Virtual Private Cloud:VPC FAQ

Este tópico lista as perguntas mais frequentes sobre VPC para ajudar você a resolver problemas rapidamente, entender os recursos do product e otimizar sua arquitetura de rede.

• Conectividade de rede

  • Como conectar diferentes VPCs para que os recursos em VPCs distintas possam se comunicar?

  • Como solucionar problemas em uma conexão de peering de VPC que não funciona?

  • Como resolver conflitos de bloco CIDR ao configure uma conexão de peering?

  • Como solucionar o problema em que alguns IPs ficam inacessíveis após a adição de uma conexão de peering?

  • Por que o iniciador consegue fazer ping no receptor em uma conexão de peering, mas o ping reverso falha?

  • Criei conexões de peering de VPC de A para B e de B para C. Por que A e C não conseguem se comunicar?

  • Por que não consigo acessar o RDS, Redis e outros cloud services do par após estabelecer uma conexão de peering de VPC?

  • Por que a rede pública fica inacessível após a exclusão de um gateway IPv4?

  • Instâncias ECS no bloco CIDR primário podem se comunicar com instâncias ECS em um bloco CIDR adicional na mesma VPC?

  • Após ativar o ClassicLink para uma VPC, instâncias ECS da rede clássica podem se comunicar com recursos cloud no bloco CIDR adicional da VPC?

  • Por que o VIP falha ao migrar após a vinculação do HaVip?

  • Por que a rede continua inacessível após a adição de uma rota?

  • O que fazer se uma instância ECS com EIP vinculado não conseguir acessar a rede pública?

  • Por que uma instância ECS em uma VPC não possui um endereço IP público?

• Planejamento e design de rede

  • A VPC suporta multicast?

  • Como implementar o uso privado de endereços IP públicos em uma VPC?

  • O peering de VPC suporta conexões entre contas e entre regiões?

  • Uma conexão de peering de VPC pode conectar VPCs sob contas do site China e do site internacional?

  • O peering de VPC suporta conectividade de rede privada transfronteiriça?

  • Qual é a latência de rede das conexões de peering de VPC?

  • Quais são as diferenças entre VPC e a rede clássica?

  • Como habilitar a comunicação entre uma VPC e a rede clássica?

  • Como conectar uma VPC da Alibaba Cloud a uma rede de data center on-premises? Como conectar uma VPC da Alibaba Cloud à AWS ou Tencent Cloud?

  • VPCs podem se comunicar quando os blocos CIDR entram em conflito com os de outras VPCs ou redes on-premises?

  • Como habilitar uma instância ECS para acessar a rede pública? Como habilitar uma instância ECS para acessar a rede pública por um endereço IPv6?

  • Como usar um IP de saída pública unificado para várias instâncias ECS?

  • Quais são as diferenças entre um gateway IPv4 e um gateway NAT?

  • Como alternar entre IP público e IP privado?

  • Como habilitar uma instância ECS para acessar o OSS pela rede interna da VPC?

  • Como permitir que apenas IPs específicos acessem uma instância ECS? Quais são as diferenças entre ACLs de rede e grupos de segurança?

  • Como habilitar a comunicação entre diferentes grupos de segurança?

  • Como solucionar regras de grupo de segurança que não entram em vigor?

  • Como migrar uma instância ECS para outra VPC?

  • Posso configure um servidor DNS personalizado em uma VPC?

• Configuração de CIDR

  • O que é CIDR?

  • Como modifique o bloco CIDR de uma VPC?

  • Como modifique o bloco CIDR de um vSwitch?

  • Qual bloco CIDR devo escolha ao crie uma VPC?

  • Como atribuir um bloco CIDR IPv6 a uma VPC? Como acessar a rede pública via IPv6?

  • Uma VPC pode receber apenas um bloco CIDR IPv6 (somente IPv6)?

  • Como atribuir um endereço IP privado específico a uma instância ECS existente?

  • Por que as redes não se comunicam quando as redes docker entram em conflito com blocos CIDR da VPC?

  • Como configure blocos CIDR de pool IPAM para evitar que novas VPCs entrem em conflito com blocos CIDR existentes em IDCs on-premises ou outras clouds?

  • O HaVip suporta IPv6?

• Exclusão de VPC e vSwitch

  • O que fazer se receber um aviso sobre recursos dependentes ao exclua uma VPC ou vSwitch?

  • O que fazer se encontrar problemas de exclusão de ENI ao exclua uma VPC?

• Roteamento

  • A CEN/Transit Router (TR) adiciona rotas automaticamente para blocos CIDR adicionais?

  • A VPC possui um roteador?

  • Como configure rotas para uma conexão de peering de VPC?

  • O que insira como bloco CIDR de destino para uma entrada de rota?

  • Por que ambas as extremidades precisam de rotas configuradas para uma conexão de peering?

  • Posso usar um bloco CIDR de vSwitch como destino da rota?

• Operações e monitoramento de rede

  • Como monitorar o tráfego de rede pública da VPC?

  • Como visualize a topologia de rede da VPC?

• Faturamento

  • Como a VPC é faturada?

  • A conexão de peering de VPC é faturada?

  • Como parar o faturamento da conexão de peering de VPC para economizar custos?

  Conectividade de rede

  Como conectar diferentes VPCs para que os recursos em VPCs distintas possam se comunicar?

  Utilize conexões de peering de VPC ou a Cloud Enterprise Network (CEN) para conectar VPCs na mesma conta ou entre contas diferentes, na mesma região ou entre regiões. Para了解 as diferenças entre essas duas opções, consulte Conectar VPCs.

