Une règle de transfert ainsi que l'adresse IP qui lui est associée représentent la configuration de l'interface d'un équilibreur de charge Google Cloud.
Chaque règle de transfert fait référence à une adresse IP et à un ou plusieurs ports sur lesquels l'équilibreur de charge accepte du trafic. Certains équilibreurs de charge Google Cloud vous limitent à un ensemble prédéfini de ports, tandis que d'autres vous permettent de spécifier des ports arbitraires.
La règle de transfert spécifie également un protocole IP. Pour les équilibreurs de charge Google Cloud, le protocole IP est toujours TCP ou UDP.
En fonction du type d'équilibreur de charge, les éléments suivants s'appliquent :
- Une règle de transfert spécifie un service de backend, un proxy cible ou un pool cible.
- Une règle de transfert et son adresse IP peuvent être internes ou externes.
En outre, selon l'équilibreur de charge et son niveau, une règle de transfert peut être globale ou régionale.
Règles de transfert internes
Les règles de transfert internes transfèrent le trafic provenant d'un réseau Google Cloud. Les clients peuvent se trouver sur le même réseau de cloud privé virtuel (VPC) que les backends ou sur un réseau connecté.
Les règles de transfert internes sont utilisées par deux types de produits d'équilibrage de charge Google Cloud :
- Équilibrage de charge TCP/UDP interne
- Équilibrage de charge HTTP(S) interne
Équilibrage de charge TCP/UDP interne
Avec un équilibreur de charge TCP/UDP interne, le type de trafic compatible est IPv4 et le protocole accepté est soit TCP, soit UDP.
Chaque équilibreur de charge TCP/UDP interne possède au moins une règle de transfert interne régionale. Les règles de transfert internes régionales pointent vers le service de backend interne régional de l'équilibreur de charge. Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge TCP/UDP interne.
Le schéma suivant montre comment les composants de l'équilibreur de charge s'intègrent à un sous-réseau et à une région.
La règle de transfert interne doit être définie dans une région et un sous-réseau. Le service de backend doit correspondre uniquement à cette région.
Pour en savoir plus sur les équilibreurs de charge TCP/UDP internes, consultez la page Présentation de l'équilibrage de charge TCP/UDP interne. Pour en savoir plus sur la configuration des équilibreurs de charge TCP/UDP internes, consultez la page Configurer l'équilibrage de charge TCP/UDP interne.
Équilibrage de charge HTTP(S) interne
Avec un équilibreur de charge HTTP(S) interne, le type de trafic compatible est IPv4 et le protocole accepté est HTTP, HTTPS ou HTTP/2.
Chaque équilibreur de charge HTTP(S) interne dispose d'une seule règle de transfert interne régionale. La règle de transfert interne régionale pointe vers le proxy HTTP ou HTTPS régional cible de l'équilibreur de charge. Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge HTTP(S) interne.
Pour en savoir plus sur les équilibreurs de charge HTTP(S) internes, consultez la page Présentation de l'équilibrage de charge HTTP(S) interne. Pour en savoir plus sur la configuration des équilibreurs de charge HTTP(S) internes, consultez la page Préparer la configuration de l'équilibrage de charge HTTP(S) interne.
Règles de transfert externes
Les règles de transfert externes acceptent le trafic provenant de systèmes clients ayant un accès à Internet, y compris :
- Un client en dehors de Google Cloud
- Une VM Google Cloud avec une adresse IP externe
- Une VM Google Cloud sans adresse IP externe utilisant Cloud NAT ou un système NAT basé sur une instance
Les règles de transfert externes sont utilisées par les types d'équilibreurs de charge Google Cloud suivants :
- Équilibrage de charge HTTP(S) externe
- Équilibrage de charge proxy SSL
- Équilibrage de charge proxy TCP
- Équilibrage de charge réseau TCP/UDP externe
Équilibrage de charge HTTP(S) externe
La règle de transfert et l'adresse IP dépendent toutes deux du niveau que vous sélectionnez pour l'équilibreur de charge.
