如何配置Elasticsearch的私網串連功能 - Elasticsearch

Elasticsearch（簡稱ES）叢集存在基礎管控架構（v2）和雲原生新管控架構（v3）兩種架構。2020年10月及之後建立的執行個體採用v3架構，部分功能（如X-Pack Watcher、reindex、LDAP和AD身份認證）受v3網路限制無法直接使用。要解決此問題，需要通過PrivateLink和負載平衡打通ES執行個體與其他雲資源（ECS、ENI、ECI等）或ES執行個體之間的私網串連，這也是v3架構下解決上述功能受限的唯一方案。

說明

2020年10月之前建立的執行個體（包括金融雲和政務雲）採用v2架構，不存在上述網路限制，無需配置執行個體私網串連。

阿里雲ES PrivateLink 應用情境

ES訪問外部網路下的服務資源的情境，例如Watcher警示、LDAP、Active Directory等情境。

可配置阿里雲ES與阿里雲ECS私網打通，將阿里雲ECS作為商務服務器或Proxy 伺服器實現網路轉寄，實現原理如下所示。

應用的具體情境、功能如下：

功能	情境說明	相關文檔
Watcher	阿里雲ES的X-Pack功能支援依據查詢條件監測系統資訊，對外提供警示服務。	配置DingTalk機器人接收X-Pack Watcher警示配置企業微信機器人接收X-Pack Watcher警示通過X-Pack Watcher實現CCR異常警示通知
安全特性	阿里雲ES的X-Pack功能支援多種叢集層級安全特性配置，例如：LDAP、使用者認證等。	X-Pack整合LDAP認證最佳實務配置Active Directory身份認證
跨叢集Reindex	通過跨叢集Reindex將自建ES資料寫入到阿里雲ES。	通過Reindex API遷移資料

兩個阿里雲ES跨叢集Reindex遷移情境。兩個ES執行個體分別部署在VPC_1和VPC_2中，在VPC_1下的阿里雲ES_1上配置執行個體私網串連，將VPC_1下的終端節點與VPC_2下的終端節點服務串連，實現兩個ES執行個體的私網串連，實現原理如下所示。

通過CLB和PrivateLink實現阿里雲ES與ECS私網串連

前提條件

已在VPC_1下建立阿里雲ES執行個體，且ES執行個體須為2020年10月及之後建立。建立阿里雲ES執行個體，請參見建立Elasticsearch執行個體。
已在使用者VPC_2下建立ECS執行個體，並部署了相關應用，詳細資料請參見自訂購買執行個體。
- ECS執行個體即後端伺服器，主要接收通過Server Load Balancer執行個體所轉寄的請求。建立ECS時需要選擇支援PrivateLink的地區和可用性區域。PrivateLink支援的地區，請參見支援私網串連的地區和可用性區域。
- 阿里雲ES、ECS、Server Load Balancer執行個體需部署在同一地區下的同可用性區域中。

步驟一：建立並配置Server Load Balancer執行個體

登入傳統型負載平衡CLB控制台。
建立支援PrivateLink功能的Server Load Balancer執行個體。
1. 在執行個體管理頁面，單擊建立傳統型負載平衡。
2. 在傳統型負載均衡（隨用隨付）購買頁面配置執行個體，地區選擇阿里雲ES執行個體所在地區， 執行個體類型選擇私網，單擊 立即購買，購買CLB執行個體。
配置Server Load Balancer執行個體。
1. 在執行個體管理頁面，單擊目標執行個體操作列下的監聽設定精靈。
2. 在負載平衡業務設定精靈頁面，按需配置監聽資訊和後端伺服器資訊，並進行健全狀態檢查和組態稽核。

步驟二：建立終端節點服務

執行個體私網串連功能將自動在ES所處的網路環境下建立終端節點，僅需在ECS所處的環境下手動建立終端節點服務。

登入終端節點服務控制台。
在頂部功能表列處，選擇要建立終端節點服務的地區。

終端節點服務需要與Server Load Balancer執行個體在同一地區。
單擊建立終端節點服務 。
在建立終端節點服務頁面，服務資源選擇已建立的Server Load Balancer執行個體，按需配置其他參數，單擊确定创建 ，建立終端節點服務。

步驟三：配置阿里雲ES私網串連

登入Elasticsearch控制台。
在左側導覽列，選擇 配置與管理>安全配置。
在叢集網路設定地區，單擊配置執行個體私網串連。
單擊添加私網串連，選擇上一步建立的終端節點服務。
等待串連狀態變為已串連，表明已經打通了ES叢集VPC_1與使用者VPC_2。
擷取PrivateLink網域名稱。

串連成功後，返回PrivateLink控制台，在終端節點服務的終端節點串連狀態頁簽中，查看自動建立的終端節點串連。該串連的網域名稱即為PrivateLink私網網域名稱，後續配置遠程叢集時使用。

通過NLB和PrivateLink實現阿里雲ES執行個體間私網互連

本文以同地區容災情境為例，介紹如何結合網路負載平衡（NLB）與私網串連（PrivateLink），實現阿里雲 Elasticsearch 叢集間的私網互連。通過構建安全的私網通訊鏈路，並配置跨叢集複製（CCR），可實現索引資料的近即時同步，滿足業務高可用與同地區容災需求。

詳細操作步驟請參見同地區ES資料複製。

名詞解釋

通過PrivateLink實現私網訪問，需要建立終端節點服務和終端節點。

名詞	描述
終端節點服務	終端節點服務是可以被其他VPC通過建立終端節點建立私網已連線的服務，需要手動建立相關的服務資源。
終端節點	終端節點與終端節點服務相關聯，可以建立通過VPC私網訪問外部服務的網路連接，阿里雲ES配置執行個體私網串連將自動在ES所處的網路環境下建立終端節點。