Security Group
- ไปที่เมนู VPC แล้วเปิด Security Group
- ที่ แท็กของบริการ ติดแท็กให้บริการตามหน้าที่ เช่น
webapiหรือdb - กด สร้างกลุ่มใหม่ ตั้งชื่อ แล้วเลือกบริการที่กลุ่มนี้ใช้ ตามแท็กหรือเลือกเป็นตัว ๆ
- กด เพิ่มกฎ เลือกโปรโตคอลและพอร์ต แล้วเลือกต้นทาง เช่น บริการที่มีแท็ก บริการตัวใดตัวหนึ่ง กลุ่มอื่น ช่วง IP หรือ VPC ที่เชื่อมไว้
- กฎมีแต่ “อนุญาต” ขาเข้าปิดไว้จนกว่าจะมีกฎเปิด ส่วนขาออกเปิดอยู่จนกว่าจะเพิ่มกฎขาออกข้อแรก
- บริการใหม่จะอยู่ใน กลุ่มเริ่มต้น ซึ่งสมาชิกคุยกันได้ทุกพอร์ต กลุ่มนี้ลบไม่ได้ แต่เอาบริการออกจากกลุ่มได้
- กลุ่มหนึ่งมีกฎได้สูงสุด 100 ข้อ
Security Group ควบคุมการเชื่อมต่อระหว่างบริการใน VPC และจาก VPC ที่เชื่อมไว้ ไม่ได้ควบคุมผู้ชมจากอินเทอร์เน็ตที่เข้าบริการสาธารณะผ่านที่อยู่เว็บ
VPC Peering
- ไปที่ VPC > VPC Peering แล้วกด ขอเชื่อม VPC
- เลือก Project ในบัญชีเดียวกัน แล้วเลือก Project ปลายทาง หรือเลือก บัญชีอื่น แล้วใส่อีเมลเจ้าของบัญชีปลายทางและ Project slug ปลายทาง จากนั้นกด ส่งคำขอ
- อีกฝั่งกด ยอมรับ
- เพิ่มกฎใน Security Group ทั้งสองฝั่ง โดยให้ต้นทางเป็น VPC ที่เชื่อมไว้ หรือกลุ่มที่อีกฝั่งแชร์ไว้
- ช่วง IP ของ 2 VPC ต้องไม่ทับกัน
- Peering ส่งทราฟฟิกได้เฉพาะระหว่างบริการที่อยู่ Region เดียวกัน ถ้าข้าม Region ให้ใช้ Network Hub
- Peering ไม่ต่อทอด: A เชื่อมกับ B และ B เชื่อมกับ C ไม่ได้แปลว่า A ถึง C
- ถ้าต้องการให้อีกฝั่งอ้างกลุ่มของคุณในกฎได้ ให้เปิด ให้ VPC ที่เชื่อมไว้อ้างกลุ่มนี้ได้ อีกฝั่งเห็นแค่ชื่อกลุ่ม ไม่เห็นบริการหรือที่อยู่ของบริการ
ถ้าเจอปัญหา
ตั้ง Security Group แล้ว 2 บริการคุยกันไม่ได้
ตรวจว่ากลุ่มของบริการฝั่งรับมีกฎขาเข้าที่ระบุฝั่งส่ง (ด้วยแท็ก บริการ หรือกลุ่ม) และพอร์ตถูกต้อง ถ้าฝั่งส่งมีกฎขาออกอยู่แล้ว จะออกได้เฉพาะที่กฎขาออกอนุญาต
Peering ใช้งานอยู่ แต่บริการที่อยู่คนละ Region คุยกันไม่ได้
Peering ใช้ได้เฉพาะภายใน Region เดียวกัน ให้ต่อทั้งสอง VPC เข้า Network Hub แทน (ดู Network Hub)
Peering ขึ้นว่าใช้งานอยู่ แต่เชื่อมต่อไม่ได้
Peering ไม่ได้เปิดอะไรให้เอง เพิ่มกฎใน Security Group ที่ต้นทางเป็น VPC ที่เชื่อมไว้ หรือกลุ่มที่อีกฝั่งแชร์ไว้
ขอเชื่อม VPC ไม่ได้เพราะช่วง IP ทับกัน
ย้ายช่วง IP ของ VPC ฝั่งใดฝั่งหนึ่งให้ไม่ทับกันที่ ตั้งค่า VPC (ดู VPC และ Subnet) แต่บริการใน Project นั้นจะหยุดชั่วคราวระหว่างย้าย จึงควรวางช่วง IP ตั้งแต่ก่อนสร้างบริการ (ดู Landing zone)