云計(jì)算技術(shù)

單元3

網(wǎng)絡(luò)服務(wù)單元概述

本單元介紹VPC（VirtualPrivateCloud)亞馬遜虛擬私有云AmazonVPC

自定義虛擬網(wǎng)絡(luò)AmazonWebServices資源自定義虛擬網(wǎng)絡(luò)環(huán)境包括IP地址范圍、創(chuàng)建子網(wǎng)以及配置在數(shù)據(jù)中心和VPC之間創(chuàng)建虛擬專用網(wǎng)絡(luò)(VPN)連接自定義AmazonVPC網(wǎng)絡(luò)配置學(xué)習(xí)目標(biāo)知識(shí)點(diǎn)什么是VPCVPC的CIDRInternet網(wǎng)關(guān)路由表彈性IP(EIP，ElasticIP)安全組NACL（NetworkAccessControlList）網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT，NetworkAddressTranslation）技能點(diǎn)創(chuàng)建VPC配置路由表EC2連接到VPC彈性IP的申請(qǐng)和使用配置安全組配置NACL配置NAT配置VPC對(duì)等連接項(xiàng)目1使用AmazonVPC項(xiàng)目描述掌握AmazonWebServices的網(wǎng)絡(luò)服務(wù)（VPC）把原有的IT系統(tǒng)遷移至云第一階段建立一個(gè)帶公有子網(wǎng)和私有子網(wǎng)的VPC第二個(gè)階段在VPC中增加私有子網(wǎng)，配置NAT，實(shí)現(xiàn)私有子網(wǎng)訪問(wèn)Internet任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC1.AmazonVPCAmazonVirtualPrivateCloud，虛擬私有云，通過(guò)AmazonWebServices賬號(hào)登錄亞馬遜云科技云來(lái)定義的虛擬專用網(wǎng)絡(luò)用戶能在VPC上創(chuàng)建實(shí)例，分配網(wǎng)絡(luò)地址范圍，劃分子網(wǎng)，配置路由、設(shè)置安全組和網(wǎng)絡(luò)訪問(wèn)控制列表2.VPC的CIDRClasslessInterdomainRouting譯為無(wú)類別域間路由CIDR用VLSM(可變長(zhǎng)子網(wǎng)掩碼)，根據(jù)用戶需要來(lái)分配IP地址VPC需要一個(gè)連續(xù)的IP地址空間，而這個(gè)地址空間采用CIDR和VLSM技術(shù)任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC3.子網(wǎng)子網(wǎng)類似于傳統(tǒng)網(wǎng)絡(luò)中的VLAN，每個(gè)子網(wǎng)都有自己的CIDR，且必須是VPCCIDR的子集

AmazonWebServices子網(wǎng)保留網(wǎng)段的前四個(gè)IP地址和最后一IP個(gè)地址子網(wǎng)地址一旦確定不能更改，子網(wǎng)不能跨AZ，同一個(gè)VPC中的子網(wǎng)地址不能重疊4.Internet網(wǎng)關(guān)（IGW）IGW，InternetGateway是一種水平擴(kuò)展的、冗余的高可用的VPC組件IWG有兩個(gè)功能：一是為VPC路由表提供通往Internet上的目標(biāo)地址二是為VPC上公有子網(wǎng)上的實(shí)例的IPV4地址提供網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)5.路由表VPC資源中的路由器是軟件實(shí)現(xiàn)，隱性存在，只需要維護(hù)路由表即可路由表包含一組路由規(guī)則，每條路由信息包含目的網(wǎng)絡(luò)和目標(biāo)地址項(xiàng)目1使用AmazonVPCVPC的每個(gè)子網(wǎng)都要關(guān)聯(lián)一個(gè)路由表，沒(méi)有路由表關(guān)聯(lián)的子網(wǎng)將使用隱式路由表客戶路由表由用戶建立，可以編輯、可以刪除任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC6.