Elastic Compute Service：使用PrivateLink減少非必要的公網通訊

使用PrivateLink實現同可用性區域跨VPC訪問

說明：在VPC2中使用ECS部署某網路服務（如Web服務），在VPC1和VPC2間建立PrivateLink，使得在VPC1中可以通過內網地址（終端節點）訪問網路服務。

注意：使用PrivateLink的前提是終端節點（服務使用方）與終端節點服務（服務提供者）必須同一可用性區域，或者終端節點部署的可用性區域是終端節點服務資源部署可用性區域的子集（如終端節點服務部署在可用性區域A、B，終端節點只能選擇A或B）。

核心步驟：

1. 服務端（服務提供者）配置

   1. 建立負載平衡：在VPC2中建立一個支援PrivateLink的Server Load Balancer執行個體（如私網類型的CLB或NLB），並配置好後端伺服器組和監聽。

   2. 建立終端節點服務：進入私網串連控制台，建立一個終端節點服務，並將其關聯到上一步建立的Server Load Balancer執行個體。

   3. 佈建服務白名單（僅跨帳號需要）：如果VPC1屬於不同的阿里雲主帳號，必須將該帳號的UID添加到終端節點服務的白名單中。

   4. 接受串連請求：等待用戶端發起串連後，在終端節點服務的“串連”標籤頁中，找到待處理的串連請求並“允許”它。（也可在建立服務時設定為自動接受串連）。

2. 用戶端（服務使用方）配置

   1. 建立終端節點：在VPC1中，建立一個終端節點。在建立過程中，選擇服務端建立的終端節點服務。

   2. 配置網路：為終端節點選擇位於VPC1內的交換器和安全性群組，以控制VPC1內哪些資源可以訪問該終端節點。

   3. 擷取訪問地址：建立成功後，終端節點會產生一個私網網域名稱和IP地址。

   4. 發起訪問：等待服務端接受串連後，VPC1內的應用即可使用此網域名稱或IP來訪問VPC2中的服務。

詳細操作，請參見通過私網訪問雲端服務。

使用Proxy Protocol 控制可訪問的VPC及其內網IP

通過PrivateLink提供服務，服務端能夠識別網路請求的真實來源（具體來自哪個終端節點或私人網路VPC）。因此服務可以設定安全規則，限制某使用者帳號僅能在某合法私網中使用（即僅接受合法VPC的訪問），即使帳號不慎泄露，也可以杜絕從互連網或非法網路使用該帳號訪問服務。

在使用PrivateLink實現同可用性區域跨VPC訪問的基礎上，讓服務端應用能夠識別請求來自哪個VPC，並基於此實現存取控制。

1. 開啟Proxy Protocol v2：在服務端的NLB監聽上開啟Proxy Protocol v2，並訂閱VPC ID和終端節點ID。

   # 使用阿里雲CLI為指定監聽開啟Proxy Protocol v2並訂閱VPC ID和終端節點ID
   aliyun nlb UpdateListenerAttribute \
        --ListenerId lsn-xxxxxxxxxxxxxxxx \
        --ProxyProtocolEnabled true \
        --ProxyProtocolV2Config '{"Ppv2VpcIdEnabled":true,"Ppv2PrivateLinkEpIdEnabled":true}' \
        --RegionId cn-hangzhou

   --ListenerId ：是建立監聽ID，即為例子中Web服務建立的監聽。

   --ProxyProtocolEnabled：true表示開啟ProxyProtocol協議。注意：該協議會在TCP握手後的第一個包中傳遞用戶端串連資訊，因此必須後端服務支援該協議（見步驟2配置），否則服務會中斷。

   --ProxyProtocolV2Config：添加阿里雲定義的TLV欄位，這裡訂閱了來源網路的VPC ID、PrivateLink的終端節點ID。對應TLV解析如下：

   	含義/內容	原始內容
   協議頭	Proxy Protocol協議固定簽名	0d0a0d0a000d0a515549540a
   	版本2, PROXY命令	21
   	TCP/IPv4	11
   	後面跟的資料長度為 84 位元組	0054
   地址資訊	源IP: 10.0.0.14	0a00000e
   	目的IP: 10.0.0.15	0a00000f
   	源連接埠: 59074	e6c2
   	目的連接埠: 80	0050
   TLV1	03類型	03
   	4位元組	0004
   	0764b56b	0764b56b
   TLV2	e1類型（自訂類型）	e1
   	24位元組	0018
   	PrivateLink終端節點ID： ep-bp1i288487e586152d4b	0265702d6270316932383834383765353836313532643462
   TLV3	e1類型（自訂類型）	e1
   	26位元組	001a
   	VPC ID: vpc-bp179qeke0wzo1mr8bxhl	017670632d627031373971656b6530777a6f316d72386278686c
   TLV4	04 (PP2_TYPE_NETNS)，用於傳遞網路命名空間	04
   	6位元組	0006
   	000000000000	000000000000

2. 假設Web服務使用Nginx提供Web服務，可以按如下配置支援Proxy Protocol：

   （Nginx Plus R16及以後版本或開源Nginx 1.13.11及以後版本支援Proxy Protocol v2）

   server {
       listen 80 proxy_protocol;   #啟用proxy Protocol v1/v2協議
       # 其他配置...
   }

