Virtual Private Cloud:FAQ VPC

Bagaimana cara menghubungkan VPC yang berbeda agar resource di VPC yang berbeda dapat saling mengakses?

Anda dapat menggunakan koneksi peering VPC atau Cloud Enterprise Network (CEN) untuk menghubungkan VPC dalam akun yang sama atau lintas akun, di wilayah yang sama atau lintas wilayah. Untuk perbedaan antara kedua opsi tersebut, lihat Hubungkan VPC.

Bagaimana cara troubleshooting koneksi peering VPC yang tidak berfungsi?

Gunakan langkah-langkah troubleshooting berikut. Tool Network Intelligence Service - Path Analysis dapat membantu dalam diagnosis.

1. Periksa rute:

   • Pastikan status koneksi peering adalah Activated.

   • Periksa apakah tabel rute vSwitch di kedua ujung memiliki rute yang mengarah ke Blok CIDR VPC peer, dengan instance koneksi peering sebagai next hop.

2. Periksa security group dan ACL jaringan:

   • Periksa aturan security group dan ACL jaringan instance ECS sumber dan ECS tujuan (atau RDS).

   • Pastikan aturan inbound security group dan ACL jaringan tujuan mengizinkan traffic dari Blok CIDR VPC sumber (atau IP sumber tertentu) untuk mengakses port layanan yang diperlukan.

   • Pastikan aturan outbound security group dan ACL jaringan sumber tidak memblokir traffic keluar.

3. Periksa konflik CIDR:

   • Periksa apakah Blok CIDR kedua VPC tumpang tindih. Saat menggunakan peering VPC, kami menyarankan agar Blok CIDR kedua VPC tidak tumpang tindih.

   • Berikan perhatian khusus pada Blok CIDR container Docker/K8s di instance ECS, yang mungkin bertentangan dengan Blok CIDR VPC peer. Ini adalah penyebab umum dan sering diabaikan. Jika terjadi konflik, jaringan tidak dapat dijangkau meskipun rute, security group, dan ACL jaringan semuanya sudah benar.

Bagaimana cara mengatasi konflik Blok CIDR saat mengonfigurasi koneksi peering?

Jika Blok CIDR dua VPC yang perlu berkomunikasi bertentangan, Anda memiliki opsi berikut:

1. Rencanakan ulang jaringan Anda (disarankan): migrasikan resource dari satu VPC ke VPC baru yang Blok CIDR-nya tidak bertentangan. Ini adalah solusi paling menyeluruh.

2. Gunakan CEN dan gateway NAT VPC: untuk skenario konflik CIDR yang lebih kompleks, gunakan CEN bersama fitur NAT privat gateway NAT VPC untuk memetakan alamat dari satu VPC ke Blok CIDR lain sebelum berkomunikasi. Solusi ini melibatkan arsitektur yang lebih kompleks dan biaya lebih tinggi. Untuk informasi lebih lanjut, lihat Gunakan gateway NAT VPC untuk mengatasi konflik alamat.

Bagaimana cara troubleshooting masalah ketika beberapa IP tidak dapat dijangkau setelah koneksi peering ditambahkan?

Masalah ini biasanya disebabkan oleh rute yang lebih spesifik atau aturan security group.

• Masalah routing: periksa tabel rute di kedua ujung. Rute yang lebih spesifik dengan prioritas lebih tinggi (aturan longest prefix match) mungkin mengarahkan traffic ke tempat lain, seperti rute default yang mengarah ke gateway NAT.

• Masalah security group: periksa apakah aturan inbound security group tujuan hanya mengizinkan akses dari beberapa IP sumber tertentu.

• Masalah ACL jaringan: periksa apakah ACL jaringan hanya mengizinkan traffic dari beberapa subnet tertentu.

Mengapa inisiator dapat melakukan ping ke penerima dalam koneksi peering, tetapi ping balik gagal?

Konektivitas satu arah biasanya disebabkan oleh konfigurasi asimetris. Fokuslah memeriksa apakah aturan security group dan ACL jaringan di kedua instance ECS mengizinkan traffic outbound dan inbound.

Saya membuat koneksi peering VPC dari A ke B dan dari B ke C. Mengapa A dan C tidak dapat berkomunikasi?

Koneksi peering VPC tidak bersifat transitif.

Artinya: jika VPC-A memiliki koneksi peering dengan VPC-B, dan VPC-B memiliki koneksi peering dengan VPC-C, maka VPC-A dan VPC-C tidak dapat berkomunikasi melalui VPC-B.

Jika Anda memerlukan konektivitas penuh antara beberapa VPC (misalnya, untuk membangun topologi jaringan star atau mesh), gunakan produk Cloud Enterprise Network (CEN).

Mengapa saya tidak dapat mengakses RDS, Redis, dan layanan cloud lain milik peer setelah koneksi peering VPC dibuat?

Masalah ini mirip dengan masalah konektivitas ECS, tetapi Anda juga harus memperhatikan kontrol akses layanan cloud itu sendiri.

1. Lakukan troubleshooting konektivitas dasar: gunakan daftar periksa di Troubleshooting koneksi peering VPC untuk memeriksa rute, Blok CIDR, security group, dan ACL jaringan guna memastikan jalur jaringan dapat dijangkau.

