Virtual Private Cloud:VPC peering connection

Connecter trois VPC

Lorsque vous configurez les routes pour l'appairage de VPC, vous disposez des options suivantes :

• Définissez le bloc CIDR de destination sur le bloc CIDR du VPC appairé. Cette approche permet à toutes les instances des deux VPC de communiquer entre elles et simplifie la gestion.

• Configurez des routes plus spécifiques en définissant le bloc CIDR de destination sur le bloc CIDR d'un vSwitch dans le VPC appairé ou sur l'adresse IP d'une instance spécifique. Cette méthode renforce la sécurité, mais nécessite une mise à jour manuelle de la table de routage lorsque de nouvelles instances doivent communiquer.

Par exemple, les routes dans le VPC1 pointent vers le bloc CIDR du vSwitch 3 dans le VPC2 et vers l'instance ECS ECS04 dans le VPC3. Par conséquent, les ressources du VPC1 ne peuvent communiquer en privé qu'avec les ressources du vSwitch 3 et l'instance ECS04. En revanche, les routes dans les VPC2 et VPC3 pointent vers les blocs CIDR de leurs VPC appairés, permettant une communication complète entre leurs ressources.

Migrer depuis CEN vers une connexion d'appairage de VPC

Basculez la communication réseau privé entre deux VPC depuis Cloud Enterprise Network (CEN) vers une connexion d'appairage de VPC. Utilisez cet exemple lorsque seule une connectivité par paire entre les deux VPC est requise et que vous souhaitez une topologie plus simple à moindre coût. Dans un scénario intercomptes, chaque compte effectue les opérations pour son propre VPC.

Connecter plusieurs VPC à un VPC central

Par exemple, les VPC succursales peuvent accéder aux services déployés dans le VPC central, mais les VPC succursales ne peuvent pas communiquer entre eux. Les scénarios typiques incluent :

• Isolation multi-départements : les VPC de différents départements métier ne peuvent pas communiquer entre eux, mais doivent accéder aux services partagés dans le VPC central.

• Isolation multi-utilisateurs : les services sont déployés dans un VPC dédié pour plusieurs utilisateurs. Le VPC de chaque utilisateur peut communiquer avec le VPC de service, mais les VPC des différents utilisateurs ne peuvent pas communiquer entre eux.

Clé de condition

Lors de l'autorisation, RAM recherche le répertoire de ressources du compte pair en fonction de AcceptingAliUid (lors de la création d'une connexion d'appairage) ou de RequestingAliUid (lors de l'acceptation d'une connexion d'appairage), et injecte les clés de condition suivantes dans le contexte d'autorisation pour les faire correspondre aux conditions de votre politique personnalisée.

Contraintes d'utilisation :

Seules les opérations vpc:CreateVpcPeerConnection et vpc:AcceptVpcPeerConnection injectent les clés de condition ci-dessus. Les autres opérations sur les connexions d'appairage, telles que la requête, la modification et la suppression, ne sont pas affectées.

Lorsqu'une demande est refusée par la politique, le code d'erreur Forbidden.NoPermission est renvoyé avec NoPermissionType défini sur ExplicitDeny . Vous pouvez utiliser le RequestId pour tracer la correspondance de la politique dans ActionTrail .

Sélectionner une politique de restriction

Lors de la configuration des politiques, remplacez l'ID du répertoire de ressources, le chemin ou l'ID de compte dans les exemples par les valeurs réelles de votre organisation. Vous pouvez trouver l'ID et le chemin du répertoire de ressources dans la console Resource Management .

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "acs:TargetRDId": ["rd-xxxxxx"]
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotLike": {
          "acs:TargetRDPath": ["rd-xxxxxx/r-xxxxxx/fd-xxxxxx/*"]
        }
      }
    }
  ]
}

Créer et attacher la politique

Les connexions d'appairage transfrontalières sont-elles prises en charge ?

Oui. La connectivité transfrontalière et non transfrontalière est prise en charge.

• Non transfrontalière : Connecte deux régions en Chine continentale, ou deux régions hors de Chine continentale.

• Transfrontalière : Connecte une région en Chine continentale à une région hors de Chine continentale.Assurez-vous que votre compte a terminé la vérification d'identité professionnelle.

Impossible de sélectionner le VPC cible

Vérifiez que la région et le compte sélectionnés correspondent à la Region et au Owner du VPC cible.

La région du demandeur s'affiche en haut de la page ; le compte actuel est celui du demandeur. Vous spécifiez le compte et la région de l'accepteur lors de la création de la connexion d'appairage.

