Questo documento fornisce le istruzioni per configurare un bilanciatore del carico dell'applicazione esterno a livello di area geografica per i servizi eseguiti sulle VM di Compute Engine.
Poiché i bilanciatori del carico delle applicazioni esterne a livello di area geografica consentono di creare bilanciatori del carico in regioni specifiche, spesso vengono utilizzati per carichi di lavoro con requisiti di conformità giurisdizionali. I carichi di lavoro che richiedono l'accesso al gresso del livello di rete standard sono un altro caso d'uso comune per i bilanciatori del carico di un'applicazione esterna a livello di area geografica, perché i bilanciatori del carico dell'applicazione esterni a livello di area geografica supportano il livello di servizio di rete standard.
Prima di seguire questa guida, acquisisci familiarità con quanto segue:
- Panoramica del bilanciatore del carico dell'applicazione esterna
- Panoramica delle regole firewall VPC
Autorizzazioni
Per seguire questa guida, devi poter creare istanze e modificare una rete in un progetto. Devi essere un proprietario o un editor del progetto oppure tutti i seguenti ruoli IAM di Compute Engine.
Attività | Ruolo richiesto |
---|---|
Crea reti, subnet e componenti del bilanciatore del carico | Amministratore rete |
Aggiungi e rimuovi le regole firewall | Amministratore sicurezza |
Creare istanze | Amministratore istanze |
Per saperne di più, consulta le seguenti guide:
Panoramica della configurazione
Puoi configurare un bilanciatore del carico dell'applicazione esterno a livello di regione come descritto nel seguente flusso di configurazione di alto livello. I passaggi numerati si riferiscono ai numeri nel diagramma.
Come mostrato nel diagramma, questo esempio crea un bilanciatore del carico dell'applicazione esterno a livello di area geografica in una rete VPC nell'area geografica us-west1
, con un servizio di backend e due gruppi di istanza di backend.
Il diagramma mostra quanto segue:
Una rete VPC con due subnet:
Una subnet viene utilizzata per i backend (gruppi di istanze). Il suo intervallo di indirizzi IP principali è
10.1.2.0/24
.Una subnet è una subnet solo proxy nell'area geografica
us-west1
. Devi creare una subnet solo proxy in ogni regione di una rete VPC in cui utilizzi i bilanciatori del carico dell'applicazione esterni a livello di regione. La subnet solo proxy della regione è condivisa tra tutti i bilanciatori del carico a livello di regione nella regione. Gli indirizzi di origine dei pacchetti inviati dai bilanciatori del carico ai backend del servizio vengono allocati dalla subnet solo proxy. In questo esempio, la subnet solo proxy per la regione ha un intervallo di indirizzi IP principali pari a10.129.0.0/23
, che è la dimensione della subnet consigliata. Per saperne di più, consulta Subnet solo proxy.
Una regola firewall che consente i flussi di traffico della subnet solo proxy nella rete. Ciò significa aggiungere una regola che consente il traffico TCP
80
,443
e8080
da10.129.0.0/23
(l'intervallo della subnet solo proxy in questo esempio). Un'altra regola firewall per i probe per il controllo di integrità.Istanze di backend.
Gruppi di istanze:
- Gruppi di istanze gestite o non gestite per i deployment delle VM di Compute Engine
- NEG per i deployment GKE
In ogni zona puoi avere una combinazione di tipi di gruppi di backend in base ai requisiti del tuo deployment.
Un controllo di integrità a livello di area geografica che indichi l'idoneità dei backend.
Un servizio di backend a livello di area geografica che monitora l'utilizzo e l'integrità dei backend.
Una mappa URL a livello di regione che analizza l'URL di una richiesta e inoltra le richieste a servizi di backend specifici in base all'host e al percorso dell'URL della richiesta.
Un proxy HTTP o HTTPS di destinazione a livello di regione, che riceve una richiesta dall'utente e la inoltra alla mappa URL. Per HTTPS, configura una risorsa di certificato SSL a livello di regione. Il proxy di destinazione utilizza il certificato SSL per decriptare il traffico SSL se configuri il bilanciamento del carico HTTPS. Il proxy di destinazione può inoltrare il traffico alle tue istanze utilizzando HTTP o HTTPS.
Una regola di forwarding, che contiene l'indirizzo IP esterno del bilanciatore del carico, per inoltrare ogni richiesta in entrata al proxy di destinazione.
L'indirizzo IP esterno associato alla regola di forwarding viene prenotato utilizzando il comando
gcloud compute addresses create
, come descritto in Prenotazione dell'indirizzo IP del bilanciatore del carico.
Configurare la rete e le subnet
È necessaria una rete VPC con due subnet: una per i backend del bilanciatore del carico e l'altra per i proxy del bilanciatore del carico. Un bilanciatore del carico delle applicazioni esterno a livello di area geografica è a livello di area geografica. Il traffico all'interno della rete VPC viene instradato al bilanciatore del carico se la sorgente del traffico si trova in una subnet nella stessa area geografica del bilanciatore del carico.
