Access services in an instance over the public network - Platform For AI: Central de Documentação do Alibaba Cloud

O Data Science Workshop (DSW) permite expor serviços executados em uma instância, como APIs de modelos e web UIs, à rede pública. Assim, você acessa esses serviços diretamente pelo navegador ou os compartilha com colaboradores para testes. Esse recurso utiliza NAT Gateway e Elastic IP Address (EIP) e destina-se a ambientes de desenvolvimento e teste.

Observações de uso

Custos adicionais: O acesso à rede pública exige um NAT Gateway e um Elastic IP Address (EIP), ambos faturados separadamente.
Tipos de instância compatíveis: Configure o acesso à rede pública em instâncias do grupo de recursos público cujo tipo não comece com ecs.ebm, bem como em instâncias de computação inteligente Lingjun. Cada instância suporta no máximo 5 serviços personalizados.
Interrupção dos serviços personalizados ao parar a instância DSW: Ao parar a instância DSW, os serviços internos e o respectivo acesso à rede pública ficam indisponíveis.
Uso do PAI-EAS para ambientes de produção: Para obter serviços estáveis, com alta disponibilidade e dimensionamento elástico, implante seus modelos no PAI-EAS (Elastic Algorithm Service).

Como funciona

Para tornar um serviço dentro de uma instância DSW acessível pela rede pública (por exemplo, uma API escutando na porta 9000), utilize os seguintes recursos:

EIP: Fornece um endereço IP público fixo (121.40.**.**). Este é o ponto de entrada para o acesso à rede pública.
NAT Gateway: Reside na sua virtual private cloud (VPC) e mapeia as solicitações da rede pública (EIP:port) para a instância DSW na rede privada (private IP:port).
Grupo de segurança: Controla o tráfego para a instância DSW como um firewall. Adicione explicitamente regras que permitam o tráfego público na porta em que seu serviço escuta, como 9000. Esta etapa é crítica para garantir o acesso.

Fluxo principal: External user (browser/tool) -> EIP:port -> NAT Gateway -> vSwitch -> security group rule check -> DSW instance private IP:port -> your service

Faturamento

As cobranças pelo NAT Gateway e EIP começam assim que os recursos são criados.
Mesmo se a instância DSW estiver parada, as cobranças continuam enquanto o NAT Gateway e o EIP não forem excluídos.
A própria instância DSW é faturada com base em seu estado. Instâncias de pagamento conforme o uso param de gerar cobranças após serem paradas.

Configure o acesso à rede pública

Configure o acesso à rede pública ao criar uma instância DSW

Create a DSW instance e configure os seguintes parâmetros de rede essenciais.
- Na seção Network Information, selecione sua VPC e grupo de segurança. Para criar esses recursos, siga as etapas nesta seção. Para mais informações, consulte Create a VPC and a vSwitch e Create a security group. A VPC e o grupo de segurança devem estar na mesma região da instância DSW.
  
  Etapas para criar uma VPC, um vSwitch e um grupo de segurança
  1. Na página de configuração do DSW, clique em Create VPC.
    
    Configure o nome da VPC, o bloco CIDR IPv4 e as informações do vSwitch. Mantenha os demais parâmetros com os valores padrão e clique em OK para criar a VPC e o vSwitch.
  2. Retorne à página de configuração do DSW. Em VPC Settings, selecione a VPC recém-criada.
  3. Clique em Create Security Group. Mantenha os parâmetros padrão e clique em Create. Em seguida, retorne à página de configuração do DSW e defina o Security Group ID como o grupo de segurança recém-criado.
    
    Certifique-se de que o grupo de segurança permita acesso de entrada na porta 22.
- Localize Service Access and Port Configuration e clique em Add. Para criar um NAT Gateway e um EIP, consulte as etapas a seguir. O NAT Gateway e o EIP devem estar na mesma região da instância DSW.
- Insira o Service Name e a Listener Port (por exemplo, 9000).
- Selecione Access over Internet e defina a Internet Access Port (por exemplo, 9000).
- Clique em DNAT+EIP e selecione seu NAT Gateway e EIP.
  
  Etapas para criar um NAT Gateway e um EIP
  1. Clique em Create NAT Gateway.
    
    Na página de criação do NAT Gateway, configure os parâmetros ou mantenha os valores padrão e clique em Create EIP.
  2. Na página de criação do EIP, configure os parâmetros ou mantenha os valores padrão e clique em Buy Now.
  3. Retorne à página de criação do NAT Gateway. Em Elastic IP Address Instance, selecione o EIP recém-criado e clique em Buy Now para criar o NAT Gateway.
  Alternativamente, utilize um Network Load Balancer (NLB). Ao criar o NLB, defina o Instance Network Type como Public e selecione a mesma VPC da instância DSW. Para mais informações, consulte Network Load Balancer.
  
