Esta página foi traduzida pela API Cloud Translation.

Como configurar um balanceador de carga HTTPS externo

O balanceamento de carga HTTP(S) externo com o Identity-Aware Proxy (IAP) é compatível com os seguintes tipos de back-end:

Grupos de instâncias
Grupos de endpoints de rede (NEGs) zonais
NEGs sem servidor: um ou mais serviços do Cloud Run.
NEGs da Internet , para endpoints que estão fora do Google Cloud (também conhecidos como origens personalizadas)

Neste guia de configuração, mostramos como criar um balanceador de carga HTTP(S) externo com um back-end de grupo gerenciado de instâncias do Compute Engine com o IAP ativado.

Se esse exemplo não corresponder ao caso de uso em questão, consulte uma destas páginas:

Para o Cloud Run, consulte Como configurar um balanceador de carga com o Cloud Run.
Para um exemplo multirregional que inclui configuração de certificado IPv6 e SSL, consulte Como configurar um balanceador de carga HTTPS externo multirregional.
Para um balanceador de carga HTTP(S) externo regional, consulte Como configurar um balanceador de carga HTTP(S) externo regional
Se você estiver usando o GKE, o balanceador de carga normalmente será configurado pelo controlador Ingress do Kubernetes. Para mais informações, consulte Como configurar o Ingress para balanceamento de carga externo.

Para conceitos gerais, consulte a Visão geral do balanceamento de carga HTTP(S) externo.

Topologias do balanceador de carga

Para um balanceador de carga HTTPS, crie a configuração mostrada no diagrama a seguir.

Balanceador de carga HTTPS com um back-end de grupo gerenciado de instâncias (MIG, na sigla em inglês). — **Figura 1.** Balanceador de carga HTTPS com um back-end de grupo gerenciado de instâncias (MIG) (clique para ampliar)

Para um balanceador de carga HTTP, crie a configuração mostrada no diagrama a seguir.

Balanceador de carga HTTP com um back-end de grupo gerenciado de instâncias (MIG). — **Figura 2.** Balanceador de carga HTTP com um back-end de grupo gerenciado de instâncias (MIG) (clique para ampliar)

A sequência de eventos nos diagramas é a seguinte:

Um cliente envia uma solicitação de conteúdo para o endereço IPv4 externo definido na regra de encaminhamento.
Para um balanceador de carga HTTPS, a regra de encaminhamento direciona a solicitação para o proxy HTTPS de destino.

Para um balanceador de carga HTTP, a regra de encaminhamento direciona a solicitação para o proxy HTTP de destino.
O proxy de destino usa a regra no mapa de URLs para determinar que o único serviço de back-end receba todas as solicitações.
O balanceador de carga determina que o serviço de back-end tenha apenas um grupo de instâncias e direciona a solicitação para uma instância de máquina virtual (VM) nesse grupo.
A VM exibe o conteúdo solicitado pelo usuário.

Antes de começar

Conclua as etapas a seguir antes de criar o balanceador de carga.

Configurar um recurso de certificado SSL

Para um balanceador de carga HTTPS, crie um recurso de certificado SSL, conforme descrito a seguir:

Recomendamos o uso de um certificado gerenciado pelo Google.

Este exemplo pressupõe que você já tenha um recurso de certificado SSL chamado www-ssl-cert.

Configurar permissões

Para concluir as etapas neste guia, é preciso ter permissão para criar instâncias do Compute Engine, regras de firewall e endereços IP reservados em um projeto. Você precisa ter um papel de proprietário ou editor do projeto ou os seguintes papéis do IAM do Compute Engine.

Tarefa	Papel necessário
Criar instâncias	Administrador de instância
Adicionar e remover regras de firewall	Administrador de segurança
Criar componentes do balanceador de carga	Administrador de rede
Criar um projeto (opcional)	Criador do projeto

Para mais informações, consulte estes guias:

Como criar um grupo de instâncias gerenciadas

Para configurar um balanceador de carga com um back-end do Compute Engine, suas VMs precisam estar em um grupo de instâncias. Neste guia, descrevemos como criar um grupo de instâncias gerenciadas usando VMs do Linux com o Apache em execução para, em seguida, configurar o balanceamento. Um grupo gerenciado de instâncias cria cada uma das instâncias gerenciadas com base nos modelos de instância que você especifica.

