Configure a function to access a VPC for network isolation - Function Compute

Varsayılan olarak, Function Compute içinde oluşturulan işlevler genel ağa erişebilir ancak Sanal Özel Bulut (VPC) içindeki kaynaklara erişemez. İşlevlerin VPC kaynaklarına erişmesini sağlamak veya işlev çağrılarını belirli VPC'lerle kısıtlamak için ağ ayarlarını ve izinlerini manuel olarak yapılandırmanız gerekir. Bu konuda, Function Compute konsolunda bir işlev için ağ ayarlarının nasıl yapılandırılacağı açıklanmaktadır.

Kullanım notları

ACR Enterprise Edition örnek görüntüsünden oluşturulan GPU hızlandırmalı bir işlev için VPC erişimini yapılandırırken, VPC ve vSwitch seçimi aşağıdaki ilkeleri takip etmelidir.

ACR Enterprise Edition örneğinin Access Control sayfasında Default Resolution etiketine sahip bir Access IP gösteriliyorsa, işlevin VPC ve vSwitch değerleri varsayılan çözümleme IP adresine karşılık gelen VPC ve vSwitch olarak ayarlanmalıdır.
ACR Enterprise Edition örneğinin Access Control sayfasında Default Resolution etiketi olmayan bir Access IP gösteriliyorsa, işlevin VPC ve vSwitch değerleri örneğe bağlı herhangi bir çift olarak ayarlanabilir.

Ağ erişim yetenekleri

VPC erişiminin etkinleştirilmesi Function Compute soğuk başlatma gecikme süresini artırabilir. Bu yapılandırmayı yalnızca gerekli olduğunda kullanmanızı öneririz. Alternatif olarak, kaynaklara erişmek için RAM yetkilendirmesini kullanmayı düşünebilirsiniz. Daha fazla bilgi için bkz. Diğer bulut hizmetlerine erişmek için işlev rolü kullanma.

Bir işlev çağrıldığında veya bir ağ adresine eriştiğinde trafik oluşur. Bu trafik aşağıdaki kategorilere ayrılır.

Genel ağ trafiği: Resmi Alibaba Cloud web sitesi, Taobao veya bulut hizmetlerinin genel uç noktaları gibi İnternet adreslerine erişimden kaynaklanan trafiktir.
VPC trafiği: RDS uç noktaları, NAS uç noktaları veya ECS örneklerinin özel IP adresleri gibi VPC'niz içindeki kaynaklara erişimden kaynaklanan trafiktir.

Bir işlevin ağ erişim yetenekleri ayarlarına bağlıdır. Bunları ihtiyacınıza göre yapılandırabilirsiniz.

İşlev giden trafiği: Bir işlevin genel ağa veya VPC'deki kaynaklara giden trafik gönderip gönderemeyeceğini ifade eder. İlgili ayarlar Allow VPC Access ve Allow function to access public network seçenekleridir.

Tablo 1. İşlev giden trafiği

Yapılandırma	Açıklama
İşlevin yalnızca genel ağa erişmesine izin ver	İşlev, genel ağa ve Function Compute iç ağına erişir. VPC üzerinden erişim devre dışı bırakılır. Gerekli ağ yapılandırması: Allow VPC Access değerini No olarak ayarlayın. Allow function to access public network değerini Yes olarak ayarlayın.
İşlevin yalnızca bir VPC'ye erişmesine izin ver	İşlev, genel ağa ve iç kaynaklara yalnızca VPC'niz üzerinden erişir. Bu durum, PrivateZone, NAT Gateway veya VPC'ye bağlı işlevleri içeren senaryolar için uygundur. Gerekli ağ yapılandırması: Allow VPC Access değerini Yes olarak ayarlayın ve işlevin erişebileceği VPC bilgilerini yapılandırın. Allow function to access public network değerini No olarak ayarlayın.
İşlevin hem genel ağa hem de VPC'ye erişmesine izin ver	GPU olmayan işlevler için: Genel ağa işlevin ağı üzerinden erişin. İç ağa VPC'niz üzerinden erişin. Özel alan adı çözümlemesi için PrivateZone desteklenir. GPU işlevleri için: Genel ağa ve 100.0.0.0/8 CIDR bloğundaki iç ağa işlevin ağı üzerinden erişin. 100.0.0.0/8 CIDR bloğunun dışındaki iç ağa VPC'niz üzerinden erişin. Özel alan adı çözümlemesi için PrivateZone desteklenmez. Bu özelliği etkinleştirmek için submit a ticket seçeneğini kullanabilirsiniz. Gerekli ağ yapılandırması: Allow VPC Access değerini Yes olarak ayarlayın ve işlevin erişebileceği VPC bilgilerini yapılandırın. Allow function to access public network değerini Yes olarak ayarlayın.
İşlevin hem genel ağa hem de VPC'ye erişimini yasakla	İşlev, Function Compute iç ağına erişebilir. Genel ağa ve VPC'nize erişim devre dışı bırakılır. Gerekli ağ yapılandırması: Allow VPC Access değerini No olarak ayarlayın. Allow function to access public network değerini No olarak ayarlayın.

