Cloud Enterprise Network:Perguntas frequentes

Links rápidos para perguntas frequentes

Interconexão de VPCs entre contas na mesma região

Sim.

Nenhum plano de largura de banda ou conexão inter-região é necessário:

• Connect VPCs across accounts

• Use CEN and Basic Edition transit routers to connect VPCs in different regions and Alibaba Cloud accounts

Comunicação inter-região para VPCs na mesma conta

Sim.

Siga as instruções abaixo, pulando as etapas de autorização de VPC entre contas.

• Use Enterprise Edition transit routers to connect VPCs across regions and accounts

• Use CEN and Basic Edition transit routers to connect VPCs in different regions and Alibaba Cloud accounts

Instâncias de transit router por região

Em uma instância do CEN, apenas um transit router pode existir por região. As instâncias de rede devem ser anexadas ao mesmo CEN para se comunicarem.

Você pode criar várias instâncias do CEN (isoladas por padrão), cada uma com seu próprio transit router na mesma região.

Por exemplo, China (Hangzhou) pode ter um transit router para a instância 1 do CEN e outro para a instância 2 do CEN.

CEN versus conexão VBR para VPC

Tanto o CEN quanto as conexões de VBR para VPC (Express Connect) conectam um data center a uma VPC, mas diferem na conexão de rede, no gerenciamento de rotas e no faturamento.

Diferenças entre o CEN e as conexões de peering de VPC

Tanto o CEN quanto as conexões de peering de VPC permitem a comunicação privada entre VPCs, mas diferem em escala, topologia, escalabilidade, configuração de rotas e faturamento.

Verificar a latência de comunicação inter-região

Crie uma conexão inter-região e verifique a latência nos dados de monitoramento. Inter-region connections. Monitor inter-region connections.

Por que a latência da rede interna do CEN às vezes é maior que a latência da rede pública?

O Cloud Enterprise Network (CEN) fornece conectividade de rede privada entre VPCs, e não aceleração de WAN (Wide Area Network). Quando você acessa recursos em diferentes regiões, os pacotes de dados trafegam por links físicos subjacentes, e a latência resultante é determinada pela distância física entre as regiões. Essa é uma restrição física que o CEN não pode superar. A vantagem de baixa latência do CEN é mais significativa para links transfronteiriços e menos perceptível para links não transfronteiriços.

Para comparar a latência, verifique os dados de monitoramento das conexões inter-região.

Conectar VPCs entre contas com o CEN

Por exemplo, para conectar a VPC1 (conta A), a VPC2 (conta B) e a VPC3 (conta C): conceda autorização entre contas à instância do CEN na conta A para a VPC2 e a VPC3 e, em seguida, anexe-as para habilitar a comunicação. Connect VPCs across accounts e Use CEN and Basic Edition transit routers to connect VPCs in different regions and accounts.

Erro no console: Forbidden.AttachChildInstanceAcrossBid

Um transit router pode se conectar a uma VPC entre contas apenas se ambos pertencerem ao mesmo tipo de conta (site da China ou site Internacional).

Por exemplo, um transit router do site da China pode se conectar apenas a VPCs do site da China, e um transit router do site Internacional pode se conectar apenas a VPCs do site Internacional.

Para outras soluções de conectividade de VPC, consulte network connectivity.

Erro ao conectar um VBR a um transit router

Conexão de VPC para transit routers não atualizados

Ao conectar uma VPC a um transit router da Enterprise Edition que não foi atualizado, especifique uma zona primária e uma zona secundária para o transit router. A VPC deve ter pelo menos um vSwitch em cada uma dessas zonas, e cada vSwitch deve ter pelo menos um endereço IP disponível. Durante o processo de conexão, o transit router cria uma interface de rede elástica (ENI) em um vSwitch em cada zona. Cada ENI consome um endereço IP e conecta a VPC ao transit router da Enterprise Edition.

Por padrão, o tráfego da VPC é roteado para o transit router da Enterprise Edition por meio da ENI na zona primária. Se a ENI na zona primária ficar indisponível, o tráfego fará failover automaticamente para a ENI na zona secundária.

