GA port mapping for improved flexibility and security - Global Accelerator: Central de Documentação do Alibaba Cloud

Por motivos de segurança, as organizações frequentemente precisam isolar as portas voltadas para o exterior das portas de aplicativos de backend. Configure o mapeamento de portas no Global Accelerator (GA) para mapear portas de listener para portas de endpoint, aumentando a flexibilidade e a segurança das suas implantações de aplicativos.

Visão geral

Por padrão, o Global Accelerator (GA) encaminha o tráfego para um grupo de endpoints usando o protocolo e o intervalo de portas especificados durante a criação do listener. Os listeners de roteamento inteligente suportam mapeamento de portas. Ao configurar um grupo de endpoints, é possível mapear portas de listener para portas de endpoint específicas. Após essa configuração, o GA aceita tráfego nas portas de listener e o encaminha para as portas de endpoint correspondentes.

Casos de uso

O mapeamento de portas é ideal para cenários em que as portas de listener diferem das portas usadas pelos endpoints para serviços:

Acesso seguro para aplicativos empresariais: Para aumentar a segurança, as organizações costumam isolar as portas externas das portas internas dos aplicativos. Com o mapeamento de portas do GA, você pode aceitar solicitações externas em uma porta padrão, como TCP 80, e encaminhá-las para uma porta de aplicativo de backend, como 8080. Isso evita a exposição direta das portas de serviço internas.
Isolamento de portas para aplicativos SaaS multilocatário: Em um aplicativo Software-as-a-Service (SaaS), utilize o mapeamento de portas do GA para atribuir uma porta externa diferente a cada locatário, como 8001, 8002 e 8003, e mapear essas portas para uma porta de backend específica, como 8080. Essa abordagem garante o isolamento e a segurança dos locatários.
Aceleração HTTPS para sites HTTP: Utilize o mapeamento de portas do GA para criptografar solicitações de clientes em sites que operam na porta HTTP 80. Por exemplo, configure um listener HTTPS na porta 443 e mapeie-o para um serviço de backend que escuta na porta HTTP 80. Isso fornece acesso HTTPS seguro e acelerado ao seu site HTTP.

Limites

Algumas instâncias padrão mais antigas do GA não suportam port mapping para listeners TCP ou UDP. Para ativar esse recurso, entre em contato com seu gerente de conta para solicitar uma atualização da instância.
Ao configurar um Port Mapping, a Listener Port deve estar dentro do intervalo de portas configurado para o listener atual. A Endpoint Port deve ser um valor entre 1 e 65535.
Para listeners TCP e UDP, clique em Add Port Mapping para adicionar vários mapeamentos de portas. A Listener Port em cada mapeamento de porta deve ser única. É possível adicionar até 30 mapeamentos de portas.
Para listeners HTTP e HTTPS, apenas um mapeamento de porta pode ser adicionado.
Para listeners TCP:
- Não é possível configurar mapeamento de portas para grupos de endpoints virtuais.
- Se já existir um grupo de endpoints virtual para o listener, não será possível configurar o mapeamento de portas para o grupo de endpoints padrão.
- Caso o mapeamento de portas já esteja configurado para o grupo de endpoints padrão, não será permitido adicionar um grupo de endpoints virtual.
Após configurar o mapeamento de portas, os seguintes limites se aplicam a alterações subsequentes no listener:
- Protocolo do listener: A troca é permitida apenas entre HTTP e HTTPS. Não há suporte para alternância entre outros protocolos.
- Porta do listener: O intervalo modificado da porta do listener deve incluir todas as portas de listener que possuem mapeamentos de portas existentes.
  
  Por exemplo, se o intervalo da porta do listener for 80–82 e estiver mapeado para as portas de endpoint 100–102, o intervalo modificado deverá incluir as portas 80–82. Você pode alterar o intervalo para 80–90, mas não pode reduzi-lo para 80–81.
Se listas de controle de acesso (ACLs), como regras de grupo de segurança, estiverem configuradas para o serviço de backend, verifique se as regras de entrada permitem tráfego nas portas de endpoint especificadas nos mapeamentos de portas.

