Saltar al contenido principal
ClickHouse BYOC en AWS admite dos opciones de conexión privada: peering de VPC y AWS PrivateLink.

​
Requisitos previos

Pasos comunes necesarios tanto para el peering de VPC como para Privatelink.

​
Habilitar el balanceador de carga privado para ClickHouse BYOC

Póngase en contacto con el soporte de ClickHouse para habilitar el balanceador de carga privado.

​
Configurar el peering de VPC

Para crear o eliminar el peering de VPC para ClickHouse BYOC, siga estos pasos:
1

​
Crear una conexión de peering

  1. Vaya al VPC Dashboard de la cuenta de ClickHouse BYOC.
  2. Seleccione Peering Connections.
  3. Haga clic en Create Peering Connection.
  4. Establezca VPC Requester como el ID de la VPC de ClickHouse.
  5. Establezca VPC Accepter como el ID de la VPC de destino. (Seleccione otra cuenta si corresponde).
  6. Haga clic en Create Peering Connection.
2

​
Aceptar la solicitud de conexión de peering

Vaya a la cuenta de peering; en la página (VPC -> Peering connections -> Actions -> Accept request), el cliente puede aprobar esta solicitud de peering de VPC.
3

​
Agregar el destino a las tablas de enrutamiento de la VPC de ClickHouse

En la cuenta de ClickHouse BYOC,
  1. Seleccione Route Tables en el VPC Dashboard.
  2. Busque el ID de la VPC de ClickHouse. Edite cada tabla de enrutamiento asociada a las subredes privadas.
  3. Haga clic en el botón Edit en la pestaña Routes.
  4. Haga clic en Add another route.
  5. Introduzca el rango CIDR de la VPC de destino en Destination.
  6. Seleccione “Peering Connection” y el ID de la conexión de peering en Target.
4

​
Agregar el destino a las tablas de enrutamiento de la VPC de destino

En la cuenta de AWS de peering,
  1. Seleccione Route Tables en el VPC Dashboard.
  2. Busque el ID de la VPC de destino.
  3. Haga clic en el botón Edit en la pestaña Routes.
  4. Haga clic en Add another route.
  5. Introduzca el rango CIDR de la VPC de ClickHouse en Destination.
  6. Seleccione “Peering Connection” y el ID de la conexión de peering en Target.
5

​
Editar el grupo de seguridad para permitir el acceso desde la VPC con peering

En la cuenta de ClickHouse BYOC, debe actualizar la configuración del grupo de seguridad para permitir tráfico desde su VPC con peering. Póngase en contacto con el soporte de ClickHouse para solicitar que se agreguen reglas de entrada que incluyan los rangos CIDR de su VPC con peering.
El servicio de ClickHouse ya debería ser accesible desde la VPC con peering.
Para acceder a ClickHouse de forma privada, se aprovisionan un balanceador de carga privado y un endpoint para ofrecer conectividad segura desde la VPC con peering del usuario. El endpoint privado sigue el formato del endpoint público con el sufijo -private. Por ejemplo:
  • Endpoint público: h5ju65kv87.mhp0y4dmph.us-west-2.aws.byoc.clickhouse.cloud
  • Endpoint privado: h5ju65kv87-private.mhp0y4dmph.us-west-2.aws.byoc.clickhouse.cloud
Opcionalmente, después de verificar que el peering funciona, puede solicitar la eliminación del load balancer público de ClickHouse BYOC. AWS PrivateLink proporciona conectividad segura y privada a sus servicios BYOC de ClickHouse sin requerir peering de VPC ni gateways de Internet. El tráfico fluye por completo dentro de la red de AWS, sin pasar nunca por la Internet pública.
1
Póngase en contacto con soporte de ClickHouse para solicitar la configuración de PrivateLink para su implementación de BYOC. En esta etapa no se requiere información específica; simplemente indique que desea configurar la conectividad de PrivateLink.El soporte de ClickHouse habilitará los componentes de infraestructura necesarios, incluidos el balanceador de carga privado y el endpoint de servicio de PrivateLink.
2

