Pemetaan Port GA untuk Fleksibilitas dan Keamanan yang Lebih Baik - Global Accelerator

Untuk alasan keamanan, organisasi sering perlu mengisolasi port yang menghadap eksternal dari port aplikasi backend. Anda dapat mengonfigurasi pemetaan port di Global Accelerator (GA) untuk memetakan port listener ke port titik akhir, sehingga meningkatkan fleksibilitas dan keamanan penerapan aplikasi Anda.

Ikhtisar

Secara default, Global Accelerator (GA) meneruskan lalu lintas ke kelompok titik akhir menggunakan protokol dan range port yang Anda tentukan saat membuat listener. Listener routing cerdas mendukung pemetaan port. Saat mengonfigurasi kelompok titik akhir, Anda dapat memetakan port listener ke port titik akhir tertentu. Setelah pemetaan port dikonfigurasi, GA menerima lalu lintas pada port listener dan meneruskannya ke port titik akhir yang sesuai.

Kasus penggunaan

Pemetaan port ideal untuk skenario di mana port listener berbeda dari port yang digunakan oleh titik akhir untuk layanan:

Akses aman untuk aplikasi enterprise: Untuk meningkatkan keamanan, organisasi sering mengisolasi port yang menghadap eksternal dari port aplikasi internal. Dengan pemetaan port GA, Anda dapat menerima permintaan eksternal pada port standar, seperti TCP 80, dan meneruskannya ke port aplikasi backend, seperti 8080. Hal ini mencegah ekspos langsung port layanan internal.
Isolasi port untuk aplikasi SaaS multi-penyewa: Pada aplikasi Software-as-a-Service (SaaS), gunakan pemetaan port GA untuk menetapkan port yang menghadap eksternal berbeda bagi setiap penyewa, seperti 8001, 8002, dan 8003, serta memetakan port-port tersebut ke port backend tertentu, seperti 8080. Hal ini menjamin isolasi dan keamanan antarpenyewa.
Akselerasi HTTPS untuk website HTTP: Anda dapat menggunakan pemetaan port GA untuk mengenkripsi permintaan klien ke website yang berjalan pada Port HTTP 80. Misalnya, Anda dapat mengonfigurasi listener HTTPS pada Port 443 dan memetakannya ke layanan backend yang mendengarkan pada Port HTTP 80. Hal ini menyediakan akses HTTPS yang aman dan dipercepat ke website HTTP Anda.

Batasan

Beberapa instans GA standar lama tidak mendukung port mapping untuk listener TCP atau UDP. Untuk mengaktifkan fitur ini, hubungi manajer akun Anda untuk melakukan upgrade instans.
Saat mengonfigurasi Port Mapping, Listener Port harus berada dalam range port yang dikonfigurasi untuk listener saat ini. Endpoint Port harus bernilai antara 1 hingga 65535.
Untuk listener TCP dan UDP, Anda dapat mengklik Add Port Mapping untuk menambahkan beberapa pemetaan port. Listener Port pada setiap pemetaan port harus unik. Anda dapat menambahkan hingga 30 pemetaan port.
Untuk listener HTTP dan HTTPS, Anda hanya dapat menambahkan satu pemetaan port.
Untuk listener TCP:
- Anda tidak dapat mengonfigurasi pemetaan port untuk kelompok titik akhir virtual.
- Jika kelompok titik akhir virtual sudah ada untuk listener tersebut, Anda tidak dapat mengonfigurasi pemetaan port untuk kelompok titik akhir default.
- Jika pemetaan port sudah dikonfigurasi untuk kelompok titik akhir default, Anda tidak dapat menambahkan kelompok titik akhir virtual.
Setelah mengonfigurasi pemetaan port, batasan berikut berlaku untuk perubahan listener selanjutnya:
- Protokol listener: Anda hanya dapat beralih antara HTTP dan HTTPS. Beralih antar protokol lain tidak didukung.
- Port listener: Range port listener yang dimodifikasi harus mencakup semua port listener yang memiliki pemetaan port yang sudah ada.
  