Por exemplo, se você mapear a porta de listener 80 para a porta de endpoint 8080, as regras do grupo de segurança do endpoint devem permitir tráfego de entrada na porta 8080.

Exemplos

Os listeners de camada 4 (TCP e UDP) e camada 7 (HTTP e HTTPS) do GA suportam a configuração de mapeamento de portas. Este artigo utiliza os dois cenários a seguir para ilustrar a capacidade de mapeamento de portas do GA.

Camada 4 (TCP e UDP)

Uma empresa de jogos hospeda um grande jogo online multiplayer em instâncias ECS ECS01 e ECS02. As instâncias são adicionadas como backends a um grupo de servidores do Network Load Balancer (NLB) na região US (Silicon Valley). No aplicativo do jogo, o módulo de lógica de combate executa na porta 8080 e o módulo de chat executa na porta 8090.

A empresa enfrenta os seguintes desafios:

Os jogadores estão espalhados pelo mundo e enfrentam alta latência, jitter e perda de pacotes devido à instabilidade das redes internacionais.
O jogo requer portas diferentes para rotear o tráfego para os módulos de backend corretos (combate e chat).
A exposição direta das portas reais dos servidores de jogo representa riscos de segurança e dificulta o gerenciamento.

Para resolver esses problemas, a empresa utiliza o GA. O GA roteia as solicitações do jogo para o ponto de acesso da Alibaba Cloud mais próximo e as transmite pela rede interna da Alibaba Cloud até os servidores do jogo. Isso encurta o caminho de transmissão pela rede pública e reduz problemas de rede, como latência, jitter e perda de pacotes. Além disso, a empresa usa o recurso de mapeamento de portas do GA para receber solicitações externas nas portas TCP 80 e 90 e encaminhá-las para as portas de serviço de backend 8080 e 8090. Essa estratégia isola os módulos de serviço e mitiga os riscos de expor diretamente as portas de serviço internas.

Pré-requisitos

Você tem {{XREF_0}}.
Você criou um grupo de servidores e um listener com {{XREF_1}} para a instância NLB.
Você adicionou ECS01 e ECS02 ao grupo de servidores NLB e implantou módulos de serviço em várias portas em cada instância ECS.

Este exemplo usa Alibaba Cloud Linux 3 e Nginx para configurar um serviço de teste que escuta nas portas 8080 e 8090.
Comandos de referência para implantar um serviço de teste no ECS01
1. Execute os comandos a seguir para instalar o Nginx e implantar páginas de teste de amostra.
```
systemctl restart nginx.service
```
2. Execute o comando a seguir para abrir o arquivo de configuração do Nginx nginx.conf, configurar os módulos de serviço para as portas 8080 e 8090, salvar o arquivo e sair.
```
systemctl restart nginx.service
```
  O conteúdo a seguir é a configuração de amostra:
```
systemctl restart nginx.service
```
3. Execute o comando a seguir para reiniciar o serviço Nginx.
```
systemctl restart nginx.service
```
As regras do grupo de segurança das instâncias ECS01 e ECS02 permitem tráfego de entrada nas portas 8080 e 8090.
Você possui {{XREF_2}} que aponta para a instância NLB.

Se você usar um serviço DNS diferente do Alibaba Cloud DNS, consulte a documentação do seu provedor de DNS.

Procedimento

Etapa 1: Configurar informações básicas sobre uma instância

Neste exemplo, utiliza-se uma instância padrão GA com pagamento conforme o uso.

Na página Standard Instance > Instances do console do Global Accelerator, clique em Create Standard Pay-as-you-go Instance.
Na etapa Basic Instance Configuration, configure as informações básicas e clique em Next.

Etapa 2: Configurar uma área de aceleração

Na etapa Configure Acceleration Area, adicione uma região de aceleração, aloque largura de banda para a região e clique em Next.

Neste exemplo, utiliza-se a região China (Hong Kong). O parâmetro Acceleration Region está definido como China (Hong Kong) e o parâmetro ISP Line Type está definido como BGP (Multi-ISP). Use os valores padrão para outros parâmetros ou modifique-os conforme necessário. Para obter mais informações, consulte {{XREF_3}}.