  Como solucionar problemas em uma conexão de peering de VPC que não funciona?

  Siga as etapas de solução de problemas abaixo. A ferramenta Network Intelligence Service - Path Analysis auxilia no diagnóstico.

  1. Verifique as rotas:

     • confirme se o status da conexão de peering está como Activated.

     • Valide se as tabelas de rotas dos vSwitches em ambas as extremidades possuem rotas apontando para o bloco CIDR da VPC par, tendo a instância de conexão de peering como próximo salto.

  2. Analise grupos de segurança e ACLs de rede:

     • Revise as regras de grupo de segurança e ACL de rede das instâncias ECS de origem e ECS (ou RDS) de destino.

     • Garanta que as regras de entrada do grupo de segurança e da ACL de rede de destino permitam tráfego do bloco CIDR da VPC de origem (ou IPs de origem específicos) para as portas de service necessárias.

     • Assegure-se de que as regras de saída do grupo de segurança e da ACL de rede de origem não bloqueiem o tráfego de saída.

  3. Identifique conflitos de CIDR:

     • Verifique se há sobreposição entre os blocos CIDR das duas VPCs. Ao usar peering de VPC, recomenda-se que os blocos CIDR das duas VPCs não se sobreponham.

     • Preste atenção especial aos blocos CIDR de contêineres docker/K8s nas instâncias ECS, pois podem entrar em conflito com o bloco CIDR da VPC par. Esta é uma causa muito comum e frequentemente negligenciada. Se houver conflito, a rede ficará inacessível mesmo que rotas, grupos de segurança e ACLs de rede estejam corretos.

  Como resolver conflitos de bloco CIDR ao configure uma conexão de peering?

  Caso os blocos CIDR das duas VPCs que precisam se comunicar entrem em conflito, considere as seguintes opções:

  1. Replaneje sua rede (recomendado): migre recursos de uma VPC para uma nova VPC cujo bloco CIDR não apresente conflitos. Esta é a solução mais definitiva.

  2. Utilize CEN e um gateway NAT de VPC: para cenários de conflito de CIDR mais complexos, use a CEN juntamente com o recurso NAT privado de um gateway NAT de VPC para mapear endereços de uma VPC para outro bloco CIDR antes da comunicação. Essa solução envolve uma arquitetura mais complexa e custos mais elevados. Para mais informações, consulte Usar um gateway NAT de VPC para resolver conflitos de endereços IP.

  Como solucionar o problema em que alguns IPs ficam inacessíveis após a adição de uma conexão de peering?

  Geralmente, esse problema é causado por rotas mais específicas ou regras de grupo de segurança.

  • Problema de roteamento: verifique as tabelas de rotas em ambas as extremidades. Uma rota mais específica com maior prioridade (regra de correspondência de prefixo mais longo) pode estar direcionando o tráfego para outro lugar, como uma rota padrão apontando para um gateway NAT.

  • Problema de grupo de segurança: valide se as regras de entrada do grupo de segurança de destino permitem acesso apenas de alguns IPs de origem.

  • Problema de ACL de rede: confirme se a ACL de rede permite tráfego apenas de algumas sub-redes.

  Por que o iniciador consegue fazer ping no receptor em uma conexão de peering, mas o ping reverso falha?

  A conectividade unidirecional geralmente resulta de configurações assimétricas. Concentre-se em verificar se as regras de grupo de segurança e ACL de rede em ambas as instâncias ECS permitem tráfego de saída e entrada.

  Criei conexões de peering de VPC de A para B e de B para C. Por que A e C não conseguem se comunicar?

  As conexões de peering de VPC não são transitivas.

  Isso significa que: se a VPC-A tem uma conexão de peering com a VPC-B, e a VPC-B tem uma conexão de peering com a VPC-C, a VPC-A e a VPC-C não podem se comunicar através da VPC-B.

  Se você precisar de conectividade total entre várias VPCs (por exemplo, para construir uma topologia de rede em estrela ou malha), utilize o product Cloud Enterprise Network (CEN).

  Por que não consigo acessar o RDS, Redis e outros cloud services do par após estabelecer uma conexão de peering de VPC?

  Esse problema é semelhante aos problemas de conectividade do ECS, mas também exige atenção ao controle de acesso do próprio cloud service.

  1. Conclua a solução básica de problemas de conectividade: use a lista de verificação em Solução de problemas de conexão de peering de VPC para checar rotas, blocos CIDR, grupos de segurança e ACLs de rede, garantindo que o caminho de rede esteja acessível.

  2. Verifique a lista de permissões de IP do cloud service: a maioria dos services de banco de dados e cache (como RDS, Redis e MongoDB) oferece recursos de lista de permissões de IP. Adicione o endereço IP privado ou o bloco CIDR da instância ECS que inicia o acesso à lista de permissões do cloud service de destino.

  O peering de VPC suporta conexões entre contas e entre regiões?

  Sim. Observe que o uso entre regiões incorre em taxas de transmissão de tráfego cobradas pelo Cloud Data Transfer (CDT) com base no tráfego de saída.

  Note que conexões entre sites não são suportadas. Por exemplo, VPCs no site China e no site internacional não podem se conectar umas às outras.

  Por que a rede pública fica inacessível após a exclusão de um gateway IPv4?

  O motivo mais comum é a seleção do Private Mode em vez do Public Mode durante a exclusão do gateway IPv4. Após a exclusão no Private Mode, todos os recursos na VPC perdem a capacidade de comunicação com a rede pública.

