Configurazione di un bilanciatore del carico HTTP(S) esterno a livello di area geografica

Questo documento fornisce istruzioni per la configurazione di un bilanciatore del carico HTTP(S) esterno a livello di area geografica per i servizi in esecuzione sulle VM di Compute Engine.

Poiché i bilanciatori del carico HTTP(S) esterni di un'area geografica consentono di creare bilanciatori del carico in aree geografiche specifiche, vengono spesso utilizzati per carichi di lavoro con requisiti di conformità giurisdizionali. I carichi di lavoro che richiedono l'accesso al gress standard del livello di rete sono un altro caso d'uso comune per i bilanciatori del carico HTTP(S) esterni a livello di area geografica, perché i bilanciatori del carico HTTP(S) esterni di un'area geografica supportano il livello di servizio di rete standard.

Anteprima

Questo prodotto o questa funzionalità sono coperti dai Termini delle offerte pre-GA dei Termini di servizio di Google Cloud. Le funzionalità e i prodotti pre-GA potrebbero avere un supporto limitato e le modifiche ai prodotti e alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Soluzioni alternative

• Per configurare i bilanciatori del carico HTTP(S) esterni globali, consulta quanto segue:

  • Configurazione di un bilanciatore del carico HTTP(S) esterno con un backend di Compute Engine
  • Configurazione di un bilanciatore del carico con Cloud Run, App Engine o Cloud Functions
  • Configurazione di un bilanciatore del carico con un backend esterno utilizzando un NEG Internet

• Per configurare il bilanciamento del carico per i servizi in esecuzione nei pod GKE, consulta Bilanciamento del carico nativo del container con NEG autonomi e Collegamento di un bilanciatore del carico HTTP(S) esterno a un'area geografica singola dei NEG.

• Per configurare il bilanciamento del carico per l'accesso ad API e servizi Google mediante Private Service Connect, consulta l'articolo Configurare Private Service Connect con controlli di servizio HTTP consumer.

Prepararsi alla configurazione

La configurazione di un bilanciatore del carico HTTP(S) esterno a due aree geografiche prevede due parti:

• Eseguire attività preliminari, ad esempio garantire che gli account richiesti dispongano delle autorizzazioni corrette e preparare la rete Virtual Private Cloud (VPC).
• Configurazione delle risorse del bilanciatore del carico.

Prima di seguire questa guida, acquisisci familiarità con quanto segue:

• Panoramica del bilanciamento del carico HTTP(S)
• Panoramica delle regole firewall VPC

Autorizzazioni

Per seguire questa guida, devi essere in grado di creare istanze e modificare una rete in un progetto. Devi essere un proprietario o un editor del progetto oppure devi disporre di tutti i seguenti ruoli IAM di Compute Engine.

Attività	Ruolo richiesto
Crea reti, subnet e componenti del bilanciatore del carico	Amministratore di rete
Aggiungi e rimuovi regole firewall	Amministratore sicurezza
Creare istanze	Amministratore istanza

Per ulteriori informazioni, consulta le seguenti guide:

• Controllo dell'accesso
• Condizioni IAM

Panoramica della configurazione

Puoi configurare un bilanciatore del carico HTTP(S) esterno a un'area geografica come descritto nel seguente flusso di configurazione di alto livello. I passaggi numerati si riferiscono ai numeri nel diagramma.

Componenti numerati per il bilanciatore del carico HTTP(S) esterni a livello di area geografica (fai clic per ingrandire)

Come mostrato nel diagramma, questo esempio crea un bilanciatore del carico HTTP(S) esterno a livello di area geografica in una rete VPC nell'area geografica us-west1, con un servizio di backend e due gruppi di istanze di backend.

Il diagramma mostra quanto segue:

1. Una rete VPC con due subnet:

   1. Una subnet viene utilizzata per i backend (gruppi di istanze). L'intervallo di indirizzi IP principali è 10.1.2.0/24.

   2. Una subnet è una subnet solo proxy nell'area geografica us-west1. Devi creare una subnet solo proxy in ogni area geografica di una rete VPC in cui utilizzi i bilanciatori del carico HTTP(S) esterni a livello di area geografica. La subnet solo proxy dell'area geografica è condivisa tra tutti i bilanciatori del carico a livello di area geografica. Gli indirizzi di origine dei pacchetti inviati dai bilanciatori del carico ai backend del servizio vengono allocati dalla subnet solo proxy. In questo esempio, la subnet solo proxy per l'area geografica ha un intervallo di indirizzi IP principali pari a 10.129.0.0/23, ovvero la dimensione della subnet consigliata. Per scoprire di più, consulta Subnet solo proxy.