Importante

Se as regiões de aceleração incluírem regiões na China continental, você deve solicitar um {{XREF_4}} para o nome de domínio a fim de fornecer serviços.
Se você especificar um valor baixo para a largura de banda máxima, poderá ocorrer limitação de taxa e perda de pacotes. Especifique uma largura de banda máxima conforme necessário.

GA加速区域.png

Etapa 3: Configurar um listener

Na página Configure Listener, configure o protocolo e a porta de encaminhamento e clique em Next.

Neste cenário, defina Protocol como TCP e Port como um intervalo que inclua as portas 80 e 90, por exemplo, 80-90. Use os valores padrão para outros parâmetros ou modifique-os com base nos requisitos do seu negócio. Para obter mais informações sobre como configurar um listener, consulte {{XREF_5}}.

Etapa 4: Configurar um grupo de endpoints e endpoints

Na página Configure an Endpoint Group, configure o serviço de backend para o grupo de endpoints e clique em Next.

Neste cenário, defina Region como US (Silicon Valley), Backend Service Type como NLB e Backend Service como a instância NLB de destino. Na seção Port Mapping, mapeie a porta de listener 80 para a porta de endpoint 8080 e a porta de listener 90 para a porta de endpoint 8090. Em seguida, leia e selecione Compliance Commitments Regarding Cross-border Data Transfers. Use os valores padrão para outros parâmetros ou modifique-os com base nos requisitos do seu negócio. Para obter mais informações sobre como configurar um grupo de endpoints, consulte {{XREF_6}}.
Na página Configuration Review, confirme as configurações da instância GA e clique em Submit.

Etapa 5: Configurar um registro CNAME

Em um ambiente de produção, recomendamos o uso do seu próprio nome de domínio. Crie um registro CNAME que aponte seu domínio para o CNAME fornecido pela instância GA. Isso roteia o tráfego do seu aplicativo para o GA para aceleração.

Se você já tiver um registro A apontando para o servidor de backend, primeiro adicione um registro CNAME para a instância GA na região China (Hong Kong) para testes. Após o sucesso do teste, expanda gradualmente para outras regiões ou alterne completamente para o registro CNAME do GA.

Na página Public Zone, localize o nome de domínio que deseja usar e clique em Settings na coluna Actions.

Nota
Para um nome de domínio não registrado na Alibaba Cloud, {{XREF_7}} antes de configurar registros DNS.
Na página DNS Settings, clique em Add Record, configure um registro CNAME e clique em OK.

Neste exemplo, o parâmetro Record Type está definido como CNAME, o parâmetro Hostname está definido como www, o parâmetro Query Source está definido como China (Hong Kong) e o parâmetro Record Value está definido como o CNAME da instância GA. Use os valores padrão para outros parâmetros ou modifique-os conforme necessário. Para obter mais informações, consulte {{XREF_8}}.

Etapa 6: Testar a configuração

Verificar o mapeamento de portas

A partir de um computador na região de aceleração, que neste exemplo é China (Hong Kong):

Abra um navegador e acesse http://<your-domain-name>:80. Atualize a página várias vezes. As solicitações devem alternar entre ECS01 e ECS02. A página retorna uma mensagem como
```
systemctl restart nginx.service
```
ou Hello World! This is ECS02, service running on port 8080.
Abra um navegador e acesse http://<your-domain-name>:90. Atualize a página várias vezes. As solicitações devem alternar entre ECS01 e ECS02. A página retorna uma mensagem como Hello World! This is ECS01, service running on port 8090. ou Hello World! This is ECS02, service running on port 8090..

Verificar o desempenho da aceleração

Este exemplo usa a ferramenta de detecção única para comparar a latência do serviço na porta 8080 antes e depois de ativar o GA. Comparando os tempos de resposta, você pode medir a melhoria de desempenho. Para obter mais informações, consulte {{XREF_9}}.

Insira http://<your-domain-name>:8080 para testar a latência da rede antes de configurar o GA.

Antes de realizar este teste, verifique se o registro DNS aponta para o CNAME da instância NLB.

É possível visualizar informações como o tempo de resposta. O endereço IP resolvido é o IP público da instância NLB, indicando que o tráfego é roteado diretamente para ela.
Insira http://<your-domain-name>:80 para testar a latência da rede após configurar o GA.