  Misalnya, jika range port listener adalah 80–82 dan dipetakan ke port titik akhir 100–102, maka range port listener yang dimodifikasi harus mencakup port 80–82. Anda dapat mengubah range menjadi 80–90, tetapi tidak dapat mempersempitnya menjadi 80–81.
Jika daftar kontrol akses (ACL), seperti aturan grup keamanan, dikonfigurasi untuk layanan backend, pastikan aturan inbound mengizinkan lalu lintas pada port titik akhir yang ditentukan dalam pemetaan port.

Misalnya, jika Anda memetakan port listener 80 ke port titik akhir 8080, aturan grup keamanan untuk titik akhir tersebut harus mengizinkan lalu lintas masuk pada port 8080.

Contoh

Listener Lapisan 4 (TCP dan UDP) dan Lapisan 7 (HTTP dan HTTPS) dari GA keduanya mendukung konfigurasi pemetaan port. Artikel ini menggunakan dua skenario berikut untuk mengilustrasikan kemampuan pemetaan port GA.

Lapisan 4 (TCP dan UDP)

Sebuah perusahaan game meng-host game online multipemain berskala besar pada Instance ECS ECS01 dan ECS02. Instans tersebut ditambahkan sebagai backend ke grup server Network Load Balancer (NLB) di wilayah AS (Silicon Valley). Pada aplikasi game, modul logika pertarungan berjalan pada port 8080 dan modul obrolan berjalan pada port 8090.

Perusahaan menghadapi tantangan berikut:

Pemain tersebar di seluruh dunia dan mengalami latensi tinggi, jitter, serta kehilangan paket akibat jaringan internasional yang tidak stabil.
Game memerlukan port berbeda untuk mengarahkan lalu lintas ke modul backend yang tepat (pertarungan dan obrolan).
Ekspos langsung port aktual server game menimbulkan risiko keamanan dan sulit dikelola.

Untuk mengatasi masalah ini, perusahaan menggunakan GA. GA mengarahkan permintaan game ke titik akses Alibaba Cloud terdekat, lalu mentransmisikannya melalui jaringan internal Alibaba Cloud ke server game. Hal ini memperpendek jalur transmisi jaringan publik dan mengurangi masalah jaringan seperti latensi, jitter, dan kehilangan paket. Selain itu, perusahaan menggunakan fitur pemetaan port GA untuk menerima permintaan eksternal pada port TCP 80 dan 90 serta meneruskannya ke port layanan backend 8080 dan 8090. Hal ini mengisolasi modul layanan dan mengurangi risiko ekspos langsung port layanan internal.

Prasyarat

Anda telah membuat instans NLB.
Anda telah membuat grup server dan listener dengan penerusan port penuh diaktifkan untuk instans NLB.

Anda telah menambahkan ECS01 dan ECS02 ke grup server NLB, serta menerapkan modul layanan pada beberapa port di setiap Instance ECS.

Contoh ini menggunakan Alibaba Cloud Linux 3 dan Nginx untuk mengonfigurasi layanan uji yang mendengarkan pada port 8080 dan 8090.

Perintah referensi untuk menerapkan layanan uji pada ECS01

Jalankan perintah berikut untuk menginstal Nginx dan menerapkan halaman uji contoh.

yum install -y nginx
cd /usr/share/nginx/html/
echo "Hello World! This is ECS01, service running on port 8080." > index8080.html
echo "Hello World! This is ECS01, service running on port 8090." > index8090.html

Jalankan perintah berikut untuk membuka file konfigurasi Nginx nginx.conf, konfigurasi modul layanan untuk port 8080 dan 8090, lalu simpan file dan keluar.

vim /etc/nginx/nginx.conf

Berikut adalah contoh konfigurasi:

http {
    ...
    # Existing configuration
    # Add a server block for port 8080.
    server {
        listen 8080;
        server_name localhost;
        location / {
            root /usr/share/nginx/html;
            index index8080.html;
        }
    }
    # Add a server block for port 8090.
    server {
        listen 8090;
        server_name localhost;
        location / {
            root /usr/share/nginx/html;
            index index8090.html;
        }
    }
}

Jalankan perintah berikut untuk me-restart layanan Nginx.
```
systemctl restart nginx.service
```

Aturan grup keamanan untuk Instance ECS01 dan ECS02 mengizinkan lalu lintas masuk pada port 8080 dan 8090.
Anda telah mengonfigurasi rekaman CNAME untuk nama domain Anda yang mengarah ke instans NLB.

