Zugriff auf Ihren ElastiCache Cluster oder Replikationsgruppe

Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die Amazon EC2-Konsole unter. https://console.aws.amazon.com/ec2/

Wählen Sie in der Navigationsleiste unter Network &Security die Option Security Groups aus.

Wählen Sie aus der Liste der Sicherheitsgruppen die Sicherheitsgruppe Ihrer Amazon VPC aus. Sofern Sie keine Sicherheitsgruppe zur ElastiCache Verwendung erstellt haben, wird diese Sicherheitsgruppe als Standard bezeichnet.

Wählen Sie die Registerkarte Inbound und verfahren Sie dann wie folgt:

1. Wählen Sie Bearbeiten aus.

2. Wählen Sie Regel hinzufügen aus.

3. Wählen Sie in der Spalte Typ die Option Benutzerdefinierte TCP-Regel aus.

4. Geben Sie in das Feld Port Range die Portnummer Ihres Clusterknotens ein. Diese Nummer muss mit der Nummer übereinstimmen, die Sie beim Starten des Clusters angegeben haben. Der Standardport für Memcached ist 11211 Der Standardport für Valkey und Redis OSS ist. 6379

5. Wählen Sie im Feld Quelle die Option Anywhere aus, die den Portbereich (0.0.0) hat. 0/0), sodass jede Amazon EC2-Instance, die Sie in Ihrer Amazon VPC starten, eine Verbindung zu Ihren Knoten herstellen kann. ElastiCache

   Wichtig

   Öffnen des ElastiCache Clusters auf 0.0.0. 0/0 stellt den Cluster nicht dem Internet zur Verfügung, da er keine öffentliche IP-Adresse hat und daher von außerhalb der VPC nicht darauf zugegriffen werden kann. Die Standardsicherheitsgruppe kann jedoch auf andere Amazon-EC2-Instances im Kundenkonto angewendet werden und diese Instances können eine öffentliche IP-Adresse haben. Wenn diese Instances zufälligerweise eine Aktion auf dem Standardport ausführen, dann könnte dieser Service unbeabsichtigt zugänglich gemacht werden. Daher wird empfohlen, eine VPC-Sicherheitsgruppe einzurichten, die ausschließlich von ElastiCache genutzt wird. Weitere Informationen finden Sie unter Benutzerdefinierte Sicherheitsgruppen.

6. Wählen Sie Speichern.

Starten Sie eine EC2-Instance in derselben VPC wie Ihr Cluster, jedoch in einem öffentlichen Subnetz. Diese Instance fungiert als Ihr Host. NAT/port-forwarding

Verwenden Sie ein aktuelles Amazon Linux 2023 AMI (oder ein anderes Linux-AMI Ihrer Wahl). Wählen Sie eine Instance-Größe aus, die auf Ihrem erwarteten Datenverkehr basiert. Die Instance benötigt ein öffentliches Subnetz, eine Elastic IP-Adresse und aktiviertes IP-Forwarding.

Informationen zum Starten von EC2-Instances finden Sie unter Starten einer Instance im Amazon Elastic Compute Cloud-Benutzerhandbuch.

Erstellen Sie Sicherheitsgruppenregeln für den Cluster und die NAT-Instance.

Die Sicherheitsgruppe der NAT-Instance und die Cluster-Instance sollten folgende Regeln besitzen:

Validieren Sie die Regeln.

Memcached

Fügen Sie der NAT-Instance eine iptables-Regel hinzu.

Eine iptables-Regel muss der NAT-Tabelle für jeden Knoten im Cluster hinzugefügt werden, um den Cache-Port von der NAT-Instance an den Cluster-Knoten weiterzuleiten. Ein Beispiel könnte folgendermaßen aussehen:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211

Die Portnummer muss für jeden Knoten im Cluster eindeutig sein. Wenn Sie z. B. mit einem aus drei Knoten bestehenden Memcached-Cluster unter Verwendung der Ports 11211 – 11213 arbeiten, sehen die Regeln wie folgt aus:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11212 -j DNAT --to 10.0.1.231:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11213 -j DNAT --to 10.0.1.232:11211

Bestätigen Sie, dass der vertrauenswürdige Client eine Verbindung mit dem Cluster herstellen kann.

Der vertrauenswürdige Client sollte eine Verbindung mit dem EIP herstellen, der der NAT-Instance zugewiesen ist, und dem Cluster-Port, der dem entsprechenden Cluster-Knoten entspricht. Die Verbindungszeichenfolge für PHP sieht beispielsweise wie folgt aus:

$memcached->connect( '203.0.113.73', 11211 );
$memcached->connect( '203.0.113.73', 11212 );
$memcached->connect( '203.0.113.73', 11213 );

Zum Überprüfen der Verbindung kann auch ein Telnet-Client verwendet werden. Beispiel:

telnet 203.0.113.73 11211
telnet 203.0.113.73 11212
telnet 203.0.113.73 11213

Valkey oder Redis OSS

Fügen Sie der NAT-Instance eine iptables-Regel hinzu.

Eine iptables-Regel muss der NAT-Tabelle für jeden Knoten im Cluster hinzugefügt werden, um den Cache-Port von der NAT-Instance an den Cluster-Knoten weiterzuleiten. Ein Beispiel könnte folgendermaßen aussehen:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379

Die Portnummer muss für jeden Knoten im Cluster eindeutig sein. Wenn Sie beispielsweise mit einem Redis OSS-Cluster mit drei Knoten arbeiten, der die Ports 6379 — 6381 verwendet, würden die Regeln wie folgt aussehen:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6380 -j DNAT --to 10.0.1.231:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6381 -j DNAT --to 10.0.1.232:6379

Bestätigen Sie, dass der vertrauenswürdige Client eine Verbindung mit dem Cluster herstellen kann.

Der vertrauenswürdige Client sollte eine Verbindung mit dem EIP herstellen, der der NAT-Instance zugewiesen ist, und dem Cluster-Port, der dem entsprechenden Cluster-Knoten entspricht. Die Verbindungszeichenfolge für PHP sieht beispielsweise wie folgt aus:

redis->connect( '203.0.113.73', 6379 );
redis->connect( '203.0.113.73', 6380 );
redis->connect( '203.0.113.73', 6381 );

Zum Überprüfen der Verbindung kann auch ein Telnet-Client verwendet werden. Beispiel:

telnet 203.0.113.73 6379
telnet 203.0.113.73 6380
telnet 203.0.113.73 6381

Speichern Sie die iptables-Konfiguration.

Speichern Sie die Regeln, nachdem Sie sie getestet und überprüft haben. Wenn Sie eine Redhat-based Linux-Distribution (wie Amazon Linux) verwenden, führen Sie den folgenden Befehl aus:

service iptables save