Antes de realizar este teste, verifique se o registro DNS foi alterado para apontar para o CNAME da instância GA.

O endereço IP resolvido é o endereço IP acelerado da instância GA, o que indica que o tráfego é roteado para a instância GA para aceleração.

Os resultados do teste mostram que o uso do GA reduz a latência para clientes em China (Hong Kong) quando acessam o serviço na região US (Silicon Valley).

O desempenho real de aceleração do GA pode variar com base nas condições da sua rede e na configuração do serviço.

Camada 7 (HTTP e HTTPS)

Uma empresa usa uma instância do Application Load Balancer (ALB) para implantar um serviço web de alta disponibilidade na região US (Silicon Valley). O serviço web opera na porta HTTP 8081 e atende usuários em todo o mundo.

A empresa enfrenta os seguintes desafios:

A baixa qualidade da rede pública causa alta latência para alguns usuários, degradando a experiência do usuário.
O HTTP transmite dados em texto simples e não autentica o site, representando riscos significativos de segurança.
O serviço web opera na porta personalizada 8081, impedindo que os usuários acessem o serviço diretamente pela porta HTTPS padrão 443.

Para resolver esses problemas, a empresa utiliza o GA para melhorar a experiência do usuário. A empresa também usa o recurso de mapeamento de portas do GA para aceitar solicitações externas na porta HTTPS 443 e encaminhá-las para o serviço de backend na porta HTTP 8081. Isso criptografa as solicitações dos clientes e permite que o serviço seja acessado na porta HTTPS padrão.

Pré-requisitos

Você tem {{XREF_10}}.
Você possui {{XREF_11}} e {{XREF_12}} para a instância ALB.
Você adicionou ECS01 e ECS02 ao grupo de servidores ALB e um serviço está implantado na porta 8081 em ambas as instâncias ECS.

Este exemplo usa Alibaba Cloud Linux 3 e Nginx para configurar um serviço de teste que escuta na porta 8081.
Comandos de referência para implantar um serviço de teste no ECS01
1. Execute os comandos a seguir para instalar o Nginx e implantar uma página de teste de amostra.
```
systemctl restart nginx.service
```
2. Execute o comando a seguir para abrir o arquivo de configuração do Nginx nginx.conf, configurar um módulo de serviço para a porta 8081, salvar o arquivo e sair.
```
systemctl restart nginx.service
```
  O conteúdo a seguir é a configuração de amostra:
```
systemctl restart nginx.service
```
3. Execute o comando a seguir para reiniciar o serviço Nginx.
```
systemctl restart nginx.service
```
As regras do grupo de segurança das instâncias ECS01 e ECS02 permitem tráfego de entrada na porta 8081.
Você possui {{XREF_13}} que aponta para a instância ALB.

Se você usar um serviço DNS diferente do Alibaba Cloud DNS, consulte a documentação do seu provedor de DNS.
Você comprou um certificado ou carregou um certificado de terceiros no SSL Certificates Service e o associou ao seu nome de domínio. Para obter mais informações sobre como criar um certificado, consulte {{XREF_14}}.

Procedimento

Etapa 1: Configurar informações básicas sobre uma instância

Neste exemplo, utiliza-se uma instância padrão GA com pagamento conforme o uso.

Na página Standard Instance > Instances do console do Global Accelerator, clique em Create Standard Pay-as-you-go Instance.
Na etapa Basic Instance Configuration, configure as informações básicas e clique em Next.

Etapa 2: Configurar uma área de aceleração

Na etapa Configure Acceleration Area, adicione uma região de aceleração, aloque largura de banda para a região e clique em Next.

Importante

Se as regiões de aceleração incluírem regiões na China continental, você deve solicitar um {{XREF_16}} para o nome de domínio a fim de fornecer serviços.
Se você especificar um valor baixo para a largura de banda máxima, poderá ocorrer limitação de taxa e perda de pacotes. Especifique uma largura de banda máxima conforme necessário.

GA加速区域.png

Etapa 3: Configurar um listener

Na página Configure Listener, configure o protocolo e a porta de encaminhamento e clique em Next.

