Mejore el rendimiento, la precisión y la seguridad con AWS Global Accelerator

¿Cómo mejorar la disponibilidad, el rendimiento y la seguridad de una aplicación o sitio web con AWS Global Accelerator?

AWS Global Accelerator es un servicio de capa de red con IP Anycast Es un servicio que enruta el tráfico de usuarios desde el punto de entrada más cercano a la red global de AWS hasta su punto final óptimo. Esta guía práctica y técnica proporciona pasos de implementación, comandos de la CLI de AWS, configuraciones de servidor, consejos de optimización y recomendaciones de seguridad para mejorar la disponibilidad, el rendimiento y la seguridad de una aplicación o sitio web de ejemplo.

¿Por qué utilizar AWS Global Accelerator?

Beneficios clave:

• IP Anycast globales: Una o dos IP estáticas que se anuncian en todo el mundo, lo que elimina la necesidad de cambiar el DNS al enrutar el tráfico a diferentes regiones.
• Rutas óptimas en la red de AWS: El tráfico viaja dentro de la red de AWS de alta velocidad y baja latencia, y se utiliza menos Internet público.
• Compatibilidad con TCP y UDP: Adecuado para HTTP/HTTPS, juegos, VoIP y comercio con requisitos de baja latencia.
• Conmutación por error rápida entre regiones: Comprobación de estado centralizada y enrutamiento rápido del tráfico hacia puntos finales en buen estado.

Arquitectura sugerida para la aplicación de muestra y el sitio web

Un ejemplo de una arquitectura multirregional que utiliza Global Accelerator:

• Dos regiones (p. ej. nosotros-este-1 y eu-oeste-1) cada uno de los cuales tiene Liga Nacional de Béisbol O ALBA Y detrás de esto están EC2/Auto Scaling Group o Kubernetes.
• Acelerador global con dos grupo de puntos finales (cada uno a una región) y un oyente en los puertos 80/443 (TCP) o puertos UDP para el juego.
• Para contenido estático de una CDN (p. ej. CloudFront o CDN corporativo con más de 85 ubicaciones).
• Para protegerse contra ataques DDoS desde AWS Shield Advanced Y para el filtrado de la capa de aplicación desde AWS WAF Aproveche ALB/CloudFront.
• Monitoreo y alerta vía CloudWatch y la integración con los canales operativos.

Paso a paso: creación de un acelerador con AWS CLI (ejemplo práctico)

Pasos clave para crear un acelerador con AWS CLI y comandos de ejemplo:

aws globalaccelerator create-accelerator --name my-accelerator --ip-address-type IPV4 --enabled

La salida incluye AceleradorArn Y habrá IP Anycast dedicadas que podrás usar en DNS.

aws globalaccelerator create-listener --accelerator-arn <AcceleratorArn> --protocol TCP --port-ranges From=443,To=443

Crear un grupo de puntos finales para regiones (ejemplo para us-east-1 a NLB):

aws globalaccelerator create-endpoint-group --listener-arn <ListenerArn> --endpoint-group-region us-east-1 --endpoint-configurations EndpointId=<NLB_ARN>,Weight=128 --health-check-protocol HTTP --health-check-path /health --health-check-interval-seconds 10 --threshold-count 3

Notas importantes:

• ID de punto final ¿Puede el ARN ser un? Liga Nacional de Béisbol, ALBA, o dirección IP (para EC2 o local).
• Control de salud en la ruta /salud Mantenga y devuelva una respuesta simple de 200 para la salud.

Ejemplo de aplicación simple (Node.js) y prueba de comprobación de estado

Instancia del servidor Node.js en esa ruta /salud Devuelve una respuesta 200 y muestra el mensaje de la región:

const http = require('http');
http.createServer((req, res) => {
  if (req.url === '/health') return res.writeHead(200).end('ok');
  res.writeHead(200, {'Content-Type':'text/plain'});
  res.end('Hello from region X');
}).listen(3000);

Coloque esta aplicación en EC2 o en un contenedor detrás de NLB/ALB y asegúrese de que la ruta /salud Devuelve una respuesta 200 en cada instancia.

Mantenimiento de la IP del cliente y del protocolo proxy

Puntos importantes sobre la conservación de la dirección IP del cliente:

• NLB: Si utiliza NLB, Global Accelerator puede IP real del cliente y la aplicación puede ver la IP original.
• ALBA: Generalmente encabezado X-Reenviado-Para Para preservar completamente la IP en el ALB, utilice un protocolo Proxy o coloque NLB delante del ALB.
• Utilice esta función para habilitar el Protocolo Proxy v2 en NLB al registrar objetivos y procesarlo en NGINX/HAProxy.

Ejemplo de habilitación de PROXY v2 en NGINX (con módulo de flujo Para TCP):

stream {
    server {
        listen 443 proxy_protocol;
        proxy_pass backend:443;
        proxy_protocol_timeout 10s;
    }
}

Y en la configuración del lado del servidor de la aplicación, procese el protocolo proxy.

Optimización del rendimiento para comercio, juegos, web e IA

Estrategias de optimización según el tipo de aplicación:

• Comercio y juego: Utilice UDP o TCP con la menor cantidad de saltos. Global Accelerator mueve el tráfico a través de la red de AWS; para las transacciones, la región con el punto final o la configuración más cercana. diales de tráfico Ofrece el ping más bajo.
• Sitio web y API: Uso de HTTP/2, Reanudación de sesión TLS, Grapado OCSP, compresión GZIP/Brotli y compresión en CDN o NLB/ALB.
• IA/Renderizado: Para un gran tráfico de datos, utilice NLB y una arquitectura multirregional y, si necesita GPU, utilice servidores gráficos en regiones específicas.