  Nota
  Se várias instâncias DSW compartilharem a mesma entrada DNAT e EIP (ou NLB), use portas diferentes para o acesso público.
Adicione uma regra de entrada para a porta de escuta no grupo de segurança selecionado. Os principais parâmetros são descritos abaixo. Para mais informações, consulte Add a security group rule.
- Authorization Policy: Allow
- Protocol Type: Selecione o protocolo usado pelo seu serviço, como TCP.
- Port Range: Insira a porta de escuta configurada, como 9000/9000.
- Authorization Object: 0.0.0.0/0 (permite acesso de todos os endereços IP públicos; apenas para testes) ou um intervalo de IPs restrito conforme sua necessidade. Em ambientes de produção, restrinja rigorosamente os endereços IP de origem.
  
  Após adicionar a regra, a lista de regras de entrada do grupo de segurança exibirá uma regra com o protocolo Custom TCP, o intervalo de portas 9000/9000 e a origem 0.0.0.0/0.

Configure o acesso à rede pública para uma instância DSW existente

Para uma instância DSW existente, modifique a configuração de acesso à rede pública de uma das seguintes maneiras:

Nota: Para adicionar ou alterar recursos como VPC ou NAT Gateway, utilize Change Settings e reinicie a instância.

Configurar na página de detalhes da instância

Na página de lista de instâncias DSW, clique no nome da instância para acessar a página de detalhes e modificar a configuração de acesso à rede pública.

Na seção Access Configurations da página de detalhes, localize a linha Custom Service e clique em Modify Configuration para configurar o acesso à rede pública. Se precisar abrir uma porta durante a configuração, obtenha o Security Group ID na seção Network Configuration (por exemplo, sg-bp1g37d4lmajq...) e acesse o grupo de segurança para adicionar a regra correspondente.

Configurar dentro da instância DSW

No ambiente de desenvolvimento DSW, clique em Change Settings no topo da página para modificar os serviços personalizados.

No painel de navegação à esquerda, clique em Access Configurations. A seção de serviço personalizado mostra os serviços configurados (por exemplo, um serviço chamado gradio com a porta de escuta 9000), suas URLs de acesso público e o status da configuração. Clique em Modify Configuration para editar os serviços personalizados.

No painel de navegação à esquerda, clique em Network. Nas informações de configuração de rede à direita, localize o Security Group ID (por exemplo, sg-bp1g37d4lmajugsicmz2) e anote-o para configurar a regra do grupo de segurança.

Teste a conectividade

No Terminal do DSW, execute os comandos abaixo para iniciar o servidor HTTP integrado do Python:

# Create an HTML file that contains test content
echo 'Hello, World!' > index.html
# Start the Python built-in HTTP server (listening on port 9000)
python -m http.server 9000 --bind 0.0.0.0

Na página de detalhes da instância, visualize Access Configurations para obter as URLs de acesso.

A tabela na seção Access Configurations contém duas colunas de informações de endereço: VPC Access e Public Access. Quando o status da configuração for Ready, a URL de acesso correspondente estará disponível.

Para acesso pela rede pública, copie a URL de acesso público 121.40.**.**:9000 e abra-a no navegador. Se Hello, World! for retornado, o serviço estará acessível pela rede pública.

Aplicação em produção

Apenas para desenvolvimento e teste: O recurso de acesso à rede pública do DSW destina-se a testes temporários e depuração colaborativa.
Implante serviços de produção no PAI-EAS: Utilize o PAI-EAS para implantar serviços de inferência em produção. O PAI-EAS oferece as seguintes capacidades:
- Alta disponibilidade e balanceamento de carga.
- Dimensionamento elástico automático para lidar com flutuações de tráfego.
- Monitoramento e alertas abrangentes, gerenciamento de versões e implantações canário.
- Acesso otimizado à rede pública e modelos de faturamento. Para mais informações, consulte PAI-EAS.
Redução de custos:
- Após parar a instância DSW: A própria instância DSW (pagamento conforme o uso) para de gerar cobranças. No entanto, o NAT Gateway e o EIP continuam a gerar cobranças enquanto existirem.
- Quando o acesso à rede pública não for mais necessário: Se tiver certeza de que não precisa mais dele, exclua o NAT Gateway e o EIP para interromper as cobranças associadas. Exclua-os no console VPC e no console EIP.

Perguntas frequentes

P: Configurei o acesso à rede pública, mas o acesso pelo navegador ou conexões externas falham (Este site não pode ser acessado, Conexão recusada ou tempo limite esgotado). O que devo fazer?