Questo esempio utilizza la rete, la regione e le subnet VPC seguenti:
Rete. La rete è una rete VPC in modalità personalizzata denominata
lb-network
.Subnet per i backend. Una subnet denominata
backend-subnet
nella regioneus-west1
utilizza10.1.2.0/24
per l'intervallo IP principale.Subnet per i proxy. Una subnet denominata
proxy-only-subnet
nella regioneus-west1
utilizza10.129.0.0/23
per l'intervallo IP principale.
Configura la rete e la subnet per i backend
Console
Nella console Google Cloud, vai alla pagina Reti VPC.
Fai clic su Crea rete VPC.
In Nome, inserisci
lb-network
.Nella sezione Subnet:
- Imposta Modalità di creazione subnet su Personalizzata.
- Nella sezione Nuova subnet, inserisci le seguenti informazioni:
- Nome:
backend-subnet
- Regione:
us-west1
- Intervallo di indirizzi IP:
10.1.2.0/24
- Nome:
- Fai clic su Fine.
Fai clic su Crea.
gcloud
Crea la rete VPC personalizzata con il comando
gcloud compute networks create
:gcloud compute networks create lb-network --subnet-mode=custom
Crea una subnet nella rete
lb-network
nella regioneus-west1
con il comandogcloud compute networks subnets create
:gcloud compute networks subnets create backend-subnet \ --network=lb-network \ --range=10.1.2.0/24 \ --region=us-west1
Terraform
Per creare la rete VPC, utilizza la risorsa google_compute_network
.
Per creare la subnet VPC nella rete lb-network
, utilizza la risorsa google_compute_subnetwork
.
API
Invia una richiesta
POST
al metodonetworks.insert
, sostituendo PROJECT_ID con il tuo ID progetto.POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks { "routingConfig": { "routingMode": "REGIONAL" }, "name": "lb-network", "autoCreateSubnetworks": false }
Invia una richiesta
POST
al metodosubnetworks.insert
, sostituendo PROJECT_ID con il tuo ID progetto.POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks { "name": "backend-subnet", "network": "projects/PROJECT_ID/global/networks/lb-network", "ipCidrRange": "10.1.2.0/24", "region": "projects/PROJECT_ID/regions/us-west1", }
Configura la subnet solo proxy
Una subnet solo proxy fornisce un insieme di indirizzi IP utilizzati da Google per eseguire i proxy Envoy per tuo conto. I proxy terminano le connessioni dal client e creano nuove connessioni ai backend.
Questa subnet solo proxy è utilizzata da tutti i bilanciatori del carico a livello di area geografica basati sulla Envoy nella stessa area geografica della rete VPC lb-network
. Per ogni rete può essere attiva una sola subnet solo proxy attiva.
Console
Se utilizzi la console Google Cloud, puoi anche attendere e creare la subnet solo proxy in un secondo momento nella pagina Bilanciamento del carico.
Se vuoi creare subito la subnet solo proxy, segui questi passaggi:
Nella console Google Cloud, vai alla pagina Reti VPC.
Fai clic sul nome della rete VPC
lb-network
.Fai clic su Aggiungi subnet.
In Nome, inserisci
proxy-only-subnet
.In Regione, seleziona
us-west1
.Imposta Purpose su Proxy gestito a livello di regione.
In Intervallo di indirizzi IP, inserisci
10.129.0.0/23
.Fai clic su Add (Aggiungi).
gcloud
Crea la subnet solo proxy con il comando gcloud compute networks subnets
create
.
gcloud compute networks subnets create proxy-only-subnet \ --purpose=REGIONAL_MANAGED_PROXY \ --role=ACTIVE \ --region=us-west1 \ --network=lb-network \ --range=10.129.0.0/23
Terraform
Per creare la subnet solo proxy VPC nella rete lb-network
, utilizza la risorsa google_compute_subnetwork
.
API
Crea la subnet solo proxy con il metodo subnetworks.insert
, sostituendo PROJECT_ID con il tuo ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks { "name": "proxy-only-subnet", "ipCidrRange": "10.129.0.0/23", "network": "projects/PROJECT_ID/global/networks/lb-network", "region": "projects/PROJECT_ID/regions/us-west1", "purpose": "REGIONAL_MANAGED_PROXY", "role": "ACTIVE" }
Configurazione delle regole del firewall
In questo esempio vengono utilizzate le seguenti regole firewall:
fw-allow-health-check
. Una regola in entrata, applicabile alle istanze bilanciate del carico, che consente tutto il traffico TCP proveniente dai sistemi di controllo di integrità di Google Cloud (in130.211.0.0/22
e35.191.0.0/16
). In questo esempio viene utilizzato il tag di destinazioneload-balanced-backend
per identificare le VM a cui si applica la regola firewall.fw-allow-proxies
. Una regola in entrata, applicabile alle istanze in fase di bilanciamento del carico, che consente il traffico TCP sulle porte80
,443
e8080
dai proxy gestiti del bilanciatore del carico delle applicazioni a livello di regione. In questo esempio viene utilizzato il tag di destinazioneload-balanced-backend
per identificare le VM a cui si applica la regola firewall.
Senza queste regole firewall, la regola default innega blocca il traffico in entrata verso le istanze di backend.
