通過公網NAT Gateway實現本地IDC與DTS雲端服務互連 - Data Transmission Service

本文為您介紹如何配置公網NAT Gateway，將具備公網地址的自建資料庫接入到阿里雲，並通過Virtual Private Cloud配置DTS執行個體。

背景資訊

在建立源庫或目標庫為具備公網地址的DTS執行個體時，若選擇以公網IP的接入方式串連該資料庫，則需要將DTS伺服器的IP位址區段加入到相應資料庫的安全設定（防火牆、白名單、安全性群組等）中。由於DTS伺服器的IP地址不僅數量較多，操作過程中可能會遺漏某些IP地址；同時，隨著業務的發展，IP地址可能會發生變化，導致無法成功串連到資料庫，從而造成執行個體失敗。

前提條件

資料庫需具備公網地址。

配置流程

建立專用網路
建立中轉VPC及其交換器。
購買公網NAT Gateway
在中轉VPC內購買公網NAT Gateway。
購買Elastic IP Address
給公網NAT Gateway綁定Elastic IP Address
給公網NAT Gateway配置SNAT條目
在CloudMonitor平台配置警示規則
給公網NAT Gateway綁定的Elastic IP Address建立警示規則，以便監控指標動態並及時進行處理。
設定資料庫白名單
將Elastic IP Address地址添加至資料庫的安全設定中。
建立DTS執行個體

注意事項

本方案需要購買公網NAT Gateway和Elastic IP Address，會產生相關費用。更多資訊，請參見公網NAT Gateway計費和計費方式。
由於受到公網品質等因素的限制，此方案可能會導致執行個體出現不穩定的情況，該問題不在DTS的SLA保障範圍內。
在使用此方案配置的DTS執行個體運行期間，請勿修改或刪除中轉VPC、刪除或修改公網NAT Gateway、刪除或修改綁定的Elastic IP Address，否則會導致DTS執行個體出現延遲或中斷。
請確保公網資料庫的白名單中包含所有與公網NAT Gateway綁定的Elastic IP Address，以避免無法通過中轉公網NAT Gateway訪問資料庫。
請勿在公網資料庫的白名單增加超過Elastic IP Address範圍的IP地址，否則可能會導致資料庫面臨來自其他公網訪問的安全風險。
請在購買Elastic IP Address時合理選擇頻寬峰值，以確保Elastic IP Address的資料傳輸量上限可以滿足DTS執行個體的需求。
說明
DTS每個線程僅有一個串連，每個串連僅通過一個Elastic IP Address訪問資料庫。
請保持公網NAT Gateway的EIP親和性開關為關閉狀態，以確保DTS可以使用所有綁定的Elastic IP Address。否則可能會導致DTS僅能使用部分公網IP，從而使多個線程的流量無法有效分散到多個Elastic IP Address上，進而造成流量瓶頸。
請確保公網NAT Gateway中綁定的每個Elastic IP Address的出方向限速丟包速率和入方向限速丟包速率指標始終為0，否則可能會導致DTS執行個體出現延遲或者中斷。若指標大於0，您可以對Elastic IP Address資料傳輸量上限（頻寬峰值）進行擴容、或者增加公網NAT Gateway上綁定的Elastic IP Address數量。資料傳輸量上限擴容操作，請參見執行個體變更配置。
說明
- 若對公網NAT Gateway新綁定的Elastic IP Address，請確保公網資料庫白名單中增加了新綁定的Elastic IP Address。
- 若在執行相關操作後丟包問題仍未得到改善，請聯絡公網NAT Gateway的支援人員進行處理。
若您的資料庫啟用了SSL加密串連，則可能無法通過此方式接入到DTS。

