云架構(gòu)設(shè)計實戰(zhàn) 課件 單元 3 網(wǎng)絡(luò)服務(wù)

云計算技術(shù)

單元3

網(wǎng)絡(luò)服務(wù)單元概述

本單元介紹VPC（VirtualPrivateCloud)亞馬遜虛擬私有云AmazonVPC

自定義虛擬網(wǎng)絡(luò)AmazonWebServices資源自定義虛擬網(wǎng)絡(luò)環(huán)境包括IP地址范圍、創(chuàng)建子網(wǎng)以及配置在數(shù)據(jù)中心和VPC之間創(chuàng)建虛擬專用網(wǎng)絡(luò)(VPN)連接自定義AmazonVPC網(wǎng)絡(luò)配置學(xué)習(xí)目標知識點什么是VPCVPC的CIDRInternet網(wǎng)關(guān)路由表彈性IP(EIP，ElasticIP)安全組NACL（NetworkAccessControlList）網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT，NetworkAddressTranslation）技能點創(chuàng)建VPC配置路由表EC2連接到VPC彈性IP的申請和使用配置安全組配置NACL配置NAT配置VPC對等連接項目1使用AmazonVPC項目描述掌握AmazonWebServices的網(wǎng)絡(luò)服務(wù)（VPC）把原有的IT系統(tǒng)遷移至云第一階段建立一個帶公有子網(wǎng)和私有子網(wǎng)的VPC第二個階段在VPC中增加私有子網(wǎng)，配置NAT，實現(xiàn)私有子網(wǎng)訪問Internet任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC1.AmazonVPCAmazonVirtualPrivateCloud，虛擬私有云，通過AmazonWebServices賬號登錄亞馬遜云科技云來定義的虛擬專用網(wǎng)絡(luò)用戶能在VPC上創(chuàng)建實例，分配網(wǎng)絡(luò)地址范圍，劃分子網(wǎng)，配置路由、設(shè)置安全組和網(wǎng)絡(luò)訪問控制列表2.VPC的CIDRClasslessInterdomainRouting譯為無類別域間路由CIDR用VLSM(可變長子網(wǎng)掩碼)，根據(jù)用戶需要來分配IP地址VPC需要一個連續(xù)的IP地址空間，而這個地址空間采用CIDR和VLSM技術(shù)任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC3.子網(wǎng)子網(wǎng)類似于傳統(tǒng)網(wǎng)絡(luò)中的VLAN，每個子網(wǎng)都有自己的CIDR，且必須是VPCCIDR的子集