O grupo gerenciado de instâncias fornece VMs que executam os servidores de back-end de um balanceador de carga HTTP(S) externo. Para fins de demonstração, os back-ends exibem os próprios nomes de host.

Antes de criar um grupo gerenciado de instâncias, crie um modelo de instância.

Console

No Console do Cloud, acesse a página Modelos de instância.

Acessar "Modelos de instância"
Clique em Criar modelo de instância.
Em Nome, insira lb-backend-template.
Certifique-se de que o disco de inicialização esteja configurado como uma imagem Debian. Por exemplo, Debian GNU/Linux 9 (stretch). Estas instruções usam comandos que estão disponíveis apenas no Debian, como apt-get.
Não configure a opção Firewall.

Como o balanceador de carga HTTP(S) externo é um proxy, não é necessário selecionar Permitir tráfego HTTPS ou Permitir tráfego HTTP em Firewall. Em Como configurar uma regra de firewall, crie a única regra de firewall necessária para esse balanceador de carga.

Na guia Gerenciamento, insira o seguinte script no campo Script de inicialização em Gerenciamento, segurança, discos, rede, locatário único.

#! /bin/bash
sudo apt-get update
sudo apt-get install apache2 -y
sudo a2ensite default-ssl
sudo a2enmod ssl
sudo vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://169.254.169.254/computeMetadata/v1/instance/name)"
sudo echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html

Na guia Rede, adicione as tags de rede: allow-health-check
Clique em Criar.

gcloud

Crie o modelo.

gcloud compute instance-templates create TEMPLATE_NAME \
   --region=us-east1 \
   --network=default \
   --subnet=default \
   --tags=allow-health-check \
   --image-family=debian-9 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
     sudo apt-get update
     sudo apt-get install apache2 -y
     sudo a2ensite default-ssl
     sudo a2enmod ssl
     sudo vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://169.254.169.254/computeMetadata/v1/instance/name)"
   sudo echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   sudo systemctl restart apache2'

Crie o grupo gerenciado de instâncias e selecione o modelo de instância.

Console

No Console do Google Cloud, acesse a página Grupos de instâncias.
Acessar a página "Grupos de instâncias"
Clique em Criar grupo de instâncias.
À esquerda, escolha Novo grupo gerenciado de instâncias (sem estado).
Em Nome, insira lb-backend-example.
Em Local, selecione Única zona.
Em Região, selecione a região de sua preferência. O exemplo usa us-east1.
Em Zona, selecione us-east1-b.
Em Modelo de instância, selecione o modelo de instância lb-backend-template.
Em Modo de escalonamento automático, selecione Não fazer escalonamento automático.
Em Número de instâncias, insira 2.
Para criar o novo grupo de instâncias, clique em Criar.

gcloud

Crie o grupo gerenciado de instâncias com base no modelo.

gcloud compute instance-groups managed create lb-backend-example \
--template=TEMPLATE_NAME --size=2 --zone=us-east1-b

Como adicionar uma porta nomeada ao grupo de instâncias

Para o grupo de instâncias, defina um serviço HTTP e associe um nome à porta relevante. O serviço de balanceamento de carga encaminha o tráfego para a porta nomeada. Para mais informações, consulte Portas nomeadas.