I tag di destinazione definiscono le istanze di backend. Senza i tag di destinazione, le regole firewall si applicano a tutte le istanze di backend nella rete VPC. Quando crei le VM di backend, assicurati di includere i tag di destinazione specificati, come mostrato in Creazione di un gruppo di istanze gestite.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Fai clic su Crea regola firewall per creare la regola per consentire i controlli di integrità di Google Cloud:
- Nome:
fw-allow-health-check
- Rete:
lb-network
- Direzione del traffico: in entrata
- Azione in caso di corrispondenza: Consenti
- Target: tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: intervalli IPv4
- Intervalli IPv4 di origine:
130.211.0.0/22
e35.191.0.0/16
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona la casella di controllo TCP, quindi inserisci
80
per il numero di porta.
Come best practice, limita questa regola solo ai protocolli e alle porte corrispondenti a quelli utilizzati dal controllo di integrità. Se utilizzitcp:80
per il protocollo e la porta, Google Cloud può utilizzare HTTP sulla porta80
per contattare le tue VM, ma non può utilizzare HTTPS sulla porta443
per contattarli.
- Nome:
Fai clic su Crea.
Fai clic su Crea regola firewall per creare la regola per consentire ai server proxy del bilanciatore del carico di connettere i backend:
- Nome:
fw-allow-proxies
- Rete:
lb-network
- Direzione del traffico: in entrata
- Azione in caso di corrispondenza: Consenti
- Target: tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: intervalli IPv4
- Intervalli IPv4 di origine:
10.129.0.0/23
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona la casella di controllo TCP, quindi inserisci
80, 443, 8080
per i numeri di porta.
- Nome:
Fai clic su Crea.
gcloud
Crea la regola
fw-allow-health-check
per consentire i controlli di integrità di Google Cloud. Questo esempio consente tutto il traffico TCP proveniente da probe di controllo di integrità. Tuttavia, puoi configurare un insieme di porte più ristretto in base alle tue esigenze.gcloud compute firewall-rules create fw-allow-health-check \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=130.211.0.0/22,35.191.0.0/16 \ --target-tags=load-balanced-backend \ --rules=tcp
Crea la regola
fw-allow-proxies
per consentire ai proxy del bilanciatore del carico dell'applicazione a livello di regione di connettersi ai tuoi backend. Impostasource-ranges
sugli intervalli allocati della subnet solo proxy, ad esempio10.129.0.0/23
.gcloud compute firewall-rules create fw-allow-proxies \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=source-range \ --target-tags=load-balanced-backend \ --rules=tcp:80,tcp:443,tcp:8080
Terraform
Per creare le regole firewall, utilizza la risorsa google_compute_firewall
.
API
Crea la regola firewall fw-allow-health-check
effettuando una richiesta POST
al metodo firewalls.insert
, sostituendo PROJECT_ID con il tuo ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls { "name": "fw-allow-health-check", "network": "projects/PROJECT-ID/global/networks/lb-network", "sourceRanges": [ "130.211.0.0/22", "35.191.0.0/16" ], "targetTags": [ "load-balanced-backend" ], "allowed": [ { "IPProtocol": "tcp" } ], "direction": "INGRESS" }
Crea la regola firewall fw-allow-proxies
per consentire il traffico TCP all'interno della subnet proxy per il metodo firewalls.insert
, sostituendo PROJECT_ID con l'ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls { "name": "fw-allow-proxies", "network": "projects/PROJECT_ID/global/networks/lb-network", "sourceRanges": [ "10.129.0.0/23" ], "targetTags": [ "load-balanced-backend" ], "allowed": [ { "IPProtocol": "tcp", "ports": [ "80" ] }, { "IPProtocol": "tcp", "ports": [ "443" ] }, { "IPProtocol": "tcp", "ports": [ "8080" ] } ], "direction": "INGRESS" }
Configura un bilanciatore del carico dell'applicazione esterno a livello di regione con un servizio basato su VM
Questa sezione mostra la configurazione richiesta per i servizi eseguiti sulle VM di Compute Engine. Le VM client si connettono all'indirizzo IP e alla porta che hai configurato nella regola di forwarding. Quando le applicazioni client inviano il traffico a questo indirizzo IP e a questa porta, le richieste vengono inoltrate alle macchine virtuali di backend (VM) in base alla mappa URL del bilanciatore del carico dell'applicazione esterna a livello di regione.
L'esempio in questa pagina crea esplicitamente un indirizzo IP esterno riservato per la regola di forwarding del bilanciatore del carico delle applicazioni esterno a livello di area geografica, anziché consentire l'allocazione di un indirizzo IP esterno temporaneo. Come best practice, ti consigliamo di prenotare indirizzi IP per le regole di forwarding.
Crea un backend di gruppo di istanze gestite
Questa sezione mostra come creare un modello e un gruppo di istanze gestite. Il gruppo di istanze gestite fornisce istanze VM che eseguono i server di backend di un bilanciatore del carico esterno dell'applicazione a livello di regione di esempio. Il traffico proveniente dai client viene bilanciato in base al carico di questi server di backend. A scopo dimostrativo, i backend gestiscono i propri nomi host.
Console
Creare un modello di istanza. Nella console Google Cloud, vai alla pagina Modelli di istanza.
