为 AEM as a Cloud Service 配置高级联网功能 configuring-advanced-networking

本文介绍了 AEM as a Cloud Service 中提供的高级联网功能。这些功能包括自助服务和 API 配置 VPN、非标准端口和专用出口 IP 地址。

除了这些文档外，还有一系列教程，旨在引导您了解每个高级联网选项。请参阅高级联网。

curl -X POST https://cloudmanager.adobe.io/api/program/{PROGRAM_ID}/environment/{ENV_ID}/vpn \
   -H "Authorization: Bearer {ACCESS_TOKEN}" \
   -H "x-api-key: {API_KEY}" \
   -H "Content-Type: application/json" \
   -d '{
       "providerId": "aws",
       "portMappings": [
           {
               "name": "SSH",
               "protocol": "TCP",
               "port": 22
           }
       ]
   }'

概述 overview

AEM as a Cloud Service 提供以下高级网络选项：

本文详细描述了每个选项以及为什么您可能会使用它们，然后描述如何使用 Cloud Manager UI 和 API 配置它们。本文最后介绍了一些高级用例。

要求和限制 requirements

配置高级网络功能时，存在以下限制。

配置和启用高级网络 configuring-enabling

使用高级网络功能需要两个步骤：

这两个步骤都可以使用 Cloud Manager UI 或 Cloud Manager API 来完成。

灵活端口出口 flexible-port-egress

此高级联网功能让您对 AEM as a Cloud Service 进行配置，通过默认打开的 HTTP（端口 80）和 HTTPS（端口 443）以外的端口来传入流量。

UI 配置 configuring-flexible-port-egress-provision-ui

侧面板中的​ 网络基础设施 ​标头下方会出现一条新记录。它包括基础设施类型、状态、区域以及启用的环境等详细信息。

API 配置 configuring-flexible-port-egress-provision-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点，只需传递 kind 参数和区域的 flexiblePortEgress 值。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要大约 15 分钟来预配联网基础设施。对 Cloud Manager 的网络基础架构 GET 端点的调用将显示状态​“就绪”。

流量路由 flexible-port-egress-traffic-routing

对于流向 80 或 443 端口以外端口的 http 或 https 流量，应使用以下主机和端口环境变体来配置代理。

例如，以下是发送请求到 www.example.com:8443 的示例代码：

String url = "www.example.com:8443"
String proxyHost = System.getenv().getOrDefault("AEM_PROXY_HOST", "proxy.tunnel");
int proxyPort = Integer.parseInt(System.getenv().getOrDefault("AEM_HTTPS_PROXY_PORT", "3128"));
HttpClient client = HttpClient.newBuilder()
      .proxy(ProxySelector.of(new InetSocketAddress(proxyHost, proxyPort)))
      .build();

HttpRequest request = HttpRequest.newBuilder().uri(URI.create(url)).build();
HttpResponse<String> response = client.send(request, BodyHandlers.ofString());

如果使用非标准 Java™ 联网库，请使用以上属性为所有流量配置代理。

如果非 http/https 流量流经 portForwards 参数中声明的端口，应该引用名为 AEM_PROXY_HOST 的属性以及映射的端口。例如：

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

下表描述了流量路由：

Apache / Dispatcher 配置 apache-dispatcher

AEM Cloud Service Apache/Dispatcher 层的 mod_proxy 指令可以使用上述属性进行配置。

ProxyRemote "http://example.com:8080" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "http://example.com:8080"
ProxyPassReverse "/somepath" "http://example.com:8080"

SSLProxyEngine on //needed for https backends

ProxyRemote "https://example.com:8443" "http://${AEM_PROXY_HOST}:3128"
ProxyPass "/somepath" "https://example.com:8443"
ProxyPassReverse "/somepath" "https://example.com:8443"

专用出口 IP 地址 dedicated-egress-ip-address

在与 SaaS 供应商（例如 CRM 供应商）集成，或者对于在 AEM as a Cloud Service 之外提供 IP 地址允许列表的其他集成时，专用 IP 地址可以增强安全性。通过将专用 IP 地址添加到允许列表，可以确保只有来自 AEM Cloud Service 的流量允许流向外部服务。这是来自任何其他允许 IP 的流量以外的另一种方法。