2. Periksa daftar putih IP layanan cloud: sebagian besar layanan database dan cache (seperti RDS, Redis, dan MongoDB) menyediakan fitur daftar putih IP. Anda harus menambahkan alamat IP privat atau Blok CIDR instance ECS yang melakukan akses ke daftar putih layanan cloud target.

Apakah peering VPC mendukung koneksi cross-account dan cross-region?

Ya. Perhatikan bahwa penggunaan lintas wilayah dikenai biaya transmisi traffic yang dibebankan oleh Cloud Data Transfer (CDT) berdasarkan lalu lintas keluar.

Perhatikan bahwa koneksi lintas situs tidak didukung. Misalnya, VPC di situs Tiongkok dan situs internasional tidak dapat saling terhubung.

Mengapa jaringan publik tidak dapat diakses setelah gateway IPv4 dihapus?

Alasan paling umum adalah Mode Privat dipilih alih-alih Mode Publik saat gateway IPv4 dihapus. Setelah penghapusan dalam Mode Privat, semua resource di VPC tidak dapat berkomunikasi dengan jaringan publik.

Jika Anda ingin mengembalikan VPC ke kondisi tanpa gateway IPv4 tetapi tetap dapat mengakses jaringan publik, buat kembali gateway IPv4 lalu hapus dalam Mode Publik. Untuk detailnya, lihat Gateway IPv4.

Apakah instance ECS di Blok CIDR primer dapat berkomunikasi dengan instance ECS di Blok CIDR tambahan dalam VPC yang sama?

Instance ECS di Blok CIDR primer dan Blok CIDR tambahan semuanya merupakan instance dalam VPC yang sama. Mereka dapat saling berkomunikasi jika aturan security group dan ACL jaringan mengizinkan traffic tersebut.

Setelah ClassicLink diaktifkan untuk VPC, apakah instance ECS jaringan klasik dapat berkomunikasi dengan resource cloud di Blok CIDR tambahan VPC tersebut?

Tidak. Blok CIDR tambahan tidak kompatibel dengan fitur ClassicLink.

Mengapa VIP gagal berpindah setelah HaVip di-bind?

Saat node primer gagal, VIP tidak dapat secara otomatis berpindah ke node cadangan. Ini adalah masalah paling umum dalam konfigurasi HaVip. Penyebabnya biasanya sebagai berikut:

• Keepalived tidak berjalan: ambil contoh CentOS 7.9. Jalankan systemctl status keepalived untuk memeriksa status layanan. Jika tidak berjalan, jalankan systemctl start keepalived untuk memulai Keepalived.

• Kesalahan konfigurasi Keepalived: periksa file konfigurasi keepalived.conf untuk kesalahan. Misalnya:

  • virtual_router_id node primer dan cadangan berbeda.

  • authentication node primer dan cadangan berbeda.

  • Alamat IP peer yang ditentukan dalam unicast_peer salah.

  • Alamat IP virtual yang ditentukan dalam virtual_ipaddress bukan alamat HaVip.

• Diblokir oleh security group atau ACL jaringan: periksa apakah aturan security group atau ACL jaringan memblokir traffic terkait dari IP sumber.

• Firewall dalam instance: periksa apakah firewall di instance ECS (seperti firewalld atau iptables) memblokir traffic terkait dari IP sumber.

Mengapa jaringan tetap tidak dapat dijangkau setelah rute ditambahkan?

Menambahkan rute yang benar hanyalah salah satu prasyarat untuk konektivitas jaringan. Jika jaringan tidak dapat dijangkau, ikuti langkah-langkah berikut untuk troubleshooting:

1. Periksa rute dua arah: pastikan rute dikonfigurasi dengan benar di arah permintaan dan respons. Misalnya, koneksi peering VPC memerlukan rute di kedua ujung.

2. Aturan security group: periksa apakah security group instance ECS sumber dan tujuan mengizinkan traffic untuk protokol dan port yang diperlukan (misalnya, ping memerlukan ICMP).

3. Aturan ACL jaringan: jika Anda telah mengonfigurasi ACL jaringan, periksa apakah aturan outbound dan inbound-nya mengizinkan traffic terkait.

4. Firewall dalam ECS: periksa apakah firewall di sistem operasi ECS (seperti iptables/firewalld di Linux, atau Windows Firewall) memblokir traffic.

5. Konflik CIDR: periksa adanya konflik alamat jaringan, seperti Blok CIDR Docker di instance ECS yang bertentangan dengan Blok CIDR VPC peer.

6. Gunakan tool Path Analysis: gunakan tool Network Intelligence Service - Path Analysis di konsol untuk mendiagnosis secara visual konektivitas jaringan antara dua titik.

Apa yang harus saya lakukan jika instance ECS yang terikat EIP tidak dapat mengakses jaringan publik?

Periksa hal-hal berikut:

1. Gateway IPv4 dan tabel rute VPC: jika VPC memiliki gateway IPv4 yang diaktifkan, periksa apakah tabel rute vSwitch tempat instance ECS berada memiliki rute default (0.0.0.0/0) yang mengarah ke gateway IPv4.

2. Aturan security group: periksa aturan outbound security group instance ECS. Secara default, semua traffic keluar diizinkan (0.0.0.0/0). Pastikan akses keluar tidak dibatasi secara tidak sengaja.