- Chaque équilibreur de charge HTTP(S) externe peut être de niveau Premium ou Standard.
- L'équilibreur de charge HTTP(S) externe régional n'est compatible qu'avec le niveau Standard.
Dans un équilibreur de charge HTTP(S) externe, une règle de transfert pointe vers un proxy cible.
Au niveau Premium, un équilibreur de charge HTTP(S) externe utilise une adresse IP externe globale, qui peut être de type IPv4 ou IPv6, et une règle de transfert externe globale. Vous pouvez fournir une application accessible mondialement qui redirige les utilisateurs finaux vers les backends de la région la plus proche et répartit le trafic entre différentes régions. Étant donné qu'une règle de transfert externe globale utilise une seule adresse IP externe, vous n'avez pas besoin de conserver des enregistrements DNS distincts dans les différentes régions ni d'attendre la propagation des modifications DNS.
Vous pouvez disposer de deux adresses IP externes globales distinctes pointant vers le même équilibreur de charge HTTP(S) externe. Par exemple, au niveau Premium, l'adresse IP externe globale d'une première règle de transfert peut être de type IPv4, tandis que celle d'une seconde règle de transfert peut être de type IPv6. Ces deux règles de transfert peuvent pointer vers le même proxy cible. Vous avez ainsi la possibilité de fournir à la fois une adresse IPv4 et une adresse IPv6 pour le même équilibreur de charge HTTP(S) externe. Consultez la documentation sur la terminaison IPv6 pour en savoir plus.
Au niveau Standard, un équilibreur de charge HTTP(S) externe utilise une adresse IP externe régionale, qui doit être de type IPv4, et une règle de transfert externe régionale. Un équilibreur de charge HTTP(S) externe relevant du niveau Standard ne peut distribuer du trafic qu'aux backends d'une seule région.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge HTTP(S).
Pour en savoir plus sur les équilibreurs de charge HTTP(S) externes, consultez la page Présentation de l'équilibrage de charge HTTP(S).
Équilibrage de charge proxy SSL
Un équilibreur de charge proxy SSL est semblable à un équilibreur de charge HTTP(S) externe dans la mesure où il peut mettre fin aux sessions SSL (TLS). Contrairement aux équilibreurs de charge HTTP(S) externes, les équilibreurs de charge proxy SSL n'acceptent pas la redirection basée sur le chemin. Ils permettent donc une meilleure gestion de SSL pour les protocoles autres que HTTPS, comme IMAP ou Websocket via SSL. Reportez-vous aux questions fréquentes concernant SSL pour en savoir plus.
Dans un équilibreur de charge proxy SSL, une règle de transfert pointe vers un proxy cible.
Les équilibreurs de charge proxy SSL sont compatibles avec les niveaux Premium et Standard. La règle de transfert et l'adresse IP dépendent toutes deux du niveau que vous sélectionnez pour l'équilibreur de charge.
Au niveau Premium, un équilibreur de charge proxy SSL utilise une adresse IP externe globale, qui peut être de type IPv4 ou IPv6, et une règle de transfert externe globale. Vous pouvez fournir une application accessible mondialement qui redirige les utilisateurs finaux vers les backends de la région la plus proche et répartit le trafic entre différentes régions. Étant donné qu'une règle de transfert externe globale utilise une seule adresse IP externe, vous n'avez pas besoin de conserver des enregistrements DNS distincts dans les différentes régions ni d'attendre la propagation des modifications DNS.
Il est possible de disposer de deux adresses IP externes globales distinctes pointant vers le même équilibreur de charge proxy SSL. Par exemple, au niveau Premium, l'adresse IP externe globale d'une première règle de transfert peut être de type IPv4, tandis que celle d'une seconde règle de transfert peut être de type IPv6. Ces deux règles de transfert peuvent pointer vers le même proxy cible. Vous avez ainsi la possibilité de fournir à la fois une adresse IPv4 et une adresse IPv6 pour le même équilibreur de charge de proxy SSL. Consultez la documentation sur la terminaison IPv6 pour en savoir plus.
