为AEM as a Cloud Service配置高级联网功能 configuring-advanced-networking

本文介绍AEM as a Cloud Service中可用的高级联网功能。 这些功能包括VPN、非标准端口和专用出口IP地址的自助服务和API配置。

除了此文档之外，还有一系列教程，旨在引导您了解每个高级联网选项。 请参阅高级联网。

curl -X POST https://cloudmanager.adobe.io/api/program/{PROGRAM_ID}/environment/{ENV_ID}/vpn \
   -H "Authorization: Bearer {ACCESS_TOKEN}" \
   -H "x-api-key: {API_KEY}" \
   -H "Content-Type: application/json" \
   -d '{
       "providerId": "aws",
       "portMappings": [
           {
               "name": "SSH",
               "protocol": "TCP",
               "port": 22
           }
       ]
   }'

概述 overview

AEM as a Cloud Service 提供以下高级网络选项：

本文详细描述了每个选项以及为什么您可能会使用它们，然后描述如何使用 Cloud Manager UI 和 API 配置它们。本文最后介绍了一些高级用例。

要求和限制 requirements

配置高级网络功能时，存在以下限制。

配置和启用高级网络 configuring-enabling

使用高级网络功能需要两个步骤：

这两个步骤都可以使用 Cloud Manager UI 或 Cloud Manager API 来完成。

灵活端口出口 flexible-port-egress

此高级联网功能让您对 AEM as a Cloud Service 进行配置，通过默认打开的 HTTP（端口 80）和 HTTPS（端口 443）以外的端口来传入流量。

UI 配置 configuring-flexible-port-egress-provision-ui

新记录显示在侧面板中的​ 网络基础架构 ​标题下方。 它包括详细信息，如基础架构类型、状态、区域以及启用它的环境。

API 配置 configuring-flexible-port-egress-provision-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点，只需传递 kind 参数和区域的 flexiblePortEgress 值。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要大约 15 分钟来预配联网基础设施。对 Cloud Manager 的网络基础架构 GET 端点的调用将显示状态​ “就绪”。

流量路由 flexible-port-egress-traffic-routing

对于流向 80 或 443 端口以外端口的 http 或 https 流量，应使用以下主机和端口环境变体来配置代理。

例如，以下是发送请求到 www.example.com:8443 的示例代码：

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

如果使用非标准 Java™ 联网库，请使用以上属性为所有流量配置代理。

如果非 http/https 流量流经 portForwards 参数中声明的端口，应该引用名为 AEM_PROXY_HOST 的属性以及映射的端口。例如：

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

下表描述了流量路由：

Apache / Dispatcher 配置 apache-dispatcher

AEM Cloud Service Apache/Dispatcher层的mod_proxy指令可以使用上述属性进行配置。

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

专用出口 IP 地址 dedicated-egress-ip-address

在与 SaaS 供应商（例如 CRM 供应商）集成，或者对于在 AEM as a Cloud Service 之外提供 IP 地址允许列表的其他集成时，专用 IP 地址可以增强安全性。通过将专用 IP 地址添加到允许列表，可以确保只有来自 AEM Cloud Service 的流量允许流向外部服务。除了来自任何其他IP的流量之外，此方法还允许其他流量。

相同的专用 IP 适用于程序中的所有环境，并且适用于作者和发布服务。

如果没有启用专用IP地址功能，来自AEM as a Cloud Service的流量会流经一组共享的IP。 这些IP由AEM as a Cloud Service的其他客户使用。

配置专用出口IP地址类似于灵活端口出口。 主要差别在于，配置后，流量始终从专用的唯一 IP 地址传出。要查找该 IP，请使用 DNS 解析器来确定与 p{PROGRAM_ID}.external.adobeaemcloud.com 关联的 IP 地址。该 IP 地址不应改变，但如果必须改变，则会提供提前通知。

UI 配置 configuring-dedicated-egress-provision-ui

新记录显示在侧面板中的​ 网络基础架构 ​标题下方。 它包括详细信息，如基础架构类型、状态、区域以及启用它的环境。

API 配置 configuring-dedicated-egress-provision-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点，只需传递 kind 参数和区域的 dedicatedEgressIp 值。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要大约 15 分钟来预配联网基础设施。对 Cloud Manager 的网络基础架构 GET 端点的调用将显示状态​ “就绪”。

