Tingkatkan fleksibilitas dan keamanan aplikasi dengan menggunakan pemetaan port GA - Global Accelerator

Untuk alasan keamanan, perusahaan sering perlu mengisolasi port akses eksternal dari port aplikasi backend. Anda dapat mengonfigurasi pemetaan port di Global Accelerator (GA) untuk memetakan port listener ke port aplikasi backend, sehingga meningkatkan fleksibilitas dan keamanan penerapan aplikasi.

Pengenalan fitur

Secara default, Global Accelerator (GA) menggunakan protokol dan range port yang ditentukan saat membuat listener untuk meneruskan permintaan ke kelompok titik akhir. Listener routing cerdas mendukung pemetaan port. Saat mengonfigurasi kelompok titik akhir, Anda dapat menentukan pemetaan antara port listener dan port titik akhir. Setelah dikonfigurasi, GA menerima permintaan pada port listener dan meneruskan traffic ke port titik akhir yang menyediakan layanan sesuai pemetaan tersebut, sehingga memungkinkan jaringan yang lebih fleksibel.

Skenario

Pemetaan port berlaku pada skenario di mana port listener berbeda dari port titik akhir.

Akses aman ke aplikasi perusahaan: Perusahaan sering perlu mengisolasi port akses eksternal dari port aplikasi backend guna meningkatkan keamanan. Dengan pemetaan port GA, permintaan eksternal dapat diterima pada port standar (misalnya TCP port 80) dan diteruskan ke port aplikasi backend (misalnya port 8080), sehingga mencegah ekspos langsung port layanan internal.
Isolasi port untuk aplikasi SaaS multi-penyewa: Pada aplikasi Software-as-a-Service (SaaS), port akses eksternal yang berbeda (seperti 8001, 8002, dan 8003) dialokasikan untuk penyewa yang berbeda. Anda dapat menggunakan pemetaan port GA untuk memetakan port-port tersebut ke port backend tertentu (misalnya port 8080), guna memastikan isolasi penyewa dan meningkatkan keamanan.
Akses aman ke website HTTP melalui HTTPS: Website yang berjalan pada HTTP port 80 dapat menggunakan pemetaan port GA untuk mengenkripsi permintaan melalui HTTPS. Misalnya, Anda dapat mengonfigurasi listener HTTPS pada port 443 dan memetakannya ke backend HTTP port 80. Hal ini memungkinkan klien mengakses website HTTP secara aman melalui HTTPS, sekaligus meningkatkan kecepatan akses dan keamanan.

Batasan

Jika listener TCP atau UDP pada instans GA standar Anda tidak mendukung konfigurasi Port Mappings, instans tersebut kemungkinan merupakan versi lama. Hubungi manajer akun Anda untuk melakukan upgrade instans GA.
Saat mengonfigurasi Port Mapping, pastikan bahwa Listener Port termasuk dalam range port yang dikonfigurasi untuk listener tersebut. Range valid untuk Endpoint Port adalah 1 hingga 65535.
Untuk listener TCP dan UDP, Anda dapat mengklik Add Port Mapping untuk menambahkan beberapa pemetaan port. Listener Port pada setiap pemetaan port harus unik. Anda dapat menambahkan hingga 30 pemetaan port.
Untuk listener HTTP dan HTTPS, Anda dapat menambahkan maksimal satu pemetaan port.
Untuk listener TCP:
- Anda tidak dapat mengonfigurasi pemetaan port untuk kelompok titik akhir virtual.
- Jika kelompok titik akhir virtual sudah ada untuk listener tersebut, Anda tidak dapat mengonfigurasi pemetaan port untuk kelompok titik akhir default.
- Jika pemetaan port sudah dikonfigurasi untuk kelompok titik akhir default, Anda tidak dapat menambahkan kelompok titik akhir virtual.
Setelah mengonfigurasi pemetaan port, batasan berikut berlaku untuk perubahan listener selanjutnya:
- Protokol listener: Anda hanya dapat beralih antara protokol HTTP dan HTTPS. Pergantian antar protokol lainnya tidak didukung.
- Port listener: Range port listener yang dimodifikasi harus mencakup semua port listener yang memiliki pemetaan port yang sudah ada.
  Misalnya, jika range port listener adalah 80–82 dan dipetakan ke port titik akhir 100–102, maka range port listener yang dimodifikasi selanjutnya harus tetap mencakup 80–82. Anda dapat memperluasnya menjadi 80–90, tetapi tidak boleh mempersempitnya menjadi 80–81.
Jika layanan backend memiliki kontrol akses, seperti grup keamanan, pastikan bahwa lalu lintas inbound diizinkan pada port titik akhir yang ditentukan dalam pemetaan port.
Misalnya, jika port listener adalah 80 dan dipetakan ke port titik akhir 8080, pastikan layanan backend dapat menerima traffic pada port 8080.

