Ao implantar seus services em uma Virtual Private Cloud (VPC), planeje sua rede com base nas necessidades atuais e nas projeções de crescimento futuro. Isso garante que a rede atenda às demandas atuais e, ao mesmo tempo, ofereça suporte à expansão dos negócios.
Para planejar sua rede, considere o isolamento seguro, a recuperação de desastres e os custos de O&M. Um planejamento estratégico garante a estabilidade dos negócios e a escalabilidade da rede, enquanto uma arquitetura de rede sem visão de longo prazo pode dificultar expansões futuras e introduzir riscos imprevistos. Reconstruir uma rede existente é caro e causa interrupções. Portanto, um plano de rede abrangente e multifacetado é fundamental.
Execute as etapas a seguir para planejar sua VPC:
Planeje regiões e zonas
Dentro de uma região, todas as zonas se comunicam pela rede interna. Cada zona é isolada de falhas em outras zonas. Se uma zona falhar, as outras continuam operando normalmente. Instâncias implantadas na mesma zona têm menor latência de rede, o que garante acesso mais rápido aos usuários.
|
Consideração |
Descrição |
|
Latência |
Implantar recursos mais perto dos usuários finais reduz a latência da rede e melhora a velocidade de acesso. |
|
Disponibilidade do service |
Os services do Alibaba Cloud variam em disponibilidade entre regiões e zonas. Certifique-se de que os services cloud necessários estejam disponíveis nas regiões e zonas selecionadas. |
|
Custo |
O preço de um service cloud pode variar por região. Selecione uma região que se encaixe no seu orçamento. |
|
Alta disponibilidade e recuperação de desastres |
Para services que exigem alta capacidade de recuperação de desastres, implante-os em várias zonas dentro da mesma região. Também é possível implantar seus services em várias regiões para recuperação de desastres entre regiões. |
|
Conformidade |
Selecione uma região que esteja em conformidade com as políticas de localização de dados e registro operacional do seu país ou região. |
Uma VPC não pode ser implantada em várias regiões. Para implantar seus services em várias regiões, crie uma VPC em cada região e conecte-as usando VPC peering connections ou Cloud Enterprise Network (CEN). Um vSwitch é um recurso zonal. Atente-se ao seguinte:
Caso use várias zonas devido à disponibilidade do service cloud, reserve blocos CIDR suficientes e considere o possível aumento de latência causado pelo tráfego entre zonas.
Algumas regiões oferecem apenas uma zona. Caso precise de recuperação de desastres dentro da mesma região, avalie cuidadosamente se deve selecione essa região.
Planeje contas e VPCs
Após planejar as regiões e zonas, crie as VPCs. Considere a escala do seu negócio e o isolamento de segurança para otimizar o uso de recursos e reduzir custos.
Planeje suas contas
Se o seu negócio for pequeno e for possível gerencie todos os recursos com uma única conta ou uma conta principal com usuários RAM, ignore esta seção.
À medida que a escala do negócio aumenta, talvez seja necessário delegar permissões e aplicar isolamento de segurança entre ambientes. Nesse caso, elabore uma arquitetura unificada de múltiplas contas.
|
Consideração |
Descrição |
|
Isolamento de permissões |
Crie contas separadas para diferentes unidades de negócios para isolar recursos, custos e permissões, facilitando o gerenciamento. Para grandes projetos ou aplicações com requisitos especiais, use contas separadas para ter um controle melhor. |
|
Isolamento de sistema |
Para sistemas que exigem isolamento rigoroso, como ambientes de produção e teste, use contas dedicadas para reduzir o risco de interferência. |
|
Conformidade de segurança |
Para maior conformidade de segurança, mantenha dados sensíveis e cargas de trabalho em contas separadas e isoladas. |
|
Gerenciamento de custos |
Use múltiplas contas para isolar recursos. Isso facilita o rastreamento de custos e o gerenciamento de faturamento. |
|
Logs e O&M |
Use uma conta independente para armazenar dados de log de todas as contas para auditoria de segurança. |
A complexidade da rede aumenta com o número de VPCs e contas. Use o recurso Shared VPC para reduzir a complexidade, mantendo a segurança e a estabilidade da rede.
