Network Load Balancer (NLB) đã hỗ trợ chứng chỉ RSA 3072 bit và chứng chỉ Elliptic Curve Digital Signature Algorithm (ECDSA – thuật toán sinh chữ ký số dựa trên đường cong Elliptic) 256, 384 and 521 bit thông qua AWS Certificate Manager (ACM).

Cập nhật này có thể thực hiện mã hóa mạnh hơn trong quá trình truyền dữ liệu. Trong thực tế, để kích hoạt tính năng này, bạn cần tạo hoặc import RSA 3072 bit certificate hoặc ECDSA 256/384/521 bit certificate thông qua ACM. Sau đó, sử dụng AWS API hoặc AWS Management Console để đính kèm certificate vào NLB như bình thường.

Xem xét cường độ bảo mật và số lượng bit

Số lượng bit càng tăng thì có tốt hơn không? 

Ví dụ: với key 112 bit, cần 2¹¹² lần thử để sử dụng hết không gian key.

Tuy nhiên, điều quan trọng là độ mạnh bảo mật và độ dài của key không nhất thiết phải khớp nhau. Key mã hóa 112 bit không nhất thiết phải có độ mạnh bảo mật 112 bit.

Với ECDSA, bạn sẽ được cung cấp độ mạnh bảo mật cao hơn với chi phí tính toán thấp hơn.

ECDSA P-256 cung cấp độ mạnh bảo mật 128 bit, tương đương với key RSA 3072. Trong khi đó, ECDSA P-384 cung cấp độ mạnh bảo mật 192 bit, tương đương với key liên kết với RSA 7680 certificate.

Sự khác biệt giữa ECDSA và RSA

ECDSA cung cấp độ mạnh bảo mật cao hơn so với RSA với cùng độ dài key. Không có chi phí hiệu suất phát sinh thêm. Vì vậy, không cần xem xét ảnh hưởng đến hiệu suất.

Ví dụ: ECDSA P-256 có hiệu suất tương đương RSA 2048 trong khi cung cấp độ mạnh bảo mật tương đương RSA 3072.

Điều này là vì chứng chỉ ECDSA có kích thước tối đa nhỏ hơn 50% so với chứng chỉ RSA, do đó phù hợp để bảo vệ dữ liệu truyền tải ở băng thông thấp, và trong các ứng dụng có giới hạn về bộ nhớ hoặc lưu trữ như Internet of Things (IoT).

Thử nghiệm trên NLB

Yêu cầu chứng chỉ từ ACM Management Console. Chọn [public certificate] và chọn [Tiếp theo].

Chọn thuật toán key ở dưới. Chọn [Xác minh DNS]. Tag là tùy chọn, chọn vào [Yêu cầu].

ECDSA P-256 — Equivalent in security strength to RSA 3072

ECDSA P-384 — Equivalent in security strength to RSA 7680

Quy trình đính kèm vào NLB cũng giống như chứng chỉ RSA thông thường.

Tham khảo: 

【アップデート】Network Load BalancerがRSA 3072-bit、 ECDSA 256/384/521-bitの証明書をサポートしました | SunnyCloud

The post Network Load Balancer hỗ trợ chứng chỉ RSA 3072-bit, ECDSA 256/384/521-bit appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.

Route 53 Application Recovery Controller cung cấp tính năng kiểm tra các vấn đề như hạn ngạch, lượng resouce và vấn đề dự phòng (fallback) đối với hệ thống có cấu trúc dự phòng. Nó bao gồm tính năng điều khiển định tuyến để kiểm soát lưu lượng và đảm bảo ứng dụng hoạt động liên tục khi có sự cố.

Năm 2022, tính năng kích hoạt zonal shift bằng thủ công/lập trình đã được giới thiệu. Nếu phát hiện sự giảm sút số liệu trong một Availability Zone cụ thể, tính năng này cho phép chuyển lưu lượng truy cập ra khỏi Zone đó. 

Giờ đây, bạn có thể định tuyến lưu lượng qua Load balancer đến những AZ đang hoạt động bình thường và có thể điều tra sự cố trong khi hệ thống đang hoạt động.

Zonal autoshift là một tính năng tự động và an toàn để chuyển traffic ra khỏi Availability Zone cụ thể nếu AWS phát hiện sự cố có thể ảnh hưởng đến Availability Zone đó. Sau khi sự cố được giải quyết, traffic có thể được chuyển trở lại. 

Trong khi tính năng zonal shift hữu ích trong việc giải quyết vấn đề lỗi ứng dụng hoặc hệ thống, zonal autoshift được thiết lập để bảo vệ workload khỏi sự cố tiềm ẩn trong AZ (chẳng hạn như sự cố điện hoặc lỗi mạng).

Để sử dụng zonal autoshift, đối với tài nguyên đích cần phải kích hoạt rõ ràng. Ngoài ra, do zone shift được kích hoạt tự động nên để xử lý traffic trong AZ còn lại sau khi traffic được chuyển đổi, cần có lượng tài nguyên phù hợp để tiếp tục xử lý sau khi chuyển đổi.

Điều kiện sử dụng Zonal shift

Zonal shift chỉ có thể sử dụng trong trường hợp tính năng cross-zone load balancing được tắt. Có thể áp dụng cho ALB hoặc NLB. 

