Alibaba Cloud Container Service for Kubernetes (ACK) Edge memungkinkan Anda mengintegrasikan server dari data center on-premises sebagai node dalam kluster Anda melalui koneksi pribadi khusus. Sebelum server tersebut dapat bergabung ke kluster, infrastruktur jaringan dasar harus dikonfigurasi dengan benar. Topik ini menjelaskan cara mengonfigurasi perangkat jaringan yang diperlukan dalam lingkungan koneksi khusus guna membangun saluran komunikasi pribadi yang andal, aman, dan berkecepatan tinggi antara data center on-premises dan virtual private cloud (VPC) di cloud.
Arsitektur jaringan
Topologi jaringan data center
Jaringan data center pada gambar di atas dibangun di atas arsitektur jaringan tiga lapis, di mana server dan switch membentuk LAN Lapisan 2. Beberapa LAN Lapisan 2 kemudian digabungkan menjadi domain perutean Lapisan 3, menciptakan lingkungan jaringan on-premises terpadu. Dalam kasus ini, blok CIDR pribadi data center adalah 10.0.0.0/8.
Topologi VPC
VPC diterapkan di atas jaringan virtualisasi. Instans komputasi seperti instans Elastic Compute Service (ECS) dan instans kontainer elastis dalam VPC berkomunikasi satu sama lain melalui vSwitch di dalam VPC. Layanan Alibaba Cloud tertentu menggunakan 100.0.0.0/8, yang secara default dapat diakses melalui vSwitch di VPC.
Jaringan koneksi khusus
Alibaba Cloud menyediakan jaringan titik akses khusus di berbagai wilayah. Untuk meminimalkan latensi, pilih titik akses yang secara fisik paling dekat dengan data center Anda. Lihat Lokasi titik akses untuk detailnya. Rute koneksi dimulai dari switch inti data center, melewati firewall jaringan, menuju Virtual Border Router (VBR) di titik akses Express Connect Alibaba Cloud. Anda kemudian dapat menggunakan Express Connect Router (ECR) atau Cloud Enterprise Network (CEN) untuk menghubungkan titik akses tersebut ke VPC Alibaba Cloud Anda, sehingga membangun jaringan pribadi yang aman dan berkecepatan tinggi.
Konfigurasi jaringan
Diasumsikan bahwa konfigurasi jaringan Lapisan 3 untuk switch inti data center dan subnet-subnetnya telah selesai, serta komunikasi antara switch inti dan subnet-subnet tersebut telah terbentuk.
Rute inbound: memungkinkan akses ke VPC atau layanan cloud dari data center.
Rute outbound: memungkinkan akses ke data center dari VPC.
Contoh konfigurasi jaringan
Blok CIDR VPC: 192.168.0.0/16.
Blok CIDR data center: 10.0.0.0/8.
Blok CIDR layanan dan produk cloud: 100.0.0.0/8.
Blok CIDR kontainer edge: 172.16.0.0/12. Anda harus menentukan blok CIDR kontainer edge jika kluster ACK Edge menggunakan plug-in Terway Edge.
Kluster ACK Edge memiliki dependensi berikut di wilayah China (Hangzhou):
Object Storage Service (OSS): 100.118.28.0/24, 100.114.102.0/24, 100.98.170.0/24, dan 100.118.31.0/24.
Container Registry: 100.103.9.188/32 dan 100.103.7.181/32.
Manajemen ACK: Nama domainnya adalah cs-anony-vpc.cn-hangzhou.aliyuncs.com. Kami menyarankan agar Anda melakukan resolusi nama domain di dalam VPC. Dalam contoh ini, hasil resolusinya adalah 100.103.42.233.
Bagian berikut menjelaskan cara mengonfigurasi jaringan Anda berdasarkan topologi contoh di atas, menggunakan blok CIDR 100.0.0.0/8 untuk merepresentasikan layanan Alibaba Cloud. Jika rentang IP ini dianggap terlalu luas, Anda dapat menggantinya dengan rentang IP spesifik yang dibutuhkan oleh ACK Edge. Untuk daftar lengkap rentang tersebut, lihat Titik akhir dan blok CIDR rute yang sesuai dalam mode koneksi khusus. Sisa bagian topik ini akan terus menggunakan rentang 100.0.0.0/8 untuk tujuan demonstrasi.
