Konfigurasikan konektivitas jaringan untuk layanan PAI-EAS - Platform For AI

Untuk mengaktifkan Elastic Algorithm Service (EAS) agar dapat mengakses internet, berkomunikasi dengan sumber daya di VPC, atau memungkinkan koneksi langsung dari instance Elastic Compute Service (ECS) tanpa gerbang, konfigurasikan VPC untuk layanan tersebut.

Cara kerja

Setelah Anda mengonfigurasi jaringan untuk layanan EAS, sistem secara otomatis membuat antarmuka jaringan elastis (ENI) untuk setiap instance layanan di vSwitch yang ditentukan. ENI ini menggunakan alamat IP pribadi dari vSwitch, sehingga memungkinkan komunikasi jaringan dengan sumber daya lain dalam VPC atau akses ke internet melalui NAT Gateway di VPC.

Penagihan

Mengonfigurasi pengaturan jaringan untuk layanan EAS tidak dikenai biaya, tetapi layanan cloud terkait akan ditagih secara terpisah. Misalnya, NAT Gateway dan Elastic IP Address (EIP) yang digunakan untuk akses internet dikenai biaya. Untuk informasi selengkapnya tentang penagihan, lihat Penagihan.

Langkah inti: Konfigurasi VPC untuk layanan EAS

Mengonfigurasi VPC untuk layanan EAS merupakan langkah pertama untuk mengaktifkan komunikasi jaringan internal atau akses internet.

Sebelum memulai, pastikan Anda telah memiliki VPC, vSwitch, dan grup keamanan yang tersedia. Untuk membuat sumber daya ini, lihat Buat VPC dan vSwitch dan Buat grup keamanan.

Penting

EAS mendukung konfigurasi VPC baik di tingkat layanan maupun tingkat kelompok sumber daya. Jika keduanya dikonfigurasi, konfigurasi tingkat layanan akan diutamakan.

Konfigurasi di tingkat layanan

Konfigurasi di konsol

Saat membuat atau memperbarui layanan, konfigurasikan VPC di bagian Network Information. Pilih VPC, lalu pilih vSwitch dan grup keamanan yang sesuai.

Konfigurasi menggunakan klien eascmd

Dalam file konfigurasi JSON layanan, tambahkan atau ubah bidang cloud.networking dengan ID VPC, ID vSwitch, dan ID grup keamanan. Temukan ID-ID tersebut di halaman VPC dan vSwitch di Konsol VPC dan di halaman Grup Keamanan di Konsol ECS.

Kode berikut memberikan contoh konfigurasi:

{
    "metadata": {
        "name": "service_name",
        "instance": 1,
        "workspace_id": "21***"
    },
    "cloud": {
        "computing": {
            "instances": [
                {
                    "type": "ecs.gn6e-c12g1.3xlarge"
                }
            ]
        },
        "networking": {
            "vpc_id": "vpc-bp1uepgqtar*****",
            "vswitch_id": "vsw-bp1glkxase*****",
            "security_group_id": "sg-bp1brugkivv*****"
        }
    },
    "containers": [
        {
            "image": "eas-registry-vpc.cn-hangzhou.cr.aliyuncs.com/pai-eas/python-inference:py39-ubuntu2004",
            "script": "python app.py",
            "port": 8000
        }
    ]
}

Gunakan perintah create atau modify untuk men-deploy atau memperbarui layanan. Contoh berikut menggunakan versi Windows 64-bit dari eascmd:

Buat layanan:

# Ganti <service.json> dengan nama file konfigurasi JSON Anda.
eascmdwin64.exe create <service.json>

Perbarui layanan:

# Ganti <service_name> dengan nama layanan EAS dan <service.json> dengan nama file konfigurasi JSON Anda.
eascmdwin64.exe modify <service_name> -s <service.json>

Konfigurasi di tingkat kelompok sumber daya

Konsol: Di halaman Resource Group, pilih kelompok sumber daya target dan klik Enable VPC Configuration di kolom Actions.
Klien eascmd: Untuk informasi selengkapnya, lihat Konfigurasi VPC untuk kelompok sumber daya.

Kasus penggunaan dan panduan konfigurasi

Konfigurasi konektivitas dua arah dalam VPC

Ini mencakup dua skenario:

EAS mengakses sumber daya internal: Layanan EAS perlu mengakses sumber daya seperti RDS atau Redis dalam VPC yang sama.
Koneksi langsung berkecepatan tinggi dari VPC: Instance ECS mengakses layanan EAS secara langsung, tanpa gerbang.

Ikuti langkah-langkah berikut untuk mengonfigurasi koneksi:

Konfigurasi VPC untuk layanan EAS. Pastikan layanan EAS dan sumber daya target, seperti ECS atau RDS, berada dalam VPC yang sama.
Konfigurasi aturan grup keamanan. Pastikan aturan grup keamanan mengizinkan lalu lintas jaringan antara layanan EAS dan sumber daya target.
Tambahkan rentang alamat IP internal layanan EAS ke daftar izin sumber daya target.
Jika layanan target, seperti database, menggunakan daftar izin berbasis IP, tambahkan blok CIDR vSwitch yang digunakan oleh layanan EAS ke daftar izin tersebut.
Penting
Instance EAS dijadwalkan secara dinamis. Setelah restart atau pembaruan, instance baru mungkin dibuat pada node fisik baru dan mendapatkan alamat IP pribadi baru dari kolam alamat vSwitch. Oleh karena itu, kebijakan kontrol akses yang bergantung pada alamat IP sebaiknya menggunakan blok CIDR vSwitch atau ID grup keamanan alih-alih alamat IP statis dari satu instance.
Untuk menemukan blok CIDR, masuk ke Konsol VPC dan temukan blok CIDR IPv4 vSwitch di halaman VSwitches.