3. Aturan ACL jaringan: jika Anda telah mengonfigurasi ACL jaringan untuk vSwitch, periksa apakah aturan outbound-nya mengizinkan traffic keluar.

4. Pembayaran tertunda: periksa apakah Akun Alibaba Cloud Anda memiliki pembayaran tertunda, yang dapat menyebabkan EIP tidak tersedia.

5. Konfigurasi jaringan dalam ECS: pastikan konfigurasi jaringan (seperti gateway dan DNS) di sistem operasi ECS sudah benar. Pengaturan ini biasanya diperoleh secara otomatis melalui DHCP.

Mengapa instance ECS di VPC tidak memiliki alamat IP publik?

VPC dirancang untuk isolasi jaringan dan keamanan. Secara default, instance ECS yang dibuat di VPC hanya diberikan alamat IP privat untuk komunikasi internal VPC, dan tidak dapat mengakses internet. Ini adalah salah satu fitur keamanan inti VPC.

Jika Anda ingin instance tersebut mengakses jaringan publik, Anda harus secara eksplisit mengonfigurasi akses jaringan publik untuknya, seperti mengikat EIP atau mengonfigurasi gateway NAT, sebagaimana dijelaskan dalam Akses Internet.

Apa yang harus saya lakukan jika muncul error "IncorrectBusinessStatus.VpcPeer" atau prompt tentang pembayaran tertunda atau status abnormal saat membuat atau menerima koneksi peering lintas wilayah atau lintas batas?

Jika error ini muncul saat Anda membuat atau menerima koneksi peering, lakukan troubleshooting dengan langkah-langkah berikut:

• Periksa pembayaran tertunda: pastikan baik akun inisiator maupun akun penerima tidak memiliki pembayaran tertunda. Jika suatu akun memiliki pembayaran tertunda dan instansnya terkunci (FinancialLocked), lakukan pengisian ulang dan coba lagi setelah akun kembali normal.

• Aktifkan layanan CDT: penagihan traffic untuk koneksi peering lintas wilayah bergantung pada layanan Cloud Data Transfer (CDT). Pastikan layanan CDT diaktifkan untuk akun inisiator dan akun penerima. Jika tidak, koneksi peering lintas wilayah tidak dapat dibuat atau digunakan.

Apakah VPC mendukung multicast?

VPC tidak mendukung multicast. Namun, VPC dapat bekerja dengan Cloud Enterprise Network (CEN) untuk menerapkan Kelola multicast.

Bagaimana cara menerapkan penggunaan privat alamat IP publik di VPC?

Beberapa perusahaan menggunakan Blok CIDR privat non-RFC 1918 di pusat data lokal atau VPC mereka, seperti 30.0.0.0/16. Saat membangun koneksi jaringan dengan VPC lain atau pusat data lokal, VPC memperlakukan alamat IP di luar RFC 1918 sebagai alamat IP publik. Setelah resource cloud di VPC mendapatkan kemampuan akses jaringan publik, bahkan jika rute yang mengarah ke 30.0.0.0/16 dikonfigurasi untuk mengarah ke pusat data lokal atau VPC lain, traffic tetap diteruskan ke jaringan publik dan tidak dapat mencapai VPC atau pusat data lokal target.

Anda dapat menerapkan penggunaan privat alamat IP publik dengan cara berikut:

• Metode 1: gateway IPv4.

  Anda dapat menggunakan gateway IPv4 untuk mengontrol secara terpusat perilaku akses jaringan publik VPC. Saat mengakses 30.0.0.0/16, traffic akan diarahkan terlebih dahulu ke VPC lain atau pusat data lokal. Untuk detailnya, lihat Gunakan gateway IPv4 untuk mengarahkan traffic dari Internet ke jaringan privat.

• Metode 2: Blok CIDR pengguna.

  Jika Anda ingin permintaan ke 30.0.0.0/16 diteruskan berdasarkan tabel rute alih-alih langsung ke jaringan publik, Anda dapat menentukan Blok CIDR pengguna untuk VPC dengan memanggil operasi CreateVpc dan meneruskan parameter UserCidr saat membuat VPC. Setelah Anda menetapkan Blok CIDR pengguna, permintaan dari VPC ke alamat dalam Blok CIDR pengguna akan diteruskan berdasarkan tabel rute.

  1. Blok CIDR pengguna hanya dapat ditetapkan melalui operasi API, tidak di konsol. Setelah Blok CIDR pengguna dibuat, tidak dapat diubah.

  2. Jika Anda hanya menentukan Blok CIDR IPv4 VPC dan memilih Blok CIDR kustom yang bukan salah satu dari tiga Blok CIDR privat standar RFC (192.168.0.0/16, 172.16.0.0/12, atau 10.0.0.0/8) atau subnet-nya, sistem secara otomatis menetapkan Blok CIDR primer sebagai Blok CIDR pengguna.

Apa perbedaan antara VPC dan jaringan klasik?

Jaringan klasik adalah model jaringan awal Alibaba Cloud dan secara default tidak saling terhubung dengan VPC. Model ini sedang dihentikan dan tidak direkomendasikan. Semua resource yang dibeli harus ditempatkan di VPC.

Bagaimana cara mengaktifkan komunikasi antara VPC dan jaringan klasik?