Neste cenário, defina Protocol como HTTPS e Port como 443. Na lista suspensa Select a server certificate, selecione o certificado SSL associado ao seu nome de domínio. Use os valores padrão para outros parâmetros ou modifique-os com base nos requisitos do seu negócio. Para obter mais informações sobre como configurar um listener, consulte {{XREF_17}}.

Etapa 4: Configurar um grupo de endpoints e endpoints

Na página Configure an Endpoint Group, configure o serviço de backend para o grupo de endpoints e clique em Next.

Neste cenário, defina Region como US (Silicon Valley), Backend Service Type como ALB e Backend Service como a instância ALB de destino. Na seção Port Mapping, mapeie a porta de listener 443 para a porta de endpoint 8081. Em seguida, leia e selecione Compliance Commitments Regarding Cross-border Data Transfers. Use os valores padrão para outros parâmetros ou modifique-os com base nos requisitos do seu negócio. Para obter mais informações sobre como configurar um grupo de endpoints, consulte {{XREF_18}}.
Na página Configuration Review, confirme as configurações da instância GA e clique em Submit.

Etapa 5: Configurar um registro CNAME

Na página Public Zone, localize o nome de domínio que deseja usar e clique em Settings na coluna Actions.

Nota
Para um nome de domínio não registrado na Alibaba Cloud, {{XREF_19}} antes de configurar registros DNS.
Na página DNS Settings, clique em Add Record, configure um registro CNAME e clique em OK.

Neste exemplo, o parâmetro Record Type está definido como CNAME, o parâmetro Hostname está definido como www, o parâmetro Query Source está definido como China (Hong Kong) e o parâmetro Record Value está definido como o CNAME da instância GA. Use os valores padrão para outros parâmetros ou modifique-os conforme necessário. Para obter mais informações, consulte {{XREF_20}}.

Etapa 6: Testar a configuração

Verificar o mapeamento de portas

A partir de um computador na região de aceleração, que neste exemplo é China (Hong Kong), abra um navegador e acesse https://<your-domain-name>:443. Atualize a página várias vezes. As solicitações devem alternar entre ECS01 e ECS02, e você poderá acessar o serviço na porta 8081 através da porta HTTPS 443.

Verificar o desempenho da aceleração

Este exemplo usa a ferramenta de detecção única para testar o nome de domínio e sua porta correspondente antes e depois de configurar o GA. Visualize o tempo de resposta para entender a latência dos dados. Para obter mais informações, consulte {{XREF_21}}.

Insira http://<your-domain-name>:8081 para testar a latência da rede antes de configurar o GA.

Antes de realizar este teste, verifique se o registro DNS aponta para o CNAME da instância ALB.

É possível visualizar informações como o tempo de resposta. O endereço IP resolvido é o endereço IP público alocado à instância ALB voltada para o público, o que indica que o tráfego é roteado para a instância ALB.
Insira https://<your-domain-name>:443 para testar a latência da rede após configurar o GA.

Antes de realizar este teste, verifique se o registro DNS foi alterado para apontar para o CNAME da instância GA.

O endereço IP resolvido é o endereço IP acelerado da instância GA, o que indica que o tráfego é roteado para a instância GA para aceleração.

Os resultados do teste mostram que o uso do GA reduz a latência para clientes em China (Hong Kong) quando acessam o serviço na região US (Silicon Valley).

O desempenho real de aceleração do GA pode variar com base nas condições da sua rede e na configuração do serviço.

Referências

Para implantar o GA e acessar um site HTTP 80 implantado na região US (Silicon Valley) via HTTPS 443, consulte {{XREF_22}}.
O ALB é integrado ao GA. Configure rapidamente um acelerador GA a partir do console do ALB para simplificar o processo de configuração. Para obter mais informações, consulte {{XREF_23}}.
Para obter informações sobre problemas comuns com o GA, consulte os seguintes tópicos:
- {{XREF_24}}
- {{XREF_25}}
- {{XREF_26}}
Utilize o parâmetro PortOverrides das seguintes operações de API para configurar mapeamentos de portas:
- {{XREF_27}}
- {{XREF_28}}
- {{XREF_29}}
- {{XREF_30}}