Console

No Console do Google Cloud, acesse a página Grupos de instâncias.
Acessar a página "Grupos de instâncias"
Clique no nome do grupo de instâncias (neste exemplo, lb-backend-example).
Na página Visão geral do grupo de instâncias, clique em Editar .
Em Mapeamento de portas, clique em Adicionar porta.
1. Para o nome da porta, insira http. Como número de porta, insira 80.
Clique em Save.

gcloud

Use o comando gcloud compute instance-groups set-named-ports.

gcloud compute instance-groups set-named-ports lb-backend-example \
    --named-ports http:80 \
    --zone us-east1-b

Como configurar uma regra de firewall

Neste exemplo, você criará a regra de firewall fw-allow-health-check. Essa é uma regra de entrada que permite o tráfego dos sistemas de verificação de integridade do Google Cloud (130.211.0.0/22 e 35.191.0.0/16). Este exemplo usa a tag de destino allow-health-check para identificar as VMs.

Console

No Console do Google Cloud, acesse a página Firewall.
Acesse a página "Firewall"
Clique em Criar regra de firewall para gerar a segunda regra.
Em Nome, insira fw-allow-health-check.
Em Rede, selecione Default.
Em Destinos, selecione Tags de destino especificadas.
Preencha o campo Tags de destino com allow-health-check.
Defina Filtro de origem como Intervalos IPv4.
Defina Intervalos IPv4 de origem como 130.211.0.0/22 e 35.191.0.0/16.
Em Protocolos e portas, selecione Portas e protocolos especificados.
Marque a caixa de seleção tcp e digite 80 para os números de porta.
Clique em Criar.

gcloud

gcloud compute firewall-rules create fw-allow-health-check \
    --network=default \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --target-tags=allow-health-check \
    --rules=tcp:80

Como reservar um endereço IP externo

Agora que suas instâncias estão funcionando, configure um endereço IP externo, estático e global que seus clientes possam usar para alcançar seu balanceador de carga.

Console

No Console do Google Cloud, acesse a página Endereços IP externos.
Acessar a página "Endereços IP externos"
Para reservar um endereço IPv4, clique em Reservar endereço estático.
Em Nome, insira lb-ipv4-1.
Defina o Nível de serviço de rede como Premium.
Defina Versão IP como IPv4.
Configure Tipo como Global.
Clique em Reservar.

gcloud

gcloud compute addresses create lb-ipv4-1 \
    --ip-version=IPV4 \
    --network-tier=PREMIUM \
    --global

Anote o endereço IPv4 que foi reservado:

gcloud compute addresses describe lb-ipv4-1 \
    --format="get(address)" \
    --global

Configurar o balanceador de carga

Neste exemplo, você está usando HTTP ou HTTPS entre o cliente e o balanceador de carga. Para HTTPS, você precisa de um ou mais recursos de certificado SSL para configurar o proxy. Recomendamos o uso de um certificado gerenciado pelo Google.

Mesmo se você estiver usando HTTPS no front-end, poderá usar HTTP no back-end. O Google criptografa automaticamente o tráfego entre os Google Front Ends (GFEs) e seus back-ends que residem em redes VPC do Google Cloud.

Console

Inicie a configuração

No Console do Google Cloud, acesse a página Balanceamento de carga.
Acesse o balanceamento de carga
Em Balanceamento de carga HTTP(S), clique em Iniciar configuração.
Em Somente voltado para a Internet ou interno, selecione Da Internet para minhas VMs.
Em Global ou regional, selecione Balanceador de carga HTTP(S) global (versão clássica).
Clique em Continuar.
No campo Nome do balanceador de carga, insira algo como web-map-https ou web-map-http.
Clique em Configuração de back-end.
1. Em Criar ou selecionar serviços de back-end e buckets de back-end, selecione Serviços de back-end > Criar um serviço de back-end.
2. Adicione um nome para o serviço de back-end, como web-backend-service.
3. Em Protocolo, selecione HTTP.
4. Em Porta nomeada, insira http.
5. Em Back-ends > Novo back-end > Grupo de instâncias, selecione seu grupo de instâncias, lb-backend-example.
6. Em Número da porta, insira 80.
7. Mantenha as outras configurações padrão.
8. Em Verificação de integridade, selecione Criar verificação de integridade e adicione um nome para ela, como http-basic-check.
9. Defina o protocolo como HTTP e clique em Salvar e continuar.
10. Mantenha as outras configurações padrão.
11. Clique em Criar.
Em Regras de host e caminho, mantenha as configurações padrão.
Em Configuração de front-end, use os seguintes valores:
1. Defina Protocolo como HTTPS ou HTTP.
2. Defina o endereço IP como lb-ipv4-1, criado anteriormente.
3. Verifique se a Porta está definida como 443 para permitir tráfego HTTPS ou 80 para tráfego HTTP.
4. Se você selecionou HTTPS, faça o seguinte:
  1. Clique em Certificado e selecione seu certificado SSL principal.
  2. (Opcional) Marque a caixa de seleção Ativar redirecionamento HTTP para HTTPS para permitir redirecionamentos da porta 80 para a porta 443.
    Ao marcar esta caixa de seleção, é criado um balanceador de carga HTTP parcial adicional que usa o mesmo endereço IP do seu balanceador de carga HTTPS e redireciona as solicitações HTTP recebidas para o front-end HTTPS do seu balanceador de carga.
    
