Virtual Private Cloud:VPC peering connection

Connecter trois VPC

Lorsque vous configurez les routes pour une connexion d'appairage VPC, vous disposez des options suivantes :

• Définissez le bloc CIDR de destination sur le bloc CIDR du VPC pair. Cette approche permet à toutes les instances des deux VPC de communiquer entre elles et simplifie la gestion.

• Configurez des routes plus spécifiques en définissant le bloc CIDR de destination sur le bloc CIDR d'un vSwitch dans le VPC pair ou sur l'adresse IP d'une instance spécifique. Cette méthode renforce la sécurité, mais nécessite une mise à jour manuelle de la table de routage lorsque de nouvelles instances doivent communiquer.

Par exemple, les routes dans VPC1 pointent vers le bloc CIDR du vSwitch 3 dans VPC2 et vers l'instance ECS ECS04 dans VPC3. Par conséquent, les ressources dans VPC1 ne peuvent communiquer en privé qu'avec les ressources du vSwitch 3 et avec ECS04. En revanche, les routes dans VPC2 et VPC3 pointent vers les blocs CIDR de leurs VPC pairs, permettant une communication complète entre leurs ressources.

Migrer depuis CEN vers une connexion d'appairage VPC

Basculez la communication réseau privé entre deux VPC depuis Cloud Enterprise Network (CEN) vers une connexion d'appairage VPC. Utilisez cet exemple lorsque seule une connectivité par paire entre les deux VPC est requise et que vous souhaitez une topologie plus simple à moindre coût. Dans un scénario inter-comptes, chaque compte effectue les opérations pour son propre VPC.

Connecter plusieurs VPC à un VPC central

Par exemple, les VPC succursales peuvent accéder aux services déployés dans le VPC central, mais les VPC succursales ne peuvent pas communiquer entre eux. Les scénarios typiques incluent :

• Isolation multi-départements : les VPC de différents départements métier ne peuvent pas communiquer entre eux, mais doivent accéder aux services partagés dans le VPC central.

• Isolation multi-utilisateurs : les services sont déployés dans un VPC dédié pour plusieurs utilisateurs. Le VPC de chaque utilisateur peut communiquer avec le VPC de service, mais les VPC des différents utilisateurs ne peuvent pas communiquer entre eux.

Clé de condition

Lors de l'autorisation, RAM recherche le répertoire de ressources du compte pair en fonction de AcceptingAliUid (lors de la création d'une connexion d'appairage) ou de RequestingAliUid (lors de l'acceptation d'une connexion d'appairage), et injecte les clés de condition suivantes dans le contexte d'autorisation pour les faire correspondre aux conditions de votre stratégie personnalisée.

Contraintes d'utilisation :

Seules les actions vpc:CreateVpcPeerConnection et vpc:AcceptVpcPeerConnection injectent les clés de condition ci-dessus. Les autres opérations sur les connexions d'appairage, telles que la consultation, la modification et la suppression, ne sont pas affectées.

Lorsqu'une demande est refusée par la stratégie, le code d'erreur Forbidden.NoPermission est renvoyé avec NoPermissionType défini sur ExplicitDeny . Vous pouvez utiliser le RequestId pour tracer la correspondance de la stratégie dans ActionTrail .

Sélectionner une stratégie de restriction

Lors de la configuration des stratégies, remplacez l'ID du répertoire de ressources, le chemin ou l'ID de compte dans les exemples par les valeurs réelles de votre organisation. Vous pouvez trouver l'ID et le chemin du répertoire de ressources dans la console Resource Management .

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "acs:TargetRDId": ["rd-xxxxxx"]
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotLike": {
          "acs:TargetRDPath": ["rd-xxxxxx/r-xxxxxx/fd-xxxxxx/*"]
        }
      }
    }
  ]
}

Créer et attacher la stratégie

Les connexions d'appairage transfrontalières sont-elles prises en charge ?

Oui. La connectivité non transfrontalière et transfrontalière est prise en charge.

• Non transfrontalière : connecte deux régions en Chine continentale, ou deux régions hors de Chine continentale.

• Transfrontalière : connecte une région en Chine continentale à une région hors de Chine continentale. Assurez-vous que votre compte a effectué la vérification d'identité professionnellevérification d'identité professionnelle.

Impossible de sélectionner le VPC cible

Vérifiez que la région et le compte sélectionnés correspondent à la Region et au Owner du VPC cible.

La région du demandeur s'affiche en haut de la page et le compte actuel correspond au demandeur. Vous spécifiez le compte et la région de l'accepteur lors de la création de la connexion d'appairage.

