Vă invităm să evaluați activitatea echipei de RL și să precizați punctele tari și punctele slabe și sugestiile voastre de îmbunătățire a materiei. Feedback-ul vostru este foarte important pentru noi să creștem calitatea materiei în anii următori și să îmbunătățim materiile pe care le veți face în continuare.

Găsiți formularul de feedback în partea dreaptă a paginii principale de RL de pe curs.pub.ro într-un frame numit “FEEDBACK”.

• Feedback Moodle

Vă mulțumim!

Din stanga sus, din Services, în secțiunea Networking & Content Delivery (dati scroll mai jos) alegem VPC. Există 2 moduri de a crea un VPC în contul tău Amazon: folosind un utilitar automat (care face majoritatea acțiunilor fără ca utilizatorul să controleze) sau alegând specificațiile manual.

În VPC Dashboard, alegem secțiunea Your VPCs și opțiunea Create VPC.

Numele VPC-ului va fi student<X>_VPC. Mai departe, vom alege un bloc de adrese IP, de preferat 192.168.$X$.0/24, unde $X$ - id-ul studentului. Opțiunea Tenancy va fi setată ca Default.

Dorim să ne creăm propria adresă IP publică statică pentru a o asocia mai târziu unei instanțe din topologia noastră. În VPC Dashboard, alegem secțiunea Elastic IPs și opțiunea Allocate New Address (păstrăm setările default), dăm un tag numit Name cu valoarea studentX_public și apăsăm Allocate.

Acum avem în lista de adrese IP publice statice din contul nostru, adresa IP alocată mai devreme.

Pentru a lansa instanțe într-un VPC trebuie să avem cel puțin un subnet. În VPC Dashboard, alegem secțiunea Subnets și opțiunea Create Subnet.

Este de preferat să alocăm subnet-uri în mai multe ”Zone de disponibilitate”/Availability Zones pentru redundanță. În laboratorul de astăzi, vom crea toate obiectele în același Availability Zone.

Mai departe, vom crea 4 subnets, unul public (pentru instanța Frontend) și 3 private (pentru instanțele Red, Green, Blue).

Alegem VPC-ul creat la Exercițiul 1 și alegem același Availability Zone pentru toate subnet-urile (de exemplu, eu-west-1a). Mai departe, alegem masca de rețea corespunzătoare (/28 pentru subnet-ul public și /26 pentru subnet-urile private):

• 192.168.$X$.0/26
• 192.168.$X$.64/26
• 192.168.$X$.128/26
• 192.168.$X$.192/28, unde $X$ - id-ul studentului

Recomandăm ca numele pentu subnet-uri să fie sugestive. Pentru exercițiul nostru:

• student<X>_RED, unde X - id-ul studentului
• student<X>_GREEN
• student<X>_BLUE
• student<X>_PUBLIC (aici vom adăuga instanța Frontend)

Observăm în lista de subnet-uri cele 4 subnet-uri create mai devreme:

De asemenea, putem vedea și tabelele de rutare pentru fiecare subnet.

În VPC Dashboard, alegem secțiunea Internet Gateways și opțiunea Create Internet Gateway.

Numele pe care îl alocăm IGW nou creat este student<X>_IGW. Trebuie să îl alocăm VPC-ului creat la Exercițiul 1(Actions → Attach to VPC → Alegem din listă student<X>_VPC → Attach).

Am discutat mai devreme despre public subnets. Subnet-ul 192.168.$X$.192/28 va fi subnet-ul public, care va putea accesa direct Internetul prin intermediul IGW. Pentru asta, trebuie să ne asigurăm că tabela de rutare a subnet-ului pointează către IGW-ul creat.

În VPC Dashboard, alegem secțiunea Route Tables și opțiunea Create Route Table.

Fiecare VPC are o tabela de rutare default (Dați tabelei de rutare default numele student<X>_DEFAULT_RTB). Deja există și trebuie redenumită. Inițial, name tag-ul ei este gol.

Dorim să creăm o altă tabelă de rutare. Denumim tabela de rutare: student<X>_RTB și alegem VPC-ul creat la Exercițiul 1.

Mai departe vom modifica această tabelă de rutare pentru a pointa către IGW. Din partea de jos a paginii, alegem secțiunea Routes → Edit routes → Add route (destinație 0.0.0.0/0, target Internet Gateway si o sa va apara o intrare de tip student<X>_IGW pe care o selectati) → Save routes.

Ne dorim ca doar instanțele din subnetul public să aibă acces la Internet prin IGW (Edit subnet associations → Alegem subnetul student/<X>_192.168.$X$.192_PUBLIC → Save).

Până aici doar instanțele create în subnet-ul public, asociat IGW vor avea acces la Internet. Ne dorim ca și instanțele pe care le vom crea în subnet-urile private (respectiv Red, Green, Blue) să aibă acces la Internet.

Va trebui să adăugăm un NAT Gateway în subnet-ul public (are nevoie de acces la Internet) și de asemenea, să îi alocăm o adresă IP publică statică. (creată la Exercițiul 2).

Înainte să creăm NAT GW, mergem în Secțiunea Subnets și copiem Subnet ID-ul subnet-ului public (așa cum am văzut mai devreme, NAT Gateway-ul trebuie adăugat în subnet-ul public pentru a avea conexiune la Internet).

În VPC Dashboard, alegem secțiunea NAT Gateways și opțiunea Create NAT Gateway.

