Résumé : VPC

1. Introduction

plusieurs modèles de cloud

1. Nuage privé

2. Nuage public

3. Nuage hybride

2. VPC

1. Introduction

Virtual Private Cloud, appelé VPC, virtual private cloud.

VPC est un espace réseau personnalisé isolé logiquement sur le cloud public , et c'est un espace réseau que nous pouvons personnaliser.

Nous pouvons personnaliser la division des segments de réseau, les politiques d'adresse IP et de routage, etc., et mettre en œuvre une protection de sécurité multicouche via des groupes de sécurité et des ACL réseau.

Situation actuelle du BCC.

2. Concepts de base

• Concepts de base - VPC de réseau privé | Documentation Baidu Smart Cloud

3. Architecture

Chaque VPC se compose d'un segment de réseau privé , d'un routeur et d'au moins un commutateur .

4. Routeur

Le flux de données.

Transfert de trafic garanti uniquement dans le cloud privé.

3. Sous-réseau

Plusieurs sous-réseaux peuvent être créés dans un VPC.

• Division de la gamme réseau dans VPC

Rôle : gestion plus fine des ressources

• Politique de sécurité : LCA
  • Voir Baidu
• Allocation d'adresse IP de machine virtuelle
• règles de routage

4. Groupe de sécurité et ACL

1. Groupe de sécurité

Supposons qu'il existe un service sur le serveur qui écoute sur les ports 5000 et 5001, mais que le port entrant configuré par le groupe de sécurité n'est que 5000. Cela signifie-t-il que le monde extérieur ne peut accéder qu'au port 5000 mais pas au port 6000 du service ?

Oui. Si seul le port 5000 du service est ouvert dans le groupe de sécurité, mais que le port 5001 n'est pas ouvert, l'accès externe ne peut accéder qu'au port 5000 mais pas au port 5001. Si seuls certains ports sont ouverts dans le groupe de sécurité, l'accès externe ne peut accéder qu'à ces ports ouverts, mais pas aux autres ports non ouverts. Dans ce cas, si vous devez autoriser l'accès externe au port 5001 du service, vous devez ajouter une règle entrante qui autorise l'accès externe au port 5001 dans le groupe de sécurité.

Bien sûr, vous devez également faire attention à la sécurité du réseau lors de l'ajout de règles et limiter autant que possible la portée de l'accès externe pour éviter des problèmes tels que des attaques de réseau et des violations de la vie privée.

2、LCA

La liste de contrôle d'accès (Access Control List), en tant que composant de pare-feu appliqué sur un sous-réseau, aide les utilisateurs à mettre en œuvre un contrôle d'accès de sécurité au niveau du sous-réseau.

La principale différence réside dans la portée : ACL concerne les sous-réseaux (avec une portée plus large que les groupes de sécurité) et les groupes de sécurité concernent les niveaux de serveur.

5. Ligne dédiée

1. Conception

Par exemple, Baidu Cloud a trois concepts :

• Ligne louée physique : analogue à une véritable IP
• Canal de ligne dédié : bâtiment et ligne dédiée physique, une ligne dédiée peut créer plusieurs canaux, et le canal spécifie les adresses source et de destination
  • IP Internet (Baidu Smart Cloud IP).
  • IP d'interconnexion IDC (IP d'interconnexion côté utilisateur).
  • règles de routage
    • Configuration de la source, de la destination et d'autres adresses IP
    • Le saut suivant est la passerelle de ligne dédiée : côté utilisateur → Baidu Cloud VPC
    • Le saut suivant est le canal de ligne dédié : Baidu Cloud VPC → côté utilisateur
• Passerelle de ligne dédiée : analogue au VIP de qlb
   

Documentation : Mise en route - Ligne privée ET | Documentation Baidu Smart Cloud

6. Comparaison du VPN et de la ligne louée

Le VPN et la ligne louée sont des technologies utilisées pour établir un réseau privé d'entreprise et présentent les différences suivantes en termes de connexion réseau, de sécurité et de vitesse de transmission des données :

