Pengisian semula Alibaba Cloud: Konflik segmen rangkaian rangkaian proprietari VPC menyebabkan IP gagal menyelesaikan masalah penghalaan dan pembahagian segmen subnet
Semasa membina seni bina awan peringkat perusahaan atau rangkaian awan silang/hibrid, banyak pasukan telah menghadapi pemandangan gila ini:
Firewall pada garis terbuka dikonfigurasi, dan kumpulan keselamatan dilepaskan sepenuhnya. Jadual penghalaan kelihatan jelas, tetapi antara dua VPC atau antara awan dan ruang komputer tempatan (IDC) adalah "ping tidak tersedia" dan "routing tidak tersedia".
Sebagai pengoptimum laman web SEO, saya telah mempelajari banyak masalah rangkaian yang mendasari yang mempengaruhi ketersediaan dan prestasi pemuatan laman web. Spider mesin pencari sangat sensitif terhadap penyambungan dan kelewatan tindak balas (TTFB) rangkaian ketika merangkak halaman web. Sekiranya penggunaan API intranet tamat kerana pertindihan segmen rangkaian VPC (rangkaian proprietari) atau konflik perutean dalam seni bina perkhidmatan mikro di awan, halaman depan akan sering membuang ralat 502/504. Ini bukan sahaja secara langsung akan menurunkan skor Core Web Vitals, tetapi juga membolehkan mesin pencari menentukan bahawa laman web ini tidak stabil, dan kemudian memotong penyertaan laman web dan kedudukan kata kunci.
Hari ini, kita akan bermula dari pertempuran sebenar di Internet dan menganalisis secara mendalam
Konflik segmen rangkaian rangkaian proprietari Alibaba Cloud VPC menyebabkan IP tidak dapat dihalakan
, Dan mengajar anda bagaimana menjalankan sains
Pembahagian segmen rangkaian dan perancangan subnet (VSwitch)
。
1. Mengapa konflik segmen rangkaian VPC menyebabkan IP gagal dihalakan?
Untuk memahami masalah ini, kita mesti terlebih dahulu mengetahui logik penghalaan asas Alibaba Cloud proprietari (VPC).
1. Prinsip pemadanan awalan terpanjang (Longest Prefix Match)
Jadual penghalaan dalaman Alibaba Cloud VPC dan versi perusahaan Cloud Enterprise Network (CEN), gerbang VPN, dan gerbang talian khusus (VBR) mengikuti peraturan inti komunikasi rangkaian ketika meneruskan paket data --
Perlawanan awalan terpanjang
。
Apabila jadual perutean sistem dan jadual perutean khusus mempunyai segmen rangkaian beberapa sasaran yang bertindih, penghala akan memberi keutamaan untuk memilih laluan dengan subnet mask terpanjang (iaitu julat yang paling tepat dan spesifik) untuk diteruskan.
2. Tiga senario khas konflik segmen rangkaian
Senario A:VPC bertindih sepenuhnya dengan segmen rangkaian IDC tempatan. Contohnya, VPC di Alibaba Cloud memilih 192.168.0.0/16, dan bilik komputer tempatan perusahaan (IDC) kebetulan 192.168.0.0/16. Apabila anda membuat talian khusus (VBR) atau IPsec-VPN untuk cuba berkomunikasi antara satu sama lain, jadual penghalaan dalaman VPC akan mencerna semua lalu lintas 192.168.x.x.x di dalam VPC secara lalai, dan sama sekali tidak akan menghantar paket data ke pintu masuk talian khusus, menyebabkan kedua-dua belah pihak secara langsung "terputus".
Senario B: Segmen rangkaian beberapa VPC di awan melintasi (segmen rangkaian bertindih/mengandungi). Segmen rangkaian VPC-A adalah 10.0.0.0/16, dan segmen rangkaian VPC-B adalah 10.0.1.0/24. Apabila kedua-dua hujung disambungkan melalui Cloud Enterprise Network (CEN) atau sambungan peer-to-peer, lalu lintas yang VPC-A mengakses 10.0.1.100 dapat dihantar
Pada masa lalu, lalu lintas yang dikembalikan oleh VPC-B dipintas oleh laluan sambungan langsung tempatannya sendiri, membentuk "akses sehala" atau "kehilangan paket langsung".
