ວາງເຄືອຂ່າຍ: ເປີດແຕ່ໜ້າຮ້ານ ເກັບຂໍ້ມູນໄວ້ພາຍໃນ

ເປີດສູ່ອິນເຕີເນັດສະເພາະສ່ວນທີ່ຜູ້ຊົມຕ້ອງເຂົ້າເຖິງ ໃຫ້ແອັບ ແລະ ຖານຂໍ້ມູນຢູ່ເທິງ IP ພາຍໃນ ແລະ ໃຊ້ Security Group ກຳນົດວ່າໃຜລົມກັບໃຜໄດ້

ອິນເຕີເນັດຜູ້ເຂົ້າຊົມເວັບVPC 10.10.0.0/16 · shop-prodSubnet web10.10.1.0/24ContainerເປີດຈາກອິນເຕີເນັດwebSubnet app10.10.2.0/24Containerສະເພາະພາຍໃນ VPCapiSubnet data10.10.3.0/24ຖານຂໍ້ມູນປິດ Public endpointdbHTTPS:8080:5432Security Groupອະນຸຍາດສະເພາະລູກສອນ ນອກນັ້ນປິດໝົດNAT GatewayIP ຄົງທີ່ຂອງທ່ານເອງທະນາຄານ / ຄູ່ຄ້າໃສ່ IP ທ່ານໃນ whitelist
ຜູ້ຊົມເຂົ້າເຖິງໄດ້ພຽງຊັ້ນເວັບ ຊັ້ນແອັບ ແລະ ຖານຂໍ້ມູນເອີ້ນກັນຜ່ານ IP ພາຍໃນເທິງພອດທີ່ Security Group ເປີດໄວ້ ແລະ ຊັ້ນແອັບອອກໄປຫາຄູ່ຄ້າດ້ວຍ IP ຄົງທີ່ IP ດຽວ

ແບ່ງ VPC ເປັນຊັ້ນ

  • Web: Container ທີ່ຜູ້ຊົມເຂົ້າເຖິງ ຕັ້ງການເຂົ້າເຖິງໃຫ້ເປີດຈາກອິນເຕີເນັດ
  • App: API ແລະ ວຽກເບື້ອງຫຼັງ ຕັ້ງການເຂົ້າເຖິງເປັນສະເພາະພາຍໃນ VPC ແລະ ເປີດ Invoker token ນຳຖ້າຕ້ອງການໃຫ້ເອີ້ນໄດ້ສະເພາະບາງລະບົບ
  • Data: ຖານຂໍ້ມູນທີ່ປິດ Public endpoint ແອັບເອີ້ນຜ່ານ ຊື່ເຊີບເວີ.internal

ຕິດແທັກບໍລິການ ແລ້ວຂຽນກົດຕາມແທັກ

ທີ່ VPC > Security Group ຕິດແທັກໃຫ້ບໍລິການຕາມໜ້າທີ່ ເຊັ່ນ web api db ແລ້ວສ້າງກຸ່ມຂອງແຕ່ລະຊັ້ນທີ່ເປີດສະເພາະພອດທີ່ຕ້ອງໃຊ້ ເຊັ່ນ web ໄປ api ພອດ 8080 ແລະ api ໄປ db ພອດ 5432 ກົດມີແຕ່ “ອະນຸຍາດ” ສິ່ງທີ່ບໍ່ມີກົດລະບຸໄວ້ຈະປິດຢູ່

ບໍລິການໃໝ່ຈະຢູ່ໃນ ກຸ່ມເລີ່ມຕົ້ນ ເຊິ່ງສະມາຊິກລົມກັນໄດ້ທຸກພອດ ສຳລັບລະບົບຈິງ ເມື່ອບໍລິການມີກຸ່ມຂອງຕົນເອງແລ້ວ ໃຫ້ເອົາອອກຈາກກຸ່ມເລີ່ມຕົ້ນ ຖ້າບໍລິການໜຶ່ງມີບັນຫາຈະໄດ້ບໍ່ລາມໄປເຖິງທຸກໂຕ

ໃຊ້ IP ຂາອອກຄົງທີ່ສະເພາະບ່ອນທີ່ຈຳເປັນ

ຖ້າທະນາຄານ ຫຼື ຄູ່ຄ້າຕ້ອງ whitelist IP ໃຫ້ສ້າງ NAT Gateway ແລ້ວເລືອກສະເພາະ Subnet ຂອງຊັ້ນແອັບໃຫ້ອອກຜ່ານ NAT (ເບິ່ງ NAT Gateway) Subnet ອື່ນໃຊ້ IP ຂາອອກແບບໃຊ້ຮ່ວມກັນຕໍ່ໄປໂດຍບໍ່ມີຄ່າໃຊ້ຈ່າຍເພີ່ມ

ຕໍ່ຖານຂໍ້ມູນຈິງຈາກເຄື່ອງຂອງຕົນເອງ

ເປີດ Public endpoint ສະເພາະຕອນທີ່ຕ້ອງໃຊ້ ອະນຸຍາດສະເພາະ IP ຂອງທ່ານ ແລ້ວປິດເມື່ອແລ້ວວຽກ ການເຊື່ອມຕໍ່ໃຊ້ TLS ສະເໝີ