流量路由 dedicated-egress-ip-traffic-routing

Http 或 https 流量将通过预配置的代理，前提是它们使用标准 Java™ 系统属性进行代理配置。

如果非 http/https 流量流经 portForwards 参数中声明的端口，应该引用名为 AEM_PROXY_HOST 的属性以及映射的端口。例如：

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

功能用法 feature-usage

该功能与产生传出流量的 Java™ 代码或库兼容，前提是它们的代理配置使用了标准 Java™ 系统属性。实际上，此方法应包括大多数常用库。

下面是代码示例：

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

一些库需要明确配置，以便为代理配置使用标准 Java™ 系统属性。

使用 Apache HttpClient 的示例，其中需要明确调用
HttpClientBuilder.useSystemProperties() 或使用
HttpClients.createSystem()：

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

调试注意事项 debugging-considerations

为了验证该流量是否确实在预期的专用 IP 地址上传出，请查看目标服务中的日志（如果可用）。否则，调用 https://ifconfig.me/ip 等调试服务可能会有帮助，调试服务会返回调用 IP 地址。

虚拟专用网络 (VPN) vpn

VPN 允许从创作、发布或预览实例连接到内部部署基础架构或数据中心。例如，此功能可用于保护对数据库的访问。 它还允许连接到 SaaS 供应商，例如支持 VPN 的 CRM 供应商。

支持大部分采用 IPSec 技术的 VPN 设备。请参阅此设备列表中 RouteBased 配置说明 ​列中的信息。按表中所述配置设备。

UI 配置 configuring-vpn-ui

新记录显示在侧面板中的​ 网络基础架构 ​标题下方。 它包括详细信息，如基础架构类型、状态、区域以及启用它的环境。

API 配置 configuring-vpn-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点。它会传递配置信息的负载。该信息包括kind参数、区域、地址空间（CIDR列表 — 请注意，此值以后不能修改）、DNS解析器（用于解析网络中的名称）的​ vpn ​值。 它还包括 VPN 连接信息，例如网关配置、共享 VPN 密钥和 IP 安全性策略。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要45到60分钟来预配联网基础设施。 可以调用 API 中的 GET 方法，以返回状态，该状态最终会从 creating 翻转到 ready。请参考 API 文档来了解所有状态。

流量路由 vpn-traffic-routing

下表描述了流量路由。

对配置非常有用的域 vpn-useful-domains-for-configuration

下图直观地展示了在配置和开发时非常有用的一组域和关联 IP。该图下方的表进一步说明了这些域和 IP。

在环境中启用高级网络配置 enabling

一旦为程序配置了高级网络选项，无论是灵活的端口出口， 专用出口 IP 地址，还是 VPN，要使用这些选项，必须在环境级别启用。

当您为环境启用高级网络配置时，您也可以启用可选的端口转发和非代理主机。可以根据各个环境来配置参数以提供灵活性。

启用使用 UI enabling-ui

高级网络配置将应用于所选环境。返回​ 环境 ​选项卡，您可以查看应用于所选环境的配置的详细信息及其状态。

启用使用 API enabling-api

要为环境启用高级网络配置，必须为每个环境调用 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking 端点。

API 应该会在几秒钟内做出响应，并且状态会显示为 updating。大约 10 分钟后，对 Cloud Manager 环境 GET 端点的调用显示的状态为 ready，表明已应用对环境的更新。

每个环境的端口转发规则可以通过调用 PUT /program/{programId}/environment/{environmentId}/advancedNetworking 端点进行更新，包括完整的配置参数集而不是其子集。

专用出口 IP 地址和 VPN 高级网络类型支持nonProxyHosts参数。这种支持允许您声明一组主机，这些主机应通过共享IP地址范围而不是专用IP进行路由。 nonProxyHost URL 可能会遵循 example.com 或 *.example.com 的模式，这种情况下仅支持在域的开头使用通配符。

即使没有环境流量路由规则（托管或绕过），仍必须调用 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking，只不过在调用时使用空负载。