Etapa 1: Verifique as regras do grupo de segurança (causa mais comum)
- Certifique-se de que uma regra de entrada foi adicionada ao grupo de segurança.
- Verifique se o Port Range da regra inclui a porta configurada, como 9000.
- Confirme se o Authorization Object da regra inclui seu endereço IP público ou 0.0.0.0/0.
- Valide se o Protocol Type da regra (TCP/UDP) está correto.
Etapa 2: Certifique-se de que o serviço está em execução e escutando na porta correta
- No Terminal da instância DSW, execute netstat -tunlp | grep <port> (por exemplo, netstat -tunlp | grep 9000) para verificar se há um processo escutando na porta.
- Garanta que o processo do serviço de aplicação esteja iniciado e escutando na porta configurada.
Etapa 3: Verifique o status do NAT Gateway e do EIP
- No console VPC, confirme se o NAT Gateway está no estado Running.
- No console EIP, verifique se o EIP associado está no estado Associated e se a conta não possui pagamentos pendentes.
Etapa 4: Teste localmente: Dentro da instância DSW, execute curl http://localhost:<port> ou curl http://<instance private IP>:<port> para verificar se o serviço responde.
Etapa 5: Use ferramentas de diagnóstico de rede:
- A VPC da Alibaba Cloud fornece Network Intelligence Service (NIS) para ajudar na solução de problemas de caminho (o NIS deve ser ativado primeiro).
- Dentro da instância DSW, execute telnet <EIP> <port> para testar a conectividade da porta (instale o telnet primeiro).

P: O que devo fazer se a web UI mostrar "disconnected (1006): no reason"?

Essa mensagem indica que a conexão WebSocket entre o navegador e o serviço dentro da instância foi fechada inesperadamente. Primeiro, certifique-se de que a própria instância DSW esteja funcionando normalmente e, em seguida, solucione problemas no caminho de acesso à rede pública.

Etapa 1: Verifique o estado da instância DSW
- Na página de lista de instâncias DSW no console Platform for AI (PAI), localize a instância desejada e verifique se seu estado é Running.
Etapa 2: Reinicie a instância anormal
- Se a instância estiver em um estado diferente de Running, como Stopped ou Failed, clique em Start na coluna Actions ou chame a operação de api StartInstance do DSW para iniciar a instância.
- Depois que a instância retornar ao estado Running, reabra a web UI para restaurar o acesso.
Etapa 3: Se o estado da instância estiver normal, mas o erro persistir, solucione problemas no caminho de acesso à rede pública: Siga as etapas de solução de problemas da pergunta anterior. Verifique os seguintes itens nesta ordem: as regras de entrada do grupo de segurança, se o serviço está escutando na porta configurada e o status do NAT Gateway e do EIP.

Importante

Não execute ps aux | grep gateway dentro da instância DSW para encontrar ou reiniciar o processo do gateway. O gateway do DSW é um serviço do lado da plataforma do PAI (corresponde a nomes de domínio da plataforma como dsw-gateway-<region>.data.aliyun.com) e não é executado dentro da instância DSW. Portanto, você não consegue encontrar o processo dentro da instância nem reiniciá-lo a partir dela. Os processos dentro de uma instância DSW gerenciados pelo supervisord incluem dsw-agent, dsw-manager, jupyter-lab e web-terminal, que escutam nas portas 8888, 8887, 8088 e 8090, respectivamente.

P: A configuração de acesso à rede pública ainda gera cobranças depois que eu paro o DSW?

Sim. Após parar a instância DSW, a própria instância (pagamento conforme o uso) deixa de gerar cobranças. No entanto, o NAT Gateway e o EIP associados continuam a gerar cobranças independentes enquanto não forem excluídos. Exclua-os manualmente para economizar custos.

P: Um único EIP pode mapear várias portas?

Sim. Várias portas de serviço configuradas na mesma instância DSW (até 5) são todas mapeadas através do mesmo EIP e NAT Gateway para acesso. Use EIP:<port> para acessar cada serviço.

P: Por que não consigo encontrar a VPC ou o NAT Gateway que criei na lista suspensa?

A causa mais comum é incompatibilidade de região. No canto superior esquerdo da página do DSW, verifique se a região atual corresponde à região da VPC ou do NAT Gateway. O DSW só pode usar VPCs e NAT Gateways na mesma região.
A lista suspensa não foi atualizada. Se a VPC ou o NAT Gateway foi criado recentemente, aguarde a conclusão da criação do recurso e clique no botão de atualização na página de configuração do DSW para recarregar a lista.