Untuk informasi lebih lanjut, lihat Gunakan ClassicLink untuk menghubungkan jaringan klasik dan VPC.

Bagaimana cara menghubungkan VPC Alibaba Cloud ke jaringan pusat data lokal? Bagaimana cara menghubungkan VPC Alibaba Cloud ke AWS atau Tencent Cloud?

Untuk informasi lebih lanjut, lihat Hubungkan VPC ke pusat data atau cloud lain.

Dapatkah VPC berkomunikasi ketika Blok CIDR-nya bertentangan dengan VPC lain atau jaringan pusat data lokal?

Untuk informasi lebih lanjut, lihat:

• Gunakan gateway NAT VPC untuk mengatasi konflik alamat.

• Hubungkan pusat data dan VPC dengan gateway NAT VPC dan Express Connect.

• Akses jaringan privat melalui gateway NAT dan VPN.

Bagaimana cara mengaktifkan instance ECS untuk mengakses jaringan publik? Bagaimana cara mengaktifkan instance ECS untuk mengakses jaringan publik melalui alamat IPv6?

Untuk informasi lebih lanjut, lihat Pilih jenis alamat IP publik.

Bagaimana cara menggunakan IP egress publik terpadu untuk beberapa instance ECS?

Untuk informasi lebih lanjut, lihat:

• Gunakan gateway NAT sebagai egress Internet terpadu.

• Buat koneksi peering VPC untuk mengaktifkan beberapa VPC menggunakan gateway NAT Internet yang sama.

• Gunakan router transit untuk berbagi gateway NAT Internet di beberapa VPC.

Apa perbedaan antara gateway IPv4 dan gateway NAT?

Fitur gateway IPv4 dan gateway NAT tidak tumpang tindih. Keduanya dapat digunakan bersama. Untuk informasi lebih lanjut tentang hubungan antar komponen jaringan, lihat Akses Internet.

Bagaimana cara beralih antara IP publik dan IP privat?

Instance ECS yang terikat EIP memiliki IP publik dan IP privat. Anda tidak perlu beralih secara manual di antara keduanya.

• Komunikasi intra-VPC: saat instance ECS lain di VPC yang sama mengakses instance ECS ini, mereka selalu menggunakan IP privat-nya. Traffic tetap berada di dalam VPC, sehingga cepat dan gratis.

• Diakses dari jaringan publik atau mengakses jaringan publik: saat pengguna atau perangkat di internet mengakses instance ECS ini, atau saat instance ECS ini mengakses internet, IP publik-nya (EIP) harus digunakan.

Bagaimana cara mengaktifkan instance ECS untuk mengakses OSS melalui jaringan internal VPC?

Untuk informasi lebih lanjut, lihat Akses privat VPC ke layanan Alibaba Cloud.

Bagaimana cara hanya mengizinkan IP tertentu untuk mengakses instance ECS? Apa perbedaan antara ACL jaringan dan security group?

Untuk informasi lebih lanjut, lihat Kontrol akses.

Bagaimana cara mengaktifkan komunikasi antara security group yang berbeda?

Security group dasar mendukung penggunaan security group sebagai objek otorisasi. Security group enterprise tidak mendukungnya. Untuk detailnya, lihat Dokumentasi ECS - Security group sebagai objek otorisasi.

Saat Anda mengonfigurasi aturan inbound atau outbound untuk security group dasar, Anda dapat menetapkan sumber ke security group dasar lain. Pendekatan ini lebih fleksibel daripada mengotorisasi Blok CIDR. Saat instance ECS baru ditambahkan ke security group atau alamat IP instance berubah, Anda tidak perlu mengubah aturan security group. Mereka secara otomatis memiliki akses.

Bagaimana cara troubleshooting aturan security group yang tidak berlaku?

1. Prioritas aturan: periksa apakah aturan tersebut bertentangan dengan aturan berprioritas lebih tinggi.

2. Kesalahan arah: periksa apakah aturan dikonfigurasi sebagai inbound atau outbound. Akses ke instance ECS adalah inbound. ECS mengakses jaringan eksternal adalah outbound.

3. Kesalahan objek target: pastikan security group diterapkan dengan benar ke antarmuka jaringan elastis instance ECS target.

4. Diblokir oleh ACL jaringan: periksa apakah vSwitch tempat instance ECS berada dikaitkan dengan ACL jaringan, dan apakah aturan ACL tersebut menolak traffic.

5. Firewall dalam ECS: periksa pengaturan firewall di sistem operasi.

6. Routing: pastikan traffic dapat diarahkan dengan benar ke instance ECS.

Bagaimana cara migrasi instance ECS ke VPC lain?

Untuk informasi lebih lanjut, lihat Ubah VPC untuk instance.

Dapatkah saya mengonfigurasi server DNS kustom di VPC?

Ya. Dengan menggunakan fitur set opsi DHCP, Anda dapat mengubah server DNS default VPC menjadi server DNS yang dibangun sendiri di instance ECS, server DNS di pusat data lokal, atau layanan DNS publik pihak ketiga (memerlukan konektivitas jaringan). Untuk informasi lebih lanjut, lihat Gunakan layanan DNS yang dikelola sendiri.

Dapatkah koneksi peering VPC menghubungkan VPC di akun situs Tiongkok dan akun situs internasional?

Tidak.

