Cloud Enterprise Network:Isolar VPCs e acessar serviços compartilhados

Etapa 1: Criar uma instância do CEN

Crie uma instância do CEN antes de conectar suas instâncias de rede.

1. Faça login no console do CEN.

2. Na página CEN Instance, clique em Create CEN Instance.

3. Na caixa de diálogo Create CEN Instance, configure os parâmetros a seguir e clique em OK.

   • Name: Insira um nome para a instância do CEN.

   • Description: Insira uma descrição para a instância do CEN.

Etapa 2: Criar conexões de VPC

1. Na página CEN Instance, clique em o ID da sua instância do CEN.

2. Na aba Basic Settings, na seção VPC, clique em o ícone .

3. Na página Connection with Peer Network Instance, configure os parâmetros a seguir e clique em OK.

   • Instance Type: VPC é selecionado por padrão.

   • Region: Selecione a região onde a instância de rede está implantada. Neste exemplo, China (Hangzhou) é selecionado.

   • Transit Router: O sistema cria automaticamente um transit router na região selecionada.

   • Account: Selecione o tipo de conta proprietária da instância de rede. Neste exemplo, o valor padrão Your Account é utilizado.

   • Método de faturamento: o valor padrão é pagamento conforme o uso.

   • Connection Name: Insira um nome para a conexão.

   • Networks: Selecione o ID da VPC que deseja conectar. Neste exemplo, VPC3 é selecionada.

   • vSwitch: Selecione instâncias de vSwitch em zonas compatíveis com o transit router.

     Para regiões com zona única, selecione um vSwitch. Para regiões com múltiplas zonas, selecione pelo menos dois vSwitches em zonas diferentes. Para reduzir a latência, selecione um vSwitch por zona.

   • Advanced Settings: Neste exemplo, para a VPC3, ative apenas Associate with Default Route Table of Transit Router e Propagate system routes to transit router route table.

     Três opções são ativadas por padrão: Associate with default route table of transit router (associa a conexão da VPC à tabela de rotas padrão do transit router), Propagate system routes to default route table of transit router (divulga as rotas de sistema da VPC para o transit router, permitindo a comunicação com outras instâncias de rede conectadas) e Automatically create route that points to transit router and add to all route tables of current VPC (adiciona três rotas — 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 — a todas as tabelas de rotas da VPC, com próximo salto apontando para o transit router; por padrão, transit routers não divulgam rotas para VPCs). Para personalizar o roteamento, desmarque essas caixas de seleção e configure as associações e propagações de rotas manualmente. Consulte Manage routes.

     Nota

     Para tráfego IPv6, após criar a conexão da VPC, ative route synchronization ou manually add IPv6 route entries apontando para a conexão da VPC na VPC.

4. Após a criação da conexão da VPC3, clique em Create More Connections.

   Repita step3 para criar conexões para VPC1 e VPC2. Ao criar as conexões para VPC1 e VPC2, selecione apenas a configuração avançada Propagate system routes to transit router route table.

5. Após a criação das conexões de VPC, clique em Return to the List para retornar à página de detalhes da instância.

Etapa 3: Associar VPCs a uma tabela de rotas personalizada

1. Na página de detalhes da instância, localize o transit router criado e clique em seu ID.

2. Na página de detalhes do transit router, clique em a aba Route Table.

3. No painel à esquerda da aba, clique em Create Route Table.

4. Na caixa de diálogo Create Route Table, configure os parâmetros a seguir e clique em OK.

   • Transit Router: O sistema seleciona automaticamente o transit router na região atual.

   • Name: Insira um nome para a tabela de rotas.

   • Description: Insira uma descrição para a tabela de rotas.

   • Multi-region ECMP Routing: Mantenha o valor padrão.

5. Clique em View Route Table Details para retornar à aba Route Table.

6. Na aba Route Table, selecione a tabela de rotas personalizada recém-criada, clique em a aba Route Table Association e, em seguida, clique em Create Association.

7. Na caixa de diálogo Add Association, selecione as conexões de instâncias de rede a serem associadas a esta tabela de rotas personalizada e clique em OK.

   Após a associação, VPC1 e VPC2 encaminham o tráfego consultando esta tabela de rotas.

8. Na página de detalhes da tabela de rotas personalizada, clique em a aba Route Entry e, em seguida, clique em Add Route Entry.