安全組安全組是實(shí)例的虛擬防火墻，基于協(xié)議、端口號(hào)和IP地址過(guò)濾進(jìn)出實(shí)例的流量對(duì)于安全組，可以制定入站規(guī)則和出站規(guī)則來(lái)控制出入實(shí)例的流量安全組的基本規(guī)則（類似于NACL）如下：（1）只能往安全組制定允許規(guī)則，不能制定拒絕規(guī)則（2）入站規(guī)則和出站規(guī)則可以分別制定（3）規(guī)則是基于協(xié)議和端口號(hào)來(lái)過(guò)濾信息（4）安全組是有狀態(tài)的（5）新創(chuàng)建的安全組是沒(méi)有入站規(guī)則的，不允許任何信息流入，直到創(chuàng)建入站規(guī)則任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC6.安全組安全組是實(shí)例的虛擬防火墻，基于協(xié)議、端口號(hào)和IP地址過(guò)濾進(jìn)出實(shí)例的流量對(duì)于安全組，可以制定入站規(guī)則和出站規(guī)則來(lái)控制出入實(shí)例的流量安全組的基本規(guī)則（類似于NACL）如下：（6）默認(rèn)情況下，安全組包含出站規(guī)則，即允許所有信息流出（7）連接到同一個(gè)安全組的實(shí)例不能彼此通信，除非建立規(guī)則（8）安全組是被關(guān)聯(lián)到網(wǎng)絡(luò)接口上的，啟動(dòng)實(shí)例時(shí)可以制定或改變（9）安全組的名字在所在的VPC中必須是唯一的（10）一個(gè)安全組只能應(yīng)用在所在的VPC中任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC7.網(wǎng)絡(luò)訪問(wèn)控制列表NACL，NetworkAccessControlList負(fù)責(zé)VPC的安全,含入站和出站規(guī)則每個(gè)VPC都有一個(gè)默認(rèn)的可以修改但無(wú)法刪除的NACL，它與VPC共生網(wǎng)絡(luò)訪問(wèn)控制列表遵循如下規(guī)則：VPC自動(dòng)連接一個(gè)的默認(rèn)NACL，一般情況下它允許所有的入站和出站流量用戶可以創(chuàng)建自己的NACL，默認(rèn)情況下用戶NACL拒絕所有的入站和出站流量每個(gè)VPC中的子網(wǎng)必須連接到一個(gè)NACL，如果沒(méi)有明確指明就連接到默認(rèn)NALC一個(gè)NACL可以連接到多個(gè)子網(wǎng)，但一個(gè)子網(wǎng)在一個(gè)時(shí)間里只能連接一個(gè)NACL一個(gè)NACL包含大量的規(guī)則，規(guī)則的數(shù)量最多可以達(dá)到32766制定規(guī)則的原則是在保證子網(wǎng)安全的情況下使用最少的規(guī)則NACL是無(wú)狀態(tài)的，它不跟蹤流經(jīng)它的流量狀態(tài)任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC8.彈性網(wǎng)絡(luò)接口Elasticnetworkinterface，ENI是VPC的邏輯組件，表示虛擬網(wǎng)絡(luò)接口每個(gè)實(shí)例必須有一個(gè)默認(rèn)的網(wǎng)絡(luò)接口（主要的ENI）可以單獨(dú)創(chuàng)建ENI，然后可附加到實(shí)例上或者從實(shí)例上分離再將它附加到其它實(shí)例上9.彈性IPElasticIPAddress，EIP是一個(gè)靜態(tài)公有IPV4地址EIP在最初分配時(shí)沒(méi)有綁定任何實(shí)例，可以連接將它分配給一個(gè)實(shí)例或網(wǎng)絡(luò)接口使用EIP的好處是，當(dāng)實(shí)例發(fā)生故障時(shí)，可以將該EIP重新分配給另一個(gè)實(shí)例一個(gè)EIP一個(gè)時(shí)間只能分配給一個(gè)實(shí)例或網(wǎng)絡(luò)接口任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC10.NATNetworkAddressTranslation，網(wǎng)絡(luò)地址轉(zhuǎn)換將私網(wǎng)IP轉(zhuǎn)換成公網(wǎng)IP，讓私網(wǎng)的主機(jī)訪問(wèn)公網(wǎng)AmazonWebServices通過(guò)NAT實(shí)例和NAT網(wǎng)關(guān)實(shí)現(xiàn)地址轉(zhuǎn)換，稱它們?yōu)镹AT設(shè)備NAT設(shè)備允許私有子網(wǎng)的實(shí)例訪問(wèn)Internet，不允許反向訪問(wèn)使用NAT設(shè)備的路由表要增加一條路由：凡是目的地址是外網(wǎng)的，全部轉(zhuǎn)發(fā)到NAT設(shè)備任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)項(xiàng)目1使用AmazonVPC11.