Ao especificar as zonas, observe o seguinte:

• As zonas primária e secundária devem pertencer à mesma VPC, e cada zona deve conter pelo menos um vSwitch.

• A tabela de rotas e a ACL de rede associadas ao vSwitch que contém a ENI afetam a forma como a VPC processa o tráfego do transit router da Enterprise Edition. Se os vSwitches nas zonas primária e secundária estiverem associados a tabelas de rotas ou ACLs de rede diferentes, o tráfego poderá ser tratado de forma inconsistente durante um failover. Network ACL.

1. Faça login no console do CEN.

2. Na página CEN Instance, clique em ID da instância do CEN que você deseja gerencie.

3. Acesse a guia Basic Information > Transit Router e clique em ID do transit router que você deseja gerencie.

4. Na página Connection with Peer Network Instance, configure os parâmetros da instância de rede e clique em OK.

   A tabela a seguir descreve apenas os parâmetros relevantes. Para todos os parâmetros, consulte Create VPC connections.

   Parâmetro	Descrição
   Instance Type	Selecione VPC.
   Region	Selecione a região onde a VPC está implantada.
   Transit Router	O sistema exibe automaticamente o transit router na região atual.
   Select the primary and secondary zones for the transit router.	Selecione as zonas primária e secundária para o transit router. Após selecionar as zonas, o sistema cria uma ENI em um vSwitch em cada uma das zonas especificadas.
   Networks	Selecione o ID da instância da VPC.
   vSwitch	Selecione um vSwitch em cada uma das zonas primária e secundária.

Comunicação de VPC sem sincronização de rotas

A sincronização de rotas propaga rotas de um transit router da Enterprise Edition para as instâncias de rede anexadas. Se estiver desativada, adicione manualmente rotas para a rede par na tabela de rotas da VPC.

Sem a sincronização de rotas, use um dos seguintes métodos:

• Ao criar uma conexão de VPC, selecione o recurso avançado Auto-add transit router routes to all VPC route tables. Create a VPC connection.

  O sistema adiciona automaticamente rotas com os blocos CIDR de destino 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16 a todas as tabelas de rotas na VPC. O próximo salto para essas rotas é a conexão da VPC.

  Importante

  Se uma tabela de rotas na VPC já contiver uma rota com um desses blocos CIDR de destino, o sistema não poderá adicionar a nova rota automaticamente. Você deve adicionar manualmente uma rota que aponte para a conexão da VPC.

  Ao criar a conexão da VPC, você pode clique em Check Route e verifique se essas rotas existem na instância de rede.

• Adicione manualmente uma rota à tabela de rotas da VPC apontando para a instância de rede par, com o transit router como o próximo salto. Use custom route tables to manage network traffic.

VBRs em um CEN falham ao aprender rotas

Causa

Quando um VBR é anexado a um CEN, o sistema adiciona uma política de roteamento padrão (direção: Egress Regional Gateway, prioridade: 5000, ação: Reject) que bloqueia a comunicação de VBR para VBR no mesmo transit router. Um transit router da Basic Edition possui apenas uma tabela de rotas. Default routing policies.

Solução

Essa política de roteamento automática tem prioridade 5000 e não pode ser modificada. Para substituí-la, adicione uma política de roteamento personalizada com uma prioridade maior (um valor menor que 5000) para permitir a comunicação de VBR para VBR. Use routing policies.

A instância de VBR não consegue aprender rotas da VPC

As etapas de solução de problemas dependem da edição do transit router que conecta as instâncias de VBR e VPC.

Transit router da Enterprise Edition

Se as instâncias estiverem conectadas a um transit router da Enterprise Edition, siga estas etapas:

1. Use a análise de caminho e os diagnósticos da instância do transit router. Use path analysis. Diagnose a transit router instance.

2. Se o VBR e a VPC estiverem em regiões diferentes, certifique-se de que exista uma conexão inter-região entre os dois transit routers. Use an enterprise edition transit router to create an inter-region connection.