操作步驟

步驟一：建立專用網路

登入專用網路管理主控台。
在頂部功能表列處，選擇需要建立VPC和交換器的地區。
說明
VPC和交換器的地區與需要部署的雲資源的地區必須相同。

在專用網路頁面，單擊建立專用網路，根據以下資訊配置VPC和交換器。

配置	說明
地區	顯示要建立VPC的地區。
IPv4網段	選擇分配IPv4網段的方式。手動輸入IPv4位址區段：手動輸入VPC的IPv4網段。 IPAM分配的IPv4位址區段：從IPAM位址集區分配IPv4網段。說明 IPAM位址集區分配IPv4網段功能支援的地區：華東1（杭州）、華東2（上海）、華北1（青島）、華北2（北京）、華北3（張家口）、華北5（呼和浩特）、華北6（烏蘭察布）、華南1（深圳）、中國香港、新加坡、馬來西亞（吉隆坡）、菲律賓（馬尼拉）、美國（矽谷）、美國（維吉尼亞）。
輸入IPv4網段	輸入VPC的主IPv4網段。建議您使用RFC 1918標準中指定的私人IPv4地址作為VPC的主IPv4網段，網段掩碼推薦使用16~28位。例如：10.0.0.0/16、172.16.0.0/16、192.168.0.0/16。您也可以使用除100.64.0.0/10、224.0.0.0/4、127.0.0.0/8或169.254.0.0/16及其子網外的自訂位址區段作為VPC的主IPv4網段。如果有多VPC情境或VPC與本機資料中心構建混合雲情境，建議您做好網路規劃，避免多個VPC間、VPC和本機資料中心的網段發生衝突。說明僅當IPv4網段選擇手動輸入IPv4位址區段時，該參數必選。 VPC建立後，您可以添加附加IPv4網段。具體操作，請參見建立和管理專用網路。
選擇位址集區	選擇已建立的IPAM位址集區。說明僅當IPv4網段選擇IPAM分配的IPv4位址區段時，該參數必選。確保選擇的IPAM位址集區已設定生效地區且已預置CIDR。更多資訊，請參見建立IPAM位址集區和預置CIDR。
網路遮罩	選擇網路遮罩。僅當IPv4網段選擇IPAM分配的IPv4位址區段，且選擇位址集區已選擇IPAM位址集區時，該參數必選。若選擇的位址集區有多個CIDR，則設定網路遮罩後，系統會選擇符合位址集區分配規則的可用CIDR。重要網路遮罩的取值範圍需要同時滿足以下三個條件。在VPC網路遮罩的範圍內。在位址集區分配規則的範圍內。在位址集區預置CIDR的範圍內。通過以下樣本進行說明： VPC網路遮罩推薦範圍：16~28。 IPAM位址集區最小網路遮罩長度為/4，最大網路遮罩長度為/27。 IPAM位址集區預置CIDR為10.0.0.0/16、10.16.0.0/17、10.20.0.0/18。則從IPAM位址集區分配IPv4網段的網路遮罩取值範圍為：16～27。
IPv6網段	選擇是否為VPC分配IPv6網段，本文選擇分配BGP(多線)。如果您選擇分配IPv6網段，系統將為您的VPC自動建立1個免費版的IPv6網關，並分配掩碼為/56的IPv6網段，例如2408:4005:3c5:6e00::/56。預設IPv6地址只具備私網通訊能力。如果您需要通過該IPv6地址訪問互連網或被互連網中的IPv6用戶端訪問，您需要開通IPv6公網頻寬。說明目前，支援分配IPv6網段的地區，請參見支援IPv4/IPv6雙棧的地區。 VPC建立後，您不能再修改IPv6網段，但您可以添加附加IPv6網段。
交換器
可用性區域	在下拉式清單選擇交換器的可用性區域。同一VPC內不同可用性區域的交換器私網互連。下拉式清單中可以查詢各可用性區域支援建立的Elastic Compute Service、雲資料庫RDS、應用型負載平衡ALB、網路型負載平衡NLB、NAT Gateway、轉寄路由器TR的狀態。不同時段各可用性區域下支援建立的雲資源不同，具體執行個體規格的庫存狀況以售賣頁為準。
IPv4網段	配置交換器的IPv4網段。交換器的網段限制如下：交換器的網段必須是其所屬VPC網段的真子集。例如，VPC的網段是192.168.0.0/16，那麼該VPC內交換器的網段必須是192.168.0.0/16的真子集，可以是192.168.0.0/17~192.168.0.0/29。每個交換器的第1個和最後3個IP地址為系統保留地址。例如，交換器的網段為192.168.1.0/24，則192.168.1.0、192.168.1.253、192.168.1.254和192.168.1.255這4個地址是系統保留地址。如果交換器有和其他VPC的交換器或本機資料中心通訊的需求，請確保交換器的網段和要通訊的網段不衝突。說明交換器建立後，不能再修改網段。
IPv6網段	為交換器開啟IPv6網段並配置交換器的IPv6網段。說明當您的VPC分配了IPv6網段，才需要配置交換器的IPv6網段資訊。交換器的IPv6網段的掩碼預設為/64，您可以輸入十進位數字0~255，來自訂交換器IPv6網段的最後8個位元位。例如，VPC的IPv6網段為2408:XXXX:XXXX:6e00::/56，在交換器的IPv6網段輸入十進位數字255（對應十六進位為ff），則交換器的IPv6網段將為2408:XXXX:XXXX:6eff::/64。每個交換器的第1個和最後9個IPv6 IP為系統保留IP。例如，交換器的IPv6網段為2408:XXXX:XXXX:6eff::/64，則第1個2408:XXXX:XXXX:6eff::和最後9個2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fff7、2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fff8、2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fff9、2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fffa、2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fffb、2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fffc、2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fffd、2408:XXXX:XXXX:6eff:ffff:ffff:ffff:fffe和2408:XXXX:XXXX:6eff:ffff:ffff:ffff:ffff為系統保留IP。