Aktifkan akses internet untuk layanan EAS

Ini berlaku ketika layanan EAS perlu memanggil API publik atau mengunduh file dari internet.

Ikuti langkah-langkah berikut untuk mengonfigurasi akses:

Konfigurasi VPC untuk layanan EAS.
Gunakan SNAT untuk mengaktifkan akses internet:
1. Buat gateway NAT Internet dan sambungkan EIP: Buka Konsol Gateway NAT untuk membuat gateway NAT publik di wilayah VPC Anda. Ikatkan EIP ke gateway NAT. EIP ini berfungsi sebagai alamat IP egress publik terpadu untuk layanan EAS.
2. Konfigurasi entri SNAT: Di gateway NAT, buat entri SNAT. Atur SNAT Entry Granularity ke VSwitch dan pilih vSwitch yang digunakan oleh layanan EAS. Ini akan mengarahkan seluruh lalu lintas dari vSwitch ke internet melalui gateway NAT.
Dapatkan alamat IP publik Gateway NAT dan konfigurasi daftar izin. Jika layanan target memiliki daftar izin berbasis IP, tambahkan alamat IP egress publik gateway NAT ke daftar izin tersebut.
Masuk ke Konsol VPC. Di halaman NAT Gateway > Internet NAT Gateway, temukan gateway NAT yang dikonfigurasi untuk EAS. Alamat EIP tersedia di detail gateway tersebut.

Pertimbangan produksi

Perencanaan alamat IP: Sebelum mengaitkan VPC, pastikan vSwitch yang dipilih memiliki cukup alamat IP yang tersedia. Setiap instance EAS, termasuk yang dibuat saat penskalaan, menempati satu alamat IP. Kekurangan alamat IP akan menyebabkan kegagalan pembuatan atau penskalaan layanan.
Isolasi grup keamanan: Gunakan grup keamanan terpisah untuk lingkungan yang berbeda, seperti pengembangan, pengujian, dan produksi. Ikuti prinsip hak istimewa minimal dengan hanya membuka port dan sumber akses yang diperlukan.
Optimalisasi biaya:
- Gunakan titik akhir internal Object Storage Service (OSS): Jika layanan hanya memerlukan akses internet saat startup, misalnya untuk mengunduh model, unggah sumber daya ke OSS di wilayah yang sama dan akses melalui titik akhir VPC internal. Praktik ini menghindari biaya yang terkait dengan gateway NAT.
- Kelola gateway NAT sesuai kebutuhan: Jika layanan tidak lagi memerlukan akses internet setelah berhasil dimulai, hentikan atau hapus gateway NAT untuk menghemat biaya.

FAQ

Mengapa layanan EAS saya tidak dapat mengakses produk cloud lain seperti RDS setelah konfigurasi VPC?

Masalah ini biasanya disebabkan oleh kesalahan konfigurasi aturan grup keamanan atau daftar izin IP. Ikuti langkah-langkah berikut untuk pemecahan masalah:

Verifikasi konfigurasi jaringan: Di halaman detail layanan EAS, pastikan layanan dikaitkan dengan VPC dan vSwitch yang benar tempat sumber daya target (misalnya, instance RDS) berada.
Periksa aturan grup keamanan: Periksa aturan arah masuk grup keamanan sumber daya target. Pastikan aturan tersebut mengizinkan lalu lintas dari ID grup keamanan layanan EAS (disarankan) atau blok CIDR vSwitch yang digunakan layanan. Untuk informasi selengkapnya, lihat Gunakan grup keamanan.
Validasi Pengaturan Daftar Izin: Jika sumber daya target memiliki daftar putih IP, pastikan alamat IP layanan EAS yang benar telah ditambahkan ke daftar putih tersebut. Ini adalah EIP untuk akses Internet atau blok CIDR vSwitch untuk akses jaringan internal.

Bagaimana cara cepat menguji apakah layanan EAS saya memiliki akses internet?

Anda dapat menambahkan perintah curl ke perintah startup layanan untuk pengujian cepat. Dalam konfigurasi layanan Anda, tambahkan hal berikut ke bidang Command:

Catatan

Citra dasar layanan Anda mungkin tidak memiliki curl yang pra-instal. Perintah di atas terlebih dahulu menginstalnya sebelum menjalankan pengujian.

# Untuk citra Debian/Ubuntu
apt-get update && apt-get install -y curl && curl -v https://www.aliyun.com

Setelah men-deploy layanan, periksa log waktu nyata instance tersebut. Koneksi yang berhasil ditunjukkan oleh kode status HTTP seperti 200 OK dan detail Proses jabat tangan TLS yang berhasil.