3. Certifique-se de que a tabela de rotas do transit router conectado à instância de VBR contenha uma rota para a instância de VPC.

4. Verifique as políticas de roteamento no transit router conectado ao VBR. Certifique-se de que as políticas permitam que o VBR aprenda rotas da VPC. Routing Policy 1.0.

Transit router da Basic Edition

Se as instâncias de VBR e VPC estiverem conectadas a um transit router da Basic Edition, siga estas etapas:

1. Se o VBR e a VPC estiverem em regiões diferentes, certifique-se de que exista uma conexão inter-região entre os dois transit routers. Use a basic edition transit router to create an inter-region connection.

2. Certifique-se de que a tabela de rotas do transit router da Basic Edition conectado à instância de VBR contenha uma rota para a instância de VPC.

   Por padrão, um transit router da Basic Edition aprende automaticamente as rotas do VBR e as rotas de sistema da VPC. Para aprender outras rotas da VPC, anuncie-as. Advertise routes to a transit router.

3. Verifique as políticas de roteamento no transit router da Basic Edition conectado ao VBR. Certifique-se de que as políticas permitam que o VBR aprenda rotas da VPC. Routing Policy 1.0.

A VPC falha ao aprender rotas do CEN

Solucione o problema com base na edição do transit router conectado:

Transit router da Enterprise Edition

1. Por padrão, uma VPC não aprende rotas de um transit router da Enterprise Edition ao se conectar. Você deve associar a conexão da VPC à tabela de rotas do transit router e ative a sincronização de rotas. Após ativar a sincronização de rotas, a VPC aprende automaticamente as entradas de rota da tabela de rotas associada. Certifique-se de que a tabela de rotas contenha as rotas necessárias.

   Para obter instruções, consulte Create an associated forwarding e Enable route synchronization.

2. Verifique se há conflitos de entradas de rota entre a tabela de rotas do transit router da Enterprise Edition e a tabela de rotas da VPC.

3. Verifique as políticas de roteamento na tabela de rotas do transit router da Enterprise Edition. Certifique-se de que as políticas permitam que a VPC aprenda rotas. Routing Policy 1.0.

Transit router da Basic Edition

Por padrão, uma VPC conectada a um transit router da Basic Edition aprende automaticamente as entradas de rota de sua tabela de rotas. Se a VPC falhar ao aprender as entradas de rota, execute as seguintes etapas:

1. Certifique-se de que a tabela de rotas do transit router da Basic Edition contenha as rotas necessárias.

2. Verifique se há conflitos de entradas de rota entre a tabela de rotas do transit router da Basic Edition e a tabela de rotas da VPC.

3. Verifique as políticas de roteamento na tabela de rotas do transit router da Basic Edition. Certifique-se de que as políticas permitam que a VPC aprenda rotas. Routing Policy 1.0.

Conflitos de rotas na VPC ou no CEN

Resolve route conflicts in a VPC route table or in CEN.

Resolver blocos CIDR sobrepostos

How to resolve overlapping CIDR blocks for vSwitches in a VPC within a Cloud Enterprise Network.

Solução de problemas de falha de acesso a services no CEN

• Se ambas as instâncias de rede usarem transit routers da Basic Edition, crie uma conexão inter-região entre elas. Use a basic edition transit router to create an inter-region connection.

  Por padrão, um transit router da Basic Edition fornece 1 Kbps de largura de banda inter-região. Essa largura de banda é apenas para testes de conectividade e não suporta tráfego de service.

• Se pelo menos uma instância de rede estiver conectada a um transit router da Enterprise Edition, crie uma conexão inter-região entre os transit routers. Use an enterprise edition transit router to create an inter-region connection.

Solucionar problemas de acesso do SAG a services em cloud por meio de um transit router da Enterprise Edition

1. Certifique-se de que pelo menos uma VPC na região do service em cloud esteja conectada ao transit router da Enterprise Edition. Create a VPC connection by using an Enterprise Edition transit router.