Senario C: Bertentangan dengan segmen rangkaian penahan Alibaba Cloud atau segmen rangkaian kontena (K8s/ACK) Beberapa perkhidmatan hosting di bahagian bawah Alibaba Cloud (seperti segmen Pod perkhidmatan kontena ACK, segmen rangkaian Perkhidmatan, atau segmen rangkaian pemeriksaan kesihatan SLB 100.64.0.0/10) Perlu menempati ruang rangkaian peribadi tertentu. Sekiranya anda merancang secara membuta tuli semasa membuat VPC, yang menyebabkan konflik antara segmen Pod dan segmen VSwitch nod, IP Pod antara kontena tidak dapat menyelesaikan perutean rentas nod.
2. Kaedah empat langkah penyiasatan mendalam mengenai konflik segmen rangkaian VPC dan kelainan penghalaan
Apabila anda menemui "IP tidak dapat dihalakan" atau "rangkaian tidak dapat dijangkau" di awan, jangan ubah kumpulan keselamatan secara membuta tuli. Sebaiknya ikuti proses standard berikut untuk menyiasat:
Langkah Pertama: Semak Julat CIDR VPC dengan Segmen Internet
Log masuk ke Alibaba Cloud Console dan cari
VPC rangkaian proprietari
, Periksa kedua-dua hujung konflik
Segmen Utama (CIDR Utama)
Dengan
Segmen Rangkaian Tambahan (CIDR)
。
Petua operasi dan penyelenggaraan dan infrastruktur: Sebelum memeriksa seni bina rangkaian dan bersiap untuk melaksanakan pembinaan semula segmen rangkaian atau membina VPC baru, pastikan status operasi dan penyelenggaraan akaun di awan adalah normal. Sekiranya projek baru syarikat dilancarkan, pengembangan nod geografi baru atau pembelian komponen gateway talian/VPN khusus, sila sahkan penyelesaian pengisian semula akaun Alibaba Cloud atau baki akaun mencukupi. Elakkan penutupan gerbang VPN, gangguan saluran khusus atau penguncian jadual penghalaan kerana tunggakan sumber awan, sehingga menyembunyikan hasil penyelidikan konflik segmen rangkaian yang sebenarnya.
Langkah 2: Analisis keutamaan dan perincian jadual routing (Route Table)
Masukkan halaman jadual penghalaan VPC dan fokus pada dua jenis item penghalaan berikut:
Sistem Laluan (Sistem Laluan): Biasanya ia adalah laluan langsung 10.0.0.0/8, 172.16.0.0/12 atau 192.168.0.0/16, dengan keutamaan tertinggi dan tidak dapat dihapus.
Custom Route: Mengandungi penghalaan ke CEN, VBR, gateway VPN, gateway NAT atau contoh ECS. Periksa sama ada terdapat "segmen rangkaian sasaran yang sama tetapi lompatan seterusnya berbeza", atau "laluan keutamaan tinggi menutupi IP tujuan".
Langkah 3: Gunakan Perkhidmatan Pintar Rangkaian Awan Alibaba (NIS) untuk analisis jalan
Alibaba Cloud secara rasmi menyediakan alat Diagnostic yang sangat hebat --
Perkhidmatan Perisikan Rangkaian NIS (Perkhidmatan Perisikan Rangkaian)
:
Buka konsol NIS, pilih analisis laluan.
Masukkan alamat IP ECS sumber dan alamat IP terminal destinasi (seperti bilik komputer IDC atau ECS di VPC lain).
Klik untuk memulakan
Menurut analisis, NIS secara automatik akan memetakan jalur lalu lintas dan dengan jelas menunjukkan di mana paket data berada di simpul penghalaan dibuang kerana "konflik segmen rangkaian/kekurangan perutean".
