Представляем Private Links в LiveKit

Влияние агента определяется как его общей производительностью, так и сложностью выполняемых задач. Низкая задержка в сочетании с высокой масштабируемостью и надежностью позволяет развертывать человекоподобных агентов в масштабах предприятия, но такие агенты могут выполнять сложные высокоценные задачи только при наличии доступа к внутренним данным и системам, которые обеспечивают контекст и позволяют совершать действия.

Это ставит предприятия в регулируемых отраслях, таких как финансовые услуги или здравоохранение, в затруднительное положение, если у них нет безопасного способа обеспечить такой доступ: они могут развертывать агентов для поверхностных, менее ценных сценариев использования или создавать и поддерживать собственные безопасные соединения для более глубокого доступа.

Private Links решают эту дилемму, позволяя отправлять приватные запросы к конфиденциальным внутренним ресурсам через вашу облачную сеть. С Private Links вы можете открыть сложные сценарии использования для агентов, размещенных на LiveKit, — золотой стандарт низкой задержки, масштабируемости и надежности, — без необходимости поддерживать публичные IP-адреса, правила входящего файрвола или VPN-инфраструктуру.

Как работают Private Links#

Private Links работают через полностью управляемый зашифрованный туннель между вашими агентами и вашей облачной сетью. Когда вы создаете Private Link, LiveKit предоставляет шлюз в управляемом LiveKit VPC в том же облачном регионе, что и ваш ресурс, и подключает его к вашему VPC через нативное приватное соединение облачного провайдера.

Когда ваш агент отправляет запрос, он подключается к сгенерированному .link-имени хоста, которое резолвится только из вашей развернутой среды агента. Этот трафик направляется через зашифрованный туннель WireGuard к шлюзу LiveKit, работающему в том же облачном регионе, что и ваш ресурс. Затем запрос попадает в ваш VPC через AWS PrivateLink или Azure Private Link и достигает вашего сервиса через ваш балансировщик нагрузки.

Эта диаграмма носит иллюстративный характер и показывает путь AWS.

Ваши ресурсы никогда не открываются публичному интернету, и вам не нужно ничего поддерживать. Вы одобряете соединение один раз со своей стороны, а LiveKit управляет всем остальным.

Private Links строго поддерживают TCP-соединения, защищенные с помощью TLS. Соединения должны согласовывать TLS до запроса данных приложения, включая такие протоколы, как PostgreSQL, которые используют стандартное рукопожатие TLS. Незащищенный TCP и обычный UDP-трафик не поддерживаются.

Настройка Private Links#

Вы можете настроить Private Links с помощью LiveKit CLI или в LiveKit Dashboard. Более подробная документация доступна для AWS и Azure.

Перед началом убедитесь, что у вас есть:

• Проект LiveKit Cloud, настроенный в LiveKit CLI.
• Агент LiveKit, развернутый в целевом регионе LiveKit.

В AWS#

• Разместите Network Load Balancer перед вашим сервисом с прослушивателем на порту, который нужен вашему агенту. Сервисы конечных точек AWS PrivateLink требуют NLB.

Разместите Network Load Balancer перед вашим сервисом с прослушивателем на порту, который нужен вашему агенту. Сервисы конечных точек AWS PrivateLink требуют NLB.

• Создайте сервис конечной точки VPC, указывающий на этот NLB, оставьте параметр acceptance required включенным и скопируйте имя сервиса, которое он возвращает.

Создайте сервис конечной точки VPC, указывающий на этот NLB, оставьте параметр acceptance required включенным и скопируйте имя сервиса, которое он возвращает.

• Предоставьте LiveKit доступ к сервису конечной точки, разрешив участника arn:aws:iam::266092630715:root. Ограничение только этим участником означает, что до вашего сервиса сможет добраться только ожидаемое соединение LiveKit.

Предоставьте LiveKit доступ к сервису конечной точки, разрешив участника arn:aws:iam::266092630715:root. Ограничение только этим участником означает, что до вашего сервиса сможет добраться только ожидаемое соединение LiveKit.

• Создайте Private Link с помощью CLI, передав имя сервиса конечной точки. --region — это регион вашего агента LiveKit; регион AWS определяется автоматически из имени сервиса. Сохраните возвращенный идентификатор Private Link.

Создайте Private Link с помощью CLI, передав имя сервиса конечной точки. --region — это регион вашего агента LiveKit; регион AWS определяется автоматически из имени сервиса. Сохраните возвращенный идентификатор Private Link.

• Вернувшись в AWS, примите новое ожидающее соединение конечной точки от аккаунта 266092630715.

Вернувшись в AWS, примите новое ожидающее соединение конечной точки от аккаунта 266092630715.

В Azure#

• Скопируйте Resource ID ресурса, до которого вашему агенту нужно добраться, а также регион Azure, в котором он находится.

Скопируйте Resource ID ресурса, до которого вашему агенту нужно добраться, а также регион Azure, в котором он находится.

• Создайте Private Link с помощью CLI, указав как регион вашего агента LiveKit (--region), так и регион Azure (--cloud-region), в котором размещен ресурс. --port должен соответствовать порту прослушивания вашего сервиса. Сохраните возвращенный идентификатор Private Link.

Создайте Private Link с помощью CLI, указав как регион вашего агента LiveKit (--region), так и регион Azure (--cloud-region), в котором размещен ресурс. --port должен соответствовать порту прослушивания вашего сервиса. Сохраните возвращенный идентификатор Private Link.

• В Azure одобрите новое ожидающее соединение частной конечной точки.

В Azure одобрите новое ожидающее соединение частной конечной точки.

Для обоих облаков#

• Дождитесь, пока Private Link перейдет в состояние healthy — либо через CLI, либо в панели управления в разделе Agents → Private links, где вы также найдете сгенерированное .link-имя хоста.

Дождитесь, пока Private Link перейдет в состояние healthy — либо через CLI, либо в панели управления в разделе Agents → Private links, где вы также найдете сгенерированное .link-имя хоста.

• Проверьте связь с развернутого агента в том же регионе LiveKit. .link-имя хоста не будет резолвиться с вашего ноутбука.

Проверьте связь с развернутого агента в том же регионе LiveKit. .link-имя хоста не будет резолвиться с вашего ноутбука.

Дополнительные соображения#

• Private Links стоят $50 за Private Link плюс $0.10 за ГБ трафика, передаваемого в обоих направлениях.
• Каждый проект в настоящее время ограничен 3 Private Links на регион. Свяжитесь со службой поддержки LiveKit, если вам нужно больше.
• Private Links сегодня доступны в нескольких регионах. Ваш агент LiveKit должен находиться в том же регионе LiveKit, что и ваш Private Link LiveKit, чтобы соединения работали. Доступные регионы LiveKit: eu-central и us-east.

LiveKit поддерживает подключение через Private Link к следующим регионам AWS и Azure на сегодняшний день. Если региона вашего облачного провайдера нет в списке, свяжитесь со службой поддержки LiveKit, чтобы запросить доступность.

Начало работы#

Private Links сегодня доступны для агентов, развернутых в США и ЕС, в LiveKit Cloud. Вы можете создать свой первый Private Link с помощью LiveKit CLI, как показано выше, или в LiveKit Dashboard в разделе Agents → Private links.

Более подробные шаги по настройке и устранению неполадок см. в документации Private Links и ее руководствах по настройке для и , а также поделитесь своими отзывами в LiveKit Community.