产品简介 VPC 产品概述产品简介专有网络 VPC(Virtual Private Cloud), 帮助用户基于阿里云构建出一个隔离的网络环境用户可以完全掌控自己的虚拟网络, 包括选择自有 IP 地址范围划分网段配置路由表和网关等此外您也可以通过专线 /VPN 等连接方式将 VPC 与

Size: px

Start display at page:

Download "产品简介 VPC 产品概述产品简介专有网络 VPC(Virtual Private Cloud), 帮助用户基于阿里云构建出一个隔离的网络环境用户可以完全掌控自己的虚拟网络, 包括选择自有 IP 地址范围划分网段配置路由表和网关等此外您也可以通过专线 /VPN 等连接方式将 VPC 与"

娜富
5 years ago
Views:

1 专有网络 VPC 产品简介

2 产品简介 VPC 产品概述产品简介专有网络 VPC(Virtual Private Cloud), 帮助用户基于阿里云构建出一个隔离的网络环境用户可以完全掌控自己的虚拟网络, 包括选择自有 IP 地址范围划分网段配置路由表和网关等此外您也可以通过专线 /VPN 等连接方式将 VPC 与传统数据中心组成一个按需定制的网络环境, 实现应用的平滑迁移上云产品对比功能点经典网络专有网络二层逻辑隔离不支持支持自定义私网网段不支持用户自定义用户自定义私网 IP 规划经典网络内唯一专有网络内唯一, 专有网络间可重复自建 VPN 不支持支持私网互通账号内相同地域内互通专有网络内互通, 专有网络间隔离自建 Nat 网关不支持支持自建 HA 不支持即将支持安全隔离不同用户的云服务器在不同的 VPC 里 ; 不同 VPC 之间通过隧道 ID 进行隔离 VPC 内部由于虚拟交换机和虚拟机路由器的存在, 所以可以像传统网络环境一样划分子网, 每一个子网内部的不同云服务器使用同一个虚拟交换机互联, 不同子网间使用虚拟路由器互联 ; 不同 VPC 之间内部网络完全隔离, 只能通过对外映射的 IP( 弹性 IP 和 NAT IP) 互联 ; 由于使用隧道封装技术对云服务器的 IP 报文进行封装, 所以云服务器的数据链路层 ( 二层,mac 地址 ) 信息不会进入物理网络, 实现了不同云服务器间二层网络隔离, 因此也实现了不同 VPC 间二层网络 1

3 隔离 ; VPC 内的 ECS 使用安全组防火墙进行三层网络访问控制产品名词解释产品名词解释名词英文说明专有网络路由器交换机路由表路由条目 AliCloud VPC VRouter VSwitch Route Table Route Entry 专有网络是用户基于阿里云创建的自定义私有网络, 不同的专有网络之间彻底逻辑隔离, 用户可以在自己创建的专有网络内创建和管理云产品实例, 比如 ECS,Intranet SLB,RDS 等路由器, 是 VPC 网络的枢纽, 它可以连接 VPC 内的各个交换机, 同时也是连接 VPC 与其他网络的网关设备它会根据具体的路由条目的设置来转发网络流量交换机, 是组成 VPC 网络的基础网络设备它可以连接不同的云产品实例在 VPC 网络内创建云产品实例的时候, 必须指定云产品实例所在的交换机路由表, 是指路由器上管理路由条目的列表路由表中的每一项成为一条路由条目, 路由条目定义了通向指定目标网段的网络流量的下一跳地址, 路由条目包括系统路由和自定义路由两种类型专有网络专有网络是用户基于阿里云创建的自定义私有网络, 不同的专有网络之间彻底逻辑隔离, 用户可以在自己创建的专有网络内创建和管理云产品实例, 比如 ECS,Intranet SLB,RDS 等专有网络管理 : 在创建专有网络时, 用户需要以 CIDRBlock 的形式指定专有网络内使用的私网网段专有网络创建之后, 用户需要继续创建交换机 (VSwitch), 然后才能够在专有网络内创建云产品实例 (ECS, SLB, RDS) 创建专有网络时, 需要指定 CIDRBlock 当新建 VPC 实例的状态变成 Available 之后, 表示 VPC 创建成功, 可以进行下一步的管理操作删除指定的专有网络, 必须首先删除专有网络内所有的云产品实例 ( 包含安全组, 交换机, 云产品实例 2