Échec de communication entre ECS et Docker

Si vos configurations de routage et de groupe de sécurité sont correctes, le problème provient probablement d'un conflit entre le bloc CIDR de l'interface réseau Docker et le bloc CIDR de destination. Exécutez ip addr pour vérifier si l'adresse de l'interface réseau Docker entre en conflit avec le bloc CIDR de destination.

En cas de conflit, suivez les étapes ci-dessous pour modifier le bloc CIDR Docker.

• L'arrêt du service Docker ou la modification de son bloc CIDR interrompt vos charges de travail. Nous vous recommandons d'effectuer cette opération pendant les heures creuses.

• Lorsque vous modifiez le bloc CIDR Docker, assurez-vous qu'il est compatible avec les paramètres réseau des conteneurs et applications existants afin d'éviter tout problème de connectivité potentiel.

1. Exécutez sudo systemctl stop docker pour arrêter le service Docker.

2. Exécutez sudo vim /etc/docker/daemon.json pour modifier le fichier de configuration Docker. Ajoutez le contenu suivant au fichier et enregistrez vos modifications :

   Le fichier de configuration Docker se trouve généralement à l'emplacement /etc/docker/daemon.json ou /etc/docker/daemon.conf . Le nom exact du fichier peut varier.

   {
       "bip":"new Docker CIDR block"
   }

3. Exécutez sudo systemctl start docker pour démarrer le service Docker et appliquer les modifications.

Un utilisateur RAM reçoit une erreur d'autorisation CDT lors de la création d'une connexion d'appairage VPC

Un utilisateur RAM dispose de l'autorisation AliyunVPCFullAccess, mais reçoit une erreur indiquant que l'autorisation cdt:GetCdtServiceStatus est manquante lors de la création d'une connexion d'appairage VPC. Cela s'explique par le fait que les connexions d'appairage VPC dépendent du service Cloud Data Transfer (CDT) et nécessitent des appels aux API liées à CDT. Les autorisations VPC seules ne suffisent pas.

Accordez à l'utilisateur RAM l'une des autorisations suivantes :

• AliyunCDTFullAccess : accès complet à CDT.

• AliyunCDTReadOnlyAccess : accès en lecture seule à CDT. Cette option convient si l'utilisateur RAM doit uniquement créer des connexions d'appairage sans gérer les ressources CDT.

Une connexion d'appairage VPC affecte-t-elle l'accès au réseau public ?

Non. Une connexion d'appairage VPC ajoute uniquement des entrées de routage privées et ne modifie pas la route par défaut. Le trafic du réseau public continue d'être acheminé via les passerelles NAT, les adresses IP élastiques et autres routes publiques existantes.

Limites

• Vous ne pouvez pas créer de connexion d'appairage VPC dans les scénarios suivants :

  • Les deux VPC appartiennent à des comptes hébergés sur des sites Alibaba Cloud différents, par exemple un compte sur le site Alibaba Cloud Chine et un compte sur le site Alibaba Cloud International.

• Une connexion d'appairage VPC ne prend pas en charge le routage transitif.

  Par exemple, si le VPC 1 est connecté au VPC 2 et au VPC 3 via des connexions d'appairage VPC distinctes, le VPC 2 et le VPC 3 ne peuvent pas communiquer entre eux via le VPC 1.

  Pour permettre la communication entre le VPC 2 et le VPC 3, vous devez créer une connexion d'appairage distincte entre eux et configurer des routes bidirectionnelles.

  

• Lorsqu'un VPC est partagé entre plusieurs comptes, seul le propriétaire de la ressource peut créer, modifier ou supprimer une connexion d'appairage VPC. Les utilisateurs de la ressource ne peuvent pas effectuer ces actions.

Facturation

Les connexions d'appairage VPC intra-région sont gratuites, que les VPC appartiennent ou non au même compte ou à des comptes différents.

Pour les connexions d'appairage VPC inter-régions, Cloud Data Transfer (CDT) facture des frais de transfert de données en fonction du trafic sortant.

• Le prix unitaire est déterminé par la paire de régions et le type de liaison. Des types de liaison Platinum et Gold sont disponibles, offrant différents niveaux de service.

• Le cycle de facturation est horaire. Si vous changez de type de liaison au cours d'un cycle de facturation, le tarif correspondant au niveau de service supérieur s'applique pour l'intégralité de ce cycle.

Cycle de vie d'une connexion d'appairage VPC

Après l'envoi d'une demande de création par le demandeur, une connexion d'appairage VPC traverse plusieurs états.

Si vous créez une connexion d'appairage VPC au sein du même compte, le système initie et accepte automatiquement la demande, et la connexion passe à l'état Activated.

Régions prises en charge

Quotas