  Para restaurar a VPC a um estado sem gateway IPv4, mas com acesso à rede pública, crie novamente um gateway IPv4 e depois o exclua no Public Mode. Para detalhes, consulte Gateway IPv4.

  Instâncias ECS no bloco CIDR primário podem se comunicar com instâncias ECS em um bloco CIDR adicional na mesma VPC?

  Instâncias ECS no bloco CIDR primário e no bloco CIDR adicional são todas instâncias na mesma VPC. Elas podem se comunicar entre si se as regras de grupo de segurança e ACL de rede permitirem o tráfego.

  Após ativar o ClassicLink para uma VPC, instâncias ECS da rede clássica podem se comunicar com recursos cloud no bloco CIDR adicional da VPC?

  Não. Blocos CIDR adicionais não são compatíveis com o recurso ClassicLink.

  Por que o VIP falha ao migrar após a vinculação do HaVip?

  Quando o nó primário falha, o VIP não consegue migrar automaticamente para o nó standby. Este é o problema mais comum em configurações de HaVip. As causas geralmente são:

  • Keepalived não está em execução: tomando o CentOS 7.9 como exemplo. execute systemctl status keepalived para verificar o status do service. Se não estiver em execução, execute systemctl start keepalived para iniciar o Keepalived.

  • Erro de configuração do Keepalived: verifique erros no arquivo de configuração keepalived.conf. Por exemplo:

    • O virtual_router_id dos nós primário e standby são diferentes.

    • A authentication dos nós primário e standby são diferentes.

    • O endereço IP do par especificado em unicast_peer está incorreto.

    • O endereço IP virtual especificado em virtual_ipaddress não é o endereço HaVip.

  • Bloqueio por grupo de segurança ou ACL de rede: verifique se as regras de grupo de segurança ou ACL de rede bloqueiam o tráfego relevante do IP de origem.

  • Firewall na instância: confirme se o firewall na instância ECS (como firewalld ou iptables) bloqueia o tráfego relevante do IP de origem.

  Por que a rede continua inacessível após a adição de uma rota?

  Adicionar a rota correta é apenas um pré-requisito para a conectividade de rede. Se a rede estiver inacessível, siga estas etapas para solucionar o problema:

  1. Verificação bidirecional de rotas: garanta que as rotas estejam configuradas corretamente nas direções de solicitação e resposta. Por exemplo, uma conexão de peering de VPC requer rotas em ambas as extremidades.

  2. Regras de grupo de segurança: valide se os grupos de segurança das instâncias ECS de origem e destino permitem tráfego para os protocolos e portas necessários (por exemplo, ping requer ICMP).

  3. Regras de ACL de rede: se você configurou ACLs de rede, verifique se as regras de saída e entrada permitem o tráfego relevante.

  4. Firewall no ECS: confirme se o firewall no sistema operacional do ECS (como iptables/firewalld no Linux, ou Windows Firewall) bloqueia o tráfego.

  5. Conflito de CIDR: verifique conflitos de endereços de rede, como um bloco CIDR do docker em uma instância ECS entrando em conflito com o bloco CIDR da VPC par.

  6. Use a ferramenta Path Analysis: utilize a ferramenta Network Intelligence Service - Path Analysis no console para diagnosticar visualmente a conectividade de rede entre dois pontos.

  O que fazer se uma instância ECS com EIP vinculado não conseguir acessar a rede pública?

  Verifique os seguintes itens:

  1. Gateway IPv4 e tabela de rotas da VPC: se a VPC tiver um gateway IPv4 ativado, verifique se a tabela de rotas do vSwitch onde reside a instância ECS possui uma rota padrão (0.0.0.0/0) apontando para o gateway IPv4.

  2. Regras de grupo de segurança: analise as regras de saída do grupo de segurança da instância ECS. Por padrão, todo o tráfego de saída é permitido (0.0.0.0/0). confirme se o acesso de saída não foi restringido incorretamente.

  3. Regras de ACL de rede: se você configurou ACLs de rede para o vSwitch, verifique se as regras de saída permitem que o tráfego saia.

  4. Pagamentos em atraso: verifique se sua conta Alibaba Cloud possui pagamentos pendentes, o que pode tornar o EIP indisponível.

  5. Configuração de rede no ECS: garanta que a configuração de rede (como gateway e DNS) no sistema operacional do ECS esteja correta. Essas configurações geralmente são obtidas automaticamente via DHCP.

  Por que uma instância ECS em uma VPC não possui um endereço IP público?

  As VPCs são projetadas para isolamento e segurança de rede. Por padrão, uma instância ECS criada em uma VPC recebe apenas um endereço IP privado para comunicação interna na VPC, e não pode acessar a internet. Este é um dos principais recursos de segurança da VPC.

  Se desejar que a instância acesse a rede pública, configure explicitamente o acesso à rede pública para ela, como vincular um EIP ou configure um gateway NAT, conforme descrito em Acesso à Internet.

  O que fazer se o erro "IncorrectBusinessStatus.VpcPeer" ou um aviso sobre pagamentos pendentes ou status anormal aparecer ao crie ou aceitar uma conexão de peering entre regiões ou transfronteiriça?

  Se esse erro ocorrer ao crie ou aceitar uma conexão de peering, solucione o problema seguindo estas etapas:

  • Verifique pagamentos pendentes: garanta que nem a conta do iniciador nem a conta do receptor tenham pagamentos em atraso. Se uma conta tiver pagamentos pendentes e a instância estiver bloqueada (FinancialLocked), recarregue a conta e tente novamente após a normalização da conta.

