Cloud Network Well-architected Design Guidelines:Desain jaringan pengiriman aplikasi untuk server di pusat data

Pendahuluan

Gunakan load balancing cloud publik untuk server di pusat data guna merancang jaringan pengiriman aplikasi dan pindahkan ingress serta egress jaringan publik Anda ke cloud. Pendekatan ini memungkinkan Anda membangun cloud hibrida secara cepat dengan skalabilitas elastis untuk mendukung migrasi ke cloud.

Kata kunci

• ALB: Application Load Balancer (ALB) adalah layanan load balancing yang disediakan Alibaba Cloud untuk skenario load balancing lapisan aplikasi, seperti HTTP, HTTPS, dan QUIC. ALB menawarkan elastisitas tinggi dan mampu memproses traffic lapisan aplikasi dalam skala besar. ALB dapat memproses rute layanan kompleks dan terintegrasi erat dengan layanan cloud-native. ALB merupakan gateway Ingress cloud-native resmi dari Alibaba Cloud. Anda juga dapat menambahkan server on-premises di pusat data sebagai backend server instance ALB.

• NLB: Network Load Balancer (NLB) adalah layanan load balancing Lapisan 4 generasi baru yang disediakan Alibaba Cloud. NLB mendukung performa tinggi dan skalabilitas otomatis. Satu instance dapat mendukung hingga 100 juta koneksi bersamaan untuk membantu Anda mengelola layanan berkonkurensi tinggi. Anda juga dapat menambahkan server on-premises di pusat data sebagai backend server instance NLB.

• EIP: Elastic IP Address (EIP) adalah sumber daya alamat IP publik yang dapat Anda beli dan kelola secara independen. Dalam arsitektur ini, EIP dikaitkan dengan gateway IPv4 dan dipetakan ke server di pusat data on-premises untuk menyediakan akses jaringan publik bagi pusat data tersebut.

• VPC: virtual private cloud (VPC) adalah jaringan pribadi kustom yang Anda buat di Alibaba Cloud. VPC saling terisolasi secara logis pada Lapisan 2. Anda dapat membuat dan mengelola sumber daya cloud, seperti instance ECS, instance SLB, dan instance RDS, di dalam VPC Anda.

• Cloud Enterprise Network: Cloud Enterprise Network (CEN) adalah jaringan berdaya tinggi yang berjalan di jaringan global privat Alibaba Cloud. CEN menggunakan router transit (TR) untuk membangun saluran komunikasi privat antara VPC di wilayah berbeda serta antara VPC dan pusat data on-premises. Hal ini membantu Anda membangun jaringan cloud enterprise-level yang fleksibel, andal, dan berskala besar.

• Internet Shared Bandwidth: Layanan ini menyediakan berbagi dan penggunaan ulang bandwidth tingkat wilayah. Setelah membuat instance Internet Shared Bandwidth, Anda dapat menambahkan EIP di wilayah yang sama ke instance tersebut. EIP tersebut kemudian dapat berbagi bandwidth instance untuk menghemat biaya bandwidth publik.

• Express Connect: Layanan jaringan yang menghubungkan pusat data ke Alibaba Cloud. Express Connect membangun saluran komunikasi privat berkecepatan tinggi, stabil, dan aman antara pusat data dan jaringan cloud. Express Connect menjamin transmisi data yang andal, sehingga meningkatkan kualitas dan keamanan komunikasi jaringan.

• Express Connect circuit: Sirkuit Express Connect adalah koneksi fisik, seperti kabel khusus atau serat optik, yang menghubungkan pusat data ke titik akses Alibaba Cloud. Jalur ini biasanya disediakan dan dirawat oleh penyedia layanan. Berdasarkan mode pengirimannya, sirkuit Express Connect yang terhubung ke titik akses Alibaba Cloud diklasifikasikan menjadi dedicated Express Connect circuit dan shared Express Connect circuit.

• VBR: Alibaba Cloud menggunakan software-defined networking (SDN) dan virtualisasi vSwitch untuk mengisolasi port akses sirkuit Express Connect. Port yang terisolasi ini diabstraksikan menjadi Virtual Border Router (VBR). VBR adalah router antara perangkat customer-premises equipment (CPE) dan VPC. VBR berperan sebagai jembatan penerusan data dari VPC ke pusat data on-premises.

• VBR uplink: VBR uplink menyediakan peering jaringan pribadi point-to-point sederhana antara VPC dan VBR menggunakan perutean statis.

• Express Connect Router (ECR): Komponen layanan penerusan untuk jaringan cloud hibrida global melalui sirkuit Express Connect. ECR menyediakan fitur seperti peering jaringan global melalui sirkuit Express Connect, perutean dinamis penuh, serta publikasi dan manajemen rute terpadu. Misalnya, Anda dapat menambahkan VBR ke ECR lalu menyambungkan ECR ke instance TR atau instance terhubung-VPC untuk mengaktifkan komunikasi antara pusat data on-premises dan sumber daya cloud.