Contoh

Listener Lapisan 4 (TCP dan UDP) serta Lapisan 7 (HTTP dan HTTPS) dari GA mendukung pemetaan port. Topik ini menjelaskan pemetaan port GA melalui dua skenario berikut.

Pemetaan port listener Lapisan 4

Sebuah perusahaan game menerapkan server game ECS01 dan ECS02 di wilayah AS (Silicon Valley) menggunakan kelompok server backend Network Load Balancer (NLB). Game online multipemain masif diterapkan pada instans ECS tersebut, dengan modul pemrosesan logika pertempuran berjalan pada port 8080 dan modul chat pada port 8090.

Perusahaan tersebut menghadapi masalah berikut:

Pengguna akhir tersebar di berbagai wilayah global. Karena koneksi Internet yang tidak stabil, sering terjadi masalah jaringan seperti latensi tinggi, jitter, dan kehilangan paket.
Game perlu membedakan modul pemrosesan yang berbeda menggunakan port yang berbeda dan meneruskan traffic pada port tersebut ke modul backend yang sesuai.
Port server game terekspos, yang menimbulkan risiko keamanan dan mempersulit manajemen.

Untuk mengatasi masalah ini, perusahaan game berencana menerapkan Global Accelerator. Setelah menerapkan GA, permintaan diarahkan ke titik akses Alibaba Cloud terdekat dan mencapai server game melalui jaringan internal Alibaba Cloud. Hal ini memperpendek jalur transmisi melalui Internet serta mengurangi masalah jaringan seperti latensi tinggi, jitter, dan kehilangan paket. Dengan fitur pemetaan port GA, permintaan eksternal diterima pada TCP port 80 dan 90, lalu diteruskan ke port layanan backend 8080 dan 8090. Pendekatan ini menerapkan isolasi port untuk modul bisnis dan mencegah ekspos port layanan internal.

Prasyarat

Instans NLB telah dibuat. Untuk informasi selengkapnya, lihat Buat instans NLB.
Kelompok server dan listener telah dibuat untuk instans NLB. Multi-port listening diaktifkan untuk kelompok server dan listener.

ECS01 dan ECS02 telah ditambahkan ke kelompok server NLB, dan modul layanan yang berbeda diterapkan pada ECS01 dan ECS02 menggunakan port yang berbeda.

Dalam contoh ini, sistem operasi Alibaba Cloud Linux 3 dan Nginx digunakan untuk mengonfigurasi layanan uji yang mendukung port 8080 dan 8090.

Perintah untuk menerapkan layanan pada ECS01

Jalankan perintah berikut untuk menginstal Nginx dan menerapkan aplikasi uji:

yum install -y nginx
cd /usr/share/nginx/html/
echo "Hello World! This is ECS01, service running on port 8080." > index8080.html
echo "Hello World! This is ECS01, service running on port 8090." > index8090.html

Jalankan perintah berikut untuk membuka file konfigurasi Nginx nginx.conf, konfigurasikan modul layanan untuk port 8080 dan 8090, lalu simpan dan keluar dari file tersebut.

vim /etc/nginx/nginx.conf

Detail konfigurasi:

http {
    ...
    # Existing configuration

    # Add the server block for port 8080.
    server {
        listen 8080;
        server_name localhost;

        location / {
            root /usr/share/nginx/html;
            index index8080.html;
        }
    }

