Une règle de transfert et l'adresse IP correspondante représentent la configuration de l'interface (frontend) d'un équilibreur de charge Google Cloud.
Chaque règle de transfert fait référence à une adresse IP et à un ou plusieurs ports sur lesquels l'équilibreur de charge accepte du trafic. Certains équilibreurs de charge Google Cloud vous limitent à un ensemble prédéfini de ports, tandis que d'autres vous permettent de spécifier des ports arbitraires.
La règle de transfert spécifie également un protocole IP. Pour les équilibreurs de charge Google Cloud, le protocole IP est toujours TCP ou UDP.
En fonction du type d'équilibreur de charge, les éléments suivants s'appliquent :
- Une règle de transfert spécifie un service de backend, un proxy cible ou un pool cible.
- Une règle de transfert et son adresse IP peuvent être internes ou externes.
En outre, selon l'équilibreur de charge et son niveau, une règle de transfert peut être globale ou régionale.
Règles de transfert internes
Les règles de transfert internes transfèrent le trafic provenant d'un réseau Google Cloud. Les clients peuvent se trouver sur le même réseau de cloud privé virtuel (VPC) que les backends ou sur un réseau connecté.
Les règles de transfert internes sont utilisées par deux types d'équilibreurs de charge Google Cloud :
- Équilibreurs de charge TCP/UDP internes
- Équilibreurs de charge HTTP(S) internes
Équilibreurs de charge TCP/UDP internes
Avec un équilibreur de charge TCP/UDP interne, le type de trafic compatible est IPv4 et le protocole accepté est soit TCP, soit UDP.
Chaque équilibreur de charge TCP/UDP interne possède au moins une règle de transfert interne régionale. Les règles de transfert internes régionales pointent vers le service de backend interne régional de l'équilibreur de charge. Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge TCP/UDP interne.
Le schéma suivant montre comment les composants de l'équilibreur de charge s'intègrent à un sous-réseau et à une région.
La règle de transfert interne doit se trouver dans une région et un sous-réseau, tandis que le service de backend doit seulement se trouver dans la région.
Pour en savoir plus sur les équilibreurs de charge TCP/UDP internes, consultez la page Présentation de l'équilibrage de charge TCP/UDP interne. Pour en savoir plus sur la configuration des équilibreurs de charge TCP/UDP internes, consultez la page Configurer l'équilibrage de charge TCP/UDP interne.
Équilibreurs de charge HTTP(S) internes
Avec un équilibreur de charge HTTP(S) interne, le type de trafic compatible est IPv4 et le protocole accepté est HTTP, HTTPS ou HTTP/2.
Chaque équilibreur de charge HTTP(S) interne dispose d'une seule règle de transfert interne régionale. La règle de transfert interne régionale pointe vers le proxy HTTP ou HTTPS régional cible de l'équilibreur de charge. Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge HTTP(S) interne.
Pour en savoir plus sur les équilibreurs de charge HTTP(S) internes, consultez la page Présentation de l'équilibrage de charge HTTP(S) interne. Pour en savoir plus sur la configuration des équilibreurs de charge HTTP(S) internes, consultez la page Préparer la configuration de l'équilibrage de charge HTTP(S) interne.
Règles de transfert externes
Les règles de transfert externes transfèrent le trafic provenant d'Internet, c'est-à-dire de l'extérieur de votre réseau VPC.
Les règles de transfert externes sont utilisées par les équilibreurs de charge Google Cloud suivants :
- Équilibreurs de charge HTTP(S) externes
- Équilibreurs de charge proxy SSL
- Équilibreurs de charge proxy TCP
- Équilibreurs de charge réseau
Équilibreurs de charge HTTP(S)
Les équilibreurs de charge HTTP(S) externes sont compatibles avec les niveaux Premium et Standard. La règle de transfert et l'adresse IP dépendent toutes deux du niveau que vous sélectionnez pour l'équilibreur de charge.
Dans un équilibreur de charge HTTP(S) externe, une règle de transfert pointe vers un proxy cible.
