Por lo general, los balanceadores de cargas de Google Cloud requieren una o más reglas de firewall para garantizar que el tráfico de los clientes llegue a los backends.
Se requiere la mayoría de los balanceadores de cargas a fin de especificar una verificación de estado para las instancias de backend. Para que los sondeos de verificación de estado lleguen a los backends, debes crear una regla de firewall de permiso de entrada que permita que los sondeos lleguen a tus instancias de backend.
Los balanceadores de cargas basados en Google Front Ends (GFE) requieren una regla de firewall de permiso de entrada que permita que el tráfico del proxy de GFE llegue a las instancias de backend. En la mayoría de los casos, los proxies de GFE usan los mismos rangos de IP de origen que los sondeos de verificación de estado y, por lo tanto, no requieren una regla de firewall independiente. Las excepciones se indican en la siguiente tabla.
Los balanceadores de cargas regionales basados en el proxy Envoy de código abierto requieren una regla de firewall de permiso de entrada que permita que el tráfico de la subred de solo proxy llegue a las instancias de backend. Estos balanceadores de cargas finalizan las conexiones entrantes y el tráfico del balanceador de cargas a los backends se envía desde las direcciones IP en la subred de solo proxy.
En la siguiente tabla, se resumen las reglas de firewall mínimas requeridas para cada tipo de balanceador de cargas.
| Tipo de balanceador de cargas | Reglas de firewall de entrada mínimas requeridas | Resumen | Ejemplo |
|---|---|---|---|
| Balanceador de cargas de aplicaciones externo global |
|
Descripción general | Ejemplo |
| Balanceador de cargas de aplicaciones clásico |
|
Descripción general | Ejemplo |
| Balanceador de cargas de aplicaciones externo regional |
|
Descripción general | Ejemplo |
| Balanceador de cargas de aplicaciones interno entre regiones |
|
Descripción general | Ejemplo |
| Balanceador de cargas de aplicaciones interno regional |
|
Descripción general | Ejemplo |
| Balanceador de cargas de red del proxy externo global |
|
Descripción general | Ejemplo |
| Balanceador de cargas de red del proxy clásico |
|
Descripción general | Ejemplo |
| Balanceador de cargas de red del proxy externo regional |
|
Descripción general | Ejemplo |
| Balanceador de cargas de red del proxy interno regional |
|
Descripción general | Ejemplo |
| Balanceador de cargas de red del proxy interno entre regiones |
|
Descripción general | Ejemplo |
| Balanceador de cargas de red de transferencia externo |
|
Descripción general |
Ejemplos |
| Balanceador de cargas de red de transferencia interno |
|
Descripción general | pila única pila doble |
1 No se requiere incluir en la lista de entidades permitidas los rangos de sondeo de verificación de estado de Google para los NEG híbridos. Sin embargo, si usas una combinación de NEG híbridos y zonales en un solo servicio de backend, debes incluir en la lista de entidades permitidas los rangos de sondeo de verificación de estado de Google para los NEG zonales.
2 Para los NEGs de Internet regionales, las verificaciones de estado son opcionales. El tráfico de los balanceadores de cargas que usan NEGs de Internet regionales se origina desde la subred de solo proxy y, luego, se traduce con NAT (mediante Cloud NAT) a cualquiera de los manuales o direcciones IP de NAT asignadas automáticamente. Este tráfico incluye sondeos de verificación de estado y solicitudes de usuario del balanceador de cargas a los backends. Para obtener más detalles, consulta NEG regionales: Usa Cloud NAT para la salida.