    # Add the server block for port 8090.
    server {
        listen 8090;
        server_name localhost;

        location / {
            root /usr/share/nginx/html;
            index index8090.html;
        }
    }
}

Jalankan perintah berikut untuk merestart layanan Nginx:
```
systemctl restart nginx.service
```

Grup keamanan ECS01 dan ECS02 mengizinkan permintaan ke port 8080 dan 8090.
Anda telah mengonfigurasi rekaman DNS untuk nama domain layanan yang memetakan nama domain layanan ke rekaman CNAME instans NLB.
Jika Anda menggunakan layanan DNS pihak ketiga, rujuk dokumentasi yang disediakan oleh penyedia layanan Anda.

Prosedur

Langkah 1: Konfigurasi informasi dasar instans

Dalam contoh ini, digunakan instans GA standar bayar sesuai penggunaan.

Pada halaman Standard Instance > Instances di Konsol Global Accelerator, klik Create Standard Pay-as-you-go Instance.
Pada langkah Basic Instance Configuration, konfigurasikan informasi dasar dan klik Next.

Langkah 2: Konfigurasi area percepatan

Pada langkah Configure Acceleration Area, tambahkan wilayah akselerasi, alokasikan bandwidth ke wilayah tersebut, lalu klik Next.

Dalam contoh ini, digunakan wilayah China (Hong Kong). Parameter Acceleration Region diatur ke China (Hong Kong) dan parameter ISP Line Type diatur ke BGP (Multi-ISP). Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya, lihat Tambah dan kelola area percepatan.

Penting

Jika wilayah akselerasi mencakup wilayah di Daratan Tiongkok, Anda harus mengajukan Pendaftaran ICP untuk nama domain agar dapat menyediakan layanan.
Jika Anda menentukan nilai bandwidth maksimum yang kecil, pembatasan kecepatan dapat terjadi dan paket mungkin dibuang. Tentukan bandwidth maksimum sesuai kebutuhan.

GA加速区域.png

Langkah 3: Konfigurasi listener

Pada langkah Configure Listeners, konfigurasikan protokol dan port forwarding, lalu klik Next.

Dalam contoh ini, parameter Protocol diatur ke TCP dan parameter Port harus mencakup port 80 dan 90. Misalnya, Anda dapat memasukkan 80-90. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya tentang cara mengonfigurasi listener, lihat Tambah dan kelola listener routing cerdas.

GA 监听80-90.png

Langkah 4: Konfigurasi kelompok titik akhir dan titik akhir

Pada langkah Configure An Endpoint Group, konfigurasikan kelompok titik akhir dan klik Next.
Dalam contoh ini, Region diatur ke US (Silicon Valley), Backend Service Type diatur ke NLB, dan Backend Service diatur ke instans NLB. Pada bagian Port Mapping, konfigurasikan pemetaan antara port listener 80 dan port titik akhir 8080 serta antara port listener 90 dan port titik akhir 8090. Kemudian, baca dan pilih Compliance Commitments Regarding Cross-border Data Transfers. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya tentang cara mengonfigurasi kelompok titik akhir, lihat Tambah dan kelola kelompok titik akhir listener routing cerdas.
Pada langkah Configuration Review, konfirmasi konfigurasi GA dan klik Submit.

Langkah 5: Konfigurasi rekaman CNAME

Dalam skenario bisnis aktual, kami merekomendasikan penggunaan nama domain kustom. Anda dapat membuat rekaman CNAME untuk memetakan nama domain kustom ke CNAME yang ditetapkan oleh GA, sehingga traffic bisnis dialihkan ke GA untuk akses yang dipercepat.

Dalam contoh ini, jika Anda telah membuat rekaman A yang mengarah ke server backend, Anda dapat menentukan wilayah China (Hong Kong) saat menambahkan rekaman CNAME yang mengarah ke instans GA. Jika rekaman CNAME berfungsi sebagaimana mestinya, terapkan rekaman CNAME tersebut ke wilayah lain atau pertahankan hanya rekaman CNAME yang mengarah ke instans GA.