Berdasarkan persyaratan kepatuhan lintas akun, koneksi peering tidak mendukung konektivitas jaringan privat antara VPC di akun situs Tiongkok dan akun situs internasional.

Apakah peering VPC mendukung konektivitas jaringan privat lintas batas?

Ya.

Koneksi peering lintas batas dikenai biaya transmisi traffic yang dibebankan oleh Cloud Data Transfer (CDT) berdasarkan lalu lintas keluar. Untuk menggunakan fitur lintas batas CDT, pastikan akun saat ini telah menyelesaikan pendaftaran nama asli perusahaan.

Berapa latensi jaringan koneksi peering VPC?

• Koneksi peering wilayah yang sama: latensi jaringan rendah, biasanya pada level milidetik.

• Koneksi peering lintas wilayah: latensi relatif lebih tinggi karena transmisi data antar wilayah berbeda. Latensi spesifik tergantung pada jarak fisik dan kondisi jaringan antara kedua wilayah. Anda dapat menggunakan Cloud Network Performance Observer untuk melihat latensi jaringan rata-rata antar wilayah sebagai referensi dan memilih jenis tautan yang lebih sesuai dengan bisnis Anda.

Mengapa vSwitch yang baru dibuat tidak ditampilkan di halaman konfigurasi ECS, NLB, RDS, dan produk cloud lainnya?

Jika vSwitch yang baru dibuat tidak ditemukan di halaman konfigurasi produk cloud lain, alasan berikut mungkin berlaku:

• Ketidakcocokan VPC: VPC tempat vSwitch berada dan VPC produk cloud yang dikonfigurasi (seperti NLB atau RDS) harus persis sama. Jika tidak, vSwitch tidak akan ditampilkan.

• Ketidakcocokan zona: vSwitch dan instance produk cloud target harus berada di zona yang sama. Jika zonanya berbeda, buat vSwitch di zona tempat instance target berada.

• Penundaan cache konsol: setelah vSwitch dibuat, mungkin terjadi penundaan tampilan singkat. Kami menyarankan Anda keluar dari konsol lalu masuk kembali, atau refresh halaman dan coba lagi.

• Persyaratan multi-zona NLB: meskipun instance ECS backend terkonsentrasi di zona tunggal, NLB mengharuskan Anda memilih minimal dua zona dan vSwitch-nya yang sesuai. Pastikan setiap zona yang dipilih memiliki vSwitch yang valid.

Bagaimana cara mengonfigurasi VPC dan vSwitch dengan cepat? Apakah vSwitch yang dibuat secara otomatis saat instance ECS dibatalkan langganan tetap disimpan?

• Rekomendasi konfigurasi akun baru: jika Anda tidak memiliki persyaratan perencanaan IP privat khusus, Anda dapat langsung menggunakan VPC default dan vSwitch default. Hal ini tidak memengaruhi operasi server. VPC default dan vSwitch default tidak mengurangi kuota yang dialokasikan oleh Alibaba Cloud.

• Pembuatan VPC dan vSwitch default: saat Anda membuat instance ECS, CLB, atau RDS di wilayah yang belum memiliki VPC, sistem secara otomatis mempraseleksi VPC default dan vSwitch default. Alibaba Cloud membuatnya saat Anda melakukan pemesanan.

• Aturan retensi resource: vSwitch adalah resource jaringan independen. Setelah dibuat, vSwitch disimpan secara permanen dan tidak dihapus secara otomatis saat instance ECS dibatalkan langganan. Anda harus mengelola atau menghapusnya secara manual.

Apa itu CIDR?

Classless Inter-Domain Routing (CIDR) adalah metode untuk alokasi alamat IP dan penggabungan rute. Metode ini meningkatkan efisiensi manajemen jaringan dan menyederhanakan tabel rute.

CIDR menggunakan notasi slash (misalnya, 192.168.1.0/24):

• Bagian sebelum garis miring adalah alamat jaringan, yang menunjukkan alamat IP awal dari rentang alamat IP.

• Angka setelah garis miring menunjukkan jumlah bit 1 berurutan dalam subnet mask, yaitu panjang awalan jaringan. Bit yang tersisa digunakan untuk alamat host.

Blok CIDR adalah kumpulan alamat IP yang memiliki awalan dan panjang jaringan yang sama. Blok CIDR besar dapat dibagi menjadi Blok CIDR yang lebih kecil dengan awalan dan panjang jaringan berbeda. Proses ini disebut subnetting. Blok CIDR adalah fondasi perencanaan jaringan modern. Subnetting VPC dan vSwitch didasarkan pada prinsip ini.

Contoh:

• 192.168.0.0/16: 16 bit pertama adalah jaringan, dan 16 bit terakhir untuk host (secara teoretis mencakup 2¹⁶ alamat IP). Blok CIDR ini mencakup 192.168.1.0/24 dan 192.168.2.0/26.

• 10.0.0.0/8: 8 bit pertama adalah jaringan, dan 24 bit terakhir untuk host (secara teoretis mencakup 2²⁴ alamat IP). Blok CIDR ini mencakup 10.1.0.0/16 dan 10.2.0.0/24.

• 172.16.0.0/12: 12 bit pertama adalah jaringan, dan 20 bit terakhir untuk host (secara teoretis mencakup 2²⁰ alamat IP). Blok CIDR ini mencakup 172.17.0.0/16 dan 172.18.0.0/24.