相同的专用 IP 适用于程序中的所有环境，并且适用于作者和发布服务。

未启用专用 IP 地址功能时，来自 AEM as a Cloud Service 的流量会流经共享的一组 IP。AEM as a Cloud Service 的其他客户会使用这些 IP。

专用出口 IP 地址的配置方法与灵活端口出口相同。主要差别在于，配置后，流量始终从专用的唯一 IP 地址传出。要查找该 IP，请使用 DNS 解析器来确定与 p{PROGRAM_ID}.external.adobeaemcloud.com 关联的 IP 地址。该 IP 地址不应改变，但如果必须改变，则会提供提前通知。

UI 配置 configuring-dedicated-egress-provision-ui

侧面板中的​ 网络基础设施 ​标头下方会出现一条新记录。它包括基础设施类型、状态、区域以及启用的环境等详细信息。

API 配置 configuring-dedicated-egress-provision-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点，只需传递 kind 参数和区域的 dedicatedEgressIp 值。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要大约 15 分钟来预配联网基础设施。对 Cloud Manager 的网络基础架构 GET 端点的调用将显示状态​“就绪”。

流量路由 dedicated-egress-ip-traffic-routing

Http 或 https 流量将通过预配置的代理，前提是它们使用标准 Java™ 系统属性进行代理配置。

如果非 http/https 流量流经 portForwards 参数中声明的端口，应该引用名为 AEM_PROXY_HOST 的属性以及映射的端口。例如：

DriverManager.getConnection("jdbc:mysql://" + System.getenv("AEM_PROXY_HOST") + ":53306/test");

功能用法 feature-usage

该功能与产生传出流量的 Java™ 代码或库兼容，前提是它们的代理配置使用了标准 Java™ 系统属性。实际上，该方法应包括大多数常用库。

下面是代码示例：

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();
  URLConnection connection = finalUrl.openConnection();
  connection.addRequestProperty("Accept", "application/json");
  connection.addRequestProperty("X-API-KEY", apiKey);

  try (InputStream responseStream = connection.getInputStream(); Reader responseReader = new BufferedReader(new InputStreamReader(responseStream, Charsets.UTF_8))) {
    return new JSONObject(new JSONTokener(responseReader));
  }
}

一些库需要明确配置，以便为代理配置使用标准 Java™ 系统属性。

使用 Apache HttpClient 的示例，其中需要明确调用
HttpClientBuilder.useSystemProperties() 或使用
HttpClients.createSystem()：

public JSONObject getJsonObject(String relativePath, String queryString) throws IOException, JSONException {
  String relativeUri = queryString.isEmpty() ? relativePath : (relativePath + '?' + queryString);
  URL finalUrl = endpointUri.resolve(relativeUri).toURL();

  HttpClient httpClient = HttpClientBuilder.create().useSystemProperties().build();
  HttpGet request = new HttpGet(finalUrl.toURI());
  request.setHeader("Accept", "application/json");
  request.setHeader("X-API-KEY", apiKey);
  HttpResponse response = httpClient.execute(request);
  String result = EntityUtils.toString(response.getEntity());
}

调试注意事项 debugging-considerations

为了验证该流量是否确实在预期的专用 IP 地址上传出，请查看目标服务中的日志（如果可用）。否则，调用 https://ifconfig.me/ip 等调试服务可能会有帮助，调试服务会返回调用 IP 地址。

虚拟专用网络 (VPN) vpn

VPN 允许从创作、发布或预览实例连接到内部部署基础架构或数据中心。例如，该功能对于保护数据库访问权限很有用。它还允许连接到 SaaS 供应商，例如支持 VPN 的 CRM 供应商。

