Accès à votre ElastiCache cluster ou groupe de réplication

Connectez-vous à Console de gestion AWS et ouvrez la console Amazon EC2 à https://console.aws.amazon.com/ec2/ l'adresse.

Dans le volet de navigation, sous Réseau et sécurité, choisissez Groupes de sécurité.

Dans la liste des groupes de sécurité, choisissez le groupe de sécurité de votre Amazon VPC. À moins que vous n'ayez créé un groupe de sécurité à ElastiCache utiliser, ce groupe de sécurité sera nommé par défaut.

Choisissez l'onglet Entrant et effectuez les opérations suivantes :

1. Choisissez Edit (Modifier).

2. Choisissez Ajouter une règle.

3. Dans la colonne Type, choisissez Règle TCP personnalisée.

4. Dans la zone Port range, tapez le numéro de port de votre nœud de cluster de Ce numéro doit être le même que celui que vous avez spécifié lorsque vous avez lancé le cluster. Le port par défaut pour Memcached est 11211 Le port par défaut pour Valkey et Redis OSS est. 6379

5. Dans la zone Source, choisissez Anywhere qui possède la plage de ports (0.0.0). 0/0) afin que toute instance Amazon EC2 que vous lancez dans votre Amazon VPC puisse se connecter à vos ElastiCache nœuds.

   Important

   Ouverture du ElastiCache cluster à la version 0.0.0. 0/0 n'expose pas le cluster à Internet car il ne possède pas d'adresse IP publique et n'est donc pas accessible depuis l'extérieur du VPC. Toutefois, le groupe de sécurité par défaut peut être appliqué aux autres instances Amazon EC2 dans le compte du client et ces instances peuvent voir une adresse IP publique. Si ces instances exécutent un service sur le port par défaut, ce service peut être exposé accidentellement. Nous vous recommandons donc de créer un groupe de sécurité VPC qui sera utilisé exclusivement par ElastiCache. Pour plus d'informations, consultez Groupes de sécurité personnalisés.

6. Choisissez Enregistrer.

Lancez une instance EC2 dans le même VPC que votre cluster mais dans un sous-réseau public. Cette instance agira en tant qu' NAT/port-forwarding hôte.

Utilisez une AMI Amazon Linux 2023 actuelle (ou une autre AMI Linux de votre choix). Sélectionnez une taille d'instance en fonction du trafic attendu. L'instance doit disposer d'un sous-réseau public, d'une adresse IP élastique et d'un transfert IP activé.

Pour plus d'informations sur le lancement d'instances EC2, consultez la section Lancer une instance dans le guide de l'utilisateur d'Amazon Elastic Compute Cloud.

Créez des règles de groupe de sécurité pour le cluster et l'instance NAT.

Le groupe de sécurité de l’instance NAT et l’instance de cluster doivent avoir les règles suivantes :

Validez les règles.

Memcached

Ajoutez une règle iptables à l'instance NAT.

Une règle iptables doit être ajoutée à la table NAT pour chaque nœud dans le cluster pour rediriger le port de cache depuis l'instance NAT vers le nœud de cluster. Voici un exemple possible :

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211

Le numéro de port doit être unique pour chaque nœud du cluster. Par exemple, si vous utilisez un cluster de Memcached de trois nœuds avec les ports 11211 – 11213, les règles devraient se présenter comme suit :

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11211 -j DNAT --to 10.0.1.230:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11212 -j DNAT --to 10.0.1.231:11211
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 11213 -j DNAT --to 10.0.1.232:11211

Vérifiez que le client de confiance peut se connecter au cluster.

Le client de confiance doit se connecter à l'EIP associée à l'instance NAT et au port de cluster correspondant au nœud de cluster approprié. Par exemple, la chaîne de connexion pour PHP pourrait ressembler à ce qui suit :

$memcached->connect( '203.0.113.73', 11211 );
$memcached->connect( '203.0.113.73', 11212 );
$memcached->connect( '203.0.113.73', 11213 );

Un client Telnet peut également être utilisé pour vérifier la connexion. Par exemple :

telnet 203.0.113.73 11211
telnet 203.0.113.73 11212
telnet 203.0.113.73 11213

Valkey ou Redis OSS

Ajoutez une règle iptables à l'instance NAT.

Une règle iptables doit être ajoutée à la table NAT pour chaque nœud dans le cluster pour rediriger le port de cache depuis l'instance NAT vers le nœud de cluster. Voici un exemple possible :

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379

Le numéro de port doit être unique pour chaque nœud du cluster. Par exemple, si vous travaillez avec un cluster Redis OSS à trois nœuds utilisant les ports 6379 à 6381, les règles seraient les suivantes :

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6379 -j DNAT --to 10.0.1.230:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6380 -j DNAT --to 10.0.1.231:6379
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 6381 -j DNAT --to 10.0.1.232:6379

Vérifiez que le client de confiance peut se connecter au cluster.

Le client de confiance doit se connecter à l'EIP associée à l'instance NAT et au port de cluster correspondant au nœud de cluster approprié. Par exemple, la chaîne de connexion pour PHP pourrait ressembler à ce qui suit :

redis->connect( '203.0.113.73', 6379 );
redis->connect( '203.0.113.73', 6380 );
redis->connect( '203.0.113.73', 6381 );

Un client Telnet peut également être utilisé pour vérifier la connexion. Par exemple :

telnet 203.0.113.73 6379
telnet 203.0.113.73 6380
telnet 203.0.113.73 6381

Enregistrez la configuration iptables.

Enregistrez les règles après les avoir testées et vérifiées. Si vous utilisez une distribution Redhat-based Linux (telle qu'Amazon Linux), exécutez la commande suivante :

service iptables save