阿里云Elasticsearch（简称ES）集群存在基础管控架构（v2）和云原生新管控架构（v3）两种架构。2020年10月及之后创建的实例采用v3架构，部分功能（如X-Pack Watcher、reindex、LDAP和AD身份认证）受v3网络限制无法直接使用。要解决此问题，需要通过PrivateLink和负载均衡打通ES实例与其他云资源（ECS、ENI、ECI等）或ES实例之间的私网连接，这也是v3架构下解决上述功能受限的唯一方案。
2020年10月之前创建的实例（包括金融云和政务云）采用v2架构，不存在上述网络限制，无需配置实例私网连接。
阿里云ES PrivateLink 应用场景
-
ES访问外部网络下的服务资源的场景，例如Watcher报警、LDAP、Active Directory等场景。
可配置阿里云ES与阿里云ECS私网打通，将阿里云ECS作为业务服务器或代理服务器实现网络转发，实现原理如下所示。
应用的具体场景、功能如下：
功能
场景说明
相关文档
Watcher
阿里云ES的X-Pack功能支持依据查询条件监测系统信息，对外提供报警服务。
安全特性
阿里云ES的X-Pack功能支持多种集群级别安全特性配置，例如：LDAP、用户认证等。
跨集群Reindex
通过跨集群Reindex将自建ES数据写入到阿里云ES。
-
两个阿里云ES跨集群Reindex迁移场景。两个ES实例分别部署在VPC_1和VPC_2中，在VPC_1下的阿里云ES_1上配置实例私网连接，将VPC_1下的终端节点与VPC_2下的终端节点服务连接，实现两个ES实例的私网连接，实现原理如下所示。
通过CLB和PrivateLink实现阿里云ES与ECS私网连接
前提条件
-
已在VPC_1下创建阿里云ES实例，且ES实例须为2020年10月及之后创建。创建阿里云ES实例，请参见创建阿里云Elasticsearch实例。
-
已在用户VPC_2下创建ECS实例，并部署了相关应用，详细信息请参见自定义购买实例。
-
ECS实例即后端服务器，主要接收通过负载均衡实例所转发的请求。创建ECS时需要选择支持PrivateLink的地域和可用区。PrivateLink支持的地域，请参见支持私网连接的地域和可用区。
-
阿里云ES、ECS、负载均衡实例需部署在同一地域下的同可用区中。
-
步骤一：创建并配置负载均衡实例
-
创建支持PrivateLink功能的负载均衡实例。
-
在实例管理页面，单击创建传统型负载均衡。
-
在传统型负载均衡CLB（按量付费）购买页面配置实例，地域选择阿里云ES实例所在地域， 实例类型选择私网，单击 立即购买，购买CLB实例。
-
-
配置负载均衡实例。
-
在实例管理页面，单击目标实例操作列下的监听配置向导。
-
在负载均衡业务配置向导页面，按需配置监听信息和后端服务器信息，并进行健康检查和配置审核。
-
步骤二：创建终端节点服务
实例私网连接功能将自动在ES所处的网络环境下创建终端节点，仅需在ECS所处的环境下手动创建终端节点服务。
-
在顶部菜单栏处，选择要创建终端节点服务的地域。
终端节点服务需要与负载均衡实例在同一地域。
-
单击创建终端节点服务 。
-
在创建终端节点服务页面，服务资源选择已创建的负载均衡实例，按需配置其他参数，单击确定创建 ，创建终端节点服务。
步骤三：配置阿里云ES私网连接
-
在左侧导航栏，选择 配置与管理>安全配置。
-
在集群网络设置区域，单击配置实例私网连接。
-
单击添加私网连接，选择上一步创建的终端节点服务。
-
等待连接状态变为已连接，表明已经打通了ES集群VPC_1与用户VPC_2。
-
获取PrivateLink域名。
连接成功后，返回PrivateLink控制台，在终端节点服务的终端节点连接状态页签中，查看自动创建的终端节点连接。该连接的域名即为PrivateLink私网域名，后续配置远程集群时使用。
通过NLB和PrivateLink实现阿里云ES实例间私网互通
本文以同地域容灾场景为例，介绍如何结合网络负载均衡（NLB）与私网连接（PrivateLink），实现阿里云 Elasticsearch 集群间的私网互通。通过构建安全的私网通信链路，并配置跨集群复制（CCR），可实现索引数据的近实时同步，满足业务高可用与同地域容灾需求。操作步骤概述如下：
-
通过云企业网（CEN）打通 Leader 集群与 Follower 集群所在的 VPC 网络。
-
获取 Leader 集群的私网 IP 地址。
-
在 Follower 集群所在的 VPC 中创建网络负载均衡（NLB）实例并配置监听，将监听后端指向 Leader 集群的私网 IP。
-
基于该 NLB 实例创建 PrivateLink 终端节点服务。
-
在 Follower 集群的配置实例私网连接页面添加私网连接，选择上一步创建的终端节点服务。
-
等待连接状态变为已连接后获取 PrivateLink 域名，并在配置跨集群复制（CCR）时使用该域名。
详细操作步骤请参见同地域ES数据复制。
名词解释
通过PrivateLink实现私网访问，需要创建终端节点服务和终端节点。
|
名词 |
描述 |
|
终端节点服务 |
终端节点服务是可以被其他VPC通过创建终端节点建立私网连接的服务，需要手动创建相关的服务资源。 |
|
终端节点 |
终端节点与终端节点服务相关联，可以建立通过VPC私网访问外部服务的网络连接，阿里云ES配置实例私网连接将自动在ES所处的网络环境下创建终端节点。 |
常见问题（FAQ）
开通 Kibana 私网访问时报错 InternalServerError 怎么办？
该报错通常是因为对应地域（如马来西亚（吉隆坡）等）未开通 PrivateLink 服务，导致Kibana 私网访问开通失败并报错 InternalServerError。
处理方法：前往PrivateLink 控制台，确认并在该地域开通 PrivateLink 服务后，再重试开通Kibana 私网访问操作。