Pada halaman Domain Names, temukan nama domain yang ingin Anda gunakan dan klik DNS Settings di kolom Actions.
Catatan
Untuk nama domain yang tidak didaftarkan di Alibaba Cloud, Anda harus menambahkan nama domain ke konsol Cloud DNS sebelum dapat mengonfigurasi rekaman DNS.
Pada halaman DNS Settings, klik Add DNS Record, konfigurasikan rekaman CNAME, lalu klik OK.
Dalam contoh ini, parameter Record Type diatur ke CNAME, parameter Hostname diatur ke www, parameter DNS Request Source diatur ke China (Hong Kong), dan parameter Record Value diatur ke CNAME instans GA. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya, lihat Tambah rekaman DNS.

Langkah 6: Uji konektivitas jaringan

Verifikasi pemetaan port

Pada komputer di area percepatan (Hong Kong (China) dalam contoh ini), lakukan operasi berikut:

Gunakan browser untuk mengakses http://<custom domain name>:80. Segarkan browser beberapa kali. Halaman berganti antara layanan di ECS01 dan ECS02, yang menunjukkan bahwa Anda dapat mengakses layanan pada port 8080 melalui port 80.
Gunakan browser untuk mengakses http://<custom domain name>:90. Segarkan browser beberapa kali. Halaman berganti antara layanan di ECS01 dan ECS02, yang menunjukkan bahwa Anda dapat mengakses layanan pada port 8090 melalui port 90.

Verifikasi performa akselerasi GA

Dalam contoh ini, digunakan /tool deteksi sekali pakai. Sebelum dan setelah GA dikonfigurasi, uji nama domain layanan dan port layanan untuk memeriksa waktu respons dan latensi data. Untuk informasi selengkapnya, lihat Gunakan tool probe jaringan untuk menguji performa akselerasi.

Masukkan http://<custom domain name>:8080 untuk memeriksa latensi jaringan sebelum GA digunakan.
Sebelum melakukan pengujian, pastikan rekaman DNS mengarah ke rekaman CNAME instans NLB.
Anda dapat melihat informasi seperti waktu respons. Alamat IP dalam hasil resolusi adalah Alamat IP publik yang ditetapkan untuk instans NLB yang menghadap Internet, yang menunjukkan bahwa traffic diarahkan ke NLB.
Masukkan http://<custom domain name>:80 untuk memeriksa latensi jaringan setelah GA digunakan.
Sebelum melakukan pengujian, pastikan rekaman DNS dialihkan ke rekaman CNAME instans GA.
Alamat IP yang dipercepat dari instans GA ditampilkan dalam hasil resolusi, yang menunjukkan bahwa traffic diarahkan ke GA untuk akselerasi.

Hasil pengujian menunjukkan bahwa setelah GA digunakan, latensi jaringan untuk transmisi data dari klien di Hong Kong (China) ke layanan di AS (Silicon Valley) berkurang.

Catatan

Performa akselerasi GA bervariasi tergantung layanan Anda.

Pemetaan port listener Lapisan 7

Sebuah perusahaan menerapkan layanan web yang sangat tersedia menggunakan Application Load Balancer (ALB) di wilayah AS (Silicon Valley). Layanan web tersebut berjalan pada HTTP port 8081 dan menyediakan layanan bagi pengguna akhir di berbagai wilayah global.

Perusahaan tersebut menghadapi masalah berikut:

Karena kualitas Internet yang buruk, beberapa pengguna akhir mengalami latensi jaringan tinggi, yang memengaruhi pengalaman pengguna.
Data ditransmisikan dalam teks biasa melalui HTTP, dan permintaan ke website tidak diautentikasi, sehingga menimbulkan risiko keamanan.
Layanan web berjalan pada port kustom 8081, sehingga pengguna akhir tidak dapat mengakses layanan melalui port HTTPS standar 443.