• NIS: Network Intelligence Service (NIS) adalah seperangkat toolkit AIOps untuk jaringan cloud yang mencakup seluruh siklus hidup mulai dari perencanaan jaringan hingga O&M. NIS mencakup fitur seperti analisis lalu lintas jaringan, pemeriksaan jaringan, pemantauan performa, diagnostik jaringan, analisis jalur, dan topologi jaringan. NIS membantu Anda mengoptimalkan arsitektur jaringan, meningkatkan efisiensi O&M, dan mengurangi biaya operasional.

• Cloud Monitor: Layanan yang memantau sumber daya Alibaba Cloud dan aplikasi Internet.

• CLB: Layanan yang mendistribusikan traffic masuk ke beberapa instance Elastic Compute Service (ECS) backend berdasarkan aturan pengalihan. CLB meningkatkan kapasitas aplikasi Anda dan meningkatkan ketersediaannya.

Stabilitas

• Load balancing (Application Load Balancer/Network Load Balancer):

  Berbeda dengan mode aktif-pasif tradisional SLB, ALB dan NLB Alibaba Cloud menggunakan penerapan multi-zona. Jika satu zona gagal, layanan tetap berjalan, menjamin ketersediaan tinggi. ALB dan NLB menggunakan arsitektur pemulihan bencana multilapis dengan pemulihan bencana kluster, persistensi sesi, dan redundansi multi-zona.

• Akses Express Connect (Express Connect):

  Gunakan Express Connect untuk menghubungkan pusat data Anda ke titik keberadaan (POPs) Alibaba Cloud melalui sirkuit Express Connect. Gunakan dua sirkuit Express Connect untuk terhubung ke dua POPs Alibaba Cloud. Gunakan rute fisik berbeda atau penyedia sirkuit Express Connect berbeda untuk kedua sirkuit guna menjamin stabilitas layanan.

  Untuk koneksi melalui sirkuit Express Connect, gunakan Border Gateway Protocol (BGP) dan aktifkan Bidirectional Forwarding Detection (BFD). Ini memastikan bahwa jika satu sirkuit Express Connect gagal, traffic dialihkan ke sirkuit lain dan rute dapat segera konvergen. BFD dapat mendeteksi gangguan jaringan dalam hitungan milidetik.

• Ingress jaringan publik (Elastic IP Address):

  Gunakan EIP BGP multi-line. BGP multi-line memungkinkan EIP Alibaba Cloud menggunakan beberapa jalur untuk akses jaringan yang stabil dan jalur optimal. BGP secara otomatis memilih jalur transmisi data terbaik dan, saat jalur gagal atau menurun, menyesuaikan kebijakan perutean berdasarkan kondisi real-time untuk beralih ke jalur yang lebih baik, menjamin kelangsungan layanan.

• Koneksi intra-cloud (ECR):

  Untuk menghubungkan VBR ke VPC, gunakan ECR. ECR menggunakan mode perutean dinamis penuh yang menyediakan cakupan end-to-end dan stabilitas lebih tinggi. ECR juga mendukung penjadwalan jalur optimal untuk mengoptimalkan latensi penerusan akses Express Connect.

Keamanan dan kepatuhan

• Load balancing (Application Load Balancer/Network Load Balancer):

  • NLB mendukung protokol TCPSSL, otentikasi timbal balik, dan kebijakan TLS kustom.

  • ALB mendukung protokol HTTPS, otentikasi timbal balik, dan kebijakan TLS kustom.

  • Security group: Anda dapat menambahkan instance NLB dan ALB ke security group untuk menerapkan daftar hitam dan daftar putih.

  • ACL jaringan untuk VPC: Anda dapat memfilter traffic akses ke alamat IP virtual (VIP) instance NLB dan ALB privat.

• Pertahanan terhadap serangan DDoS (EIP dengan Anti-DDoS (Ditingkatkan)):

  Secara default, instance EIP menyediakan mitigasi DDoS dasar hingga 5 Gbps, dengan mitigasi gratis maksimum bervariasi berdasarkan wilayah. Pilih tingkat proteksi Anti-DDoS (Ditingkatkan) saat membeli EIP untuk mendapatkan mitigasi DDoS profesional pada tingkat terabit per detik. EIP dengan Anti-DDoS (Ditingkatkan) tidak memerlukan konfigurasi tambahan Anti-DDoS Pro atau Anti-DDoS Premium dan tidak memerlukan perubahan alamat IP layanan.