9. Na caixa de diálogo Add Route Entry, configure os parâmetros a seguir e clique em OK.

   • Route Table: O sistema seleciona automaticamente a tabela de rotas personalizada atual.

   • Transit Router ID: O sistema seleciona automaticamente o transit router na região atual.

   • Name: Insira um nome para a entrada de rota.

   • Destination CIDR: Insira o bloco CIDR de destino da rota. Neste exemplo, insira 10.0.0.0/16.

   • Blackhole Route: Se você selecionar esta opção, todo o tráfego destinado a esta rota será descartado. Neste exemplo, selecione No.

   • Next Hop: Selecione o próximo salto da rota. Neste exemplo, selecione a conexão da VPC3.

   • Description: Insira uma descrição para a entrada de rota.

Etapa 4: Adicionar uma rota padrão a cada VPC

No console da VPC, adicione uma rota com destino 0.0.0.0/0 às tabelas de rotas de VPC1, VPC2 e VPC3. Defina o próximo salto da rota como o transit router.

1. Faça login no console da VPC.

2. No painel de navegação à esquerda, clique em Route Table.

3. Na barra de navegação superior, selecione a região onde a tabela de rotas está localizada.

4. Na página Route Table, localize a tabela de rotas desejada e clique em seu ID.

   Neste exemplo, selecione a tabela de rotas da VPC3.

5. Na página de detalhes da tabela de rotas, na aba Route Entry List, clique em Custom Route e, em seguida, clique em Add Route Entry.

6. No painel Add Route Entry, configure os parâmetros a seguir e clique em OK.

   • Name: Insira um nome para a entrada de rota.

   • Destination CIDR Block: Insira o bloco CIDR de destino. Neste exemplo, insira 0.0.0.0/0.

   • Next Hop Type: Selecione o tipo do próximo salto. Neste exemplo, selecione Transit Router.

   • Transit Router: Selecione a conexão da instância de rede. Neste exemplo, selecione a conexão da VPC3.

   Para mais informações sobre os parâmetros, consulte Manage network traffic by using a custom route table.

7. Repita step4 até step6 para adicionar uma rota com destino 0.0.0.0/0 e próximo salto apontando para o transit router nas VPC1 e VPC2.

   Você pode visualizar as informações de roteamento de VPC1, VPC2, VPC3 e das tabelas de rotas do transit router na página de detalhes do transit router no console do CEN.

   1. Na página de detalhes do transit router, clique em Network Instance Route Table para visualizar as rotas de VPC1, VPC2 e VPC3.

      1. Na página de detalhes do transit router, clique em Network Instance Route Table.

      2. Na lista suspensa Networks, selecione o ID de VPC1, VPC2 ou VPC3 para visualizar suas rotas.

         Figura 1. Rotas da VPC1

         Informações de rota da VPC1: Na aba Route Information da instância do transit router, selecione a instância de rede VPC correspondente. As entradas de rota incluem:

         • Bloco CIDR de destino 0.0.0.0/0: rota personalizada, não divulgada. O próximo salto é a conexão do transit router.

         • Bloco CIDR de destino 100.64.0.0/10: rota de sistema, não divulgada.

         • Bloco CIDR de destino 192.168.0.0/24: rota de sistema, divulgada.

         • Bloco CIDR de destino 192.168.1.0/24: rota de sistema, divulgada.

         Figura 2. Rotas da VPC2

         As informações de rota da VPC2 contêm as seguintes quatro entradas de rota:

         • Bloco CIDR de destino 0.0.0.0/0: rota personalizada, não divulgada. O próximo salto é a instância de conexão inter-regional.

         • Bloco CIDR de destino 100.64.0.0/10: rota de sistema, não divulgada.

         • Bloco CIDR de destino 172.16.0.0/24: rota de sistema, divulgada.

         • Bloco CIDR de destino 172.16.1.0/24: rota de sistema, divulgada.

         Figura 3. Rotas da VPC3

         Na página de detalhes do transit router, clique em a aba Route Information, selecione a instância de rede VPC e a tabela de rotas correspondente e visualize as entradas de rota:

         • 0.0.0.0/0: rota personalizada, não divulgada. O próximo salto é a conexão do transit router (tr-attach).