Au niveau Standard, un équilibreur de charge proxy SSL utilise une adresse IP externe régionale, qui doit être de type IPv4, et une règle de transfert externe régionale. Un équilibreur de charge proxy SSL relevant du niveau Standard ne peut distribuer du trafic qu'aux backends d'une seule région.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge proxy SSL.
Pour en savoir plus sur les équilibreurs de charge proxy SSL, consultez la page Présentation de l'équilibrage de charge proxy SSL. Pour en savoir plus sur la configuration des équilibreurs de charge proxy SSL, consultez la page Configurer l'équilibrage de charge proxy SSL.
Équilibrage de charge proxy TCP
Un équilibreur de charge proxy TCP offre une capacité de proxy TCP à l'échelle mondiale sans déchargement SSL. Les équilibreurs de charge proxy TCP sont compatibles avec les niveaux Premium et Standard. La règle de transfert et l'adresse IP dépendent toutes deux du niveau que vous sélectionnez pour l'équilibreur de charge.
Dans un équilibreur de charge proxy TCP, une règle de transfert pointe vers un proxy cible.
Au niveau Premium, un équilibreur de charge proxy TCP utilise une adresse IP externe globale, qui peut être de type IPv4 ou IPv6, et une règle de transfert externe globale. Vous pouvez fournir une application accessible mondialement qui redirige les utilisateurs finaux vers les backends de la région la plus proche et répartit le trafic entre différentes régions. Étant donné qu'une règle de transfert externe globale utilise une seule adresse IP externe, vous n'avez pas besoin de conserver des enregistrements DNS distincts dans les différentes régions ni d'attendre la propagation des modifications DNS.
Il est possible de disposer de deux adresses IP externes globales distinctes pointant vers le même équilibreur de charge proxy TCP. Par exemple, au niveau Premium, l'adresse IP externe globale d'une première règle de transfert peut être de type IPv4, tandis que celle d'une seconde règle de transfert peut être de type IPv6. Ces deux règles de transfert peuvent pointer vers le même proxy cible. Vous avez ainsi la possibilité de fournir à la fois une adresse IPv4 et une adresse IPv6 pour le même équilibreur de charge de proxy TCP. Consultez la documentation sur la terminaison IPv6 pour en savoir plus.
Au niveau Standard, un équilibreur de charge proxy TCP utilise une adresse IP externe régionale, qui doit être de type IPv4, et une règle de transfert externe régionale. Un équilibreur de charge proxy TCP relevant du niveau Standard ne peut distribuer du trafic qu'aux backends d'une seule région.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge proxy TCP.
Pour en savoir plus sur les équilibreurs de charge proxy TCP, consultez la page Présentation de l'équilibrage de charge proxy TCP. Pour en savoir plus sur la configuration des équilibreurs de charge proxy TCP, consultez la page Configurer l'équilibrage de charge proxy TCP.
Équilibrage de charge réseau TCP/UDP externe
Les équilibreurs de charge réseau distribuent du trafic entre les backends d'une seule région, et ils sont compatibles avec les niveaux Premium et Standard. Un équilibreur de charge réseau utilise une règle de transfert externe régionale et une adresse IPv4 externe régionale (indépendamment du niveau). L'adresse IP externe régionale est accessible via Internet et sur les VM Google Cloud.
Pour les équilibreurs de charge réseau basés sur un service de backend, la règle de transfert externe régionale pointe vers un service de backend. Les équilibreurs de charge réseau basés sur un service de backend acceptent les protocoles TCP et UDP, ainsi que le trafic de tout protocole IP. Pour en savoir plus, consultez la section Protocoles de règles de transfert pour les équilibreurs de charge réseau basés sur un service de backend.
Pour les équilibreurs de charge réseau basés sur un pool cible, la règle de transfert pointe vers un pool cible. Un équilibreur de charge réseau basé sur un pool cible n'accepte que le trafic TCP ou UDP.