2. Una regola firewall che consente il flusso del traffico delle subnet solo proxy nella rete. Ciò significa aggiungere una regola che consenta il traffico TCP 80, 443 e 8080 da 10.129.0.0/23 (l'intervallo della subnet solo proxy in questo esempio). Un'altra regola firewall per i probe del controllo di integrità.

3. Istanze di backend.

4. Gruppi di istanze:

   1. Gruppi di istanze gestite o non gestite per i deployment delle VM di Compute Engine
   2. NEG per i deployment GKE

   In ogni zona, puoi avere una combinazione di tipi di gruppi di backend in base ai requisiti del tuo deployment.

5. Un controllo di integrità a livello di area geografica che indica l'idoneità dei backend.

6. Un servizio di backend a livello di area geografica che monitora l'utilizzo e l'integrità dei backend.

7. Una mappa di URL a livello di area geografica, che analizza l'URL di una richiesta e inoltra le richieste a servizi di backend specifici in base all'host e al percorso dell'URL della richiesta.

8. Un proxy HTTP o HTTPS di destinazione a livello di area geografica, che riceve la richiesta dell'utente e la inoltra alla mappa degli URL. Per HTTPS, configura una risorsa di certificato SSL a livello di area geografica. Il proxy di destinazione utilizza il certificato SSL per decriptare il traffico SSL se configuri il bilanciamento del carico HTTPS. Il proxy di destinazione può inoltrare il traffico alle tue istanze utilizzando HTTP o HTTPS.

9. Una regola di forwarding, che contiene l'indirizzo IP esterno del tuo bilanciatore del carico, per inoltrare ogni richiesta in entrata al proxy di destinazione.

   L'indirizzo IP esterno associato alla regola di forwarding viene prenotato utilizzando il comando gcloud beta compute addresses create, come descritto in Prenotare l'indirizzo IP del bilanciatore del carico.

Configurazione della rete e delle subnet

È necessaria una rete VPC con due subnet: una per i backend del bilanciatore del carico e l'altra per i proxy del bilanciatore del carico. Un bilanciatore del carico HTTP(S) esterno a livello di area geografica è a livello di area geografica. Il traffico nella rete VPC è instradato al bilanciatore del carico, se l'origine del traffico si trova in una subnet nella stessa area geografica del bilanciatore del carico.

Questo esempio utilizza le seguenti reti, aree geografiche e subnet VPC:

• Rete. La rete è una rete VPC in modalità personalizzata denominata lb-network.

• Subnet per i backend. Una subnet denominata backend-subnet nell'area geografica us-west1 utilizza 10.1.2.0/24 come intervallo IP principale.

• Subnet per i proxy. Una subnet denominata proxy-only-subnet nell'area geografica us-west1 utilizza 10.129.0.0/23 come intervallo IP principale.

Nota: puoi modificare il nome della rete, l'area geografica e i parametri per le subnet, ma nei passaggi successivi di questa guida vengono utilizzati i parametri di rete, area geografica e subnet come descritto qui.

Configurazione della rete e della subnet per i backend

gcloud

1. Crea la rete VPC personalizzata con il comando gcloud beta compute networks create:

   gcloud beta compute networks create lb-network --subnet-mode=custom
   

2. Crea una subnet nella rete lb-network nell'area geografica us-west1 con il comando gcloud beta compute networks subnets create:

   gcloud beta compute networks subnets create backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-west1
   

API

1. Fai una richiesta POST al metodo networks.insert, sostituendo PROJECT_ID con l'ID progetto.

   POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/global/networks
   {
    "routingConfig": {
      "routingMode": "REGIONAL"
    },
    "name": "lb-network",
    "autoCreateSubnetworks": false
   }
   

2. Fai una richiesta POST al metodo subnetworks.insert, sostituendo PROJECT_ID con l'ID progetto.

   POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/us-west1/subnetworks
   {
    "name": "backend-subnet",
    "network": "projects/PROJECT_ID/global/networks/lb-network",
    "ipCidrRange": "10.1.2.0/24",
    "region": "projects/PROJECT_ID/regions/us-west1",
   }
   

Configurazione della subnet solo proxy

La subnet solo proxy riguarda tutti i bilanciatori del carico HTTP(S) esterni a livello di area geografica nella stessa area geografica e nella stessa rete VPC.