• Méthode de connexion : La ligne louée est connectée par des lignes physiques, y compris des fibres optiques et des câbles. Un VPN se connecte via Internet, généralement en utilisant la tunnellisation ou la technologie SSL.
• Bande passante : les lignes dédiées ont généralement une bande passante fixe, généralement relativement élevée, et la vitesse est stable. Le VPN est limité par la bande passante d'Internet et la bande passante du réseau local de l'utilisateur, et la vitesse est relativement lente et instable.
• Sécurité : les lignes louées sont généralement des lignes physiques dédiées avec des garanties de sécurité élevées, et il existe également plusieurs protocoles de cryptage de sécurité parmi lesquels choisir. Le VPN repose entièrement sur la technologie et les protocoles de cryptage, et nécessite une évaluation et des paramètres de sécurité pour garantir la sécurité.
• Coût : les lignes louées sont généralement coûteuses, obligeant les entreprises à acheter des lignes dédiées et d'autres ressources connexes. Un VPN n'a généralement besoin que d'acheter un compte VPN ou de s'abonner à un service VPN, et le coût est relativement faible.
• Champ d'utilisation : les lignes dédiées sont généralement adaptées aux grands scénarios de transmission de données tels que les régions et les pays, nécessitant une bande passante et des connexions stables ; les VPN peuvent répondre aux besoins d'accès et de transfert de fichiers entre les appareils situés à différents endroits, et peuvent également fournir haute confidentialité et sécurité garantie.

En résumé, en fonction des besoins de l'entreprise et de la situation réelle, vous pouvez choisir une ligne dédiée ou un VPN, ou une combinaison des deux, afin d'obtenir de meilleurs effets de connexion réseau et d'échange de données.

7. Point POP

Le point de présence, appelé POP, signifie le point de présence (pop). Un point d'accès POP est un point où deux ou plusieurs périphériques de réseau ou de communication différents établissent une connexion entre eux

POP peut être directement connecté à un ou plusieurs FAI (opérateurs de réseau) et réseaux de cloud public.

Les points POP sont généralement des commutateurs.

À l'heure actuelle, notre société et Baidu Cloud utilisent le point POP de Baidu Cloud. Autrement dit, le point de départ de la ligne dédiée est le point POP de Baidu Cloud, et l'extrémité opposée est le commutateur d'iQiyi.

De plus, POP et Baidu Cloud ont confirmé qu'ils utilisaient un commutateur avec fonction de routeur, car le routeur a trop peu de ports, seulement quelques-uns, alors que le commutateur a 32 ou 48 ports.

8. Connexion pair à pair

Peer Connection (Peer Connection) fournit aux utilisateurs des services d'interconnexion de réseau au niveau VPC, permettant aux utilisateurs de réaliser une communication de trafic entre différents VPC.

Réseau virtuel : il peut également réaliser une communication de trafic entre différents VPC.

• Baidu Cloud, Huawei Cloud et Alibaba Cloud prennent tous en charge les réseaux virtuels en Chine, mais la version internationale de Huawei Cloud ne le prend pas en charge et ne peut se connecter que via des connexions peer-to-peer.

9. Accès au réseau public

1、NAT

NAT、SNAT、DNAT

SNAT (Traduction d'adresse réseau source) : traduction d'adresse réseau source

Sa fonction est de convertir l'adresse source du paquet de données IP en une autre adresse. Principalement utilisé pour l'IP interne pour accéder au réseau externe.

Notre machine virtuelle n'est pas configurée avec une IP de réseau externe, et nous pouvons accéder au réseau externe car SNAT est configuré.

Le SNAT comprend principalement :

• Le service SNAT fourni par le cloud public (EIP doit être configuré) ;
• QLB SNAT (Qilu)
• Réseau privé

Il n'y a pas de dépendance directe entre le service SNAT et l'EIP du réseau public élastique. Le service SNAT peut utiliser l'adresse IP du réseau public élastique qui lui est attribuée pour l'accès au réseau public. Le service SNAT convertit plusieurs adresses IP du réseau privé en une adresse IP de réseau public élastique pour l'accès. Cette adresse IP de réseau public élastique peut être obtenue via l'EIP de réseau public élastique ou une adresse IP de réseau public attribuée par d'autres moyens. Normalement, le service SNAT accède au réseau externe via l'adresse IP publique élastique, car l'adresse IP publique élastique peut être gérée et configurée de manière plus flexible. Cependant, si dans certains scénarios, les utilisateurs souhaitent utiliser des adresses IP publiques allouées par d'autres méthodes pour SNAT, cela est également possible. Par conséquent, le service SNAT et le réseau public élastique EIP peuvent être utilisés ensemble, mais pas nécessairement dans une relation de coopération nécessaire.

