Deploy single-AZ NAT gateways for high availability - NAT Gateway

Men-deploy satu NAT Gateway di setiap zona ketersediaan membatasi fault domain untuk egress publik hanya pada satu zona ketersediaan dan mencegah kegagalan berantai lintas zona.

Ikhtisar solusi

Untuk meminimalkan dampak kegagalan pada satu zona ketersediaan, sejajarkan workload cloud Anda berdasarkan zona dan hindari ketergantungan lintas zona. Arsitektur ketersediaan tinggi ini men-deploy satu NAT Gateway di setiap zona.

Seperti yang ditunjukkan pada gambar, jika terjadi kegagalan di zona ketersediaan A, hanya workload di zona tersebut yang terpengaruh. Workload di zona ketersediaan B dan C tetap tidak terpengaruh.

Mode disaster recovery ini tersedia di semua wilayah yang mendukung Internet NAT Gateway. Untuk mengaktifkan fitur ini, hubungi account manager Anda.

Prosedur

Deploy Internet NAT Gateway single-availability zone di beberapa zona ketersediaan
Buka halaman pembelian Internet NAT Gateway dan buat satu Internet NAT Gateway untuk setiap zona ketersediaan.
- Billing Method: Pay-As-You-Go.
- Region: Pilih wilayah tempat Anda ingin membuat Internet NAT Gateway.
- Network and Zone: Pilih VPC dan vSwitch untuk Internet NAT Gateway. Buat setiap NAT Gateway di vSwitch dari zona ketersediaan yang berbeda. Pengaturan ini tidak dapat diubah setelah pembuatan.
- Disaster Recovery: Pilih Single-zone disaster recovery. Gateway dideploy dalam zona ketersediaan yang dipilih dan menggunakan redundansi tingkat perangkat untuk memastikan ketersediaan tinggi.
- EIP: Pilih opsi berdasarkan apakah Anda memiliki EIP yang sudah ada.
  - Select EIP: Pilih EIP yang belum dikaitkan.
  - Purchase EIP: Pilih opsi ini jika Anda tidak memiliki EIP yang tersedia. Secara default, EIP pay-by-traffic dengan jenis jalur BGP (Multi-ISP) akan dibuat. Anda dapat mengatur Maximum Bandwidth sesuai kebutuhan.
    Untuk mengaitkan EIP dengan jenis jalur BGP (Multi-ISP) Premium atau EIP dengan metode penagihan berbeda, Anda harus terlebih dahulu mengajukan EIP lalu memilih Select EIP saat pembuatan.
  - Configure Later: NAT Gateway tidak akan memiliki akses Internet publik hingga Anda mengaitkan EIP.
    Setelah gateway dibuat, klik Associate Now di kolom EIP untuk instance Internet NAT Gateway target. Anda kemudian dapat memilih alamat IP elastis yang sudah ada atau membuat dan mengaitkan yang baru.
Konfigurasikan entri SNAT untuk setiap NAT Gateway.
Buka halaman Internet NAT Gateway. Di kolom Actions untuk instance target, klik Configure SNAT , lalu klik Create SNAT Entry.
- SNAT Entry: Cakupan penerapan aturan SNAT. Pilih granularitas berdasarkan kebutuhan manajemen Anda.
- Select EIP: Dari daftar drop-down, pilih EIP yang akan digunakan untuk akses Internet publik.
  - Anda dapat memilih beberapa EIP. Koneksi didistribusikan ke seluruh EIP menggunakan algoritma hash. Karena trafik bervariasi per koneksi, beban di antara EIP mungkin tidak merata. Kami merekomendasikan menambahkan semua EIP ke instans Shared Bandwidth yang sama untuk mencegah gangguan layanan akibat satu EIP mencapai batas bandwidth-nya.
- EIP Affinity: Jika EIP affinity dinonaktifkan, satu alamat IP pribadi mungkin menggunakan alamat IP egress berbeda untuk mengakses tujuan yang sama. Jika diaktifkan, alamat IP egress yang sama akan digunakan. Namun, jumlah koneksi bersamaan yang tinggi ke satu tujuan dapat menyebabkan kegagalan alokasi port. Anda harus memantau port allocation failure drops.
Setelah entri dibuat, Anda dapat mengklik Edit di kolom Actions untuk entri target guna mengubah pengaturan EIP dan EIP affinity.
Konfigurasikan rute dengan mengaitkan tabel rute kustom terpisah ke vSwitch di setiap zona ketersediaan. Di setiap tabel rute, tambahkan rute 0.0.0.0/0 yang mengarah ke NAT Gateway di zona yang sama. Hal ini memastikan bahwa trafik publik dari setiap zona dirutekan secara independen.
1. Buka halaman Konsol VPC - Tabel rute. Di bilah menu atas, pilih wilayah tempat Internet NAT Gateway berada.
2. Buat tabel rute: Klik Create Route Table, pilih VPC target, dan atur Associated Resource Type menjadi vSwitch.
3. Menyambungkan vSwitch: Di halaman Konsol VPC - Tabel rute, temukan tabel rute tujuan, lalu klik Bind pada kolom Associated Resource. Pilih Associate vSwitch, lalu pilih vSwitch tujuan di kotak dialog yang muncul.
4. Tambahkan rute kustom: Di halaman detail tabel rute, buka tab Route Entry List > Custom Route, lalu klik Add Route Entry. Atur Destination CIDR Block menjadi 0.0.0.0/0 dan Next Hop Type menjadi NAT Gateway. Untuk lompatan berikutnya, pilih NAT Gateway yang berada di zona ketersediaan yang sama dengan vSwitch.

Verifikasi konfigurasi

# Verifikasi bahwa alamat IP egress adalah EIP yang dikaitkan ke NAT Gateway di zona ketersediaan yang sama.
curl ifconfig.me

Alamat IP egress instance ECS di zona ketersediaan A harus merupakan EIP dari NATGW-1, sedangkan alamat IP egress instance di zona ketersediaan B harus merupakan EIP dari NATGW-2. Perbedaan ini mengonfirmasi bahwa isolasi fault domain berfungsi dengan benar.

Praktik terbaik lingkungan produksi

Redundansi zona ketersediaan workload: Deploy workload aplikasi Anda di beberapa zona ketersediaan sehingga jika satu zona gagal, workload di zona lain tetap beroperasi secara independen.
Redundansi multi-EIP: Kaitkan beberapa EIP ke entri SNAT untuk setiap NAT Gateway. Jika satu EIP tidak tersedia akibat serangan, trafik tetap dapat mengalir melalui EIP lainnya.
Pemantauan dan alert: Konfigurasikan alert untuk metrik kunci pada setiap NAT Gateway, seperti koneksi bersamaan, bandwidth ingress/egress, dan port allocation failure drops. Hal ini memungkinkan Anda melakukan penskalaan sumber daya sebelum menjadi bottleneck.
vSwitch spesifikasi khusus: Buat vSwitch spesifikasi khusus untuk setiap NAT Gateway dan sisakan cukup alamat IP pribadi untuk mencegah kehabisan alamat IP, yang dapat menghambat pengaitan EIP baru.