2. Certifique-se de que exista uma conexão inter-região entre o transit router anexado à instância CCN e o transit router da Enterprise Edition conectado à VPC. Create an inter-region connection by using an Enterprise Edition transit router.

3. Certifique-se de que a tabela de rotas do transit router da Enterprise Edition contenha uma rota para o service em cloud, com seu próximo salto definido para a conexão da VPC. Configure access to cloud services.

4. Certifique-se de que a tabela de rotas do transit router ao qual a instância CCN está anexada contenha uma rota para o bloco CIDR da instância SAG.

5. Verifique as políticas de roteamento aplicadas às tabelas de rotas do transit router ao qual a instância CCN está anexada e do transit router da Enterprise Edition. Certifique-se de que as políticas de roteamento propaguem os blocos CIDR da instância SAG e do service em cloud. Routing policies 1.0.

6. Verifique na tabela de rotas da VPC se há uma entrada de rota para o bloco CIDR da instância SAG. Se estiver ausente, adicione manualmente uma entrada de rota com o próximo salto definido para a conexão da VPC. Create and manage a route table.

7. Verifique se há conflitos de rotas nas tabelas de rotas do transit router ao qual a instância CCN está anexada, do transit router da Enterprise Edition e da VPC.

8. Verifique as políticas de controle de acesso.

   • Verifique se há políticas de controle de acesso configuradas na instância SAG. Certifique-se de que a política permita que a instância SAG acesse o service em cloud. Access control overview.

   • Verifique se há ACLs de rede configuradas na VPC. Certifique-se de que a ACL de rede permita que a instância SAG acesse o service em cloud. Network ACL.

9. Certifique-se de que o service que usa a instância SAG e o service em cloud de destino estejam em execução correta.

Solucionar problemas de comunicação de ECS em VPCs conectadas ao CEN

Solucione o problema com base na edição do transit router que conecta as VPCs:

Transit router da Enterprise Edition

Se pelo menos uma VPC estiver conectada a um transit router da Enterprise Edition, siga estas etapas:

1. Verifique se as VPCs das instâncias ECS estão anexadas ao mesmo CEN.

   Para que as instâncias ECS se comuniquem, suas VPCs devem estar anexadas ao mesmo CEN. Create a VPC connection.

2. Use a análise de caminho e os diagnósticos do transit router para identificar o problema. Use path analysis. Diagnose a transit router instance.

3. Se as duas VPCs estiverem em regiões diferentes, certifique-se de que exista uma conexão inter-região entre os dois transit routers. Use an Enterprise Edition transit router to create an inter-region connection.

4. Verifique as ACLs de rede configuradas para ambas as VPCs. Certifique-se de que as regras permitam o tráfego entre as instâncias ECS. Network ACLs.

5. Verifique as regras do grupo de segurança aplicadas às instâncias ECS. Certifique-se de que as regras do grupo de segurança permitam o fluxo de tráfego entre as instâncias ECS. Para obter mais informações, consulte Query security group rules e Add a security group rule.

6. Verifique se os blocos CIDR necessários foram publicados no transit router. Publish a route to a transit router.

7. Verifique a tabela de rotas do transit router em busca de políticas de roteamento. Certifique-se de que as políticas de roteamento permitam o tráfego entre os blocos CIDR necessários.

8. Verifique se há conflitos de entradas de rota entre as tabelas de rotas do transit router e as VPCs.

   Você deve resolver quaisquer conflitos de rotas. What do I do if a "Route Conflict" error is reported for a VPC or CEN? What do I do if the CIDR blocks of VSwitches in a CEN-attached VPC overlap?

9. Se o problema persistir, capture pacotes nas instâncias ECS e verifique o tráfego de entrada.

Transit router da Basic Edition

Se ambas as VPCs estiverem conectadas a transit routers da Basic Edition, siga estas etapas:

1. Verifique se as VPCs das instâncias ECS estão anexadas ao mesmo CEN.

   Para que as instâncias ECS se comuniquem, suas VPCs devem estar anexadas ao mesmo CEN. Create a VPC connection.

