O PrivateLink permite acessar serviços implantados em outras VPCs a partir da sua VPC na Alibaba Cloud ou do seu data center on-premises de forma segura e confiável por redes privadas. Esse recurso simplifica a arquitetura de rede e elimina os riscos de segurança associados ao acesso de serviços pela internet pública.
Visão geral
O PrivateLink oferece conexões de rede privada seguras, flexíveis e de alta disponibilidade para serviços entre contas e entre VPCs. Os usuários do PrivateLink assumem duas funções, dependendo do caso de uso:
Como consumidor de serviços, você não precisa configurar gateways IPv4, gateways IPv6, NAT gateways, Elastic IP Addresses (EIPs), Transit Routers (TRs) ou Express Connect Routers (ECRs) para se comunicar com serviços implantados em outras VPCs a partir da sua VPC na Alibaba Cloud ou do seu data center on-premises.
Como provedor de serviços, foque no desenvolvimento do serviço. O PrivateLink simplifica a conexão de rede entre você e os consumidores, eliminando configurações complexas de roteamento e regras de segurança.
O PrivateLink suporta os seguintes cenários de conexão:
Conexão na mesma região: o endpoint e o endpoint service estão implantados na mesma região.
Conexão entre regiões: o endpoint e o endpoint service estão implantados em regiões diferentes.
Casos de uso
Cenário 1: Acesso a serviços da Alibaba Cloud
Neste cenário, a Alibaba Cloud fornece serviços cloud que suportam acesso privado por meio do PrivateLink.
Suporta serviços da Alibaba Cloud acessíveis por meio do PrivateLink . Para mais informações, consulte Alibaba Cloud services that integrate with PrivateLink .
Para acessar serviços da Alibaba Cloud a partir da sua VPC ou data center on-premises, especifique o nome do service da Alibaba Cloud ao criar um endpoint na sua VPC. Todas as solicitações enviadas ao endpoint são encaminhadas pelo PrivateLink para o service correspondente da Alibaba Cloud. Além disso, clientes no seu data center on-premises podem se conectar à sua VPC por meio de um product de rede e acessar os serviços da Alibaba Cloud pelo endpoint na VPC.
Ao acessar serviços da Alibaba Cloud por um interface endpoint, configure políticas de endpoint e grupos de segurança para controlar quais recursos clientes podem acessar os serviços via interface endpoint e atender aos seus requisitos de segurança.
No acesso a serviços da Alibaba Cloud por um reverse endpoint, utilize grupos de segurança para definir o intervalo de recursos clientes que os serviços da Alibaba Cloud podem acessar.
-
Para acessar serviços da Alibaba Cloud por um Gateway Load Balancer endpoint (GWLBe), personalize políticas de roteamento da VPC a fim de controlar quais recursos clientes têm permissão para acessar os serviços pelo GWLBe.
Gateway endpoints não dependem do PrivateLink e suportam apenas um número limitado de serviços da Alibaba Cloud. Ao criar um gateway endpoint, configure políticas de endpoint para garantir acesso seguro aos serviços da Alibaba Cloud.
Cenário 2: Compartilhamento de serviços autogerenciados
Como provedor de serviços, construa serviços na Alibaba Cloud e compartilhe esses serviços gerenciados com os consumidores.
Crie um endpoint service na sua VPC e selecione um Network Load Balancer (NLB), Classic Load Balancer (CLB) ou Application Load Balancer (ALB) como recurso de service. Configure uma lista de permissões de service para conceder acesso a outros usuários da Alibaba Cloud. Esses usuários podem criar um interface endpoint em suas próprias VPCs especificando o nome do service para se conectar ao seu endpoint service. Todas as solicitações enviadas ao interface endpoint são encaminhadas pelo PrivateLink até o seu service.
Cenário 3: Acesso a appliances virtuais de rede
Na função de provedor de serviços, implante appliances virtuais de rede — como firewalls, sistemas de detecção de intrusão, ferramentas de espelhamento de tráfego e ferramentas de inspeção profunda de pacotes — no Gateway Load Balancer (GWLB) da Alibaba Cloud e compartilhe esses appliances gerenciados com outros usuários da plataforma.
Crie um endpoint service na sua VPC e selecione o GWLB como recurso de service. Configure uma lista de permissões de service para conceder acesso aos seus appliances virtuais de rede a outros usuários da Alibaba Cloud. Eles podem criar um GWLBe em suas próprias VPCs especificando o nome do service para se conectar ao seu endpoint service. Todo o tráfego enviado ao GWLBe é encaminhado pelo PrivateLink aos seus appliances virtuais de rede.
Como consumidor de serviços, configure o GWLBe como o próximo salto no roteamento da VPC. Use políticas de roteamento da VPC para controlar com precisão qual tráfego cliente é roteado para o GWLBe e acessar os appliances virtuais de rede. Após o tráfego chegar ao GWLBe, o PrivateLink o encaminha para o GWLB na mesma zona. O GWLB encapsula os pacotes originais usando tunelamento Geneve e encaminha o tráfego para os appliances virtuais de rede backend íntegros com base em algoritmos de agendamento de tráfego.
Benefícios
-
Transmissão de rede segura
O tráfego é transmitido por redes privadas quando você acessa serviços pelo PrivateLink. Essa abordagem é mais segura do que o acesso pela internet pública. O PrivateLink oferece recursos de segurança abrangentes para controle de acesso granular.
-
Gerenciamento de rede simplificado
As redes dos provedores e consumidores de serviços são independentes entre si e permitem conflitos de endereços. O PrivateLink fornece acesso seguro a serviços entre contas e entre VPCs, eliminando a necessidade de configurações complexas de roteamento e regras de segurança.
Os consumidores de serviços podem usar endereços IP privados em suas VPCs para acessar serviços. Isso se integra perfeitamente à sua arquitetura de rede existente para atender às necessidades de acesso a serviços entre VPCs e em data centers on-premises.
-
Alta disponibilidade e dimensionamento automático
As solicitações de acesso são encaminhadas entre clientes e servidores na mesma zona, garantindo latência mínima. Combinados com o Alibaba Cloud DNS, os interface endpoints oferecem failover multizona.
O PrivateLink suporta dimensionamento automático conforme as alterações no tráfego do service. Ele fornece diferentes limites de dimensionamento com base no tipo de recurso de service para atender a diversos requisitos de escalabilidade.
-
Suporte a conexão entre regiões
O PrivateLink suporta conexões entre regiões. Endpoints e endpoint services podem ser implantados em regiões diferentes para atender às necessidades de acesso a serviços de rede privada em arquiteturas distribuídas globalmente, sem a necessidade de implantar serviços em cada região.
Acesso ao PrivateLink
Registre uma conta Alibaba Cloud para acessar e gerencie o PrivateLink pelos seguintes métodos:
Console do PrivateLink: interface web interativa para gerenciar serviços de acesso à rede privada.
SDK da Alibaba Cloud: disponibiliza SDKs em diversas linguagens de programação, incluindo Java, Go, PHP, Python, C# e C++.
Portal OpenAPI: oferece recursos como busca rápida de API, chamadas de API online e geração dinâmica de código de exemplo de SDK.
Terraform: ferramenta open source que permite gerenciar recursos da Alibaba Cloud e de outros provedores cloud compatíveis com Terraform por meio de arquivos de configuração com controle de versão.