编辑和删除环境中的高级网络配置 editing-deleting-environments

为环境启用高级网络配置后， 您可以更新这些配置的详细信息或将其删除。

使用 UI 编辑或删除 editing-ui

更改将反映在​ 环境 ​选项卡上。

使用 API 编辑或删除 editing-api

要删除特定环境的高级网络，请调用 DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]()。

编辑和删除程序的网络基础架构 editing-deleting-program

一旦为程序创建了网络基础架构，就只能编辑有限的属性。如果您不需要它，您可以删除整个程序的高级网络基础架构。

使用 UI 进行编辑和删除 delete-ui

更改将反映在​ 环境 ​选项卡上。

使用 API 进行编辑和删除 delete-api

要​ 删除 ​项目的网络基础架构，请调用 DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID}。

更改程序的高级网络基础架构类型 changing-program

一次只能为程序配置一种类型的高级网络基础架构。 高级网络基础结构必须是灵活端口出口、专用出口IP地址或VPN。

如果您决定需要另一种高级网络基础架构类型而不是已配置的网络基础架构类型，则删除现有的网络基础架构类型，并再创建一个网络基础架构类型。执行以下操作：

其他发布区域的高级网络配置 advanced-networking-configuration-for-additional-publish-regions

当向已配置高级联网的环境添加其他区域时，来自其他发布区域的流量遵循现有规则。 默认情况下，匹配的通信通过主区域路由。 但是，如果主要区域变得不可用，在附加区域中未启用高级网络时，高级网络流量会被丢弃。如果您希望在其中一个区域发生中断时优化延迟并提高可用性，则有必要为附加发布区域启用高级网络。以下部分描述了两种不同的场景。

专用出口 IP 地址 additional-publish-regions-dedicated-egress

高级网络已在主要区域启用 already-enabled

如果已在主要区域启用高级网络配置，请执行以下步骤：

尚未在任何区域配置高级网络 not-yet-configured

该过程与前面的说明大体相似。但是，如果生产环境尚未启用高级网络，则有机会通过首先在暂存环境中启用配置来测试配置：

VPN vpn-regions

该过程与专用出口 IP 地址指令几乎相同。唯一的区别是region属性的配置与主区域不同。 此外，您可以选择配置connections.gateway字段。 该配置可以路由到您的组织运营的地理位置上更靠近新区域的其他 VPN 端点。

疑难解答

请注意，以下要点仅供参考，包含故障排除的最佳实践。这些建议旨在帮助您有效诊断和解决问题。

连接池 connection-pooling-advanced-networking

连接池是一种专门用于创建和维护连接存储库的技术，可供任何可能需要连接的线程立即使用。在各种在线平台和资源中可以找到许多连接池技术，每种技术都有其独特的优点和注意事项。Adobe鼓励客户研究这些方法，以确定与其系统架构最兼容的方法。

实施适当的连接池策略是一种主动措施，可以纠正系统配置中常见的疏忽，这种疏忽往往会导致性能不佳。通过正确建立连接池，Adobe Experience Manager (AEM) 可以提高外部调用的效率。该方法不仅减少了资源消耗，而且降低了与上游服务器通信时服务中断的风险，减少了遇到失败请求的概率。

基于此信息，Adobe建议审查您当前的AEM配置。 此外，还请考虑刻意将连接池与高级联网设置结合使用。 管理并行连接的数量并减少陈旧连接有助于优化网络性能。 这些操作可降低代理服务器达到其连接限制的风险。 因此，此战略实施旨在降低请求无法到达外部端点的可能性。

连接限制常见问题解答

使用高级联网时，连接数量有限，以确保跨环境的稳定性并防止较低环境耗尽可用连接。

每个 AEM 实例的连接数限制为 1000 个，当连接数达到 750 个时会向客户发送警报。

连接限制是否仅适用于非标准端口的出站流量或所有出站流量？

此限制仅适用于使用高级网络（非标准端口上的出口、使用专用出口IP或VPN）的连接。

传出连接数似乎没有显着增加。 为什么现在正在接收通知？

如果客户动态创建连接（例如，每个请求创建一个或多个连接），则流量的增加可能会导致连接激增。

过去是否曾发生过类似情况而没有触发警报？

仅当达到软限制时才会发送警报。

如果达到最大限制会发生什么情况？

当达到硬限制时，将丢弃从AEM通过高级网络（非标准端口上的出口，使用专用出口IP或VPN）的新出口连接，以防御DoS攻击。

可以提高限额吗？

不可以，大量连接会对性能造成严重影响，并导致跨 pod 和环境的 DoS。

AEM 系统会在一段时间后自动关闭连接吗？

是，连接在JVM级别关闭，在网络基础架构的不同点关闭。 但是，对于任何生产服务来说，此工作流都为时已晚。 当使用连接池时，当不再需要连接时应明确关闭连接或将其返回到池中。否则，资源消耗会太高，导致资源耗尽。

如果达到最大连接限制，是否会影响任何许可证并导致额外费用？

否，此限制不需要许可证或费用。这是一个技术限制。

当前使用情况与限制之间的接近程度如何？ 允许的最大限制是多少？

当连接数超过 750 时会触发警报。每个 AEM 实例的最大限制为 1000 个连接。

此限制适用于 VPN 吗？

可以，该限制适用于使用高级网络（包括VPN）的连接。

在使用专用出口IP时，该限制是否仍适用？

是的，如果使用专用出口 IP，该限制仍然适用。