ເຊື່ອມ Project ເຂົ້າກັນ

  • ເຊື່ອມລະບົບຈິງກັບເຄື່ອງມືກາງ ແຕ່ຢ່າເຊື່ອມກັບ Project ທົດສອບ ໃຫ້ Project ທົດສອບມີຂອງທີ່ຕ້ອງໃຊ້ເປັນຊຸດຂອງຕົນເອງ
  • VPC Peering ບໍ່ໄດ້ເປີດຫຍັງໃຫ້ເອງ ເມື່ອທັງສອງຝັ່ງຍອມຮັບແລ້ວ ຕ້ອງເພີ່ມກົດໃນ Security Group ທີ່ລະບຸ VPC ປາຍທາງ ຫຼື ກຸ່ມທີ່ອີກຝັ່ງແບ່ງປັນໄວ້ (ເບິ່ງ Security Group ແລະ VPC Peering)
  • Peering ເຊື່ອມ 2 VPC ໃນ Region ດຽວກັນ ແລະ ບໍ່ຕໍ່ທອດ: A ເຊື່ອມກັບ B ແລະ B ເຊື່ອມກັບ C ບໍ່ໄດ້ໝາຍຄວາມວ່າ A ເຖິງ C ຖ້າມີຕັ້ງແຕ່ 3 Project ຫຼື ຂ້າມ Region ໃຫ້ໃຊ້ Network Hub

ຫຼາຍ Project ຫ້ອງການ ຫຼື ຫຼາຍ Region: Hub ແບບ Star ພ້ອມ Firewall

shared-tools · ສູນກາງຖານຂໍ້ມູນ · ມໍນິເຕີ · API ພາຍໃນshop-prod · ປາຍທາງເວັບໄຊ · Containerpos-prod · ປາຍທາງContainer · CacheVPN Site-to-Siteສຳນັກງານໃຫຍ່ ແລະ ສາຂາVPN Client-to-Siteໂນດບຸກ ແລະ ມືຖືພະນັກງານNetwork Hub · Starເຈົ້າຂອງແມ່ນ shared-toolsFirewallລະຫວ່າງ spoke + ອອກ Internetເຖິງກັນຜ່ານ Firewall ເທົ່ານັ້ນອິນເຕີເນັດຈາກ IP ຄົງທີ່ຂອງ Firewall
ປາຍທາງເຖິງສູນກາງ ແລະ ເຖິງກັນເອງໄດ້ສະເພາະຜ່ານ Firewall ເມື່ອມີກົດອະນຸຍາດ ຫ້ອງການ ແລະ ພະນັກງານເຂົ້າມາທາງ VPN ແລະ ທຸກ Project ອອກອິນເຕີເນັດຜ່ານ Firewall
  • ສ້າງ Hub ໃນ Project ເຄື່ອງມືກາງ ແລະ ໃຫ້ Project ນັ້ນເປັນ ສູນກາງ: ຖານຂໍ້ມູນ ລະບົບມໍນິເຕີ ແລະ API ພາຍໃນທີ່ທຸກທີມໃຊ້ຢູ່ທີ່ນີ້
  • ຕໍ່ Project ໃຊ້ງານຈິງແຕ່ລະໂຕເປັນ ປາຍທາງ ປາຍທາງເຖິງສູນກາງແຕ່ບໍ່ເຖິງກັນເອງ ຖ້າ Project ໜຶ່ງມີບັນຫາຈະບໍ່ລາມໄປໂຕອື່ນ
  • ໃຫ້ຫ້ອງການເຂົ້າມາດ້ວຍ VPN Gateway ແບບ Site-to-Site ແລະ ພະນັກງານດ້ວຍແບບ Client-to-Site ແທນການເປີດຖານຂໍ້ມູນສູ່ອິນເຕີເນັດ (ເບິ່ງ VPN Gateway)
  • ໃສ່ Firewall ໃຫ້ Hub: ລະຫວ່າງ spoke ອະນຸຍາດສະເພາະການເຊື່ອມຕໍ່ທີ່ຕັ້ງໃຈໄວ້ ແລະ ອອກ Internet ໃຫ້ທຸກ Project ອອກດ້ວຍ IP ຄົງທີ່ຊຸດດຽວກັນ ແລະ ຄຸມໄດ້ໃນບ່ອນດຽວ (ເບິ່ງ Firewall ເທິງ Network Hub)
  • ຢ່າຕໍ່ Project ທົດສອບເຂົ້າ Hub ຂອງລະບົບຈິງ ຖ້າຕ້ອງໃຊ້ Hub ໃຫ້ມີ Hub ຂອງຕົນເອງ
  • Security Group ຍັງມີຜົນໃນທຸກ VPC: Hub ແລະ Firewall ພາການເຊື່ອມຕໍ່ມາເຖິງ VPC ໄດ້ ແຕ່ Security Group ຂອງບໍລິການຕ້ອງອະນຸຍາດນຳ

ຍັງແກ້ບໍ່ໄດ້? ໃຫ້ທີມງານຊ່ວຍ

ເປີດ ticket ຈາກໜ້າຈັດການ ບອກຊື່ເວັບ ຫຼື ບໍລິການ ສິ່ງທີ່ເຮັດ ແລະ ຂໍ້ຄວາມທີ່ເຫັນເທິງຈໍ ທີມງານຈະຕອບກັບໃນເລື່ອງດຽວກັນ ຕິດຕາມໄດ້ໃນບ່ອນດຽວ

ເປີດ ticket ຫາທີມງານ ຄູ່ມືທັງໝົດ