​
Crear un endpoint en su VPC

Una vez que el soporte de ClickHouse haya habilitado PrivateLink de su lado, deberá crear un endpoint de VPC en la VPC de su aplicación cliente para conectarse al servicio PrivateLink de ClickHouse.
  1. Obtener el nombre del servicio del endpoint:
    • El soporte de ClickHouse le proporcionará el nombre del servicio del endpoint
    • También puede encontrarlo en la consola de VPC de AWS, en “Endpoint Services” (filtre por nombre de servicio o busque servicios de ClickHouse)
  1. Crear el endpoint de VPC:
    • Vaya a la consola de VPC de AWS → Endpoints → Create Endpoint
    • Seleccione “Find service by name” e introduzca el nombre del servicio del endpoint proporcionado por el soporte de ClickHouse
    • Elija su VPC y seleccione las subredes (se recomienda una por zona de disponibilidad)
    • Importante: habilite “Private DNS names” para el endpoint; esto es necesario para que la resolución de DNS funcione correctamente
    • Seleccione o cree un grupo de seguridad para el endpoint
    • Haga clic en “Create Endpoint”
Requisitos de DNS:
  • Habilite “Private DNS names” al crear el endpoint de VPC
  • Asegúrese de que su VPC tenga habilitado “DNS Hostnames” (VPC Settings → DNS resolution and DNS hostnames)
Estos ajustes son necesarios para que el DNS de PrivateLink funcione correctamente.
  1. Aprobar la conexión del endpoint:
    • Después de crear el endpoint, debe aprobar la solicitud de conexión
    • En la consola de VPC, vaya a “Endpoint Connections”
    • Busque la solicitud de conexión de ClickHouse y haga clic en “Accept” para aprobarla
3

​
Agregar el ID del endpoint a la lista de permitidos del servicio

Una vez creado su endpoint de VPC y aprobada la conexión, deberá agregar el ID del endpoint a la lista de permitidos de cada servicio de ClickHouse al que quiera acceder mediante PrivateLink.
  1. Obtener el ID de su endpoint:
    • En la consola de VPC de AWS, vaya a Endpoints
    • Seleccione el endpoint que acaba de crear
    • Copie el ID del endpoint (tendrá un formato similar a vpce-xxxxxxxxxxxxxxxxx)
  2. Contactar con el soporte de ClickHouse:
    • Proporcione los ID de endpoint al soporte de ClickHouse
    • Especifique qué servicios de ClickHouse deben permitir el acceso desde este endpoint
    • El soporte de ClickHouse agregará el ID del endpoint a la lista de permitidos del servicio
4
Después de agregar el ID del endpoint a la lista de permitidos, podrá conectarse a su servicio de ClickHouse mediante el endpoint de PrivateLink.El formato del endpoint de PrivateLink es similar al del endpoint público, pero incluye un subdominio vpce. Por ejemplo:
  • Endpoint público: h5ju65kv87.mhp0y4dmph.us-west-2.aws.clickhouse-byoc.com
  • Endpoint de PrivateLink: h5ju65kv87.vpce.mhp0y4dmph.us-west-2.aws.clickhouse-byoc.com
La resolución de DNS en su VPC dirigirá automáticamente el tráfico a través del endpoint de PrivateLink cuando utilice el formato con el subdominio vpce.
El acceso a los servicios de ClickHouse mediante PrivateLink se controla en dos niveles:
  1. Política de autorización de Istio: las políticas de autorización de ClickHouse Cloud a nivel de servicio
  2. Grupo de seguridad del endpoint de VPC: el grupo de seguridad asociado a su endpoint de VPC controla qué recursos de su VPC pueden usar el endpoint
La función “Aplicar reglas de entrada al tráfico de PrivateLink” del balanceador de carga privado está deshabilitada, por lo que el acceso se controla únicamente mediante las políticas de autorización de Istio y el grupo de seguridad de su endpoint de VPC.
El DNS de PrivateLink para los endpoints de BYOC (que usan el formato *.vpce.{subdomain}) aprovecha la función integrada “Private DNS names” de AWS PrivateLink. No se requieren registros de Route53; la resolución de DNS se realiza automáticamente cuando:
  • “Private DNS names” está habilitado en tu endpoint de VPC
  • Tu VPC tiene habilitado “DNS Hostnames”
Esto garantiza que las conexiones que usan el subdominio vpce se enruten automáticamente a través del endpoint de PrivateLink sin necesidad de configuración adicional de DNS.
Última modificación el 2 de julio de 2026