Acesso do EAS a recursos públicos e privados - Platform For AI: Central de Documentação do Alibaba Cloud

Se um service do EAS precisar chamar APIs públicas, baixar arquivos da internet, conectar-se a um banco de dados RDS ou acessar outros services externos, configure uma Virtual Private Cloud (VPC) para estabelecer a conectividade de rede.

Como funciona

Ao configurar uma VPC para um service do EAS, o sistema cria uma Elastic Network Interface (ENI) para cada instância do service e atribui a ela um endereço IP privado do vSwitch especificado. Isso confere à instância uma identidade de rede dentro da VPC, permitindo a comunicação com outros recursos da VPC ou o acesso à internet pública por meio de um NAT Gateway.

Faturamento

A configuração de uma VPC para um service do EAS é gratuita. No entanto, o NAT Gateway e o Elastic IP Address (EIP) são products pagos. Para obter detalhes sobre faturamento, consulte NAT Gateway billing e EIP billing overview.

Antes de começar: planeje e prepare sua rede

Antes de iniciar, planeje a conectividade de rede e prepare a VPC, o vSwitch e o grupo de segurança necessários. Se precisar criar esses recursos, consulte Create a VPC and a vSwitch e Use security groups.

As regras do grupo de segurança controlam todo o tráfego de saída dos services do EAS. Verifique se as regras de saída do seu grupo de segurança permitem que o service do EAS acesse o service de destino.
Para habilitar a comunicação via rede privada, a abordagem mais simples é implantar o service do EAS e o service de destino na mesma VPC. Caso o service de destino esteja em uma VPC diferente, conecte as redes utilizando services como VPC Peering Connection ou Cloud Enterprise Network.

Procedimento

Etapa 1: Configurar uma VPC

A configuração da VPC é o primeiro passo para habilitar a comunicação via rede privada ou o acesso à internet pública para seu service do EAS. O EAS suporta a configuração de VPC tanto no nível do service quanto no nível do grupo de recursos:

Nível do service: Especifica uma VPC para um único service. Esta configuração tem a maior prioridade.
Nível do grupo de recursos: Define uma VPC padrão para todos os services em um grupo de recursos dedicado, simplificando a configuração em lote.

Importante

Se você definir configurações de rede tanto no nível do service quanto no nível do grupo de recursos, a configuração no nível do service terá precedência.

Nível do service

Console

Ao criar ou atualizar um service, configure a VPC na seção Network Information. Após selecionar uma VPC na lista suspensa, configure o vSwitch e o grupo de segurança.

Além das configurações de VPC, a seção Network Information inclui a Gateway Selection (as opções incluem shared gateway ou dedicated gateway), além de opções para Associate Network Load Balancer (NLB) e Associate Service Discovery (Nacos).

Nota

Após criar uma VPC, um vSwitch ou um grupo de segurança, pode levar de 1 a 2 minutos para que o novo recurso apareça nas listas suspensas no PAI console. Se o novo recurso não for exibido, aguarde um momento e atualize a página.

Cliente eascmd

No arquivo de configuração JSON do service, adicione ou modifique o campo cloud.networking para incluir os IDs da sua VPC, do vSwitch e do grupo de segurança. O exemplo a seguir mostra os campos de rede:
```
{
    "cloud": {
        "networking": {
            "vpc_id": "your-vpc-id",
            "vswitch_id": "your-switch-id",
            "security_group_id": "your-security-group-id"
        }
    }
}
```
Encontre os IDs necessários nas páginas de lista de VPC e vSwitch no console da VPC e na página Security Groups no console do ECS.
Consulte Command reference e use o comando create ou modify para criar o service ou aplicar a nova configuração.

Nível do grupo de recursos

Console: Na página Resource Group, configure a VPC para todo o grupo de recursos. Selecione o grupo de recursos de destino e clique em Enable VPC Configuration na coluna Actions.
Cliente eascmd: Consulte Configure a VPC for a resource group.

Etapa 2: Configurar o NAT Gateway e a entrada SNAT

Se o seu service do EAS precisar de acesso à internet pública, configure um NAT Gateway com um EIP. Para mais detalhes, consulte Use the SNAT feature of an Internet NAT gateway to access the Internet.

Criar um Internet NAT Gateway e vincular um EIP: Acesse a página de compra do Internet NAT Gateway, selecione a região e a VPC onde seu service do EAS está localizado e vincule um EIP a ele. Esse EIP servirá como o endereço IP de saída unificado para que seu service do EAS acesse a internet pública.
Configurar uma entrada SNAT: No NAT Gateway criado, crie uma entrada SNAT. Defina a SNAT Entry como VPC Granularity. Isso garante que todo o tráfego desta VPC para a internet pública seja roteado através deste NAT Gateway.