Saat Anda membuat VPC dan vSwitch, Anda harus menentukan Blok CIDR-nya dalam format Blok CIDR. Perhatikan bahwa jumlah alamat IP yang tersedia sebenarnya lebih kecil dari nilai teoretis karena vSwitch memiliki Alamat IP yang dicadangkan sistem.

Bagaimana cara mengubah Blok CIDR VPC?

• Menyesuaikan Blok CIDR primer:

  Saat Anda membuat VPC, Blok CIDR IPv4 yang Anda tentukan adalah Blok CIDR primer VPC. Konsol tidak mendukung modifikasi Blok CIDR primer VPC. Namun, Anda dapat menyesuaikan parameter CidrBlock operasi ModifyVpcAttribute untuk memperbesar atau memperkecil Blok CIDR dalam Blok CIDR primer. Pastikan Blok CIDR yang diperkecil mencakup alamat IP yang sudah digunakan.

  Blok CIDR IPv6 yang ditetapkan setelah IPv6 diaktifkan untuk VPC tidak dapat diubah.

• Gunakan Blok CIDR tambahan: Anda dapat Blok CIDR sekunder untuk menambahkan Blok CIDR tambahan ke VPC di luar Blok CIDR primer. Blok CIDR tambahan dan Blok CIDR primer berlaku secara bersamaan. Anda dapat menggunakan Blok CIDR tambahan untuk membuat vSwitch dan men-deploy resource cloud seperti instance ECS.

Bagaimana cara mengubah Blok CIDR vSwitch?

Blok CIDR IPv4 dan IPv6 vSwitch tidak dapat diubah setelah dibuat.

Jika Anda perlu mengubah Blok CIDR vSwitch, Anda hanya dapat menghapus vSwitch tersebut dan membuat yang baru dengan Blok CIDR yang diinginkan. Sebelum menghapus vSwitch, Anda harus melepas atau memigrasikan semua resource cloud di vSwitch tersebut, seperti instance ECS, instance Server Load Balancer (SLB), dan instance RDS. Ini adalah operasi berisiko tinggi. Pastikan Anda memiliki rencana pencadangan dan migrasi data.

Blok CIDR mana yang harus saya pilih saat membuat VPC?

Memilih Blok CIDR VPC adalah langkah penting dalam perencanaan jaringan. Kami menyarankan Anda mengikuti prinsip-prinsip berikut:

• Gunakan Blok CIDR privat standar: kami menyarankan Anda menggunakan Blok CIDR privat standar yang didefinisikan dalam RFC 1918, seperti 10.0.0.0/16, 172.16.0.0/16, dan 192.168.0.0/16. Anda tidak dapat menggunakan 100.64.0.0/10, 224.0.0.0/4, 127.0.0.0/8, atau 169.254.0.0/16 sebagai Blok CIDR VPC.

• Hindari konflik dengan pusat data lokal (IDC) atau lingkungan jaringan lain: jika Anda berencana menghubungkan VPC Anda ke jaringan lokal, VPC lain, atau cloud lain, pastikan Blok CIDR VPC tidak bertentangan dengan Blok CIDR jaringan-jaringan tersebut.

• Cadangkan ruang alamat yang cukup: perkirakan jumlah alamat IP yang dibutuhkan berdasarkan skala bisnis masa depan Anda, dan pilih Blok CIDR yang cukup besar. Hal ini mencegah transformasi jaringan yang kompleks di kemudian hari akibat kekurangan alamat.

• Hindari konflik dengan Blok CIDR jaringan container umum: jika Anda berencana menggunakan Docker atau Kubernetes (K8s) di VPC, kami menyarankan Anda menghindari Blok CIDR container default umum seperti 172.17.0.0/16 untuk mencegah kegagalan komunikasi.

Bagaimana cara menetapkan Blok CIDR IPv6 ke VPC? Bagaimana cara mengakses jaringan publik melalui IPv6?

Setelah IPv6 diaktifkan untuk VPC dan vSwitch, sistem secara otomatis membuat gateway IPv6 dan menetapkan Blok CIDR IPv6. Secara default, hanya komunikasi privat yang didukung. Untuk komunikasi jaringan publik, Anda dapat mengaktifkan bandwidth publik IPv6. Untuk operasi detailnya, lihat Aktifkan atau nonaktifkan IPv6.

Dapatkah VPC hanya diberi Blok CIDR IPv6 (IPv6-only)?

Tidak. VPC saat ini mendukung IPv4-only dan dual-stack (IPv4 + IPv6), tetapi tidak mendukung IPv6-only.

Bagaimana cara menetapkan alamat IP privat tertentu ke instance ECS yang sudah ada?

Untuk informasi lebih lanjut, lihat Ubah alamat IPv4 privat primer instance yang sudah ada.

Mengapa jaringan tidak dapat berkomunikasi ketika jaringan Docker bertentangan dengan Blok CIDR VPC?

Ini adalah masalah khas dalam perencanaan jaringan cloud. Saat jaringan Docker (atau Pod K8s) yang ditempatkan di ECS tumpang tindih dengan Blok CIDR vSwitch lain di VPC Anda atau Blok CIDR VPC peer dalam koneksi peering, hal ini menyebabkan konflik routing dan mencegah komunikasi normal.