方案設(shè)計(jì)在亞馬遜云科技的北京區(qū)中創(chuàng)建一個(gè)帶有單個(gè)公有子網(wǎng)的VPC命名為VPCEXER，IPv4CIDR10.1.0.0/16公有子網(wǎng)命名為PUBSUB，IPv4CIDR10.1.1.0/24，AZ：cn-north-1a任務(wù)2創(chuàng)建VPC登錄AmazonWebServices管理控制臺(tái)在中國(guó)（北京）區(qū)域（cn-north-1）創(chuàng)建在VPC

EXER的VPC在VPCEXER中創(chuàng)建名為PUBSUB的公有子網(wǎng)項(xiàng)目1使用AmazonVPC1.創(chuàng)建VPC項(xiàng)目1使用AmazonVPC（1）登錄控制臺(tái)（3）在VPC控制面板中單擊“啟動(dòng)VPC向?qū)А卑粹o（2）使用VPC服務(wù)項(xiàng)目1使用AmazonVPC（4）選擇“創(chuàng)建一個(gè)帶單個(gè)公有子網(wǎng)的VPC”（5）設(shè)置VPC的CIDR及名稱2.查看VPC的Name和VPCID項(xiàng)目1使用AmazonVPC在VPC控制面板單擊“您的VPC”，在“Name”列表中選擇“VPCEXER”3.查看子網(wǎng)信息項(xiàng)目1使用AmazonVPC在VPC控制面板單擊“子網(wǎng)”，在子網(wǎng)“Name”列表中選擇“PUBSUB”任務(wù)3配置路由表項(xiàng)目1使用AmazonVPC1.檢索路由表在VPC控制面板單擊“路由表”，在“篩選路由表”框中按照VPC：vpc-07bb1e4146d0fb111條件輸入，查到兩個(gè)路由表項(xiàng)目1使用AmazonVPC2.查看客戶路由表單擊客戶路由表ID，看到“路由”中有兩條記錄項(xiàng)目1使用AmazonVPC3.查看主路由表單擊“路由表”“主”列中顯示為“是”的路由表ID項(xiàng)目1使用AmazonVPC4.查看Internet網(wǎng)關(guān)在VPC控制面板單擊“互聯(lián)網(wǎng)網(wǎng)關(guān)”，在搜索框中搜索VPCID任務(wù)4EC2實(shí)例連接到VPC項(xiàng)目1使用AmazonVPC在PUBSUB的公有子網(wǎng)中創(chuàng)建一個(gè)MicrosoftWindowssever2019Base實(shí)例該實(shí)例命名為vpc_exer_win，vCPU為1，內(nèi)存為1GB類型為通用型系列，使用EBS存儲(chǔ)項(xiàng)目1使用AmazonVPC1.啟動(dòng)EC2實(shí)例2.選擇一個(gè)Amazon系統(tǒng)映像(AMI)3.選擇實(shí)例類型4.配置實(shí)例詳細(xì)信息項(xiàng)目1使用AmazonVPC5.添加存儲(chǔ)6.添加標(biāo)簽項(xiàng)目1使用AmazonVPC7.配置安全組。選擇創(chuàng)建一個(gè)新的安全組，并輸入名稱8.核查實(shí)例啟動(dòng)項(xiàng)目1使用AmazonVPC9.為實(shí)例vpc_exer_win創(chuàng)建新密鑰對(duì)10.查看實(shí)例vpc_exer_win11.查看實(shí)例vpc_exer_win詳細(xì)信息任務(wù)5彈性IP的申請(qǐng)和使用項(xiàng)目1使用AmazonVPC2.單擊“添加標(biāo)簽”，單擊“分配”3.分配結(jié)果打開(kāi)VPC控制面板，選擇左側(cè)導(dǎo)航“彈性IP”項(xiàng)目1使用AmazonVPC4.關(guān)聯(lián)彈性IP地址6.在EC2服務(wù)中查看實(shí)例vpc_exer_win詳細(xì)信息5.選擇關(guān)聯(lián)“實(shí)例”7.用單元2的方法遠(yuǎn)程連接到實(shí)例vpc_exer_win任務(wù)6配置NAT項(xiàng)目1使用AmazonVPC1.VPCEXER中添加私有子網(wǎng)10.1.3.0/24任務(wù)6進(jìn)入該項(xiàng)目的第二部分,擴(kuò)充VPCEXER（1）在VPC控制臺(tái)左側(cè)導(dǎo)航欄中選擇“子網(wǎng)”單擊“創(chuàng)建子網(wǎng)”項(xiàng)目1使用AmazonVPC（2）按圖選擇和填寫(xiě)后，單擊右下角“創(chuàng)建子網(wǎng)”（3）查看結(jié)果，按照VPCID搜索，看到公有子網(wǎng)PUBSUB和私有子網(wǎng)PRISUB項(xiàng)目1使用AmazonVPC2.