Pour prendre en charge des instances backend dans plusieurs régions, vous devez créer un équilibreur de charge réseau dans chaque région. Cette contrainte s'applique quel que soit le niveau. La figure suivante montre un équilibrage de charge réseau configuré avec trois équilibreurs de charge pour trois régions différentes. Chaque équilibreur de charge possède sa propre règle de transfert externe régional et sa propre adresse IPv4 externe régionale.
Pour en savoir plus sur les équilibreurs de charge réseau, consultez la page Présentation de l'équilibrage de charge réseau. Pour en savoir plus sur la configuration des équilibreurs de charge réseau, consultez l'une des pages suivantes :
- Configurer un équilibreur de charge réseau avec un service de backend
- Configurer un équilibreur de charge réseau avec un pool cible
Impact des niveaux de service réseau sur les équilibreurs de charge
Dans les niveaux de service réseau, la distinction entre le niveau Standard et le niveau Premium dépend de la distance parcourue par le trafic sur l'Internet public :
Niveau Standard : décharge le trafic le plus près possible du centre de données Google. Cela signifie que le trafic est généralement acheminé via l'Internet public sur une plus longue distance, par rapport au niveau Premium.
Niveau Premium : achemine le trafic sur le réseau privé de Google aussi loin que possible avant de quitter Google Cloud pour atteindre l'utilisateur final.
| Équilibreur de charge | Niveaux de service réseau compatibles |
|---|---|
| Équilibreur de charge HTTP(S) externe, équilibreur de charge proxy TCP et équilibreur de charge proxy SSL | Ces équilibreurs de charge peuvent être de niveau Premium ou Standard. Avec le niveau Premium, ils sont globaux. Leurs règles de transfert, adresses IP et services de backend sont également globaux. Au niveau Standard, ces équilibreurs de charge sont en réalité régionaux. Leurs services de backend *restent globaux*, mais leurs règles de transfert et leurs adresses IP sont régionales. |
| Équilibreur de charge HTTP(S) externe régional | Ces équilibreurs de charge sont toujours associés au niveau Standard. Leurs services de backend, règles de transfert et adresses IP sont régionaux. |
| Équilibreurs de charge HTTP(S) internes et équilibreurs de charge TCP/UDP internes | Ces équilibreurs de charge doivent utiliser le réseau privé de Google et relèvent donc toujours du niveau Premium. |
| Équilibreurs de charge réseau TCP/UDP externes | Ces équilibreurs de charge peuvent être de niveau Premium ou Standard. |
Spécifications de protocoles IP
Chaque règle de transfert est associée à un protocole IP utilisé par la règle.
La valeur de protocole par défaut est TCP.
| Produit | Schéma d'équilibrage de charge | Options de protocole IP |
|---|---|---|
| Équilibreur de charge HTTP(S) externe | EXTERNAL | TCP |
| Équilibreur de charge HTTP(S) externe régional | EXTERNAL_MANAGED | TCP |
| Équilibreur de charge proxy SSL | EXTERNAL | TCP |
| Équilibreur de charge proxy TCP | EXTERNAL | TCP |
| Équilibreur de charge réseau | EXTERNAL | TCP, UDP ou L3_DEFAULT (version bêta) |
| Équilibreur de charge TCP/UDP interne | INTERNAL | TCP ou UDP |
| Équilibreur de charge HTTP(S) interne | INTERNAL_MANAGED | TCP |
| Traffic Director | INTERNAL_SELF_MANAGED | TCP |
Spécifications d'adresses IP
La règle de transfert doit avoir une adresse IP que vos clients utilisent pour atteindre votre équilibreur de charge. Cette adresse IP peut être statique ou éphémère.
Une adresse IP statique fournit une adresse IP réservée unique vers laquelle vous pouvez pointer votre domaine. Si vous devez supprimer votre règle de transfert et la rajouter, vous pouvez continuer à utiliser la même adresse IP réservée.