Importante: non tentare di assegnare indirizzi dalla subnet solo proxy alla regola di forwarding o ai backend del bilanciatore del carico. Puoi assegnare gli indirizzi IP della regola di forwarding e degli indirizzi IP delle istanze di backend da un altro intervallo (o intervalli) di subnet, non questo. Google Cloud prenota questo intervallo di subnet per i proxy gestiti da Google Cloud.

gcloud

Crea la subnet solo proxy con il comando gcloud beta compute networks subnets create.

gcloud beta compute networks subnets create proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-west1 \
  --network=lb-network \
  --range=10.129.0.0/23

API

Crea la subnet solo proxy con il metodo subnetworks.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/us-west1/subnetworks
{
  "name": "proxy-only-subnet",
  "ipCidrRange": "10.129.0.0/23",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "region": "projects/PROJECT_ID/regions/us-west1",
  "purpose": "REGIONAL_MANAGED_PROXY",
  "role": "ACTIVE"
}

Configurazione delle regole del firewall

In questo esempio vengono utilizzate le seguenti regole firewall:

• fw-allow-ssh. Una regola in entrata, applicabile alle istanze in bilanciamento del carico, che consente la connettività SSH in entrata sulla porta TCP 22 da qualsiasi indirizzo. Puoi scegliere un intervallo IP di origine più restrittivo per questa regola; ad esempio, puoi specificare solo gli intervalli IP del sistema da cui avvii le sessioni SSH. In questo esempio viene utilizzato il tag di destinazione allow-ssh.

• fw-allow-health-check. Una regola in entrata, applicabile alle istanze in bilanciamento del carico, che consente tutto il traffico TCP dai sistemi di controllo di integrità di Google Cloud (in 130.211.0.0/22 e 35.191.0.0/16). In questo esempio viene utilizzato il tag di destinazione load-balanced-backend.

• fw-allow-proxies. Una regola in entrata, applicabile alle istanze in bilanciamento del carico, che consente il traffico TCP sulle porte 80, 443 e 8080 dal proxy del carico HTTP(S) esterno a livello di area geografica. In questo esempio viene utilizzato il tag di destinazione load-balanced-backend.

Senza queste regole firewall, la regola predefinita per il traffico in entrata blocca il traffico in entrata verso le istanze di backend.

I tag di destinazione definiscono le istanze di backend. Senza i tag di destinazione, le regole firewall si applicano a tutte le tue istanze di backend nella rete VPC. Quando crei le VM di backend, assicurati di includere i tag di destinazione specificati, come mostrato nella sezione Creazione di un gruppo di istanze gestite.

console

1. Vai alla pagina Regole firewall in Google Cloud Console.
   Vai alla pagina Regole firewall
2. Fai clic su Crea regola firewall per creare la regola per consentire le connessioni SSH in entrata:
   • Nome: fw-allow-ssh
   • Rete: lb-network
   • Direzione del traffico: in entrata
   • Azione in caso di corrispondenza: Consenti
   • Target: tag di destinazione specificati
   • Tag di destinazione: allow-ssh
   • Filtro di origine: intervalli IPv4
   • Intervalli IP di origine: 0.0.0.0/0
   • Protocolli e porte:
     • Scegli Protocolli e porte specificati.
     • Seleziona la casella di controllo tcp, quindi inserisci 22 per il numero di porta.
3. Fai clic su Crea.
4. Fai clic su Crea regola firewall una seconda volta per creare la regola per consentire i controlli di integrità di Google Cloud:
   • Nome: fw-allow-health-check
   • Rete: lb-network
   • Direzione del traffico: in entrata
   • Azione in caso di corrispondenza: Consenti
   • Target: tag di destinazione specificati
   • Tag di destinazione: load-balanced-backend
   • Filtro di origine: intervalli IPv4
   • Intervalli IPv4 di origine: 130.211.0.0/22 e 35.191.0.0/16
   • Protocolli e porte:
     • Scegli Protocolli e porte specificati.
     • Seleziona la casella di controllo tcp, quindi inserisci 80 per il numero di porta.
       Come best practice, limita questa regola solo ai protocolli e alle porte corrispondenti a quelli utilizzati dal controllo di integrità. Se utilizzi tcp:80 per il protocollo e la porta, Google Cloud può utilizzare HTTP sulla porta 80 per contattare le tue VM, ma non può utilizzare HTTPS sulla porta 443 per contattarli.
5. Fai clic su Crea.
6. Fai clic su Crea regola firewall una terza volta per creare la regola e consentire ai server proxy del bilanciatore del carico di connettere i backend:
   • Nome: fw-allow-proxies
   • Rete: lb-network
   • Direzione del traffico: in entrata
   • Azione in caso di corrispondenza: Consenti
   • Target: tag di destinazione specificati
   • Tag di destinazione: load-balanced-backend
   • Filtro di origine: intervalli IPv4
   • Intervalli IPv4 di origine: 10.129.0.0/23
   • Protocolli e porte:
     • Scegli Protocolli e porte specificati.
     • Seleziona la casella di controllo tcp, quindi inserisci 80, 443, 8080 per i numeri di porta.
7. Fai clic su Crea.