Jika Anda menggunakan layanan DNS selain Alibaba Cloud DNS, lihat dokumentasi penyedia DNS Anda.

Prosedur

Langkah 1: Konfigurasi informasi dasar tentang instans

Pada contoh ini, digunakan instans GA standar bayar sesuai penggunaan.

Pada halaman Standard Instance > Instances di Konsol Global Accelerator, klik Create Standard Pay-as-you-go Instance.
Pada langkah Basic Instance Configuration, konfigurasikan informasi dasar dan klik Next.

Langkah 2: Konfigurasi area percepatan

Pada langkah Configure Acceleration Area, tambahkan wilayah akselerasi, alokasikan bandwidth ke wilayah tersebut, lalu klik Next.

Pada contoh ini, digunakan wilayah China (Hong Kong). Parameter Acceleration Region diatur ke China (Hong Kong) dan parameter ISP Line Type diatur ke BGP (Multi-ISP). Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi lebih lanjut, lihat Add and manage acceleration areas.

Penting

Jika wilayah akselerasi mencakup wilayah di Tiongkok daratan, Anda harus mengajukan Pendaftaran ICP untuk nama domain agar dapat menyediakan layanan.
Jika Anda menentukan nilai kecil untuk bandwidth maksimum, pembatasan kecepatan dapat terjadi dan paket mungkin dibuang. Tentukan bandwidth maksimum sesuai kebutuhan.

GA加速区域.png

Langkah 3: Konfigurasi listener

Pada halaman Configure Listener, konfigurasikan protokol dan port penerusan, lalu klik Next.

Pada skenario ini, atur Protocol ke TCP dan atur Port ke range yang mencakup port 80 dan 90, misalnya 80-90. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya berdasarkan kebutuhan bisnis Anda. Untuk informasi lebih lanjut tentang cara mengonfigurasi listener, lihat Add and manage an intelligent routing listener.

Langkah 4: Konfigurasi kelompok titik akhir dan titik akhir

Pada halaman Configure an Endpoint Group, konfigurasikan layanan backend untuk kelompok titik akhir, lalu klik Next.

Pada skenario ini, atur Region ke US (Silicon Valley), Backend Service Type ke NLB, dan Backend Service ke instans NLB tujuan. Pada bagian Port Mapping, petakan port listener 80 ke port titik akhir 8080 dan port listener 90 ke port titik akhir 8090. Kemudian, baca dan pilih Compliance Commitments Regarding Cross-border Data Transfers. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya berdasarkan kebutuhan bisnis Anda. Untuk informasi lebih lanjut tentang cara mengonfigurasi kelompok titik akhir, lihat Add and manage an endpoint group for an intelligent routing listener.
Pada halaman Configuration Review, konfirmasi konfigurasi instans GA dan klik Submit.

Langkah 5: Konfigurasi rekaman CNAME

Dalam lingkungan produksi, kami merekomendasikan agar Anda menggunakan nama domain sendiri. Buat rekaman CNAME yang mengarahkan domain Anda ke CNAME yang disediakan oleh instans GA. Hal ini akan mengarahkan lalu lintas aplikasi Anda ke GA untuk akselerasi.

Jika Anda sudah memiliki rekaman A yang mengarah ke server backend Anda, pertama-tama tambahkan rekaman CNAME untuk instans GA di wilayah China (Hong Kong) untuk pengujian. Setelah pengujian berhasil, Anda dapat secara bertahap memperluas ke wilayah lain atau beralih sepenuhnya ke rekaman CNAME GA.

