Verbessern Sie Leistung, Genauigkeit und Sicherheit mit AWS Global Accelerator

Wie lässt sich die Verfügbarkeit, Leistung und Sicherheit einer Anwendung oder Website mit AWS Global Accelerator verbessern?

AWS Global Accelerator ist ein Netzwerkschichtdienst mit IPs Anycast AWS ist ein Dienst, der den Benutzerdatenverkehr vom nächstgelegenen Einstiegspunkt in das globale AWS-Netzwerk zu Ihrem optimalen Endpunkt leitet. Dieser praktische und technische Leitfaden enthält Implementierungsschritte, AWS-CLI-Befehle, Serverkonfigurationen, Optimierungstipps und Sicherheitsempfehlungen zur Verbesserung der Verfügbarkeit, Leistung und Sicherheit einer Beispielanwendung/Website.

Warum AWS Global Accelerator nutzen?

Wichtigste Vorteile:

• Globale Anycast-IPs: Eine oder zwei statische IPs, die weltweit bekannt gegeben werden, wodurch die Notwendigkeit entfällt, die DNS-Einstellungen zu ändern, wenn der Datenverkehr in verschiedene Regionen geleitet wird.
• Optimale Routen im AWS-Netzwerk: Der Datenverkehr wird innerhalb des schnellen und latenzarmen AWS-Netzwerks abgewickelt, wodurch das öffentliche Internet weniger genutzt wird.
• TCP- und UDP-Unterstützung: Geeignet für HTTP/HTTPS, Gaming, VoIP und Trading mit geringen Latenzanforderungen.
• Schnelles Failover zwischen Regionen: Zentralisierte Gesundheitsprüfung und schnelle Weiterleitung des Datenverkehrs zu fehlerfreien Endpunkten.

Vorgeschlagene Architektur für Beispielanwendung und Website

Ein Beispiel für eine Multi-Region-Architektur mit Global Accelerator:

• Zwei Regionen (z.B. us-east-1 Und eu-west-1) von denen jede hat NLB Oder ALB Und dahinter stehen EC2/Auto Scaling Groups oder Kubernetes.
• Globaler Accelerator mit zwei Endpunktgruppe (jeweils einer Region zugeordnet) und ein Listener auf den Ports 80/443 (TCP) oder UDP-Ports für das Spiel.
• Für statische Inhalte von einem CDN (z.B. CloudFront oder ein unternehmensweites CDN mit mehr als 85 Standorten).
• Zum Schutz vor DDoS-Angriffen AWS Shield Advanced Und für die Filterung auf Anwendungsebene von AWS WAF Nutzen Sie ALB/CloudFront.
• Überwachung und Alarmierung über CloudWatch und Integration mit operativen Kanälen.

Schritt für Schritt: Erstellen eines Accelerators mit der AWS CLI (Praktisches Beispiel)

Wichtige Schritte zur Erstellung eines Accelerators mit der AWS CLI und Beispielbefehle:

aws globalaccelerator create-accelerator --name my-accelerator --ip-address-type IPV4 --enabled

Die Ausgabe umfasst AcceleratorArn Und es wird dedizierte Anycast-IPs geben, die Sie im DNS verwenden können.

aws globalaccelerator create-listener --accelerator-arn <AcceleratorArn> --protocol TCP --port-ranges From=443,To=443

Erstellen einer Endpunktgruppe für Regionen (Beispiel für us-east-1 zu NLB):

aws globalaccelerator create-endpoint-group --listener-arn <ListenerArn> --endpoint-group-region us-east-1 --endpoint-configurations EndpointId=<NLB_ARN>,Weight=128 --health-check-protocol HTTP --health-check-path /health --health-check-interval-seconds 10 --threshold-count 3

Wichtige Hinweise:

• Endpunkt-ID Kann die ARN eine sein? NLB, ALBoder IP-Adresse (für EC2 oder On-Premise).
• Gesundheitscheck auf der Strecke /Gesundheit Halten Sie die Position und senden Sie eine einfache 200-Antwort für den Gesundheitszustand zurück.

Einfaches Anwendungsbeispiel (Node.js) und Health-Check-Test

Node.js-Serverinstanz, dieser Pfad /Gesundheit Es wird eine 200-Antwort zurückgegeben und die Regionsmeldung angezeigt:

const http = require('http');
http.createServer((req, res) => {
  if (req.url === '/health') return res.writeHead(200).end('ok');
  res.writeHead(200, {'Content-Type':'text/plain'});
  res.end('Hello from region X');
}).listen(3000);

Platzieren Sie diese Anwendung in einer EC2-Instanz oder einem Container hinter einem NLB/ALB und stellen Sie sicher, dass der Pfad /Gesundheit Es gibt in jedem Fall eine 200-Antwort zurück.

