Zugreifen auf Ihren ElastiCache Cluster oder Ihre Replikationsgruppe

Melden Sie sich bei der an AWS Management Console und öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

Wählen Sie in der Navigationsleiste unter Network &Security die Option Security Groups aus.

Wählen Sie aus der Liste der Sicherheitsgruppen die Sicherheitsgruppe für Ihr Amazon ausVPC. Sofern Sie keine Sicherheitsgruppe zur ElastiCache Verwendung erstellt haben, wird diese Sicherheitsgruppe als Standard bezeichnet.

Wählen Sie die Registerkarte Inbound und verfahren Sie dann wie folgt:

1. Wählen Sie Edit aus.

2. Wählen Sie Regel hinzufügen aus.

3. Wählen Sie in der Spalte Typ die Option Benutzerdefinierte TCP Regel aus.

4. Geben Sie in das Feld Port Range die Portnummer Ihres Clusterknotens ein. Diese Nummer muss mit der Nummer übereinstimmen, die Sie beim Starten des Clusters angegeben haben. Der Standardport für Memcached ist 11211 Der Standardport für Valkey und Redis ist. OSS 6379

5. Wählen Sie im Feld Quelle die Option Anywhere mit dem Portbereich (0.0.0.0/0) aus, sodass jede EC2 Amazon-Instance, die Sie in Ihrem Amazon starten, eine Verbindung zu Ihren VPC Knoten herstellen kann. ElastiCache

   Wichtig

   Wenn Sie den ElastiCache Cluster für 0.0.0.0/0 öffnen, wird der Cluster nicht dem Internet zugänglich gemacht, da er keine öffentliche IP-Adresse hat und daher nicht von außerhalb des darauf zugegriffen werden kann. VPC Die Standardsicherheitsgruppe kann jedoch auf andere EC2 Amazon-Instances im Kundenkonto angewendet werden, und diese Instances können eine öffentliche IP-Adresse haben. Wenn diese Instances zufälligerweise eine Aktion auf dem Standardport ausführen, dann könnte dieser Service unbeabsichtigt zugänglich gemacht werden. Daher empfehlen wir, eine VPC Sicherheitsgruppe zu erstellen, die ausschließlich von verwendet wird ElastiCache. Weitere Informationen finden Sie unter Benutzerdefinierte Sicherheitsgruppen.

6. Wählen Sie Save (Speichern) aus.

Erstellen Sie eine NAT Instanz im selben VPC wie Ihr Cache-Cluster, jedoch in einem öffentlichen Subnetz.

Standardmäßig startet der VPC Assistent den Knotentyp cache.m1.small. Wählen Sie eine Knotengröße aus, die Ihren Anforderungen entspricht. Sie müssen verwenden EC2 NATAMI, um von außen darauf zugreifen zu können. ElastiCache AWS

Informationen zum Erstellen einer NAT Instanz finden Sie im AWS VPC Benutzerhandbuch unter NATInstanzen.

Erstellen Sie Sicherheitsgruppenregeln für den Cache-Cluster und die NAT Instanz.

Die NAT Instanz-Sicherheitsgruppe und die Clusterinstanz sollten die folgenden Regeln haben:

Validieren Sie die Regeln.

Memcached

Fügen Sie der Instanz eine iptables-Regel hinzu. NAT

Für jeden Knoten im Cluster muss der NAT Tabelle eine iptables-Regel hinzugefügt werden, um den Cache-Port von der NAT Instanz an den Clusterknoten weiterzuleiten. Ein Beispiel könnte folgendermaßen aussehen:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211

Die Portnummer muss für jeden Knoten im Cluster eindeutig sein. Wenn Sie z. B. mit einem aus drei Knoten bestehenden Memcached-Cluster unter Verwendung der Ports 11211 – 11213 arbeiten, sehen die Regeln wie folgt aus:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11212 -j DNAT --to 10.0.1.231:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11213 -j DNAT --to 10.0.1.232:11211

Bestätigen Sie, dass der vertrauenswürdige Client eine Verbindung mit dem Cluster herstellen kann.

Der vertrauenswürdige Client sollte eine Verbindung zu dem mit der NAT Instanz EIP verknüpften und dem Cluster-Port herstellen, der dem entsprechenden Clusterknoten entspricht. Die Verbindungszeichenfolge für PHP könnte beispielsweise wie folgt aussehen:

$memcached->connect( '203.0.113.73', 11211 );
$memcached->connect( '203.0.113.73', 11212 );
$memcached->connect( '203.0.113.73', 11213 );

Zum Überprüfen der Verbindung kann auch ein Telnet-Client verwendet werden. Beispielsweise:

telnet 203.0.113.73 11211
telnet 203.0.113.73 11212
telnet 203.0.113.73 11213

Valkey oder Redis OSS

Fügen Sie der Instanz eine iptables-Regel hinzu. NAT

Für jeden Knoten im Cluster muss der NAT Tabelle eine iptables-Regel hinzugefügt werden, um den Cache-Port von der NAT Instanz an den Clusterknoten weiterzuleiten. Ein Beispiel könnte folgendermaßen aussehen:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379

Die Portnummer muss für jeden Knoten im Cluster eindeutig sein. Wenn Sie beispielsweise mit einem OSS Redis-Cluster mit drei Knoten arbeiten und die Ports 6379 — 6381 verwenden, würden die Regeln wie folgt aussehen:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6380 -j DNAT --to 10.0.1.231:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6381 -j DNAT --to 10.0.1.232:6379

Bestätigen Sie, dass der vertrauenswürdige Client eine Verbindung mit dem Cluster herstellen kann.

Der vertrauenswürdige Client sollte eine Verbindung zu dem der EIP NAT Instanz und dem Cluster-Port herstellen, der dem entsprechenden Clusterknoten entspricht. Die Verbindungszeichenfolge für PHP könnte beispielsweise wie folgt aussehen:

redis->connect( '203.0.113.73', 6379 );
redis->connect( '203.0.113.73', 6380 );
redis->connect( '203.0.113.73', 6381 );

Zum Überprüfen der Verbindung kann auch ein Telnet-Client verwendet werden. Beispielsweise:

telnet 203.0.113.73 6379
telnet 203.0.113.73 6380
telnet 203.0.113.73 6381

Speichern Sie die iptables-Konfiguration.

Speichern Sie die Regeln, nachdem Sie sie getestet und überprüft haben. Wenn Sie eine Redhat-Linux-Verteilung (wie Amazon Linux) verwenden, führen Sie den folgenden Befehl aus:

service iptables save