Une adresse IP éphémère reste constante tant que la règle de transfert existe. Lorsque vous choisissez une adresse IP éphémère, Google Cloud associe une adresse IP à la règle de transfert de votre équilibreur de charge. Si vous devez supprimer la règle de transfert puis l'ajouter à nouveau, celle-ci peut alors recevoir une nouvelle adresse IP.
Selon le type d'équilibreur de charge, l'adresse IP peut avoir divers attributs. Le tableau suivant récapitule les configurations d'adresse valides en fonction du schéma d'équilibrage de charge et de la cible de la règle de transfert.
| Schéma | Cible | Type d'adresse | Champ d'application de l'adresse | Niveau d'adresse | Adresse réservable | Remarques |
|---|---|---|---|---|---|---|
| EXTERNAL_MANAGED Équilibreur de charge HTTP(S) externe régional |
Proxy HTTP cible Proxy HTTPS cible |
Externe | Régional | Niveau Standard : adresse IP externe régionale et règle de transfert | Oui, facultatif | IPv6 non disponible |
| EXTERNAL Équilibreur de charge HTTP(S) externe Équilibreur de charge proxy SSL Équilibreur de charge proxy TCP |
Proxy HTTP cible Proxy HTTPS cible Proxy SSL cible Proxy TCP cible |
Externe | Régional ou global, selon la règle de transfert | Niveau Premium : adresse IP externe globale et règle de transfert Niveau Standard : adresse IP externe régionale et règle de transfert |
Oui, facultatif | IPv6 disponible avec une adresse externe globale (niveau Premium) |
| EXTERNAL Équilibreur de charge réseau externe |
Service de backend Pool cible |
Externe | Régional | Standard ou Premium | Oui, facultatif | IPv6 non compatible |
| EXTERNAL VPN classique |
Consultez la documentation sur les VPN classiques. | Externe | Régional | Cloud VPN ne propose pas plusieurs niveaux de service réseau | Oui, obligatoire | IPv6 non compatible |
| INTERNAL Équilibreur de charge TCP/UDP interne |
Service de backend | Interne | Régional | Premium | Oui, facultatif | Doit provenir de la plage d'adresses IP principale du sous-réseau associé |
| INTERNAL_MANAGED Équilibrage de charge HTTP(S) interne |
Proxy HTTP cible Proxy HTTPS cible |
Interne | Régional | Premium | Oui, facultatif | Doit provenir de la plage d'adresses IP principale du sous-réseau associé |
| INTERNAL_SELF_MANAGED Traffic Director |
Proxy HTTP cible Proxy gRPC cible |
Interne | Global | Non applicable | Non | 0.0.0.0, 127.0.0.1 ou toute adresse RFC 1918 autorisée |
Plusieurs règles de transfert avec une adresse IP commune
Deux règles de transfert ou plus avec le schéma d'équilibrage de charge EXTERNAL ou EXTERNAL_MANAGED peuvent partager la même adresse IP si les conditions suivantes sont remplies :
- Les ports utilisés par chaque règle de transfert ne se chevauchent pas.
- Les niveaux de service réseau de chaque règle de transfert correspondent aux niveaux de service réseau de l'adresse IP externe.
Exemples :
- Deux équilibreurs de charge réseau qui acceptent respectivement le trafic sur le port TCP 79 et sur le port TCP 80 peuvent partager la même adresse IP externe régionale.
- Vous pouvez utiliser la même adresse IP externe globale pour un équilibreur de charge HTTP(S) externe (HTTP et HTTPS).
Si le schéma d'équilibrage de charge de la règle de transfert est INTERNAL ou INTERNAL_MANAGED, plusieurs règles de transfert peuvent partager la même adresse IP. Pour plus d'informations, consultez la page Présentation de l'équilibrage de charge TCP/UDP interne.
Si le schéma d'équilibrage de charge de la règle de transfert est INTERNAL_SELF_MANAGED pour Traffic Director, il doit disposer d'une adresse IP unique.