- Fai clic su Crea modello istanza.
- In Nome, inserisci
l7-xlb-backend-template
. - Assicurati che l'opzione Disco di avvio sia impostata su un'immagine Debian, ad esempio Debian GNU/Linux 10 (buster). Queste istruzioni utilizzano comandi disponibili solo su Debian, come
apt-get
. - Fai clic su Opzioni avanzate.
- Fai clic su Networking e configura i seguenti campi:
- In Tag di rete, inserisci
load-balanced-backend
. - In Interfacce di rete, seleziona quanto segue:
- Rete:
lb-network
- Subnet:
backend-subnet
- Rete:
- In Tag di rete, inserisci
Fai clic su Gestione. Inserisci lo script seguente nel campo Script di avvio.
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2
Fai clic su Crea.
Creare un gruppo di istanze gestite. Nella console Google Cloud, vai alla pagina Gruppi di istanze.
- Fai clic su Crea gruppo di istanze.
- Seleziona Nuovo gruppo di istanze gestite (stateless). Per ulteriori informazioni, consulta la sezione MIG stateless o stateful.
- In Nome, inserisci
l7-xlb-backend-example
. - In Località, seleziona Zona singola.
- In Regione, seleziona
us-west1
. - In Zona, seleziona
us-west1-a
. - In Modello di istanza, seleziona
l7-xlb-backend-template
. In Modalità di scalabilità automatica, seleziona On: aggiungi e rimuovi istanze al gruppo.
Imposta Numero minimo di istanze su
2
e Numero massimo di istanze su2
o più.Fai clic su Crea.
gcloud
Le istruzioni gcloud
in questa guida presuppongono che utilizzi Cloud Shell o un altro ambiente in cui è installato il bash.
Crea un modello di istanza VM con un server HTTP con il comando
gcloud compute instance-templates create
.gcloud compute instance-templates create l7-xlb-backend-template \ --region=us-west1 \ --network=lb-network \ --subnet=backend-subnet \ --tags=load-balanced-backend \ --image-family=debian-10 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2'
Crea un gruppo di istanze gestite nella zona con il comando
gcloud compute instance-groups managed create
.gcloud compute instance-groups managed create l7-xlb-backend-example \ --zone=us-west1-a \ --size=2 \ --template=l7-xlb-backend-template
Terraform
Per creare il modello di istanza, utilizza la risorsa google_compute_instance_template
.
Per creare il gruppo di istanze gestite, utilizza la risorsa google_compute_instance_group_manager
.
API
Crea il modello di istanza con il metodo
instanceTemplates.insert
, sostituendoPROJECT_ID
con l'ID progetto.POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/instanceTemplates { "name":"l7-xlb-backend-template", "properties": { "machineType":"e2-standard-2", "tags": { "items":[ "load-balanced-backend" ] }, "metadata": { "kind":"compute#metadata", "items":[ { "key":"startup-script", "value":"#! /bin/bash\napt-get update\napt-get install apache2 -y\na2ensite default-ssl\na2enmod ssl\nvm_hostname=\"$(curl -H \"Metadata-Flavor:Google\" \\\nhttp://metadata.google.internal/computeMetadata/v1/instance/name)\"\necho \"Page served from: $vm_hostname\" | \\\ntee /var/www/html/index.html\nsystemctl restart apache2" } ] }, "networkInterfaces":[ { "network":"projects/PROJECT_ID/global/networks/lb-network", "subnetwork":"regions/us-west1/subnetworks/backend-subnet", "accessConfigs":[ { "type":"ONE_TO_ONE_NAT" } ] } ], "disks": [ { "index":0, "boot":true, "initializeParams": { "sourceImage":"projects/debian-cloud/global/images/family/debian-10" }, "autoDelete":true } ] } }
Crea un gruppo di istanze gestite in ogni zona con il metodo
instanceGroupManagers.insert
, sostituendoPROJECT_ID
con il tuo ID progetto.POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers { "name": "l7-xlb-backend-example", "zone": "projects/PROJECT_ID/zones/us-west1-a", "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/l7-xlb-backend-template", "baseInstanceName": "l7-xlb-backend-example", "targetSize": 2 }
Aggiungi una porta denominata al gruppo di istanze
Per il gruppo di istanze, definisci un servizio HTTP e mappa un nome di porta sulla porta pertinente. Il servizio di backend del bilanciatore del carico inoltra il traffico alla porta denominata.
Console
Nella console Google Cloud, vai alla pagina Gruppi di istanze.
Fai clic sul nome del gruppo di istanze (in questo esempio
l7-xlb-backend-example
).Nella pagina Panoramica del gruppo di istanze, fai clic su Modifica
.Fai clic su Specifica il mapping di nomi di porte.
Fai clic su Aggiungi elemento.
Come nome della porta, inserisci
http
. Come numero di porta, inserisci80
.Fai clic su Salva.
gcloud
Utilizza il comando gcloud compute instance-groups
set-named-ports
.
gcloud compute instance-groups set-named-ports l7-xlb-backend-example \ --named-ports http:80 \ --zone us-west1-a
Terraform
L'attributo named_port
è incluso nell'esempio di gruppo di istanze gestite.