    Essa caixa de seleção só poderá ser marcada quando o protocolo HTTPS estiver selecionado e um endereço IP reservado for utilizado.
5. Clique em Concluído.
Clique em Analisar e finalizar.
Quando terminar de configurar o balanceador de carga, clique em Criar.
Aguarde o balanceador de carga ser criado.
Se você tiver criado um balanceador de carga HTTPS e marcado a caixa de seleção Ativar redirecionamento HTTP para HTTPS, também verá um balanceador de carga HTTP criado com um sufixo redirecionar.
Clique no nome do balanceador de carga.
Na tela Detalhes do balanceador de carga, anote o IP:Porta do balanceador de carga.

gcloud

Crie uma verificação de integridade.

    gcloud compute health-checks create http http-basic-check \
        --port 80

Crie um serviço de back-end.

    gcloud compute backend-services create web-backend-service \
        --load-balancing-scheme=EXTERNAL \
        --protocol=HTTP \
        --port-name=http \
        --health-checks=http-basic-check \
        --global

Adicione o grupo de instâncias como back-end ao serviço de back-end.

    gcloud compute backend-services add-backend web-backend-service \
        --instance-group=lb-backend-example \
        --instance-group-zone=us-east1-b \
        --global

Para HTTP, crie um mapa de URLs para encaminhar as solicitações recebidas para o serviço de back-end padrão.
```
    gcloud compute url-maps create web-map-http \
        --default-service web-backend-service
    
```
Para HTTPS, crie um mapa de URLs para encaminhar as solicitações recebidas para o serviço de back-end padrão.
```
    gcloud compute url-maps create web-map-https \
        --default-service web-backend-service
    
```

Como configurar um front-end HTTPS

Pule esta seção para balanceadores de carga HTTP.

Para HTTPS, crie o recurso de certificado SSL global, caso ainda não tenha feito isso, conforme mostrado em:
- Como criar um recurso de certificado SSL gerenciado pelo Google
- Como criar um recurso de certificado SSL autogerenciado
Para HTTPS, crie um proxy HTTPS de destino para encaminhar solicitações ao mapa de URL. O proxy é a parte do balanceador de carga que armazena o certificado SSL para um balanceador de carga HTTPS. Portanto, nesta etapa, também é possível carregar o certificado.
```
    gcloud compute target-https-proxies create https-lb-proxy \
        --url-map=web-map-https \
        --ssl-certificates=www-ssl-cert
    
```

Para HTTPS, crie uma regra de encaminhamento global para encaminhar as solicitações recebidas para o proxy.

    gcloud compute forwarding-rules create https-content-rule \
        --load-balancing-scheme=EXTERNAL \
        --network-tier=PREMIUM \
        --address=lb-ipv4-1 \
        --global \
        --target-https-proxy=https-lb-proxy \
        --ports=443

Como configurar um front-end HTTP

Pule esta seção para balanceadores de carga HTTPS.