• Penyebab: Asumsikan Blok CIDR default Docker adalah 172.17.0.0/16, dan vSwitch B di VPC memiliki Blok CIDR 172.17.0.0/24. Saat aplikasi di dalam container Docker mencoba mengakses IP di vSwitch B, sistem operasi ECS mengarahkan traffic ke bridge lokal docker0 berdasarkan tabel routing-nya sendiri, alih-alih meneruskan melalui routing VPC, sehingga menyebabkan kegagalan komunikasi.

• Solusi:

  1. Ubah konfigurasi jaringan Docker/K8s: Ubah file konfigurasi daemon Docker (seperti /etc/docker/daemon.json) untuk menentukan Blok CIDR privat yang tidak bertentangan dengan lingkungan jaringan cloud Anda secara keseluruhan (termasuk semua VPC yang saling terhubung dan IDC lokal). Ini adalah solusi paling mendasar.

  2. Hindari konflik selama perencanaan VPC: Saat merencanakan Blok CIDR VPC dan vSwitch, hindari secara aktif 172.17.0.0/16, 10.0.0.0/8 dan beberapa Blok CIDR yang umum digunakan oleh K8s.

Bagaimana cara mengonfigurasi Blok CIDR kolam IPAM untuk mencegah VPC baru bertentangan dengan Blok CIDR yang sudah ada di IDC lokal atau cloud lain?

1. Sebelum mengaktifkan IPAM, tinjau secara komprehensif semua lingkungan jaringan yang perlu saling terhubung, termasuk pusat data lokal, jaringan kantor, dan cloud lain. Catat semua Blok CIDR yang sudah digunakan.

2. Saat mendefinisikan Blok CIDR di kolam IPAM, sertakan Blok CIDR yang sudah digunakan ini.

3. Buat alokasi kustom di kolam IPAM untuk mencadangkan Blok CIDR ini.

4. Selanjutnya, semua Blok CIDR VPC baru dialokasikan melalui IPAM. Karena IPAM telah mencatat semua Blok CIDR yang digunakan, Blok CIDR baru yang dialokasikannya secara alami tidak akan bertentangan dengan yang sudah ada.

Apakah HaVip mendukung IPv6?

Tidak. Saat ini, hanya IPv4 yang didukung.

Apa yang harus saya lakukan jika diminta tentang resource dependen saat menghapus VPC atau vSwitch?

Ikuti petunjuk konsol untuk menghapus resource dependen, lalu hapus VPC atau vSwitch.

Anda dapat melihat resource yang ada di tab Manajemen Resource di halaman detail VPC, atau di tab Resource Cloud di halaman detail vSwitch.

Apa yang harus saya lakukan jika mengalami masalah penghapusan ENI saat menghapus VPC?

Elastic network interface (ENI) adalah salah satu resource sisa paling umum saat menghapus VPC atau vSwitch.

• ENI primer: ENI primer dibuat bersama instance ECS dan siklus hidupnya terikat pada instance ECS. ENI primer tidak dapat dilepas atau dihapus secara terpisah. Anda harus melepas instance ECS terlebih dahulu, dan ENI primer akan dihapus bersamanya.

• ENI sekunder: Jika merupakan ENI sekunder, Anda harus melepasnya dari instance ECS sebelum dapat menghapusnya.

• Dikelola oleh layanan cloud lain: Layanan seperti ALB, NLB, ACK, dan Function Compute secara otomatis membuat dan mengelola ENI. Anda perlu pergi ke konsol layanan cloud yang sesuai untuk menghapus instance layanan tersebut (misalnya, hapus kluster ACK), dan layanan ini akan secara otomatis membersihkan ENI yang mereka buat.

Apa yang harus saya lakukan jika penghapusan vSwitch gagal segera setelah melepas instance ECS?

Setelah Anda melepas instance ECS, sistem membutuhkan waktu sekitar 1–2 menit untuk membersihkan secara asinkron resource sisa seperti ENI yang terkait dengan instance tersebut. Tunggu 1–2 menit lalu coba lagi menghapus vSwitch.

Apakah CEN/Transit Router (TR) secara otomatis menambahkan rute untuk Blok CIDR tambahan?

Jika pembelajaran rute diaktifkan untuk koneksi VPC di TR, dan VPC menggunakan Blok CIDR tambahan untuk membuat vSwitch, TR secara otomatis mempelajari rute sistem untuk Blok CIDR tambahan vSwitch tersebut.Propagasi rute

TR hanya mempelajari secara otomatis rute sistem VPC. Untuk rute kustom, Anda dapat mempublikasikannya secara manual dari tabel rute VPC ke CEN, atau menambahkan entri rute langsung di CEN.

Apakah VPC memiliki router?

Setiap VPC memiliki tepat satu router. Setiap router dapat memelihara beberapa tabel rute.

Anda dapat menggunakan halaman Konsol VPC - Tabel Rute atau API DescribeRouteTables untuk menanyakan ID router yang memiliki tabel rute tersebut.

Bagaimana cara mengonfigurasi rute untuk koneksi peering VPC?