4 专有网络网段 :, 路由条目等 ) 关于 CIDRBlock 的相关信息, 请参见维基百科上的 Classless Inter-Domain Routing 条目说明专有网络创建成功之后,CIDRBlock 无法修改, 建议使用比较大的网段作为 VPC 的 CIDRBlock( 比如直接使用 /16 和 /12 以及 /8 3 个网段 ), 尽量避免后续扩容系统不会根据 VPC 的 CIDRBlock 来创建系统路由, 所以使用比较大的地址范围来创建 VPC, 不会影响业务的正常使用路由器路由器, 是 VPC 网络的枢纽, 它可以连接 VPC 内的各个交换机, 同时也是连接 VPC 与其他网络的网关设备它会根据具体的路由条目的设置来转发网络流量. 产品约束 : 每个 VPC 有且只有一个路由器路由器不支持 BGP 和 OSPF 等动态路由协议路由器管理 : 创建 VPC 时, 系统会自动为每个 VPC 创建 1 个路由器删除 VPC 时, 也会自动删除对应的路由器不支持直接创建和删除路由器交换机交换机, 是组成 VPC 网络的基础网络设备它可以连接不同的云产品实例在 VPC 网络内创建云产品实例的时候, 必须指定云产品实例所在的交换机产品约束 : 具体的产品约束, 请参见 VPC 产品约束 VPC 的交换机, 是一个 3 层交换机, 不支持 2 层广播和组播交换机管理 : 只有当 VPC 的状态为 Available 时, 才能创建新的交换机交换机不支持并行创建, 一个交换机创建成功之后, 才能够创建下一个交换机创建完成之后, 无法修改 CIDRBlock 删除交换机之前, 必须先删除目标交换机所连接的云产品实例交换机网段 : 创建交换机时, 需要指定一个 CIDRBlock 新建交换机所使用的 CIDRBlock 必须从属于交换机所在的 VPC 的 CIDRBlock 新建交换机所使用的 CIDRBlock 不能与已经存在的交换机的 CIDRBlock 冲突新建交换机所使用的 CIDRBlock 不能包含已经存在的自定义路由的目标网段路由表 3

5 路由表, 是指路由器上管理路由条目的列表产品约束 : 每个路由器有且只有 1 个路由表路由表的路由条目会影响 VPC 中的所有云产品实例目前不支持指定交换机和云产品实例的源地址策略路由. 路由表管理 : 新建 VPC 时, 系统会自动创建 1 个路由表删除 VPC 时, 系统会自动删除对应的路由表不支持直接创建和删除路由表路由条目路由表中的每一项成为一条路由条目, 路由条目定义了通向指定目标网段的网络流量的下一跳地址, 路由条目包括系统路由和自定义路由两种类型路由器只支持静态路由, 不支持 ECMP 等价路由路由条目管理 : 专有网络创建时, 会自动创建 1 条系统路由, 用于专有网络内的云产品实例访问专有网络外的云服务. 创建交换机, 系统也会创建 1 条对应的系统路由用户可以创建和删除自定义路由条目系统路由条目由系统自动管理, 用户无法创建和删除产品优势产品优势安全隔离使用隧道技术, 达到与传统 VLAN 方式相同的隔离效果广播域隔离在网卡级别访问控制灵活的访问控制规则满足政务, 金融的安全隔离规范软件定义网络按需配置网络设置, 软件定义网络 4

6 管理操作实时生效丰富的网络连接方式支持软件 VPN 支持专线连接使用场景使用场景专有网络可以构建出一个隔离的网络环境在这个网络中可以完全掌控自己的虚拟网络, 包括选择自有 IP 地址范围划分网段配置路由表和网关等此外您也可以通过专线 /VPN 等连接方式将 VPC 与传统数据中心组成一个按需定制的网络环境, 实现应用的平滑迁移上云基础架构技术原理传统的网络虚拟化技术会将虚拟机的网络和物理网络融合在一起, 形成一个扁平的网络架构, 比如大二层网络技术在类似的解决方案中, 不同用户之间的虚拟机之间的隔离性受到很大的挑战, 存在如 ARP 欺骗广播风暴主机扫描等问题针对类似的问题, 也衍生出一些弥补的解决方案, 比如用户之间用 VLAN 进行隔离, 但是 VLAN 的数量最大只能支持到 4096 个, 网络的规模就无法上去也有的思路是采用网络设备上部署 ACL, 加上 5

