Virtual Private Cloud:Koneksi peering VPC

Menghubungkan tiga VPC

Saat mengonfigurasi rute untuk peering VPC, Anda memiliki opsi berikut:

• Atur blok CIDR tujuan ke blok CIDR VPC peer. Ini memungkinkan semua instance di kedua VPC berkomunikasi satu sama lain dan menyederhanakan manajemen.

• Konfigurasi rute yang lebih spesifik dengan mengatur blok CIDR tujuan ke blok CIDR vSwitch di VPC peer atau alamat IP instance tertentu. Ini meningkatkan keamanan tetapi mengharuskan Anda memperbarui tabel rute secara manual saat instance baru perlu berkomunikasi.

Sebagai contoh, rute di VPC1 mengarah ke blok CIDR vSwitch 3 di VPC2 dan instance ECS ECS04 di VPC3. Oleh karena itu, resource di VPC1 hanya dapat berkomunikasi secara pribadi dengan resource di vSwitch 3 dan ECS04. Sebaliknya, rute di VPC2 dan VPC3 mengarah ke blok CIDR VPC peer mereka, memungkinkan komunikasi penuh antar resource mereka.

Migrasi dari CEN ke koneksi peering VPC

Alihkan komunikasi jaringan pribadi antara dua VPC dari Cloud Enterprise Network (CEN) ke koneksi peering VPC. Gunakan contoh ini saat hanya diperlukan konektivitas pairwise antara kedua VPC dan Anda menginginkan topologi yang lebih sederhana dengan biaya lebih rendah. Dalam skenario cross-account, setiap akun melakukan operasi untuk VPC-nya sendiri.

Menghubungkan beberapa VPC ke VPC pusat

Sebagai contoh, VPC cabang dapat mengakses layanan yang dideploy di VPC pusat, tetapi VPC cabang tidak dapat berkomunikasi satu sama lain. Skenario khas meliputi:

• Isolasi multi-departemen: VPC untuk departemen bisnis berbeda tidak dapat berkomunikasi satu sama lain tetapi harus mengakses layanan bersama di VPC pusat.

• Isolasi multi-pengguna: Layanan dideploy di VPC khusus untuk banyak pengguna. VPC setiap pengguna dapat berkomunikasi dengan VPC layanan, tetapi VPC pengguna berbeda tidak dapat berkomunikasi satu sama lain.

Condition Key

Saat otorisasi, RAM mencari direktori sumber daya akun peer berdasarkan AcceptingAliUid (saat membuat koneksi peering) atau RequestingAliUid (saat menerima koneksi peering), lalu menyuntikkan Condition Keys berikut ke konteks otorisasi untuk dicocokkan dengan kondisi dalam kebijakan kustom Anda.

Batasan penggunaan:

Hanya vpc:CreateVpcPeerConnection dan vpc:AcceptVpcPeerConnection yang menyuntikkan Condition Keys di atas. Operasi lain pada koneksi peering, seperti kueri, modifikasi, dan penghapusan, tidak terpengaruh.

Saat permintaan ditolak oleh kebijakan, kode kesalahan Forbidden.NoPermission dikembalikan dengan NoPermissionType diatur ke ExplicitDeny. Anda dapat menggunakan RequestId untuk melacak kecocokan kebijakan di ActionTrail.

Pilih kebijakan pembatasan

Saat mengonfigurasi kebijakan, ganti ID direktori sumber daya, jalur, atau ID akun dalam contoh dengan nilai aktual untuk organisasi Anda. Anda dapat menemukan ID dan jalur direktori sumber daya di Konsol Resource Management.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "acs:TargetRDId": ["rd-xxxxxx"]
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotLike": {
          "acs:TargetRDPath": ["rd-xxxxxx/r-xxxxxx/fd-xxxxxx/*"]
        }
      }
    }
  ]
}

Buat dan sambungkan kebijakan

Apakah koneksi peering lintas batas didukung?

Ya. Konektivitas non-lintas batas dan lintas batas keduanya didukung.

• Non-lintas batas: Menghubungkan dua wilayah di Tiongkok daratan, atau dua wilayah di luar Tiongkok daratan.

• Lintas batas: Menghubungkan wilayah di Tiongkok daratan dengan wilayah di luar Tiongkok daratan.Pastikan akun Anda telah menyelesaikan verifikasi identitas bisnis.

Tidak dapat memilih VPC target

Pastikan wilayah dan akun yang dipilih sesuai dengan Region dan Owner VPC target.

Wilayah peminta ditampilkan di bagian atas halaman, dan akun saat ini adalah peminta. Anda menentukan akun dan wilayah penerima saat membuat koneksi peering.