Langkah 4: Gunakan di dalam ECS
jejak laluan
Atau
MTR
Diagnosis
Log masuk ke sumber Linux ECS dan laksanakan arahan berikut:
Bash
# Langkah mana di jalan diagnosis yang hilang
Traceroute-n <Objektif IP>
# Atau gunakan MTR untuk melihat kadar kehilangan paket dan tindak balas nod
Mtr-g <Objektif IP>
Sekiranya lalu lintas dihentikan sebaik sahaja keluar dari mesin (lompatan pertama) atau sebaik sahaja pintu masuk tiba, dan lompatan berikutnya tidak memasuki sistem VPC, pada dasarnya dapat ditentukan bahawa konflik segmen rangkaian menyebabkan pemintas perutean tempatan.
3. Bagaimana merancang segmen rangkaian VPC dan subnet pembahagian secara saintifik (VSwitch)?
"Lebih baik mengambil langkah berjaga-jaga untuk melawan api selepas itu." Cara yang paling teliti untuk menyelesaikan konflik segmen rangkaian adalah dengan menetapkan standard pada tahap awal pembinaan perniagaan
Sistem pengurusan alamat IP (IPAM) di awan
。
Terdapat tiga blok standard utama untuk segmen rangkaian peribadi yang dibenarkan oleh Alibaba Cloud VPC:
10.0.0.0/8(16,777,216 IP)
172.16.0.0/12(1,048,576 IP)
192.168.0.0/16(65,536 IP)
1. Peraturan keemasan untuk pembahagian segmen rangkaian peringkat perusahaan
Peraturan 1: Mengikut ketat segmen rangkaian pengasingan persekitaran (Env)
Jangan sekali-kali menggunakan CIDR yang sama dalam persekitaran pengeluaran (Prod), persekitaran ujian (Ujian) dan persekitaran pembangunan (Dev)! Pelan yang disyorkan adalah seperti berikut:
Persekitaran pengeluaran VPC(Prod): menggunakan 10.1.0.0/16
Ujian persekitaran VPC(Test): menggunakan 10.2.0.0/16
Persekitaran pembangunan VPC(Dev): menggunakan 10.3.0.0/16
Bilik komputer IDC luar talian: tempahan bersatu 10.100.0.0/16
Peraturan 2: Simpan ruang pengembangan yang cukup (topeng dibiarkan kosong)
Semasa memperuntukkan segmen rangkaian ke VPC tertentu, gunakan
/16
Topeng (mengandungi 65,535 IP), tetapi hanya beberapa yang dibuat pada awalnya
/24
Suis topeng (VSwitch, mengandungi 254 IP). Segmen subnet yang tersisa tetap kosong untuk pengembangan perniagaan masa depan atau akses ke kluster kontena.
Peraturan 3: Pembahagian subnet di seluruh zon dan hierarki perniagaan
VPC mengandungi beberapa suis (VSwitch), dan setiap VSwitch hanya boleh menjadi milik tertentu
Zon yang ada (Zon)
。 Dianjurkan untuk mengikuti"
Tahap perniagaan kawasan yang ada
"Untuk memotong subnet:
Nama subnet
Kawasan yang ada
Contoh subnet CIDR
Peranan dan perancangan
VSw-Web-Zon
A
Kawasan yang ada A
10.1.1.0/24
Simpan gerbang aplikasi, Nginx, pelayan web depan
VSw-App-ZoneA
Kawasan yang ada A
10.1.2.0/24
Simpan perkhidmatan mikro belakang, nod perniagaan Java/Node.js
Vsw-DB-ZoneA
Kawasan yang ada A
10.1.3.0/24
Simpan pangkalan data RDS, nod cache Redis
VSw-Web-ZoneB
Kawasan yang ada B
10.1.11.0/24
Pemulihan bencana merentas kawasan yang boleh digunakan, sesuai dengan lapisan web ZoneA
VSw-App-ZoneB
Kawasan yang ada B
10.1.12.0/24
Pemulihan bencana di seluruh kawasan yang tersedia, sesuai dengan lapisan Aplikasi ZoneA
Vsw-DB-ZoneB
Kawasan yang ada B
10.1.13.0/24
Pemulihan bencana di seluruh kawasan yang boleh digunakan, sesuai dengan lapisan DB ZoneA
Selepas pembahagian ini, jadual penghalaan tidak hanya sangat jelas, tetapi juga digabungkan dengan peraturan kumpulan keselamatan, pertahanan keselamatan mendalam "hanya membenarkan subnet Web mengakses subnet Aplikasi, dan hanya subnet Aplikasi yang dibenarkan mengakses subnet DB" dapat dicapai dengan mudah.