Aufrechterhaltung der Client-IP und des Proxy-Protokolls

Wichtige Hinweise zur Beibehaltung der Client-IP-Adresse:

• NLB: Wenn Sie NLB verwenden, kann Global Accelerator Die tatsächliche IP-Adresse des Clients und die Anwendung kann die ursprüngliche IP-Adresse sehen.
• ALB: Normalerweise Überschrift X-Forwarded-For Um die IP-Adresse auf dem ALB vollständig zu erhalten, verwenden Sie ein Proxy-Protokoll oder platzieren Sie einen NLB vor dem ALB.
• Nutzen Sie diese Funktion, um das Proxy-Protokoll v2 in NLB bei der Registrierung von Zielen zu aktivieren und es in NGINX/HAProxy zu verarbeiten.

Beispiel für die Aktivierung von PROXY v2 in NGINX (mit Stream-Modul Für TCP):

stream {
    server {
        listen 443 proxy_protocol;
        proxy_pass backend:443;
        proxy_protocol_timeout 10s;
    }
}

Und in den serverseitigen Einstellungen der Anwendung muss das Proxy-Protokoll verarbeitet werden.

Leistungsoptimierung für Handel, Gaming, Web und KI

Optimierungsstrategien basierend auf dem Anwendungstyp:

• Handel und Spiel: Verwenden Sie UDP oder TCP mit den wenigsten Hops. Global Accelerator leitet den Datenverkehr über das AWS-Netzwerk; für Trades wird die Region mit dem nächstgelegenen Endpunkt oder der nächstgelegenen Konfiguration verwendet. Verkehrsmelder Bietet den niedrigsten Ping.
• Website und API: Verwendung von HTTP/2, Wiederaufnahme der TLS-Sitzung, OCSP-HeftungKompression GZIP/Brotli und Komprimierung auf CDN oder NLB/ALB.
• KI/Rendering: Bei hohem Datenverkehr empfiehlt sich der Einsatz von NLB und einer Multi-Region-Architektur. Falls GPUs benötigt werden, sollten Grafikserver in bestimmten Regionen verwendet werden.

TCP-Tuning auf Linux-Servern (Beispielbefehle):

sudo sysctl -w net.core.somaxconn=65535
sudo sysctl -w net.ipv4.tcp_tw_reuse=1
sudo sysctl -w net.ipv4.tcp_fin_timeout=15

Und um die Änderung dauerhaft zu machen, wählen Sie die entsprechenden Optionen aus. /etc/sysctl.conf Hinzufügen.

NGINX-Optimierung für hohe Verbindungen (Beispielkonfiguration):

worker_processes auto;
worker_connections 65536;
keepalive_timeout 65;
tcp_nopush on;
tcp_nodelay on;

Sicherheit: WAF, Shield, TLS und Zugriffsmanagement

Wichtige Sicherheitstipps:

• DDoS: Globaler Accelerator mit AWS Shield Im Lieferumfang enthalten; für eine umfassendere Abdeckung Shield Advanced Aktivieren Sie diese Option, um Ihre Anycast-IPs zu schützen.
• WAF: Global Accelerator verfügt nicht über eine eigene WAF, aber Sie können AWS WAF Platzieren Sie es auf einem ALB oder CloudFront, um den Datenverkehr der Anwendungsschicht zu filtern.
• TLS: Beenden Sie TLS auf dem ALB oder dem Load Balancer/NGINX. Wenn Sie End-to-End-TLS benötigen, verwenden Sie Zertifikate auch auf den Endpunkten (z. B. mit ACM).
• Ratenbegrenzung und Bot-Schutz: Erstellen Sie benutzerdefinierte Regeln in der WAF-Schicht und verwenden Sie JWT und Ratenbegrenzungen für die API.
• ICH BIN: Beschränken Sie den Zugriff auf die Abläufe des Global Accelerator durch geeignete Richtlinien (z. B. Zugriffskontrolle für Aktionen im Zusammenhang mit globalaccelerator:*).
• Protokollierung: Aktivierung VPC-Flow-Logs, ALB/NLB-Zugriffsprotokolle und CloudWatch-Protokolle Zur Überwachung und Analyse von Ereignissen.