Ajuste de TCP del servidor Linux (comandos de ejemplo):

sudo sysctl -w net.core.somaxconn=65535
sudo sysctl -w net.ipv4.tcp_tw_reuse=1
sudo sysctl -w net.ipv4.tcp_fin_timeout=15

Y para hacerlo permanente, seleccione las opciones en /etc/sysctl.conf Agregar.

Ajuste de NGINX para conexiones altas (configuración de ejemplo):

worker_processes auto;
worker_connections 65536;
keepalive_timeout 65;
tcp_nopush on;
tcp_nodelay on;

Seguridad: WAF, Shield, TLS y gestión de acceso

Consejos clave de seguridad:

• Denegación de servicio distribuido (DDoS): Acelerador global con Escudo de AWS Viene con; para una cobertura más amplia Escudo avanzado Habilite esta opción para proteger sus IP Anycast.
• WAF: Global Accelerator no tiene su propio WAF, pero puedes AWS WAF Colóquelo en ALB o CloudFront para filtrar el tráfico de la capa de aplicación.
• TLS: Terminar la TLS en el ALB o en el balanceador de carga/NGINX. Si necesita TLS de extremo a extremo, utilice certificados también en los puntos finales (por ejemplo, con ACM).
• Limitación de velocidad y protección contra bots: Cree reglas personalizadas en la capa WAF y utilice JWT y límites de velocidad para la API.
• SOY: Restrinja el acceso a las operaciones del Acelerador Global con políticas adecuadas (por ejemplo, control de acceso a acciones relacionadas con acelerador global:*).
• Explotación florestal: Activación Registros de flujo de VPC, registros de acceso ALB/NLB y Registros de CloudWatch Para monitorear y analizar eventos.

Monitoreo y pruebas de rendimiento

Herramientas y métricas sugeridas:

• Métricas de CloudWatch Para aceleradores globales como Conteo de flujo, Nuevo recuento de flujo, Bytes procesados y Recuento de errores de negociación de ClientTLS.
• Define alarmas para aumentos o disminuciones de tráfico y responde o notifica automáticamente al equipo de operaciones.
• Utilizando controles sintéticos o Controles de salud de la Ruta 53 Para comprobar desde múltiples ubicaciones.
• Pruebas de carga con herramientas como k6, trabajar O Gatling Y pruebas en cada región.
• Monitoreo de latencia con RUM o sondas sintéticas desde puntos importantes para los usuarios (jugadores, comerciantes).

Escenarios prácticos y consejos de implementación

Cuestiones prácticas y consejos de implementación:

1. Conmutación por error rápida entre regiones: Definir comprobaciones de estado del Acelerador global en rutas rápidas (p. ej. /salud) y de Marcador de tráfico Úselo para disminuir/aumentar el porcentaje de tráfico.
2. Reducir el mantenimiento de cambios de DNS: Las direcciones IP Anycast estáticas permiten reenviar tráfico a una región saludable sin cambiar el DNS.
3. Uso combinado con CDN corporativa: La CDN estática en el borde (más de 85 ubicaciones) acerca los archivos estáticos al usuario, y Global Accelerator se utiliza para rutas y API dinámicas.
4. Costo y eficiencia: Global Accelerator tiene cargos por hora y por datos; para tráfico alto, compárelo con soluciones como CloudFront + Regional ALB/NLB.

Comparar ubicaciones de centros de datos y elegir la mejor región

Consejos para elegir la región adecuada:

• La región más cercana no siempre es la mejor en términos de RTT; la calidad de la ruta de Internet entre el usuario y el PoP de AWS y la capacidad de la región también importan.
• Para los jugadores y comerciantes, tener una región de borde de AWS cerca del ISP POP del usuario o usar VPS en ubicaciones cercanas al cliente puede reducir el ping.
• Para IA y renderizado, es importante elegir una región que proporcione GPU Cloud y almacenamiento de alta velocidad (NVMe o EBS Provisioned IOPS).
• La mejor manera de hacerlo es realizar pruebas A/B entre regiones y utilizar Global Accelerator para dirigir el tráfico a la mejor región.

Ejemplo de escenario: Lanzamiento de un sitio web con Global Accelerator (Resumen de pasos)

Resumen de los pasos de implementación:

1. Implementación de la aplicación en dos regiones con NLB/ALB y escalamiento automático.
2. Definición de ruta /salud En la aplicación.
3. Cree un acelerador y un oyente con AWS CLI o la consola.
4. Cree grupos de puntos finales y agregue ARN NLB/ALB.
5. Vincula IP Anycast a DNS (registro A) o configura CNAME para CDN.
6. Habilite Shield Advanced y WAF para protección.
7. Habilite CloudWatch y defina alarmas; realice pruebas de carga y verifique la latencia/disponibilidad.
8. Utilice la CDN de la empresa para la gestión de activos y sesiones/cookies para sesiones persistentes, si es necesario.

Consejos finales y mejores prácticas

Mejores prácticas de un vistazo:

• Definición de controles de salud breves e independientes.
• Uso de ACM y descarga TLS en ALB.
• Para el tráfico en tiempo real (UDP), utilice Global Accelerator para reducir la fluctuación y la pérdida de paquetes.
• Documentar ARN, IP Anycast y preparar manuales de ejecución de conmutación por error es esencial para el equipo de operaciones.

Conclusión y próximos pasos

AWS Global Accelerator es una potente herramienta para mejorar el rendimiento, la disponibilidad y la seguridad, especialmente en arquitecturas multirregionales que utilizan NLB/ALB y servicios de seguridad. Combinado con infraestructura gráfica, VPS especializado y CDN edge, puede mejorar la experiencia del usuario en aplicaciones de juegos, trading e inteligencia artificial.

Preguntas frecuentes