为 AEM as a Cloud Service 配置高级联网功能 configuring-advanced-networking

本文介绍 AEM as a Cloud Service 中的各种高级联网功能，包括 VPN、非标准端口以及专用出口 IP 地址的自助服务和 API 配置。

概述 overview

AEM as a Cloud Service 提供以下高级网络选项：

本文首先详细描述每个选项以及为什么您可能会使用它们，然后描述如何使用 Cloud Manager UI 和 API 配置它们，最后以一些高级用例作为结尾。

要求和限制 requirements

配置高级网络功能时，存在以下限制。

配置和启用高级网络 configuring-enabling

使用高级网络功能需要两个步骤：

这两个步骤都可以使用 Cloud Manager UI 或 Cloud Manager API 来完成。

灵活端口出口 flexible-port-egress

此高级联网功能让您对 AEM as a Cloud Service 进行配置，通过默认打开的 HTTP（端口 80）和 HTTPS（端口 443）以外的端口来传入流量。

UI 配置 configuring-flexible-port-egress-provision-ui

侧面板中​ 网络基础架构 ​标题下方将显示一条新记录，其中包括基础架构类型、状态、区域以及已启用该记录的环境的详细信息。

API 配置 configuring-flexible-port-egress-provision-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点，只需传递 kind 参数和区域的 flexiblePortEgress 值。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要大约 15 分钟来预配联网基础设施。对 Cloud Manager 的网络基础架构 GET 端点的调用将显示状态​ “就绪”。

流量路由 flexible-port-egress-traffic-routing

对于流向 80 或 443 端口以外端口的 http 或 https 流量，应使用以下主机和端口环境变体来配置代理。

例如，以下是发送请求到 www.example.com:8443 的示例代码：

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

如果使用非标准 Java 联网库，请使用以上属性为所有流量配置代理。

如果非 http/https 流量流经 portForwards 参数中声明的端口，应该引用名为 AEM_PROXY_HOST 的属性以及映射的端口。例如：

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

下表描述了流量路由：

Apache / Dispatcher 配置 apache-dispatcher

AEM Cloud Service Apache/Dispatcher 层的 mod_proxy 指令可以使用上述属性进行配置。

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

专用出口 IP 地址 dedicated-egress-ip-address

在与 SaaS 供应商（例如 CRM 供应商）集成，或者对于在 AEM as a Cloud Service 之外提供 IP 地址允许列表的其他集成时，专用 IP 地址可以增强安全性。列入允许列表通过将专用IP地址添加到，可确保只允许来自AEM Cloud Service的流量流向外部服务。 这是在允许的其他所有 IP 之外的流量。

相同的专用 IP 应用于您 Adobe 组织中的所有程序以及每个程序中的所有环境。它适用于创作和发布服务。

如果不启用专用 IP 地址功能，来自 AEM as a Cloud Service 的流量会流经与其他客户共享的一组 IP。

专用出口 IP 地址的配置方法与灵活端口出口相同。主要差别在于，配置后，流量始终从专用的唯一 IP 地址传出。要查找该 IP，请使用 DNS 解析器来确定与 p{PROGRAM_ID}.external.adobeaemcloud.com 关联的 IP 地址。该 IP 地址不应改变，但如果必须改变，则会提供提前通知。

UI 配置 configuring-dedicated-egress-provision-ui

侧面板中​ 网络基础架构 ​标题下方将显示一条新记录，其中包括基础架构类型、状态、区域以及已启用该记录的环境的详细信息。

API 配置 configuring-dedicated-egress-provision-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点，只需传递 kind 参数和区域的 dedicatedEgressIp 值。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要大约 15 分钟来预配联网基础设施。对 Cloud Manager 的网络基础架构 GET 端点的调用将显示状态​ “就绪”。

流量路由 dedicated-egress-ip-traffic-routing

Http 或 https 流量将通过预配置的代理，前提是它们使用标准 Java 系统属性进行代理配置。

如果非 http/https 流量流经 portForwards 参数中声明的端口，应该引用名为 AEM_PROXY_HOST 的属性以及映射的端口。例如：

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

功能用法 feature-usage

该功能与产生传出流量的 Java 代码或库兼容，前提是它们的代理配置使用了标准 Java 系统属性。实际上，这应该包括了大多数常用库。

下面是代码示例：

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

一些库需要明确配置，以便为代理配置使用标准 Java 系统属性。

使用 Apache HttpClient 的示例，其中需要明确调用
HttpClientBuilder.useSystemProperties() 或使用
HttpClients.createSystem()：

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

调试注意事项 debugging-considerations

为了验证该流量是否确实在预期的专用 IP 地址上传出，请查看目标服务中的日志（如果可用）。否则，调用 https://ifconfig.me/IP 等调试服务可能会有帮助，调试服务会返回调用 IP 地址。

虚拟专用网络 (VPN) vpn

VPN 允许从创作、发布或预览实例连接到内部部署基础架构或数据中心。例如，这对于保护数据库访问很有用。它还允许连接到 SaaS 供应商（例如支持 VPN 的 CRM 供应商），或者允许从公司网络连接到 AEM as a Cloud Service 的创作、预览或发布实例。

