Ative o O&M privado para acessar sua instância do Bastionhost inteiramente por uma rede interna. O Bastionhost oferece suporte a O&M pela web em uma rede privada, incluindo o portal de O&M e o O&M de host no console, para ajudar empresas a atender a requisitos de segurança de O&M mais rigorosos.
Contexto
O Bastionhost se integra ao PrivateLink para estabelecer uma conexão privada segura e estável entre sua Virtual Private Cloud (VPC) e o Alibaba Cloud Bastionhost. Essa conexão permite acessar o portal de O&M e executar O&M pela web em uma rede privada, melhorando ainda mais a segurança da conexão de O&M.
Edições compatíveis
Apenas a Enterprise Edition e a SM-compliant Edition do Bastionhost são compatíveis com o O&M privado. Para comprar ou atualizar uma instância, consulte Purchase an instance e Upgrade instance specifications.
Impactos
Ativar o O&M privado causa as seguintes alterações na sua instância do Bastionhost:
Ativar o O&M privado altera o IP de resolução do endereço de O&M privado do Bastionhost. Para o O&M, use o endereço baseado em nome de domínio fornecido no console.
Se alguma política de controle de acesso, como uma regra de firewall, permitir tráfego com base nesse IP, atualize a política com o novo endereço após ativar o O&M privado.
Ao ativar o portal de O&M privado do Bastionhost, o cliente Xshell pode apresentar falha de logon no Bastionhost devido a problemas de compatibilidade.
Procedimento
Faça logon no console do Bastionhost. Na barra de navegação superior, selecione a região onde a instância do Bastionhost está localizada.
Na lista de instâncias do Bastionhost, encontre a instância de destino e escolha .
-
No painel Enable Private O&M, selecione um grupo de segurança de endpoint do PrivateLink e clique em OK.
ImportanteSe o vSwitch for alterado, o endereço IP de saída privado mudará. Se alguma política de controle de acesso, como uma regra de firewall, permitir tráfego com base nesse IP, atualize a política com o novo endereço.
A instância fica inacessível durante a alteração e o Bastionhost entra no estado Updating Configuration. A alteração leva cerca de 20 minutos. (Recomendado) Execute esta operação fora dos horários de pico.
Após selecionar o grupo de segurança de endpoint do PrivateLink, não é possível alterá-lo.
Próximos passos
Configurar regras de acesso do cliente
Para executar O&M pela web em uma rede privada, certifique-se de que o cliente esteja conectado à rede interna da VPC onde o Bastionhost reside. Adicione também regras ao PrivateLink endpoint security group para permitir o acesso a partir do cliente. Caso contrário, o cliente não poderá acessar o endereço de O&M privado do Bastionhost. A lista a seguir descreve os serviços e as portas comumente usados pelo Bastionhost. Configure as regras de acesso com base nos seus requisitos de negócios.
O&M por SSH: 60022
O&M por RDP: 63389
Porta de reprodução de sessão: 9443
Porta de O&M de host e portal de O&M: 443
Porta do Bastionhost Assistant: 20045
O exemplo a seguir mostra como configurar uma regra de acesso de grupo de segurança. Suponha que o endereço IP do cliente seja 192.168.0.1. Para obter instruções sobre como configurar um grupo de segurança para O&M por SSH, consulte Add a security group rule.
Nas regras de entrada do grupo de segurança, adicione uma regra com as seguintes configurações: Action como Allow, Priority como 1, Protocol Type como Custom TCP, Source como 192.168.0.1 e Port Range como 60022/60022.
Ao ativar o O&M privado, o grupo de segurança de endpoint do PrivateLink aceita apenas grupos de segurança na VPC onde o Bastionhost reside. Não é possível associar ou reutilizar diretamente um grupo de segurança de outra região.
Para acessar o portal de O&M privado do Bastionhost a partir de outra região, execute as seguintes etapas:
Use o Cloud Enterprise Network (CEN) para conectar a VPC onde o Bastionhost reside à VPC onde o cliente reside, permitindo a comunicação entre regiões.
No grupo de segurança de cada região, adicione manualmente uma regra de entrada para permitir o endereço IP de saída privado do Bastionhost.
Solucionar falhas de conexão
Caso configure o grupo de segurança conforme descrito nas etapas anteriores e ainda não consiga acessar o Bastionhost ou executar operações relacionadas pela rede privada, verifique os seguintes cenários:
Não é possível reproduzir as gravações de sessão e o nome de domínio não responde ao ping: Verifique se o O&M privado está ativado e se o PrivateLink endpoint security group permite a porta de reprodução de sessão (9443) e a porta de O&M de host (443).
-
Falha na conexão entre contas ou entre VPCs para uma instância ECS (por exemplo, não é possível enviar um ping para o endereço IP interno da instância ECS de destino): Além de verificar se o PrivateLink endpoint security group permite as portas relacionadas ao Bastionhost (como 60022), verifique os dois itens a seguir:
Conflitos de rota: Verifique se o cliente ou a instância ECS de destino possui uma rota que entra em conflito com o bloco CIDR da VPC (por exemplo, o bloco CIDR padrão do Docker
172.17.0.0/16). Para resolver o problema, altere o bloco CIDR do Docker ou adicione uma rota mais específica.Endereços IP públicos usados em uma rede privada: Se o IP do servidor de destino estiver dentro de um intervalo roteável publicamente e usado de forma privada (como
172.x.x.x), adicione o bloco CIDR do servidor à configuração Public IP addresses used within a private network no console do Bastionhost.
Perguntas frequentes
Referências
Para obter instruções sobre como os administradores de O&M executam O&M pela web, consulte Web-based O&M.