Konfigurasi switch inti data center
Parameter | Deskripsi | Catatan penggunaan |
Rute inbound | Tentukan blok CIDR VPC dan layanan cloud yang ingin Anda akses, lalu asosiasikan ECR dengan VBR.
| Jika kluster ACK Edge Anda menggunakan plug-in Terway Edge, Anda harus mengonfigurasi Protokol Gateway Perbatasan (BGP) pada switch inti data center dan switch-switch lainnya agar Terway Edge dapat mengiklankan rute kontainer ke switch inti dan switch-switch tersebut. Untuk informasi lebih lanjut, lihat Panduan penggunaan Terway Edge dan Gunakan Terway Edge untuk mengimplementasikan komunikasi kontainer. |
Rute outbound | Konfigurasikan rute outbound untuk mengarahkan paket dari VBR ke server data center. Pastikan konfigurasi jaringan server sudah selesai di switch inti. |
Konfigurasi firewall jaringan data center
Parameter | Deskripsi | Catatan penggunaan |
Outbound | Tentukan blok CIDR VPC dan layanan cloud yang ingin Anda akses:
Jika Anda memerlukan konfigurasi detail halus, Anda dapat menentukan blok CIDR berikut di wilayah China (Hangzhou):
| Jika kluster ACK Edge Anda menggunakan plug-in Flannel, Anda harus mengonfigurasi firewall jaringan data center untuk mengizinkan traffic outbound dan inbound melalui port UDP 8472.
|
Inbound | Tentukan blok CIDR VPC dan layanan cloud yang ingin Anda akses:
Jika Anda memerlukan konfigurasi detail halus, Anda perlu mengizinkan blok CIDR tersebut mengakses port TCP 10250 dan 10255 kubelet serta port TCP 9100 dan 9445 Node-Exporter. |
Konfigurasi VBR
Parameter | Deskripsi | Catatan penggunaan |
Rute inbound | Tentukan rute inbound untuk mengarahkan paket ke blok CIDR VPC (192.168.0.0/16) dan blok CIDR layanan cloud (100.0.0.0/8). Anda dapat mengonfigurasi koneksi langsung VPC, ECR, atau instans CEN. Untuk informasi lebih lanjut, lihat Express Connect. | Tidak ada. |
Rute outbound | Konfigurasikan rute outbound untuk mengarahkan paket ke blok CIDR data center (10.0.0.0/8) dan switch inti data center melalui Express Connect dan firewall jaringan data center. | Jika kluster ACK Edge Anda menggunakan plug-in Terway Edge, Anda harus menentukan rute outbound pada VBR dan menyertakan blok CIDR kontainer edge (172.16.0.0/12) dalam rute outbound tersebut. |
Konfigurasi instans ECR atau CEN
Parameter | Deskripsi | Catatan penggunaan |
Rute inbound | Tambahkan rute inbound ke tabel rute router transit instans ECR atau CEN untuk mengarahkan paket ke blok CIDR VPC (192.168.0.0/16) dan blok CIDR layanan cloud (100.0.0.0/8). | Tidak ada. |
Rute outbound | Tambahkan rute outbound ke tabel rute router transit instans ECR atau CEN untuk mengarahkan paket ke blok CIDR data center (10.0.0.0/8) melalui VBR. | Jika kluster ACK Edge Anda menggunakan plug-in Terway Edge, Anda harus menentukan rute outbound untuk instans ECR atau CEN guna mengarahkan paket ke blok CIDR kontainer edge (172.16.0.0/12). |
Konfigurasi tabel rute VPC
Parameter | Deskripsi | Catatan penggunaan |
Rute inbound | Secara default, konfigurasi jaringan telah selesai di VPC. VPC secara otomatis mengarahkan permintaan yang diterima dari data center. | Tidak ada. |
Rute outbound | Tambahkan rute outbound ke tabel rute VPC untuk mengarahkan paket ke blok CIDR data center (10.0.0.0/8) melalui instans CEN, ECR, dan VBR. | Jika kluster ACK Edge Anda menggunakan plug-in Terway Edge, Anda harus menambahkan rute outbound ke tabel rute VPC untuk mengarahkan paket ke blok CIDR kontainer edge (172.16.0.0/12). |
Konfigurasi security group VPC
Parameter | Deskripsi | Catatan penggunaan |
Outbound | Anda harus mengizinkan traffic outbound ke blok CIDR data center (10.0.0.0/8). Anda dapat mengonfigurasi kontrol detail halus untuk port-port tertentu. Misalnya, Anda dapat mengizinkan traffic outbound ke port TCP 10250 dan 10255 kubelet serta port TCP 9100 dan 9445 Node-Exporter. | Jika kluster ACK Edge Anda menggunakan plug-in Flannel, Anda harus mengonfigurasi security group VPC untuk mengizinkan traffic outbound dan inbound melalui port UDP 8472.
