Regole firewall

In genere i bilanciatori del carico Google Cloud richiedono una o più regole firewall per garantire che il traffico dai client raggiunga i backend.

  • La maggior parte dei bilanciatori del carico deve specificare un controllo di integrità per il backend di Compute Engine. Affinché i probe del controllo di integrità raggiungano i tuoi backend, devi creare una regola firewall di autorizzazione in entrata che ti consente probe del controllo di integrità per raggiungere le tue istanze di backend.

  • I bilanciatori del carico basati su Google Front End (GFE) richiedono un'autorizzazione in entrata regola firewall che consente al traffico dal proxy GFE di raggiungere il backend di Compute Engine. Nella maggior parte dei casi, i proxy GFE utilizzano gli stessi intervalli IP di origine dei probe del controllo di integrità e pertanto non richiedono una regola firewall separata. Le eccezioni sono indicate nella tabella seguente.

  • I bilanciatori del carico basati su proxy Envoy open source richiedono un'autorizzazione in entrata regola firewall che permette al traffico dalla subnet solo proxy di raggiungere di backend. Questi bilanciatori del carico il traffico proveniente dal bilanciatore del carico ai backend viene quindi inviato dagli indirizzi IP nella subnet solo proxy.

La tabella seguente riassume le regole firewall minime richieste per ogni di bilanciamento del carico.

Tipo di bilanciatore del carico Numero minimo di regole firewall di autorizzazione in entrata richieste Panoramica Esempio
Bilanciatore del carico delle applicazioni esterno globale
  • Intervalli del controllo di integrità:
    • 35.191.0.0/16
    • 130.211.0.0/22

    Per il traffico IPv6 verso i backend:

    • 2600:2d00:1:b029::/64
    • 2600:2d00:1:1::/64
  • Intervalli proxy GFE:
    • Come gli intervalli del controllo di integrità se i backend sono istanze gruppi, NEG a livello di zona (GCE_VM_IP_PORT) o NEG di connettività ibrida (NON_GCP_PRIVATE_IP_PORT)
    • Intervalli di indirizzi IP elencati nell'_cloud-eoips.googleusercontent.com Record TXT DNS. Puoi estrarre gli indirizzi IP di origine per backend NEG internet utilizzando il seguente comando di esempio su Sistema Linux: dig TXT _cloud-eoips.googleusercontent.com | grep -Eo 'ip4:[^ ]+' | cut -d':' -f2
 Panoramica Esempio
Bilanciatore del carico delle applicazioni classico
  • Intervalli del controllo di integrità:
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Intervalli proxy GFE:
    • Come gli intervalli del controllo di integrità se i backend sono istanze gruppi, NEG a livello di zona (GCE_VM_IP_PORT) o NEG di connettività ibrida (NON_GCP_PRIVATE_IP_PORT)
    • Intervalli di indirizzi IP elencati nell'_cloud-eoips.googleusercontent.com Record TXT DNS. Puoi estrarre gli indirizzi IP di origine per backend NEG internet utilizzando il seguente comando di esempio su Sistema Linux: dig TXT _cloud-eoips.googleusercontent.com | grep -Eo 'ip4:[^ ]+' | cut -d':' -f2
 Panoramica Esempio
Bilanciatore del carico delle applicazioni esterno regionale
  • Intervalli 1, 2 del controllo di integrità:
      .
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Subnet solo proxy2
 Panoramica Esempio
Bilanciatore del carico delle applicazioni interno tra regioni
  • Intervalli 1, 2 del controllo di integrità:
      .
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Subnet solo proxy2
 Panoramica Esempio
Bilanciatore del carico delle applicazioni interno regionale
  • Intervalli 1, 2 del controllo di integrità:
      .
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Subnet solo proxy2
 Panoramica Esempio
Bilanciatore del carico di rete proxy esterno globale
  • Intervalli del controllo di integrità:
    • 35.191.0.0/16
    • 130.211.0.0/22

    Per il traffico IPv6 verso i backend:

    • 2600:2d00:1:b029::/64
    • 2600:2d00:1:1::/64
  • Intervalli proxy GFE: uguali agli intervalli del controllo di integrità
 Panoramica Esempio
Bilanciatore del carico di rete proxy classico
  • Intervalli del controllo di integrità:
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Intervalli proxy GFE: uguali agli intervalli del controllo di integrità
 Panoramica Esempio
Bilanciatore del carico di rete proxy esterno regionale
  • Intervalli 1, 2 del controllo di integrità:
      .
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Subnet solo proxy2
 Panoramica Esempio
Bilanciatore del carico di rete proxy interno regionale
  • Intervalli 1, 2 del controllo di integrità:
      .
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Subnet solo proxy2
 Panoramica Esempio
Bilanciatore del carico di rete proxy interno tra regioni
  • Intervalli 1, 2 del controllo di integrità:
      .
    • 35.191.0.0/16
    • 130.211.0.0/22
  • Subnet solo proxy2
 Panoramica Esempio
Bilanciatore del carico di rete passthrough esterno
  • Intervalli del controllo di integrità

    Per il traffico IPv4 verso i backend:

    • 35.191.0.0/16
    • 209.85.152.0/22
    • 209.85.204.0/22

    Per il traffico IPv6 verso i backend:

    • 2600:1901:8001::/48

  • Indirizzi IP di origine esterni dei client su internet.
    Ad esempio, 0.0.0.0/0 (tutti i client IPv4) o ::/0 (tutti i client IPv6) o un un insieme specifico di intervalli di indirizzi IP.

    I bilanciatori del carico basati su pool di destinazione potrebbero eseguire il proxy dei controlli di integrità attraverso il server dei metadati. In questo caso, i probe del controllo di integrità corrispondono all'indirizzo IP del server di metadati: 169.254.169.254. Tuttavia, il traffico proveniente dai metadati sia sempre autorizzato a raggiungere le VM. Nessuna regola firewall è obbligatorio.

 Panoramica
 Esempi
Bilanciatore del carico di rete passthrough interno
  • Intervalli del controllo di integrità:

    Per il traffico IPv4 verso i backend:

    • 35.191.0.0/16
    • 130.211.0.0/22

    Per il traffico IPv6 verso i backend:

    • 2600:2d00:1:b029::/64
  • Indirizzi IP di origine interni dei client
 Panoramica stack singolo stack doppio

1 Non è necessario aggiungere gli intervalli di probe del controllo di integrità di Google a una lista consentita per gli ambienti ibridi NEG. Tuttavia, se utilizzi una combinazione di NEG ibridi e a livello di zona un unico servizio di backend, devi aggiungere la classe Google intervalli di probe del controllo di integrità a una lista consentita per i NEG a livello di zona.

2 Per i NEG internet a livello di regione, i controlli di integrità sono facoltativi. Traffico proveniente dal caricamento I bilanciatori che utilizzano NEG internet regionali provengono dalla subnet solo proxy e poi Tradotto da NAT (utilizzando Cloud NAT) in manuale o allocato automaticamente e gli indirizzi IP NAT. Questo traffico include sia probe del controllo di integrità che dal bilanciatore del carico ai backend. Per maggiori dettagli, consulta la sezione A livello di regione NEG: utilizza Cloud NAT per il traffico in uscita.