SNAT est généralement configuré sur les routeurs

DNAT (Destination Network Address Translation) : traduction d'adresse réseau de destination

Il vise principalement le scénario d'accès à l'intranet de l'extérieur.

2. Configurez l'IP du réseau public directement sur la machine

EIP

10. Accès à l'extranet

Supposons qu'une machine virtuelle de Baidu Cloud souhaite accéder au réseau externe pour extraire des données

Il existe trois façons :

1. Si la machine n'est pas configurée avec EIP, elle peut accéder directement au SNET de Baidu Cloud pour accéder aux données externes ;

2. Configurez EIP localement, accédez aux données externes directement via EIP ;

3. Si aucune des deux réponses ci-dessus n'est vraie, il ira à l'IDC de l'entreprise pour accéder aux données externes via le SNET de l'IDC de l'entreprise, à peu près comme suit :

• Demande d'apporter l'IP locale, l'IP de destination
• Après avoir traversé le commutateur du sous-réseau, puis la table de routage, la table de routage acheminera la demande vers la passerelle de ligne dédiée, et la passerelle de ligne dédiée transférera les données vers le canal de ligne dédié, et le canal de ligne dédié atteindre le point d'accès de l'IDC de l'utilisateur homologue via les règles de routage configurées, et enfin atteindre l'IDC de l'utilisateur en interne, puis achemine les données vers la sortie SNAT, obtient les données de ressources réseau externes et revient enfin à l'adresse IP locale via une ligne dédiée

Le VPC et le centre de données privé de l'entreprise peuvent être connectés pour former un cloud hybride via des lignes dédiées ou un VPN, et l'activité d'origine peut être facilement migrée vers le cloud.

Comme le montre la figure ci-dessous, nous utilisons une ligne dédiée pour communiquer avec le réseau de l'entreprise.

L'intercommunication entre les VPC (s'il existe plusieurs VPC, des connexions d'appairage doivent être créées) s'effectue via des connexions d'appairage.

11. Commutateurs et routeurs

Les commutateurs et les routeurs sont des périphériques réseau et fonctionnent à différents niveaux du modèle OSI, comme suit :

Les commutateurs fonctionnent généralement au niveau de la couche de liaison de données (couche 2) du modèle OSI et sont responsables de l'apprentissage, du filtrage, du transfert et d'autres fonctions des adresses MAC. Le rôle principal d'un commutateur est de transférer des paquets d'une interface à une autre et d'éviter des problèmes tels que les collisions et les tempêtes de diffusion. Le commutateur peut prendre des décisions de commutation en fonction de l'adresse MAC, sans réaliser le protocole de couche supérieure, et ne traite que les trames de données, il fonctionne donc au niveau de la couche liaison de données du modèle OSI. L'aval du commutateur est la machine virtuelle ou le commutateur.

• Cependant, afin d'améliorer les performances des commutateurs, certains fabricants ont introduit des périphériques matériels capables de traiter directement les données de la couche IP. Ce périphérique est appelé "commutateur de couche 3" (Commutateur de couche 3) "(Switch Router ) . Un commutateur de couche 3 a non seulement la fonction de transfert d'un commutateur, mais effectue également le routage et le transfert en fonction de l'adresse IP, comme un routeur. Par conséquent, bien que le commutateur soit essentiellement un dispositif qui fonctionne au niveau de la couche liaison de données, certains fabricants étendent la fonction du commutateur à la couche transport et à la couche réseau en ajoutant du matériel et des logiciels . Ces commutateurs ont généralement des performances et une flexibilité supérieures et peuvent mieux répondre aux exigences de différents scénarios d'application. Il convient de noter qu'en application réelle, la fonction de routage d'un commutateur de couche 3 peut être différente de celle d'un routeur en termes de performances et de fonctions. Par conséquent, ce n'est qu'en sélectionnant l'équipement approprié en fonction des besoins réels que les performances du réseau et les exigences des applications peuvent être mieux satisfaites.