Pada halaman Public Zone, temukan nama domain yang ingin Anda gunakan dan klik Settings di kolom Actions.
Catatan
Untuk nama domain yang tidak terdaftar di Alibaba Cloud, tambahkan ke Alibaba Cloud DNS sebelum mengonfigurasi rekaman DNS.
Pada halaman Pengaturan DNS, klik Add Record, konfigurasi rekaman CNAME, lalu klik OK.
Pada contoh ini, parameter Record Type diatur ke CNAME, parameter Hostname diatur ke www, parameter Query Source diatur ke China (Hong Kong), dan parameter Record Value diatur ke CNAME instans GA. Gunakan nilai default untuk parameter lain atau modifikasi sesuai kebutuhan. Untuk informasi lebih lanjut, lihat Add DNS records.

Langkah 6: Uji konfigurasi

Verifikasi pemetaan port

Dari komputer di wilayah akselerasi, yaitu China (Hong Kong) pada contoh ini:

Buka browser dan kunjungi http://<your-domain-name>:80. Segarkan halaman beberapa kali. Permintaan harus bergantian antara ECS01 dan ECS02. Halaman akan menampilkan pesan seperti
```
Hello World! This is ECS01, service running on port 8080.
```
atau Hello World! This is ECS02, service running on port 8080.
Buka browser dan kunjungi http://<your-domain-name>:90. Segarkan halaman beberapa kali. Permintaan harus bergantian antara ECS01 dan ECS02. Halaman akan menampilkan pesan seperti Hello World! This is ECS01, service running on port 8090. atau Hello World! This is ECS02, service running on port 8090..

Verifikasi kinerja akselerasi

Contoh ini menggunakan tool deteksi sekali pakai untuk membandingkan latensi layanan pada port 8080 sebelum dan setelah mengaktifkan GA. Dengan membandingkan waktu respons, Anda dapat mengukur peningkatan kinerja. Untuk informasi lebih lanjut, lihat Use a network probe tool to test acceleration performance.

Masukkan http://<your-domain-name>:8080 untuk menguji latensi jaringan sebelum Anda mengonfigurasi GA.

Sebelum melakukan pengujian ini, pastikan rekaman DNS mengarah ke CNAME instans NLB.

Anda dapat melihat informasi seperti waktu respons. Alamat IP yang di-resolve adalah Alamat IP publik instans NLB, yang menunjukkan bahwa lalu lintas diarahkan langsung ke instans tersebut.
Masukkan http://<your-domain-name>:80 untuk menguji latensi jaringan setelah Anda mengonfigurasi GA.

Sebelum melakukan pengujian ini, pastikan rekaman DNS dialihkan untuk mengarah ke CNAME instans GA.

Alamat IP yang di-resolve adalah Alamat IP yang dipercepat dari instans GA, yang menunjukkan bahwa lalu lintas diarahkan ke instans GA untuk akselerasi.

Hasil pengujian menunjukkan bahwa penggunaan GA mengurangi latensi bagi klien di China (Hong Kong) saat mengakses layanan di wilayah AS (Silicon Valley).

Catatan

Kinerja akselerasi aktual GA dapat bervariasi tergantung pada kondisi jaringan dan konfigurasi layanan Anda.

Lapisan 7 (HTTP dan HTTPS)

Sebuah perusahaan enterprise menggunakan instans Application Load Balancer (ALB) untuk menerapkan layanan web yang sangat tersedia di wilayah AS (Silicon Valley). Layanan web berjalan pada Port HTTP 8081 dan melayani pengguna di seluruh dunia.

Perusahaan menghadapi tantangan berikut:

Kualitas jaringan publik yang buruk menyebabkan latensi jaringan tinggi bagi sebagian pengguna, sehingga menurunkan pengalaman pengguna.
HTTP mentransmisikan data dalam teks biasa dan tidak melakukan autentikasi website, sehingga menimbulkan risiko keamanan signifikan.
Layanan web berjalan pada port kustom 8081, sehingga pengguna tidak dapat langsung mengakses layanan melalui Port HTTPS 443 standar.

Untuk mengatasi masalah ini, perusahaan menggunakan GA untuk meningkatkan pengalaman pengguna. Perusahaan juga menggunakan fitur pemetaan port GA untuk menerima permintaan eksternal pada Port HTTPS 443 dan meneruskannya ke layanan backend pada Port HTTP 8081. Hal ini mengenkripsi permintaan klien dan memungkinkan layanan diakses melalui Port HTTPS standar.

