Virtual Private Cloud:VPC peering connection

Üç VPC'yi bağlama

VPC eşlemesi için rotaları yapılandırırken aşağıdaki seçeneklere sahipsiniz:

• Hedef CIDR bloğunu eş VPC'nin CIDR bloğu olarak ayarlayın. Bu yöntem her iki VPC'deki tüm örneklerin birbirleriyle iletişim kurmasını sağlar ve yönetimi basitleştirir.

• Hedef CIDR bloğunu eş VPC'deki bir vSwitch'in CIDR bloğuna veya belirli bir örneğin IP adresine ayarlayarak daha spesifik rotalar yapılandırın. Bu yöntem güvenliği artırır ancak yeni örneklerin iletişim kurması gerektiğinde yönlendirme tablosunu manuel olarak güncellemeniz gerekir.

Örneğin VPC1'deki rotalar VPC2'deki vSwitch 3'ün CIDR bloğunu ve VPC3'teki ECS04 örneğini hedef alır. Bu nedenle VPC1'deki kaynaklar yalnızca vSwitch 3 ve ECS04'teki kaynaklarla özel olarak iletişim kurabilir. Buna karşılık VPC2 ve VPC3'teki rotalar eş VPC'lerinin CIDR bloklarını hedef aldığından kaynakları arasında tam iletişim sağlanır.

CEN'den VPC eşleme bağlantısına geçiş

İki VPC arasındaki özel ağ iletişimini Cloud Enterprise Network (CEN) üzerinden VPC eşleme bağlantısına taşıyın. Yalnızca iki VPC arasında ikili bağlantı gerektiğinde ve daha düşük maliyetle daha basit bir topoloji istediğinizde bu örneği kullanın. Hesaplar arası bir senaryoda her hesap kendi VPC'si için işlemleri gerçekleştirir.

Birden çok VPC'yi merkezi bir VPC'ye bağlama

Örneğin dal VPC'ler merkezi VPC'de konuşlandırılan hizmetlere erişebilir ancak dal VPC'ler birbirleriyle iletişim kuramaz. Tipik senaryolar şunlardır:

• Çok departmanlı izolasyon: Farklı iş departmanlarına ait VPC'ler birbirleriyle iletişim kuramaz ancak merkezi VPC'deki paylaşılan hizmetlere erişmek zorundadır.

• Çok kullanıcılı izolasyon: Hizmetler birden çok kullanıcı için ayrılmış bir VPC'de konuşlandırılır. Her kullanıcının VPC'si hizmet VPC'siyle iletişim kurabilir ancak farklı kullanıcıların VPC'leri birbirleriyle iletişim kuramaz.

Koşul Anahtarı

Yetkilendirme sırasında RAM, eş hesabın kaynak dizinini bir eşleme bağlantısı oluştururken AcceptingAliUid değerine veya bir eşleme bağlantısını kabul ederken RequestingAliUid değerine göre sorgular ve aşağıdaki Koşul Anahtarlarını özel ilkenizdeki koşullarla eşleştirmek üzere yetkilendirme bağlamına ekler.

Kullanım kısıtlamaları:

Yukarıdaki Koşul Anahtarlarını yalnızca vpc:CreateVpcPeerConnection ve vpc:AcceptVpcPeerConnection işlemleri ekler. Eşleme bağlantıları üzerindeki sorgulama, değiştirme ve silme gibi diğer işlemler etkilenmez.

İstek ilke tarafından reddedildiğinde hata kodu Forbidden.NoPermission döndürülür ve NoPermissionType değeri ExplicitDeny olarak ayarlanır. İlke eşleşmesini izlemek için RequestId değerini ActionTrail içinde kullanabilirsiniz.

Kısıtlama ilkesi seçme

İlkeleri yapılandırırken örneklerdeki kaynak dizini kimliğini, yolu veya hesap kimliğini kuruluşunuzun gerçek değerleriyle değiştirin. Kaynak dizini kimliğini ve yolunu Kaynak Yönetimi konsolunda bulabilirsiniz.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "acs:TargetRDId": ["rd-xxxxxx"]
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "vpc:CreateVpcPeerConnection",
        "vpc:AcceptVpcPeerConnection"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotLike": {
          "acs:TargetRDPath": ["rd-xxxxxx/r-xxxxxx/fd-xxxxxx/*"]
        }
      }
    }
  ]
}

İlkeyi oluşturma ve ekleme

Sınırlar arası eşleme bağlantıları destekleniyor mu?

Evet. Hem sınırlar arası olmayan hem de sınırlar arası bağlantılar desteklenir.

• Sınırlar arası olmayan: Çin anakarasındaki iki bölgeyi veya Çin anakarası dışındaki iki bölgeyi birbirine bağlar.

• Sınırlar arası: Çin anakarasındaki bir bölgeyi Çin anakarası dışındaki bir bölgeye bağlar. Hesabınızın iş kimliği doğrulamasını tamamladığından emin olun.

Hedef VPC seçilemiyor

Seçilen bölgenin ve hesabın hedef VPC'nin Region ve Owner değerleriyle eşleştiğinden emin olun.

İstekte bulunan bölge sayfanın üst kısmında görüntülenir ve mevcut hesap istekte bulunan taraftır. Eşleme bağlantısını oluştururken alıcı hesabı ve bölgeyi siz belirtirsiniz.

