Konfigurasikan fungsi untuk mengakses VPC guna isolasi jaringan - Function Compute

Secara default, fungsi yang dibuat di Function Compute dapat mengakses jaringan publik, namun tidak dapat mengakses resource dalam Virtual Private Cloud (VPC). Untuk mengaktifkan akses fungsi ke resource VPC atau membatasi pemanggilan fungsi ke VPC tertentu, Anda harus mengonfigurasi pengaturan jaringan dan izinnya secara manual. Topik ini menjelaskan cara mengonfigurasi pengaturan jaringan untuk fungsi di konsol Function Compute.

Catatan penggunaan

Saat mengonfigurasi akses VPC untuk fungsi dengan akselerasi GPU yang dibuat dari image instans Container Registry (ACR) Edisi Perusahaan Alibaba Cloud, pemilihan VPC dan vSwitch harus mengikuti prinsip berikut:

Jika halaman Access Control pada instans ACR Edisi Perusahaan menampilkan Access IP dengan tag Default Resolution, maka VPC dan vSwitch untuk fungsi tersebut harus diatur ke VPC dan vSwitch yang sesuai dengan alamat IP resolusi default.
Jika halaman Access Control pada instans ACR Edisi Perusahaan menampilkan Access IP tanpa tag Default Resolution, maka VPC dan vSwitch untuk fungsi tersebut dapat diatur ke pasangan mana pun yang terikat pada instans tersebut.

Kemampuan akses jaringan

Mengaktifkan akses VPC dapat meningkatkan latensi cold start Function Compute. Kami menyarankan agar menggunakan konfigurasi ini hanya jika diperlukan. Sebagai alternatif, pertimbangkan untuk menggunakan otorisasi RAM guna mengakses resource. Untuk informasi selengkapnya, lihat Gunakan role fungsi untuk mengakses layanan cloud lainnya.

Ketika sebuah fungsi dipanggil atau saat mengakses alamat jaringan, traffic akan dihasilkan. Traffic ini dikategorikan sebagai berikut:

Traffic jaringan publik: Traffic yang dihasilkan dari pengaksesan alamat Internet, seperti situs web resmi Alibaba Cloud, Taobao, atau Titik akhir publik layanan cloud.
Traffic VPC: Traffic yang dihasilkan dari pengaksesan resource dalam VPC Anda, seperti endpoint RDS, endpoint NAS, atau Alamat IP pribadi instans ECS.

Kemampuan akses jaringan suatu fungsi bergantung pada konfigurasinya. Anda dapat mengonfigurasinya sesuai kebutuhan.

Traffic egress fungsi: Menentukan apakah suatu fungsi dapat mengirim traffic egress ke jaringan publik atau ke resource dalam VPC. Pengaturan yang relevan adalah Allow VPC Access dan Allow function to access public network.

Tabel 1. Traffic egress fungsi

Konfigurasi	Deskripsi
Izinkan fungsi hanya mengakses jaringan publik	Fungsi tersebut mengakses jaringan publik dan jaringan internal Function Compute. Akses melalui VPC Anda dinonaktifkan. Konfigurasi jaringan yang diperlukan: Atur Allow VPC Access ke No. Atur Allow function to access public network ke Yes.
Izinkan fungsi hanya mengakses VPC	Fungsi tersebut mengakses jaringan publik dan resource internal hanya melalui VPC Anda. Konfigurasi ini cocok untuk skenario yang melibatkan PrivateZone, NAT Gateway, atau fungsi yang terikat ke VPC. Konfigurasi jaringan yang diperlukan: Atur Allow VPC Access ke Yes dan konfigurasikan informasi VPC yang dapat diakses oleh fungsi tersebut. Atur Allow function to access public network ke No.
Izinkan fungsi mengakses jaringan publik dan VPC sekaligus	Untuk fungsi non-GPU: Mengakses jaringan publik melalui jaringan fungsi. Mengakses jaringan internal melalui VPC Anda. PrivateZone didukung untuk resolusi nama domain pribadi. Untuk fungsi GPU: Mengakses jaringan publik dan jaringan internal dalam Blok CIDR 100.0.0.0/8 melalui jaringan fungsi. Mengakses jaringan internal di luar Blok CIDR 100.0.0.0/8 melalui VPC Anda. PrivateZone tidak didukung untuk resolusi nama domain pribadi. Untuk mengaktifkan fitur ini, Anda dapat membuat Tiket. Konfigurasi jaringan yang diperlukan: Atur Allow VPC Access ke Yes dan konfigurasikan informasi VPC yang dapat diakses oleh fungsi tersebut. Atur Allow function to access public network ke Yes.
Larang fungsi mengakses jaringan publik maupun VPC	Fungsi tersebut dapat mengakses jaringan internal Function Compute. Akses ke jaringan publik dan VPC Anda dinonaktifkan. Konfigurasi jaringan yang diperlukan: Atur Allow VPC Access ke No. Atur Allow function to access public network ke No.