支持大部分采用 IPSec 技术的 VPN 设备。请参阅此设备列表中​ RouteBased 配置说明 ​列中的信息。按表中所述配置该设备。

UI 配置 configuring-vpn-ui

侧面板中​ 网络基础架构 ​标题下方将显示一条新记录，其中包括基础架构类型、状态、区域以及已启用该记录的环境的详细信息。

API 配置 configuring-vpn-api

每个程序运行一次，POST /program/<programId>/networkInfrastructures 调用端点，传入配置信息的负载，包括：值 vpn 对于 kind 参数、区域、地址空间（CIDR列表 — 请注意，以后无法修改此列表）、DNS解析器（用于解析网络中的名称）以及VPN连接信息，例如网关配置、共享VPN密钥以及IP安全策略。 端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要 45 到 60 分钟来预配联网基础设施。可以调用 API 的 GET 方法以返回当前状态，这最终会从 creating 翻转到 ready。请参考 API 文档来了解所有状态。

流量路由 vpn-traffic-routing

下表描述了流量路由。

对配置非常有用的域 vpn-useful-domains-for-configuration

下图直观地展示了在配置和开发时非常有用的一组域和关联 IP。该图下方的表进一步说明了这些域和 IP。

将传入限制为 VPN 连接 restrict-vpn-to-ingress-connections

如果您希望只允许通过 VPN 访问 AEM，则可以在 Cloud Manager 中配置环境允许列表，这样可以只允许 p{PROGRAM_ID}.external.adobeaemcloud.com 定义的 IP 与环境通信。此操作与在 Cloud Manager 中定义其他任何基于 IP 的允许列表相同。

如果规则必须基于路径，则在 Dispatcher 级别使用标准 http 指令来拒绝或允许特定 IP。它们可以确保所需路径在 CDN 上不可缓存，因此请求始终将获取到来源。

Httpd 配置示例 httpd-example

Order deny,allow
Deny from all
Allow from 192.168.0.1
Header always set Cache-Control private

在环境中启用高级网络配置 enabling

一旦为程序配置了高级网络选项，无论是灵活的端口出口， 专用出口 IP 地址，还是 VPN，要使用这些选项，必须在环境级别启用。

当您为环境启用高级网络配置时，您可以启用可选的端口转发和非代理主机。可以根据各个环境来配置参数以提供灵活性。

启用使用 UI enabling-ui

高级网络配置将应用于所选环境。返回​ 环境 ​选项卡，您可以查看应用于所选环境的配置的详细信息及其状态。

启用使用 API enabling-api

要为环境启用高级网络配置，必须为每个环境调用 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking 端点。

API 应在几秒钟内响应，指示状态 updating，然后在大约 10 分钟后，对 Cloud Manager 环境 GET 端点的调用将显示状态 ready，指示对环境的更新已应用。

每个环境的端口转发规则可以通过调用 PUT /program/{programId}/environment/{environmentId}/advancedNetworking 端点进行更新，包括完整的配置参数集而不是其子集。

专用出口 IP 地址和 VPN 高级网络类型支持nonProxyHosts参数。这使您可以声明一组主机，这些主机应通过共享的 IP 地址范围而不是专用的 IP 进行路由。nonProxyHost URL 可能会遵循 example.com 或 *.example.com 的模式，这种情况下仅支持在域的开头使用通配符。

即使没有环境流量路由规则（托管或绕过），仍必须调用 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking，只不过在调用时使用空负载。

编辑和删除环境中的高级网络配置 editing-deleting-environments

为环境启用高级网络配置后， 您可以更新这些配置的详细信息或将其删除。

使用 UI 编辑或删除 editing-ui

更改将反映在​ 环境 ​选项卡上。

使用 API 编辑或删除 editing-api

要删除特定环境的高级网络，请调用 DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]()。

编辑和删除程序的网络基础架构 editing-deleting-program

一旦为程序创建了网络基础架构，就只能编辑有限的属性。如果您不需要它，您可以删除整个程序的高级网络基础架构。

使用 UI 进行编辑和删除 delete-ui

更改将反映在​ 环境 ​选项卡上。

使用 API 进行编辑和删除 delete-api

要​ 删除 ​项目的网络基础架构，请调用 DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID}。

更改程序的高级网络基础架构类型 changing-program

一次只能为程序配置一种类型的高级网络基础架构，即灵活端口出口、专用出口 IP 地址或 VPN。

如果您决定需要另一种高级网络基础架构类型而不是已配置的网络基础架构类型，则必须删除现有的网络基础架构类型并创建新的网络基础架构类型。请遵循以下程序：

附加发布区域的高级网络配置 advanced-networking-configuration-for-additional-publish-regions

当将附加区域添加到已配置高级网络的环境中时，来自与高级网络规则匹配的附加发布区域的流量将默认路由通过主要区域。但是，如果主要区域变得不可用，在附加区域中未启用高级网络时，高级网络流量会被丢弃。如果您希望在其中一个区域发生中断时优化延迟并提高可用性，则有必要为附加发布区域启用高级网络。以下部分描述了两种不同的场景。

专用出口 IP 地址 additional-publish-regions-dedicated-egress

高级网络已在主要区域启用 already-enabled

如果已在主要区域启用高级网络配置，请执行以下步骤：

尚未在任何区域配置高级网络 not-yet-configured

该过程与前面的说明大体相似。但是，如果生产环境尚未启用高级网络，则有机会通过首先在暂存环境中启用配置来测试配置：

VPN vpn-regions

该过程与专用出口 IP 地址指令几乎相同。唯一的区别是，除了区域属性的配置与主要区域不同之外，可以选择将 connections.gateway 字段配置为路由到您的组织运营的不同 VPN 端点（可能在地理位置上更靠近新区域）。