Planeje sua VPC
Uma VPC fornece um ambiente de rede seguro e flexível. Diferentes VPCs são completamente isoladas entre si, enquanto os recursos dentro da mesma VPC podem se comunicar pela rede privada. Planeje o número adequado de VPCs para atender às suas necessidades.
Quantidade de VPCs | Casos de uso |
Uma |
 |
Múltiplas |
Planeje várias VPCs nos seguintes casos de uso:
|
Por padrão, é possível crie no máximo 10 VPCs em cada região. Para solicitar um aumento de cota, acesse a página Quota Management ou a página Quota Center.
Planeje seu vSwitch
Um vSwitch é um recurso zonal. Todos os recursos cloud em uma VPC são implantados dentro de vSwitches. A criação de vSwitches ajuda a planejar endereços IP adequadamente. Todos os vSwitches em uma VPC podem se comunicar entre si por padrão.
|
Consideração |
Descrição |
|
Latência |
A latência entre zonas na mesma região é baixa. No entanto, chamadas de sistema complexas e chamadas entre zonas podem aumentar a latência. |
|
Alta disponibilidade e recuperação de desastres |
Ao usar uma VPC, crie pelo menos dois vSwitches e implante-os em várias zonas para recuperação de desastres. Configure e gerencie regras de segurança de forma centralizada, o que melhora significativamente a alta disponibilidade e a recuperação de desastres. |
|
Escala e divisão do negócio |
Crie vSwitches por módulos de negócio. Por exemplo, para uma arquitetura padrão de aplicação web, crie vários vSwitches para hospedar as camadas web, de lógica e de dados. |
Planeje seus vSwitches seguindo os princípios abaixo:
-
Crie pelo menos dois vSwitches e implante-os em zonas diferentes para failover. Quando um vSwitch ficar indisponível, o outro assume e garante a recuperação de desastres.
Note que a latência da rede pode aumentar devido à topologia de rede complexa e às chamadas entre zonas. Recomenda-se aprimorar a arquitetura para equilibrar alta disponibilidade e baixa latência.
-
O número de vSwitches depende da escala e da arquitetura do sistema. Normalmente, os vSwitches são criados por módulos de negócio. Por exemplo, implante services voltados à Internet em um vSwitch público, enquanto outros services são agrupados em diferentes vSwitches por tipo. Isso ajuda a simplificar a configuração e permite o gerenciamento de regras de segurança de forma centralizada.
Por padrão, é possível crie no máximo 150 vSwitches em cada VPC. Para solicitar um aumento de cota, acesse a página Quota Management ou a página Quota Center.
Planeje blocos CIDR
Ao crie uma VPC e um vSwitch, especifique os blocos CIDR da VPC e do vSwitch. O tamanho do bloco CIDR determina o número de recursos que podem ser implantados. Um planejamento adequado dos blocos CIDR evita conflitos de endereços e garante escalabilidade, enquanto um planejamento inadequado pode causar altos custos de reconstrução.
Especifique um bloco CIDR do vSwitch e não o modifique.
Caso o espaço de endereços seja insuficiente devido a um planejamento inadequado, adicione blocos CIDR secundários para expandi-lo. Não modifique blocos CIDR secundários.
Atente-se ao seguinte ao planejar blocos CIDR:
Use blocos CIDR IPv4 privados definidos pela RFC 1918 com comprimento de máscara 16. Para expandir o espaço de endereços da VPC, adicione secondary CIDR blocks.
Ao implantar os services em uma única VPC, reserve endereços suficientes especifique um comprimento de prefixo menor.
Evite sobreposições de blocos CIDR ao crie várias VPCs para o negócio.
Evite sobreposições de blocos CIDR ao crie várias zonas para recuperação de desastres.
À medida que a escala da rede aumenta, o planejamento de blocos CIDR se torna mais complexo. Use o IP Address Manager (IPAM) para atribuir endereços IP automaticamente e detectar possíveis conflitos de endereços, melhorando a eficiência do planejamento de blocos CIDR. Para mais informações, consulte IPAM.
Observe o seguinte ao usar o IPAM:
Planeje pools do IPAM para diferentes ambientes, como ambientes de desenvolvimento e produção.
Ao usar pools do IPAM para alocar blocos CIDR privados às VPCs, certifique-se de que os blocos CIDR das VPCs não se sobreponham.
Visualize os blocos CIDR da VPC e o uso de endereços no console do IPAM.