2. Se as duas VPCs estiverem em regiões diferentes, certifique-se de que exista uma conexão inter-região entre os dois transit routers. Use a Basic Edition transit router to create an inter-region connection.

3. Verifique as ACLs de rede configuradas para ambas as VPCs. Certifique-se de que as regras permitam o tráfego entre as instâncias ECS. Network ACLs.

4. Verifique as regras do grupo de segurança aplicadas às instâncias ECS. Certifique-se de que as regras do grupo de segurança permitam o fluxo de tráfego entre as instâncias ECS. Para obter mais informações, consulte Query security group rules e Add a security group rule.

5. Verifique se os blocos CIDR necessários foram publicados no transit router.

   Por padrão, um transit router da Basic Edition aprende automaticamente as rotas de sistema de uma VPC. Para aprender outras rotas da VPC, publique-as. Publish a route to a transit router.

6. Verifique a tabela de rotas do transit router em busca de políticas de roteamento. Certifique-se de que as políticas de roteamento permitam o tráfego entre os blocos CIDR necessários.

7. Verifique se há conflitos de entradas de rota entre as tabelas de rotas do transit router e as VPCs.

   Você deve resolver quaisquer conflitos de rotas. What do I do if a "Route Conflict" error is reported for a VPC or CEN? What do I do if the CIDR blocks of VSwitches in a CEN-attached VPC overlap?

8. Se o problema persistir, capture pacotes nas instâncias ECS e verifique o tráfego de entrada.

Solucionar problemas de falhas de telnet para VPCs conectadas ao CEN

What to do when telnet fails but ping succeeds between VPC instances connected via Cloud Enterprise Network.

Não é possível executar ping nos IPs da interface do Express Connect

Para obter uma solução, consulte What to do if you cannot ping the Alibaba Cloud side and customer side IP addresses after you enable an Express Connect circuit.

Como solucionar problemas de conectividade de rede após criar uma conexão de VBR?

Se ocorrerem problemas de conectividade de rede após a criação de uma conexão de VBR, solucione o problema com base nos seguintes cenários:

Cenário 1: A rota do VBR está ausente e o ECS não consegue acessar o IDC local

Se as instâncias ECS na sua VPC não conseguirem acessar os blocos CIDR do IDC local por meio do Express Connect, verifique a tabela de rotas do virtual border router (VBR) para determinar se uma entrada de rota apontando para o bloco CIDR do ECS foi adicionada. Se a entrada de rota estiver ausente, adicione-a manualmente.

Cenário 2: O endereço IP de interconexão do Express Connect não responde ao ping após o cancelamento da configuração de VLAN

Esse problema geralmente é causado por problemas de configuração do link físico ou do dispositivo par. Execute as seguintes ações:

1. Entre em contato com sua operadora para realizar testes segmentados e identificar onde o problema está ocorrendo.

2. Verifique o status de aprendizado de ARP no dispositivo par.

3. Verifique se as interfaces de rede estão conectadas corretamente, se não há erros de configuração e se nenhum dispositivo intermediário de segurança ou transporte está bloqueando o tráfego.

Cenário 3: Falha de acesso causada por uma incompatibilidade entre a resolução de nome de domínio privado e a tabela de rotas

Se o bloco CIDR resolvido por um nome de domínio privado (por exemplo, um bloco CIDR no intervalo de endereços IP públicos que é usado como um endereço privado) for identificado como um endereço IP público, a correspondência de rotas falhará. Para resolver esse problema:

1. Adicione o bloco CIDR à VPC.

2. Adicione uma entrada de rota na tabela de rotas da VPC apontando para o transit router (TR).

A conectividade de rede falha após a autorização do CEN entre contas

Why does network connectivity fail after a cross-account VPC instance is authorized?.

Erro "Unauthorized network instance" durante a criação do firewall do CEN

Troubleshoot the "unauthorized network instance" error when creating a VPC firewall for a CEN.

Não é possível anexar VPC entre contas ao CEN

Siga estas etapas para solucionar o problema:

1. Verifique se a instância de VPC e a instância do CEN pertencem a contas do mesmo tipo.

   Por exemplo, uma VPC de uma conta do site da China da Alibaba Cloud não pode ser anexada a um CEN de uma conta do site Internacional da Alibaba Cloud.