Prenota l'indirizzo IP del bilanciatore del carico
Console
Nella console Google Cloud, vai alla pagina Prenota un indirizzo statico.
Scegli un Nome per il nuovo indirizzo.
In Livello servizio di rete, seleziona Standard.
In Versione IP, seleziona IPv4. Gli indirizzi IPv6 possono essere solo globali e possono essere utilizzati solo con bilanciatori del carico globali.
Per Tipo, seleziona A livello di area geografica.
In Regione, seleziona us-west1.
Lascia l'opzione Allegato a impostata su Nessuna. Dopo aver creato il bilanciatore del carico, questo indirizzo IP verrà collegato alla regola di forwarding del bilanciatore del carico.
Fai clic su Prenota per prenotare l'indirizzo IP.
gcloud
Per prenotare un indirizzo IP esterno statico utilizzando
gcloud compute
, utilizza il comandocompute addresses create
.gcloud compute addresses create ADDRESS_NAME \ --region=us-west1 \ --network-tier=STANDARD
Sostituisci quanto segue:
ADDRESS_NAME
: il nome con cui vuoi chiamare questo indirizzo.REGION
: la regione in cui vuoi prenotare questo indirizzo. Questa regione deve corrispondere a quella del bilanciatore del carico. Tutti gli indirizzi IP a livello di regione sonoIPv4
.
Usa il comando
compute addresses describe
per visualizzare il risultato:gcloud compute addresses describe ADDRESS_NAME
Terraform
Per prenotare l'indirizzo IP, utilizza la risorsa google_compute_address
.
Per informazioni su come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.
API
Per creare un indirizzo IPv4 a livello di regione, chiama il metodo addresses.insert
a livello di regione:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses
Il corpo della richiesta deve contenere quanto segue:
{ "name": "ADDRESS_NAME" "networkTier": "STANDARD" "region": "us-west1" }
Sostituisci quanto segue:
ADDRESS_NAME
: il nome dell'indirizzoREGION
: il nome della regione per questa richiestaPROJECT_ID
: l'ID progetto per questa richiesta
Configura il bilanciatore del carico
Questo esempio mostra come creare le seguenti risorse del bilanciatore del carico dell'applicazione a livello di area geografica:
- Controllo di integrità HTTP
- Servizio di backend con un gruppo di istanze gestite come backend
- Una mappa URL
- Assicurati di fare riferimento a una mappa URL a livello di regione se una regione è definita per il proxy HTTP(S) di destinazione. Una mappa URL a livello di regione instrada le richieste a un servizio di backend a livello di regione in base alle regole che hai definito per l'host e il percorso di un URL in arrivo. Una mappa di URL a livello di regione può essere utilizzata come riferimento da una regola proxy di destinazione a livello di regione solo nella stessa regione.
- Certificato SSL (per HTTPS)
- Proxy di destinazione
- Regola di forwarding
Disponibilità del proxy
A volte le regioni Google Cloud non hanno capacità proxy sufficiente per un nuovo bilanciatore del carico. In questo caso, durante la creazione del bilanciatore del carico, la console Google Cloud fornisce un messaggio di avviso relativo alla disponibilità del proxy. Per risolvere questo problema, puoi procedere in uno dei seguenti modi:
- Seleziona una regione diversa per il bilanciatore del carico. Questa può essere una soluzione pratica se hai backend in un'altra area geografica.
- Seleziona una rete VPC che ha già una subnet solo proxy allocata.
- Attendi che il problema di capacità venga risolto.
Console
Nella console Google Cloud, vai alla pagina Crea un bilanciatore del carico.
- Nella scheda Bilanciatore del carico dell'applicazione (HTTP/S), fai clic su Avvia configurazione.
In Per Internet o solo interno, seleziona Da Internet alle mie VM o ai miei servizi serverless. Questa impostazione indica che il bilanciatore del carico è un bilanciatore del carico dell'applicazione esterno.
Per Globale o a livello di regione, seleziona Bilanciatore del carico HTTP(S) a livello di regione.
Fai clic su Continua.
Crea un bilanciatore del carico dell'applicazione esterno a livello di area geografica
- Inserisci
regional-l7-xlb
per il nome del bilanciatore del carico. - In Regione, seleziona
us-west1
. - In Rete, seleziona
lb-network
.
Prenota una subnet solo proxy
Per un bilanciatore del carico di un'applicazione esterno a livello di area geografica, prenota una subnet solo proxy:
- Fai clic su Prenota subnet.
- In Nome, inserisci
proxy-only-subnet
. - In Intervallo di indirizzi IP, inserisci
10.129.0.0/23
. - Fai clic su Add (Aggiungi).
Configura il frontend
Per HTTP:
- Fai clic su Configurazione frontend.
- Imposta Nome su
l7-xlb-forwarding-rule
. - Imposta Protocollo su
HTTP
. - Imposta Porta su
80
. - Seleziona l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico.
- Fai clic su Fine.
Per HTTPS:
Se utilizzi HTTPS tra il client e il bilanciatore del carico, hai bisogno di una o più risorse del certificato SSL per configurare il proxy. Per informazioni su come creare risorse dei certificati SSL, consulta Certificati SSL. Al momento i certificati gestiti da Google non sono supportati con bilanciatori del carico delle applicazioni esterni a livello di regione.
- Fai clic su Configurazione frontend.
- Nel campo Nome, inserisci
l7-xlb-forwarding-rule
. - Nel campo Protocollo, seleziona
HTTPS (includes HTTP/2)
. - Assicurati che la Porta sia impostata su
443
. - Seleziona l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico.
- Nell'elenco Certificato, procedi nel seguente modo:
- Se hai già una risorsa certificato SSL autogestito, seleziona il certificato SSL principale.
- Fai clic su Crea un nuovo certificato.
- Nel campo Nome, inserisci
l7-xlb-cert
. - Nei campi appropriati, carica i file in formato PEM:
- Certificato di chiave pubblica
- Catena di certificati
- Chiave privata
- Fai clic su Crea.
- Nel campo Nome, inserisci
- Facoltativo: per aggiungere certificati oltre al certificato SSL principale:
- Fai clic su Aggiungi certificato.
- Se hai già un certificato, selezionalo dall'elenco Certificati.
- (Facoltativo) Fai clic su Crea un nuovo certificato e segui le istruzioni riportate nel passaggio precedente.
- Seleziona un criterio SSL dall'elenco Criterio SSL. Se non hai creato alcun criterio SSL, viene applicato un criterio SSL di Google Cloud predefinito.
- Fai clic su Fine.
Configura il servizio di backend
- Fai clic su Configurazione backend.
- Dal menu Crea o seleziona servizi di backend, seleziona Crea un servizio di backend.
- Imposta il nome del servizio di backend su
l7-xlb-backend-service
. - In Protocollo, seleziona HTTP.
- In Porta denominata, inserisci
http
. - Imposta Tipo di backend su Gruppo di istanze.
- Nella sezione Nuovo backend:
- Imposta Gruppo di istanze su
l7-xlb-backend-example
. - Imposta Numeri di porta su
80
. - Imposta la modalità di bilanciamento su Utilizzo.
- Fai clic su Fine.
- Imposta Gruppo di istanze su
- Nell'elenco Controllo di integrità, fai clic su Crea controllo di integrità.
- Imposta Nome su
l7-xlb-basic-check
. - Imposta Protocollo su
HTTP
. - Imposta Porta su
80
. - Fai clic su Salva.
- Imposta Nome su
- Fai clic su Crea.
Configurare le regole di routing
- Fai clic su Regole di routing.
- In Modalità, seleziona Host semplice e regola percorso.
- Assicurati che
l7-xlb-backend-service
sia l'unico servizio di backend per qualsiasi host senza corrispondenza e qualsiasi percorso senza corrispondenza.
Rivedi la configurazione
- Fai clic su Esamina e finalizza.
- Rivedi le impostazioni di configurazione del bilanciatore del carico.
- (Facoltativo) Fai clic su Codice equivalente per visualizzare la richiesta API REST che verrà utilizzata per creare il bilanciatore del carico.
- Fai clic su Crea.
gcloud
Definisci il controllo di integrità HTTP con il comando
gcloud compute health-checks create http
.gcloud compute health-checks create http l7-xlb-basic-check \ --region=us-west1 \ --request-path='/' \ --use-serving-port
Definisci il servizio di backend con il comando
gcloud compute backend-services create
.gcloud compute backend-services create l7-xlb-backend-service \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --port-name=http \ --health-checks=l7-xlb-basic-check \ --health-checks-region=us-west1 \ --region=us-west1
Aggiungi backend al servizio di backend con il comando
gcloud compute backend-services add-backend
.gcloud compute backend-services add-backend l7-xlb-backend-service \ --balancing-mode=UTILIZATION \ --instance-group=l7-xlb-backend-example \ --instance-group-zone=us-west1-a \ --region=us-west1
Crea la mappa URL con il comando
gcloud compute url-maps create
.gcloud compute url-maps create regional-l7-xlb-map \ --default-service=l7-xlb-backend-service \ --region=us-west1
Crea il proxy di destinazione.
Per HTTP:
Per un bilanciatore del carico HTTP, crea il proxy di destinazione con il comando
gcloud compute target-http-proxies create
.gcloud compute target-http-proxies create l7-xlb-proxy \ --url-map=regional-l7-xlb-map \ --url-map-region=us-west1 \ --region=us-west1
Per HTTPS:
Per informazioni su come creare risorse dei certificati SSL, consulta Certificati SSL. I certificati gestiti da Google non sono supportati con i bilanciatori del carico delle applicazioni esterni a livello di regione.
Assegna i percorsi dei file ai nomi delle variabili.
export LB_CERT=path to PEM-formatted file
export LB_PRIVATE_KEY=path to PEM-formatted file
Crea un certificato SSL a livello di regione utilizzando il comando
gcloud compute ssl-certificates create
.gcloud compute ssl-certificates create l7-xlb-cert \ --certificate=$LB_CERT \ --private-key=$LB_PRIVATE_KEY \ --region=us-west1
Utilizza il certificato SSL a livello di regione per creare un proxy di destinazione con il comando
gcloud compute target-https-proxies create
.gcloud compute target-https-proxies create l7-xlb-proxy \ --url-map=regional-l7-xlb-map \ --region=us-west1 \ --ssl-certificates=l7-xlb-cert
Crea la regola di forwarding.
Per HTTP:
Utilizza il comando
gcloud compute forwarding-rules create
con i flag corretti.gcloud compute forwarding-rules create l7-xlb-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network-tier=STANDARD \ --network=lb-network \ --address=ADDRESS_NAME \ --ports=80 \ --region=us-west1 \ --target-http-proxy=l7-xlb-proxy \ --target-http-proxy-region=us-west1
Per HTTPS:
Crea la regola di forwarding con il comando
gcloud compute forwarding-rules create
con i flag corretti.gcloud compute forwarding-rules create l7-xlb-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network-tier=STANDARD \ --network=lb-network \ --address=ADDRESS_NAME \ --ports=443 \ --region=us-west1 \ --target-https-proxy=l7-xlb-proxy \ --target-https-proxy-region=us-west1
Terraform
Per creare il controllo di integrità, utilizza la risorsa google_compute_region_health_check
.
Per creare il servizio di backend, utilizza la risorsa google_compute_region_backend_service
.
Per creare la mappa URL, utilizza la risorsa google_compute_region_url_map
.
Per creare il proxy HTTP di destinazione, utilizza la risorsa google_compute_region_target_http_proxy
.
Per creare la regola di forwarding, utilizza la risorsa google_compute_forwarding_rule
.
Per informazioni su come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.
API
Crea il controllo di integrità effettuando una richiesta POST
al metodo
regionHealthChecks.insert
, sostituendo PROJECT_ID
con il tuo ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/{region}/healthChecks
{
"name": "l7-xlb-basic-check",
"type": "HTTP",
"httpHealthCheck": {
"portSpecification": "USE_SERVING_PORT"
}
}
Crea il servizio di backend regionale inviando una richiesta POST
al metodo
regionBackendServices.insert
, sostituendo PROJECT_ID
con l'ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices
{
"name": "l7-xlb-backend-service",
"backends": [
{
"group": "projects/<var>PROJECT_ID</var>/zones/us-west1-a/instanceGroups/l7-xlb-backend-example",
"balancingMode": "UTILIZATION"
}
],
"healthChecks": [
"projects/<var>PROJECT_ID</var>/regions/us-west1/healthChecks/l7-xlb-basic-check"
],
"loadBalancingScheme": "EXTERNAL_MANAGED"
}
Crea la mappa URL inviando una richiesta POST
al metodo
regionUrlMaps.insert
, sostituendo PROJECT_ID
con il tuo ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/us-west1/urlMaps
{
"name": "regional-l7-xlb-map",
"defaultService": "projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices/l7-xlb-backend-service"
}
Crea il proxy HTTP di destinazione inviando una richiesta POST
al metodo
regionTargetHttpProxies.insert
, sostituendo PROJECT_ID
con l'ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/targetHttpProxy { "name": "l7-xlb-proxy", "urlMap": "projects/PROJECT_ID/global/urlMaps/regional-l7-xlb-map", "region": "us-west1" }
Crea la regola di forwarding inviando una richiesta POST
al metodo
forwardingRules.insert
, sostituendo PROJECT_ID
con l'ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/forwardingRules { "name": "l7-xlb-forwarding-rule", "IPAddress": "10.1.2.99", "IPProtocol": "TCP", "portRange": "80-80", "target": "projects/PROJECT_ID/regions/us-west1/targetHttpProxies/l7-xlb-proxy", "loadBalancingScheme": "EXTERNAL_MANAGED", "network": "projects/PROJECT_ID/global/networks/lb-network", "networkTier": "STANDARD", }
Collegare il dominio al bilanciatore del carico
Dopo aver creato il bilanciatore del carico, prendi nota dell'indirizzo IP associato al bilanciatore del carico, ad esempio 30.90.80.100
. Per indirizzare il tuo dominio al bilanciatore del carico, crea un record A
utilizzando il servizio di registrazione del dominio. Se hai aggiunto più domini al certificato SSL, devi aggiungere un record A
per ciascuno, indirizzando tutti all'indirizzo IP del bilanciatore del carico. Ad esempio, per creare record A
per www.example.com
e example.com
, utilizza quanto segue:
NAME TYPE DATA www A 30.90.80.100 @ A 30.90.80.100
Se utilizzi Google Domains, visita la Guida di Google Domains per ulteriori informazioni.
Testa il bilanciatore del carico
Ora che il servizio di bilanciamento del carico è in esecuzione, puoi inviare il traffico alla regola di forwarding e osservare la distribuzione del traffico su diverse istanze.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
- Seleziona il bilanciatore del carico appena creato.