Khi traffic đến một Availability Zone, load balancer sẽ gửi traffic đến các target hoạt động bình thường (thường là Amazon EC2 instances). Theo mặc định, ALB gửi traffic đến target ở tất cả các Availability Zone đã cấu hình. 

Để zonal shift hoạt động hiệu quả, cần cấu hình load balancer để vô hiệu hóa cross-zone load balancing.

Khi zonal shift được kích hoạt, DNS sẽ gửi tất cả traffic ra khỏi một Availability Zone như sơ đồ bên dưới : 

Tổng kết

Việc kích hoạt zonal autoshift không tốn thêm chi phí, nhưng để đảm bảo hệ thống tiếp tục hoạt động mượt mà và tự động điều chỉnh khi có sự cố region, cần phải phân bổ nhiều tài nguyên từ lúc bình thường. Vì vậy, cần cân nhắc kĩ lưỡng các chi phí liên quan đến việc duy trì tính khả dụng trước khi triển khai.

Tham khảo: Amazon Route 53 Application Recovery Controllerの新機能である「zonal autoshift」が発表されました | SunnyCloud

The post Zonal autoshift – Tính năng mới của Amazon Route 53 Application Recovery Controller appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.

Bạn đã từng nghe về DNS Affinity của Availability Zone (AZ) chưa?

AZ DNS Affinity (Azure DNS Affinity) là một tính năng trong Microsoft Azure giúp quản lý và tạo kết nối giữa tên miền DNS và các tài nguyên ở các vùng khác nhau. Tính năng này giúp đảm bảo tính sẵn sàng và khả năng chịu lỗi cho ứng dụng trên Azure. Đồng thời đảm bảo ứng dụng có thể tự động định tuyến yêu cầu đến các tài nguyên trong các vùng khác nhau, giúp nâng cao tính khả dụng và hiệu suất của ứng dụng. AZ DNS Affinity là một phần của dịch vụ Azure DNS và giúp quản lý tên miền DNS dễ dàng trong môi trường đa vùng trên nền tảng Azure.

Để từ chối các yêu cầu đến từ các Availability Zone bị lỗi, bạn cần phải triển khai tính năng DNS Affinity của Availability Zone.

Để triển khai Availability Zone, cần tắt tính năng phân tán tải cross-zone của Application Load Balancer (ALB), Classic Load Balancer (CLB), và Network Load Balancer (NLB) (Trong NLB, tính năng phân tán tải cross-zone được tắt mặc định).

Tuy nhiên, việc tắt phân tán tải cross-zone không hẳn có thể giải quyết được mọi thứ.

Bằng việc tắt Cross-zone load balancing, traffic sẽ được phân bổ đều giữa các AZ chính thức, không phụ thuộc vào số lượng instances trong mỗi AZ. Trong trường hợp số instance trong Auto Scaling không cân đối, instance thuộc AZ có ít resource hơn sẽ chịu nhiều tải hơn.

Nội dung cập nhật nâng cao hiệu suất của NLB (giải pháp cân bằng tải web server)

NLB (Network Load Balancer) hiện đã hỗ trợ DNS Affinity của AZ giúp ngắt kết nối với target lỗi và và kết thúc kết nối UDP theo mặc định.

Availability Zone DNS Affinity (Điểm kết nối DNS theo Vùng Khả dụng)

NLB phân giải DNS để client nhận được địa chỉ IP sao cho tải được cân bằng trong cùng một AZ.

Bản cập nhật này cho phép bạn:

– Xây dựng các application stack độc lập trong mỗi zone
– Giảm độ trễ của ứng dụng
– Cải thiện hiệu suất ứng dụng.

Để đảm bảo tính sẵn sàng, bạn cũng có thể xây dựng ứng dụng trên nhiều AZ.

Disable kết nối với target lỗi

NLB tự động ngắt kết nối đối với các target không vượt qua được health check (kiểm tra sức khỏe mặc định). Bạn có thể chọn giữ hoặc ngắt kết nối hoạt động với các target không vượt qua health check. Bằng cách tắt chế độ hoạt động mặc định của NLB, bạn có thể ngăn việc kết nối lại từ phía khách hàng khi xảy ra sự cố.

Kết thúc kết nối UDP mặc định

Sau bản cập nhật này, NLB có khả năng mặc định dừng các kết nối UDP đối với target group UDP được tạo mới sau khi đăng ký bị hết hạn.

Trước cập nhật, kết nối UDP thường được giữ mở và điều này dẫn đến việc duy trì một pool kết nối lớn cho ứng dụng, từ đó tạo ra một khoản chi phí không cần thiết.

Với cập nhật này, bạn có thể chấm dứt các kết nối UDP tồn đọng trong thời gian dài một cách dễ dàng giúp cải thiện hiệu suất của ứng dụng.

Tham khảo:
1.【アップデート】Network Load Balancer (NLB) の可用性とパフォーマンスが改善されました
2. Announcing new AWS Network Load Balancer (NLB) availability and performance capabilities

The post DNS Affinity của AZ hiện đã được ứng dụng vào Network Load Balancer appeared first on Sunny Cloud | AWS Billing và giải pháp AWS toàn diện.