Aici, specificăm subnet-ul (copiat mai devreme) și alegem adresa IP publică statică creată la Exercițiul 2.

După crearea NAT GW, actualizăm tabela de rutare asociată subnet-urilor private să pointeze către NAT GW. Alegem Edit route tables. Adăugăm o rută în tabela de rutare default: Routes → Edit routes → Add route → destinație 0.0.0.0/0, target nat) → Save routes.

În acest moment, orice instanță creată într-unul din subnet-urile private va putea accesa Internetul.

În EC2 Dashboard (in sus avem Services→ Compute → EC2) , alegem secțiunea Instances și opțiunea Launch Instance.

Alegem o imagine de mașină virtuală (AMI - Amazon Machine Image) din secțiunea Choose AMI. Folosiți imaginea RL_AWS2, de la My AMIs (meniul din stânga).

Pentru Instance Type alegem astfel:

• Pentru instanța Frontend - t3a.xlarge (avem nevoie de 4 interfețe de rețea)
• Pentru Red, Green și Blue - t2.micro (permite maxim 2 interfețe de rețea, dar noi oricum folosim doar una)

Prima dată creăm cele 3 instanțe Red, Green, Blue. Vom incepe cu instanta Red. În secțiunea Configure Instance Details:

• Alegem VPC-ul student<X>_VPC
• Alegem subnet-ul corespunzător stației Red

Selectăm secțiunea Configure Security Group și alegem astfel:

• pentru prima mașină creată, alegem Create a new security group, punem un nume descriptiv (student<X>_sec_public). Lăsăm regulile să permită doar traficul TCP de la IP-ul public propriu la orice destinație.

Regulile de whitelist după IP sunt o practică recomandată pentru protejarea serverelor împotriva atacatorilor externe și putem permite doar IP-urile proprii.

• Pentru celelalte instanțe alegem Select an existing security group și selectăm grupul creat anterior.

Selectăm apoi secțiunea Add Tags, label-ul Name și acolo dăm un nume descriptiv mașinii (student<X>_Red/Green/Blue/Frontend).

Ne vom ocupa mai târziu de restul de reguli.

Apăsăm Review and Launch → Launch. La acest nivel nu ne interesează setările pentru Storage și Tags.

Avem nevoie de o pereche de chei pentru a ne putea conecta la instanța pe care o creăm (alegem Create a new key pair și îi dăm numele student<X>_RL_lab. Descărcați cheia privată).

Îi dăm un nume instanței nou create (am început cu Red). Continuăm cu Green și Blue într-un mod similar.

Din Meniul din stânga, secțiunea Network&Security, alegem Network interfaces. Ne dorim ca instanța Frontend să aibă câte o interfață și în rețelele cu Red, Green, Blue.

Mai întâi denumim interfețele de rețea create o dată cu instanțele pentru a fi mai ușor de lucrat cu ele.

Alegem Create Network Interface. Adăugăm descrieri sugestive și alegem subnet-ul potrivit pentru fiecare interfață nou creată. De asemenea, alegem security group-ul creat anterior. Obținem:

Ne întoarcem în secțiunea Instances. Instanței Frontend îi adăugăm cele trei interfețe de rețea create mai devreme (Actions → Networking → Attach Network Interface).

Pentru a ne putea conecta la stația Frontend, trebuie să îi alocăm o adresă IP publică statică (așa cum am învățat la începutul laboratorului) - vezi exercițiul 2. Asociem adresa IP publică statică interfeței de rețea corespunzătoare subnet-ului public.

Ne conectăm prin ssh la instanța Frontend folosind comanda (în cazul Linux):

ssh -i [private_key] ec2-user@[ip_public]

Pe Windows, dacă folosiți Putty, va trebui să convertiți cheia SSH într-un format acceptat urmând ghidul de aici.

Pentru a ne putea conecta prin ssh de pe Frontend și la celelalte instanțe, va trebui să copiem cheia privată de pe stația locală pe Frontend:

# pe Linux:
scp -i [private_key] [private_key] ec2-user@[ip_public]:~

(pe Windows, puteți folosi WinSCP)

Verificați conectivitatea la Internet pe cele 4 instanțe (Frontend, Red, Green, Blue).

Observați că nu putem să dăm ping de pe oricare stație către oricare stație (între Red, Green și Blue).

Pentru a permite traficul de ICMP, adăugăm o nouă regulă în Security Group-ul student<X>_SecurityGroup prin care specificăm tipul de trafic și sursa.

Verificați conectivitatea între Red, Green și Blue.

Vom folosi curl pentru a descărca un fișier prin FTP. Pe stația Frontend rulează un server FTP și pe stația Red vom folosi comanda curl pentru a descărca fișierul localizat în /home/student/big.bin de pe frontend:

curl ftp://student:student@<ip_frontend>/big.bin -o big.bin

Este nevoie să configurăm una sau mai multe reguli în Security Group pentru a permite descărcarea de fișiere prin FTP.

Adăugăm două reguli Custom TCP Rule, una pentru port range-ul 20-21, respectiv 1025-1048 și la sursă alegem security group-ul în care se află instanțele noastre.

În acest moment, putem descărca fișierul de pe oricare din instanțele Red, Green, Blue.

Ne dorim să blocăm FTP pentru stațiile Green și Blue.

Modificăm regulile din Security Group astfel încât să permitem doar stației Red să se conecteze prin FTP la server.

Verificați că puteți descărca fișierul testFTP.dat doar de pe stația Red.