Traffic ingress fungsi: Menentukan apakah suatu fungsi dapat menerima traffic ingress dari jaringan publik atau VPC. Pengaturan yang relevan adalah Allow Only Specified VPCs to Invoke the Function.

Tabel 2. Traffic ingress fungsi

Konfigurasi

Deskripsi

Izinkan fungsi dipanggil dari jaringan publik dan VPC

Secara default, fungsi baru dapat dipanggil dari jaringan publik dan dari dalam VPC. Konfigurasi jaringan default adalah sebagai berikut:

Atur Allow Only Specified VPCs to Invoke the Function ke No.

Izinkan fungsi hanya dipanggil dari VPC tertentu

Pengaturan ini hanya mengizinkan pemanggilan fungsi dari VPC yang ditentukan dan menolak permintaan dari jaringan publik. Konfigurasi jaringan yang diperlukan:

Atur Allow Only Specified VPCs to Invoke the Function ke Yes dan konfigurasikan VPC tempat fungsi tersebut dapat dipanggil.

Zona ketersediaan yang didukung

Klik untuk melihat zona ketersediaan yang didukung oleh Function Compute

Wilayah	ID Wilayah	Zona ketersediaan yang didukung
China (Hangzhou)	cn-hangzhou	cn-hangzhou-h cn-hangzhou-i cn-hangzhou-j cn-hangzhou-k cn-hangzhou-f cn-hangzhou-g
China (Shanghai)	cn-shanghai	cn-shanghai-m cn-shanghai-l cn-shanghai-n cn-shanghai-b cn-shanghai-e cn-shanghai-g cn-shanghai-f
China (Qingdao)	cn-qingdao	cn-qingdao-c
China (Beijing)	cn-beijing	cn-beijing-i cn-beijing-h cn-beijing-k cn-beijing-j cn-beijing-l cn-beijing-c cn-beijing-e cn-beijing-g cn-beijing-f
China (Zhangjiakou)	cn-zhangjiakou	cn-zhangjiakou-b cn-zhangjiakou-c cn-zhangjiakou-a
China (Hohhot)	cn-huhehaote	cn-huhehaote-a cn-huhehaote-b
China (Shenzhen)	cn-shenzhen	cn-shenzhen-e cn-shenzhen-d cn-shenzhen-f
China (Chengdu)	cn-chengdu	cn-chengdu-a cn-chengdu-b
Hong Kong (China)	cn-hongkong	cn-hongkong-d cn-hongkong-c cn-hongkong-b
Singapura	ap-southeast-1	ap-southeast-1a ap-southeast-1c ap-southeast-1b
Malaysia (Kuala Lumpur)	ap-southeast-3	ap-southeast-3a
Indonesia (Jakarta)	ap-southeast-5	ap-southeast-5a ap-southeast-5b
Jepang (Tokyo)	ap-northeast-1	ap-northeast-1c ap-northeast-1b ap-northeast-1a
Inggris (London)	eu-west-1	eu-west-1a
Jerman (Frankfurt)	eu-central-1	eu-central-a eu-central-1a eu-central-1b
AS (Silicon Valley)	us-west-1	us-west-1a us-west-1b
AS (Virginia)	us-east-1	us-east-1b us-east-1a

Jika resource Anda berada di zona ketersediaan yang tidak didukung oleh Function Compute, Anda dapat membuat vSwitch di lingkungan VPC Anda dalam zona ketersediaan yang didukung oleh Function Compute, lalu menetapkan ID vSwitch ini dalam konfigurasi VPC untuk fungsi Function Compute. Karena vSwitch dalam VPC yang sama dapat saling berkomunikasi melalui jaringan pribadi, Function Compute dapat menggunakan vSwitch tersebut untuk mengakses resource di zona ketersediaan lain dalam VPC yang sama. Untuk informasi selengkapnya, lihat Apa yang harus saya lakukan jika mengalami error 'vSwitch is in unsupported zone'?.