Docker yüklü ECS iletişim hatası

Rotalama ve güvenlik grubu yapılandırmalarınız doğruysa sorun büyük olasılıkla Docker ağ arabiriminin CIDR bloğu ile hedef CIDR bloğu arasındaki çakışmadan kaynaklanır. Docker ağ arabirimi adresinin hedef CIDR bloğuyla çakışıp çakışmadığını kontrol etmek için ip addr komutunu çalıştırın.

Çakışma varsa Docker CIDR bloğunu değiştirmek için aşağıdaki adımları izleyin.

• Docker hizmetini durdurmak veya CIDR bloğunu değiştirmek iş yüklerinizi kesintiye uğratır. Bu işlemi yoğun saatler dışında gerçekleştirmenizi öneririz.

• Docker CIDR bloğunu değiştirirken mevcut kapsayıcıların ve uygulamaların ağ ayarlarıyla uyumlu olduğundan emin olun; aksi takdirde potansiyel bağlantı sorunları yaşanabilir.

1. Docker hizmetini durdurmak için sudo systemctl stop docker komutunu çalıştırın.

2. Docker yapılandırma dosyasını düzenlemek için sudo vim /etc/docker/daemon.json komutunu çalıştırın. Dosyaya aşağıdaki içeriği ekleyin ve değişikliklerinizi kaydedin:

   Docker yapılandırma dosyası genellikle /etc/docker/daemon.json veya /etc/docker/daemon.conf konumunda bulunur. Tam dosya adı değişebilir.

   {
       "bip":"new Docker CIDR block"
   }

3. Değişiklikleri uygulamak ve Docker hizmetini başlatmak için sudo systemctl start docker komutunu çalıştırın.

RAM kullanıcısı VPC eşleme bağlantısı oluştururken CDT izin hatası alıyor

Bir RAM kullanıcısına AliyunVPCFullAccess izni verilmiş ancak VPC eşleme bağlantısı oluştururken cdt:GetCdtServiceStatus izninin eksik olduğunu belirten bir hata alıyor. Bunun nedeni VPC eşleme bağlantılarının Cloud Data Transfer (CDT) hizmetine bağımlı olması ve CDT ile ilgili API'leri çağırması gerekliliğidir. Yalnızca VPC izinleri yetersizdir.

RAM kullanıcısına aşağıdaki izinlerden birini verin:

• AliyunCDTFullAccess: CDT üzerinde tam erişim.

• AliyunCDTReadOnlyAccess: CDT üzerinde salt okunur erişim. Bu izin RAM kullanıcısının yalnızca eşleme bağlantısı oluşturması gerekiyor ve CDT kaynaklarını yönetmesi gerekmiyorsa uygundur.

VPC eşleme bağlantısı genel ağ erişimini etkiler mi?

Hayır. VPC eşleme bağlantısı yalnızca özel rota girdileri ekler ve varsayılan rotayı değiştirmez. Genel ağ trafiği mevcut NAT ağ geçitleri, Elastic IP adresleri ve diğer genel rotalar üzerinden iletilmeye devam eder.

Sınırlamalar

• Aşağıdaki senaryolarda VPC eşleme bağlantısı oluşturamazsınız:

  • İki VPC farklı Alibaba Cloud sitelerindeki hesaplara aittir; örneğin biri Alibaba Cloud China sitesinde diğeri Alibaba Cloud International sitesinde bulunan hesaplar.

• VPC eşleme bağlantısı geçişli rotalamayı desteklemez.

  Örneğin VPC 1 ayrı VPC eşleme bağlantıları aracılığıyla VPC 2 ve VPC 3'e bağlıysa VPC 2 ve VPC 3 VPC 1 üzerinden birbirleriyle iletişim kuramaz.

  VPC 2 ile VPC 3 arasında iletişimi etkinleştirmek için bunlar arasında ayrı bir eşleme bağlantısı oluşturmanız ve çift yönlü rotaları yapılandırmanız gerekir.

  

• Bir VPC birden çok hesapta paylaşıldığında yalnızca kaynak sahibi VPC eşleme bağlantısı oluşturabilir, değiştirebilir veya silebilir. Kaynak kullanıcıları bu işlemleri gerçekleştiremez.

Faturalama

Aynı bölgedeki VPC eşleme bağlantıları VPC'lerin aynı hesaba mı yoksa farklı hesaplara mı ait olduğuna bakılmaksızın ücretsizdir.

Bölgeler arası VPC eşleme bağlantıları için Cloud Data Transfer (CDT) giden trafiğe dayalı olarak bir veri aktarım ücreti tahsil eder.

• Birim fiyat bölge çiftine ve bağlantı türüne göre belirlenir. Platinum ve Gold bağlantı türleri mevcuttur ve farklı hizmet seviyeleri sunar.

• Faturalandırma döngüsü saatliktir. Bir faturalandırma döngüsü içinde bağlantı türünü değiştirirseniz o döngü boyunca daha yüksek hizmet seviyesinin oranı uygulanır.

VPC eşleme bağlantısı yaşam döngüsü

İstekte bulunan taraf bir oluşturma isteği gönderdikten sonra VPC eşleme bağlantısı birkaç durumdan geçer.

Aynı hesapta bir VPC eşleme bağlantısı oluşturursanız sistem isteği otomatik olarak başlatır ve kabul eder; bağlantı Etkin duruma geçer.

Desteklenen bölgeler

Kotalar