|
Inbound | Anda harus mengizinkan traffic inbound dari blok CIDR data center (10.0.0.0/8). Anda dapat mengonfigurasi kontrol detail halus untuk port-port tertentu. Misalnya, Anda dapat mengizinkan traffic inbound ke port TCP 6443 server API. |
Persyaratan port inbound untuk node edge
Tabel berikut mencantumkan port yang harus dibuka untuk traffic inbound pada node edge Anda agar dapat diakses dari VPC sisi cloud.
Protokol | Port | Sumber | Deskripsi |
TCP | 10250, 10255 | Blok CIDR VPC Anda. Catatan (Opsional) Untuk kontrol detail halus, Anda dapat membatasi sumber ke blok CIDR vSwitch spesifik yang digunakan oleh kluster Anda. |
|
9100, 9445 | Blok CIDR VPC Anda. Catatan (Opsional) Untuk kontrol detail halus, Anda dapat membatasi sumber ke blok CIDR vSwitch spesifik yang digunakan oleh kluster Anda. | Prometheus mengambil data pemantauan dari layanan Node-Exporter di setiap node melalui port 9100 dan 9445. | |
UDP | 8472 | Blok CIDR VPC dan node Anda. Catatan Diperlukan hanya jika Anda menggunakan plug-in jaringan Flannel. | Flannel menggunakan port UDP 8472 di setiap node untuk membangun jaringan overlay VXLAN guna komunikasi pod lintas node. |
Nama domain dan port outbound untuk node edge
Untuk node edge dalam mode koneksi khusus, Anda harus mengizinkan akses ke nama domain dan port tertentu. Pada titik akhir, {region} merepresentasikan ID wilayah tempat kluster berada. Sebagai contoh, ID wilayah untuk wilayah Hangzhou adalah cn-hangzhou. Untuk daftar ID wilayah, lihat Wilayah yang didukung.
Tujuan | Titik akhir untuk koneksi khusus | Port | Deskripsi |
Lapisan kontrol Container Service | cs-anony-vpc.{region}.aliyuncs.com |
| Alamat lapisan kontrol Container Service. |
Paket instalasi OSS | aliacs-k8s-{region}.oss-{region}-internal.aliyuncs.com |
| Titik akhir unduhan OSS. Anda dapat mengunduh paket instalasi untuk add-on seperti edgeadm, kubelet, Container Network Interface (CNI), runtime, dan edgehub dari OSS. |
Titik akhir internal server API | Anda dapat menemukannya di tab Basic Information pada halaman detail kluster. | TCP 6443 | Berinteraksi dengan kube-apiserver. |
NTP | ntp1.aliyun.com cn.ntp.org.cn | Berkaitan dengan protokol NTP, yang biasanya menggunakan port UDP 123. | Alamat server NTP. Jika Anda mengatur parameter |
Titik akhir registri citra add-on sistem |
| TCP 443 | Titik akhir untuk citra add-on sistem. Untuk blok CIDR yang sesuai dengan titik akhir ini, lihat Titik akhir dan blok CIDR rute yang sesuai dalam mode koneksi khusus. |
Alat sistem | Alat sistem untuk instalasi online (tidak memerlukan nama domain tambahan): net-tools, iproute, chrony (atau ntpdate), crontabs, pciutils, socat, ebtables, iptables, conntrack-tools | Tidak berlaku | Sistem memeriksa apakah alat sistem yang diperlukan telah terinstal pada node yang akan ditambahkan. Jika belum, alat tersebut akan diinstal secara online. Titik akhir spesifik ditentukan oleh konfigurasi sumber yum/apt node tersebut.
|
Titik akhir dan blok CIDR rute yang sesuai dalam mode koneksi khusus
Perangkat di data center dapat mengakses titik akhir registri citra add-on ACK melalui jaringan internal. Hubungkan data center Anda ke jaringan internal VPC menggunakan CEN, Express Connect, koneksi khusus, atau VPN. Setelah koneksi terbentuk, konfigurasikan rute ke titik akhir registri citra add-on ACK. Karena citra disimpan di OSS, Anda juga harus mengonfigurasi rute untuk blok CIDR OSS. Tabel berikut mencantumkan pemetaan antara titik akhir dan blok CIDR rute dalam mode koneksi khusus.