私有子網(wǎng)中添加實(shí)例winpri（1）如圖中網(wǎng)絡(luò)選擇VPCEXER，子網(wǎng)選擇PRISUB實(shí)例winpri與實(shí)例vpc_exer_win配置選項(xiàng)相同，操作步驟參考前面的內(nèi)容但請(qǐng)注意下面三個(gè)步驟項(xiàng)目1使用AmazonVPC（2）“步驟5”中設(shè)置實(shí)例名稱為winpri（3）為實(shí)例winpri選擇創(chuàng)建新密鑰對(duì)，并下載密鑰對(duì)（4）實(shí)例創(chuàng)建成功項(xiàng)目1使用AmazonVPC3.創(chuàng)建NAT網(wǎng)關(guān)（1）創(chuàng)建NAT網(wǎng)關(guān)（2）設(shè)置NAT項(xiàng)目1使用AmazonVPC3.創(chuàng)建NAT網(wǎng)關(guān)（3）NAT網(wǎng)關(guān)詳細(xì)信息如圖，記錄該NATID：nat-08cea39960a39d337項(xiàng)目1使用AmazonVPC4.路由設(shè)置（1）打開(kāi)VPC控制面板左側(cè)“路由表”依VPCID篩選出VPCEXER的路由表（2）創(chuàng)建路由規(guī)則項(xiàng)目1使用AmazonVPC4.路由設(shè)置（3）選擇“添加路由”按圖選擇，單擊“保存更改”（4）結(jié)果如圖項(xiàng)目1使用AmazonVPC5.使用網(wǎng)絡(luò)訪問(wèn)控制列表保護(hù)子網(wǎng)（1）查看VPCEXER的網(wǎng)絡(luò)ACL（2）查看入站規(guī)則項(xiàng)目1使用AmazonVPC5.使用網(wǎng)絡(luò)訪問(wèn)控制列表保護(hù)子網(wǎng)（3）查看出站規(guī)則（4）查看子網(wǎng)關(guān)聯(lián)VPCEXER默認(rèn)網(wǎng)絡(luò)ACL關(guān)聯(lián)公有子網(wǎng)PUBSUB和私有子網(wǎng)PRISUB項(xiàng)目1使用AmazonVPC6.私有子網(wǎng)實(shí)例winpri通過(guò)NAT網(wǎng)關(guān)訪問(wèn)Internet（1）遠(yuǎn)程桌面連接公有子網(wǎng)實(shí)例vpc_exer_win（2）解密winpri管理員administrator密碼項(xiàng)目1使用AmazonVPC6.私有子網(wǎng)實(shí)例winpri通過(guò)NAT網(wǎng)關(guān)訪問(wèn)Internet（3）通過(guò)vpc_exer_win連接winpri項(xiàng)目1使用AmazonVPC6.私有子網(wǎng)實(shí)例winpri通過(guò)NAT網(wǎng)關(guān)訪問(wèn)Internet（4）連通winpri（5）在winpri實(shí)例上，通過(guò)NAT訪問(wèn)Internet項(xiàng)目2對(duì)等連接項(xiàng)目描述使用VPCPeering（對(duì)等連接）技術(shù)實(shí)現(xiàn)不同VPC之間的互聯(lián)互通本項(xiàng)目在項(xiàng)目一的基礎(chǔ)上用原有賬戶創(chuàng)建一個(gè)帶單獨(dú)公有子網(wǎng)的VPC使用對(duì)等連接和原來(lái)的VPC連接起來(lái)，實(shí)現(xiàn)互訪項(xiàng)目2對(duì)等連接任務(wù)1知識(shí)預(yù)備與方案設(shè)計(jì)1.對(duì)等連接VPCVPCPeering是將兩個(gè)VPC連接起來(lái)，對(duì)等連接之間的通信是私有網(wǎng)絡(luò)間的通信不同VPC中的實(shí)例相互通信就像在同一個(gè)網(wǎng)絡(luò)中彼此訪問(wèn)網(wǎng)絡(luò)中的數(shù)據(jù)在AmazonWebServices全球網(wǎng)絡(luò)中加密傳輸，不經(jīng)過(guò)互聯(lián)網(wǎng)，避免了DDOS攻擊，保障數(shù)據(jù)安全項(xiàng)目2對(duì)等連接2.方案設(shè)計(jì)在亞馬遜云科技北京區(qū)（cn-north-1