Au niveau Premium, un équilibreur de charge HTTP(S) externe utilise une adresse IP externe globale, qui peut être de type IPv4 ou IPv6, et une règle de transfert externe globale. Vous pouvez fournir une application accessible mondialement qui redirige les utilisateurs finaux vers les backends de la région la plus proche et répartit le trafic entre différentes régions. Étant donné qu'une règle de transfert externe globale utilise une seule adresse IP externe, vous n'avez pas besoin de conserver des enregistrements DNS distincts dans les différentes régions ni d'attendre la propagation des modifications DNS.
Vous pouvez disposer de deux adresses IP externes globales distinctes pointant vers le même équilibreur de charge HTTP(S) externe. Par exemple, au niveau Premium, l'adresse IP externe globale d'une première règle de transfert peut être de type IPv4, tandis que celle d'une seconde règle de transfert peut être de type IPv6. Ces deux règles de transfert peuvent pointer vers le même proxy cible. Vous avez ainsi la possibilité de fournir à la fois une adresse IPv4 et une adresse IPv6 pour le même équilibreur de charge HTTP(S) externe. Consultez la documentation sur la terminaison IPv6 pour en savoir plus.
Au niveau Standard, un équilibreur de charge HTTP(S) externe utilise une adresse IP externe régionale, qui doit être de type IPv4, et une règle de transfert externe régionale. Un équilibreur de charge HTTP(S) externe relevant du niveau Standard ne peut distribuer du trafic qu'aux backends d'une seule région.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge HTTP(S).
Pour en savoir plus sur les équilibreurs de charge HTTP(S) externes, consultez la page Présentation de l'équilibrage de charge HTTP(S).
Équilibreurs de charge proxy SSL
Un équilibreur de charge proxy SSL est semblable à un équilibreur de charge HTTP(S) externe dans la mesure où il peut mettre fin aux sessions SSL (TLS). Contrairement aux équilibreurs de charge HTTP(S) externes, les équilibreurs de charge proxy SSL n'acceptent pas la redirection basée sur le chemin. Ils permettent donc une meilleure gestion de SSL pour les protocoles autres que HTTPS, comme IMAP ou Websocket via SSL. Reportez-vous aux questions fréquentes concernant SSL pour en savoir plus.
Dans un équilibreur de charge proxy SSL, une règle de transfert pointe vers un proxy cible.
Les équilibreurs de charge proxy SSL sont compatibles avec les niveaux Premium et Standard. La règle de transfert et l'adresse IP dépendent toutes deux du niveau que vous sélectionnez pour l'équilibreur de charge.
Au niveau Premium, un équilibreur de charge proxy SSL utilise une adresse IP externe globale, qui peut être de type IPv4 ou IPv6, et une règle de transfert externe globale. Vous pouvez fournir une application accessible mondialement qui redirige les utilisateurs finaux vers les backends de la région la plus proche et répartit le trafic entre différentes régions. Étant donné qu'une règle de transfert externe globale utilise une seule adresse IP externe, vous n'avez pas besoin de conserver des enregistrements DNS distincts dans les différentes régions ni d'attendre la propagation des modifications DNS.
Il est possible de disposer de deux adresses IP externes globales distinctes pointant vers le même équilibreur de charge proxy SSL. Par exemple, au niveau Premium, l'adresse IP externe globale d'une première règle de transfert peut être de type IPv4, tandis que celle d'une seconde règle de transfert peut être de type IPv6. Ces deux règles de transfert peuvent pointer vers le même proxy cible. Vous avez ainsi la possibilité de fournir à la fois une adresse IPv4 et une adresse IPv6 pour le même équilibreur de charge de proxy SSL. Consultez la documentation sur la terminaison IPv6 pour en savoir plus.
Au niveau Standard, un équilibreur de charge proxy SSL utilise une adresse IP externe régionale, qui doit être de type IPv4, et une règle de transfert externe régionale. Un équilibreur de charge proxy SSL relevant du niveau Standard ne peut distribuer du trafic qu'aux backends d'une seule région.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge proxy SSL.
Pour en savoir plus sur les équilibreurs de charge proxy SSL, consultez la page Présentation de l'équilibrage de charge proxy SSL. Pour en savoir plus sur la configuration des équilibreurs de charge proxy SSL, consultez la page Configurer l'équilibrage de charge proxy SSL.