  • ative o service CDT: o faturamento de tráfego para conexões de peering entre regiões depende do service Cloud Data Transfer (CDT). Garanta que o service CDT esteja ativado tanto para a conta do iniciador quanto para a conta do receptor. Caso contrário, conexões de peering entre regiões não poderão ser criadas ou utilizadas.

  Planejamento e design de rede

  A VPC suporta multicast?

  A VPC não suporta multicast. No entanto, a VPC pode funcionar com a Cloud Enterprise Network (CEN) para implementar gerencie multicast.

  Como implementar o uso privado de endereços IP públicos em uma VPC?

  Algumas empresas usam blocos CIDR privados não definidos pela RFC 1918 em seus data centers on-premises ou VPCs, como 30.0.0.0/16. Ao estabelecer conexões de rede com outras VPCs ou data centers on-premises, a VPC trata endereços IP fora da RFC 1918 como endereços IP públicos. Depois que os recursos cloud na VPC obtêm capacidades de acesso à rede pública, mesmo que rotas apontando para 30.0.0.0/16 sejam configuradas para apontar para um data center on-premises ou outra VPC, o tráfego ainda será encaminhado para a rede pública e não conseguirá alcançar a VPC de destino ou o data center on-premises.

  Implemente o uso privado de endereços IP públicos das seguintes maneiras:

  • Método 1: Gateway IPv4.

    Utilize um gateway IPv4 para controlar centralmente o comportamento de acesso à rede pública da VPC. Ao acessar 30.0.0.0/16, o tráfego é roteado preferencialmente para outra VPC ou data center on-premises. Para detalhes, consulte Usar gateway IPv4 para rotear tráfego da Internet para rede privada.

  • Método 2: Bloco CIDR de usuário.

    Se desejar que solicitações para 30.0.0.0/16 sejam encaminhadas com base na tabela de rotas em vez de irem diretamente para a rede pública, especifique um bloco CIDR de usuário para a VPC chamando a operação CreateVpc e passando o parâmetro UserCidr ao crie a VPC. Após defina o bloco CIDR de usuário, as solicitações da VPC para endereços dentro desse bloco serão encaminhadas com base na tabela de rotas.

    1. O bloco CIDR de usuário só pode ser definido por meio de operações de API, não no console. Após a criação de um bloco CIDR de usuário, ele não pode ser modificado.

    2. Se você especifique apenas o bloco CIDR IPv4 da VPC e escolha um bloco CIDR personalizado que não seja um dos três blocos CIDR privados padrão RFC (192.168.0.0/16, 172.16.0.0/12 ou 10.0.0.0/8) ou suas sub-redes, o sistema defina automaticamente o bloco CIDR primário como o bloco CIDR de usuário.

  Quais são as diferenças entre VPC e a rede clássica?

  A rede clássica foi o modelo inicial de rede da Alibaba Cloud e não é interconectada com VPCs por padrão. Ela está sendo descontinuada e seu uso não é recomendado. Todos os recursos adquiridos devem ser implantados em VPCs.

  Recurso	Rede clássica	VPC
  Modelo de rede	Todos os usuários compartilham um espaço de endereçamento público plano e amplo da Alibaba Cloud	Rede logicamente isolada baseada em tecnologia de tunelamento, de uso exclusivo de cada usuário
  Isolamento de rede	O isolamento depende de grupos de segurança	Isolamento natural de rede Camada 2, mais seguro
  Personalização de rede	Não é possível personalizar topologia de rede ou endereços IP	Altamente flexível. Blocos CIDR, rotas e topologias de rede podem ser personalizados
  Segurança	Menor	Maior

  Como habilitar a comunicação entre uma VPC e a rede clássica?

  Para mais informações, consulte Usar ClassicLink para conectar uma rede clássica e uma VPC.

  Como conectar uma VPC da Alibaba Cloud a uma rede de data center on-premises? Como conectar uma VPC da Alibaba Cloud à AWS ou Tencent Cloud?

  Para mais informações, consulte Conectar uma VPC a um data center ou outra cloud.

  VPCs podem se comunicar quando os blocos CIDR entram em conflito com os de outras VPCs ou redes on-premises?

  Para mais informações, consulte:

  • Usar um gateway NAT de VPC para resolver conflitos de endereços IP.

  • Conectar um data center e VPC com um gateway NAT de VPC e Express Connect.

  • Acesso à rede privada via gateways NAT e VPN.

  Como habilitar uma instância ECS para acessar a rede pública? Como habilitar uma instância ECS para acessar a rede pública por um endereço IPv6?

  Para mais informações, consulte escolha um tipo de endereço IP público.

  Como usar um IP de saída pública unificado para várias instâncias ECS?

  Para mais informações, consulte:

  • Usar um gateway NAT como saída unificada da Internet.

  • crie conexões de peering de VPC para permitir que várias VPCs usem o mesmo gateway NAT da Internet.

  • Usar um roteador de trânsito para compartilhar um gateway NAT da Internet entre várias VPCs.

  Quais são as diferenças entre um gateway IPv4 e um gateway NAT?

  Componente de rede	Gateway IPv4	Gateway NAT
  Função	Componente de controle de tráfego IPv4 público no limite da VPC	Dispositivo de tradução de endereços de rede dentro da VPC
  Caso de uso	Controlar centralmente o tráfego de acesso à rede pública	Saída unificada para a rede pública
  Fornece acesso à rede pública	Não, apenas controla o tráfego de rede pública	Fornece acesso à rede pública vinculando EIPs (O acesso à rede pública é fornecido pelos EIPs. O gateway NAT em si não fornece acesso à rede pública.)