宿主机上部署 ACL 来进行用户之间的隔离但是这些方案都是补偿控制为了从根本上解决用户之间的隔离, 阿里云在虚拟化网络等技术上进行了创新首先, 将虚拟机所在的网络从物理网络中分离出来, 清晰的将云中的网络分为物理网络层和虚拟网络层物理网络层是指 IDC 中物理路由器和物理交换机所在的网络层虚拟网络层是指云服务器所在的网络虚拟网络层的提出, 摆脱了物理网络层带来的限制

7 宿主机上部署 ACL 来进行用户之间的隔离但是这些方案都是补偿控制为了从根本上解决用户之间的隔离, 阿里云在虚拟化网络等技术上进行了创新首先, 将虚拟机所在的网络从物理网络中分离出来, 清晰的将云中的网络分为物理网络层和虚拟网络层物理网络层是指 IDC 中物理路由器和物理交换机所在的网络层虚拟网络层是指云服务器所在的网络虚拟网络层的提出, 摆脱了物理网络层带来的限制虚拟网络层内的用户逻辑传输内容在物理网络层都无法感知到, 并且物理网络层也不会对虚拟网络层的传输信息进行解析, 保护了用户隐私虚拟网络层完全使用软件来实现, 将数据层面和控制层面分离, 路径的决策和策略的下发交给虚拟网络层的控制器来完成, 从而实现了软件自定义网络 (Software Defined Network, 简称 SDN) 构建出一个独立的虚拟网络层只是第一步, 第二步是将虚拟网络层按照用户进行切割, 给每个用户一张独立的逻辑网络, 这个逻辑网络就是专有网络 (Virtual Private Cloud, 简称 VPC) 的基础当然也支持给一个用户多个逻辑网络图 1 虚拟化网络层如同 VLAN 技术在物理网络中可以起到隔离,VPC 技术采用 VXLAN 技术在虚拟网络层起到隔离的作用每个 VPC 都有一个独立的 VXLAN 隧道号, 一个隧道号对应着一张虚拟化网络一个 VPC 内的 ECS 之间的传输数据包都会加上 VXLAN 封装, 带有唯一的隧道 ID 标识, 然后送到物理网络上进行传输不同 VPC 内的 ECS 因为所在的隧道 ID 不同, 阿里云也不提供 VXLAN 之间的路由, 从而使得两个不同的隧道无法进行通信, 天然的进行了隔离在给用户一张独立的虚拟化网络的基础上, 阿里云还为每个 VPC 提供了独立的虚拟路由器, 虚拟交换机组件, 让用户可以更加丰富的进行组网针对有内网安全需求的用户, 还可以使用安全组技术在一个 VPC 进行更加细粒度的访问控制和隔离缺省情况下,VPC 内的 ECS 只能和本 VPC 内其他 ECS 通信, 或者和阿里云提供的云服务之间进行通信用户可以使用阿里云提供的 VPC 相关的 EIP 功能 MSTP 专线功能 VPN 专线功能, 使得 VPC 可以和 Internet 及用户自有的网络 ( 如用户办公网络用户数据中心 ) 之间进行通信发展历史发展历史发布时间发布内容 2015 年 8 月 4 日全网开放, 功能包括专有网络 (VPC) 路由器 6

8 (VRouter) 路由表 (RouteTable) 交换机 (VSwitch) 2015 年 12 月 28 日专有网络支持资源访问控制服务 (RAM) 服务条款服务条款专有网络 (VPC) 服务条款点此查看 SLA 产品 SLA VPC 不提供独立的 SLA,VPC 中云产品实例 (ECS, RDS, SLB, OCS, OSS 等 ) 适用各个产品的 SLA 和故障赔偿条款弹性公网 IP 产品概述产品概述弹性公网 IP(Elastic IP Address, 简称 EIP), 是可以独立购买和持有的公网 IP 地址资源, 能动态绑定到不同的 ECS 实例上, 绑定和解绑时无需停机独立的购买与持有您可以单独购买一个弹性公网 IP, 而不是与其他计算资源或存储资源绑定购买您可以单独持有一个公网 IP( 需要付出一定的费用 ) 它作为您账户下一个独立的资源存在与计算资源的弹性绑定您可以在需要时将该弹性公网 IP 绑定到 ECS 实例上, 使该 ECS 实例具备使用该 IP 地址进行公网通信的能力在不需要时, 可以将之解绑可配置的网络能力您可以根据您的需要来调整弹性公网 IP 的带宽值带宽的修改即时生效弹性公网 IP 可绑定的资源范围目前支持绑定弹性公网 IP 的资源, 有且只有 ECS 实例 ; 更多支持绑定弹性公网 IP 的资源, 敬请期待弹性公网 IP 与 ECS 实例网卡 7