Équilibreurs de charge proxy TCP
Un équilibreur de charge proxy TCP offre une capacité de proxy TCP à l'échelle mondiale sans déchargement SSL. Les équilibreurs de charge proxy TCP sont compatibles avec les niveaux Premium et Standard. La règle de transfert et l'adresse IP dépendent toutes deux du niveau que vous sélectionnez pour l'équilibreur de charge.
Dans un équilibreur de charge proxy TCP, une règle de transfert pointe vers un proxy cible.
Au niveau Premium, un équilibreur de charge proxy TCP utilise une adresse IP externe globale, qui peut être de type IPv4 ou IPv6, et une règle de transfert externe globale. Vous pouvez fournir une application accessible mondialement qui redirige les utilisateurs finaux vers les backends de la région la plus proche et répartit le trafic entre différentes régions. Étant donné qu'une règle de transfert externe globale utilise une seule adresse IP externe, vous n'avez pas besoin de conserver des enregistrements DNS distincts dans les différentes régions ni d'attendre la propagation des modifications DNS.
Il est possible de disposer de deux adresses IP externes globales distinctes pointant vers le même équilibreur de charge proxy TCP. Par exemple, au niveau Premium, l'adresse IP externe globale d'une première règle de transfert peut être de type IPv4, tandis que celle d'une seconde règle de transfert peut être de type IPv6. Ces deux règles de transfert peuvent pointer vers le même proxy cible. Vous avez ainsi la possibilité de fournir à la fois une adresse IPv4 et une adresse IPv6 pour le même équilibreur de charge de proxy TCP. Consultez la documentation sur la terminaison IPv6 pour en savoir plus.
Au niveau Standard, un équilibreur de charge proxy TCP utilise une adresse IP externe régionale, qui doit être de type IPv4, et une règle de transfert externe régionale. Un équilibreur de charge proxy TCP relevant du niveau Standard ne peut distribuer du trafic qu'aux backends d'une seule région.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture d'équilibrage de charge proxy TCP.
Pour en savoir plus sur les équilibreurs de charge proxy TCP, consultez la page Présentation de l'équilibrage de charge proxy TCP. Pour en savoir plus sur la configuration des équilibreurs de charge proxy TCP, consultez la page Configurer l'équilibrage de charge proxy TCP.
Équilibreurs de charge réseau
Les équilibreurs de charge réseau distribuent du trafic TCP ou UDP entre les backends d'une seule région, et ils sont compatibles avec les niveaux Premium et Standard. Un équilibreur de charge réseau utilise une règle de transfert externe régionale et une adresse IPv4 externe régionale (indépendamment du niveau). L'adresse IP externe régionale est accessible partout sur Internet.
Une règle de transfert externe régionale pointe vers le pool cible de l'équilibreur de charge.
Pour utiliser l'équilibrage de charge réseau dans différentes régions, vous devez créer un équilibreur de charge réseau dans chacune d'entre elles. Cette contrainte s'applique quel que soit le niveau. La figure suivante montre un équilibrage de charge réseau configuré avec trois équilibreurs de charge pour trois régions différentes. Chaque équilibreur de charge possède sa propre règle de transfert externe régional et sa propre adresse IPv4 externe régionale.
Pour en savoir plus sur les équilibreurs de charge réseau, consultez la page Présentation de l'équilibrage de charge réseau. Pour en savoir plus sur la configuration des équilibreurs de charge réseau, consultez la page Configurer l'équilibrage de charge réseau.
Impact des niveaux de service réseau sur les équilibreurs de charge
Dans les niveaux de service réseau, la distinction entre le niveau Standard et le niveau Premium dépend de la distance parcourue par le trafic sur l'Internet public :
Niveau Standard : décharge le trafic le plus près possible du centre de données Google. Cela signifie que le trafic est généralement acheminé via l'Internet public sur une plus longue distance, par rapport au niveau Premium.
Niveau Premium : achemine le trafic sur le réseau privé de Google aussi loin que possible avant de quitter Google Cloud pour atteindre l'utilisateur final.
