peut créer un endpoint dual-stack. Cela permet aux clients d'accéder au service en utilisant à la fois IPv4 et IPv6.

1. Le fournisseur de services configure les ressources de service de l'endpoint service sur plusieurs zones de disponibilité.

   • Si les ressources de service sont des instances NLB ou ALB, ajoutez des instances réparties sur plusieurs zones de disponibilité.

   • Si la ressource de service est une instance CLB, ajoutez plusieurs instances avec différentes zones de disponibilité principales.

2. Lors de la création d'un interface endpoint, le consommateur de services sélectionne des vSwitches dans au moins deux zones de disponibilité.

3. Le consommateur de services utilise le nom de domaine de l'endpoint pour accéder au service. Alibaba Cloud fournit des contrôles de santé entièrement gérés pour basculer rapidement vers d'autres zones de disponibilité en cas de panne :

   • Le système surveille en continu l'état des adresses IP des ENI dans les différentes zones de disponibilité de l'endpoint. Si le système détecte une anomalie, il supprime l'enregistrement DNS correspondant pour éviter les interruptions de service ou la perte de données.

   • Une fois le problème résolu, le système restaure automatiquement l'enregistrement DNS.

Performances élastiques

PrivateLink prend en charge la mise à l'échelle automatique :

• Il offre une mise à l'échelle automatique au niveau de la zone de disponibilité. La bande passante prise en charge par chaque endpoint dans chaque zone de disponibilité augmente automatiquement avec la croissance de l'activité.

• Il fournit des limites élastiques spécifiques en fonction du type d'endpoint et du type de ressource de service.

• La métrique de bande passante élastique reflète uniquement la capacité des ENI dans les zones de disponibilité de l'endpoint. La capacité réelle de bout en bout dépend du type de ressource de service backend et de la capacité de traitement de l'application.

Si votre application nécessite un débit plus élevé, contactez votre gestionnaire de compte.

Bande passante élastique et limitation du débit

• Bande passante élastique : capacité de mise à l'échelle automatique du système au niveau de la zone de disponibilité. Elle représente la bande passante maximale qu'un endpoint peut prendre en charge dans chaque zone de disponibilité sans configuration manuelle.

• Limitation du débit (throttling) : politique de contrôle du trafic configurée par le fournisseur de services pour une connexion d'endpoint afin d'éviter la surcharge des ressources de service backend. Le fournisseur de services peut définir différentes valeurs de limitation pour différentes connexions d'endpoint.

  • Mécanisme d'héritage : lorsque le fournisseur de services définit une valeur de limitation pour une connexion d'endpoint, les ENI de l'endpoint dans chaque zone de disponibilité héritent et appliquent automatiquement cette valeur, permettant un contrôle précis du trafic.

  • Comment consulter :

    • Appelez GetVpcEndpointAttribute et vérifiez les informations Bandwidth dans la réponse.

    • Sur la page des détails de l'endpoint, consultez Bandwidth Limit dans la section Informations de base.

Limites de performance par flux unique

Pour garantir les performances et la stabilité, PrivateLink utilise une architecture de cluster distribuée à haute fiabilité dans chaque zone de disponibilité de l'endpoint. Le trafic est réparti uniformément sur plusieurs appareils du cluster pour le transfert. Par conséquent, la bande passante d'un flux unique est limitée par les performances d'un seul appareil. La métrique de bande passante élastique et la valeur de limitation ne peuvent atteindre leurs limites maximales que lorsque plusieurs flux sont utilisés.

De plus, PrivateLink est une connexion de réseau privé de bout en bout. La capacité réelle de bout en bout dépend également du type de ressource de service backend et de la capacité de traitement de l'application. De plus, comme les politiques de limitation sont appliquées indépendamment sur chaque appareil, la valeur de limitation réelle peut dépasser la limite configurée. Nous vous recommandons d'effectuer des tests de charge et de configurer la surveillance en fonction des besoins de votre activité. Lorsque les performances dépassent la métrique maximale, votre trafic professionnel peut subir des pertes de paquets.