支持大部分采用 IPSec 技术的 VPN 设备。请参阅此设备列表中 RouteBased 配置说明​列中的信息。按表中所述配置设备。

UI 配置 configuring-vpn-ui

侧面板中的​ 网络基础设施 ​标头下方会出现一条新记录。它包括基础设施类型、状态、区域以及启用的环境等详细信息。

API 配置 configuring-vpn-api

每个程序调用一次 POST /program/<programId>/networkInfrastructures 端点。它会传递配置信息的负载。该信息包括 kind 参数的 vpn 值、区域、地址空间（CIDR 列表；请注意，该值稍后无法修改）、DNS 解析器（用于解析网络中的名称）。它还包括 VPN 连接信息，例如网关配置、共享 VPN 密钥和 IP 安全性策略。端点使用 network_id 以及包括状态在内的其他信息进行响应。

在调用后，通常需要 45 到 60 分钟才能提供网络基础设施。可以调用 API 中的 GET 方法，以返回状态，该状态最终会从 creating 翻转到 ready。请参考 API 文档来了解所有状态。

流量路由 vpn-traffic-routing

下表描述了流量路由。

对配置非常有用的域 vpn-useful-domains-for-configuration

下图直观地展示了在配置和开发时非常有用的一组域和关联 IP。该图下方的表进一步说明了这些域和 IP。

在环境中启用高级网络配置 enabling

一旦为程序配置了高级网络选项，无论是灵活的端口出口， 专用出口 IP 地址，还是 VPN，要使用这些选项，必须在环境级别启用。

当您为环境启用高级网络配置时，您也可以启用可选的端口转发和非代理主机。可以根据各个环境来配置参数以提供灵活性。

启用使用 UI enabling-ui

高级网络配置将应用于所选环境。返回​ 环境 ​选项卡，您可以查看应用于所选环境的配置的详细信息及其状态。

启用使用 API enabling-api

要为环境启用高级网络配置，必须为每个环境调用 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking 端点。

API 应该会在几秒钟内做出响应，并且状态会显示为 updating。大约 10 分钟后，对 Cloud Manager 环境 GET 端点的调用显示的状态为 ready，表明已应用对环境的更新。

每个环境的端口转发规则可以通过调用 PUT /program/{programId}/environment/{environmentId}/advancedNetworking 端点进行更新，包括完整的配置参数集而不是其子集。

专用出口 IP 地址和 VPN 高级网络类型支持nonProxyHosts参数。这项支持使您可以声明一组主机，这些主机应通过共享的 IP 地址范围而不是专用的 IP 进行路由。nonProxyHost URL 可能会遵循 example.com 或 *.example.com 的模式，这种情况下仅支持在域的开头使用通配符。

即使没有环境流量路由规则（托管或绕过），仍必须调用 PUT /program/<program_id>/environment/<environment_id>/advancedNetworking，只不过在调用时使用空负载。

编辑和删除环境中的高级网络配置 editing-deleting-environments

为环境启用高级网络配置后， 您可以更新这些配置的详细信息或将其删除。

使用 UI 编辑或删除 editing-ui

更改将反映在​ 环境 ​选项卡上。

使用 API 编辑或删除 editing-api

要删除特定环境的高级网络，请调用 DELETE [/program/{programId}/environment/{environmentId}/advancedNetworking]()。

编辑和删除程序的网络基础架构 editing-deleting-program

一旦为程序创建了网络基础架构，就只能编辑有限的属性。如果您不需要它，您可以删除整个程序的高级网络基础架构。

使用 UI 进行编辑和删除 delete-ui

更改将反映在​ 环境 ​选项卡上。

使用 API 进行编辑和删除 delete-api

要​ 删除 ​项目的网络基础架构，请调用 DELETE /program/{program ID}/networkinfrastructure/{networkinfrastructureID}。

更改程序的高级网络基础架构类型 changing-program

一次只能为一个项目配置一种类型的高级网络基础设施。高级网络基础设施必须是灵活端口出口、专用出口 IP 地址或 VPN。

如果您决定需要另一种高级网络基础架构类型而不是已配置的网络基础架构类型，则删除现有的网络基础架构类型，并再创建一个网络基础架构类型。执行以下操作：

其他发布区域的高级网络配置 advanced-networking-configuration-for-additional-publish-regions

向已配置高级网络的环境中添加附加区域时，来自附加发布区域的流量将遵循现有规则。默认情况下，匹配的流量将会通过主要区域进行路由。但是，如果主要区域变得不可用，在附加区域中未启用高级网络时，高级网络流量会被丢弃。如果您希望在其中一个区域发生中断时优化延迟并提高可用性，则有必要为附加发布区域启用高级网络。以下部分描述了两种不同的场景。