Les équilibreurs de charge internes (HTTP(S) et TCP/UDP) doivent utiliser le réseau privé de Google et relèvent donc toujours du niveau Premium. L'équilibrage de charge interne est toujours régional.
Seuls les équilibreurs de charge externes (HTTP(S), proxy TCP, proxy SSL et réseau TCP/UDP) peuvent être acheminés via l'Internet public. Vous pouvez décider si votre équilibreur de charge externe relève du niveau Premium (via le réseau privé de Google) ou du niveau Standard (via l'Internet public).
Quel que soit le niveau concerné, l'équilibrage de charge réseau est toujours régional.
Au niveau Premium, les équilibreurs de charge HTTP(S) externes, les équilibreurs de charge proxy TCP et les équilibreurs de charge proxy SSL sont globaux. Leurs règles de transfert, adresses IP et services de backend sont également globaux. Au niveau Standard, ces équilibreurs de charge sont en réalité régionaux. Leurs services de backend restent globaux, mais leurs règles de transfert et leurs adresses IP sont régionales.
Spécifications d'adresses IP
La règle de transfert doit avoir une adresse IP que vos clients utilisent pour atteindre votre équilibreur de charge. L'adresse IP peut être statique ou éphémère.
Une adresse IP statique fournit une adresse IP réservée unique vers laquelle vous pouvez pointer votre domaine. Si vous devez supprimer votre règle de transfert et la rajouter, vous pouvez continuer à utiliser la même adresse IP réservée.
Une adresse IP éphémère reste constante tant que la règle de transfert existe. Lorsque vous choisissez une adresse IP éphémère, Google Cloud associe une adresse IP à la règle de transfert de votre équilibreur de charge. Si vous devez supprimer la règle de transfert et la rajouter, la règle de transfert peut recevoir une nouvelle adresse IP.
Selon le type d'équilibreur de charge, l'adresse IP peut avoir divers attributs. Le tableau suivant récapitule les configurations d'adresse valides en fonction du schéma d'équilibrage de charge et de la cible de la règle de transfert.
| Schéma | Cible | Type d'adresse | Champ d'application de l'adresse | Niveau d'adresse | Adresse réservable | Notes |
|---|---|---|---|---|---|---|
| EXTERNAL Équilibrage de charge HTTP(S) Équilibrage de charge proxy SSL Équilibrage de charge proxy TCP |
Proxy HTTP cible Proxy HTTPS cible Proxy SSL cible Proxy TCP cible |
Externe | Régional ou global, selon la règle de transfert | Niveau Premium : adresse IP externe globale et règle de transfert Niveau Standard : adresse IP externe régionale et règle de transfert |
Oui, facultatif | IPv6 disponible avec une adresse externe globale (niveau Premium). |
| EXTERNAL Équilibrage de charge réseau |
Pool cible | Externe | Régional | Standard ou Premium | Oui | IPv6 non compatible |
| EXTERNAL VPN classique |
Consultez la documentation sur les VPN classiques. | Externe | Régional | Cloud VPN ne propose pas plusieurs niveaux de service réseau | Oui, obligatoire | IPv6 non compatible |
| INTERNE Équilibrage de charge TCP/UDP interne |
Service backend | Interne | Régional | Premium | Oui, facultatif | Elle doit provenir de la plage d'adresses IP principale du sous-réseau référencé. |
| INTERNAL_MANAGED Équilibrage de charge HTTP(S) interne |
Proxy HTTP cible Proxy HTTPS cible |
Interne | Régional | Premium | Oui, facultatif | Elle doit provenir de la plage d'adresses IP principale du sous-réseau référencé. |
| INTERNAL_SELF_MANAGED Directeur du trafic |
Proxy HTTP cible | Interne | Global | Non applicable | Non | 0.0.0.0, 127.0.0.1 ou toute adresse RFC 1918 autorisée |
Plusieurs règles de transfert avec une adresse IP commune
Deux règles de transfert ou plus avec le schéma d'équilibrage de charge EXTERNAL peuvent partager la même adresse IP si les conditions suivantes sont remplies :
- Les ports utilisés par chaque règle de transfert ne se chevauchent pas.