gcloud

1. Crea la regola firewall fw-allow-ssh per consentire la connettività SSH alle VM con il tag di rete allow-ssh. Se ometti source-ranges, Google Cloud interpreta la regola per indicare qualsiasi origine.

   gcloud beta compute firewall-rules create fw-allow-ssh \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

2. Crea la regola fw-allow-health-check per consentire i controlli di integrità di Google Cloud. Questo esempio consente a tutto il traffico TCP da probe di controllo di integrità; tuttavia, puoi configurare un insieme di porte più ristretto in base alle tue esigenze.

   gcloud beta compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --target-tags=load-balanced-backend \
       --rules=tcp
   

3. Crea la regola fw-allow-proxies per consentire ai proxy del bilanciatore del carico HTTP(S) esterno a livello di area geografica di connettersi ai backend. Imposta source-ranges sugli intervalli assegnati della subnet solo proxy, ad esempio 10.129.0.0/23.

   gcloud beta compute firewall-rules create fw-allow-proxies \
     --network=lb-network \
     --action=allow \
     --direction=ingress \
     --source-ranges=source-range \
     --target-tags=load-balanced-backend \
     --rules=tcp:80,tcp:443,tcp:8080
   

API

Crea la regola firewall fw-allow-ssh inviando una richiesta POST al metodo firewalls.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/global/firewalls
{
  "name": "fw-allow-ssh",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "sourceRanges": [
    "0.0.0.0/0"
  ],
  "targetTags": [
    "allow-ssh"
  ],
  "allowed": [
   {
     "IPProtocol": "tcp",
     "ports": [
       "22"
     ]
   }
  ],
  "direction": "INGRESS"
}

Crea la regola firewall fw-allow-health-check inviando una richiesta POST al metodo firewalls.insert, sostituendo PROJECT_ID con l'ID progetto.

API

Crea una regola firewall.

POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/global/firewalls
{
  "name": "fw-allow-health-check",
  "network": "projects/PROJECT-ID/global/networks/lb-network",
  "sourceRanges": [
    "130.211.0.0/22",
    "35.191.0.0/16"
  ],
  "targetTags": [
    "load-balanced-backend"
  ],
  "allowed": [
    {
      "IPProtocol": "tcp"
    }
  ],
  "direction": "INGRESS"
}

Crea la regola firewall fw-allow-proxies per consentire il traffico TCP all'interno della subnet proxy per il metodo firewalls.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/global/firewalls
{
  "name": "fw-allow-proxies",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "sourceRanges": [
    "10.129.0.0/23"
  ],
  "targetTags": [
    "load-balanced-backend"
  ],
  "allowed": [
    {
      "IPProtocol": "tcp",
      "ports": [
        "80"
      ]
    },
    {
      "IPProtocol": "tcp",
      "ports": [
        "443"
      ]
    },
    {
      "IPProtocol": "tcp",
      "ports": [
        "8080"
      ]
    }
  ],
  "direction": "INGRESS"
}

Configurazione di un bilanciatore del carico HTTP(S) esterno a un'area geografica con un servizio basato su VM

Questa sezione mostra la configurazione richiesta per i servizi in esecuzione sulle VM di Compute Engine. Le VM client si connettono all'indirizzo IP e alla porta che configuri nella regola di forwarding. Quando le applicazioni client inviano traffico a questo indirizzo IP e a questa porta, le loro richieste vengono inoltrate alle tue macchine virtuali (VM) di backend in base alla mappa URL del tuo bilanciatore del carico HTTP(S) esterno a livello di area geografica.