Spécifications de ports
Le tableau suivant récapitule les configurations de port valides en fonction du schéma d'équilibrage de charge et de la cible de la règle de transfert.
| Schéma | Cible | Les ports doivent être spécifiés | Comportement lorsque les ports ne sont pas spécifiés | Configuration requise au niveau des ports |
|---|---|---|---|---|
| EXTERNAL ou EXTERNAL_MANAGED | Proxy HTTP cible | Oui | ND | Peut référencer exactement l'un des ports suivants : 80, 8080 |
| EXTERNAL ou EXTERNAL_MANAGED | Proxy HTTPS cible | Oui | ND | Ne peut référencer que le port : 443 |
| EXTERNAL | Proxy SSL cible | Oui | ND | Ne peut référencer qu'un seul des ports suivants : 25, 43, 110, 143, 195, 443, 465, 587, 700, 993, 995, 1883, 3389, 5222, 5432, 5671, 5672, 5900, 5901, 6379, 8085, 8099, 9092, 9200 et 9300 |
| EXTERNAL | Proxy TCP cible | Oui | ND | Ne peut référencer qu'un seul des ports suivants : 25, 43, 110, 143, 195, 443, 465, 587, 700, 993, 995, 1883, 3389, 5222, 5432, 5671, 5672, 5900, 5901, 6379, 8085, 8099, 9092, 9200 et 9300 |
| EXTERNAL | Passerelle VPN cible | Oui | ND | Peut référencer exactement l'un des ports suivants : 500, 4500 |
| EXTERNAL | Service backend | Oui | Non disponible | Si le protocole de règle de transfert est TCP ou UDP, vous pouvez configurer :
Si le protocole de règle de transfert est L3_DEFAULT, vous devez configurer tous les ports.
|
| Pool cible | Non | Tous les ports (1-65535) sont transférés |
Doit correspondre à une seule plage de ports (contiguë) | |
| INTERNAL | Service de backend | Oui | ND | Jusqu'à cinq (contigus ou non contigus) ports, ou vous pouvez configurer tous les ports à l'aide de l'une des méthodes suivantes : définissez --ports=ALL à l'aide de l'outil de ligne de commande gcloud, oudéfinissez allPorts sur True à l'aide de l'API. |
| INTERNAL_MANAGED | Proxy HTTP cible | Oui | ND | Peut référencer exactement l'un des ports suivants : 80, 8080 |
| INTERNAL_MANAGED | Proxy HTTPS cible | Oui | ND | Ne peut référencer que le port : 443 |
| INTERNAL_SELF_MANAGED | Proxy HTTP cible Proxy HTTPS cible |
Oui | ND | Doit être une valeur unique. Au sein d'un réseau VPC, deux règles de transfert pour Traffic Director ne peuvent avoir la même adresse IP, ni les mêmes spécifications de port. |
Conditions IAM
Vous pouvez définir des conditions IAM (Identity and Access Management) pour contrôler les rôles accordés aux comptes principaux. Cette fonctionnalité vous permet d'accorder des autorisations aux comptes principaux si les conditions configurées sont remplies.
Une condition IAM vérifie le schéma d'équilibrage de charge de la règle de transfert (par exemple, INTERNAL ou EXTERNAL), et autorise ou interdit la création de la règle de transfert. Si un compte principal essaie de créer une règle de transfert sans autorisation, un message d'erreur s'affiche.
Pour en savoir plus, consultez la page Conditions IAM.
Documentation de référence sur l'API et sur gcloud
Pour une description des propriétés et des méthodes disponibles lorsque vous utilisez des règles de transfert via l'API REST, consultez les pages suivantes :
- Champ d'application global : globalForwardingRules
- Champ d'application régional : forwardingRules
Pour l'outil de ligne de commande gcloud, consultez la page suivante :
- gcloud compute forwarding-rules
- Champ d'application global :
--global - Champ d'application régional :
--region=[REGION]
- Champ d'application global :
Étape suivante
- Pour ajouter ou supprimer une règle de transfert, consultez la page Utiliser des règles de transfert.