Prasyarat

Buat fungsi
(Opsional) Buat resource jaringan
Jika Anda belum membuat resource yang diperlukan, Anda dapat memilih Automatic Configuration selama proses konfigurasi. Jika tidak, Anda harus membuat resource tersebut terlebih dahulu dengan mengikuti petunjuk dalam topik berikut:
- Buat VPC dan vSwitch
- Buat security group

Konfigurasikan jaringan dan role

Masuk ke konsol Function Compute. Di panel navigasi kiri, pilih Function Management > Functions.
Di bilah navigasi atas, pilih Wilayah. Pada halaman Functions, klik fungsi target.
Pada halaman detail fungsi, klik tab Configuration, lalu klik Modify di bagian Advanced Settings.
Di panel Advanced Settings, temukan bagian Network, konfigurasikan pengaturan sesuai kebutuhan, lalu klik Deploy.
- Allow VPC Access: Mengontrol apakah fungsi dapat mengakses resource dalam VPC. Nilai yang valid:
  - Enable: Mengizinkan fungsi untuk mengakses resource dalam VPC. Setelah memilih Enable, Anda harus memilih Configuration Method. Nilai yang valid:
    - (Disarankan) Automatic Configuration: Function Compute secara otomatis membuat resource seperti VPC, vSwitch, dan security group. Sistem menggunakan kembali resource yang ada di Wilayah saat ini alih-alih membuat yang baru.
    - Custom Configuration: Anda harus memilih resource jaringan yang ada secara manual. Pastikan Anda telah membuat resource yang diperlukan sebelumnya.
      VPC: Pilih VPC yang ingin Anda akses dari daftar.
      Penting
      Anda dapat membuat maksimal 10 vSwitch di VPC yang dipilih.
      vSwitch: Pilih setidaknya satu vSwitch dari daftar.
      Bidang ini menentukan subnet yang dapat diakses oleh Function Compute. Kami menyarankan Anda untuk menentukan dua atau lebih vSwitch. Hal ini memungkinkan fungsi Anda berjalan di subnet lain jika terjadi kegagalan zona ketersediaan atau jika alamat IP dalam subnet habis.
      Security Group: Pilih security group dari daftar.
      Security group ini mengaitkan antarmuka jaringan elastis (ENI) dengan fungsi, yang mengontrol akses ke resource dalam VPC. Secara default, aturan outbound dari security group mengizinkan semua traffic. Anda juga dapat mengonfigurasi aturan outbound untuk menentukan Kebijakan Kontrol Akses Granular bagi fungsi tersebut.
      Catatan
      Aturan outbound dari security group harus mengizinkan protokol ICMP. Function Compute menggunakan ICMP untuk memeriksa konektivitas jaringan VPC.
  - Disable: Mencegah fungsi mengakses resource dalam VPC.
- Static Public IP: Menentukan apakah akan mendapatkan Alamat IP publik statis untuk akses internet dengan menggunakan NAT Gateway dan Alamat IP Elastis. Untuk informasi selengkapnya, lihat Konfigurasikan Alamat IP publik statis.
- Allow Default ENI to Access the Internet: Menentukan apakah akan mengizinkan fungsi mengakses jaringan publik. Nilai yang valid:
  - Enable: Mengizinkan fungsi untuk mengakses jaringan publik.
  - Disable: Mencegah fungsi mengakses jaringan publik.
- Allow Only Specified VPCs to Invoke the Function: Menentukan apakah akan mengizinkan fungsi hanya dipanggil dari VPC tertentu. Nilai yang valid:
  - Enable: Mengizinkan fungsi hanya dipanggil dari VPC tertentu. Perhatikan poin-poin berikut:
    - Sebuah fungsi dapat diikat ke maksimal 20 VPC.
    - Pemanggilan fungsi oleh Pemicu tidak terpengaruh.
    - Pengikatan VPC berlaku untuk semua versi dan alias fungsi.
    - Setelah Anda mengaktifkan pengaturan ini, permintaan pemanggilan dari jaringan publik dan VPC lainnya akan ditolak. Sistem mengembalikan StatusCode 403, ErrorCode berupa AccessDenied, dan pesan error Resource access is bound by VPC: VPC ID.
    - Pengikatan VPC hanya didukung pada endpoint HTTP pribadi dan endpoint HTTPS pribadi. Titik akhir publik tidak didukung.
  - Disable: Mengizinkan fungsi dipanggil dari jaringan publik dan semua VPC.