4. Sekiranya segmen rangkaian bertentangan, bagaimana memperbaikinya dengan lancar?
Sekiranya perniagaan anda sudah berjalan, tetapi kerana alasan sejarah, VPC bertindih dengan segmen rangkaian IDC tempatan, kos membina semula VPC dan memindahkan data sangat tinggi. Penyelesaian berikut boleh digunakan pada masa ini:
1. Gunakan segmen rangkaian tambahan VPC (CIDR Sekunder)
Alibaba Cloud VPC menyokong pengembangan CIDR baru tanpa mempengaruhi perniagaan yang ada.
Pada konsol VPC, tambahkan segmen rangkaian tambahan yang tidak bertentangan (contohnya 172.18.0.0/16).
Suis baru (VSwitch) di bawah segmen rangkaian tambahan ini.
Secara beransur-ansur memindahkan atau mengikat perkhidmatan yang memerlukan komunikasi rentas rangkaian ke nod VSwitch yang baru.
2. Gunakan gerbang NAT untuk pemetaan alamat IP (Private NAT)
Sekiranya anda tidak dapat mengubah CIDR pada akhir mana pun, anda boleh menggunakan
Gerbang NAT Rangkaian Peribadi (Private NAT)
Untuk mewujudkan interoperabiliti segmen rangkaian yang bertindih.
Melalui SNAT (penukaran alamat sumber) dan DNAT (penukaran alamat tujuan), IP sebenar yang bertentangan (seperti 192.168.1.100) dipetakan ke IP maya neutral (seperti 10.254.1.100).
Trafik merentas domain hanya perlu mengakses IP neutral yang dipetakan untuk menyelesaikan penghalaan, sehingga dapat dengan bijak melewati konflik yang disebabkan oleh pencocokan awalan terpanjang.
5. Ringkasan perspektif SEO: Pangkalan rangkaian menentukan had atas laman web
Banyak pengurus laman web sering hanya memperhatikan pengoptimuman kod front-end dan pembinaan kandungan, tetapi mengabaikan kesan infrastruktur pengkomputeran awan pada SEO
Kesan yang mendalam.
Intranet yang tinggi dapat digunakan untuk menjamin kadar tangkapan yang tinggi: Pembahagian segmen rangkaian VPC yang berpatutan dan jadual penghalaan yang jelas adalah prasyarat untuk memastikan komunikasi serentak dan latensi rendah perkhidmatan mikro. Rangkaian dalaman tidak terganggu, halaman depan dapat dimuat dalam beberapa saat, dan labah-labah mesin pencari dapat menyelesaikan perayapan indeks dengan cekap.
Elakkan tidak dapat digunakan yang disebabkan oleh pembinaan semula seni bina: Setelah rangkaian lumpuh atau terpaksa ditutup kerana konflik segmen rangkaian, ralat 500/502 yang dihasilkan di seluruh laman web akan merosakkan kepercayaan yang ditubuhkan oleh mesin pencari dan menyebabkan pengumpulan kedudukan kata kunci jangka panjang. sekali.
Dana operasi dan penyelenggaraan memastikan kestabilan awan: operasi infrastruktur yang stabil tidak dapat dipisahkan dari pengurusan operasi dan penyelenggaraan sumber awan perusahaan yang standard. Semasa menjalankan perancangan VPC, pembinaan rangkaian perusahaan awan, akses talian khusus atau pengembangan komponen rangkaian, susun perancangan anggaran terlebih dahulu untuk memastikan penyelesaian pengisian semula akaun Cloud Alibaba, yang dapat dengan berkesan mencegah gangguan di seluruh laman web yang disebabkan oleh penutupan komponen rangkaian awan kerana tunggakan risiko.
Sekiranya anda memahami prinsip penghalaan VPC dan melakukan perancangan segmen rangkaian subnet yang berpandangan ke hadapan, anda boleh membina pangkalan rangkaian awan yang sangat tersedia dan mudah dikembangkan untuk laman web, dan mengawal operasi laman web yang stabil dan pembinaan eselon SEO!