Échec de communication entre une instance ECS et Docker

Si vos configurations de routage et de groupe de sécurité sont correctes, le problème provient probablement d'un conflit entre le bloc CIDR de l'interface réseau Docker et le bloc CIDR de destination. Exécutez ip addr pour vérifier si l'adresse de l'interface réseau Docker entre en conflit avec le bloc CIDR de destination.

En cas de conflit, suivez les étapes ci-dessous pour modifier le bloc CIDR Docker.

• L'arrêt du service Docker ou la modification de son bloc CIDR interrompt vos charges de travail. Nous vous recommandons d'effectuer cette opération pendant les heures creuses.

• Lorsque vous modifiez le bloc CIDR Docker, assurez-vous qu'il reste compatible avec les paramètres réseau des conteneurs et applications existants afin d'éviter tout problème de connectivité.

1. Exécutez sudo systemctl stop docker pour arrêter le service Docker.

2. Exécutez sudo vim /etc/docker/daemon.json pour modifier le fichier de configuration Docker. Ajoutez le contenu suivant au fichier, puis enregistrez vos modifications :

   Le fichier de configuration Docker se trouve généralement à l'emplacement /etc/docker/daemon.json ou /etc/docker/daemon.conf . Le nom exact du fichier peut varier.

   {
       "bip":"new Docker CIDR block"
   }

3. Exécutez sudo systemctl start docker pour démarrer le service Docker et appliquer les modifications.

Un utilisateur RAM reçoit une erreur d'autorisation CDT lors de la création d'une connexion d'appairage VPC

Un utilisateur RAM dispose de l'autorisation AliyunVPCFullAccess, mais reçoit une erreur indiquant que l'autorisation cdt:GetCdtServiceStatus est manquante lors de la création d'une connexion d'appairage VPC. Cela s'explique par le fait que les connexions d'appairage VPC dépendent du service Cloud Data Transfer (CDT) et nécessitent des appels aux API liées à CDT. Les autorisations VPC seules ne suffisent pas.

Accordez à l'utilisateur RAM l'une des autorisations suivantes :

• AliyunCDTFullAccess : accès complet à CDT.

• AliyunCDTReadOnlyAccess : accès en lecture seule à CDT. Cette option convient si l'utilisateur RAM doit uniquement créer des connexions d'appairage sans gérer les ressources CDT.

Une connexion d'appairage VPC affecte-t-elle l'accès au réseau public ?

Non. Une connexion d'appairage VPC ajoute uniquement des entrées de routage privées et ne modifie pas la route par défaut. Le trafic du réseau public continue d'être acheminé via les passerelles NAT, les adresses IP élastiques et autres routes publiques existantes.

Limites

• Vous ne pouvez pas créer de connexion d'appairage VPC dans les scénarios suivants :

  • Les deux VPC appartiennent à des comptes situés sur différents sites Alibaba Cloud, par exemple un compte sur le site Alibaba Cloud China et un autre sur le site Alibaba Cloud International.

• Une connexion d'appairage VPC ne prend pas en charge le routage transitif.

  Par exemple, si le VPC 1 est connecté au VPC 2 et au VPC 3 via des connexions d'appairage VPC distinctes, le VPC 2 et le VPC 3 ne peuvent pas communiquer entre eux via le VPC 1.

  Pour permettre la communication entre le VPC 2 et le VPC 3, vous devez créer une connexion d'appairage distincte entre eux et configurer des routes bidirectionnelles.

  

• Lorsqu'un VPC est partagé entre plusieurs comptes, seul le propriétaire de la ressource peut créer, modifier ou supprimer une connexion d'appairage VPC. Les utilisateurs de la ressource ne peuvent pas effectuer ces actions.

Facturation

Les connexions d'appairage VPC intra-région sont gratuites, que les VPC appartiennent ou non au même compte.

Pour les connexions d'appairage VPC inter-régions, Cloud Data Transfer (CDT) facture des frais de transfert de données en fonction du trafic sortant.

• Le prix unitaire dépend de la paire de régions et du type de lien. Des types de lien Platinum et Gold sont disponibles, offrant différents niveaux de service.

• Le cycle de facturation est horaire. Si vous changez de type de lien au cours d'un cycle de facturation, le tarif correspondant au niveau de service supérieur s'applique pour l'intégralité de ce cycle.

Cycle de vie d'une connexion d'appairage VPC

Après l'envoi d'une demande de création par le demandeur, une connexion d'appairage VPC traverse plusieurs états.

Si vous créez une connexion d'appairage VPC au sein du même compte, le système initie et accepte automatiquement la demande, et la connexion passe à l'état Activated.

Régions prises en charge

Quotas