Kegagalan komunikasi ECS dengan Docker

Jika konfigurasi routing dan grup keamanan Anda sudah benar, kemungkinan besar masalahnya adalah konflik antara blok CIDR antarmuka jaringan Docker dan blok CIDR tujuan. Jalankan ip addr untuk memeriksa apakah alamat antarmuka jaringan Docker bertentangan dengan blok CIDR tujuan.

Jika terjadi konflik, ikuti langkah-langkah berikut untuk mengubah blok CIDR Docker.

• Menghentikan layanan Docker atau mengubah blok CIDR-nya akan mengganggu beban kerja Anda. Kami merekomendasikan melakukan operasi ini selama jam sepi.

• Saat mengubah blok CIDR Docker, pastikan kompatibel dengan pengaturan jaringan kontainer dan aplikasi yang ada untuk menghindari potensi masalah konektivitas.

1. Jalankan sudo systemctl stop docker untuk menghentikan layanan Docker.

2. Jalankan sudo vim /etc/docker/daemon.json untuk mengedit file konfigurasi Docker. Tambahkan konten berikut ke file dan simpan perubahan Anda:

   File konfigurasi Docker biasanya berada di /etc/docker/daemon.json atau /etc/docker/daemon.conf. Nama file sebenarnya mungkin berbeda.

   {
       "bip":"blok CIDR Docker baru"
   }

3. Jalankan sudo systemctl start docker untuk menjalankan kembali layanan Docker dan menerapkan perubahan.

Pengguna RAM menerima kesalahan izin CDT saat membuat koneksi peering VPC

Pengguna RAM telah diberikan izin AliyunVPCFullAccess tetapi menerima kesalahan yang menunjukkan bahwa izin cdt:GetCdtServiceStatus hilang saat membuat koneksi peering VPC. Hal ini terjadi karena koneksi peering VPC bergantung pada layanan Cloud Data Transfer (CDT) dan memerlukan panggilan ke API terkait CDT. Izin VPC saja tidak cukup.

Berikan salah satu izin berikut kepada Pengguna RAM:

• AliyunCDTFullAccess: Akses penuh ke CDT.

• AliyunCDTReadOnlyAccess: Akses hanya-baca ke CDT. Ini cocok jika Pengguna RAM hanya perlu membuat koneksi peering dan tidak perlu mengelola resource CDT.

Apakah koneksi peering VPC memengaruhi akses jaringan publik?

Tidak. Koneksi peering VPC hanya menambahkan entri rute pribadi dan tidak mengubah rute default. Lalu lintas jaringan publik tetap diteruskan melalui gateway NAT, alamat IP elastis, dan rute publik lainnya yang sudah ada.

Batasan

• Anda tidak dapat membuat koneksi peering VPC dalam skenario berikut:

  • Kedua VPC termasuk dalam akun di situs Alibaba Cloud yang berbeda, misalnya akun di situs Alibaba Cloud Tiongkok dan akun di situs Alibaba Cloud Internasional.

• Koneksi peering VPC tidak mendukung routing transitif.

  Sebagai contoh, jika VPC 1 terhubung ke VPC 2 dan VPC 3 melalui koneksi peering VPC terpisah, VPC 2 dan VPC 3 tidak dapat berkomunikasi satu sama lain melalui VPC 1.

  Untuk mengaktifkan komunikasi antara VPC 2 dan VPC 3, Anda harus membuat koneksi peering terpisah di antara keduanya dan mengonfigurasi rute dua arah.

• Saat VPC dibagikan lintas beberapa akun, hanya pemilik resource yang dapat membuat, mengubah, atau menghapus koneksi peering VPC. Pengguna resource tidak dapat melakukan tindakan ini.

Penagihan

Koneksi peering VPC intra-region gratis, baik VPC tersebut termasuk dalam akun yang sama maupun akun berbeda.

Untuk koneksi peering VPC inter-region, Cloud Data Transfer (CDT) mengenakan biaya transfer data berdasarkan lalu lintas keluar.

• Harga satuan ditentukan oleh pasangan wilayah dan tipe tautan. Tipe tautan Platinum dan Gold tersedia, yang menawarkan tingkat layanan berbeda.

• Siklus penagihan per jam. Jika Anda mengganti tipe tautan dalam siklus penagihan, tarif untuk tingkat layanan yang lebih tinggi berlaku untuk seluruh siklus tersebut.

Siklus hidup koneksi peering VPC

Setelah peminta mengirim permintaan pembuatan, koneksi peering VPC melewati beberapa status.

Jika Anda membuat koneksi peering VPC akun yang sama, sistem secara otomatis menginisiasi dan menerima permintaan, lalu koneksi menjadi Activated.

Wilayah yang didukung

Kuota