  Os recursos de gateways IPv4 e gateways NAT não se sobrepõem. Ambos podem ser usados em conjunto. Para mais informações sobre as relações entre componentes de rede, consulte Acesso à Internet.

  Como alternar entre IP público e IP privado?

  Uma instância ECS com um EIP vinculado possui tanto um IP público quanto um IP privado. Não é necessário alternar manualmente entre eles.

  • Comunicação intra-VPC: quando outras instâncias ECS na mesma VPC acessam esta instância ECS, elas sempre usam seu IP privado. O tráfego permanece dentro da VPC, sendo rápido e gratuito.

  • Acessado pela rede pública ou acessando a rede pública: quando usuários ou dispositivos na internet acessam esta instância ECS, ou quando esta instância ECS acessa a internet, seu IP público (EIP) deve ser utilizado.

  Como habilitar uma instância ECS para acessar o OSS pela rede interna da VPC?

  Para mais informações, consulte Acesso privado da VPC a serviços da Alibaba Cloud.

  Como permitir que apenas IPs específicos acessem uma instância ECS? Quais são as diferenças entre ACLs de rede e grupos de segurança?

  Para mais informações, consulte Controle de acesso.

  Como habilitar a comunicação entre diferentes grupos de segurança?

  Grupos de segurança básicos suportam o uso de grupos de segurança como objetos de autorização. Grupos de segurança empresariais não suportam. Para detalhes, consulte Documentação do ECS - Grupo de segurança como objeto de autorização.

  Ao configure regras de entrada ou saída para um grupo de segurança básico, defina a origem como outro grupo de segurança básico. Essa abordagem é mais flexível do que autorizar blocos CIDR. Quando novas instâncias ECS são adicionadas ao grupo de segurança ou os IPs das instâncias mudam, não é necessário modifique as regras do grupo de segurança. Elas terão acesso automaticamente.

  Como solucionar regras de grupo de segurança que não entram em vigor?

  1. Prioridade da regra: verifique se a regra entra em conflito com uma regra de prioridade mais alta.

  2. Erro de direção: confirme se a regra está configurada como entrada ou saída. O acesso a uma instância ECS é entrada. O ECS acessando a rede externa é saída.

  3. Erro de objeto de destino: valide se o grupo de segurança está aplicado corretamente à interface de rede elástica da instância ECS de destino.

  4. Bloqueio por ACL de rede: verifique se o vSwitch onde a instância ECS reside está associado a uma ACL de rede e se as regras da ACL rejeitam o tráfego.

  5. Firewall no ECS: analise as configurações de firewall no sistema operacional.

  6. Roteamento: garanta que o tráfego possa ser roteado corretamente para a instância ECS.

  Como migrar uma instância ECS para outra VPC?

  Para mais informações, consulte Alterar VPC da instância.

  Posso configure um servidor DNS personalizado em uma VPC?

  Sim. Utilizando o recurso de conjunto de opções DHCP, altere o servidor DNS padrão da VPC para um servidor DNS autoconstruído em uma instância ECS, um servidor DNS em um data center on-premises ou um service DNS público de terceiros (conectividade de rede necessária). Para mais informações, consulte Usar um serviço DNS autogerenciado.

  Uma conexão de peering de VPC pode conectar VPCs sob contas do site China e do site internacional?

  Não.

  Com base nos requisitos de conformidade entre contas, as conexões de peering não suportam conectividade de rede privada entre VPCs sob contas do site China e contas do site internacional.

  O peering de VPC suporta conectividade de rede privada transfronteiriça?

  Sim.

  Conexões de peering transfronteiriças incorrem em taxas de transmissão de tráfego cobradas pelo Cloud Data Transfer (CDT) com base no tráfego de saída. Para usar o recurso transfronteiriço do CDT, garanta que a conta atual tenha concluído o registro de nome real empresarial.

  Qual é a latência de rede das conexões de peering de VPC?

  • Conexões de peering na mesma região: baixa latência de rede, tipicamente no nível de milissegundos.

  • Conexões de peering entre regiões: a latência é relativamente maior devido à transmissão de dados entre regiões diferentes. A latência específica depende da distância física e das condições de rede entre as duas regiões. Use o Cloud Network Performance Observer para visualize a latência média de rede entre regiões como referência e escolha um tipo de link mais adequado ao seu negócio.

  Por que um vSwitch recém-criado não aparece nas páginas de configuração de ECS, NLB, RDS e outros cloud products?

  Se um vSwitch recém-criado não for encontrado nas páginas de configuração de outros cloud products, os seguintes motivos podem se aplicar:

  • Incompatibilidade de VPC: a VPC onde o vSwitch reside e a VPC do cloud product sendo configurado (como NLB ou RDS) devem ser exatamente as mesmas. Caso contrário, o vSwitch não será exibido.

  • Incompatibilidade de zona: o vSwitch e a instância do cloud product de destino devem estar na mesma zona. Se as zonas forem diferentes, crie um vSwitch na zona onde a instância de destino reside.

  • Atraso de cache do console: após a criação de um vSwitch, pode haver um breve atraso de exibição. Recomendamos sair do console e entrar novamente, ou atualizar a página e tentar de novo.

  • Requisito multizona do NLB: mesmo que as instâncias ECS de backend estejam concentradas em uma única zona, o NLB exige a selecione de pelo menos duas zonas e seus respectivos vSwitches. Garanta que cada zona selecionada tenha um vSwitch válido.

  Como configure rapidamente uma VPC e um vSwitch? O vSwitch criado automaticamente ao cancelar a assinatura de uma instância ECS é mantido?