配置專用網路和交換器。
1. 配置專用網路。
  1. 選擇專用網路的地區。
  2. 輸入專用網路的名稱。
  3. 可選：將IPv4網段選擇為手動輸入IPv4位址區段。
  4. 在輸入IPv4網段文字框填入10.0.0.0/8。
2. 配置交換器。
  1. 輸入交換器的名稱。
  2. 選擇交換器的可用性區域。
    重要
    需選擇支援NAT Gateway的可用性區域。
  3. 其他參數保持預設即可。
  更多參數資訊，請參見建立和管理專用網路。
3. 單擊確定。

步驟二：購買公網NAT Gateway

登入NAT Gateway管理主控台。
在公網NAT Gateway頁面，單擊建立公網NAT Gateway。
首次使用NAT Gateway時，在建立公網NAT Gateway頁面關聯角色建立地區，單擊建立關聯角色。角色建立成功後即可建立NAT Gateway。
關於NAT Gateway服務關聯角色的更多資訊，請參見服務關聯角色。
配置公網NAT Gateway的參數。
1. 選擇公網NAT Gateway的所屬地區。
  重要
  所屬地區須與步驟一中建立的專用網路的地區保持一致。
2. 將所屬專用網路選擇為步驟一中建立的專用網路。
3. 將關聯交換器選擇為步驟一中建立的交換器。
4. 可選：配置公網NAT Gateway的執行個體名稱。
5. 將訪問模式選擇為稍後配置。
更多參數資訊，請參見使用公網NAT GatewaySNAT功能訪問互連網。
然後單擊立即購買，並完成支付。

步驟三：購買Elastic IP Address

登入Elastic IP Address管理主控台。
在Elastic IP Address頁面，單擊建立Elastic IP Address。
配置Elastic IP Address的參數。
選擇Elastic IP Address的地區，其他參數保持預設即可。更多參數資訊，請參見申請EIP。
重要
地區須與步驟一中建立的專用網路的地區保持一致。
單擊立即購買，並完成支付。
記錄已購買Elastic IP Address的地址。
1. 購買成功後，返回Elastic IP Address頁面。
2. 在頂部功能表列處，選擇EIP的地區。
3. 記錄IP地址列的地址。

