NAT Gateway:Deploy single-AZ NAT gateways for high availability

Visão geral da solução

Para minimizar o raio de impacto de uma falha em uma única zona de disponibilidade, alinhe suas cargas de trabalho em cloud por zona e evite chamadas entre zonas. Com base nessa arquitetura de alta disponibilidade, implante um Internet NAT Gateway de zona única de forma independente em cada zona de disponibilidade e use tabelas de rotas personalizadas para rotear o tráfego público de cada zona de forma independente. Isso limita o raio de falha a uma única zona de disponibilidade.

Como mostra a figura, caso ocorra uma falha na zona de disponibilidade A, apenas as cargas de trabalho dessa zona serão afetadas. As cargas de trabalho nas zonas de disponibilidade B e C não serão afetadas.

Este modo de recuperação de desastres está disponível em todas as regiões com suporte ao Internet NAT Gateway. Para que você ative esse recurso, entre em contato com o seu gerente de contas.

Procedimento

1. Implante gateways Internet NAT de zona única em várias zonas de disponibilidade

   Para isso, acesse a página de compra do Internet NAT Gateway e crie um Internet NAT Gateway para cada zona de disponibilidade.

   • Billing Method: Pagamento conforme o uso.

   • Region: selecione a região para que você crie o Internet NAT Gateway.

   • Network and Zone: selecione a VPC e o vSwitch para o Internet NAT Gateway. Além disso, crie cada gateway NAT em um vSwitch de uma zona de disponibilidade diferente. Não é possível alterar essa configuração após a criação.

   • Disaster Recovery: selecione Single-zone disaster recovery. Esse recurso implanta o gateway na zona de disponibilidade selecionada e utiliza redundância no nível do dispositivo para garantir a alta disponibilidade.

   • EIP: selecione uma opção conforme a disponibilidade de um EIP.

     • Select EIP: selecione um EIP não associado.

     • Purchase EIP: selecione esta opção caso não tenha um EIP disponível. Por padrão, o sistema cria um EIP com cobrança por tráfego do tipo de linha BGP (Multi-ISP). Além disso, defina a Maximum Bandwidth conforme necessário.

       Para associar um EIP do tipo de linha BGP (Multi-ISP) Premium ou um EIP com um método de faturamento diferente, primeiro solicite um EIP e, em seguida, selecione Select EIP durante a criação.

     • Configure Later: O gateway NAT não terá acesso à internet pública até que você associe um EIP.

       Após a criação do gateway, clique em Associate Now na coluna EIP da instância do Internet NAT Gateway de destino. Em seguida, selecione um endereço IP elástico existente ou crie e associe um novo.

2. Configure uma entrada SNAT para cada gateway NAT.

   Para isso, acesse a página Internet NAT Gateway. Na coluna Actions da instância de destino, clique em Configure SNAT e, em seguida, clique em Create SNAT Entry.

   • SNAT Entry: O escopo de aplicação da regra SNAT. Por favor, selecione a granularidade conforme seus requisitos de gerenciamento.

   • Select EIP: Na lista suspensa, selecione os EIPs a serem usados para acesso à internet pública.

     • É possível que você selecione vários EIPs. Um algoritmo de hash distribui as conexões entre os EIPs. Como o tráfego varia por conexão, a carga entre os EIPs pode ser desigual. Recomendamos adicionar todos os EIPs à mesma instância de Shared Bandwidth para evitar interrupções no service quando um único EIP atinge o limite de largura de banda.

   • EIP Affinity: Se a afinidade de EIP estiver desativada, um único endereço IP privado poderá usar diferentes endereços IP de saída para acessar o mesmo destino. Se ativada, o sistema usa o mesmo endereço IP de saída. No entanto, um alto número de conexões simultâneas para um único destino pode causar falhas na alocação de portas. Monitore o port allocation failure drops.

   Quando você crie a entrada, clique em Edit na coluna Actions da entrada de destino e modifique os EIPs e as configurações de afinidade de EIP.

3. Configure as rotas ao vincular uma tabela de rotas personalizada distinta ao vSwitch em cada zona de disponibilidade. Em cada tabela de rotas, adicione uma rota 0.0.0.0/0 apontando para o gateway NAT na mesma zona. Isso garante o roteamento independente do tráfego público de cada zona.

   1. Abra a página console da VPC - Tabelas de rotas. Na barra de menu superior, selecione a região dos gateways Internet NAT.

   2. Agora, crie uma tabela de rotas: clique em Create Route Table, selecione a VPC de destino e defina o Associated Resource Type como vSwitch.

   3. Vincule um vSwitch: Na página console da VPC - Tabelas de rotas, encontre a tabela de rotas de destino e clique em Bind na coluna Associated Resource. Além disso, selecione Associate vSwitch e escolha o vSwitch de destino na caixa de diálogo.

   4. Adicione uma rota personalizada: Na página de detalhes da tabela de rotas, acesse a aba Route Entry List > Custom Route e clique em Add Route Entry. Além disso, defina o Destination CIDR Block como 0.0.0.0/0 e o Next Hop Type como NAT Gateway. Para o próximo salto, selecione o gateway NAT na mesma zona de disponibilidade do vSwitch.

verifique a configuração

Conecte-se às instâncias ECS em diferentes zonas de disponibilidade e execute o seguinte comando e verifique o endereço IP de saída.

# Verify that the egress IP address is the EIP bound to the NAT gateway in the same availability zone.
curl ifconfig.me

O endereço IP de saída da instância ECS na zona de disponibilidade A deve ser o EIP do NATGW-1, enquanto o IP de saída da instância na zona de disponibilidade B deve ser o EIP do NATGW-2. Essa diferença confirma que o isolamento do domínio de falha funciona corretamente.

Melhores práticas para ambientes de produção

• Redundância de zona de disponibilidade para cargas de trabalho: Implante as cargas de trabalho do seu aplicativo em várias zonas de disponibilidade para que, em caso de falha de uma zona, as cargas de trabalho nas demais zonas continuem operando de forma independente.

• Redundância de múltiplos EIPs: Associe vários EIPs à entrada SNAT de cada gateway NAT. Se um EIP ficar indisponível devido a um ataque, o tráfego continua fluindo pelos outros EIPs.

• Monitoramento e alertas: Configure alertas para métricas principais em cada gateway NAT, como conexões simultâneas, largura de banda de entrada/saída e port allocation failure drops. Isso permite dimensionar os recursos antes que se tornem gargalos.

• vSwitches dedicados: Crie um vSwitch dedicado para cada gateway NAT e reserve endereços IP privados suficientes para evitar a exaustão de endereços IP e o bloqueio na associação de novos EIPs.