Untuk mengatasi masalah ini dan meningkatkan pengalaman pengguna, perusahaan menggunakan GA. Perusahaan menggunakan fitur pemetaan port GA untuk menerima permintaan pada HTTPS port 443 dan meneruskannya ke backend HTTP port 8081. Hal ini mengenkripsi permintaan dan membuat layanan tersedia melalui port standar 443.

Prasyarat

Instans ALB telah dibuat. Untuk informasi selengkapnya, lihat Buat instans ALB.
Anda telah membuat kelompok server dan menambahkan listener HTTP ke instans ALB.
ECS01 dan ECS02 telah ditambahkan ke kelompok server instans ALB, dan layanan yang menggunakan port 8081 diterapkan pada ECS01 dan ECS02.
Dalam contoh ini, sistem operasi Alibaba Cloud Linux 3 dan Nginx digunakan untuk mengonfigurasi layanan uji yang mendukung port 8081.
Perintah untuk menerapkan layanan pada ECS01
1. Jalankan perintah berikut untuk menginstal Nginx dan menerapkan aplikasi uji:
```
yum install -y nginx
cd /usr/share/nginx/html/
echo "Hello World! This is ECS01, service running on port 8081." > index8081.html
```
2. Jalankan perintah berikut untuk membuka file konfigurasi Nginx nginx.conf, konfigurasikan modul layanan port 8081, lalu simpan dan keluar dari file tersebut.
```
vim /etc/nginx/nginx.conf
```
  Detail konfigurasi:
```
http {
    ...
    # Existing configuration

    # Add the server block for port 8081.
    server {
        listen 8081;
        server_name localhost;

        location / {
            root /usr/share/nginx/html;
            index index8081.html;
        }
    }
}
```
3. Jalankan perintah berikut untuk merestart layanan Nginx:
```
systemctl restart nginx.service
```
Grup keamanan ECS01 dan ECS02 mengizinkan permintaan ke port 8081.
Anda telah mengonfigurasi rekaman DNS untuk nama domain layanan yang memetakan nama domain layanan ke rekaman CNAME instans ALB.
Jika Anda menggunakan layanan DNS pihak ketiga, rujuk dokumentasi yang disediakan oleh penyedia layanan Anda.
Sertifikat yang diperlukan telah diterapkan. Jika sertifikat dibeli dari penyedia layanan pihak ketiga, Anda harus mengunggahnya ke Layanan Manajemen Sertifikat. Selain itu, pastikan sertifikat tersebut dikaitkan dengan nama domain Anda. Untuk informasi selengkapnya tentang cara membuat sertifikat, lihat Aktifkan HTTPS untuk website menggunakan sertifikat resmi.

Prosedur

Langkah 1: Konfigurasi informasi dasar instans

Dalam contoh ini, digunakan instans GA standar bayar sesuai penggunaan.

Pada halaman Standard Instance > Instances di Konsol Global Accelerator, klik Create Standard Pay-as-you-go Instance.
Pada langkah Basic Instance Configuration, konfigurasikan informasi dasar dan klik Next.

Langkah 2: Konfigurasi area percepatan

Pada langkah Configure Acceleration Area, tambahkan wilayah akselerasi, alokasikan bandwidth ke wilayah tersebut, lalu klik Next.

Penting

Jika wilayah akselerasi mencakup wilayah di Daratan Tiongkok, Anda harus mengajukan Pendaftaran ICP untuk nama domain agar dapat menyediakan layanan.
Jika Anda menentukan nilai bandwidth maksimum yang kecil, pembatasan kecepatan dapat terjadi dan paket mungkin dibuang. Tentukan bandwidth maksimum sesuai kebutuhan.

GA加速区域.png

Langkah 3: Konfigurasi listener

Pada langkah Configure Listeners, konfigurasikan protokol dan port forwarding, lalu klik Next.

Dalam contoh ini, Protocol diatur ke HTTPS, Port diatur ke 443, dan sertifikat SSL untuk nama domain dipilih dari daftar drop-down Server Certificate. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya tentang cara mengonfigurasi listener, lihat Tambah dan kelola listener routing cerdas.