Etapa 3: Configurar uma lista de permissões (opcional)

Caso um service de destino utilize uma lista de permissões de IP ou de grupo de segurança, adicione o intervalo de endereços IP ou o ID do grupo de segurança do seu service do EAS a essa lista. As seções a seguir descrevem como localizar os endereços IP privados e públicos do seu service do EAS.

Localizar o endereço IP privado

Importante

As instâncias do EAS são agendadas dinamicamente. Quando uma instância é reiniciada ou atualizada, o EAS pode criar uma nova instância em um nó físico diferente e atribuir a ela um novo endereço IP privado do pool de endereços do vSwitch. Portanto, para controle de acesso baseado em IP, utilize o bloco CIDR do vSwitch na sua lista de permissões em vez de codificar rigidamente o endereço IP de uma única instância.

Faça login no console da VPC e localize o bloco CIDR IPv4 correspondente na página vSwitch.

Localizar o endereço IP público

Faça login no console da VPC. Na página NAT Gateway > Internet NAT Gateway, localize o gateway configurado para o EAS. A coluna Elastic IP Address exibe o EIP vinculado.

Melhores práticas para produção

Planejamento de endereços IP: Reserve um vSwitch dedicado com endereços IP disponíveis suficientes para o seu service do EAS. Calcule o número mínimo de IPs necessários da seguinte forma: Número de instâncias em execução + Número de instâncias extras para atualizações contínuas + IPs de buffer reservados. A insuficiência de endereços IP causa falhas na criação ou no dimensionamento do service.
Isolamento por grupo de segurança: Utilize grupos de segurança separados para diferentes services ou ambientes, como desenvolvimento, testes e produção. Siga o princípio do menor privilégio, abrindo apenas as portas e os endereços IP de source estritamente necessários.
Otimização de custos: Carregue recursos no OSS na mesma região e monte o volume do OSS durante a implantação. Essa prática evita custos de tráfego pela rede pública.

Perguntas frequentes

P: Por que os services do EAS não acessam a internet pública por padrão?

Por padrão, os services do EAS executam em um ambiente isolado, sem acesso à internet pública, para garantir segurança e estabilidade. A saída pública irrestrita em um ambiente compartilhado pode levar ao abuso de largura de banda e a um desempenho imprevisível. Para habilitar o acesso à internet pública, configure uma VPC e um NAT Gateway.

P: Como testar rapidamente a conectividade com a internet pública?

Na configuração do seu service, adicione um comando de teste de rede ao campo Command, como curl -I -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/120.0.0.0" --connect-timeout 5 https://www.aliyun.com.

Após a implantação, verifique o log em tempo real da instância. Se você visualizar um código de status como 200, isso confirma que o acesso à internet pública está funcionando.

P: Por que meu service não consegue acessar outros recursos da VPC após a configuração da VPC?

Siga estas etapas para solucionar o problema:

Configuração da VPC: Confirme se o service do EAS e o service de destino estão na mesma VPC.
Regras do grupo de segurança: Verifique se as regras de saída do grupo de segurança anexado ao service do EAS permitem o tráfego para o service de destino.
Controle de acesso do service de destino: Se o service de destino utilizar uma lista de permissões de IP ou um grupo de segurança para restringir o acesso, certifique-se de ter adicionado o bloco CIDR do vSwitch ou o ID do grupo de segurança do service do EAS à lista de permissões.

P: Por que não há acesso à internet pública após a configuração do NAT Gateway?

Siga estas etapas para solucionar o problema:

Regras SNAT: Confirme se o vSwitch especificado na entrada SNAT corresponde àquele usado para implantar o service do EAS. No console do Internet NAT Gateway, acesse a aba SNAT management. Verifique três condições: a lista de entradas SNAT contém uma entrada com um bloco CIDR de source 0.0.0.0/0; a coluna ECS/ENI/vSwitch/VPC ID está associada à sua instância de destino; e o status é Available.
Tabela de rotas da VPC: No console da VPC, verifique a tabela de rotas para confirmar se ela contém uma rota para 0.0.0.0/0 e se o próximo salto aponta para o NAT Gateway.
Regras de saída do grupo de segurança: Confirme se as regras de saída do grupo de segurança do service do EAS permitem todo o tráfego público. A regra padrão permite o tráfego para 0.0.0.0/0.