   以上方式，nginx會自動處理80連接埠的proxy Protocol協議解析TLV，但原始nginx僅支援從TLV中提取ip地

   址，對於阿里自訂的VPC ID、PrivateLink終端節點ID需要lua擴充來自行處理。

   以下程式碼範例是在nginx.conf中編寫Lua外掛程式處理TCP串連，從socket中讀取TCP串連後收包，並解析TLV緩

   存進請求的上下文中。在/login請求時判斷PrivateLink終端節點ID是否符合預期。Lua程式碼範例如下：

   stream {
     server{
     listen 80;  #不能啟用proxy_Protocol，需要交給下面lua處理
     preread_by_lua_block {
        -- 1. 嘗試讀取固定的16位元組協議頭
        local sock = ngx.req.socket(true)
        local header, err = sock:receive(16)
   
        if not header then
           ngx.log(ngx.ERR, "failed to receive proxy protocol header: ", err)
           return
        end
   
        -- 2. 檢查協議簽名 (12位元組)
        if string.sub(header, 1, 12) ~= "\x0D\x0A\x0D\x0A\x00\x0D\x0A\x51\x55\x49\x54\x0A" then
            -- 如果不是Proxy Protocol，須將已讀取的資料放回緩衝區，否則會破壞原始請求
             sock:setreused(header)
                   return
       end
   
       -- 3. 解析協議頭剩餘部分
       local ver_cmd = string.byte(header, 13) -- 版本和命令
       local family = string.byte(header, 14) -- 地址族和協議
       local len = string.byte(header, 15) * 256 + string.byte(header, 16) -- 可變部分的總長度
       if len == 0 then
          -- 沒有地址和TLV資訊，直接返回
          return
       end
   
       -- 4. 讀取可變長度部分 (包含地址和TLV)
       local variable_part, err = sock:receive(len)
       if not variable_part or #variable_part < len then
          ngx.log(ngx.ERR, "failed to read variable part (address + tlvs): ", err)
          return
       end
   
       -- 5. 根據地址族(family)確定地址資訊的長度
       local addr_len = 0
       local protocol = family & 0x0F
       local address_family = family >> 4
   
       if address_family == 1 then -- AF_INET (IPv4)
           addr_len = 12
       elseif address_family == 2 then -- AF_INET6 (IPv6)
           addr_len = 36
       elseif address_family == 3 then -- AF_UNIX
           addr_len = 216
       end
   
       -- 6. 分離地址資訊和TLV資料
       local address_block = string.sub(variable_part, 1, addr_len) -- 如果需要，可以解析地址資訊
       local tlv_string = string.sub(variable_part, addr_len + 1)
   
       -- 7. 解析TLV資料
       local tlvs = {}
       local pos = 1
       while pos <= #tlv_string do
           -- 確保至少有3個位元組 (Type, Length)
           if pos + 2 > #tlv_string then
               ngx.log(ngx.ERR, "malformed TLV data: not enough bytes for type and length")
               break
           end
   
           local tlv_type = string.byte(tlv_string, pos)
           local tlv_length = string.byte(tlv_string, pos + 1) * 256 + string.byte(tlv_string, pos + 2)
       
           -- 確保value的長度不會越界
           if pos + 2 + tlv_length > #tlv_string then
               ngx.log(ngx.ERR, "malformed TLV data: length exceeds available data")
               break
           end
       
           local tlv_value = string.sub(tlv_string, pos + 3, pos + 2 + tlv_length)
                       
           table.insert(tlvs, {
               type = tlv_type,
               length = tlv_length,
               -- 將二進位的value編碼為Base64，便於儲存和查看
               value = ngx.encode_base64(tlv_value) 
            })
            pos = pos + 3 + tlv_length
      end
   
      -- 8. 將解析出的TLV緩衝到ngx.ctx中
      -- ngx.ctx對於每個請求都是唯一的，是傳遞資料的標準方式
     if #tlvs > 0 then
         ngx.ctx.proxy_protocol_tlvs = tlvs
         -- 樣本：如果你想在日誌中記錄它，可以在http部分的log_format中使用$proxy_protocol_tlvs變數
         -- 需要在http塊中定義 `lua_set $proxy_protocol_tlvs 'return ngx.var.proxy_protocol_tlvs_json';`
         -- 和 `preread_by_lua_block` 中 `ngx.var.proxy_protocol_tlvs_json = cjson.encode(ngx.ctx.proxy_protocol_tlvs)`
     end
     }
     proxy_pass localhost:8080;   #後面的http請求給http server處理
     }
   }
   
   http {
       server {
           listen 8080;
   
           # 處理 /login 請求的專用 location
           location /login {
               access_by_lua_block {
                   local expected_value = "some value"
                   -- 從Nginx變數中擷取stream層傳遞過來的第2個TLV值 (Base64編碼的)
                   local privateLinkEndId = ngx.var.pp_tlv2_value
                   
                   -- 如果不符合預期則拒絕
                   if received_value ~= expected_value then
                       ngx.log(ngx.ERR, "Access to /login denied: TLV value mismatch. Expected '", 
                               expected_value, "', got '", received_value, "'")
                       return ngx.exit(ngx.HTTP_FORBIDDEN)
                   end
                   -- 驗證通過，請求將繼續被處理
               }
               
               # 驗證通過後，將請求轉寄給後端的Python程式
               proxy_pass http://your_python_backend;
           }
   
           # 處理其他所有請求
           location / {
               # 這裡可以根據你的需求決定是否允許訪問
               # 例如，直接轉寄給後端
               proxy_pass http://your_python_backend;
           }
       }
   
       # 你的Python後端服務 upstream 定義
       upstream your_python_backend {
           server 127.0.0.1:5000; # 假設你的後端程式運行在5000連接埠
       }
   }