Planeje o bloco CIDR da VPC
Use endereços IPv4 privados especificados no padrão RFC 1918 para os blocos CIDR IPv4 secundários. O comprimento de máscara recomendado é de /16 a /28, por exemplo, 10.0.0.0/16, 172.16.0.0/16, 192.168.0.0/16. Também é possível especifique blocos CIDR personalizados para a VPC.
|
CIDR da VPC |
Faixa de endereços IP |
|
|
|
|
|
|
|
|
|
Ao especifique blocos CIDR para VPCs, observe as seguintes regras:
Se houver apenas uma VPC e ela não precisar se comunicar com um data center, especifique um dos blocos CIDR da RFC ou seus subconjuntos como o bloco CIDR da VPC.
Se houver várias VPCs ou quiser configure um ambiente de cloud híbrida entre uma VPC e o data center, evite conflitos de blocos CIDR entre VPCs ou entre uma VPC e o data center.
Não é possível especifique
100.64.0.0/10,224.0.0.0/4,127.0.0.0/8,169.254.0.0/16, ou um de seus subconjuntos como o bloco CIDR personalizado.Escolha um bloco CIDR da VPC também dependendo do uso da rede clássica. Ao usar a rede clássica e planejar conectar instâncias ECS da rede clássica à VPC, não especifique
10.0.0.0/8como o bloco CIDR da VPC, pois o bloco CIDR da rede clássica é10.0.0.0/8.Use o IPAM para planejar pools e defina uma máscara de rede padrão para alocações. Visualize o uso de endereços de uma VPC usando o IPAM.
Planeje blocos CIDR do vSwitch
O bloco CIDR de um vSwitch deve ser um subconjunto do bloco CIDR da VPC. Por exemplo, se o bloco CIDR da VPC for 192.168.0.0/24, a máscara de rede dos vSwitches na VPC deve ser de /25 a /29.
Ao especifique blocos CIDR para vSwitches, observe os seguintes limites:
A máscara de rede do bloco CIDR IPv4 para um vSwitch deve ser de /16 a /29, podendo fornecer de 8 a 65.536 endereços IP.
O bloco CIDR do vSwitch não pode ser igual ao bloco CIDR da VPC.
O planejamento do bloco CIDR do vSwitch deve considerar o número de instâncias ECS e outros recursos cloud que ele conterá. Escolha um bloco CIDR suficientemente grande para reservar endereços IP suficientes para uso futuro. No entanto, não aloque um bloco CIDR excessivamente grande, pois isso pode dificultar a segmentação futura da rede.
Ao crie uma VPC com o bloco CIDR
10.0.0.0/16, ela suportará 65.536 endereços IP. Considerando a necessidade de implantar recursos como ECS e RDS dentro de vSwitches, planeje uma máscara/24para os vSwitches, com cada vSwitch com capacidade para 256 endereços IP. Uma VPC com o bloco CIDR10.0.0.0/16pode ser dividida em no máximo 256 vSwitches com uma máscara/24. Faça ajustes se necessário.-
O sistema reserva o primeiro endereço e os três últimos endereços do bloco CIDR IPv4 de cada vSwitch. O sistema também reserva o primeiro endereço e os nove últimos endereços do bloco CIDR IPv6 de cada vSwitch. Por exemplo:
Versão do IP
CIDR do vSwitch
Endereços IP reservados
IPv4
192.168.1.0/24192.168.1.0192.168.1.253192.168.1.254192.168.1.255IPv6
2001:XXXX:XXXX:1a00/642001:XXXX:XXXX:1a00::2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff72001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff82001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff92001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffa2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffb2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffc2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffd2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffe2001:XXXX:XXXX:1a00:ffff:ffff:ffff:ffff Se houver várias VPCs implantadas e um vSwitch precisar se comunicar com outro vSwitch em uma VPC diferente ou com um data center, certifique-se de que o bloco CIDR do vSwitch não se sobreponha ao bloco CIDR do par. Caso contrário, a comunicação falhará.
O recurso ClassicLink permite que instâncias ECS em uma rede clássica se comuniquem com instâncias ECS em uma VPC cujo bloco CIDR seja
10.0.0.0/8,172.16.0.0/12, ou192.168.0.0/16. Se o bloco CIDR da VPC for10.0.0.0/8, o bloco CIDR do vSwitch que pertence à VPC deve ser10.111.0.0/16. Para mais informações, consulte Overview of ClassicLink.