步驟四：給公網NAT Gateway綁定Elastic IP Address

登入NAT Gateway管理主控台。
在頂部功能表列，選擇公網NAT Gateway的地區。
在公網NAT Gateway頁面，找到目標公網NAT Gateway執行個體，然後在Elastic IP Address列單擊立即綁定。
說明
您也可以在目標公網NAT Gateway執行個體的操作列，選擇 > 綁定Elastic IP Address。
在綁定Elastic IP Address對話方塊，勾選從已有Elastic IP Address中選擇，並選擇步驟三購買的Elastic IP Address。
說明
若您購買了多個Elastic IP Address執行個體，請重複操作進行綁定。
單擊確定。
綁定成功後，在公網NAT Gateway執行個體的Elastic IP Address列將會顯示出綁定的EIP。

步驟五：給公網NAT Gateway配置SNAT條目

登入NAT Gateway管理主控台。
在頂部功能表列，選擇公網NAT Gateway的地區。
在公網NAT Gateway頁面，找到目標公網NAT Gateway執行個體，然後在操作列單擊設定SNAT。
在SNAT管理頁簽，單擊建立SNAT條目。
配置SNAT條目的參數。
說明
若您已配置VPC粒度的SNAT條目，可以單擊操作列的編輯進行修改。
1. 將SNAT條目粒度選擇為VPC粒度。
2. 將選擇公網IP地址選擇為步驟四綁定的Elastic IP Address。
  說明
  請選擇所有已購買並綁定至公網NAT Gateway的Elastic IP Address執行個體。
3. 將EIP親和性開關保持在關閉狀態。
然後單擊確定建立。
等待該SNAT條目的狀態變為可用。

步驟六：給公網NAT Gateway綁定的Elastic IP Address建立警示規則

登入CloudMonitor控制台。
在左側導覽列，選擇警示服務 > 警示規則。
在警示規則頁面，單擊建立警示規則。

配置警示規則。

參數	說明
產品	選擇Elastic IP Address。
資源範圍	選擇執行個體。
關聯資源	單擊添加執行個體。在彈出的添加執行個體對話方塊，通過地區等篩選步驟四綁定的Elastic IP Address。勾選目標Elastic IP Address。說明請選擇所有已購買並綁定至公網NAT Gateway的Elastic IP Address執行個體。單擊確定。
規則描述	單擊添加規則，並選擇組合指標。在設定規則描述面板，先輸入規則名稱。在多指標警示描述地區，為出方向限速丟包速率和入方向限速丟包速率設定警示規則。說明將指標設定為平均值大於（>）0pps。您可以單擊添加指標，添加多個指標警示規則。將多指標關係選擇為有一個滿足條件就警示(\|\|)。根據實際情況，選擇警示閾值觸發次數。單擊確定。
警示連絡人群組	選擇發送警示的連絡人群組。說明建立警示連絡人和警示連絡人群組的方法，請參見建立警示連絡人或警示連絡人群組。
其他參數	根據實際情況，配置其他參數。更多資訊，請參見建立警示規則。

單擊確認。

步驟七：將Elastic IP Address地址添加至資料庫的安全設定

將步驟四綁定的Elastic IP Address地址，加入到相應資料庫的安全設定（防火牆、白名單、安全性群組等）中。

步驟八：建立DTS執行個體

在配置DTS執行個體的源庫資訊或目標庫資訊時進行如下配置，並根據實際情況完成後續配置。

說明

更多資訊，請參見同步方案概覽、遷移方案概覽、訂閱者案概覽或配置資料校正。

根據實際情況，選擇資料庫類型。
將接入方式選擇為專線/VPN網關/智能網關。
將執行個體地區選擇為步驟一中建立的專用網路的地區。
將已和源端資料庫聯通的VPC選擇為步驟一中建立的專用網路。
將網域名稱或IP地址選擇為資料庫伺服器的網域名稱或IP地址。