Leistungsüberwachung und -prüfung

Empfohlene Tools und Kennzahlen:

• CloudWatch-Metriken Für globale Acceleratoren wie FlowCount, NewFlowCount, BytesProcessed Und ClientTLSNegotiationErrorCount.
• Definieren Sie Alarme für Verkehrszunahmen oder -abnahmen und reagieren Sie automatisch oder benachrichtigen Sie das Betriebsteam.
• Verwendung synthetischer Schecks oder Gesundheitschecks entlang der Route 53 Um von mehreren Standorten aus zu prüfen.
• Lasttests mit Tools wie k6, arbeiten Oder Gatling Und Tests in jeder Region.
• Latenzüberwachung mit RUM oder synthetischen Sonden von wichtigen Punkten für Benutzer (Gamer, Händler).

Praxisszenarien und Umsetzungstipps

Praktische Hinweise und Umsetzungstipps:

1. Schnelles Failover zwischen Regionen: Global Accelerator-Integritätsprüfungen auf schnellen Pfaden definieren (z.B. /Gesundheit) und von Verkehrswahl Dient zur Verringerung/Erhöhung des Verkehrsanteils.
2. Reduzierung des Wartungsaufwands für DNS-Änderungen: Statische Anycast-IPs ermöglichen die Weiterleitung des Datenverkehrs an eine funktionierende Region, ohne dass die DNS-Einstellungen geändert werden müssen.
3. Kombinierte Nutzung mit einem unternehmenseigenen CDN: Ein statisches CDN am Edge (über 85 Standorte) bringt statische Dateien näher an den Benutzer, und Global Accelerator wird für dynamische Routen und APIs verwendet.
4. Kosten und Effizienz: Global Accelerator berechnet Stunden- und Datengebühren; bei hohem Datenverkehr empfiehlt sich ein Vergleich mit Lösungen wie CloudFront + Regional ALB/NLB.

Vergleich von Rechenzentrumsstandorten und Auswahl der besten Region

Tipps zur Auswahl der richtigen Region:

• Die nächstgelegene Region ist nicht immer die beste in Bezug auf die Round-Trip-Time (RTT); die Qualität der Internetverbindung zwischen dem Benutzer und dem AWS PoP sowie die Kapazität der Region spielen ebenfalls eine Rolle.
• Für Gamer und Trader kann die Nutzung einer AWS-Edge-Region in der Nähe des POP-ISP des Nutzers oder die Verwendung von VPS an Standorten in Kundennähe den Ping reduzieren.
• Für KI und Rendering ist es wichtig, eine Region zu wählen, die GPU-Cloud und Hochgeschwindigkeitsspeicher (NVMe oder EBS Provisioned IOPS) bietet.
• Die beste Vorgehensweise ist, A/B-Tests zwischen Regionen durchzuführen und den Global Accelerator zu nutzen, um den Traffic in die beste Region zu lenken.

Beispielszenario: Website-Launch mit Global Accelerator (Schritteübersicht)

Zusammenfassung der Implementierungsschritte:

1. Die Anwendung wird in zwei Regionen mit NLB/ALB und Auto Scaling bereitgestellt.
2. Pfaddefinition /Gesundheit In der App.
3. Erstellen Sie Accelerator und Listener mit der AWS CLI oder der Konsole.
4. Erstellen Sie Endpoint-Gruppen und fügen Sie NLB/ALB-ARNs hinzu.
5. Binden Sie Anycast-IPs an DNS (A-Eintrag) oder richten Sie einen CNAME für CDN ein.
6. Aktivieren Sie Shield Advanced und WAF zum Schutz.
7. Aktivieren Sie CloudWatch und definieren Sie Alarme; führen Sie Lasttests durch und überprüfen Sie Latenz/Verfügbarkeit.
8. Nutzen Sie bei Bedarf das CDN des Unternehmens für Assets und Session-/Cookie-Management, um persistente Sitzungen zu ermöglichen.

Abschließende Tipps und bewährte Vorgehensweisen

Bewährte Verfahren im Überblick:

• Definition von kurzen und unabhängigen Gesundheitschecks.
• Verwendung von ACM und TLS-Offloading auf dem ALB.
• Für Echtzeit-Datenverkehr (UDP) verwenden Sie Global Accelerator, um Jitter und Paketverluste zu reduzieren.
• Die Dokumentation von ARNs und Anycast-IPs sowie die Erstellung von Failover-Runbooks sind für das Betriebsteam unerlässlich.

Fazit und nächste Schritte

AWS Global Accelerator ist ein leistungsstarkes Tool zur Verbesserung von Performance, Verfügbarkeit und Sicherheit, insbesondere in Multi-Region-Architekturen mit NLB/ALB und Sicherheitsdiensten. In Kombination mit Grafikinfrastruktur, spezialisierten VPS und Edge-CDN optimiert es die Benutzererfahrung für Spiele-, Handels- und KI-Anwendungen.

Häufig gestellte Fragen