2. Verifique se a instância do CEN foi autorizada a acessar a instância de VPC entre contas. VPC Instance Authorization.

Posso alterar uma conexão de VPC associada a vários vSwitches para ser associada a apenas um vSwitch?

Sim. No entanto, a alta disponibilidade não será mais suportada após a modificação, e o processo de modificação pode causar interrupção de tráfego. Tome medidas preventivas com antecedência para evitar a interrupção do service.

Método de modificação: Chame a operação de API UpdateTransitRouterVpcAttachmentZones e especifique o parâmetro RemoveZoneMappings.

Por que a tabela de rotas de um transit router da Basic Edition contém entradas de rota onde o próximo salto aponta para uma VPC em uma região diferente?

Isso ocorre porque os transit routers da Basic Edition dentro da mesma instância do Cloud Enterprise Network (CEN) propagam rotas uns para os outros por padrão, que é a lógica de roteamento padrão dos transit routers da Basic Edition.

Por padrão, existe uma largura de banda de teste extremamente pequena (1 Kbps) entre os transit routers da Basic Edition, usada exclusivamente para testes de alcance de rede. Para transportar tráfego de produção inter-região, você deve adquirir um plano de largura de banda e configurar uma conexão inter-região.

Se você precisar personalizar e controlar a propagação de rotas, atualize para um transit router da Enterprise Edition.

Como rotear o tráfego de uma única instância ECS por meio de uma linha dedicada de backup usando um transit router da Basic Edition?

Um transit router da Basic Edition não suporta correspondência de rotas para rotas de host /32. Você não pode configurar uma política de roteamento que tenha como alvo diretamente um único endereço IP do ECS. Em vez disso, use a seguinte solução alternativa:

1. Adicione um bloco CIDR secundário à VPC e crie um vSwitch dedicado e uma tabela de rotas dedicada dentro desse bloco CIDR.

2. Mova a instância ECS de destino para o novo vSwitch.

3. Conecte a linha dedicada de backup ao CEN por meio de um VBR (Virtual Border Router).

4. Na tabela de rotas dedicada, adicione uma rota estática com um prefixo mais específico (por exemplo, /17) que cubra o bloco CIDR secundário. Defina o próximo salto para a conexão VBR de backup.

Essa abordagem isola o tráfego para a instância ECS de destino e o roteia pela linha dedicada de backup.

O que devo fazer se ocorrer um conflito de intervalo de endereços IP ao anexar uma VPC com o Cloud Firewall (CFW) a uma tabela de rotas do CEN?

O conflito ocorre porque a tabela de rotas do CEN aprendeu automaticamente rotas da VPC que se sobrepõem às rotas específicas geradas pelo Cloud Firewall. Use um dos seguintes métodos para resolver o conflito:

• Método 1: Configure uma política de roteamento para negar a propagação das rotas conflitantes da VPC para a tabela de rotas do CEN.

• Método 2: Adicione manualmente rotas estáticas mais específicas à tabela de rotas do CEN (por exemplo, divida um bloco CIDR /26 em dois blocos CIDR /27) para substituir as rotas aprendidas automaticamente e direcionar o tráfego pelo Cloud Firewall.

Como servidores autoconstruídos no exterior e outros recursos não Alibaba Cloud acessam recursos da Alibaba Cloud implantados em regiões da China continental?

Recursos não Alibaba Cloud, como servidores autoconstruídos no exterior, não podem se conectar diretamente ao CEN da Alibaba Cloud. Use a seguinte abordagem:

1. Use o Express Connect (linha dedicada) ou o VPN Gateway para conectar os recursos no exterior a uma VPC da Alibaba Cloud implantada em uma região fora da China continental, como China (Hong Kong), Singapore ou Germany.

2. Anexe essa VPC à sua instância do CEN e ative a conectividade com as VPCs da Alibaba Cloud nas regiões da China continental.