Titik akhir registri citra internal add-on ACK dan blok CIDR rute
Cloud publik
Wilayah | ID Wilayah | Titik akhir VPC | Rute |
China (Hangzhou) | cn-hangzhou | registry-cn-hangzhou-vpc.ack.aliyuncs.com | 100.103.9.188/32 100.103.7.181/32 |
China (Shanghai) | cn-shanghai | registry-cn-shanghai-vpc.ack.aliyuncs.com | 100.103.94.158/32 100.103.7.57/32 100.100.80.231/32 |
China (Fuzhou - Local Region) | cn-fuzhou | registry-cn-fuzhou-vpc.ack.aliyuncs.com | 100.100.0.43/32 100.100.0.28/32 |
China (Qingdao) | cn-qingdao | registry-cn-qingdao-vpc.ack.aliyuncs.com | 100.100.0.172/32 100.100.0.207/32 |
China (Beijing) | cn-beijing | registry-cn-beijing-vpc.ack.aliyuncs.com | 100.103.99.73/32 100.103.0.251/32 100.103.6.63/32 |
China (Zhangjiakou) | cn-zhangjiakou | registry-cn-zhangjiakou-vpc.ack.aliyuncs.com | 100.100.1.179/32 100.100.80.152/32 |
China (Hohhot) | cn-huhehaote | registry-cn-huhehaote-vpc.ack.aliyuncs.com | 100.100.0.194/32 100.100.80.55/32 |
China (Ulanqab) | cn-wulanchabu | registry-cn-wulanchabu-vpc.ack.aliyuncs.com | 100.100.0.122/32 100.100.0.58/32 |
China (Shenzhen) | cn-shenzhen | registry-cn-shenzhen-vpc.ack.aliyuncs.com | 100.103.96.139/32 100.103.6.153/32 100.103.26.52/32 |
China (Heyuan) | cn-heyuan | registry-cn-heyuan-vpc.ack.aliyuncs.com | 100.100.0.150/32 100.100.0.193/32 |
China (Guangzhou) | cn-guangzhou | registry-cn-guangzhou-vpc.ack.aliyuncs.com | 100.100.0.101/32 100.100.0.21/32 |
China (Chengdu) | cn-chengdu | registry-cn-chengdu-vpc.ack.aliyuncs.com | 100.100.0.48/32 100.100.0.64/32 |
Zhengzhou (CUCC Joint Venture) | cn-zhengzhou-jva | registry-cn-zhengzhou-jva-vpc.ack.aliyuncs.com | 100.100.0.111/32 100.100.0.84/32 |
China (Hong Kong) | cn-hongkong | registry-cn-hongkong-vpc.ack.aliyuncs.com | 100.103.85.19/32 100.100.80.157/32 |
US (Silicon Valley) | us-west-1 | registry-us-west-1-vpc.ack.aliyuncs.com | 100.103.13.55/32 100.100.80.93/32 |
US (Virginia) | us-east-1 | registry-us-east-1-vpc.ack.aliyuncs.com | 100.103.12.19/32 100.100.80.11/32 |
Japan (Tokyo) | ap-northeast-1 | registry-ap-northeast-1-vpc.ack.aliyuncs.com | 100.100.0.167/32 100.100.80.198/32 |
South Korea (Seoul) | ap-northeast-2 | registry-ap-northeast-2-vpc.ack.aliyuncs.com | 100.100.0.71/32 100.100.0.33/32 |
Singapore | ap-southeast-1 | registry-ap-southeast-1-vpc.ack.aliyuncs.com | 100.103.103.254/32 100.100.80.136/32 |
Malaysia (Kuala Lumpur) | ap-southeast-3 | registry-ap-southeast-3-vpc.ack.aliyuncs.com | 100.100.0.17/32 100.100.80.137/32 |
Indonesia (Jakarta) | ap-southeast-5 | registry-ap-southeast-5-vpc.ack.aliyuncs.com | 100.100.0.226/32 100.100.80.200/32 |
Philippines (Manila) | ap-southeast-6 | registry-ap-southeast-6-vpc.ack.aliyuncs.com | 100.100.0.75/32 100.100.0.24/32 |