Planeje tabelas de rotas
Cada entrada em uma tabela de rotas é uma rota, composta por um bloco CIDR de destino, um tipo de próximo salto e um próximo salto. Uma rota direciona o tráfego de um bloco CIDR para o seu próximo salto. Cada VPC pode ter até 10 tabelas de rotas, incluindo a tabela de rotas do sistema. Consulte as recomendações a seguir para planejar as tabelas de rotas.
Usar uma tabela de rotas
Se não houver diferenças significativas no roteamento de tráfego entre os vSwitches na VPC, uma única tabela de rotas é suficiente. Ao crie uma VPC, o sistema cria automaticamente uma tabela de rotas do sistema e adiciona rotas do sistema a ela para gerencie o tráfego da VPC. Não crie nem exclua a tabela de rotas do sistema, mas é possível adicionar rotas personalizadas a ela para direcionar o tráfego para um bloco CIDR de destino.
Usar múltiplas tabelas de rotas
Se os caminhos de tráfego dos vSwitches forem significativamente diferentes, por exemplo, para restringir o acesso de certos services cloud à Internet, use várias tabelas de rotas. Implante vSwitches públicos e privados. Instâncias em vSwitches privados podem acessar a Internet por meio de um Internet NAT gateway, o que permite um controle unificado para acesso à Internet e atende aos requisitos de isolamento.
Cada VPC suporta no máximo nove tabelas de rotas personalizadas. Para aumentar a cota, acesse a página Quota Management ou Quota Center.
Planeje a conectividade de rede
O Alibaba Cloud fornece uma rede cloud com isolamento seguro e escalabilidade elástica, e suporta conexões rápidas entre a cloud e data centers. Use uma VPC para acessar a Internet, outra VPC e um data center. Combine a VPC com outros services para obter uma conectividade de rede adaptada ao negócio.
Acesso à Internet
Observe o seguinte quando as aplicações precisarem acessar a Internet ou serem acessadas por ela:
Configure um IP público para a instância ECS, que pode ser um IP público estático ou um elastic IP address (EIP). É recomendável usar um EIP.
Se apenas uma instância ECS for usada para fornecer services pela Internet, pode ocorrer um ponto único de falha (SPOF), o que afeta a disponibilidade do sistema. Use um Server Load Balancer (SLB) instance como entrada unificada de tráfego da Internet e associe várias instâncias ECS à instância SLB. Isso evita SPOFs e melhora a disponibilidade do service.
Se várias instâncias ECS precisarem acessar a Internet, use o recurso SNAT de um Internet NAT gateway para ative o compartilhamento de EIPs para as instâncias ECS e acessem a Internet. Isso economiza endereços IP públicos.
Se as instâncias ECS fornecerem services pela Internet, use o IPv4 gateway ou IPv6 gateway para gerencie o acesso à Internet das instâncias ECS de forma unificada.
Conexão entre VPCs
Use os seguintes services para ative a conectividade entre VPCs.
Se o número de VPCs não for superior a cinco, use VPC peering connection para crie conexões entre cada par.
Se a arquitetura de rede for complexa com muitas VPCs, use CEN para gerencie VPCs de forma eficiente, facilitar o O&M e garantir a transferência segura de dados.
Ao acessar um service do Alibaba Cloud, como o Object Storage Service (OSS), pela Internet, pode haver vazamento de dados sensíveis. Use PrivateLink para conectar a VPC que hospeda o endpoint à VPC que hospeda o service de endpoint, reduzindo os riscos de segurança.
-
Use o gateway VPN para defina uma conexão segura entre duas VPCs, porém a latência da rede é alta.
cloud híbrida
Use os seguintes services para conectar um data center a uma VPC.
Para alta segurança e baixa latência, use Express Connect circuits.
-
Para reduzir custos, use VPN gateway.
Quais são os requisitos para conexões VPC e implantação de cloud híbrida?
Para conectar uma VPC a outra VPC ou a um data center, certifique-se de que os blocos CIDR não se sobreponham. Siga estes princípios de alocação em ordem de prioridade:
CIDRs de VPC exclusivos. Atribua um bloco CIDR exclusivo e sem sobreposição a cada VPC. O uso de sub-redes de intervalos padrão da RFC 1918 aumenta o número de CIDRs disponíveis.