  • Recomendações de configuração para novas contas: se você não tiver requisitos específicos de planejamento de IP privado, utilize diretamente a VPC padrão e o vSwitch padrão. Isso não afeta a operação do servidor. A VPC padrão e o vSwitch padrão não consomem a cota alocada pela Alibaba Cloud.

  • Criação de VPC e vSwitch padrão: ao crie uma instância ECS, CLB ou RDS em uma região onde nenhuma VPC foi criada, o sistema pré-seleciona automaticamente a VPC padrão e o vSwitch padrão. A Alibaba Cloud os cria quando você faz o pedido.

  • Regras de retenção de recursos: um vSwitch é um recurso de rede independente. Uma vez criado, ele é mantido persistentemente e não é excluído automaticamente quando uma instância ECS tem sua assinatura cancelada. gerencie-o ou exclua-o manualmente.

  Configuração de CIDR

  O que é CIDR?

  Classless Inter-Domain Routing (CIDR) é um método para alocação de endereços IP e agregação de rotas. Ele melhora a eficiência do gerenciamento de rede e simplifica as tabelas de rotas.

  O CIDR usa notação de barra (por exemplo, 192.168.1.0/24):

  • A parte antes da barra é o endereço de rede, que indica o endereço IP inicial do intervalo de endereços IP.

  • O número após a barra indica a quantidade de 1s consecutivos na máscara de sub-rede, que corresponde ao comprimento do prefixo de rede. Os bits restantes são usados para endereços de host.

  Um bloco CIDR é um conjunto de endereços IP que compartilham o mesmo prefixo e comprimento de rede. Um bloco CIDR grande pode ser dividido em blocos CIDR menores com diferentes prefixos e comprimentos de rede. Esse processo é chamado de subnetting. Blocos CIDR são a base do planejamento de rede moderno. A subnetting de VPC e vSwitch baseia-se neste princípio.

  Exemplos:

  • 192.168.0.0/16: os primeiros 16 bits são a rede, e os últimos 16 bits são para hosts (teoricamente incluindo 2¹⁶ endereços IP). Este bloco CIDR inclui 192.168.1.0/24 e 192.168.2.0/26.

  • 10.0.0.0/8: os primeiros 8 bits são a rede, e os últimos 24 bits são para hosts (teoricamente incluindo 2²⁴ endereços IP). Este bloco CIDR inclui 10.1.0.0/16 e 10.2.0.0/24.

  • 172.16.0.0/12: os primeiros 12 bits são a rede, e os últimos 20 bits são para hosts (teoricamente incluindo 2²⁰ endereços IP). Este bloco CIDR inclui 172.17.0.0/16 e 172.18.0.0/24.

  Ao crie uma VPC e um vSwitch, especifique seus blocos CIDR no formato de bloco CIDR. Note que o número real de endereços IP disponíveis é menor que o valor teórico, pois os vSwitches possuem Endereços IP reservados pelo sistema.

  Como modifique o bloco CIDR de uma VPC?

  • Ajuste o bloco CIDR primário:

    Ao crie uma VPC, o bloco CIDR IPv4 especificado é o bloco CIDR primário da VPC. O console não suporta a modificação do bloco CIDR primário de uma VPC. No entanto, ajuste o parâmetro CidrBlock da operação ModifyVpcAttribute para ampliar ou reduzir o bloco CIDR dentro do bloco CIDR primário. Garanta que o bloco CIDR reduzido contenha os endereços IP já em uso.

    O bloco CIDR IPv6 atribuído após a ativação do IPv6 para a VPC não pode ser modificado.

  • Use blocos CIDR adicionais: utilize Blocos CIDR secundários para adicionar blocos CIDR adicionais à VPC fora do bloco CIDR primário. Os blocos CIDR adicionais e o bloco CIDR primário entram em vigor simultaneamente. Use blocos CIDR adicionais para crie vSwitches e implantar recursos cloud, como instâncias ECS.

  Como modifique o bloco CIDR de um vSwitch?

  Os blocos CIDR IPv4 e IPv6 de um vSwitch não podem ser modificados após a criação.

  Se precisar alterar o bloco CIDR de um vSwitch, exclua o vSwitch e crie um novo com o bloco CIDR desejado. Antes de exclua um vSwitch, libere ou migre todos os recursos cloud no vSwitch, como instâncias ECS, instâncias Server Load Balancer (SLB) e instâncias RDS. Esta é uma operação de alto risco. Garanta que você tenha um plano de backup de dados e migração implementado.

  Qual bloco CIDR devo escolha ao crie uma VPC?

  escolha um bloco CIDR de VPC é uma etapa crítica no planejamento de rede. Recomendamos seguir estes princípios:

  • Use blocos CIDR privados padrão: recomendamos o uso dos blocos CIDR privados padrão definidos na RFC 1918, como 10.0.0.0/16, 172.16.0.0/16 e 192.168.0.0/16. Não é possível usar 100.64.0.0/10, 224.0.0.0/4, 127.0.0.0/8 ou 169.254.0.0/16 como bloco CIDR de uma VPC.

  • Evite conflitos com data centers on-premises (IDCs) ou outros ambientes de rede: se planeja conectar sua VPC a uma rede on-premises, outras VPCs ou outras clouds, garanta que o bloco CIDR da VPC não entre em conflito com os blocos CIDR dessas redes.

  • Reserve espaço de endereçamento suficiente: estime o número de endereços IP necessários com base na escala futura do seu negócio e escolha um bloco CIDR grande o suficiente. Isso evita transformações complexas de rede posteriormente devido a endereços insuficientes.