Thailand (Bangkok) | ap-southeast-7 | registry-ap-southeast-7-vpc.ack.aliyuncs.com | 100.100.0.62/32 100.100.0.34/32 |
Germany (Frankfurt) | eu-central-1 | registry-eu-central-1-vpc.ack.aliyuncs.com | 100.100.0.92/32 100.100.80.155/32 |
UK (London) | eu-west-1 | registry-eu-west-1-vpc.ack.aliyuncs.com | 100.100.0.175/32 100.100.0.18/32 |
SAU (Riyadh - Partner Region) | me-central-1 | registry-me-central-1-vpc.ack.aliyuncs.com | 100.100.0.109/32 100.100.0.18/32 |
Titik akhir internal OSS dan blok CIDR VIP
Cloud publik
Nama beberapa wilayah di luar daratan Tiongkok mungkin berbeda antara halaman harga OSS dan halaman pembelian paket sumber daya. Namun, nama-nama berbeda ini merujuk pada lokasi fisik yang sama. Sebagai contoh, wilayah US (Silicon Valley) mungkin ditampilkan sebagai US West 1 atau US West. Untuk informasi lebih lanjut, lihat Harga OSS atau Beli paket sumber daya.
Karena perubahan kebijakan untuk meningkatkan kepatuhan dan keamanan, mulai 20 Maret 2025, pengguna OSS baru harus menggunakan nama domain kustom (CNAME) untuk melakukan operasi API data pada bucket OSS yang berlokasi di wilayah daratan Tiongkok. Titik akhir publik default dibatasi untuk operasi-operasi ini. Lihat pengumuman resmi untuk daftar lengkap operasi yang terdampak. Jika Anda mengakses data melalui HTTPS, Anda harus mengikat Sertifikat SSL yang valid ke domain kustom Anda. Ini wajib untuk akses Konsol OSS, karena konsol menerapkan HTTPS.
Asia-Pasifik - Tiongkok
Wilayah | ID Wilayah | Titik akhir publik | Titik akhir internal | Titik akhir dual-stack | Blok CIDR VIP internal |
China (Hangzhou) | cn-hangzhou | oss-cn-hangzhou.aliyuncs.com | oss-cn-hangzhou-internal.aliyuncs.com | cn-hangzhou.oss.aliyuncs.com |
|
China (Shanghai) | cn-shanghai | oss-cn-shanghai.aliyuncs.com | oss-cn-shanghai-internal.aliyuncs.com | cn-shanghai.oss.aliyuncs.com |
|
China (Nanjing - Local Region) (Closing Down) | cn-nanjing | oss-cn-nanjing.aliyuncs.com | oss-cn-nanjing-internal.aliyuncs.com | 100.114.142.0/24 | |
China (Qingdao) | cn-qingdao | oss-cn-qingdao.aliyuncs.com | oss-cn-qingdao-internal.aliyuncs.com | cn-qingdao.oss.aliyuncs.com |
|
China (Beijing) | cn-beijing | oss-cn-beijing.aliyuncs.com | oss-cn-beijing-internal.aliyuncs.com | cn-beijing.oss.aliyuncs.com |
|
China (Zhangjiakou) | cn-zhangjiakou | oss-cn-zhangjiakou.aliyuncs.com | oss-cn-zhangjiakou-internal.aliyuncs.com | cn-zhangjiakou.oss.aliyuncs.com |
|
China (Hohhot) | cn-huhehaote | oss-cn-huhehaote.aliyuncs.com | oss-cn-huhehaote-internal.aliyuncs.com | cn-huhehaote.oss.aliyuncs.com |
|
China (Ulanqab) | cn-wulanchabu | oss-cn-wulanchabu.aliyuncs.com | oss-cn-wulanchabu-internal.aliyuncs.com | cn-wulanchabu.oss.aliyuncs.com |
|
China (Shenzhen) | cn-shenzhen | oss-cn-shenzhen.aliyuncs.com | oss-cn-shenzhen-internal.aliyuncs.com | cn-shenzhen.oss.aliyuncs.com |