         • 10.0.0.0/24: rota de sistema, divulgada.

         • 10.0.1.0/24: rota de sistema, divulgada.

         • 100.64.0.0/10: rota de sistema, não divulgada.

   2. Na aba Route Table, você pode visualizar as rotas que a tabela de rotas do sistema do transit router aprendeu de VPC1, VPC2 e VPC3.

      1. Na página de detalhes do transit router, clique em Route Table.

      2. Na aba Route Table, visualize as entradas de rota na tabela de rotas.

         Figura 4. Tabela de rotas do sistema

         Detalhes das entradas de rota da tabela de rotas do sistema (tipo: System): todas as entradas de rota são do tipo aprendizado automático e contêm os seguintes blocos CIDR de destino e instâncias de conexão de próximo salto:

         • 10.0.0.0/24 e 10.0.1.0/24: o próximo salto é attach3 (correspondente à vpc3).

         • 172.16.0.0/24 e 172.16.1.0/24: o próximo salto é attach2 (correspondente à vpc2).

         • 192.168.0.0/24 e 192.168.1.0/24: o próximo salto é attach1 (correspondente à vpc1).

         Figura 5. Tabela de rotas personalizada

         A página de detalhes da tabela de rotas personalizada do transit router mostra que o tipo da tabela de rotas é Custom e o status é Available. A lista de entradas de rota contém uma rota estática: o bloco CIDR de destino é 10.0.0.0/16, e o próximo salto aponta para a conexão da instância de rede da VPC3.

Etapa 5: Testar a conectividade de rede

1. Faça login na instância ECS na VPC1. Para mais informações, consulte Connection methods for ECS instances.

2. Execute o comando ping para fazer ping no endereço IP da instância ECS na VPC3 e testar a conectividade entre VPC1 e VPC3.

   A saída confirma que VPC1 e VPC3 conseguem se comunicar.

   [root@iZrxxx3iiZ ~]# ping 10.0.0.112
   PING 10.0.0.112 (10.0.0.112) 56(84) bytes of data.
   64 bytes from 10.0.0.112: icmp_seq=1 ttl=64 time=0.835 ms
   64 bytes from 10.0.0.112: icmp_seq=2 ttl=64 time=0.582 ms
   64 bytes from 10.0.0.112: icmp_seq=3 ttl=64 time=0.587 ms
   64 bytes from 10.0.0.112: icmp_seq=4 ttl=64 time=0.584 ms
   ^C
   --- 10.0.0.112 ping statistics ---
   4 packets transmitted, 4 received, 0% packet loss, time 3112ms
   rtt min/avg/max/mdev = 0.582/0.647/0.835/0.108 ms
   [root@iZrj9fxxxmr3iiZ ~]#

3. Faça login na instância ECS na VPC2 e use o comando ping para fazer ping no endereço IP da instância ECS na VPC3, testando a conectividade entre VPC2 e VPC3.

   A saída confirma que VPC2 e VPC3 conseguem se comunicar.

   [root@iZrxxx a81Z ~]# ping 10.0.0.112
   PING 10.0.0.112 (10.0.0.112) 56(84) bytes of data.
   64 bytes from 10.0.0.112: icmp_seq=1 ttl=64 time=1.17 ms
   64 bytes from 10.0.0.112: icmp_seq=2 ttl=64 time=0.931 ms
   64 bytes from 10.0.0.112: icmp_seq=3 ttl=64 time=0.923 ms
   64 bytes from 10.0.0.112: icmp_seq=4 ttl=64 time=0.938 ms
   ^C
   --- 10.0.0.112 ping statistics ---
   4 packets transmitted, 4 received, 0% packet loss, time 3035ms
   rtt min/avg/max/mdev = 0.923/0.992/1.178/0.111 ms
   [root@iZrj906fxxx LZ ~]#

4. Faça login na instância ECS na VPC1 e use o comando ping para fazer ping no endereço IP da instância ECS na VPC2, testando a conectividade entre VPC1 e VPC2.

   A saída confirma que VPC1 e VPC2 não conseguem se comunicar.