İşlev gelen trafiği: Bir işlevin genel ağdan veya VPC'den gelen trafiği alıp alamayacağını ifade eder. İlgili ayar Allow Only Specified VPCs to Invoke the Function seçeneğidir.

Tablo 2. İşlev gelen trafiği

Yapılandırma

Açıklama

İşlevin hem genel ağdan hem de VPC'lerden çağrılmasına izin ver

Varsayılan olarak, yeni bir işlev genel ağdan ve VPC'lerin içinden çağrılabilir. Varsayılan ağ yapılandırması şu şekildedir:

Allow Only Specified VPCs to Invoke the Function değerini No olarak ayarlayın.

İşlevin yalnızca belirtilen VPC'lerden çağrılmasına izin ver

Bu ayar, işlev çağrılarının yalnızca belirtilen VPC'lerden yapılmasına olanak tanır ve genel ağdan gelen istekleri reddeder. Gerekli ağ yapılandırması:

Allow Only Specified VPCs to Invoke the Function değerini Yes olarak ayarlayın ve işlevin çağrılabileceği VPC'leri yapılandırın.

Desteklenen kullanılabilirlik alanları

Function Compute tarafından desteklenen kullanılabilirlik alanlarını görüntülemek için tıklayın

Bölge	Bölge Kimliği	Desteklenen kullanılabilirlik alanları
China (Hangzhou)	cn-hangzhou	cn-hangzhou-h cn-hangzhou-i cn-hangzhou-j cn-hangzhou-k cn-hangzhou-f cn-hangzhou-g
China (Shanghai)	cn-shanghai	cn-shanghai-m cn-shanghai-l cn-shanghai-n cn-shanghai-b cn-shanghai-e cn-shanghai-g cn-shanghai-f
China (Qingdao)	cn-qingdao	cn-qingdao-c
China (Beijing)	cn-beijing	cn-beijing-i cn-beijing-h cn-beijing-k cn-beijing-j cn-beijing-l cn-beijing-c cn-beijing-e cn-beijing-g cn-beijing-f
China (Zhangjiakou)	cn-zhangjiakou	cn-zhangjiakou-b cn-zhangjiakou-c cn-zhangjiakou-a
China (Hohhot)	cn-huhehaote	cn-huhehaote-a cn-huhehaote-b
China (Shenzhen)	cn-shenzhen	cn-shenzhen-e cn-shenzhen-d cn-shenzhen-f
China (Chengdu)	cn-chengdu	cn-chengdu-a cn-chengdu-b
Hong Kong (China)	cn-hongkong	cn-hongkong-d cn-hongkong-c cn-hongkong-b
Singapore	ap-southeast-1	ap-southeast-1a ap-southeast-1c ap-southeast-1b
Malaysia (Kuala Lumpur)	ap-southeast-3	ap-southeast-3a
Indonesia (Jakarta)	ap-southeast-5	ap-southeast-5a ap-southeast-5b
Japan (Tokyo)	ap-northeast-1	ap-northeast-1c ap-northeast-1b ap-northeast-1a
UK (London)	eu-west-1	eu-west-1a
Germany (Frankfurt)	eu-central-1	eu-central-a eu-central-1a eu-central-1b
US (Silicon Valley)	us-west-1	us-west-1a us-west-1b
US (Virginia)	us-east-1	us-east-1b us-east-1a

Kaynaklarınız Function Compute tarafından desteklenmeyen bir kullanılabilirlik alanında bulunuyorsa, VPC ortamınızda Function Compute tarafından desteklenen bir kullanılabilirlik alanında bir vSwitch oluşturabilir ve ardından bu vSwitch ID'sini Function Compute işlevinin VPC yapılandırmasında ayarlayabilirsiniz. Aynı VPC içindeki vSwitch'ler özel ağ üzerinden birbirleriyle iletişim kurabildiğinden, Function Compute vSwitch'i kullanarak aynı VPC içindeki diğer kullanılabilirlik alanlarında bulunan kaynaklara erişebilir. Daha fazla bilgi için bkz. 'vSwitch is in unsupported zone' hatasıyla karşılaşırsam ne yapmalıyım?.