FAQ

Mengapa Function Compute gagal terhubung ke VPC untuk debugging?
Jika Anda telah mengaktifkan akses VPC untuk fungsi Anda namun koneksi gagal, kemungkinan penyebabnya adalah sebagai berikut:
- Subnet yang menampung vSwitch bermasalah, atau alamat IP dalam subnet telah habis. Anda dapat menyediakan dua atau lebih ID vSwitch saat mengonfigurasi VPC. Konfigurasi ini meningkatkan Toleransi kesalahan dengan memungkinkan fungsi Anda berjalan di zona ketersediaan lain jika salah satunya gagal.
- Security group dikonfigurasi secara tidak benar. Konfigurasikan security group sebagai berikut:
  - Anda harus mengatur aturan inbound dari security group di VPC untuk mengizinkan akses dari security group Function Compute.
  - Aturan outbound dari security group harus mengizinkan protokol ICMP. Function Compute menggunakan ICMP untuk memeriksa konektivitas jaringan VPC.
  Untuk langkah-langkah terperinci tentang cara mengonfigurasi security group, lihat Tambahkan aturan grup keamanan.
Apa yang harus saya lakukan jika resource jaringan tidak mencukupi?
Saat Anda membuat resource jaringan VPC, konfigurasi otomatis menyediakan awalan jaringan /24, yang menawarkan 252 alamat IP yang tersedia. Jika Anda memiliki terlalu banyak instans, Anda mungkin melampaui batas ini. Dalam kasus ini, Anda harus menyesuaikan Blok CIDR dari vSwitch dan security group terkait secara manual.

Pemecahan masalah

Function Compute tidak dapat memeriksa izin akses VPC saat Anda mengonfigurasi vpcConfig. Izin ini hanya diperiksa selama eksekusi fungsi. Oleh karena itu, jenis error baru mungkin muncul saat Anda memanggil fungsi menggunakan API InvokeFunction. Tabel berikut menjelaskan error umum yang terjadi saat mengakses VPC untuk membantu Anda memecahkan masalah dengan cepat.

Kode error	Kode status HTTP	Penyebab	Solusi
InvalidArgument	400	Function Compute tidak mendukung zona ketersediaan dari vSwitch yang ditentukan oleh vSwitchId.	Perbarui vSwitchId. Untuk informasi selengkapnya, lihat Zona ketersediaan yang didukung.
		Resource yang sesuai dengan vpcId, vSwitchIds, atau securityGroupId dalam vpcConfig tidak ditemukan.	Periksa pengaturan parameter vpcConfig.
		VSwitch atau security group yang ditentukan tidak berada dalam VPC yang sesuai.	Periksa pengaturan parameter vpcConfig untuk memastikan bahwa resource yang sesuai dengan vSwitchId dan securityGroupId berada dalam VPC yang sesuai dengan vpcId.
AccessDenied	403	Izin untuk melakukan operasi pada ENI tidak diberikan.	Periksa izin fungsi tersebut. Untuk informasi selengkapnya, lihat Gunakan role fungsi untuk mengakses layanan cloud lainnya.
ResourceExhausted	429	Blok CIDR vSwitch memiliki alamat IP yang tidak mencukupi, sehingga mencegah Function Compute membuat ENI tambahan.	Buat vSwitch dengan Blok CIDR yang lebih besar dan perbarui parameter vSwitchId dari vpcConfig. Catatan Kami menyarankan Anda untuk menggunakan Blok CIDR `/24` atau `/16`.

Dokumen terkait

Untuk mengakses database dalam VPC, kami menyarankan Anda untuk mengonfigurasi daftar putih alamat IP untuk database tersebut. Dalam daftar putih, tentukan Blok CIDR dari vSwitch yang Anda konfigurasikan di halaman ini. Untuk informasi selengkapnya, lihat Akses database.
Untuk mengontrol traffic egress fungsi ke jaringan publik, Anda harus menggunakan alamat IP statis. Untuk informasi selengkapnya, lihat Konfigurasikan Alamat IP publik statis.