AmazonWebServices子網(wǎng)保留網(wǎng)段的前四個IP地址和最后一IP個地址子網(wǎng)地址一旦確定不能更改，子網(wǎng)不能跨AZ，同一個VPC中的子網(wǎng)地址不能重疊4.Internet網(wǎng)關(guān)（IGW）IGW，InternetGateway是一種水平擴展的、冗余的高可用的VPC組件IWG有兩個功能：一是為VPC路由表提供通往Internet上的目標地址二是為VPC上公有子網(wǎng)上的實例的IPV4地址提供網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）任務(wù)1知識預(yù)備與方案設(shè)計5.路由表VPC資源中的路由器是軟件實現(xiàn)，隱性存在，只需要維護路由表即可路由表包含一組路由規(guī)則，每條路由信息包含目的網(wǎng)絡(luò)和目標地址項目1使用AmazonVPCVPC的每個子網(wǎng)都要關(guān)聯(lián)一個路由表，沒有路由表關(guān)聯(lián)的子網(wǎng)將使用隱式路由表客戶路由表由用戶建立，可以編輯、可以刪除任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC6.安全組安全組是實例的虛擬防火墻，基于協(xié)議、端口號和IP地址過濾進出實例的流量對于安全組，可以制定入站規(guī)則和出站規(guī)則來控制出入實例的流量安全組的基本規(guī)則（類似于NACL）如下：（1）只能往安全組制定允許規(guī)則，不能制定拒絕規(guī)則（2）入站規(guī)則和出站規(guī)則可以分別制定（3）規(guī)則是基于協(xié)議和端口號來過濾信息（4）安全組是有狀態(tài)的（5）新創(chuàng)建的安全組是沒有入站規(guī)則的，不允許任何信息流入，直到創(chuàng)建入站規(guī)則任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC6.安全組安全組是實例的虛擬防火墻，基于協(xié)議、端口號和IP地址過濾進出實例的流量對于安全組，可以制定入站規(guī)則和出站規(guī)則來控制出入實例的流量安全組的基本規(guī)則（類似于NACL）如下：（6）默認情況下，安全組包含出站規(guī)則，即允許所有信息流出（7）連接到同一個安全組的實例不能彼此通信，除非建立規(guī)則（8）安全組是被關(guān)聯(lián)到網(wǎng)絡(luò)接口上的，啟動實例時可以制定或改變（9）安全組的名字在所在的VPC中必須是唯一的（10）一個安全組只能應(yīng)用在所在的VPC中任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC7.網(wǎng)絡(luò)訪問控制列表NACL，NetworkAccessControlList負責(zé)VPC的安全,含入站和出站規(guī)則每個VPC都有一個默認的可以修改但無法刪除的NACL，它與VPC共生網(wǎng)絡(luò)訪問控制列表遵循如下規(guī)則：VPC自動連接一個的默認NACL，一般情況下它允許所有的入站和出站流量用戶可以創(chuàng)建自己的NACL，默認情況下用戶NACL拒絕所有的入站和出站流量每個VPC中的子網(wǎng)必須連接到一個NACL，如果沒有明確指明就連接到默認NALC一個NACL可以連接到多個子網(wǎng)，但一個子網(wǎng)在一個時間里只能連接一個NACL一個NACL包含大量的規(guī)則，規(guī)則的數(shù)量最多可以達到32766制定規(guī)則的原則是在保證子網(wǎng)安全的情況下使用最少的規(guī)則NACL是無狀態(tài)的，它不跟蹤流經(jīng)它的流量狀態(tài)任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC8.彈性網(wǎng)絡(luò)接口Elasticnetworkinterface，ENI是VPC的邏輯組件，表示虛擬網(wǎng)絡(luò)接口每個實例必須有一個默認的網(wǎng)絡(luò)接口（主要的ENI）可以單獨創(chuàng)建ENI，然后可附加到實例上或者從實例上分離再將它附加到其它實例上9.彈性IPElasticIPAddress，EIP是一個靜態(tài)公有IPV4地址EIP在最初分配時沒有綁定任何實例，可以連接將它分配給一個實例或網(wǎng)絡(luò)接口使用EIP的好處是，當(dāng)實例發(fā)生故障時，可以將該EIP重新分配給另一個實例一個EIP一個時間只能分配給一個實例或網(wǎng)絡(luò)接口任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC10.NATNetworkAddressTranslation，網(wǎng)絡(luò)地址轉(zhuǎn)換將私網(wǎng)IP轉(zhuǎn)換成公網(wǎng)IP，讓私網(wǎng)的主機訪問公網(wǎng)AmazonWebServices通過NAT實例和NAT網(wǎng)關(guān)實現(xiàn)地址轉(zhuǎn)換，稱它們?yōu)镹AT設(shè)備NAT設(shè)備允許私有子網(wǎng)的實例訪問Internet，不允許反向訪問使用NAT設(shè)備的路由表要增加一條路由：凡是目的地址是外網(wǎng)的，全部轉(zhuǎn)發(fā)到NAT設(shè)備任務(wù)1知識預(yù)備與方案設(shè)計項目1使用AmazonVPC11.方案設(shè)計在亞馬遜云科技的北京區(qū)中創(chuàng)建一個帶有單個公有子網(wǎng)的VPC命名為VPCEXER，IPv4CIDR10.1.0.0/16公有子網(wǎng)命名為PUBSUB，IPv4CIDR10.1.1.0/24，AZ：cn-north-1a任務(wù)2創(chuàng)建VPC登錄AmazonWebServices管理控制臺在中國（北京）區(qū)域（cn-north-1）創(chuàng)建在VPC