  • Evite conflitos com blocos CIDR de rede de contêineres comuns: se planeja usar docker ou Kubernetes (K8s) na VPC, recomendamos evitar blocos CIDR padrão comuns de contêineres, como 172.17.0.0/16, para prevenir falhas de comunicação.

  Como atribuir um bloco CIDR IPv6 a uma VPC? Como acessar a rede pública via IPv6?

  Após a ativação do IPv6 para uma VPC e um vSwitch, o sistema cria automaticamente um Gateway IPv6 e atribui um bloco CIDR IPv6. Por padrão, apenas a comunicação privada é suportada. Para comunicação em rede pública, utilize habilitar largura de banda pública IPv6. Para operações detalhadas, consulte Habilitar ou desabilitar IPv6.

  Uma VPC pode receber apenas um bloco CIDR IPv6 (somente IPv6)?

  Não. Atualmente, a VPC suporta somente IPv4 e pilha dupla (IPv4 + IPv6), mas não somente IPv6.

  Como atribuir um endereço IP privado específico a uma instância ECS existente?

  Para mais informações, consulte modifique o endereço IPv4 privado primário de uma instância existente.

  Por que as redes não se comunicam quando as redes docker entram em conflito com blocos CIDR da VPC?

  Este é um problema típico no planejamento de rede cloud. Quando redes docker (ou K8s Pod) implantadas no ECS se sobrepõem a outros blocos CIDR de vSwitch na sua VPC ou ao bloco CIDR da VPC par em uma conexão de peering, ocorrem conflitos de roteamento que impedem a comunicação normal.

  • Causa: Suponha que o bloco CIDR padrão do docker seja 172.17.0.0/16, e um vSwitch B na VPC tenha o bloco CIDR 172.17.0.0/24. Quando uma aplicação dentro de um contêiner docker tenta acessar um IP no vSwitch B, o sistema operacional do ECS roteia o tráfego para a bridge local docker0 com base em sua própria tabela de rotas, em vez de encaminhar pelo roteamento da VPC, causando falha na comunicação.

  • Soluções:

    1. modifique a configuração de rede do docker/K8s: Altere o arquivo de configuração do daemon do docker (como /etc/docker/daemon.json) para especifique um bloco CIDR privado que não entre em conflito com seu ambiente geral de rede cloud (incluindo todas as VPCs interconectadas e IDCs on-premises). Esta é a solução mais fundamental.

    2. Evite conflitos durante o planejamento da VPC: Ao planejar blocos CIDR de VPC e vSwitch, evite proativamente 172.17.0.0/16, 10.0.0.0/8 e alguns blocos CIDR comumente usados pelo K8s.

  Como configure blocos CIDR de pool IPAM para evitar que novas VPCs entrem em conflito com blocos CIDR existentes em IDCs on-premises ou outras clouds?

  1. Antes de ativar o IPAM, revise abrangentemente todos os ambientes de rede que precisam ser interconectados, incluindo data centers on-premises, redes corporativas e outras clouds. Registre todos os blocos CIDR já em uso.

  2. Ao predefinir blocos CIDR no pool IPAM, inclua esses blocos CIDR já utilizados.

  3. crie alocações personalizadas no pool IPAM para reservar esses blocos CIDR.

  4. Posteriormente, todos os novos blocos CIDR de VPC serão alocados via IPAM. Como o IPAM registrou todos os blocos CIDR usados, os novos blocos CIDR alocados por ele naturalmente não entrarão em conflito com os existentes.

  O HaVip suporta IPv6?

  Não. Atualmente, apenas IPv4 é suportado.

  Exclusão de VPC e vSwitch

  O que fazer se receber um aviso sobre recursos dependentes ao exclua uma VPC ou vSwitch?

  Siga as instruções do console para exclua os recursos dependentes e, em seguida, exclua a VPC ou o vSwitch.

  visualize os recursos existentes na aba Resource Management da página de detalhes da VPC, ou na aba Cloud Resources da página de detalhes do vSwitch.

  O que fazer se encontrar problemas de exclusão de ENI ao exclua uma VPC?

  Interfaces de rede elásticas (ENIs) são um dos recursos residuais mais comuns ao exclua uma VPC ou vSwitch.

  • ENI primária: A ENI primária é criada junto com a instância ECS e seu ciclo de vida está vinculado à instância ECS. Ela não pode ser desvinculada ou excluída separadamente. Libere primeiro a instância ECS, e a ENI primária será excluída junto com ela.

  • ENI secundária: Se for uma ENI secundária, desvincule-a da instância ECS antes de poder excluí-la.

  • Gerenciada por outros cloud services: Services como ALB, NLB, ACK e Function Compute criam e gerenciam ENIs automaticamente. acesse o console do cloud service correspondente para exclua a instância do service (por exemplo, exclua um cluster ACK), e esses services limparão automaticamente as ENIs que criaram.

  O que fazer se a exclusão de um vSwitch falhar imediatamente após liberar uma instância ECS?

  Após liberar uma instância ECS, o sistema leva cerca de 1 a 2 minutos para limpar assincronamente recursos residuais, como ENIs associadas à instância. Aguarde 1 a 2 minutos e tente exclua o vSwitch novamente.

  Roteamento

  A CEN/Transit Router (TR) adiciona rotas automaticamente para blocos CIDR adicionais?