GA HTTPS监听.png

Langkah 4: Konfigurasi kelompok titik akhir dan titik akhir

Pada langkah Configure An Endpoint Group, konfigurasikan kelompok titik akhir dan klik Next.
Dalam contoh ini, Region diatur ke US (Silicon Valley), Backend Service Type diatur ke ALB, dan Backend Service diatur ke instans ALB. Pada bagian Port Mapping, konfigurasikan pemetaan antara port listener 443 dan port titik akhir 8081. Kemudian, baca dan pilih Compliance Commitments Regarding Cross-border Data Transfers. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya tentang cara mengonfigurasi kelompok titik akhir, lihat Tambah dan kelola kelompok titik akhir listener routing cerdas.
Pada langkah Configuration Review, konfirmasi konfigurasi GA dan klik Submit.

Langkah 5: Konfigurasi rekaman CNAME

Pada halaman Domain Names, temukan nama domain yang ingin Anda gunakan dan klik DNS Settings di kolom Actions.
Catatan
Untuk nama domain yang tidak didaftarkan di Alibaba Cloud, Anda harus menambahkan nama domain ke konsol Cloud DNS sebelum dapat mengonfigurasi rekaman DNS.
Pada halaman DNS Settings, klik Add DNS Record, konfigurasikan rekaman CNAME, lalu klik OK.
Dalam contoh ini, parameter Record Type diatur ke CNAME, parameter Hostname diatur ke www, parameter DNS Request Source diatur ke China (Hong Kong), dan parameter Record Value diatur ke CNAME instans GA. Anda dapat menggunakan nilai default untuk parameter lain atau memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya, lihat Tambah rekaman DNS.

Langkah 6: Uji konektivitas jaringan

Verifikasi pemetaan port

Pada komputer di area percepatan (Hong Kong (China) dalam contoh ini), gunakan browser untuk mengakses https://<custom domain name>:443. Segarkan browser beberapa kali. Halaman berganti antara layanan di ECS01 dan ECS02, yang menunjukkan bahwa Anda dapat mengakses layanan pada port 8081 melalui port 443.

ECS01 访问.png

ECS02 访问.png

Verifikasi performa akselerasi GA

Masukkan http://<custom domain name>:8081 untuk memeriksa latensi jaringan sebelum GA digunakan.
Sebelum melakukan pengujian, pastikan rekaman DNS mengarah ke rekaman CNAME instans ALB.
Anda dapat melihat informasi seperti waktu respons. Alamat IP dalam hasil resolusi adalah Alamat IP publik yang ditetapkan untuk instans ALB yang menghadap Internet, yang menunjukkan bahwa traffic diarahkan ke ALB.
Masukkan https://<custom domain name>:443 untuk memeriksa latensi jaringan setelah GA digunakan.
Sebelum melakukan pengujian, pastikan rekaman DNS dialihkan ke rekaman CNAME instans GA.
Alamat IP yang dipercepat dari instans GA ditampilkan dalam hasil resolusi, yang menunjukkan bahwa traffic diarahkan ke GA untuk akselerasi.

Hasil pengujian menunjukkan bahwa setelah GA digunakan, latensi jaringan untuk transmisi data dari klien di Hong Kong (China) ke layanan di AS (Silicon Valley) berkurang.

Catatan

Performa akselerasi GA bervariasi tergantung layanan Anda.

Referensi

Untuk informasi selengkapnya tentang cara menerapkan GA untuk mengakses website HTTP 80 yang diterapkan di AS (Silicon Valley) melalui HTTPS 443, lihat Percepat akses ke website HTTP melalui HTTPS.
ALB terintegrasi dengan GA. Anda dapat mengaktifkan GA di konsol ALB untuk menyederhanakan konfigurasi GA. Untuk informasi selengkapnya, lihat Integrasikan ALB dengan GA untuk mengaktifkan akselerasi aplikasi.
Permasalahan umum dengan GA:
Anda dapat mengonfigurasi pemetaan antara port listener dan port titik akhir menggunakan parameter PortOverrides dalam Operasi API berikut: