Logging e monitoraggio del bilanciatore del carico delle applicazioni esterno regionale

Questo documento mostra come configurare e utilizzare Cloud Logging e Cloud Monitoring con bilanciatori del carico delle applicazioni esterni regionali.

Logging

Puoi abilitare, disabilitare e visualizzare i log per un servizio di backend con bilanciatore del carico delle applicazioni esterno.

Puoi abilitare o disabilitare il logging per ogni servizio di backend. Puoi configurare se registrare tutte le richieste o una frazione campionata casualmente.

Devi assicurarti di non avere un'esclusione dei log che si applica ai bilanciatori del carico delle applicazioni esterni. Per istruzioni su come verificare che i log Cloud HTTP Load Balancer siano consentiti, consulta Visualizzazione delle esclusioni dei tipi di risorse.

Nota: se il servizio di backend viene creato dopo la release di disponibilità generale di Logging per Application Load Balancer esterni, il logging è disabilitato per un servizio di backend. Se hai abilitato il logging durante la release alpha o beta, il logging continua a essere abilitato per il servizio di backend.

Campi facoltativi

I record di log contengono campi obbligatori e facoltativi. La sezione Cosa viene registrato elenca i campi facoltativi e quelli obbligatori. Tutti i campi obbligatori sono sempre inclusi. Puoi personalizzare i campi facoltativi da conservare.

• Se selezioni includi tutti i dati facoltativi, tutti i campi facoltativi nel formato del record di log vengono inclusi nei log. Quando nel formato record vengono aggiunti nuovi campi facoltativi, i log includono automaticamente i nuovi campi.

• Se selezioni escludi tutti i campi facoltativi, tutti i campi facoltativi vengono omessi.

• Se selezioni personalizzato, puoi specificare i campi facoltativi che vuoi includere, ad esempio tls.protocol,tls.cipher.

Per istruzioni sulla personalizzazione dei campi facoltativi, consulta Abilitare il logging su un nuovo servizio di backend.

Abilitazione del logging su un nuovo servizio di backend

Console

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Fai clic sul nome del bilanciatore del carico.

3. Fai clic su Modifica.

4. Fai clic su Configurazione backend.

5. Seleziona Crea un servizio di backend.

6. Compila i campi obbligatori del servizio di backend.

7. Nella sezione Logging, seleziona la casella di controllo Abilita il logging.

8. Imposta la probabilità di campionamento nel campo Frequenza di campionamento. Puoi impostare un numero compreso tra 0.0 e 1.0, dove 0.0 indica che nessuna richiesta viene registrata e 1.0 indica che il 100% delle richieste viene registrato. Il valore predefinito è 1.0.

9. (Facoltativo) Per includere tutti i campi facoltativi nei log, nella sezione Campi facoltativi, fai clic su Includi tutti i campi facoltativi.

   Suggerimento avanzato: per specificare l'opzione CUSTOM, utilizza gcloud CLI e l'API REST.

10. Per completare la modifica del servizio di backend, fai clic su Aggiorna.

11. Per completare la modifica del bilanciatore del carico, fai clic su Aggiorna.

gcloud: modalità a livello di regione

Crea un servizio di backend e abilita il logging utilizzando il comando gcloud compute backend-services create.

gcloud compute backend-services create BACKEND_SERVICE \
    --region=REGION \
    --enable-logging \
    --logging-sample-rate=VALUE \
    --load-balancing-scheme=EXTERNAL_MANAGED \
    --logging-optional=LOGGING_OPTIONAL_MODE \
    --logging-optional-fields=OPTIONAL_FIELDS

dove

• --region indica che il servizio di backend è a livello di regione. Utilizza questo campo per i servizi di backend utilizzati con Application Load Balancer esterni regionali.
• --enable-logging abilita il logging per il servizio di backend in questione.
• --logging-sample-rate consente di specificare un valore compreso tra 0.0 e 1.0, dove 0.0 indica che non viene registrata alcuna richiesta, mentre 1.0 indica che viene registrato il 100% delle richieste. Significativo solo con il parametro --enable-logging. Abilitare il logging, ma impostare la frequenza di campionamento su 0.0 equivale a disabilitare il logging. Il valore predefinito è 1.0.

• --logging-optional consente di specificare i campi facoltativi che vuoi includere nei log:

  • INCLUDE_ALL_OPTIONAL per includere tutti i campi facoltativi.

  • EXCLUDE_ALL_OPTIONAL (valore predefinito) per escludere tutti i campi facoltativi.

  • CUSTOM per includere un elenco personalizzato di campi facoltativi specificati in OPTIONAL_FIELDS.

• --logging-optional-fields consente di specificare un elenco separato da virgole di campi facoltativi che vuoi includere nei log.

  Ad esempio, tls.protocol,tls.cipher può essere impostato solo se LOGGING_OPTIONAL_MODE è impostato su CUSTOM.

Abilitazione del logging su un servizio di backend esistente

Console

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Fai clic sul nome del bilanciatore del carico.

3. Fai clic su Modifica.

4. Fai clic su Configurazione backend.

5. Fai clic su Modifica accanto al tuo servizio di backend.

6. Nella sezione Logging, seleziona la casella di controllo Abilita il logging.

7. Imposta la probabilità di campionamento nel campo Frequenza di campionamento. Puoi impostare un numero compreso tra 0.0 e 1.0, dove 0.0 indica che nessuna richiesta viene registrata e 1.0 indica che il 100% delle richieste viene registrato. Il valore predefinito è 1.0.

8. (Facoltativo) Per includere tutti i campi facoltativi nei log, nella sezione Campi facoltativi, fai clic su Includi tutti i campi facoltativi.

   Suggerimento avanzato: per specificare l'opzione CUSTOM, utilizza gcloud CLI e l'API REST.

9. Per completare la modifica del servizio di backend, fai clic su Aggiorna.

10. Per completare la modifica del bilanciatore del carico, fai clic su Aggiorna.

gcloud: modalità a livello di regione

Abilita il logging su un servizio di backend esistente con il comando gcloud compute backend-services update.

gcloud compute backend-services update BACKEND_SERVICE \
    --region=REGION \
    --enable-logging \
    --logging-sample-rate=VALUE \
    --logging-optional=LOGGING_OPTIONAL_MODE \
    --logging-optional-fields=OPTIONAL_FIELDS

dove

• --region indica che il servizio di backend è a livello di regione. Utilizza questo campo per i servizi di backend utilizzati con Application Load Balancer esterni regionali.
• --enable-logging abilita il logging per il servizio di backend in questione.
• --logging-sample-rate consente di specificare un valore compreso tra 0.0 e 1.0, dove 0.0 indica che non viene registrata alcuna richiesta, mentre 1.0 indica che viene registrato il 100% delle richieste. Significativo solo con il parametro --enable-logging. Abilitare il logging, ma impostare la frequenza di campionamento su 0.0 equivale a disabilitare il logging. Il valore predefinito è 1.0.

• --logging-optional consente di specificare i campi facoltativi da includere nei log.

  • INCLUDE_ALL_OPTIONAL per includere tutti i campi facoltativi.

  • EXCLUDE_ALL_OPTIONAL (valore predefinito) per escludere tutti i campi facoltativi.

  • CUSTOM per includere un elenco personalizzato di campi facoltativi che hai specificato in OPTIONAL_FIELDS.

• --logging-optional-fields consente di specificare un elenco di campi facoltativi, separati da virgole, da includere nei log.

  Ad esempio, tls.protocol,tls.cipher. Può essere impostato solo se LOGGING_OPTIONAL_MODE è impostato su CUSTOM.

Disabilitazione o modifica del logging su un servizio di backend esistente

Console

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Fai clic sul nome del bilanciatore del carico.

3. Fai clic su Modifica.

4. Fai clic su Configurazione backend.

5. Fai clic su Modifica accanto al tuo servizio di backend.

6. Per disattivare completamente il logging, deseleziona la casella di controllo Abilita il logging nella sezione Logging.

7. Se lasci abilitato il logging, puoi impostare una probabilità di campionamento diversa nel campo Frequenza di campionamento. Puoi impostare un numero compreso tra 0.0 e 1.0, dove 0.0 indica che non viene registrata alcuna richiesta, mentre 1.0 indica che viene registrato il 100% delle richieste. Il valore predefinito è 1.0. Per ridurre il numero di log archiviati al 20%, imposta il valore su 0.2.

8. Per completare la modifica del servizio di backend, fai clic su Aggiorna.

9. Per completare la modifica del bilanciatore del carico, fai clic su Aggiorna.

gcloud: modalità a livello di regione

Disabilita il logging su un servizio di backend con il comando gcloud compute backend-services update.

Disattivare completamente il logging

gcloud compute backend-services update BACKEND_SERVICE \
    --region=REGION \
    --no-enable-logging

dove

• --region indica che il servizio di backend è a livello di regione. Utilizza questo campo per i servizi di backend utilizzati con Application Load Balancer esterni regionali.
• --no-enable-logging disabilita il logging per il servizio di backend in questione.

Modificare la frequenza di campionamento del logging

gcloud compute backend-services update BACKEND_SERVICE \
 --global | --region=REGION \
 --logging-sample-rate=VALUE

visualizza i log

I log HTTP(S) vengono indicizzati prima da una regola di forwarding, poi da una mappa URL.

Per visualizzare i log, vai alla pagina Esplora log:

Vai a Esplora log

• Per visualizzare tutti i log, nel menu del filtro Risorsa, seleziona Bilanciatore del carico HTTP Cloud > Tutte le regole di forwarding.

• Per visualizzare i log relativi a una regola di forwarding, seleziona un singolo nome di regola di forwarding.

• Per visualizzare i log per una mappa URL, seleziona una regola di forwarding, quindi seleziona una mappa URL.

I campi log di tipo boolean vengono generalmente visualizzati solo se hanno un valore di true. Se un campo booleano ha il valore false, viene omesso dal log.

Per i campi di log viene applicata la codifica UTF-8. I caratteri non UTF-8 vengono sostituiti con punti interrogativi. Per gli Application Load Balancer esterni regionali, puoi esportare le metriche basate su log utilizzando i log delle risorse (resource.type="http_external_regional_lb_rule").

Cosa viene registrato

Le voci di log del bilanciatore del carico delle applicazioni esterno contengono informazioni utili per il monitoraggio e il debug del traffico HTTP(S). I record di log contengono campi obbligatori, che sono quelli predefiniti di ogni record di log. I record di log contengono campi facoltativi che aggiungono ulteriori informazioni sul traffico HTTP(S). Possono essere omessi per risparmiare sui costi di archiviazione.

Alcuni campi di log sono in un formato a più campi, con più di un dato in un determinato campo. Ad esempio, il campo tls è nel formato TlsDetails, che contiene il protocollo TLS e la crittografia TLS in un singolo campo. Questi campi a più campi sono descritti nella seguente tabella dei formati di record.

Campo	Formato dei campi	Tipo di campo: obbligatorio o facoltativo	Descrizione
				gravità insertID timestamp logName	LogEntry	Obbligatorio	I campi generali descritti in una voce di log.
httpRequest	HttpRequest	Obbligatorio	Un protocollo comune per il logging delle richieste HTTP.
resource	MonitoredResource	Obbligatorio	MonitoredResource è il tipo di risorsa associato a una voce di log. MonitoredResourceDescriptor descrive lo schema di un oggetto MonitoredResource utilizzando un nome di tipo e un set di etichette. Per maggiori informazioni, consulta Etichette delle risorse.
jsonPayload	Oggetto (formato Struct)	Obbligatorio	Payload della voce di log espresso come oggetto JSON. L'oggetto JSON contiene i seguenti campi: proxyStatus tls backendTargetProjectNumber mtls
	string	Obbligatorio	Il campo proxyStatus contiene una stringa che specifica perché l'Application Load Balancer esterno regionale ha restituito HttpRequest.status. Il campo non viene registrato se il valore è una stringa vuota. Questo può accadere se il proxy o il backend non restituisce un errore o un codice di errore diverso da 0, 4XX o 5XX. Il campo proxyStatus è composto da due parti: Errore proxyStatus Facoltativo: dettagli proxyStatus
	TlsDetails	Facoltativo	Il campo tls contiene il valore TlsDetails che specifica i metadati TLS per la connessione tra il client e l'Application Load Balancer esterno regionale. Questo campo è disponibile solo se il client utilizza la crittografia TLS/SSL.
	MtlsDetails	Facoltativo	Il campo mtls contiene il valore MtlsDetails che specifica i metadati mTLS per la connessione tra il client e l'Application Load Balancer esterno regionale. Questo campo è disponibile solo se il bilanciatore del carico utilizza il protocollo TLS (mTLS) reciprocamente sul frontend.

Nota: i reindirizzamenti (codice di stato della risposta HTTP 302 Found) emessi dal bilanciatore del carico non vengono registrati. I reindirizzamenti inviati dalle istanze di backend vengono registrati.

Formato del campo TlsDetails

Campo	Formato dei campi	Tipo di campo: obbligatorio o facoltativo	Descrizione
protocollo	string	Facoltativo	Protocollo TLS utilizzato dai client per stabilire una connessione con il bilanciatore del carico. I valori possibili sono TLS 1.0, 1.1, 1.2, 1.3 o QUIC. Questo valore è impostato su NULL se il client non utilizza la crittografia TLS/SSL.
crittografia	string	Facoltativo	Crittografia TLS utilizzata dai client per stabilire una connessione con il bilanciatore del carico. Questo valore è impostato su NULL se il client non utilizza HTTP(S) o se il client non utilizza la crittografia TLS/SSL.

Formato del campo MtlsDetails

Campo	Formato dei campi	Tipo di campo: obbligatorio o facoltativo	Descrizione
clientCertPresent	bool	Facoltativo	true se il client ha fornito un certificato durante l'handshake TLS; in caso contrario, false.
clientCertChainVerified	bool	Facoltativo	true se la catena di certificati client è stata verificata in base a un TrustStore configurato; in caso contrario, false.
clientCertError	string	Facoltativo	Stringhe predefinite che rappresentano le condizioni di errore. Per maggiori informazioni sulle stringhe di errore, consulta l'articolo sulle modalità di convalida del client mTLS.
clientCertSha256Fingerprint	string	Facoltativo	Fingerprint SHA-256 con codifica Base64 del certificato client.
clientCertSerialNumber	string	Facoltativo	Il numero di serie del certificato client. Se il numero di serie è più lungo di 50 byte, la stringa client_cert_serial_number_exceeded_size_limit viene aggiunta a client_cert_error e il numero di serie viene impostato su una stringa vuota.
clientCertValidStartTime	string	Facoltativo	Timestamp (formato della stringa di data RFC 3339) prima del quale il certificato client non è valido. Ad esempio, 2022-07-01T18:05:09+00:00.
clientCertValidEndTime	string	Facoltativo	Timestamp (formato della stringa di data RFC 3339) dopo il quale il certificato client non è valido. Ad esempio, 2022-07-01T18:05:09+00:00.
clientCertSpiffeId	string	Facoltativo	L'ID SPIFFE del campo del nome alternativo (SAN) del soggetto. Se il valore non è valido o supera i 2048 byte, l'ID SPIFFE è impostato su una stringa vuota. Se l'ID SPIFFE è più lungo di 2048 byte, la stringa client_cert_spiffe_id_exceeded_size_limit viene aggiunta a client_cert_error.
clientCertUriSans	string	Facoltativo	Elenco separato da virgole con codifica Base64 delle estensioni SAN di tipo URI. Le estensioni SAN vengono estratte dal certificato client. L'ID SPIFFE non è incluso nel campo client_cert_uri_sans. Se il campo client_cert_uri_sans supera i 512 byte, la stringa client_cert_uri_sans_exceeded_size_limit viene aggiunta a client_cert_error e l'elenco separato da virgole viene impostato su una stringa vuota.
clientCertDnsnameSans	string	Facoltativo	Elenco separato da virgole con codifica Base64 delle estensioni SAN di tipo DNSName. Le estensioni SAN vengono estratte dal certificato client. Se il campo client_cert_dnsname_sans supera i 512 byte, la stringa client_cert_dnsname_sans_exceeded_size_limit viene aggiunta a client_cert_error e l'elenco separato da virgole viene impostato su una stringa vuota.
clientCertIssuerDn	string	Facoltativo	Campo emittente completo con codifica Base64 del certificato. Se il campo client_cert_issuer_dn supera i 512 byte, la stringa client_cert_issuer_dn_exceeded_size_limit viene aggiunta a client_cert_error e il campo client_cert_issuer_dn viene impostato su una stringa vuota.
clientCertSubjectDn	string	Facoltativo	Campo Subject completo con codifica Base64 del certificato. Se il campo client_cert_subject_dn supera i 512 byte, la stringa client_cert_subject_dn_exceeded_size_limit viene aggiunta a client_cert_error e client_cert_subject_dn viene impostato su una stringa vuota.
clientCertLeaf	string	Facoltativo	Il certificato foglia client per una connessione mTLS stabilita in cui il certificato ha superato la convalida. La codifica del certificato è conforme a RFC 9440: il certificato DER binario è codificato utilizzando Base64 (senza interruzioni di riga, spazi o altri caratteri esterni all'alfabeto Base64) e delimitato da due punti su entrambi i lati. Se client_cert_leaf supera i 16 kB non codificati, la stringa client_cert_validated_leaf_exceeded_size_limit viene aggiunta a client_cert_error e client_cert_leaf viene impostato su una stringa vuota.
clientCertChain	string	Facoltativo	L'elenco, delimitato da virgole, di certificati, in ordine TLS standard, della catena di certificati client per una connessione mTLS stabilita in cui il certificato client ha superato la convalida, escluso il certificato foglia. La codifica dei certificati è conforme a RFC 9440. Se la dimensione combinata di client_cert_leaf e client_cert_chain prima della codifica Base64 supera i 16 kB, la stringa client_cert_validated_chain_exceeded_size_limit viene aggiunta a client_cert_error e client_cert_chain viene impostata su una stringa vuota.

Etichette risorse

La seguente tabella elenca le etichette delle risorse per resource.type="http_external_regional_lb_rule".

Campo	Tipo	Descrizione
backend_name	string	Il nome del gruppo di istanza di backend o del NEG. Tuttavia, l'etichetta è vuota per una connessione TLS non riuscita.
backend_scope	string	L'ambito del backend (un nome di zona o un nome di regione). Potrebbe essere UNKNOWN ogni volta che backend_name è sconosciuto.
backend_scope_type	string	L'ambito del backend (REGION/ZONE). Potrebbe essere UNKNOWN ogni volta che backend_name è sconosciuto.
backend_target_name	string	Il nome del backend selezionato per gestire la richiesta, in base alla regola del percorso della mappa URL o alla regola di route corrispondente alla richiesta.
backend_target_type	string	Il tipo di destinazione del backend. Può essere BACKEND_SERVICE oppure viene restituito un valore UNKNOWN se il backend non è stato assegnato.
backend_type	string	Il tipo di gruppo di backend. Può essere INSTANCE_GROUP, NETWORK_ENDPOINT_GROUP o UNKNOWN se il backend non è stato assegnato.
forwarding_rule_name	string	Il nome dell'oggetto della regola di forwarding.
matched_url_path_rule	string	La regola del percorso della mappa URL o la regola di route configurata come parte della chiave della mappa URL. Può essere UNMATCHED o UNKNOWN come riserva. UNMATCHED si riferisce a una richiesta che non corrisponde a nessuna regola di percorso dell'URL, perciò utilizza la regola di percorso predefinita. UNKNOWN indica un errore interno o una connessione TLS non riuscita.
network_name	string	Il nome della rete VPC del bilanciatore del carico.
project_id	string	L'identificatore del progetto Google Cloud associato a questa risorsa.
region	string	La regione in cui è definito il bilanciatore del carico.
target_proxy_name	string	Il nome dell'oggetto proxy di destinazione a cui fa riferimento la regola di forwarding.
url_map_name	string	Il nome dell'oggetto mappa URL configurato per selezionare un servizio di backend. Il campo è vuoto per connessione TLS non riuscita.

campo di errore proxyStatus

Il campo proxyStatus contiene una stringa che specifica il motivo per cui il bilanciatore del carico ha restituito un errore. Il campo proxyStatus è costituito da due parti: proxyStatus error e proxyStatus details. Questa sezione descrive le stringhe supportate nel campo proxyStatus error.

Il campo proxyStatus error è applicabile ai seguenti bilanciatori del carico:

• Bilanciatore del carico delle applicazioni esterno regionale
• Bilanciatore del carico delle applicazioni interno tra regioni
• Bilanciatore del carico delle applicazioni interno regionale

Filtra questa tabella:

Errore proxyStatus	Descrizione	Codici di risposta associati comuni
destination_unavailable	Il bilanciatore del carico considera il backend non disponibile. Ad esempio, i recenti tentativi di comunicazione con il backend non sono riusciti o un controllo di integrità potrebbe essersi verificato un errore.	500, 503
connection_timeout	Timeout del tentativo del bilanciatore del carico di aprire una connessione al backend.	504
connection_terminated	La connessione del bilanciatore del carico al backend è terminata prima della ricezione di una risposta completa. Questo proxyStatus error viene restituito durante uno dei seguenti scenari: La connessione del bilanciatore del carico al backend è terminata prima della ricezione di una risposta completa. La connessione TLS non è riuscita durante l'handshake SSL e il client non ha stabilito una connessione con il bilanciatore del carico.	0, 502, 503
connection_refused	La connessione del bilanciatore del carico al backend viene rifiutata.	502, 503
connection_limit_reached	Il bilanciatore del carico è configurato in modo da limitare il numero di connessioni di cui dispone al backend e questo limite è stato superato. Questo proxyStatus error viene restituito durante uno dei seguenti scenari: Se uno o più backend è in modalità di manutenzione, il traffico non può essere instradato al backend. Se la richiesta è limitata a livello locale. Envoy sta gestendo condizioni di errore come l'esaurimento della memoria.	502, 503
destination_not_found	Il bilanciatore del carico non può determinare il backend appropriato da utilizzare per questa richiesta. Ad esempio, il backend potrebbe non essere configurato.	500, 404
dns_error	Il bilanciatore del carico ha riscontrato un errore DNS durante il tentativo di trovare un indirizzo IP per il nome host del backend.	502, 503
proxy_configuration_error	Il bilanciatore del carico ha riscontrato un errore di configurazione interno.	500
proxy_internal_error	Si è verificato un errore interno del bilanciatore del carico.	0, 500, 502
proxy_internal_response	Il bilanciatore del carico ha generato la risposta senza tentare di connettersi al backend.	Qualsiasi codice di risposta in base al tipo di problema. Ad esempio, il codice di risposta 410 indica che il backend non è disponibile a causa di un pagamento inadempiente.
http_response_timeout	Il bilanciatore del carico ha raggiunto un limite di timeout del servizio di backend configurato in attesa della risposta completa dal backend.	504, 408
http_request_error	Il bilanciatore del carico ha riscontrato un errore HTTP 4xx, che indica problemi con la richiesta del client.	400, 403, 405, 406, 408, 411, 413, 414, 415, 416, 417 o 429
http_protocol_error	Il bilanciatore del carico ha riscontrato un errore di protocollo HTTP durante la comunicazione con il backend.	502
tls_protocol_error	Il bilanciatore del carico ha riscontrato un errore TLS durante l'handshake TLS.	0
tls_certificate_error	Il bilanciatore del carico ha riscontrato un errore durante la verifica del certificato presentato dal server o dal client quando mTLS è abilitato.	0
tls_alert_received	Il bilanciatore del carico ha riscontrato un avviso TLS irreversibile durante l'handshake TLS.	0

Campo dei dettagli proxyStatus

Il campo proxyStatus contiene una stringa che specifica il motivo per cui il bilanciatore del carico ha restituito un errore. Il campo proxyStatus è costituito da due parti: proxyStatus error e proxyStatus details. Il campo proxyStatus details è facoltativo e viene mostrato solo quando sono disponibili informazioni aggiuntive. Questa sezione descrive le stringhe supportate nel campo proxyStatus details.

Il campo proxyStatus (Dettagli proxyStatus) è applicabile ai seguenti bilanciatori del carico:

• Bilanciatore del carico delle applicazioni esterno regionale
• Bilanciatore del carico delle applicazioni interno regionale
• Bilanciatore del carico delle applicazioni interno tra regioni

Filtra questa tabella:

Dettagli proxyStatus	Descrizione	Codici di risposta associati comuni
client_disconnected_before_any_response	La connessione al client si è interrotta prima che il bilanciatore del carico inviasse qualsiasi risposta.	0
backend_connection_closed	Il backend ha chiuso inaspettatamente la sua connessione al bilanciatore del carico. Questo può accadere se il bilanciatore del carico invia traffico a un'altra entità, ad esempio un'applicazione di terze parti con un timeout TCP inferiore a quello di 10 minuti (600 secondi) del bilanciatore del carico.	502
failed_to_connect_to_backend	Il bilanciatore del carico non è riuscito a connettersi al backend. Questo errore include i timeout durante la fase di connessione.	503
failed_to_pick_backend	Il bilanciatore del carico non è riuscito a scegliere un backend integro per gestire la richiesta.	502
response_sent_by_backend	La richiesta HTTP è stata inviata tramite proxy al backend e la risposta è stata restituita dal backend.	Il codice di risposta HTTP viene impostato dal software in esecuzione nel backend.
client_timed_out	La connessione tra il bilanciatore del carico e il client ha superato il timeout di inattività. Per maggiori informazioni sul bilanciatore del carico delle applicazioni esterno regionale, consulta Timeout keepalive HTTP client. Per maggiori informazioni sul bilanciatore del carico delle applicazioni interno, consulta Timeout keepalive HTTP client.	0, 408
backend_timeout	Timeout del backend durante la generazione di una risposta.	502
http_protocol_error_from_backend_response	La risposta del backend contiene un errore di protocollo HTTP.	501, 502
http_protocol_error_from_request	La richiesta del client contiene un errore di protocollo HTTP.	400, 503
http_version_not_supported	La versione del protocollo HTTP non è supportata. Sono supportati solo HTTP 0.9, 1.0, 1.1 e 2.0.	400
handled_by_identity_aware_proxy	Questa risposta è stata generata da Identity-Aware Proxy (IAP) durante la verifica dell'identità del client prima di consentire l'accesso.	200, 302, 400, 401, 403, 500, 502
invalid_request_headers	Le intestazioni delle richieste HTTP ricevute da un client non sono valide.	400, 404
ip_detection_failed	Impossibile rilevare l'indirizzo IP originale.	Qualsiasi codice di risposta possibile a seconda della natura dell'errore. Il valore deve essere compreso tra 400 e 599.
request_body_too_large	Il corpo della richiesta HTTP ha superato la lunghezza massima supportata dal bilanciatore del carico.	413, 507
request_header_timeout	L'intestazione della richiesta è scaduta perché il bilanciatore del carico non ha ricevuto la richiesta completa entro 5 secondi.	408, 504
denied_by_security_policy	Il bilanciatore del carico ha rifiutato la richiesta a causa di un criterio di sicurezza di Google Cloud Armor.	403
throttled_by_security_policy	La richiesta è stata bloccata da una regola di limitazione di Google Cloud Armor.	429
client_cert_chain_invalid_eku	Il certificato client o il relativo emittente non ha un utilizzo esteso della chiave che include clientAuth. Per maggiori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_chain_max_name_constraints_exceeded	Un certificato intermedio fornito per la convalida aveva più di 10 vincoli relativi ai nomi. Per maggiori informazioni, consulta la sezione Errori registrati per le connessioni chiuse.	0
client_cert_invalid_rsa_key_size	Un certificato client o intermedio aveva dimensioni della chiave RSA non valide. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_not_provided	Il client non ha fornito il certificato richiesto durante l'handshake. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_pki_too_large	L'infrastruttura a chiave pubblica da utilizzare per la convalida ha più di tre certificati intermedi che condividono gli stessi valori Subject e Subject Public Key Info. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_unsupported_elliptic_curve_key	Un client o un certificato intermedio utilizza una curva ellittica non supportata. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_unsupported_key_algorithm	Un client o un certificato intermedio utilizza un algoritmo non RSA o non EDSA. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_validation_failed	Il certificato client non supera la convalida con TrustConfig. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_validation_not_performed	Hai configurato il protocollo TLS reciproco senza configurare un TrustConfig. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_validation_search_limit_exceeded	Il limite di profondità o di iterazione viene raggiunto durante il tentativo di convalida della catena di certificati. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
client_cert_validation_timed_out	È stato superato il limite di tempo (200 ms) durante la convalida della catena di certificati. Per ulteriori informazioni, consulta Errori registrati per le connessioni chiuse.	0
tls_version_not_supported	La versione del protocollo TLS è riconosciuta, ma non supportata. L'errore genera una connessione TLS chiusa.	0
unknown_psk_identity	I server inviano questo errore quando è richiesta l'impostazione della chiave PSK, ma il client non fornisce un'identità PSK accettabile. L'errore genera una connessione TLS chiusa.	0
no_application_protocol	Inviato dai server quando un'estensione del client"application_layer_protocol_negotiation" pubblicizza solo protocolli non supportati dal server. Vedi Estensione della negoziazione del protocollo a livello di applicazione TLS. L'errore genera una connessione TLS chiusa.	0
no_certificate	Nessun certificato trovato. L'errore genera una connessione TLS chiusa.	0
bad_certificate	Un certificato non è valido o contiene firme che non è stato possibile verificare. L'errore genera una connessione TLS chiusa.	0
unsupported_certificate	Il tipo di certificato non è supportato. L'errore genera una connessione TLS chiusa.	0
certificate_revoked	Un certificato è stato revocato dal firmatario. L'errore genera una connessione TLS chiusa.	0
certificate_expired	Un certificato è scaduto o non è valido. L'errore genera una connessione TLS chiusa.	0
certificate_unknown	Si sono verificati alcuni problemi non specificati durante l'elaborazione del certificato, pertanto il certificato non è accettabile. L'errore genera una connessione TLS chiusa.	0
unknown_ca	È stata ricevuta una catena di certificati o una catena parziale valida, ma il certificato non è stato accettato perché non è stato possibile individuare il certificato CA o abbinarlo a un anchor trust noto. L'errore genera una connessione TLS chiusa.	0
unexpected_message	È stato ricevuto un messaggio inappropriato, ad esempio un messaggio di handshake errato o dati dell'applicazione prematuri. L'errore genera una connessione TLS chiusa.	0
bad_record_mac	Viene ricevuto un record che non può essere deprotetto. L'errore genera una connessione TLS chiusa.	0
record_overflow	È stato ricevuto un record TLSCiphertext che ha una lunghezza superiore a 2^14+256 byte oppure che è stato decriptato in un record TLSPlaintext con più di 2^14 byte (o qualche altro limite negoziato). L'errore genera una connessione TLS chiusa.	0
handshake_failure	Impossibile negoziare un insieme accettabile di parametri di sicurezza in base alle opzioni disponibili. L'errore genera una connessione TLS chiusa.	0
illegal_parameter	Un campo nell'handshake era errato o non coerente con gli altri campi. L'errore genera una connessione TLS chiusa.	0
access_denied	È stato ricevuto un certificato o una PSK validi, ma quando è stato applicato il controllo dell'accesso dell'accesso, il client non ha proceduto alla negoziazione. L'errore genera una connessione TLS chiusa.	0
decode_error	Non è stato possibile decodificare un messaggio perché alcuni campi non rientrano nell'intervallo specificato o la lunghezza del messaggio non era corretta. L'errore genera una connessione TLS chiusa.	0
decrypt_error	Un'operazione crittografica di handshake (non livello record) non è riuscita, inclusa l'impossibilità di verificare correttamente una firma o di convalidare un messaggio completato o un binder PSK. L'errore genera una connessione TLS chiusa.	0
insufficient_security	Una negoziazione non è riuscita in particolare perché il server richiede parametri più sicuri di quelli supportati dal client. L'errore genera una connessione TLS chiusa.	0
inappropriate_fallback	Inviato da un server in risposta a un tentativo di nuovo tentativo di connessione non valido da un client. L'errore genera una connessione TLS chiusa.	0
user_cancelled	L'utente annulla l'handshake per qualche motivo non correlato a un errore di protocollo. L'errore genera una connessione TLS chiusa.	0
missing_extension	Inviato da endpoint che ricevono un messaggio di handshake non contenente un'estensione che è obbligatoria da inviare per la versione TLS offerta o altri parametri negoziati. L'errore genera una connessione TLS chiusa.	0
unsupported_extension	Inviato da endpoint che ricevono messaggi di handshake contenenti un'estensione di cui è nota il divieto di inclusione nel messaggio di handshake specificato, o che includono estensioni in ServerHello o Certificate che non sono state offerte per la prima volta nei contenuti ClientHello o CertificateRequest corrispondenti. L'errore genera una connessione TLS chiusa.	0
unrecognized_name	Inviata dai server quando non esiste alcun server che possa essere identificato dal nome fornito dal client tramite l'estensione "server_name". Vedi Definizioni delle estensioni TLS.	0
bad_certificate_status_response	Inviata dai client quando una risposta OCSP non valida o inaccettabile viene fornita dal server tramite l'estensione "status_request". Vedi Definizioni delle estensioni TLS. L'errore genera una connessione TLS chiusa.	0
load_balancer_configured_resource_limits_reached	Il bilanciatore del carico ha raggiunto i limiti delle risorse configurati, ad esempio il numero massimo di connessioni.	400, 500, 503

Voci del log delle connessioni TLS non riuscite

Quando la connessione TLS tra il client e il bilanciatore del carico non va a buon fine prima che venga selezionato qualsiasi backend, le voci di log registrano gli errori. Puoi configurare i servizi di backend con frequenze di campionamento dei log diverse. Quando una connessione TLS non va a buon fine, la frequenza di campionamento del log delle connessioni TLS non riuscite è la frequenza di campionamento più elevata per qualsiasi servizio di backend. Ad esempio, se hai configurato due servizi di backend con frequenza di campionamento di registrazione su 0.3 e 0.5, la frequenza di campionamento del log di connessione TLS non riuscita è 0.5.

Puoi identificare le connessioni TLS non riuscite controllando questi dettagli voce di log:

• Il tipo di errore proxyStatus è tls_alert_received, tls_certificate_error, tls_protocol_error o connection_terminated.
• Nessuna informazione di backend.

Il seguente esempio mostra una voce di log TLS non riuscita con il campo proxyStatus error:

   json_payload:    {
   @type: "type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry"
   proxyStatus: "error="tls_alert_received"; details="server_to_client: handshake_failure""
   log_name: "projects/529254013417/logs/mockservice.googleapis.com%20name"
   }
   http_request {
    latency {
      nanos: 12412000
    }
    protocol: "HTTP/1.0"
    remote_ip: "127.0.0.2"
   }
  resource {
    type: "mock_internal_http_lb_rule"
    labels {
      backend_name: ""
      backend_scope: ""
      backend_scope_type: "UNKNOWN"
      backend_target_name: ""
      backend_target_type: "UNKNOWN"
      backend_type: "UNKNOWN"
      forwarding_rule_name: "l7-ilb-https-forwarding-rule-dev"
      matched_url_path_rule: "UNKNOWN"
      network_name: "lb-network"
      region: "REGION"
      target_proxy_name: "l7-ilb-https-proxy-dev"
      url_map_name: ""
    }
  }
  timestamp: "2023-08-15T16:49:30.850785Z"
  

Interazione con i log

Puoi interagire con i log del bilanciatore del carico delle applicazioni esterno utilizzando l'API Cloud Logging. L'API Logging offre modi per filtrare in modo interattivo i log che hanno campi specifici impostati. Esporta i log corrispondenti in Cloud Logging, Cloud Storage, BigQuery o Pub/Sub. Per ulteriori informazioni sull'API Logging, consulta la panoramica dell'API Cloud Logging.

Monitoraggio

Il bilanciatore del carico esporta i dati di monitoraggio in Cloud Monitoring.

Puoi utilizzare le metriche di monitoraggio per:

• Valutare la configurazione, l'utilizzo e le prestazioni di un bilanciatore del carico
• Risolvere i problemi
• Migliora l'utilizzo delle risorse e l'esperienza utente

Oltre alle dashboard predefinite in Cloud Monitoring, puoi creare dashboard personalizzate, configurare avvisi ed eseguire query sulle metriche tramite l'API Cloud Monitoring.

Definizione dei criteri di avviso

Puoi creare criteri di avviso per monitorare i valori delle metriche e ricevere una notifica quando queste metriche violano una condizione.

1. Nella console Google Cloud, vai alla pagina Avvisi di :

   Vai ad Avvisi

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato il cui sottotitolo è Monitoring.

2. Se non hai creato i canali di notifica e vuoi ricevere una notifica, fai clic su Modifica canali di notifica e aggiungi i tuoi canali di notifica. Torna alla pagina Avvisi dopo aver aggiunto i tuoi canali.
3. Nella pagina Avvisi, seleziona Crea criterio.
4. Per selezionare la metrica, espandi il menu Seleziona una metrica e procedi nel seguente modo:
   1. Per limitare il menu alle voci pertinenti, inserisci Regional External Application Load Balancer Rule nella barra dei filtri. Se dopo aver filtrato il menu non vengono visualizzati risultati, disattiva l'opzione Mostra solo risorse e metriche attive.
   2. In Tipo di risorsa, seleziona Regola del bilanciatore del carico delle applicazioni esterno regionale.
   3. Seleziona una Categoria di metrica e una Metrica, poi seleziona Applica.
5. Tocca Avanti.
6. Le impostazioni nella pagina Configura trigger di avviso determinano quando viene attivato l'avviso. Seleziona un tipo di condizione e, se necessario, specifica una soglia. Per maggiori informazioni, consulta Creare criteri di avviso per soglia di metriche.
7. Tocca Avanti.
8. (Facoltativo) Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona uno o più canali di notifica dal menu, quindi fai clic su OK.
9. (Facoltativo) Aggiorna la Durata della chiusura automatica dell'incidente. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
10. (Facoltativo) Fai clic su Documentazione, quindi aggiungi le informazioni che vuoi includere in un messaggio di notifica.
11. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
12. Fai clic su Crea criterio.

Per saperne di più, consulta Criteri di avviso.

Definizione delle dashboard personalizzate di Cloud Monitoring

Puoi creare dashboard di Cloud Monitoring personalizzate per le metriche del bilanciatore del carico:

1. Nella console Google Cloud, vai alla pagina Monitoring.

   Vai a Monitoring

2. Seleziona Dashboard > Crea dashboard.

3. Fai clic su Aggiungi grafico e assegna un titolo al grafico.

4. Per identificare le serie temporali da visualizzare, scegli un tipo di risorsa e un tipo di metrica:

   1. Nella sezione Risorse e metriche, fai clic sul grafico e poi, nella sezione Seleziona una metrica, scegli una delle opzioni disponibili:
   2. Per un bilanciatore del carico delle applicazioni esterno regionale, seleziona il tipo di risorsa Regola del bilanciatore del carico delle applicazioni esterno regionale.
   3. Fai clic su Applica.

5. Per specificare i filtri di monitoraggio, fai clic su Filtri > Aggiungi filtro.

6. Fai clic su Salva.

Frequenza e fidelizzazione dei report sulle metriche

Le metriche per gli Application Load Balancer esterni vengono esportate in Cloud Monitoring in batch con granularità di 1 minuto. I dati di monitoraggio vengono conservati per sei (6) settimane. Le metriche si basano sul traffico campionato (la frequenza di campionamento è dinamica e non può essere modificata). La dashboard fornisce analisi dei dati a intervalli predefiniti di 1 ora (un'ora), 6 ore (sei ore), 1 giorno (un giorno), 1 settima (una settimana) e 6 sett (sei settimane). Puoi richiedere manualmente l'analisi in qualsiasi intervallo da 6 W a 1 minuto.

Monitoraggio delle metriche

Puoi monitorare le seguenti metriche per i bilanciatori del carico delle applicazioni esterni.

Le seguenti metriche per Application Load Balancer esterni regionali vengono segnalate in Cloud Monitoring. Queste metriche sono precedute dal carattere loadbalancing.googleapis.com/.

Filtra questa tabella:

Metrica	Nome	Descrizione
Conteggio delle richieste	https/external/regional/request_count	Il numero di richieste gestite dall'Application Load Balancer esterno regionale.
Conteggio byte richiesta	https/external/regional/request_bytes	Il numero di byte inviati come richieste dai client al bilanciatore del carico delle applicazioni esterno regionale.
Conteggio byte risposta	https/external/regional/response_bytes	Il numero di byte inviati come risposte dal bilanciatore del carico delle applicazioni esterno regionale al client.
Latenze totali	https/external/regional/total_latencies	Una distribuzione della latenza in millisecondi. La latenza viene misurata dal momento in cui il proxy riceve il primo byte della richiesta fino al momento in cui il proxy invia l'ultimo byte della risposta.
Latenze di backend	https/external/regional/backend_latencies	Una distribuzione della latenza in millisecondi. La latenza viene misurata dal momento in cui il proxy invia il primo byte della richiesta al backend fino al momento in cui il proxy riceve l'ultimo byte della risposta dal backend.

Filtrare le dimensioni per le metriche

Puoi applicare filtri per le metriche per i bilanciatori del carico delle applicazioni esterni.

Le metriche vengono aggregate per ogni bilanciatore del carico delle applicazioni esterno regionale. Puoi filtrare le metriche aggregate utilizzando le seguenti dimensioni per resource.type="http_external_regional_lb_rule".

Filtra questa tabella:

Proprietà	Descrizione
backend_name	Il nome del gruppo di istanza di backend o del NEG.
backend_scope	L'ambito del backend (un nome di zona o un nome di regione). Potrebbe essere UNKNOWN ogni volta che backend_name è sconosciuto.
backend_scope_type	L'ambito del backend (REGION/ZONE). Potrebbe essere UNKNOWN ogni volta che backend_name è sconosciuto.
backend_target_name	Il nome del backend selezionato per gestire la richiesta, in base alla regola del percorso della mappa URL o alla regola di route corrispondente alla richiesta.
backend_target_type	Il tipo di destinazione del backend. Può essere BACKEND_SERVICE oppure viene restituito un valore UNKNOWN se il backend non è stato assegnato.
backend_type	Il tipo di gruppo di backend. Può essere INSTANCE_GROUP, NETWORK_ENDPOINT_GROUP o UNKNOWN se il backend non è stato assegnato.
forwarding_rule_name	Il nome dell'oggetto della regola di forwarding.
matched_url_path_rule	La regola del percorso della mappa URL o la regola di route configurata come parte della chiave della mappa URL. Può essere UNMATCHED o UNKNOWN come riserva. UNMATCHED si riferisce a una richiesta che non corrisponde a nessuna regola di percorso dell'URL, perciò utilizza la regola predefinita per il percorso. UNKNOWN indica un errore interno.
network_name	Il nome della rete VPC del bilanciatore del carico.
project_id	L'identificatore del progetto Google Cloud associato a questa risorsa.
region	La regione in cui è definito il bilanciatore del carico.
target_proxy_name	Il nome dell'oggetto proxy di destinazione a cui fa riferimento la regola di forwarding.
url_map_name	Il nome dell'oggetto mappa URL configurato per selezionare un servizio di backend.

Passaggi successivi

• Leggi le informazioni concettuali sugli Application Load Balancer esterni.