CIDRs de vSwitch exclusivos. Se não for possível garantir blocos CIDR de VPC exclusivos, garanta que os blocos CIDR dos vSwitches dentro das VPCs em comunicação não se sobreponham.
CIDR exclusivo para vSwitches em comunicação. Caso os blocos CIDR dos vSwitches se sobreponham, garanta que os vSwitches que precisam se comunicar entre si tenham blocos CIDR sem sobreposição. Caso contrário, a comunicação de rede falhará.
Considere três VPCs em regiões diferentes: VPC1 em China (Hangzhou), VPC2 em China (Beijing) e VPC3 em China (Shenzhen). Há também um data center local em China (Hangzhou).
A VPC1 precisa se conectar à VPC2 usando uma VPC peering connection.
A VPC1 precisa se conectar ao data center local usando o Express Connect.
A VPC3 não precisa se conectar a nada agora, mas pode precisar se conectar a outras VPCs.
O IP Address Manager (IPAM) pode auxiliar nesse gerenciamento. Crie pools separados no IPAM para cada região a fim de garantir a alocação adequada de IPs. Crie uma alocação personalizada e aloque 10.0.2.0/24 para o data center. Isso evita conflitos de endereços IP e garante que não haja uso indevido dos endereços IP.
Planeje recursos de segurança
O isolamento de segurança inclui o isolamento de service, recurso e rede. Considere os requisitos de isolamento de segurança ao planejar regiões, zonas, contas e blocos CIDR. A separação de contas garante o isolamento de recursos, enquanto a segmentação de VPCs garante o isolamento de rede. Ambos são métodos para obter o isolamento de negócios. Planeje os recursos de segurança combinando cenários de conexão de rede com uma abordagem de segurança em camadas.
Camada de segurança | Sugestão |
Dentro da VPC | Ao implantar vários services em uma VPC, crie um vSwitch para cada service e use security groups e network ACLs. |
Limite da VPC |
|
Use flow log e traffic mirror para monitorar VPCs e solucionar problemas. Isso melhora a estabilidade e a confiabilidade do sistema.
|
Métrica |
Descrição |
|
Flow log |
Colete dados de tráfego e analise logs de tráfego para otimizar a largura de banda e remover gargalos de rede. |
|
Traffic mirror |
Espelhe pacotes específicos que passam por ENIs para inspeção de conteúdo, monitoramento de ameaças e solução de problemas. |
Planeje recursos de recuperação de desastres
Planeje recursos de recuperação de desastres adequados à arquitetura para garantir a segurança dos dados e a disponibilidade do service.
Para altos requisitos de recuperação de desastres, implante VPCs em várias regiões e vSwitches em várias zonas para recuperação de desastres.
Caso o service exija resposta rápida, alta concorrência e maior segurança de dados, use o SLB para implementar recuperação de cluster, persistência de sessão e implantação entre zonas.
Use circuitos do Express Connect para conectar os data centers a VPCs por meio de conexões rápidas e estáveis. Isso garante a sincronização de dados, evita SPOFs e melhora a disponibilidade do service.
Para altos requisitos de disponibilidade de service, use o recurso de endereço IP virtual de alta disponibilidade (HaVip) junto com Keepalived ou Heartbeat para crie uma arquitetura de alta disponibilidade. Isso garante que o IP do service permaneça inalterado durante o switchover.
Considere os recursos de recuperação de desastres inerentes aos próprios services cloud. Por exemplo, o RDS High-availability Edition Active usa uma arquitetura clássica de alta disponibilidade com um nó primário e um nó em standby. Os nós primário e em standby podem ser implantados na mesma zona ou em zonas diferentes dentro da mesma região.
A figura a seguir mostra como atualizar uma arquitetura de zona única para uma arquitetura ativa/standby, que oferece maior segurança e disponibilidade.
Antes de crie uma VPC, certifique-se de considerar a escala atual do negócio e a expansão futura, o isolamento de segurança, a disponibilidade do service e a recuperação de desastres, os custos, a quantidade de VPCs e vSwitches, e os blocos CIDR alocados para VPCs e vSwitches. Para mais informações, consulte Create and manage a VPC.