|
China (Heyuan) | cn-heyuan | oss-cn-heyuan.aliyuncs.com | oss-cn-heyuan-internal.aliyuncs.com | cn-heyuan.oss.aliyuncs.com |
|
China (Guangzhou) | cn-guangzhou | oss-cn-guangzhou.aliyuncs.com | oss-cn-guangzhou-internal.aliyuncs.com | cn-guangzhou.oss.aliyuncs.com |
|
China (Chengdu) | cn-chengdu | oss-cn-chengdu.aliyuncs.com | oss-cn-chengdu-internal.aliyuncs.com | cn-chengdu.oss.aliyuncs.com |
|
China (Hong Kong) | cn-hongkong | oss-cn-hongkong.aliyuncs.com | oss-cn-hongkong-internal.aliyuncs.com | cn-hongkong.oss.aliyuncs.com |
|
Asia-Pasifik - Lainnya
Wilayah | ID Wilayah | Titik akhir publik | Titik akhir internal | Titik akhir dual-stack | Blok CIDR VIP internal |
Japan (Tokyo) | ap-northeast-1 | oss-ap-northeast-1.aliyuncs.com | oss-ap-northeast-1-internal.aliyuncs.com |
| |
South Korea (Seoul) | ap-northeast-2 | oss-ap-northeast-2.aliyuncs.com | oss-ap-northeast-2-internal.aliyuncs.com | 100.99.119.0/24 | |
Singapore | ap-southeast-1 | oss-ap-southeast-1.aliyuncs.com | oss-ap-southeast-1-internal.aliyuncs.com |
| |
Malaysia (Kuala Lumpur) | ap-southeast-3 | oss-ap-southeast-3.aliyuncs.com | oss-ap-southeast-3-internal.aliyuncs.com |
| |
Indonesia (Jakarta) | ap-southeast-5 | oss-ap-southeast-5.aliyuncs.com | oss-ap-southeast-5-internal.aliyuncs.com | 100.114.98.0/24 | |
Philippines (Manila) | ap-southeast-6 | oss-ap-southeast-6.aliyuncs.com | oss-ap-southeast-6-internal.aliyuncs.com | 100.115.16.0/24 | |
Thailand (Bangkok) | ap-southeast-7 | oss-ap-southeast-7.aliyuncs.com | oss-ap-southeast-7-internal.aliyuncs.com | 100.98.249.0/24 |
Eropa dan Amerika
Wilayah | ID Wilayah | Titik akhir publik | Titik akhir internal | Titik akhir dual-stack | Blok CIDR VIP internal |
Germany (Frankfurt) | eu-central-1 | oss-eu-central-1.aliyuncs.com | oss-eu-central-1-internal.aliyuncs.com | eu-central-1.oss.aliyuncs.com | 100.115.154.0/24 |
UK (London) | eu-west-1 | oss-eu-west-1.aliyuncs.com | oss-eu-west-1-internal.aliyuncs.com | 100.114.114.128/25 | |
US (Silicon Valley) | us-west-1 | oss-us-west-1.aliyuncs.com | oss-us-west-1-internal.aliyuncs.com | 100.115.107.0/24 | |
US (Virginia) | us-east-1 | oss-us-east-1.aliyuncs.com | oss-us-east-1-internal.aliyuncs.com |
| |
Mexico | na-south-1 | oss-na-south-1.aliyuncs.com | oss-na-south-1-internal.aliyuncs.com | 100.115.112.0/27 |
Timur Tengah
Wilayah | ID Wilayah | Titik akhir publik | Titik akhir internal | Titik akhir dual-stack | Blok CIDR VIP internal |
UAE (Dubai) | me-east-1 | oss-me-east-1.aliyuncs.com | oss-me-east-1-internal.aliyuncs.com | 100.99.235.0/24 | |
SAU (Riyadh - Partner Region) | me-central-1 | oss-me-central-1.aliyuncs.com | oss-me-central-1-internal.aliyuncs.com | 100.99.121.0/24 |