Setelah koneksi peering VPC dibuat dan diaktifkan, kedua VPC tidak terhubung secara default karena mereka tidak tahu cara mengarahkan traffic ke VPC peer melalui koneksi peering. Oleh karena itu, Anda harus menambahkan rute yang mengarah ke koneksi peering di tabel rute di kedua ujung.

Untuk langkah-langkahnya, lihat:Konfigurasi rute.

Apa yang harus saya masukkan sebagai Blok CIDR tujuan untuk entri rute?

Blok CIDR tujuan menentukan alamat IP tujuan mana yang berlaku untuk aturan rute tersebut.

• Pencocokan eksak: Masukkan rentang jaringan spesifik yang ingin Anda gunakan untuk meneruskan traffic. Misalnya, untuk mengakses VPC peer (192.168.0.0/16), masukkan 192.168.0.0/16.

• Rute default:0.0.0.0/0 merepresentasikan semua alamat IPv4. Mengarahkan traffic 0.0.0.0/0 ke gateway NAT memungkinkan instance ECS tanpa IP publik di VPC untuk mengakses internet melalui gateway NAT.

Mengapa kedua ujung perlu dikonfigurasi rutenya untuk koneksi peering?

Komunikasi jaringan bersifat dua arah. Saat mengonfigurasi rute, Anda harus mempertimbangkan tidak hanya traffic permintaan (outbound) tetapi juga traffic respons (inbound). Jika hanya satu ujung yang memiliki rute yang dikonfigurasi, jaringan mungkin tidak dapat dijangkau.

Dapatkah saya menggunakan Blok CIDR vSwitch sebagai tujuan rute?

Ya, tetapi tidak disarankan.

Praktik terbaik: Saat mengonfigurasi rute untuk koneksi peering VPC, gateway VPN, dll., tujuan harus berupa seluruh Blok CIDR VPC peer alih-alih Blok CIDR vSwitch tertentu. Hal ini menyederhanakan manajemen, kecuali jika Anda memiliki persyaratan kontrol akses detail halus tertentu.

Bagaimana cara memantau traffic jaringan publik VPC?

Anda dapat menggunakan fitur Flow Log VPC atau fitur Network Intelligence Service - Traffic Analyzer untuk mengumpulkan informasi traffic dari komponen jaringan publik seperti gateway NAT publik dan gateway IPv4, sehingga memungkinkan pemantauan traffic jaringan publik. Untuk detailnya, lihat Flow log dan Traffic Analyzer.

Bagaimana cara melihat topologi jaringan VPC?

Anda dapat menggunakan fitur Network Intelligence Service - Topologi VPC untuk menghasilkan diagram topologi jaringan VPC secara otomatis.

Pengguna RAM telah diberikan AliyunVPCFullAccess. Mengapa mereka tidak dapat mengakses halaman ikhtisar VPC?

Panel statistik event di halaman ikhtisar konsol VPC bergantung pada API ListNisEvent dari Network Intelligence Service (NIS). Dengan hanya AliyunVPCFullAccess, fungsi manajemen jaringan dasar seperti VPC, vSwitch, dan tabel rute berfungsi normal, tetapi komponen terkait NIS di halaman ikhtisar seperti statistik event akan menampilkan error izin.

Anda perlu memberikan Pengguna RAM salah satu kebijakan sistem berikut untuk mengakses semua konten di halaman ikhtisar VPC:

• AliyunNISFullAccess: Akses penuh ke Network Intelligence Service (NIS).

• AliyunNISReadOnlyAccess: Akses hanya-baca ke Network Intelligence Service (NIS).

AliyunNISFullAccess (NIS) dan AliyunNetanaFullAccess (Netana) adalah kebijakan sistem yang berbeda. AliyunNetanaFullAccess tidak dapat menggantikan AliyunNISFullAccess untuk otorisasi halaman ikhtisar VPC.

Bagaimana cara penagihan VPC?

Fitur VPC berbayar:

• Koneksi peering VPC

• Flow Log

• Traffic Mirroring

Fitur VPC dalam public beta, saat ini gratis selama periode beta:

• Manajemen Alamat IP (IPAM)

• High Availability Virtual IP (HaVip)

Fitur gratis:

• VPC dan vSwitch, Blok CIDR tambahan, Blok CIDR yang dicadangkan

• Hostname DNS, set opsi DHCP

• Tabel rute, daftar awalan

• VPC bersama

• ClassicLink, titik akhir gateway

• Gateway IPv4, ACL jaringan

Jika Anda membuat resource produk cloud di VPC, Anda perlu membayar resource produk cloud yang Anda gunakan. Untuk detailnya, lihat dokumentasi penagihan untuk resource yang sesuai.

Apakah koneksi peering VPC dikenai biaya?

• Wilayah yang sama: Di wilayah yang sama, membuat dan menggunakan koneksi peering VPC sepenuhnya gratis, baik dalam akun yang sama maupun lintas akun.

• Lintas wilayah: Koneksi peering VPC lintas wilayah dikenai biaya oleh Cloud Data Transfer (CDT) berdasarkan lalu lintas keluar.

Bagaimana cara menghentikan penagihan koneksi peering VPC untuk menghemat biaya?

• Koneksi peering wilayah yang sama gratis. Menghapusnya tidak memengaruhi biaya.

• Untuk koneksi peering lintas wilayah, Anda perlu menghapus instance koneksi peering untuk menghentikan biaya traffic terkait.