9 弹性公网 IP 是一种 Nat IP 它实际位于阿里云的公网网关上, 通过 Nat 方式映射到了被绑定 ECS 实例的私网网卡上因此, 绑定了弹性公网 IP 的 ECS 实例的网卡上, 并不能看到这个 IP 地址但这台实例可以直接使用这个 IP 进行公网通信, 如丝般润滑 EIP 与 ECS Public IP 的比较比较点 Elastic IP Address ECS Public IP 支持的网络环境 VPC Classic 是否能够单独持有支持不支持是否支持在 ECS 上的弹性插拔支持不支持 ECS 实例网卡上是否能看到该 IP 不能能使用场景使用场景弹性公网 IP 可以绑定到一台 VPC 类型的 ECS 实例上, 可以使这台 ECS 实例具备公网通信的能力 ; 您也可以根据您的需求进一步实现这些场景 : 将这台 ECS 作为 SNAT 网关, 为同 VPC 内其他实例提供公网访问能力将这台 ECS 作为 DNAT 网关, 使同 VPC 内其他实例可以面向公网提供服务发展历史发展历史发布时间 2015 年 8 月 4 日发布内容弹性公网 IP 全网开放, 支持与专有网络类型 ECS 的绑定与解绑 2015 年 12 月 28 日弹性公网 IP 支持资源访问控制服务 (RAM) 服务条款服务条款弹性公网 IP(EIP) 服务条款点此查看 SLA 8

10 SLA 弹性公网 IP 目前不提供 SLA 私网高可用虚拟 IP 产品概述产品概述私网高可用虚拟 IP(Private High-Availability Virtual IP Address, 简称 HaVip), 是一种可以独立创建和释放的私网 IP 资源这种私网 IP 的特殊之处在于, 用户可以在 ECS 上使用 ARP 协议进行该 IP 的宣告功能描述一个 HaVip 对象可以与最多两台 ECS 实例进行绑定 ; 绑定了的实例可以通过 ARP 方式进行该私网 IP 的宣告一台 ECS 实例可以在持有一个普通私网 IP 的情况下, 可以宣告多个 HaVip 类型的私网 IP, 从而同时持有多个私网 IP 利用可在 ECS 进行私网 IP 宣告的功能, 可以实现基于 VRRP 协议的高可用方案, 包括 keepalived heartbeat 等成熟的开源方案 HaVip 可以与 EIP 进行绑定, 从而实现 HaVip 在 ECS 实例间切换时, 发向 EIP 的消息也被重定向到新的 ECS 实例上 HaVip 仅支持 VPC 网络环境 Classic 网络环境下不提供 HaVip 功能功能对比功能点 VPC 中 ECS 的普通私网 IP HaVip ECS 网卡上能否看到该 IP 可以可以是否支持用户在 ECS 上通过 ARP 宣告 IP 单个 ECS 可持有的个数用户如何控制 ECS 实例的 IP 地址不支持 ; 只能通过控制台或 API 发起修改一个 ECS 实例有且只有一个普通私网 IP 1. 可以在创建 ECS 实例时指定私网 IP 2. 可以通过控制台 /API 进行私网 IP 修改支持一个 ECS 实例可以同时持有 0-5 个 HaVip 先创建 HaVip 对象, 指定其 IP 地址 ; 然后将 HaVip 对象与 ECS 对象进行绑定 ; 在 ECS 实例上通过 ARP 协议进行私网 IP 宣告是否支持单播通讯支持支持 9

是否支持多播通讯不支持不支持是否支持广播通讯不支持不支持是否支持与 EIP 绑定不支持支持试用期说明该功能目前处于邀请试用阶段, 尚未面向全网用户开放如果您对该功能有需求且愿意参与试用, 可以与您的客户经理进行联系, 由客户经理帮您申请试用资格, 暂不接受工单等其他方式的试用申请由于试用名额有限,

