Cloud Network Well-architected Design Guidelines：Gunakan sirkuit Express Connect untuk membangun jaringan hybrid-cloud atau multi-cloud

Ringkasan

Topik ini menjelaskan cara menggunakan sirkuit Express Connect dan layanan jaringan komputasi awan Alibaba Cloud untuk menetapkan komunikasi antara jaringan cloud dan lokal serta antara beberapa cloud. Solusi-solusi ini membantu Anda membangun jaringan hybrid-cloud atau multi-cloud yang mendukung keamanan tinggi, stabilitas, dan skalabilitas.

Topik ini ditujukan untuk insinyur teknis, termasuk chief technology officers (CTOs), arsitek, pengembang, dan insinyur operasi. Topik ini memperkenalkan solusi untuk membangun jaringan hybrid-cloud atau multi-cloud yang dapat disesuaikan berdasarkan kebutuhan bisnis Anda.

Kata Kunci

• Sirkuit Express Connect: Sirkuit Express Connect merupakan kabel atau serat optik yang menghubungkan pusat data. Sirkuit ini umumnya diimplementasikan dan dipelihara oleh penyedia layanan Internet (ISP). Berdasarkan mode penyebaran, sirkuit Express Connect dikategorikan menjadi sirkuit khusus dan sirkuit bersama.

  • Sirkuit Express Connect khusus: Perusahaan dapat menggunakan sirkuit Express Connect khusus untuk menghubungkan pusat data lokal ke titik akses Alibaba Cloud. Solusi ini memastikan bahwa sirkuit Express Connect Anda eksklusif untuk Anda. Anda dapat mengajukan permohonan sirkuit Express Connect di Konsol Express Connect. Solusi ini ideal untuk perusahaan skala menengah dan besar yang memerlukan bandwidth tinggi, keamanan tinggi, dan keandalan tinggi.

  • Sirkuit Express Connect bersama: Titik akses mitra Express Connect telah terhubung ke titik akses Alibaba Cloud. Anda hanya perlu menghubungi mitra Express Connect, yang dapat menyediakan sirkuit Express Connect antara pusat data Anda dan pusat data titik akses mereka. Dalam solusi ini, beberapa penyewa berbagi sirkuit Express Connect antara mitra dan Alibaba Cloud. Solusi ini sangat cocok untuk perusahaan skala menengah dan kecil yang tidak memerlukan bandwidth tinggi.

• Express Connect: Express Connect merupakan layanan jaringan yang menghubungkan pusat data ke Alibaba Cloud. Anda dapat menggunakan Express Connect untuk menetapkan koneksi pribadi yang cepat, andal, dan aman antara pusat data dan jaringan cloud. Dengan transmisi data melalui sirkuit Express Connect yang andal dan terkendali, Express Connect meningkatkan kualitas serta keamanan komunikasi jaringan.

• Router Batas Virtual (VBR): VBR merupakan abstraksi dari sirkuit Express Connect yang diisolasi dan divirtualisasi menggunakan overlay Lapisan 3 serta teknologi vSwitch dalam arsitektur Jaringan yang Didefinisikan Perangkat Lunak (SDN). VBR diterapkan antara perangkat di tempat pelanggan (CPE) dan VPC untuk meneruskan data dari VPC ke pusat data.

• Express Connect Router (ECR): ECR adalah komponen layanan utama yang meneruskan lalu lintas jaringan dalam hybrid cloud global, di mana jaringan terhubung melalui sirkuit Express Connect. ECR menyediakan fitur seperti perutean dinamis berbasis BGP dan manajemen terpusat untuk pengumuman rute. Sebagai contoh, Anda dapat mengaitkan VBR dengan ECR dan kemudian mengaitkan ECR dengan router transit untuk memungkinkan pusat data Anda berkomunikasi dengan sumber daya cloud.

• Cloud Enterprise Network (CEN): CEN adalah jaringan ketersediaan tinggi yang dibangun di atas jaringan pribadi global Alibaba Cloud. CEN menggunakan router transit untuk menetapkan koneksi antar wilayah antara VPC atau antara VPC dan pusat data, membantu Anda membuat jaringan fleksibel, stabil, dan kelas perusahaan di cloud.