Ön koşullar

İşlev oluşturma
(İsteğe bağlı) Ağ kaynakları oluşturma

Gerekli kaynakları henüz oluşturmadıysanız, yapılandırma işlemi sırasında Automatic Configuration seçeneğini belirleyebilirsiniz. Aksi takdirde, aşağıdaki konulardaki talimatları izleyerek kaynakları önceden oluşturmanız gerekir:
- VPC ve vSwitch oluşturma
- Güvenlik grubu oluşturma

Ağ ve rolleri yapılandırma

Function Compute konsoluna oturum açın. Sol gezinme bölmesinde Function Management > Functions seçeneğini belirleyin.
Üst gezinme çubuğunda bir bölge seçin. Functions sayfasında hedef işleve tıklayın.
İşlev ayrıntıları sayfasında Configuration sekmesine tıklayın ve ardından Advanced Settings bölümünde Modify seçeneğine tıklayın.
Advanced Settings panelinde Network bölümünü bulun, ayarları ihtiyacınıza göre yapılandırın ve ardından Deploy seçeneğine tıklayın.
- Allow VPC Access: İşlevin bir VPC'deki kaynaklara erişip erişemeyeceğini kontrol eder. Geçerli değerler:
  - Enable: İşlevin bir VPC'deki kaynaklara erişmesine olanak tanır. Enable seçeneğini belirledikten sonra bir Configuration Method seçmeniz gerekir. Geçerli değerler:
    - (Önerilen) Automatic Configuration: Function Compute VPC, vSwitch ve güvenlik grubu gibi kaynakları otomatik olarak oluşturur. Sistem, yeni kaynaklar oluşturmak yerine mevcut bölgedeki mevcut kaynakları yeniden kullanır.
    - Custom Configuration: Mevcut ağ kaynaklarını manuel olarak seçmeniz gerekir. Gerekli kaynakları önceden oluşturduğunuzdan emin olun.
      
      VPC: Erişmek istediğiniz VPC'yi listeden seçin.
      
      Önemli
      Seçilen VPC'de en fazla 10 vSwitch oluşturabilirsiniz.
      
      vSwitch: Listedeki en az bir vSwitch'i seçin.
      
      Bu alan, Function Compute'un erişebileceği alt ağları belirtir. İkiden fazla vSwitch belirtmenizi öneririz. Bu sayede, bir kullanılabilirlik alanı arızalandığında veya bir alt ağdaki IP adresleri tükendiğinde işleviniz diğer alt ağlarda çalışabilir.
      
      Security Group: Listedeki bir güvenlik grubunu seçin.
      
      Bu güvenlik grubu, işlevle bir esnek ağ arayüzü (ENI) ilişkilendirir ve VPC içindeki kaynaklara erişimi kontrol eder. Varsayılan olarak, güvenlik grubunun giden kuralları tüm trafiğe izin verir. İşlev için ayrıntılı erişim kontrol ilkelerini tanımlamak amacıyla giden kuralları da yapılandırabilirsiniz.
      
      Not
      Güvenlik grubunun giden kuralları ICMP protokolüne izin vermelidir. Function Compute, VPC'nin ağ bağlantısını kontrol etmek için ICMP kullanır.
  - Disable: İşlevin bir VPC'deki kaynaklara erişmesini engeller.
- Static Public IP: NAT Gateway ve Elastic IP Address kullanarak İnternet erişimi için statik bir genel IP adresi alıp almamasını belirtir. Daha fazla bilgi için bkz. Statik genel IP adresi yapılandırma.
- Allow Default ENI to Access the Internet: İşlevin genel ağa erişip erişemeyeceğini belirtir. Geçerli değerler:
  - Enable: İşlevin genel ağa erişmesine izin verir.
  - Disable: İşlevin genel ağa erişmesini engeller.
- Allow Only Specified VPCs to Invoke the Function: İşlevin yalnızca belirtilen VPC'lerden çağrılmasına izin verilip verilmeyeceğini belirtir. Geçerli değerler:
  - Enable: İşlevin yalnızca belirtilen VPC'lerden çağrılmasına izin verir. Aşağıdaki noktalara dikkat edin:
    - Bir işlev en fazla 20 VPC'ye bağlanabilir.
    - Bir tetikleyici tarafından yapılan işlev çağrıları etkilenmez.
    - VPC bağlama, işlevin tüm sürümleri ve takma adları için geçerlidir.
    - Bu ayarı etkinleştirdikten sonra, genel ağdan ve diğer VPC'lerden gelen çağrı istekleri reddedilir. Sistem 403 StatusCode değeri, ErrorCode değeri olarak AccessDenied ve hata mesajı olarak Resource access is bound by VPC: VPC ID döndürür.
    - VPC bağlama yalnızca özel HTTP uç noktalarında ve özel HTTPS uç noktalarında desteklenir. Genel uç noktalar desteklenmez.
  - Disable: İşlevin genel ağdan ve tüm VPC'lerden çağrılmasına izin verir.