Prasyarat

Anda telah membuat instans ALB.
Anda telah membuat grup server dan menambahkan listener HTTP untuk instans ALB.
Anda telah menambahkan ECS01 dan ECS02 ke grup server ALB, serta menerapkan layanan pada port 8081 di kedua Instance ECS.

Contoh ini menggunakan Alibaba Cloud Linux 3 dan Nginx untuk mengonfigurasi layanan uji yang mendengarkan pada port 8081.
Perintah referensi untuk menerapkan layanan uji pada ECS01
1. Jalankan perintah berikut untuk menginstal Nginx dan menerapkan halaman uji contoh.
```
yum install -y nginx
cd /usr/share/nginx/html/
echo "Hello World! This is ECS01, service running on port 8081." > index8081.html
```
2. Jalankan perintah berikut untuk membuka file konfigurasi Nginx nginx.conf, konfigurasi modul layanan untuk port 8081, lalu simpan file dan keluar.
```
vim /etc/nginx/nginx.conf
```
  Berikut adalah contoh konfigurasi:
```
http {
    ...
    # Existing configuration
    # Add a server block for port 8081.
    server {
        listen 8081;
        server_name localhost;
        location / {
            root /usr/share/nginx/html;
            index index8081.html;
        }
    }
}
```
3. Jalankan perintah berikut untuk me-restart layanan Nginx.
```
systemctl restart nginx.service
```
Aturan grup keamanan untuk Instance ECS01 dan ECS02 mengizinkan lalu lintas masuk pada port 8081.
Anda telah mengonfigurasi rekaman CNAME untuk nama domain Anda yang mengarah ke instans ALB.

Jika Anda menggunakan layanan DNS selain Alibaba Cloud DNS, lihat dokumentasi penyedia DNS Anda.
Anda telah membeli sertifikat atau mengunggah sertifikat pihak ketiga ke SSL Certificates Service dan mengaitkannya dengan nama domain Anda. Untuk informasi lebih lanjut tentang cara membuat sertifikat, lihat Enable HTTPS access for a website with an official certificate.

Prosedur

Langkah 1: Konfigurasi informasi dasar tentang instans

Pada contoh ini, digunakan instans GA standar bayar sesuai penggunaan.

Pada halaman Standard Instance > Instances di Konsol Global Accelerator, klik Create Standard Pay-as-you-go Instance.
Pada langkah Basic Instance Configuration, konfigurasikan informasi dasar dan klik Next.

Langkah 2: Konfigurasi area percepatan

Pada langkah Configure Acceleration Area, tambahkan wilayah akselerasi, alokasikan bandwidth ke wilayah tersebut, lalu klik Next.

Penting

Jika wilayah akselerasi mencakup wilayah di Tiongkok daratan, Anda harus mengajukan Pendaftaran ICP untuk nama domain agar dapat menyediakan layanan.
Jika Anda menentukan nilai kecil untuk bandwidth maksimum, pembatasan kecepatan dapat terjadi dan paket mungkin dibuang. Tentukan bandwidth maksimum sesuai kebutuhan.

GA加速区域.png

Langkah 3: Konfigurasi listener

Pada halaman Configure Listener, konfigurasikan protokol dan port penerusan, lalu klik Next.

Pada skenario ini, atur Protocol ke HTTPS dan Port ke 443. Pada daftar drop-down Select a server certificate, pilih sertifikat SSL yang dikaitkan dengan nama domain Anda. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya berdasarkan kebutuhan bisnis Anda. Untuk informasi lebih lanjut tentang cara mengonfigurasi listener, lihat Add and manage an intelligent routing listener.

Langkah 4: Konfigurasi kelompok titik akhir dan titik akhir

Pada halaman Configure an Endpoint Group, konfigurasikan layanan backend untuk kelompok titik akhir, lalu klik Next.