• VPC: VPC merupakan cloud pribadi yang dibuat oleh pelanggan di Alibaba Cloud. VPC diisolasi secara logis satu sama lain. Anda dapat membuat dan mengelola layanan cloud seperti Elastic Compute Service (ECS), Server Load Balancer (SLB), dan ApsaraDB RDS di dalam VPC Anda sendiri.

Poin utama desain dari arsitektur ini:

• Stabilitas: Sirkuit Express Connect hanya meneruskan lalu lintas internal perusahaan. Stabilitas sangat penting bagi koneksi jaringan hybrid-cloud atau multi-cloud. Jika koneksi gagal, komunikasi antara sumber daya cloud dan antara sumber daya cloud dan sumber daya lokal juga gagal. Dalam hal ini, bisnis Anda mungkin mengalami dampak buruk karena layanan bisnis-kritis mungkin menjadi tidak tersedia. Oleh karena itu, stabilitas adalah kunci untuk merancang arsitektur jaringan multi-cloud atau hybrid-cloud yang andal.

• Skalabilitas: Bandwidth yang dibutuhkan oleh perusahaan bervariasi berdasarkan skala bisnis atau tahap adopsi cloud. Saat Alibaba Cloud merancang arsitektur jaringan, Alibaba Cloud mempertimbangkan persyaratan penskalaan perusahaan untuk membantu perusahaan bermigrasi ke cloud dengan lancar dan meningkatkan pemanfaatan sumber daya. Desain ini mendukung penskalaan sumber daya sesuai permintaan, yang lebih hemat biaya.

• Keamanan: Jaringan multi-cloud atau hybrid-cloud memerlukan komunikasi jaringan antara domain jaringan yang berbeda. Selain itu, bisnis yang berbeda dalam suatu perusahaan memiliki persyaratan keamanan yang berbeda. Misalnya, akses ke layanan bisnis-kritis diberikan berdasarkan prinsip hak istimewa minimal (PoLP) untuk memastikan keamanan data. Untuk mencegah kebocoran data dan penyalahgunaan, perusahaan memiliki persyaratan keamanan untuk data internal mereka.

Stabilitas

Bandwidth stabil sirkuit Express Connect

Sirkuit Express Connect mendukung bandwidth mulai dari 50 Mbit/s hingga 100 Gbit/s. Jika Anda memerlukan bandwidth lebih tinggi, Anda dapat mengaktifkan agregasi tautan untuk meningkatkan kapasitas bandwidth. Kami merekomendasikan Anda memilih sirkuit Express Connect yang dapat memberikan bandwidth cukup untuk memastikan kontinuitas layanan setelah failover. Sementara itu, Anda dapat mengonfigurasi aturan peringatan di CloudMonitor untuk mengelola kuota Express Connect. Misalnya, Anda dapat menggunakan CloudMonitor untuk mencegah kehilangan paket yang disebabkan oleh kehabisan bandwidth. Untuk informasi lebih lanjut, lihat Konfigurasikan aturan peringatan.

Koneksi andal melalui sirkuit Express Connect

Dalam beberapa skenario, Anda mungkin perlu sementara menutup beberapa koneksi dalam jaringan multi-cloud atau hybrid-cloud karena alasan seperti pemeliharaan jaringan. Sebelum Anda menutup koneksi, kami merekomendasikan Anda memilih mode keandalan tinggi berdasarkan kebutuhan bisnis Anda. Untuk informasi lebih lanjut, lihat Mode keandalan tinggi.

Untuk memastikan stabilitas, kami merekomendasikan Anda mengajukan dua sirkuit Express Connect dan menghubungkan ke dua titik akses saat Anda membangun jaringan multi-cloud atau hybrid-cloud. Sementara itu, kami merekomendasikan Anda mengaktifkan perutean dinamis BGP, bukan perutean statis, antara VBR dan pusat data atau antara cloud. Perutean dinamis mendukung alih otomatis dalam kasus kegagalan sirkuit. Saat beberapa koneksi didirikan, Alibaba Cloud menyediakan solusi redundansi ganda untuk memastikan ketersediaan tinggi layanan:

• Gunakan perutean dinamis BGP dan deteksi maju mundur dua arah (BFD) untuk menetapkan koneksi aktif/standby. Untuk informasi lebih lanjut, lihat Tetapkan koneksi aktif/standby antara pusat data dan Alibaba Cloud menggunakan ECR.

• Gunakan perutean dinamis BGP dan BFD untuk menetapkan koneksi aktif/aktif. Untuk informasi lebih lanjut, lihat Tetapkan koneksi aktif/aktif antara pusat data dan Alibaba Cloud menggunakan ECR.

Selain solusi ketersediaan tinggi berbasis sirkuit Express Connect, Alibaba Cloud memungkinkan Anda menggabungkan sirkuit Express Connect dengan koneksi IPsec-VPN. Untuk informasi lebih lanjut, lihat Konfigurasikan koneksi aktif/standby menggunakan IPsec-VPN (terkait dengan router transit) dan sirkuit Express Connect. Jika anggaran Anda terbatas, kami merekomendasikan Anda menggunakan koneksi IPsec-VPN sebagai koneksi cadangan untuk sirkuit Express Connect. Untuk kapasitas terbatas terowongan IPsec, kami merekomendasikan Anda mengonfigurasi koneksi IPsec-VPN untuk layanan bisnis-kritis. Selain itu, kami merekomendasikan Anda mengaktifkan perutean dinamis BGP untuk terowongan IPsec untuk memantau ketersediaan terowongan IPsec dan secara otomatis mengonvergen rute.

Latihan kegagalan

Express Connect melakukan latihan kegagalan untuk mensimulasikan kegagalan. Misalnya, Express Connect mensimulasikan koneksi rusak melalui sirkuit Express Connect untuk menguji apakah lalu lintas jaringan dapat secara otomatis beralih ke koneksi lain. Anda dapat melakukan latihan kegagalan untuk menguji keandalan jaringan hybrid-cloud antara pusat data dan Alibaba Cloud. Untuk informasi lebih lanjut, lihat Gunakan fitur latihan kegagalan.

Kinerja dan stabilitas

Spesifikasi sirkuit Express Connect

• Sirkuit Express Connect khusus: 1 Gbit/s dan lebih rendah, 10 Gbit/s, 40 Gbit/s, dan 100 Gbit/s.

• Sirkuit Express Connect bersama tersedia dalam opsi berikut: 50 Mbit/s, 100 Mbit/s, 200 Mbit/s, 300 Mbit/s, 400 Mbit/s, 500 Mbit/s, 1 Gbit/s, 2 Gbit/s, 5 Gbit/s, 8 Gbit/s, 10 Gbit/s, 20 Gbit/s, 40 Gbit/s, 50 Gbit/s, 60 Gbit/s, 80 Gbit/s, dan 100 Gbit/s.

  Catatan

  • Bandwidth tertinggi yang dapat Anda ajukan di Konsol Express Connect adalah 10 Gbit/s. Jika memerlukan bandwidth lebih tinggi, ajukan tiket.

  • Bandwidth tertinggi untuk sirkuit Express Connect bersama yang dapat Anda ajukan di Konsol Express Connect adalah 1 Gbit/s. Jika Anda memerlukan bandwidth lebih tinggi, ajukan tiket.

Penskalaan sirkuit Express Connect

• Penskalaan Sirkuit Express Connect Khusus: Jika kebutuhan bandwidth bisnis Anda melebihi spesifikasi sirkuit Express Connect, Anda dapat menggabungkan beberapa sirkuit Express Connect menggunakan equal-cost multipath (ECMP). ECMP menghubungkan beberapa sirkuit Express Connect ke perangkat titik akses yang sama dan mengaitkannya dengan VBR yang sama untuk meningkatkan kapasitas bandwidth. Untuk detail lebih lanjut, lihat Konfigurasikan ECMP antara pusat data lokal dan Alibaba Cloud.

• Penskalaan Sirkuit Express Connect Bersama: Anda dapat menyesuaikan spesifikasi sirkuit Express Connect bersama sesuai kebutuhan bisnis. Untuk detail lebih lanjut, lihat bagian Ubah Batas Bandwidth Koneksi yang Dihosting dalam topik Ubah Batas Bandwidth.

Batas bandwidth antara ECR dan router transit

Bandwidth maksimum antara ECR dan router transit di China (Hangzhou), China (Shanghai), China (Beijing), China (Shenzhen), dan Singapura adalah 50 Mbit/s. Bandwidth maksimum di wilayah lainnya adalah 10 Gbit/s. Jika Anda memerlukan bandwidth lebih tinggi, hubungi manajer akun Anda.

Latensi

Wilayah tunggal menyediakan beberapa titik akses di lokasi yang berbeda. Latensi jaringan antara titik akses dan zona di wilayah yang sama kurang dari 5 milidetik. Jika bisnis Anda memerlukan latensi jaringan lebih rendah, ajukan tiket untuk berkonsultasi titik akses terdekat ke instance ECS Anda.

Kinerja failover

Express Connect melakukan failover menggunakan beberapa metode, seperti perutean dinamis BGP, BFD, dan kelompok failover.

• Perutean dinamis BGP menggunakan konvergensi otomatis untuk melakukan failover koneksi dalam hitungan detik.

• Perutean dinamis BGP digabungkan dengan BFD dapat mendeteksi kegagalan koneksi dalam hitungan milidetik dan melakukan failover koneksi dalam hitungan detik.

• Perutean dinamis BGP digabungkan dengan BFD dan kelompok failover dapat melakukan failover koneksi dalam hitungan milidetik.

Kami merekomendasikan Anda mengaktifkan BFD dan kelompok failover untuk perutean dinamis BGP guna mempercepat konvergensi rute serta proses failover.

Keamanan

Perlindungan multi-lapis

Keamanan jaringan sangat penting untuk jaringan multi-cloud atau hybrid-cloud. Anda dapat menggunakan grup keamanan, daftar kontrol akses (ACL), dan beberapa tabel rute router transit untuk mengaktifkan berbagai jenis perlindungan untuk jaringan Anda.

• Grup keamanan: Grup keamanan adalah firewall virtual yang mengontrol lalu lintas masuk dan keluar untuk instance ECS. Anda dapat mengonfigurasi aturan masuk untuk grup keamanan untuk mengontrol lalu lintas ke instance ECS dalam grup keamanan dan aturan keluar untuk mengontrol lalu lintas dari instance tersebut. Untuk informasi lebih lanjut, lihat Panduan penggunaan grup keamanan dan contoh penggunaan.

• ACL jaringan: ACL jaringan memungkinkan Anda mengatur kontrol akses untuk VPC. Anda dapat membuat aturan ACL jaringan dan mengaitkan ACL jaringan dengan vSwitch untuk mengontrol lalu lintas masuk dan keluar instance ECS dalam vSwitch. Anda dapat membatasi akses dari beberapa pusat data ke VPC. Untuk informasi lebih lanjut, lihat Kelola komunikasi antara pusat data dan VPC.

• Beberapa tabel rute router transit: Anda dapat mengonfigurasi beberapa tabel rute untuk router transit untuk menghubungkan dan mengisolasi pusat data dan VPC serta mengontrol pengalihan lalu lintas antara pusat data dan VPC. Ini meningkatkan keamanan untuk komunikasi antara sumber daya cloud dan sumber daya lokal. Untuk informasi lebih lanjut, lihat Aktifkan komunikasi jaringan aman menggunakan router transit edisi perusahaan.

• Beberapa tabel rute router transit + Cloud Firewall: Anda dapat mengonfigurasi beberapa tabel rute untuk router transit untuk mengisolasi lalu lintas jaringan tepercaya dari lalu lintas jaringan tidak tepercaya dan menggunakan Cloud Firewall untuk mendeteksi dan menyaring lalu lintas jaringan tidak tepercaya.

Enkripsi data:

Setelah Anda menetapkan komunikasi pribadi antara pusat data dan VPC menggunakan sirkuit Express Connect, transmisi data melalui koneksi tersebut tidak dienkripsi. Jika bisnis Anda memerlukan keamanan lebih tinggi, Anda dapat membuat koneksi IPsec-VPN untuk mengenkripsi transmisi data. Untuk informasi lebih lanjut, lihat Enkripsi koneksi pribadi menggunakan perutean BGP.

Keterlihatan

Keterlihatan diklasifikasikan menjadi aspek-aspek berikut berdasarkan skenario:

• Keterlihatan pada konektivitas sirkuit Express Connect: Konfigurasikan aturan peringatan di CloudMonitor untuk memantau status koneksi melalui sirkuit Express Connect. CloudMonitor menunjukkan apakah koneksi tersedia atau tidak tersedia. Untuk informasi lebih lanjut, lihat Pemantauan dan peringatan untuk koneksi melalui sirkuit Express Connect.

• Keterlihatan pada penggunaan data sirkuit Express Connect: Lihat transfer data keluar selama rentang waktu yang berbeda di Konsol Express Connect. Untuk informasi lebih lanjut, lihat Biaya transfer data keluar.

• Keterlihatan pada penggunaan bandwidth sirkuit Express Connect: Express Connect terintegrasi dengan CloudMonitor untuk memantau status VBR dan laju transfer data masuk dan keluar secara real-time. Anda juga dapat mengonfigurasi aturan peringatan sehingga Anda diberitahu tentang anomali pada kesempatanpertama. Anda dapat mengevaluasi penggunaan bandwidth seluruh sirkuit Express Connect berdasarkan jumlah total laju transfer data masuk dan keluar VBR pada saat yang sama. Untuk informasi lebih lanjut, lihat Pemantauan dan peringatan untuk VBR.

• Keterlihatan pada N besar transfer data: Network Intelligence Service (NIS) mendukung analisis lalu lintas hybrid cloud. Jika Anda menggunakan CEN untuk membangun jaringan, Anda dapat menggunakan NIS untuk menganalisis dan menampilkan volume data masuk dan keluar dari berbagai dimensi, seperti alamat IP, port, dan protokol. Anda juga dapat melihat N besar port, N besar peer port, dan N besar protokol yang menghasilkan volume transfer data terbesar di wilayah tertentu dalam rentang waktu tertentu. Untuk informasi lebih lanjut, lihat Bekerja dengan kemampuan analisis lalu lintas hybrid cloud.

Layanan kustom

Pendeteksian cepat anomali

• Anda dapat mengonfigurasi aturan peringatan dan menentukan ambang batas untuk sirkuit Express Connect dan VBR di CloudMonitor untuk mendeteksi anomali pada kesempatan pertama. Untuk informasi lebih lanjut, lihat Konfigurasikan aturan peringatan.

• Anda dapat berlangganan NIS, yang menyediakan pusat acara untuk membantu Anda memantau sumber daya berdasarkan acara. Anda dapat melihat sumber daya yang terpapar risiko potensial dan mengonfigurasi aturan peringatan untuk acara tertentu. Dengan cara ini, Anda dapat menangani acara-acara tersebut pada kesempatan pertama untuk mencegah gangguan bisnis. Untuk informasi lebih lanjut, lihat bagian Express Connect dalam topik Kelola acara.

• Secara default, NIS melakukan diagnosis jaringan pada seluruh arsitektur. Item diagnosis mencakup stabilitas, keamanan, performa, optimasi biaya, dan keunggulan operasional. Hasil inspeksi menunjukkan apakah jaringan multi-cloud atau hybrid-cloud terpapar risiko. Untuk informasi lebih lanjut, lihat Inspeksi jaringan.

Deteksi untuk jaringan hybrid-cloud atau multi-cloud yang tidak dapat diakses

Jika jaringan hybrid-cloud atau multi-cloud Anda menjadi tidak dapat diakses, gunakan metode berikut untuk mendiagnosis masalah:

• Metode 1: Gunakan Network Intelligence Service (NIS) untuk melakukan analisis jalur dan mengidentifikasi penyebab kesalahan. Setelah analisis jalur selesai, NIS secara otomatis menghasilkan informasi rinci tentang jalur virtual antara VPC dan pusat data. Jika tujuan tidak dapat diakses, sistem akan mendeteksi kesalahan, menganalisis penyebabnya, dan menampilkan jalur lalu lintas antara sumber dan tujuan. Jika masalah berlanjut, ajukan tiket.