Para HTTP, crie um proxy HTTP de destino para encaminhar solicitações ao mapa de URLs.

    gcloud compute target-http-proxies create http-lb-proxy \
        --url-map=web-map-http

Para HTTP, crie uma regra de encaminhamento global para encaminhar as solicitações recebidas para o proxy.

    gcloud compute forwarding-rules create http-content-rule \
        --load-balancing-scheme=EXTERNAL \
        --address=lb-ipv4-1 \
        --global \
        --target-http-proxy=http-lb-proxy \
        --ports=80

Ativar o IAP no balanceador de carga HTTP(S) externo

É possível configurar o IAP para ser ativado ou desativado (padrão). Se ativado, você precisa fornecer valores para oauth2-client-id e oauth2-client-secret.

Para ativar o IAP, atualize o serviço de back-end para incluir a sinalização --iap=enabled com o oauth2-client-id e oauth2-client-secret.

gcloud compute backend-services update BACKEND_SERVICE_NAME \
    --iap=enabled,oauth2-client-id=ID,oauth2-client-secret=SECRET \
    --global

Como conectar seu domínio ao balanceador de carga

Após a criação do balanceador de carga, anote o endereço IP associado a ele, por exemplo, 30.90.80.100. Para apontar seu domínio para o balanceador de carga, crie um registro A usando o serviço de registro de domínio. Se você adicionou vários domínios ao certificado SSL, adicione um registro A para cada um deles, todos apontando para o endereço IP do balanceador de carga. Por exemplo, para criar registros A para www.example.com e example.com:

NAME                  TYPE     DATA
www                   A        30.90.80.100
@                     A        30.90.80.100

Se você estiver usando o Google Domains, consulte a página de Ajuda do Google Domains para ver mais informações.

Como testar o tráfego enviado às instâncias

Agora que o serviço de balanceamento de carga está em execução, é possível enviar o tráfego para a regra de encaminhamento e observar como ele será distribuído em várias instâncias.

Console

No Console do Google Cloud, acesse a página Balanceamento de carga.

Acessar a página "Balanceamento de carga"
Clique no balanceador de carga que você acabou de criar.
Na seção Back-end, confirme se as VMs estão íntegras. A coluna Integridade deve estar preenchida, indicando que ambas as VMs estão íntegras (2/2). Caso contrário, primeiro tente recarregar a página. Pode levar alguns instantes para o Console do Cloud indicar que as VMs estão íntegras. Se os back-ends não aparecerem íntegros depois de alguns minutos, revise a configuração do firewall e a tag de rede atribuída às suas VMs de back-end.

No caso de HTTPS, se você usa um certificado gerenciado pelo Google, confirme se o status do recurso do certificado é "ATIVO". Para mais informações, consulte Status do recurso de certificado SSL gerenciado pelo Google.
Depois que o Console do Cloud mostrar que as instâncias de back-end estão íntegras, teste o balanceador de carga usando um navegador da Web acessando https://IP_ADDRESS (ou http://IP_ADDRESS). Substitua IP_ADDRESS pelo endereço IP do balanceador de carga.
Caso você tenha usado um certificado autoassinado durante o teste de HTTPS, o navegador exibirá um aviso. É preciso conceder permissão explícita para que seu navegador aceite um certificado autoassinado.

Seu navegador deve renderizar uma página que mostre o nome da instância que a exibiu e a zona (por exemplo, Page served from: lb-backend-example-xxxx). Caso seu navegador não renderize essa página, revise as configuração mostradas neste guia.

gcloud

gcloud compute addresses describe lb-ipv4-1 \
   --format="get(address)" \
   --global

Após alguns minutos, é possível testar a configuração executando o seguinte comando curl.

curl http://IP_ADDRESS

-OU-

curl https://HOSTNAME

A seguir

Leia sobre como ativar o IAP para o GKE
Saiba mais sobre grupos de instâncias.
Leia sobre escalonamento e balanceamento de carga.