  Se o aprendizado de rotas estiver ativado para a conexão da VPC no TR, e a VPC usar um bloco CIDR adicional para crie um vSwitch, o TR aprenderá automaticamente a rota do sistema para o bloco CIDR adicional do vSwitch.Propagação de rotas

  Os TRs aprendem automaticamente apenas rotas de sistema da VPC. Para rotas personalizadas, publique-as manualmente da tabela de rotas da VPC para a CEN ou adicione entradas de rota diretamente na CEN.

  A VPC possui um roteador?

  Cada VPC possui exatamente um roteador. Cada roteador pode manter várias tabelas de rotas.

  Utilize a página VPC console - Route Tables ou a API DescribeRouteTables para consultar o ID do roteador que possui a tabela de rotas.

  Como configure rotas para uma conexão de peering de VPC?

  Após o estabelecimento e ativação de uma conexão de peering de VPC, as duas VPCs não ficam conectadas por padrão, pois não sabem como rotear o tráfego para a VPC par através da conexão de peering. Portanto, adicione rotas apontando para a conexão de peering nas tabelas de rotas de ambas as extremidades.

  Para etapas, consulte:configure rotas.

  O que insira como bloco CIDR de destino para uma entrada de rota?

  O bloco CIDR de destino define para quais endereços IP de destino a regra de rota se aplica.

  • Correspondência exata: insira o intervalo de rede específico para o qual deseja enviar o tráfego. Por exemplo, para acessar a VPC par (192.168.0.0/16), insira 192.168.0.0/16.

  • Rota padrão:0.0.0.0/0 representa todos os endereços IPv4. Direcionar o tráfego 0.0.0.0/0 para um gateway NAT permite que instâncias ECS sem IPs públicos na VPC acessem a internet através do gateway NAT.

  Por que ambas as extremidades precisam de rotas configuradas para uma conexão de peering?

  A comunicação de rede é bidirecional. Ao configure rotas, considere não apenas o tráfego de solicitação (saída), mas também o tráfego de resposta (entrada). Se apenas uma extremidade tiver rotas configuradas, a rede pode ficar inacessível.

  Posso usar um bloco CIDR de vSwitch como destino da rota?

  Sim, mas não é recomendado.

  Melhor prática: Ao configure rotas para conexões de peering de VPC, gateways VPN, etc., o destino deve ser o bloco CIDR inteiro da VPC par, e não um bloco CIDR específico de vSwitch. Isso simplifica o gerenciamento, a menos que você tenha requisitos específicos de controle de acesso granular.

  Operações e monitoramento de rede

  Como monitorar o tráfego de rede pública da VPC?

  Utilize o recurso Flow Log da VPC ou o recurso Network Intelligence Service - Traffic Analyzer para coletar informações de tráfego de componentes de rede pública, como gateways NAT públicos e gateways IPv4, permitindo o monitoramento do tráfego de rede pública. Para detalhes, consulte Log de fluxo e Traffic Analyzer.

  Como visualize a topologia de rede da VPC?

  Utilize o recurso Network Intelligence Service - VPC Topology para gerar automaticamente um diagrama de topologia de rede da VPC.

  Gerenciamento de permissões

  Um usuário RAM recebeu AliyunVPCFullAccess. Por que ele não consegue acessar a página de visão geral da VPC?

  O painel de estatísticas de eventos na página de visão geral do console VPC depende da API ListNisEvent do Network Intelligence Service (NIS). Com apenas AliyunVPCFullAccess, funções básicas de gerenciamento de rede como VPC, vSwitch e tabela de rotas funcionam normalmente, mas componentes relacionados ao NIS na página de visão geral, como estatísticas de eventos, mostrarão um erro de permissão.

  Conceda ao usuário RAM uma das seguintes políticas de sistema para acessar todo o conteúdo na página de visão geral da VPC:

  • AliyunNISFullAccess: Acesso total ao Network Intelligence Service (NIS).

  • AliyunNISReadOnlyAccess: Acesso somente leitura ao Network Intelligence Service (NIS).

  AliyunNISFullAccess (NIS) e AliyunNetanaFullAccess (Netana) são políticas de sistema diferentes. AliyunNetanaFullAccess não pode substituir AliyunNISFullAccess para autorização na página de visão geral da VPC.

  Faturamento

  Como a VPC é faturada?

  Recursos pagos da VPC:

  • Conexões de peering de VPC

  • Flow Log

  • Espelhamento de tráfego

  Recursos da VPC em beta público, atualmente gratuitos durante o período beta:

  • IP Address Management (IPAM)

  • High Availability Virtual IP (HaVip)

  Recursos gratuitos:

  • VPCs e vSwitches, blocos CIDR adicionais, blocos CIDR reservados

  • Nomes de host DNS, conjuntos de opções DHCP

  • Tabelas de rotas, listas de prefixos

  • VPC compartilhada

  • ClassicLink, endpoints de gateway

  • Gateways IPv4, ACLs de rede

  Se crie recursos de cloud products em uma VPC, pague pelos recursos de cloud products que utilizar. Para detalhes, consulte a documentação de faturamento dos recursos correspondentes.

  A conexão de peering de VPC é faturada?

  • Mesma região: Dentro da mesma região, a criação e o uso de conexões de peering de VPC são totalmente gratuitos, seja na mesma conta ou entre contas.

  • Entre regiões: Conexões de peering de VPC entre regiões são faturadas pelo Cloud Data Transfer (CDT) com base no tráfego de saída.

  Como parar o faturamento da conexão de peering de VPC para economizar custos?

  • Conexões de peering na mesma região são gratuitas. Excluí-las não afeta os custos.

  • Para conexões de peering entre regiões, exclua a instância de conexão de peering para interromper as taxas de tráfego associadas.