• Metode 2: Di perangkat gateway di pusat data Anda, lakukan tes konektivitas antara alamat IP sisi pelanggan dan alamat IP sisi Alibaba Cloud dari sirkuit Express Connect. Jalankan perintah ping untuk menguji apakah alamat IP tersebut dapat langsung mengakses satu sama lain. Jika tidak, laporkan kesalahan kepada penyedia layanan Internet (ISP) Anda. Anda juga dapat ajukan tiket untuk melaporkan kesalahan ini ke Alibaba Cloud. Alibaba Cloud memeriksa kesalahan pada sirkuit Express Connect. Operasi pengguna terpisah dari operasi Alibaba Cloud pada port switch sisi Alibaba Cloud. Jika perangkat akses berfungsi sebagaimana mestinya tetapi masalah tetap ada, hubungi ISP Anda untuk pemecahan masalah.

Tetapkan komunikasi untuk bisnis kritis dalam jaringan multi-cloud atau hybrid-cloud

Arsitektur Inti:

• Dua sirkuit Express Connect dan dua titik akses: Ajukan sumber daya di dua titik akses dan dua sirkuit Express Connect. Sirkuit Express Connect dapat mengimplementasikan load balancing ECMP dan berfungsi sebagai sirkuit aktif dan standby untuk memastikan keandalan dan performa.

• ECR yang dirancang berdasarkan perutean dinamis dan arsitektur terdistribusi: ECR dapat secara efisien meningkatkan konfigurasi dan manajemen rute, mengurangi latensi jaringan antara sirkuit Express Connect dan zona, dan meningkatkan kapasitas bandwidth antara router transit dan ECR.

• Router transit dapat mengisolasi ECR dari VPC dan menghubungkan ECR ke VPC sesuai permintaan.

• Pusat data terhubung ke cloud pihak ketiga dan Alibaba Cloud menggunakan perutean dinamis BGP dan BFD.

Tetapkan komunikasi untuk bisnis non-kritis dalam jaringan multi-cloud atau hybrid-cloud

Arsitektur inti:

• Sirkuit Express Connect + koneksi IPsec-VPN: Koneksi utama dibuat melalui sirkuit Express Connect, dengan koneksi IPsec-VPN berfungsi sebagai cadangan. Jika sirkuit Express Connect mengalami kegagalan, lalu lintas secara otomatis dialihkan ke koneksi IPsec-VPN untuk memastikan kontinuitas layanan. Solusi ini juga membantu mengurangi biaya koneksi untuk jaringan multi-cloud atau hybrid-cloud.

• ECR yang dirancang berdasarkan perutean dinamis dan arsitektur terdistribusi: ECR dapat meningkatkan konfigurasi dan manajemen rute, mengurangi latensi jaringan antara sirkuit Express Connect dan zona, dan meningkatkan kapasitas bandwidth antara router transit dan ECR.

• Router transit dapat mengisolasi ECR dari VPC dan menghubungkan ECR ke VPC sesuai permintaan.

• Pusat data terhubung ke cloud pihak ketiga dan Alibaba Cloud menggunakan perutean dinamis BGP dan BFD.

Tetapkan komunikasi untuk bisnis kritis dalam jaringan multi-cloud atau hybrid-cloud

Proses coding:

1. Dua sirkuit Express Connect dan dua titik akses: Ajukan sumber daya di dua titik akses dan dua sirkuit Express Connect. Sirkuit Express Connect dapat mengimplementasikan load balancing ECMP dan berfungsi sebagai sirkuit aktif dan standby untuk memastikan keandalan dan performa.

2. ECR yang dirancang berdasarkan perutean dinamis dan arsitektur terdistribusi: ECR dapat meningkatkan konfigurasi dan manajemen rute, mengurangi latensi jaringan antara sirkuit Express Connect dan zona, dan meningkatkan kapasitas bandwidth antara router transit dan ECR.

3. Router transit dapat mengisolasi ECR dari VPC dan menghubungkan ECR ke VPC sesuai permintaan.

4. Pusat data terhubung ke cloud pihak ketiga dan Alibaba Cloud menggunakan perutean dinamis BGP dan BFD.

Sumber daya yang dibutuhkan:

• Dua VPC

• Empat switch

• Satu instans CEN

• Satu router transit

• Satu ECR

• Dua VBR