Les routeurs fonctionnent généralement au niveau de la couche réseau (couche 3) du modèle OSI et sont principalement responsables du routage et du transfert des adresses IP, du contrôle de flux, des mesures de sécurité et de la connexion aux réseaux externes. Le routeur reçoit des paquets de données d'une interface et les transmet à une autre interface en fonction de l'adresse IP de destination, réalisant la communication entre différents sous-réseaux. Le routeur peut effectuer une sélection de routage en fonction de l'adresse IP et réaliser la fonction de la couche OSI 3, il fonctionne donc au niveau de la couche réseau du modèle OSI. Pour résumer, les commutateurs et les routeurs sont des périphériques réseau, mais ils effectuent différentes tâches à différents niveaux du modèle OSI, réalisant l'échange de données au sein d'un LAN et le transfert de données entre différents sous-réseaux. L'aval du routeur est généralement un commutateur.

Bien que le commutateur soit essentiellement un dispositif qui fonctionne au niveau de la couche liaison de données, certains fabricants étendent la fonction du commutateur à la couche transport et à la couche réseau en ajoutant du matériel et des logiciels. Ces commutateurs ont généralement des performances et une flexibilité supérieures et peuvent mieux répondre aux exigences de différents scénarios d'application. Il convient de noter qu'en application réelle, la fonction de routage d'un commutateur de couche 3 peut être différente de celle d'un routeur en termes de performances et de fonctions. Par conséquent, ce n'est qu'en sélectionnant l'équipement approprié en fonction des besoins réels que les performances du réseau et les exigences des applications peuvent être mieux satisfaites.

De plus, la couche transport a-t-elle besoin d'équipements ?

La couche de transport est en fait implémentée sur le système d'exploitation de la machine virtuelle, donc aucun périphérique n'est requis. Tels que des protocoles tels que TCP et UDP. Dans les applications pratiques, la transmission du protocole de couche transport est généralement mise en œuvre par la pile de protocoles réseau du système d'exploitation, plutôt que par un dispositif séparé.

Résumé : Le flux de données est généralement : données d'application du serveur A --> commutateur --> routeur --> ligne privée --> routeur --> commutateur --> commutateur --> serveur B --> retour approximatif le long du chemin d'origine

12. Comment les données du serveur sont-elles transférées au routeur via le commutateur ?

Lorsque les données du serveur doivent être transmises au routeur via le commutateur, les étapes suivantes sont généralement nécessaires :

1. Le serveur envoie le paquet de données au commutateur et le paquet de données contient l'adresse IP de destination et l'adresse MAC source.

2. Le commutateur recherche l'adresse MAC correspondant à l'adresse de destination dans sa propre table de transfert. Si l'adresse MAC est trouvée, le paquet de données est directement transmis au port correspondant ; s'il n'est pas trouvé, le paquet de données est transmis à tous les ports et envoyé sous forme de diffusion.

3. Le routeur reçoit le paquet de données de diffusion et effectue le routage et le transfert en fonction de l'adresse IP de destination dans le paquet de données. Le routeur recherche les informations de saut suivant de l'adresse de destination dans sa propre table de routage et trouve le prochain périphérique qui recevra le paquet de données.

4. Le routeur envoie le paquet de données au périphérique du tronçon suivant (par exemple, le commutateur suivant ou le serveur de destination) et transmet le paquet de données en fonction de l'adresse MAC du périphérique suivant. Si le périphérique du saut suivant se trouve sur le réseau local (par exemple, sous le même VLAN), le routeur envoie le paquet directement à ce périphérique ; si le périphérique du saut suivant se trouve sur un autre réseau, le routeur envoie le paquet au port connecté au réseau, afin que le périphérique du saut suivant puisse recevoir et transférer le paquet de données.

Pour résumer, les données du serveur sont transmises via le commutateur, et le routeur effectue le routage et le transfert en fonction de l'adresse IP de destination, et transmet finalement le paquet de données de l'hôte source à l'hôte de destination via le transfert du périphérique intermédiaire et le requête de la table de transfert et de la table de routage.

13. Dans la configuration de la table de routage, le saut suivant est local, que signifie l'indicateur général ?

Dans la table de routage, si le saut suivant (Next Hop) est marqué comme "local", cela signifie généralement que l' adresse IP de destination se trouve dans le réseau local , c'est-à-dire que le sous-réseau où se trouve l'adresse IP de destination est le sous-réseau où le routeur actuel est localisé.