EXER的VPC在VPCEXER中創(chuàng)建名為PUBSUB的公有子網(wǎng)項目1使用AmazonVPC1.創(chuàng)建VPC項目1使用AmazonVPC（1）登錄控制臺（3）在VPC控制面板中單擊“啟動VPC向?qū)А卑粹o（2）使用VPC服務(wù)項目1使用AmazonVPC（4）選擇“創(chuàng)建一個帶單個公有子網(wǎng)的VPC”（5）設(shè)置VPC的CIDR及名稱2.查看VPC的Name和VPCID項目1使用AmazonVPC在VPC控制面板單擊“您的VPC”，在“Name”列表中選擇“VPCEXER”3.查看子網(wǎng)信息項目1使用AmazonVPC在VPC控制面板單擊“子網(wǎng)”，在子網(wǎng)“Name”列表中選擇“PUBSUB”任務(wù)3配置路由表項目1使用AmazonVPC1.檢索路由表在VPC控制面板單擊“路由表”，在“篩選路由表”框中按照VPC：vpc-07bb1e4146d0fb111條件輸入，查到兩個路由表項目1使用AmazonVPC2.查看客戶路由表單擊客戶路由表ID，看到“路由”中有兩條記錄項目1使用AmazonVPC3.查看主路由表單擊“路由表”“主”列中顯示為“是”的路由表ID項目1使用AmazonVPC4.查看Internet網(wǎng)關(guān)在VPC控制面板單擊“互聯(lián)網(wǎng)網(wǎng)關(guān)”，在搜索框中搜索VPCID任務(wù)4EC2實例連接到VPC項目1使用AmazonVPC在PUBSUB的公有子網(wǎng)中創(chuàng)建一個MicrosoftWindowssever2019Base實例該實例命名為vpc_exer_win，vCPU為1，內(nèi)存為1GB類型為通用型系列，使用EBS存儲項目1使用AmazonVPC1.啟動EC2實例2.選擇一個Amazon系統(tǒng)映像(AMI)3.選擇實例類型4.配置實例詳細信息項目1使用AmazonVPC5.添加存儲6.添加標簽項目1使用AmazonVPC7.配置安全組。選擇創(chuàng)建一個新的安全組，并輸入名稱8.核查實例啟動項目1使用AmazonVPC9.為實例vpc_exer_win創(chuàng)建新密鑰對10.查看實例vpc_exer_win11.查看實例vpc_exer_win詳細信息任務(wù)5彈性IP的申請和使用項目1使用AmazonVPC2.單擊“添加標簽”，單擊“分配”3.分配結(jié)果打開VPC控制面板，選擇左側(cè)導(dǎo)航“彈性IP”項目1使用AmazonVPC4.關(guān)聯(lián)彈性IP地址6.在EC2服務(wù)中查看實例vpc_exer_win詳細信息5.選擇關(guān)聯(lián)“實例”7.用單元2的方法遠程連接到實例vpc_exer_win任務(wù)6配置NAT項目1使用AmazonVPC1.VPCEXER中添加私有子網(wǎng)10.1.3.0/24任務(wù)6進入該項目的第二部分,擴充VPCEXER（1）在VPC控制臺左側(cè)導(dǎo)航欄中選擇“子網(wǎng)”單擊“創(chuàng)建子網(wǎng)”項目1使用AmazonVPC（2）按圖選擇和填寫后，單擊右下角“創(chuàng)建子網(wǎng)”（3）查看結(jié)果，按照VPCID搜索，看到公有子網(wǎng)PUBSUB和私有子網(wǎng)PRISUB項目1使用AmazonVPC2.私有子網(wǎng)中添加實例winpri（1）如圖中網(wǎng)絡(luò)選擇VPCEXER，子網(wǎng)選擇PRISUB實例winpri與實例vpc_exer_win配置選項相同，操作步驟參考前面的內(nèi)容但請注意下面三個步驟項目1使用AmazonVPC（2）“步驟5”中設(shè)置實例名稱為winpri（3）為實例winpri選擇創(chuàng)建新密鑰對，并下載密鑰對（4）實例創(chuàng)建成功項目1使用AmazonVPC3.創(chuàng)建NAT網(wǎng)關(guān)（1）創(chuàng)建NAT網(wǎng)關(guān)（2）設(shè)置NAT項目1使用AmazonVPC3.創(chuàng)建NAT網(wǎng)關(guān)（3）NAT網(wǎng)關(guān)詳細信息如圖，記錄該NATID：nat-08cea39960a39d337項目1使用AmazonVPC4.路由設(shè)置（1）打開VPC控制面板左側(cè)“路由表”依VPCID篩選出VPCEXER的路由表（2）創(chuàng)建路由規(guī)則項目1使用AmazonVPC4.路由設(shè)置（3）選擇“添加路由”按圖選擇，單擊“保存更改”（4）結(jié)果如圖項目1使用AmazonVPC5.使用網(wǎng)絡(luò)訪問控制列表保護子網(wǎng)（1）查看VPCEXER的網(wǎng)絡(luò)ACL（2）查看入站規(guī)則項目1使用AmazonVPC5.使用網(wǎng)絡(luò)訪問控制列表保護子網(wǎng)（3）查看出站規(guī)則（4）查看子網(wǎng)關(guān)聯(lián)VPCEXER默認網(wǎng)絡(luò)ACL關(guān)聯(lián)公有子網(wǎng)PUBSUB和私有子網(wǎng)PRISUB項目1使用AmazonVPC6.私有子網(wǎng)實例winpri通過NAT網(wǎng)關(guān)訪問Internet（1）遠程桌面連接公有子網(wǎng)實例vpc_exer_win（2）解密winpri管理員administrator密碼項目1使用AmazonVPC6.私有子網(wǎng)實例winpri通過NAT網(wǎng)關(guān)訪問Internet（3）通過vpc_exer_win連接winpri項目1使用AmazonVPC6.私有子網(wǎng)實例winpri通過NAT網(wǎng)關(guān)訪問Internet（4）連通winpri（5）在winpri實例上，通過NAT訪問Internet項目2對等連接項目描述使用VPCPeering（對等連接）技術(shù)實現(xiàn)不同VPC之間的互聯(lián)互通本項目在項目一的基礎(chǔ)上用原有賬戶創(chuàng)建一個帶單獨公有子網(wǎng)的VPC使用對等連接和原來的VPC連接起來，實現(xiàn)互訪項目2對等連接任務(wù)1知識預(yù)備與方案設(shè)計1.對等連接VPCVPCPeering是將兩個VPC連接起來，對等連接之間的通信是私有網(wǎng)絡(luò)間的通信不同VPC中的實例相互通信就像在同一個網(wǎng)絡(luò)中彼此訪問網(wǎng)絡(luò)中的數(shù)據(jù)在AmazonWebServices全球網(wǎng)絡(luò)中加密傳輸，不經(jīng)過互聯(lián)網(wǎng)，避免了DDOS攻擊，保障數(shù)據(jù)安全項目2對等連接2.方案設(shè)計在亞馬遜云科技北京區(qū)（cn-north-1