专用出口 IP 地址 additional-publish-regions-dedicated-egress

高级网络已在主要区域启用 already-enabled

如果已在主要区域启用高级网络配置，请执行以下步骤：

尚未在任何区域配置高级网络 not-yet-configured

该过程与前面的说明大体相似。但是，如果生产环境尚未启用高级网络，则有机会通过首先在暂存环境中启用配置来测试配置：

VPN vpn-regions

该过程与专用出口 IP 地址指令几乎相同。唯一的区别是区域属性的配置与主要区域不同。此外，您还可以选择配置 connections.gateway 字段。该配置可以路由到您的组织运营的地理位置上更靠近新区域的其他 VPN 端点。

疑难解答

请注意，以下要点仅供参考，包含故障排除的最佳实践。这些建议旨在帮助您有效诊断和解决问题。

连接池 connection-pooling-advanced-networking

连接池是一种专门用于创建和维护连接存储库的技术，可供任何可能需要连接的线程立即使用。在各种在线平台和资源中可以找到许多连接池技术，每种技术都有其独特的优点和注意事项。Adobe 鼓励客户研究这些方法，找出最适合其系统架构的方法。

实施适当的连接池策略是一种主动措施，可以纠正系统配置中常见的疏忽，这种疏忽往往会导致性能不佳。通过正确建立连接池，Adobe Experience Manager (AEM) 可以提高外部调用的效率。该方法不仅减少了资源消耗，还降低了服务中断的风险，并减少了与上游服务器通信时请求失败的可能性。

根据此信息，Adobe 建议检查您当前的 AEM 配置。还可以考虑在高级联网设置中有意使用连接池。管理并行连接的数量并减少失效连接，有助于优化网络性能。这些操作降低了代理服务器达到其连接限制的风险。因此，此战略实施旨在降低请求无法到达外部端点的可能性。

连接限制常见问题解答

使用高级联网时，连接数量受到限制，以确保跨环境的稳定性并防止较低环境耗尽可用的连接。

每个 AEM 实例的连接数限制为 1000 个，当连接数达到 750 个时会向客户发送警报。

连接限制是否仅适用于非标准端口的出站流量或所有出站流量？

此限制仅适用于使用高级联网的连接（非标准端口上的出口、使用专用出口 IP 或 VPN）。

传出连接的数量似乎没有明显增加。为什么现在才收到通知？

如果客户动态创建连接（例如，每个请求创建一个或多个连接），则流量的增加可能会导致连接激增。

过去是否发生过类似情况而未触发警报？

仅当达到软限制时才会发送警报。

如果达到最大限制会发生什么情况？

达到硬限制时，通过高级网络（非标准端口上的出口、使用专用出口 IP 或 VPN）从 AEM 发出的新出口连接将被丢弃，以防止 DoS 攻击。

可以提高限额吗？

不可以，大量连接会对性能造成严重影响，并导致跨 pod 和环境的 DoS。

AEM 系统会在一段时间后自动关闭连接吗？

是的，JVM 级别上以及网络基础设施的不同点的连接关闭。然而，对于任何生产服务而言，这种工作流程都太晚了。当不再需要连接时，应明确关闭连接；在使用连接池时，应将连接返回至池中。否则，资源消耗过高，可能造成资源耗尽。

如果达到最大连接限制，是否会影响任何许可证并导致额外费用？

否，此限制不需要许可证或费用。这是一个技术限制。

当前使用量与限制量相差多少？允许的最大限制量是多少？

当连接数超过 750 时会触发警报。每个 AEM 实例的最大限制为 1000 个连接。

此限制适用于 VPN 吗？

是的，该限制适用于使用高级网络（包括 VPN）的连接。

使用专用出口 IP 时，这个限制是否仍然适用？

是的，如果使用专用出口 IP，该限制仍然适用。