- Nella sezione Backend, verifica che le VM siano in stato integro. La colonna Integri deve essere compilata, a indicare che entrambe le VM sono in stato integro (
2/2
). Se compare diversamente, prova innanzitutto a ricaricare la pagina. Potrebbero essere necessari alcuni istanti perché la console Google Cloud indichi che le VM sono in stato integro. Se i backend non sembrano integri dopo qualche minuto, esamina la configurazione del firewall e il tag di rete assegnato alle VM di backend. - Dopo che la console Google Cloud mostra che le istanze di backend sono in stato integro, puoi testare il bilanciatore del carico utilizzando un browser web andando su
https://IP_ADDRESS
(ohttp://IP_ADDRESS
). SostituisciIP_ADDRESS
con l'indirizzo IP del bilanciatore del carico. - Se hai utilizzato un certificato autofirmato per testare il protocollo HTTPS, il browser mostra un avviso. Devi chiedere esplicitamente al browser di accettare un certificato autofirmato.
- Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome dell'istanza che ha pubblicato la pagina e la relativa zona (ad esempio
Page served from: lb-backend-example-xxxx
). Se il browser non esegue il rendering di questa pagina, controlla le impostazioni di configurazione di questa guida.
gcloud
Prendi nota dell'indirizzo IPv4 riservato:
gcloud beta compute addresses describe ADDRESS_NAME \ --format="get(address)" \ --region="us-west1"
Puoi testare il bilanciatore del carico utilizzando un browser web andando su https://IP_ADDRESS
(o http://IP_ADDRESS
). Sostituisci IP_ADDRESS
con l'indirizzo IP del bilanciatore del carico.
Se hai utilizzato un certificato autofirmato per il test del protocollo HTTPS, il browser mostra un avviso. Devi chiedere esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe visualizzare una pagina con informazioni minime sull'istanza di backend. Se il tuo browser non esegue il rendering di questa pagina, controlla le impostazioni di configurazione di questa guida.
Opzioni di configurazione aggiuntive
Questa sezione si espande nell'esempio di configurazione per fornire opzioni di configurazione alternative e aggiuntive. Tutte le attività sono facoltative. Puoi eseguirle in qualsiasi ordine.
Abilita affinità sessione
Queste procedure mostrano come aggiornare un servizio di backend per il bilanciatore del carico dell'applicazione esterno di esempio in modo che il servizio di backend utilizzi l'affinità cookie generato, l'affinità del campo di intestazione o l'affinità cookie HTTP.
Quando è abilitata l'affinità cookie generato, il bilanciatore del carico emette un cookie
nella prima richiesta. Per ogni richiesta successiva con lo stesso cookie, il bilanciatore del carico indirizza la richiesta alla stessa VM o endpoint di backend. Per i bilanciatori del carico applicazioni a livello di regione, il cookie è denominato GCILB
.
Quando è abilitata l'affinità del campo di intestazione, il bilanciatore del carico instrada le richieste alle VM o agli endpoint di backend in un NEG in base al valore dell'intestazione HTTP denominata nel flag --custom-request-header
. L'affinità del campo di intestazione è valida solo se il criterio di località del bilanciamento del carico è RING_HASH
o MAGLEV
e l'hash coerente del servizio di backend specifica il nome dell'intestazione HTTP.
Quando è abilitata l'affinità dei cookie HTTP, il bilanciatore del carico instrada le richieste alle VM o agli endpoint di backend in un NEG, in base a un cookie HTTP denominato nel flag HTTP_COOKIE
con il flag --affinity-cookie-ttl
facoltativo. Se il client non fornisce il cookie nella richiesta HTTP, il proxy genera il cookie e lo restituisce al client in un'intestazione Set-Cookie
. L'affinità cookie HTTP è valida solo se il criterio di località del bilanciamento del carico è RING_HASH
o MAGLEV
e l'hash coerente del servizio di backend specifica il cookie HTTP.
Console
Per abilitare o modificare l'affinità sessione per un servizio di backend:
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
Seleziona il bilanciatore del carico appena creato.
Fai clic su Backend.
Fai clic su l7-xlb-backend-service (il nome del servizio di backend che hai creato per questo esempio) e fai clic su Modifica.
Nella pagina Dettagli del servizio di backend, fai clic su Configurazione avanzata.
Per Affinità sessione, seleziona dal menu il tipo di affinità sessione.
Fai clic su Aggiorna.
gcloud
Utilizza i comandi gcloud seguenti per aggiornare il servizio di backend l7-xlb-backend-service
in base ai diversi tipi di affinità sessione:
gcloud compute backend-services update l7-xlb-backend-service \ --session-affinity=[GENERATED_COOKIE | HEADER_FIELD | HTTP_COOKIE | CLIENT_IP] --region=us-west1
API
Per impostare l'affinità sessione, effettua una richiesta PATCH
al metodo
regionBackendServices/patch
.
PATCH https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/us-west1/regionBackendServices/l7-xlb-backend-service
{
"sessionAffinity": ["GENERATED_COOKIE" | "HEADER_FIELD" | "HTTP_COOKIE" | "CLIENT_IP" ]
}
Passaggi successivi
Per saperne di più sulle funzionalità di gestione del traffico, consulta la panoramica sulla gestione del traffico per i bilanciatori del carico applicazioni a livello di area geografica.
Per gestire la risorsa di subnet solo proxy richiesta da un bilanciatore del carico dell'applicazione esterno a livello di area geografica, consulta Subnet solo proxy.
Per scoprire come aggiornare il certificato SSL del bilanciatore del carico delle applicazioni esterno a livello di regione, consulta Utilizzo dei certificati SSL autogestiti.