Par conséquent, dans certains cas, lorsque l'adresse IP de destination appartient au sous-réseau où se trouve l'hôte actuel, le saut suivant de l'adresse IP de destination est identifié comme "local" et le paquet de données est directement livré à l'hôte où se trouve la destination. l'adresse est localisée, aucune opération de routage n'est requise. Par exemple, lors de la communication entre deux hôtes sous le même VLAN, l'adresse IP de destination et l'adresse IP source du paquet de données appartiennent au même sous-réseau, le prochain saut du paquet de données est "local" et le paquet de données est directement livré à l'hôte de destination. Il n'a pas besoin d'être transmis par le routeur. De plus, si le routeur lui-même se trouve également dans le sous-réseau où se trouve l'adresse de destination, il marquera également le prochain saut comme "local" et enverra directement le paquet de données au sous-réseau où se trouve l'adresse de destination. Pour résumer, lorsque le saut suivant est marqué comme "local", cela signifie que l'adresse IP de destination du paquet de données se trouve dans le réseau local et peut être directement transmise à l'hôte ou au routeur de destination dans le sous-réseau de destination.

14. Dans la configuration de la table de routage, quelle est la différence entre le segment de réseau de destination et le périphérique du saut suivant ?

Le réseau de destination et le saut suivant sont deux attributs importants dans la table de routage.

Segment de réseau de destination : fait référence à la plage d'adresses IP du réseau de destination que le paquet de données doit atteindre.

• Lorsque le routeur reçoit un paquet de données, il recherche dans la table de routage en fonction de l'adresse IP de destination dans le paquet de données, trouve le réseau cible auquel appartient l'adresse et le transmet au périphérique de saut suivant correspondant.

Prochain saut : fait référence à l'adresse IP du prochain périphérique réseau auquel le paquet de données doit être transmis dans le routeur actuel.

• Lorsque le routeur reçoit un paquet de données, il recherche les informations de saut suivant dans la table de routage en fonction du réseau de destination et les transmet au périphérique de saut suivant correspondant.

En termes simples, le segment de réseau de destination est l'adresse réseau que le paquet de données doit atteindre, et le saut suivant est l'adresse du prochain périphérique réseau que le paquet de données doit traverser pour atteindre le réseau cible. Le rôle dans la table de routage est différent, mais les deux attributs sont liés l'un à l'autre. Grâce à la combinaison du segment de réseau de destination et du saut suivant, le routeur peut trouver le chemin le plus court et le plus approprié pour aider le paquet de données à traverser le réseau et finalement atteindre le périphérique cible.

15. Dans la configuration de la table de routage, que signifie le segment de réseau source 0.0.0.0/0 ?

Le segment de réseau source 0.0.0.0/0 est une représentation généralisée d'un segment d'adresse IP et est utilisé pour représenter une adresse générique ou une route par défaut.

Dans la configuration du routeur, définir le segment de réseau source sur 0.0.0.0/0 signifie que "n'importe quelle adresse peut être utilisée comme adresse source".

Dans un navigateur Web, l'adresse IP correspondant à l'adresse URL saisie est généralement définie sur la route par défaut 0.0.0.0/0.

Par conséquent, lorsqu'un routeur reçoit un paquet avec une adresse source de 0.0.0.0/0, le routeur le transmet à d'autres réseaux en tant que route par défaut.

Habituellement, un tel paquet de données provient de l'un des millions d'utilisateurs. Le routeur n'a aucun moyen de connaître sa véritable source et ne peut l'envoyer qu'au routeur suivant jusqu'à ce qu'il trouve une cible correspondante dans le réseau de destination. adresse IP. Pour résumer, le segment de réseau source 0.0.0.0/0 est une route par défaut ou une représentation d'adresse générique, qui est utilisée pour indiquer que toutes les adresses peuvent être utilisées comme adresses source. Il est généralement utilisé dans la configuration des périphériques réseau tels que les routeurs. et des pare-feu pour aider le réseau L'appareil gère correctement les paquets et transfère le trafic.