• Web application firewall (WAF):

  Setelah memindahkan ingress jaringan publik Anda ke cloud, aktifkan WAF untuk mendeteksi dan memblokir traffic berbahaya yang menargetkan website atau aplikasi Anda. WAF membersihkan dan memfilter traffic, lalu meneruskan traffic sah ke server Anda, mencegah masalah performa terkait intrusi dan melindungi layanan serta data Anda.

  Jika Anda menggunakan ALB, gunakan WAF 3.0 dalam mode proxy transparan. Dalam mode proxy transparan, Anda hanya perlu menambahkan informasi website yang ingin dilindungi ke WAF. Anda tidak perlu mengubah pengaturan resolusi DNS nama domain untuk mengaktifkan proteksi WAF.

• Proteksi batas Internet (Internet firewall):

  Internet firewall bekerja di batas Internet untuk menyediakan kontrol dan proteksi terpadu bagi seluruh traffic inbound dan outbound aset publik Anda. Firewall ini memungkinkan kontrol traffic detail halus, mengurangi eksposur Internet, dan menurunkan risiko keamanan.

Performa tinggi

• Load balancing (Application Load Balancer/Network Load Balancer):

  Di wilayah multi-zona, jumlah maksimum permintaan per detik (QPS) awal untuk instance ALB adalah 100.000. Nilai ini tidak berubah seiring peningkatan jumlah zona. QPS maksimum untuk instance ALB dalam mode IP tetap adalah 100.000. Instance ALB dalam mode IP dinamis secara otomatis melakukan scale out berdasarkan Service-Level Agreement (SLA) elastis, dengan QPS maksimum hingga 1.000.000.

  Satu instance NLB mendukung maksimal 100 juta koneksi bersamaan dan bandwidth 100 Gbps. Anda tidak perlu menentukan atau menyesuaikan manual tipe instans instance NLB. Performa instance secara otomatis diskalakan seiring pertumbuhan bisnis Anda.

  Anda dapat menambahkan backend server dari wilayah berbeda ke instance NLB dan ALB. Menempatkan instance NLB/ALB di wilayah yang dekat dengan klien Anda dapat mengurangi latensi akses jaringan publik dan mengoptimalkan kualitas jaringan.

• Ingress jaringan publik (Elastic IP Address/Internet Shared Bandwidth):

  Kemampuan cross-region CEN memungkinkan Anda membangun ingress jaringan publik di beberapa wilayah yang terhubung ke satu pusat data, memungkinkan akses lokal dan cakupan multi-ISP. Hingga 89 jalur BGP berkualitas tinggi mencakup seluruh dunia, menyediakan bandwidth BGP multi-line tingkat yang sama dengan layanan seperti Taobao dan Tmall. Setiap wilayah di Tiongkok daratan menyediakan koneksi langsung ke beberapa jalur, termasuk China Telecom, China Unicom, China Mobile, China Tietong, China Netcom, CERNET, China Broadcasting Network, Dr. Peng, dan Founder Broadband. Bergantung pada wilayahnya, Internet Shared Bandwidth dapat menyediakan bandwidth hingga ratusan Gbps.

  Anda dapat meminta dan melepas EIP kapan saja serta segera menyambungkannya ke server atau perangkat jaringan berbeda di pusat data on-premises. Hal ini memberikan fleksibilitas tinggi dalam manajemen alamat IP dan penerapan layanan.

  Internet Shared Bandwidth menyesuaikan ukuran bandwidth secara dinamis berdasarkan kebutuhan aktual. Anda dapat segera merespons perubahan traffic layanan, baik secara manual maupun melalui otomatisasi API, untuk menyeimbangkan biaya dan performa. Untuk menangani lonjakan traffic dalam skenario bandwidth tinggi, Anda dapat menggunakan metode penagihan persentil ke-95, yang menyediakan batas bandwidth elastis hingga lima kali bandwidth dasar.

• Express Connect Router (ECR):

  ECR dapat menggunakan penjadwalan jalur optimal untuk mengoptimalkan latensi penerusan akses Express Connect.

• Akses Express Connect (Express Connect):

  Port akses Express Connect tidak mendukung skalabilitas elastis real-time. Rencanakan sumber daya Anda terlebih dahulu sesuai kebutuhan.

Observability

• Load Balancer (Application Load Balancer/Network Load Balancer):

  • Pemantauan ALB/NLB: Pantau metrik seperti koneksi dan bandwidth, serta konfigurasikan peringatan.

  • Log operasi ALB/NLB: Catat operasi pada ALB/NLB yang dilakukan melalui OpenAPI atau Konsol untuk audit.

  • Pemantauan per detik NLB: Amati micro-bursts.

  • Log akses ALB: Catat akses pengguna di Simple Log Service (SLS) untuk menganalisis perilaku pengguna, memahami distribusi regional pengguna, dan memecahkan masalah.

