理解阿里云服务的internal endpoint

2019-08-06 4938

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

本文涉及的产品

对象存储 OSS，20GB 3个月

对象存储 OSS，恶意文件检测 1000次 1年

公网NAT网关，每月750个小时 15CU

简介： 阿里云服务提供的产品中，一般都涉及到endpoint的概念，其中分为internal endpoint和internet(external)endpoint。在阿里云VPC环境中使用这些服务，一般都是建议使用内部endpoint。

阿里云服务提供的产品中，一般都涉及到endpoint的概念，其中分为internal endpoint和internet(external)endpoint。在阿里云VPC环境中使用这些服务，一般都是建议使用内部endpoint。下面就介绍下它们之间的区别，理解了这个机制，在开发使用中更好的使用阿里云服务。

VPC的工作机制及一般产品架构

我们产品是运行在阿里云VPC环境中的，VPC中在各个AZ（Available Zone可用区）中创建了几个vSwitch，然后有一个路由表来进行相关的路由设置。VPC内的程序如果需要访问外网，会通过NAT Gateway来进行。同时产品对外提供的服务是通过SLB(Load Balancer 负载均衡器)来完成。见下面的示意图。

图1：VPC and Product Architecture

阿里云的很多服务都提供两种访问方式，一种是internal endpoint即内部访问点，一种是public的internet endpoint。在VPC内部要访问阿里云服务时，比如OSS，RDS，Table Store，MNS等，有2条路径可以使用，一条是通过阿里云内部访问，这样不会经过NAT gateway，路由表直接到系统到阿里云服务；另一条是公网外部访问，那么就要经过NAT gateway转到阿里云服务。下面的图是从路由表中提取出来的，0.0.0.0/0表示不在路由表中的条目会通过NAT gateway出去。而100.64.0.0/10这个地址恰恰是阿里云服务的内部访问点的IP地址段，是通过阿里云内部系统直接到达对应服务，不会经过NAT gateway。

图2：VPC路由表设置

以OSS为例，内部endpoint是oss-cn-shanghai-internal.aliyuncs.com，外网的endpoint是oss-cn-shanghai.aliyuncs.com。下面分别ping它们，得到IP地址。而100.118.102.33就属于100.64.0.0/10网段。

图3：内部endpoint和外部endpoint IP地址

VPC内通过internal/internet endpoint访问阿里云服务的区别

通过图一的示意图，我们理解了internal 访问阿里云服务是不会经过NAT gateway的，直接通过内部系统路由到了阿里云特定服务器；而通过internet访问阿里云服务就会通过NAT网关。那么这两者具体有什么区别和影响呢？我列举以下几点：
1.NAT带宽占用。NAT是有一定的带宽限制的，具体是根据NAT实例类型来决定。负载比较大的情况会把NAT带宽占满，影响正常服务的外网访问性能。
2.NAT连接数的占用，因为NAT能提供的连接数也是有限制的。
3.访问速度的不同。前面提了外网访问会占用NAT带宽，而阿里云内网的带宽相较于NAT外网带宽会高很多。所以访问速度性能高很多。
4.外网访问流量费用。访问外网需要收取流量费。
既然访问阿里云服务通过NAT有这么多弱势，那么它有什么优势吗？答案是，没有。正是因为如此，所以VPC内访问阿里云服务都是建议通过内部访问点去访问的。

访问阿里云服务的方式

目前我们用到的很多阿里云服务都有提供内网访问点，比如docker registry （ACR，Ali Cloud Registry）、OSS、Loghub、RDS、Redis、MNS、MQ、Table Store等等。开发人员一般通过相应服务提供的SDK来使用对应的服务，如果阿里云没有对应的SDK，开发会通过第三方的一些库来使用，或者直接使用阿里云的API。有些调用是明确需要我们提供endpoint的，所以大家比较容易提供相应的内网endpoint给SDK/API，比如通过环境变量配置的方式传递过去。而有些SDK或者第三方的库没有明确要求我们提供endpoint，这个时候我们就要额外注意了，要检查以下代码到底用的是什么类型的endpoint。

比如下面的代码就是MNS service的NodeJS 库的实现。在构造MNS的时候，如果只是传一个region字符串的参数，它就会用Public的网络方式来使用MNS，如果要想使用内网的endpoint，要先构造Region实例并改成内网访问。

图4：MNS NodeJS库