- Les niveaux de service réseau de chaque règle de transfert correspondent aux niveaux de service réseau de l'adresse IP externe.
Exemples :
- Deux équilibreurs de charge réseau qui acceptent respectivement le trafic sur le port TCP 79 et sur le port TCP 80 peuvent partager la même adresse IP externe régionale.
- Vous pouvez utiliser la même adresse IP externe globale pour un équilibreur de charge HTTP(S) externe (HTTP et HTTPS).
Si le schéma d'équilibrage de charge de la règle de transfert est INTERNAL, plusieurs règles de transfert peuvent partager la même adresse IP. Pour plus d'informations, consultez la page Présentation de l'équilibrage de charge TCP/UDP interne.
Si le schéma d'équilibrage de charge de la règle de transfert correspond à l'un des éléments suivants, il doit disposer d'une adresse IP unique :
- INTERNAL_MANAGED pour les équilibreurs de charge HTTP(S) internes
- INTERNAL_SELF_MANAGED pour Traffic Director
Spécifications de ports
Le tableau suivant récapitule les configurations de port valides en fonction du schéma d'équilibrage de charge et de la cible de la règle de transfert.
| Schéma | Cible | Les ports doivent être spécifiés | Comportement lorsque les ports ne sont pas spécifiés | Configuration requise au niveau des ports |
|---|---|---|---|---|
| EXTERNAL | Proxy HTTP cible | Oui | ND | 80, 8080 |
| EXTERNAL | Proxy HTTPS cible | Oui | ND | 443 |
| EXTERNAL | Proxy SSL cible | Oui | ND | 25, 43, 110, 143, 195, 443, 465, 587, 700, 993, 995, 1883, 3389, 5222, 5432, 5671, 5672, 5900, 5901, 6379, 8085, 8099, 9092, 9200 et 9300 |
| EXTERNAL | Proxy TCP cible | Oui | ND | 25, 43, 110, 143, 195, 443, 465, 587, 700, 993, 995, 1883, 3389, 5222, 5432, 5671, 5672, 5900, 5901, 6379, 8085, 8099, 9092, 9200 et 9300 |
| EXTERNAL | Passerelle VPN cible | Oui | ND | 500, 4500 |
| EXTERNAL | Pool cible | Non | Tous les ports (1-65535) sont transférés |
Les ports doivent être contigus |
| INTERNAL | Service backend | Oui | ND | Cinq ports maximum (contigus ou non), ou possibilité de spécifier ALL |
| INTERNAL_MANAGED | Proxy HTTP cible Proxy HTTPS cible |
Oui | ND | 80 ou 8080 443 |
| INTERNAL_SELF_MANAGED | Proxy HTTP cible Proxy HTTPS cible |
Oui | ND | Doit être une valeur unique. Au sein d'un réseau VPC, deux règles de transfert pour Traffic Director ne peuvent avoir la même adresse IP, ni les mêmes spécifications de port. |
Conditions Cloud IAM
Avec les conditions Cloud IAM, vous pouvez définir des conditions pour contrôler les rôles accordés aux membres. Cette fonctionnalité vous permet d'accorder des autorisations aux membres si les conditions configurées sont remplies.
Une condition Cloud IAM vérifie le schéma d'équilibrage de charge de la règle de transfert (par exemple, INTERNAL ou EXTERNAL), et autorise ou interdit la création de la règle de transfert. Si un membre essaie de créer une règle de transfert sans autorisation, un message d'erreur s'affiche.
Pour plus d'informations, consultez la section Conditions Cloud IAM.
Documentation de référence sur l'API et sur gcloud
Pour une description des propriétés et des méthodes disponibles lorsque vous utilisez des règles de transfert via l'API REST, consultez les pages suivantes :
- Champ d'application global : globalForwardingRules
- Champ d'application régional : forwardingRules
Pour l'outil de ligne de commande gcloud, consultez la page suivante :
- gcloud compute forwarding-rules
- Champ d'application global :
--global - Champ d'application régional :
--region=[REGION]
- Champ d'application global :
Étape suivante
- Pour ajouter ou supprimer une règle de transfert, consultez la page Utiliser des règles de transfert.