Pada skenario ini, atur Region ke US (Silicon Valley), Backend Service Type ke ALB, dan Backend Service ke instans ALB tujuan. Pada bagian Port Mapping, petakan port listener 443 ke port titik akhir 8081. Kemudian, baca dan pilih Compliance Commitments Regarding Cross-border Data Transfers. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya berdasarkan kebutuhan bisnis Anda. Untuk informasi lebih lanjut tentang cara mengonfigurasi kelompok titik akhir, lihat Add and manage an endpoint group for an intelligent routing listener.
Pada halaman Configuration Review, konfirmasi konfigurasi instans GA dan klik Submit.

Langkah 5: Konfigurasi rekaman CNAME

Pada halaman Public Zone, temukan nama domain yang ingin Anda gunakan dan klik Settings di kolom Actions.
Catatan
Untuk nama domain yang tidak terdaftar di Alibaba Cloud, tambahkan ke Alibaba Cloud DNS sebelum mengonfigurasi rekaman DNS.
Pada halaman Pengaturan DNS, klik Add Record, konfigurasi rekaman CNAME, lalu klik OK.
Pada contoh ini, parameter Record Type diatur ke CNAME, parameter Hostname diatur ke www, parameter Query Source diatur ke China (Hong Kong), dan parameter Record Value diatur ke CNAME instans GA. Gunakan nilai default untuk parameter lain atau modifikasi sesuai kebutuhan. Untuk informasi lebih lanjut, lihat Add DNS records.

Langkah 6: Uji konfigurasi

Verifikasi pemetaan port

Dari komputer di wilayah akselerasi, yaitu China (Hong Kong) pada contoh ini, buka browser dan kunjungi https://<your-domain-name>:443. Segarkan halaman beberapa kali. Permintaan harus bergantian antara ECS01 dan ECS02, dan Anda dapat mengakses layanan pada port 8081 melalui Port HTTPS 443.

Verifikasi kinerja akselerasi

Contoh ini menggunakan tool deteksi sekali pakai untuk menguji nama domain dan port yang sesuai sebelum dan setelah Anda mengonfigurasi GA. Anda dapat melihat waktu respons untuk mengetahui latensi data. Untuk informasi lebih lanjut, lihat Use a network probe tool to test acceleration performance.

Masukkan http://<your-domain-name>:8081 untuk menguji latensi jaringan sebelum Anda mengonfigurasi GA.

Sebelum melakukan pengujian ini, pastikan rekaman DNS mengarah ke CNAME instans ALB.

Anda dapat melihat informasi seperti waktu respons. Alamat IP yang di-resolve adalah Alamat IP publik yang dialokasikan ke instans ALB yang menghadap publik, yang menunjukkan bahwa lalu lintas diarahkan ke instans ALB.
Masukkan https://<your-domain-name>:443 untuk menguji latensi jaringan setelah Anda mengonfigurasi GA.

Sebelum melakukan pengujian ini, pastikan rekaman DNS dialihkan untuk mengarah ke CNAME instans GA.

Alamat IP yang di-resolve adalah Alamat IP yang dipercepat dari instans GA, yang menunjukkan bahwa lalu lintas diarahkan ke instans GA untuk akselerasi.

Hasil pengujian menunjukkan bahwa penggunaan GA mengurangi latensi bagi klien di China (Hong Kong) saat mengakses layanan di wilayah AS (Silicon Valley).

Catatan

Kinerja akselerasi aktual GA dapat bervariasi tergantung pada kondisi jaringan dan konfigurasi layanan Anda.

Referensi

Untuk menerapkan GA guna mengakses website HTTP 80 yang diterapkan di wilayah AS (Silicon Valley) melalui HTTPS 443, lihat Securely accelerate access to HTTP websites over HTTPS.
ALB terintegrasi dengan GA. Anda dapat dengan cepat mengonfigurasi akselerator GA dari konsol ALB untuk menyederhanakan proses penyiapan. Untuk informasi lebih lanjut, lihat Enable application acceleration quickly by integrating ALB with GA.
Untuk informasi tentang masalah umum dengan GA, lihat topik berikut:
Anda dapat menggunakan parameter PortOverrides dari Operasi API berikut untuk mengonfigurasi pemetaan port: