Use GA together with Cloud Firewall to implement region-specific access control and acceleration - Global Accelerator: Central de Documentação do Alibaba Cloud

Aplicações globais processam requisições de usuários ao redor do mundo e exigem gerenciamento centralizado do tráfego de entrada e saída. O Global Accelerator (GA) utiliza a largura de banda BGP de alta qualidade e a rede de transmissão global da Alibaba Cloud para oferecer serviços de aceleração de rede confiáveis e de alto desempenho. O Internet firewall do Cloud Firewall oferece controle de tráfego e recursos de proteção com granularidade fina. Use o GA em conjunto com o Cloud Firewall para melhorar a segurança, o desempenho e a estabilidade das aplicações.

Cenário

Uma aplicação empresarial está implantada na região US (Silicon Valley), e a maioria dos clientes está localizada na China. A empresa enfrenta os seguintes problemas:

A rede transfronteiriça é instável. Problemas como alta latência, jitter e perda de pacotes ocorrem com frequência.
Ataques maliciosos, crawlers e requisições de regiões fora da China ameaçam a segurança da aplicação, aumentam a carga dos servidores e prejudicam o desempenho geral.

Para resolver esses problemas e melhorar a experiência dos usuários, a empresa adota o GA. Além disso, utiliza o recurso de controle de acesso do Internet firewall do Cloud Firewall para bloquear o tráfego proveniente de regiões fora da China.

Limitações

O Internet firewall do Cloud Firewall protege os seguintes tipos de ativos: instâncias de GA e endereços IP acelerados do tipo elastic IP address (EIP) type. Os endereços IP acelerados devem atender aos seguintes requisitos:

A instância de GA à qual os endereços IP acelerados pertencem deve ser uma standard GA instance.
Os endereços IP acelerados devem ser do tipo EIP.
A região de aceleração à qual os endereços IP acelerados pertencem não pode ser um ponto de presença (POP) da Alibaba Cloud.

Para verifique se uma região de aceleração é um POP da Alibaba Cloud, chame a operação ListAvailableBusiRegions.

Pré-requisitos

As aplicações estão implantadas no servidor de origem.

Neste exemplo, utiliza-se o sistema operacional Alibaba Cloud Linux 3. O NGINX é usado para configure o service HTTP de backend na porta 80.
Sample commands for deploying test applications on ECS instances
```
yum install -y nginx
systemctl start nginx.service
cd /usr/share/nginx/html/
echo "Hello World !  This is This is the Silicon Valley data center test page." > index.html
```
O Cloud Firewall foi adquirido. Para obter mais informações, consulte Purchase Cloud Firewall.

Procedimento

Etapa 1: Configure uma instância de GA

Neste exemplo, utiliza-se uma instância de GA standard com pagamento conforme o uso.

Na página Standard Instance > Instances do Global Accelerator console , clique em Create Standard Pay-as-you-go Instance.
Na etapa Basic Instance Configuration, configure os parâmetros e clique em Next.
Na etapa Configure Acceleration Area, adicione uma área de aceleração, aloque largura de banda para a região e clique em Next.

Neste exemplo, defina o parâmetro Acceleration Area como China (Hong Kong) e ISP Line Type como BGP (Multi-ISP). Os demais parâmetros podem ser mantidos com os valores padrão ou modificados conforme necessário. Para obter mais informações, consulte Add and manage acceleration areas.
Importante
- Se você precisar de áreas de aceleração no território continental da China, obtenha um ICP filing para o nome de domínio antes de disponibilizar os serviços.
- Planeje adequadamente a largura de banda necessária. Larguras de banda máximas insuficientes podem causar throttling e perda de pacotes.
Na etapa Configure listeners, configure o protocolo de encaminhamento e a porta e clique em Next.

Neste exemplo, o parâmetro Protocol é definido como HTTP e o parâmetro Port é definido como 80. Os demais parâmetros podem ser mantidos com os valores padrão ou modificados conforme necessário. Para obter mais informações, consulte Add and manage intelligent routing listeners.
Na etapa Configure an endpoint group, configure o endpoint e clique em Next.

Neste exemplo, Region é definido como US (Silicon Valley), Backend Service Type é definido como Custom Public IP e Backend Service é definido como o endereço IP público do servidor de origem. Leia e selecione Compliance Commitments Regarding Cross-border Data Transfers. Os demais parâmetros podem ser mantidos com os valores padrão ou modificados conforme necessário. Para obter mais informações, consulte Add and manage endpoint groups for intelligent routing listeners.
Na etapa Configuration Review, confirme as configurações e clique em Submit.
(Optional) Após crie a instância de GA, clique no ID da instância na página Instances para visualize as configurações da instância. Na página de detalhes da instância, acesse as abas Instance Information, Listeners e Acceleration Areas para ver mais detalhes.

Por exemplo, é possível visualize o endereço IP acelerado da instância de GA na aba Acceleration Areas.

Step 2: Configure Cloud Firewall

Na página Firewall Settings do console Cloud Firewall, clique em na aba Internet Firewall. Na aba IPv4, localize o endereço IP acelerado da instância de GA e clique em Enable Protection na coluna Operation.

Defina o tipo de ativo como GA EIP e insira um ID de instância de GA para filtrar os ativos. Se Protected for exibido na coluna Firewall Status, a proteção está ativa. Para obter mais informações sobre como ative o Internet firewall, consulte Internet firewall.

Nota
O caminho do tráfego do Global Accelerator (GA) para o EIP NAT de backend é independente do caminho de tráfego direto de clientes na rede pública para o EIP NAT. Configure a proteção do Cloud Firewall separadamente para o IP de aceleração do GA (o endpoint de ingestão) e para o EIP NAT de backend (o endpoint de saída). A proteção de um endpoint não se aplica ao outro.

Mesmo com a proteção do Cloud Firewall ativa para o IP de aceleração do GA, o tráfego de retorno à origem proveniente do GA ainda alcança diretamente o EIP NAT de backend. Portanto, não dependa exclusivamente da proteção aplicada ao GA — ative também o Cloud Firewall para o EIP NAT de backend e configure as políticas de mitigação adequadas.
Na página Prevention Configuration > Access Control > Internet Border do console Cloud Firewall, clique em na aba Inbound e clique em Create Policy.

No painel Create Inbound Policy, clique em na aba Create Policy, configure a política e clique em OK. Em seguida, crie um catálogo de endereços conforme solicitado.

Neste exemplo, consulte a tabela a seguir para as configurações. Modifique a política conforme necessário. Para obter mais informações, consulte Create access control policies for the Internet firewall.

Parâmetro	Descrição	Exemplo
Source Type	O iniciador do tráfego de rede. Selecione um tipo de origem e insira os endereços de origem a partir dos quais o tráfego de rede é iniciado, de acordo com o tipo selecionado.	Location
Source		All Locations Outside China
Destination Type	O receptor do tráfego de rede. Selecione um tipo de destino e insira os endereços de destino para os quais o tráfego de rede é enviado, de acordo com o tipo selecionado.	IP
Purpose		Insira o endereço IP acelerado do GA. Use o sufixo /32.
Protocol Type	O protocolo da camada de transporte. Valores válidos: TCP, UDP, ICMP e ANY. Se não souber o tipo de protocolo, selecione ANY.	ANY
Port Type	O tipo de porta e o número da porta do destino.	Port
Port	O tipo de porta e o número da porta do destino.	0/0, que indica todas as portas
Application	O tipo de aplicação do tráfego.	ANY
Action	A ação aplicada ao tráfego quando ele atender às condições especificadas na política de controle de acesso. Valores válidos: Allow: o tráfego é permitido. Deny: o tráfego é bloqueado e nenhuma notificação é enviada. Monitor: o tráfego é registrado e permitido. Monitore o tráfego por um período e altere a ação da política para Allow ou Deny conforme necessário.	Deny
Priority	A prioridade da política de controle de acesso. Valor padrão: Lowest. Valores válidos:	Top
Policy Validity Period	O período de validade da política de controle de acesso. A política só é aplicada ao tráfego durante o período de validade.	Always
Enabling Status	Especifique se a política deve ser ativada. Se você desativar Enabling Status ao criar uma política de controle de acesso, poderá ativá-la posteriormente na lista de políticas de controle de acesso.	Enabled

CFW inbound policies.png

Etapa 3: Verifique o resultado

Verificação da política de controle de acesso do Cloud Firewall

Neste exemplo, as requisições são enviadas de clientes nas regiões China (Hong Kong) e Germany (Frankfurt).

Nas regiões China (Hong Kong) e Germany (Frankfurt), acesse o endereço IP acelerado do GA em um navegador para verifique se o service de backend pode ser acessado.
- Um cliente na região China (Hong Kong) acessa o endereço IP acelerado da instância de GA. O seguinte resultado é retornado.
- Um cliente na região Germany (Frankfurt) acessa o endereço IP acelerado da instância de GA. O seguinte resultado é retornado.
Os resultados mostram que a política de controle de acesso do Cloud Firewall está em vigor e o tráfego proveniente de regiões fora da China é bloqueado.
Na lista de políticas de controle de acesso , visualize o número de correspondências na coluna Hits/Last Hit At da política de acesso. Clique em no número de correspondências para acesse a página Traffic Logs e ver os detalhes do tráfego.

Por exemplo, defina Destination IP Address como o endereço IP acelerado do GA e Application Identification Status como Blocked by Policy para visualize os detalhes do tráfego bloqueado.

Também é possível visualize ataques e logs de operações na página Log Audit. Para obter mais informações, consulte Log audit.
Na aba Protection Status da página Intrusion Prevention , visualize as estatísticas e os detalhes dos dados de proteção.

Por exemplo, defina o endereço IP de destino como o endereço IP acelerado do GA para ver os detalhes da proteção.

Para obter mais informações sobre os recursos de prevenção contra intrusões, consulte Intrusion prevention.

Verificação do desempenho de aceleração do GA

Neste exemplo, a ferramenta de detecção instantânea é utilizada na região China (Hong Kong). Antes e depois de configure o GA, detecte o endereço IP público do servidor de origem e o endereço IP acelerado da instância de GA para verifique o desempenho da aceleração. Para obter mais informações, consulte Use the network detection tool to test the acceleration performance.

Inicie a detecção para o endereço IP acelerado do GA e verifique a latência de rede após a configuração do GA.
Inicie a detecção para o endereço IP público do servidor de origem e verifique a latência de rede antes da configuração do GA.

Os resultados dos testes mostram que a latência de rede na transmissão de dados da região China (Hong Kong) para a região US (Silicon Valley) foi reduzida.

Nota

O desempenho da aceleração varia conforme a carga de trabalho real.

Referências

Para obter mais informações sobre o faturamento do GA, consulte Billing.
Para obter mais informações sobre o faturamento do Cloud Firewall, consulte Billing overview.
Para obter mais informações sobre os recursos de proteção do Cloud Firewall, consulte Feature comparison and edition selection.