11 是否支持多播通讯不支持不支持是否支持广播通讯不支持不支持是否支持与 EIP 绑定不支持支持试用期说明该功能目前处于邀请试用阶段, 尚未面向全网用户开放如果您对该功能有需求且愿意参与试用, 可以与您的客户经理进行联系, 由客户经理帮您申请试用资格, 暂不接受工单等其他方式的试用申请由于试用名额有限, 会将已开通试用账号数量与您计划用于测试的业务场景作为提供试用资格的主要判断依据, 如果没有获得试用资格还请您理解由于该功能尚未开放使用, 还请您在使用中以功能测试为主, 在生产环境中请谨慎使用状态机 HaVip 的状态机, 以及引起状态转换的操作, 见下图值得注意的是, 将 EIP 与 HaVip 进行绑定 / 解绑, 并不引起 HaVip 状态机的变化产品使用说明与相关链接快速入门使用场景 10

12 性能描述和使用限制最佳实践 API 文档发展历史使用场景使用场景 ECS 上的应用需要依赖通过 ARP 宣告私网 IP 时, 可以使用 HaVip 功能来实现场景 1: 面向内网服务的高可用场景描述 : 使用 keepalived 或者 heartbeat 等开源方案, 实现面向内网服务的高可用在该场景中, 示意图里的两台 ECS 实例, 基于 HaVip 使用 keepalived 组合成了一个带有高可用能力的面向私网的服务 VPC 内的其他的实例可以通过私网访问该服务, 服务地址是 HaVip 的 IP 地址当实例 1 发生故障时, 实例 2 接管服务且服务 IP 地址不变场景 2: 面向公网服务的高可用场景描述 : 在场景 1 的基础上, 进一步的, 实现面向公网服务的高可用 11

13 在该场景中, 基于场景 1 的基础上, 通过将 HaVip 与一个 EIP 绑定, 实现了两台 ECS 实例基于 HaVip 使用 keepalived 组合具备高可用能力的公网服务服务地址为 EIP 当实例 1 发生故障时, 实例 2 接管服务且服务 IP 地址不变场景 3: 自建 NAT 网关的高可用场景描述 : 使用 ECS 实例自建 SNAT 网关,VPC 内的服务通过该自建 SNAT 网关 ( 需要添加自定义路由, 使发向公网的消息被路由到 SNAT 网关实例上 );VPC 内的其他 ECS 实例可以通过该网关来访问公网基于 HaVip 使用 keepalive heartbeat 等开源高可用软件, 可以使该自建 SNAT 网关具备高可用能力 : 此时,HaVip 的 IP 地址作为 SNAT 网关的服务地址 ; 当实例 1 发生故障时, 实例 2 接管服务 ; 最佳实践 - 自建 SNAT 网关的高可用 12

14 性能与产品限制性能与使用限制性能 IP 切换速度不大于 10 秒具体指的是, 从用户在 ECS 中发起 ARP 进行 IP 宣告到阿里云底层系统完成 IP 切换的时间使用限制以下限制作用于 HaVip 功能公测期间全网开放时, 会有相应调整您可以在这个页面上查看到最新的产品使用限制说明数量相关限制每个用户可持有的 HaVip 对象数量限制 :5 个 ( 已删除的 HaVip 对象不计入统计 ) 每个 VPC 中可同时存在的 HaVip 对象数量限制 5 个 ( 已删除的 HaVip 对象不计入统计 ) 每个云服务器实例同时最多能绑定 5 个 HaVip 一个 HaVip 同一时间最多只能绑定 2 个云服务器实例一个 VPC 内, 指向 HaVip 对象的路由条目最多可以同时存在 5 条通信能力相关限制不能使用组播通信不能使用广播通信发展历史发展历史发布时间发布内容 2015 年 11 月 20 日 HaVip 功能上线 13

A API Application Programming Interface 见应用程序编程接口 ARP Address Resolution Protocol 地址解析协议为 IP 地址到对应的硬件地址之间提供动态映射阿里云内

A API Application Programming Interface 见应用程序编程接口 ARP Address Resolution Protocol 地址解析协议为 IP 地址到对应的硬件地址之间提供动态映射阿里云内容分发网络 Alibaba Cloud Content Delivery Network 一