两个前阿里 P9の争论,阿里云经典网络真的是互通的?

云舒的新文章
http://weibo.com/ttarticle/p/show?id=2309404080084758708032

1. CAM 表说成交换机 ACM 表么,笔误,可以理解
2.VPC 的隔离应该比迁移更重要一点, 优先级问题,没啥
3.聚石塔居然是一个 tenant,不同的客户放在一个 tenant 里,淘宝真是心大,难道聚石塔不是多个租户么..
4.自动配置 iptables 挺好,不过要在所有关联的机器上都改动,想想就酸爽.其实 openflow 也差不多,都是在 P2P 的 VTEP 上限制.好歹北向接口完善.

其实阿里这个主要也是因为起步早, 我上大学那会 VXLAN+OPENFLOW 还是很牛比的课题呢..
大内网暴露的问题确实是客观存在的.并且存量问题很难解决,看看阿里云怎么解决了

第 2 条附言 · 2017-02-28 11:48:09 +08:00

1. 他说的 CAM 表可能指的是交换机的 ACM 表

第 3 条附言 · 2017-02-28 13:15:08 +08:00

云舒文章备份
https://www.v2ex.com/t/343762?from=groupmessage&isappinstalled=0

iptables

vpc

耗子

阿里云

33 条回复 • 2017-03-01 14:21:44 +08:00

appleorchard2000

2017-02-27 21:25:53 +08:00 via Android

参考一下 openstack 就完了。很多人搞不清什么叫租户隔离。另我第一次使用阿里云，第一反应也是，操蛋的大内网。

littlehz

2017-02-27 22:47:30 +08:00

经典网络是大内网，没有租户隔离，默认配置了安全组（本质上是云厂商的 iptables ），安全组默认是不允许互访。但是物理上的大内网互通，人为懒开放了内网，或者稍微出点 BUG ，或者自己的机器一多配错 IP ，那就别的租户可以内网连接过来了。

chnyang

2017-02-27 22:47:58 +08:00 via Android

所以你的结论是？到底谁是水 b ？在线等急

kaneg

2017-02-27 22:54:45 +08:00 via iPhone

按照阿里的文档是说内网默认是不通的，除非做以下设定：
1. 置于同一安全组
2. 显示允许对方 ip
所以理论上没有设置过以上的内网是安全的。但实际上是否有超出文档所说范围就不得而知了

Antidictator

2017-02-27 23:00:44 +08:00 via Android

@chnyang 23333 ，老哥稳

echo1937

2017-02-27 23:10:05 +08:00

yexm0

2017-02-27 23:14:26 +08:00

新开通的用户只能选专有网络了.
https://help.aliyun.com/noticelist/articleid/20216496.html

songofhawk

2017-02-28 07:58:28 +08:00 via Android

意料之外，情理之中。阿里从那么早开始做云计算，而且面临抢市场的压力， sdn 做不好也是可以理解的。现在被爆出问题，开始改进，也算是件好事

timothyye

2017-02-28 08:19:59 +08:00 via Android

是个大内网，我司 redis 就被干过……

19zero

2017-02-28 10:14:30 +08:00

默认不互通，耗子扫出来的那些端口都是用户自己改了安全组（或许是出于方便的目的），个人认为这锅不应该服务商来背，况且阿里云不也有 VPC 么

silentime

2017-02-28 11:00:24 +08:00

现在知道为啥阿里 redis 要默认设密码了。。。

19zero

2017-02-28 11:34:39 +08:00

围观，云舒刚发文回应了： http://weibo.com/ttarticle/p/show?id=2309404080084758708032

xia0pia0

2017-02-28 11:38:18 +08:00

经典网络就是个大内网，里面虽然分了不少网段，但是网段之间（至少有部分）是互通的，不信可以根据分配的内网 ip 跟掩码，试验下访问别的网段机器。这个是很早之前就验证过的事了，是不是偷偷改掉又没发声明就不清楚了。很多人根据“租户隔离”的经验，就被坑了，这个锅是用户没用 VPC 的？阿里云怎么自己没声明？