   [root@iZrjxxx r3iiZ ~]# ping 172.16.0.222
   PING 172.16.0.222 (172.16.0.222) 56(84) bytes of data.
   ^Z
   [5]+  Stopped                 ping 172.16.0.222
   [root@iZrj9f7xxx3iiZ ~]#

Isolamento de rotas de VPC entre contas

O mecanismo de roteamento e isolamento descrito neste tutorial se aplica de forma idêntica a implantações entre contas. O isolamento continua sendo alcançado ao ativar apenas o aprendizado de rotas (Propagate system routes to transit router route table) para VPC1 e VPC2, associando-as a uma tabela de rotas personalizada e adicionando uma rota personalizada para a VPC3 nessa tabela de rotas. Esse mecanismo não depende de qual conta Alibaba Cloud é proprietária das VPCs.

Pré-requisito: Antes de criar uma conexão de VPC entre contas, a conta proprietária da VPC precisa conceder autorização à conta proprietária do transit router. Para instruções, consulte Cross-account authorization for network instances.

Diferença de configuração: Na Etapa 2: Criar conexões de VPC, para o campo Account, selecione Different Account em vez de Your Account e insira o ID da conta principal da Alibaba Cloud proprietária da VPC. Todos os demais itens de configuração permanecem iguais ao cenário de mesma conta. Para detalhes dos parâmetros, consulte Create a VPC connection.

Propriedade das operações: Da Etapa 1 até a Etapa 3 (criação da instância do CEN, do transit router, das conexões de VPC e da tabela de rotas personalizada com suas entradas de rota), todas as ações são realizadas na conta proprietária do transit router. A Etapa 4: Adicionar uma rota padrão a cada VPC deve ser executada pela conta proprietária de cada VPC, no console de VPC dessa conta.

Isolamento de VPC entre contas usando mapas de rotas

Após uma VPC de outra conta ser conectada ao CEN, ela possui conectividade total com todas as demais instâncias de VPC no transit router por padrão. Para isolar seletivamente uma VPC de outra conta de instâncias de VPC específicas, configure um mapa de rotas na tabela de rotas do transit router em vez de usar o método de tabela de rotas personalizada e associação descrito anteriormente neste tópico. Esse mecanismo é independente do isolamento baseado em tabela de rotas personalizada descrito em Isolamento de rotas de VPC entre contas: ele alcança o isolamento filtrando as divulgações de rotas no plano de controle, sem alterar a tabela de rotas à qual a conexão da VPC está associada.

Como funciona: Um mapa de rotas controla quais rotas o transit router divulga para uma determinada conexão de VPC. Ao criar um mapa de rotas Deny que corresponda ao tráfego entre duas conexões de VPC, o transit router para de divulgar as rotas correspondentes. Assim, as duas instâncias de VPC não conseguem mais se comunicar, mesmo que as tabelas de rotas subjacentes não sejam modificadas.

Antes de começar: Um mapa de rotas produz efeito apenas para divulgações de rotas que ocorrerem após sua criação. Se já existir uma entrada de rota que permita a comunicação entre as duas instâncias de VPC na tabela de rotas, exclua essa entrada primeiro. Caso contrário, a rota existente continuará funcionando e o isolamento não entrará em vigor.

Para configurar um mapa de rotas de negação:

1. Crie um mapa de rotas na tabela de rotas do transit router com as seguintes configurações:

   • Action: Deny.

   • Priority: 20. Um valor menor indica maior prioridade.

   • Direction: Egress from the regional gateway (o mapa de rotas filtra as rotas conforme são divulgadas para fora da região).

   • Source instance IDs: o ID da conexão da VPC de outra conta, por exemplo, vpc-xxx.

   • Destination instance IDs: o ID da conexão da VPC que você deseja isolar da VPC de origem, por exemplo, vpc-yyy.

   Nota

   Em alguns casos, a lista suspensa Source instance IDs na página de criação do mapa de rotas no console não exibe opções selecionáveis, mesmo que a conexão da VPC já tenha sido associada à tabela de rotas por meio da associação de tabela de rotas. Se isso ocorrer, chame a operação CreateCenRouteMap via API e passe o ID da instância VPC no formato vpc-xxx para criar o mapa de rotas.

2. Após o mapa de rotas entrar em vigor, faça login na instância ECS na VPC de origem e execute o comando ping para testar a conectividade com uma instância ECS na VPC isolada. O comando ping deve falhar (100% de perda de pacotes), confirmando que o isolamento por mapa de rotas está em vigor.