16. Connexion peer-to-peer et réseau virtuel

Des réseaux virtuels tels que le Cloud Enterprise Network d'Alibaba Cloud et le Cloud Smart Network (CSN) de Baidu Cloud.

La connexion d'appairage (Peering Connection) est une méthode de communication réseau entre VPC, qui permet à deux VPC d'établir une connexion entre des adresses IP privées. La connexion d'appairage peut réaliser l'intercommunication entre différents VPC, mais par défaut, la connexion d'appairage ne prend effet qu'entre les VPC de la même région et ne peut pas réaliser l'intercommunication interrégionale des VPC.

Cependant, Amazon AWS a lancé la fonction "Inter-Region Peering Connection" en 2019, qui permet aux VPC de communiquer entre les régions du monde. Cette connexion d'appairage entre régions doit établir une relation d'appariement entre deux régions AWS différentes avant de réaliser l'intercommunication entre deux VPC. Il convient de noter qu'il existe certaines restrictions et exigences pour les connexions d'appairage entre régions, telles que les adresses CIDR de VPC ne peuvent pas se chevaucher, et les espaces de noms de deux VPC doivent être différents. De plus, les connexions peer-to-peer interrégionales entraîneront des coûts de transmission de données, et il convient de prêter attention au calcul et à l'optimisation des coûts lors de leur utilisation. Pour résumer, la connexion d'appairage ne peut pas réaliser l'intercommunication VPC interrégionale par défaut, mais elle peut réaliser l'intercommunication VPC globale via la fonction de connexion d'appairage interrégionale.

Alibaba Cloud Enterprise Network est un service de réseau cloud entièrement géré pour la construction d'une interconnexion multi-régions et multi-VPC, qui peut réaliser une interconnexion réseau entre des VPC dans différentes régions et sous différents comptes .

Le rôle d'Alibaba Cloud Enterprise Network comprend principalement les aspects suivants :

• Interconnexion VPC entre régions et entre comptes : grâce à Alibaba Cloud Enterprise Network, les VPC de différentes régions et sous différents comptes peuvent être interconnectés pour réaliser l'intercommunication entre les réseaux privés et étendre la couverture des activités de l'entreprise.
• Simplifier l'architecture du réseau : Alibaba Cloud Enterprise Network peut remplacer les solutions d'interconnexion traditionnelles telles que le VPN et la ligne privée, réduire la complexité de l'architecture du réseau et économiser les coûts de main-d'œuvre et de matériel de l'entreprise.
• Renforcer la sécurité du réseau : Alibaba Cloud Enterprise Network prend en charge le cryptage et l'authentification des paquets de données pour garantir la sécurité et l'intégrité des données d'entreprise.
• Améliorer les performances du réseau : Alibaba Cloud Enterprise Network adopte des algorithmes de routage cloud et des dispositifs matériels hautes performances, qui peuvent fournir des services de transmission de données à faible latence et haute disponibilité, et améliorer les performances et la fiabilité du réseau.

Alibaba Cloud Enterprise Network vise principalement à résoudre le problème des entreprises interconnectant des VPC dans plusieurs régions et sous plusieurs comptes. Les VPC appartenant à des entreprises de différentes régions et sous différents comptes doivent être interconnectés pour permettre un accès et une communication mutuels entre les réseaux privés. Alibaba Cloud Enterprise Network fournit une solution d'interconnexion VPC fiable, efficace et sécurisée, qui peut aider les entreprises à simplifier l'architecture réseau, à améliorer les performances et la sécurité du réseau, et ainsi à améliorer la qualité et l'efficacité des services informatiques d'entreprise.

17. Métal nu

Bare Metal Server (Bare Metal Server) est un service informatique qui combine l'élasticité des serveurs cloud et les performances des machines physiques.

• Construit sur une seule machine physique
• Ressource exclusive, locataire unique (la machine virtuelle traditionnelle partage une machine physique avec d'autres locataires)
• Basé sur un disque cloud : récupération rapide après une panne

Par rapport aux machines physiques : pas besoin d'acheter, pas besoin de spécifier une salle informatique, pas besoin de configurer le réseau, pas besoin de personnel d'exploitation et de maintenance dédié

Par rapport aux machines virtuelles : performances supérieures, meilleure stabilité, meilleure sécurité et fonctionnalités complètes.