SSS

Function Compute neden hata ayıklama için bir VPC'ye bağlanamıyor?

İşleviniz için VPC erişimini etkinleştirdiyseniz ancak bağlantı başarısız olursa, olası nedenler şunlardır:
- vSwitch'i barındıran alt ağ arızalı olabilir veya alt ağdaki IP adresleri tükenmiş olabilir. VPC'yi yapılandırırken ikiden fazla vSwitch ID'si sağlayabilirsiniz. Bu yapılandırma, bir arıza durumunda işlevinizin diğer kullanılabilirlik alanlarında çalışmasına olanak tanıyarak hata toleransını artırır.
- Güvenlik grubu yanlış yapılandırılmış olabilir. Güvenlik grubunu aşağıdaki şekilde yapılandırın:
  - VPC'deki güvenlik grubunun gelen kurallarını Function Compute güvenlik grubundan gelen erişime izin verecek şekilde ayarlamanız gerekir.
  - Güvenlik grubunun giden kuralları ICMP protokolüne izin vermelidir. Function Compute VPC'nin ağ bağlantısını kontrol etmek için ICMP kullanır.
  Güvenlik grubunu yapılandırmaya ilişkin ayrıntılı adımlar için bkz. Güvenlik grubu kuralı ekleme.
Ağ kaynakları yetersiz olduğunda ne yapmalıyım?

VPC ağ kaynakları oluştururken, otomatik yapılandırma 252 kullanılabilir IP adresi sağlayan /24 ağ ön eki sunar. Çok sayıda örneğiniz varsa bu sınırı aşabilirsiniz. Bu durumda, vSwitch'in CIDR bloğunu ve ilgili güvenlik grubunu manuel olarak ayarlamanız gerekir.

Sorun giderme

Function Compute, vpcConfig yapılandırırken VPC erişim izinlerini kontrol edemez. Bu izinler yalnızca işlev yürütme sırasında kontrol edilir. Bu nedenle, InvokeFunction API'sini kullanarak bir işlevi çağırdığınızda yeni türde hatalar oluşabilir. Aşağıdaki tabloda, sorunları hızlı bir şekilde gidermenize yardımcı olmak için bir VPC'ye erişirken oluşan yaygın hatalar açıklanmaktadır.

Hata kodu	HTTP durum kodu	Neden	Çözüm
InvalidArgument	400	Function Compute, vSwitchId tarafından belirtilen vSwitch'in kullanılabilirlik alanını desteklemiyor.	vSwitchId değerini güncelleyin. Daha fazla bilgi için bkz. Desteklenen kullanılabilirlik alanları.
		vpcConfig içindeki vpcId, vSwitchIds veya securityGroupId parametrelerine karşılık gelen kaynaklar bulunamadı.	vpcConfig parametresinin ayarlarını kontrol edin.
		Belirtilen vSwitch veya güvenlik grubu ilgili VPC içinde değil.	vpcConfig parametresinin ayarlarını kontrol ederek vSwitchId ve securityGroupId parametrelerine karşılık gelen kaynakların vpcId parametresine karşılık gelen VPC içinde olduğundan emin olun.
AccessDenied	403	ENI üzerinde işlem gerçekleştirme izinleri verilmedi.	İşlevin izinlerini kontrol edin. Daha fazla bilgi için bkz. Diğer bulut hizmetlerine erişmek için işlev rolü kullanma.
ResourceExhausted	429	vSwitch'in CIDR bloğunda yeterli IP adresi yok; bu durum Function Compute'un daha fazla ENI oluşturmasını engelliyor.	Daha büyük bir CIDR bloğuna sahip bir vSwitch oluşturun ve vpcConfig parametresinin vSwitchId parametresini güncelleyin. Not `/24` veya `/16` CIDR bloğu kullanmanızı öneririz.

İlgili belgeler

Bir VPC'deki veritabanına erişmek için veritabanı için bir IP adresi izin listesi yapılandırmanızı öneririz. İzin listesinde, bu sayfada yapılandırdığınız vSwitch'in CIDR bloğunu belirtin. Daha fazla bilgi için bkz. Veritabanına erişme.
Bir işlevin genel ağa yönelik giden trafiğini kontrol etmek için statik bir IP adresi kullanmanız gerekir. Daha fazla bilgi için bkz. Statik genel IP adresi yapılandırma.