• Artificial intelligence for IT operations:

  Network Intelligence Service (NIS) menyediakan analisis kesehatan, pemantauan performa, diagnostik dan remediasi, analisis lalu lintas jaringan, serta simulasi pengukuran untuk traffic Internet dan Server Load Balancer. NIS menggunakan metode AIOps seperti pembelajaran mesin dan graf pengetahuan untuk mengurangi kompleksitas jaringan dan menyediakan kemampuan O&M self-service bagi arsitek dan insinyur jaringan.

• Analisis lalu lintas jaringan:

  CEN TR Edisi Perusahaan dan VPC mendukung flow logs untuk mencatat dan mengeluarkan traffic layanan guna analisis traffic detail.

• Cloud Monitor:

  Menyediakan O&M komprehensif, peringatan, dan pemantauan untuk produk cloud terkait.

Pengiriman aplikasi Lapisan 4 (menggunakan NLB)

Praktik terbaik arsitektur inti:

• NLB: Menyediakan akses multi-zona untuk traffic layanan Lapisan 4 dari Internet dan menambahkan server di pusat data sebagai backend server.

• ECR + Express Connect: Desain perutean dinamis penuh dengan beberapa titik akses Express Connect. BGP+BFD digunakan untuk koneksi antara pusat data dan Alibaba Cloud.

Pengiriman aplikasi Lapisan 7 (menggunakan ALB)

Arsitektur inti yang direkomendasikan:

• ALB: Menyediakan akses multi-zona untuk traffic layanan Lapisan 7 dari Internet.

• ECR + Express Connect: Desain perutean dinamis penuh dengan beberapa titik akses Express Connect. BGP+BFD digunakan untuk koneksi antara pusat data dan Alibaba Cloud.

Pengiriman aplikasi Lapisan 7 (NLB + gateway Lapisan 7 yang dikelola sendiri di cloud)

Arsitektur inti:

• NLB: Menyediakan akses multi-zona untuk traffic layanan Lapisan 4 dari Internet. NLB menambahkan gateway Lapisan 7 yang dikelola sendiri di VPC yang sama atau VPC lain melalui TR sebagai backend server.

• Gateway yang dikelola sendiri: Memproses traffic aplikasi Lapisan 7 dari Internet.

• ECR + Express Connect: Desain perutean dinamis penuh dengan beberapa titik akses Express Connect. BGP+BFD digunakan untuk koneksi antara pusat data dan Alibaba Cloud.

Pengiriman aplikasi Lapisan 7 (NLB + gateway Lapisan 7 yang dikelola sendiri di pusat data)

Arsitektur inti yang direkomendasikan:

• NLB: Menyediakan akses multi-zona untuk traffic layanan Lapisan 4 dari Internet dan menambahkan gateway Lapisan 7 yang dikelola sendiri di pusat data sebagai backend server.

• Gateway yang dikelola sendiri: Memproses traffic aplikasi Lapisan 7 dari Internet.

• ECR + Express Connect: Desain perutean dinamis penuh dengan beberapa titik akses Express Connect. BGP+BFD digunakan untuk koneksi antara pusat data dan Alibaba Cloud.

Pengiriman aplikasi Lapisan 4 (menggunakan NLB)

Alur kode:

1. Buat VPC dan vSwitch di cloud. Buat instance NLB di VPC dan tambahkan server di pusat data on-premises sebagai backend server instance NLB.

2. Buat VBR dan ECR, kaitkan ECR dengan VPC, dan konfigurasikan BGP+BFD untuk membangun jaringan berdaya tinggi melalui sirkuit Express Connect.

Instance berikut perlu dibuat:

• 1 VPC

• 2 vSwitch

• 1 instance NLB

• 1 ECR

• 2 VBR

Pengiriman aplikasi Lapisan 7 (menggunakan ALB)

Alur kode:

1. Buat VPC dan vSwitch di cloud. Buat instance ALB di VPC dan tambahkan server di pusat data on-premises sebagai backend server instance ALB.

2. Buat VBR dan ECR, kaitkan ECR dengan VPC, dan konfigurasikan BGP+BFD untuk membangun jaringan berdaya tinggi melalui sirkuit Express Connect.

Instance berikut perlu dibuat:

• 1 VPC

• 2 vSwitch

• 1 instance ALB

• 1 ECR

• 2 VBR

Pengiriman aplikasi Lapisan 4 (menggunakan NLB)

Diagram arsitektur penerapan tervisualisasi untuk pengiriman aplikasi Lapisan 4:

Prosedur

Pengiriman aplikasi Lapisan 7 (menggunakan ALB)

Diagram arsitektur penerapan tervisualisasi untuk pengiriman aplikasi Lapisan 7:

Prosedur