本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 网络连接
SAP HANA 组件通过以下逻辑网络区域进行通信：
+ 客户端区域：用于与 SQL 客户端、SAP 应用程序服务器、SAP HANA 扩展应用程序服务器（XS）和 SAP HANA Studio 等不同客户端进行通信
+ 内部区域：用于与分布式 SAP HANA 系统中的主机以及 SAP HSR 进行通信
+ 存储区域：将 SAP HANA 数据持久保留在存储基础设施中，以便在启动后继续或在故障后恢复
为 SAP HANA 分隔网络区域被认为是 AWS 和 SAP 的最佳实践。这种方法使您能够在每个通信通道上进行必要的流量隔离。
在传统的裸机设置中，这些不同的网络区域是通过多个物理网卡或虚拟 LAN (VLAN) 来设置。相反，在 AWS 云上，您可以将弹性网络接口与安全组结合使用来实现这种网络隔离。Amazon EBS 优化的实例还可用于进一步隔离存储 I/O。
## EBS 优化的实例
许多较新的 Amazon EC2 实例类型（如 X1）使用优化的配置堆栈，并为 Amazon EBS I/O 提供额外的专用容量。这种实例称为 [EBS 优化的实例](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSOptimized.html)。这种优化通过最小化 Amazon EBS I/O 与来自您实例的其他流量之间的争用，为您的 EBS 卷提供最佳性能。
**图 9：EBS 优化的实例**
## 弹性网络接口
弹性网络接口是一种虚拟网络接口，您可以将其连接至 Amazon Virtual Private Cloud（Amazon VPC）中的 EC2 实例。使用弹性网络接口（在本指南的其余部分中称为*网络接口*），您可以通过为实例指定多个私有 IP 地址来创建不同的逻辑网络。
有关网络接口的更多信息，请参阅 [AWS 文档](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html)。在以下示例中，将两个网络接口连接到每个 SAP HANA 节点，并在单独的通信通道中进行存储。
**图 10：连接到 SAP HANA 节点的网络接口**
## 安全组
安全组起着虚拟防火墙的作用，可控制一个或多个实例的流量。在您启动实例时，将一个或多个安全组与该实例相关联。为每个安全组添加规则，规定流入或流出其关联实例的流量。您可以随时修改安全组的规则。新规则将自动应用于与安全组相关联的所有实例。要了解有关安全组的更多信息，请参阅 [AWS 文档](https://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_SecurityGroups.html)。在以下示例中，显示的每个实例的 ENI-1 是控制客户端网络入站和出站网络流量的同一安全组的成员。
**图 11：网络接口和安全组**
## SAP HANA 系统复制 (HSR) 的网络配置
您可以配置其他网络接口和安全组，以进一步隔离节点间通信以及 SAP HSR 网络流量。在图 10 中，ENI-2 使用自己的安全组（未显示）来保护客户端流量免受节点间通信的影响。ENI-3 配置为保护 SAP HSR 流量到同一区域内的其他可用区域的安全。在此示例中，将使用类似于源环境的附加网络接口配置目标 SAP HANA 集群，并且 ENI-3 将共享一个通用安全组。
**图 12：使用额外的 ENI 和安全组进一步隔离**
## 逻辑网络分隔的配置步骤
若要为 SAP HANA 配置逻辑网络，请按照下列步骤操作：
1. 创建新的安全组，以便隔离客户端、内部通信以及 SAP HSR 网络流量（如果适用）。请参阅 SAP HANA 文档中的[端口和连接](https://help.sap.com/saphelp_hanaplatform/helpdata/en/a9/326f20b39342a7bc3d08acb8ffc68a/frameset.htm)，了解用于不同网络区域的端口列表。有关如何创建和配置安全组的更多信息，请参阅 [AWS 文档](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-network-security.html#creating-security-group)。
1. 使用安全外壳 (SSH) 在操作系统级别连接到 EC2 实例。按照[附录](hana-ops-appendix.md)中描述的步骤配置操作系统，以正确识别和命名与要创建的新网络接口关联的以太网设备。
1. 从 AWS 管理控制台或通过 AWS CLI 创建新的网络接口。确保在部署 SAP HANA 实例的子网中创建了新的网络接口。创建每个新网络接口时，请将其与您在步骤 1 中创建的相应安全组关联。有关如何创建新网络接口的更多信息，请参阅 [AWS 文档](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html#create_eni)。
1. 将您创建的网络接口连接到安装了 SAP HANA 的 EC2 实例。有关如何将网络接口连接到 EC2 实例的更多信息，请参阅 [AWS 文档](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html#attach_eni_running_stopped)。
1. 创建虚拟主机名并将其映射到与客户端、内部和复制网络接口相关联的 IP 地址。通过在所有适用的主机文件或域名系统 (DNS) 中创建条目，确保主机名到 IP 地址的解析正常工作。完成后，测试是否可以从所有 SAP HANA 节点和客户端解析虚拟主机名。
1. 对于横向扩展部署，请配置 SAP HANA 服务间通信，让 SAP HANA 通过内部网络进行通信。要了解有关此步骤的详细信息，请参阅 SAP HANA 文档中的[配置 SAP HANA 服务间通信](https://help.sap.com/saphelp_hanaplatform/helpdata/en/bb/cb76c7fa7f45b4adb99e60ad6c85ba/frameset.htm)。
1. 配置 SAP HANA 主机名解析，让 SAP HANA 通过 SAP HSR 的复制网络进行通信。要了解有关此步骤的详细信息，请参阅 SAP HANA 文档中的[为 SAP HANA 系统复制配置主机名解析](https://help.sap.com/saphelp_hanaplatform/helpdata/en/9a/cd6482a5154b7e95ce72e83b04f94d/frameset.htm)。