L'esempio in questa pagina imposta in modo esplicito un indirizzo IP esterno riservato per la regola di forwarding del bilanciatore del carico HTTP(S) esterno a livello di area geografica, anziché consentire l'allocazione di un indirizzo IP esterno temporaneo. Come best practice, consigliamo di prenotare gli indirizzi IP per le regole di forwarding.

Per l'indirizzo IP della regola di forwarding, utilizza backend-subnet. Se tenta di utilizzare la subnet solo proxy, la creazione della regola di forwarding non riesce.

Creazione di un gruppo di istanze gestite

Questa sezione mostra come creare un modello e un gruppo di istanze gestite. Il gruppo di istanze gestite fornisce istanze VM che eseguono i server di backend di un bilanciatore del carico HTTP(S) esterno di esempio. Il traffico dai client viene bilanciato in carico da tali server di backend. A scopo dimostrativo, i backend gestiscono i propri nomi host.

Cloud Console

1. Creare un modello di istanza. In Google Cloud Console, vai alla pagina Modelli di istanza.

   Vai a Modelli di istanza

   1. Fai clic su Crea modello istanza.
   2. In Nome, inserisci l7-xlb-backend-template.
   3. Assicurati che il Disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 9 (stretch). Queste istruzioni utilizzano comandi disponibili solo su Debian, come apt-get.

   4. In Gestione, sicurezza, dischi, networking, single-tenancy, nella scheda Management, inserisci il seguente script nel campo Startup script.

      #! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo a2ensite default-ssl
      sudo a2enmod ssl
      sudo vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://169.254.169.254/computeMetadata/v1/instance/name)"
      sudo echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      sudo systemctl restart apache2
      

   5. In Networking, seleziona lb-network come Rete e, per la subnet, seleziona backend-subnet.

   6. Aggiungi i seguenti tag di rete: allow-ssh e load-balanced-backend.

   7. Fai clic su Crea.

2. Creare un gruppo di istanze gestite.
   Vai alla pagina Gruppi di istanze in Google Cloud Console.

   Vai a Gruppi di istanze

   1. Fai clic su Crea gruppo di istanze.
   2. Seleziona Nuovo gruppo di istanze gestite (senza stato). Per ulteriori informazioni, consulta la sezione MIG stateless o stateful.
   3. In Nome, inserisci l7-xlb-backend-example.
   4. In Località, seleziona Zona singola.
   5. Per Area geografica, seleziona us-west1.
   6. In Zona, seleziona us-west1-a.
   7. In Modello di istanza, seleziona l7-xlb-backend-template.

   8. Controlla il numero di istanze che vengono create nel gruppo selezionando una delle seguenti opzioni in Scalabilità automatica:

      • On: add and remove instances to the group
      • Scale up: only add instances to the group
      • Off: do not autoscale

      Imposta il Numero minimo di istanze su 2 e imposta il Numero massimo di istanze su 2 o più.

   9. Fai clic su Crea.

gcloud

Le istruzioni gcloud riportate in questa guida presuppongono che tu stia utilizzando Cloud Shell o un altro ambiente con installato Bash.

1. Creare un modello di istanza VM con un server HTTP con il comando gcloud beta compute instance-templates create.

   gcloud beta compute instance-templates create l7-xlb-backend-template \
   --region=us-west1 \
   --network=lb-network \
   --subnet=backend-subnet \
   --tags=allow-ssh,load-balanced-backend \
   --image-family=debian-9 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
   sudo apt-get update
   sudo apt-get install apache2 -y
   sudo a2ensite default-ssl
   sudo a2enmod ssl
   sudo vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://169.254.169.254/computeMetadata/v1/instance/name)"
   sudo echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   sudo systemctl restart apache2'
   

2. Crea un gruppo di istanze gestite nella zona con il comando gcloud beta compute instance-groups managed create.

   gcloud beta compute instance-groups managed create l7-xlb-backend-example \
       --zone=us-west1-a \
       --size=2 \
       --template=l7-xlb-backend-template
   

API

1. Crea il modello di istanza con il metodo instanceTemplates.insert, sostituendo PROJECT_ID con l'ID progetto.

   POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/global/instanceTemplates
   {
    "name":"l7-xlb-backend-template",
    "properties": {
      "machineType":"e2-standard-2",
      "tags": {
        "items":[
          "allow-ssh",
          "load-balanced-backend"
        ]
      },
      "metadata": {
        "kind":"compute#metadata",
        "items":[
          {
            "key":"startup-script",
            "value":"#! /bin/bash\nsudo apt-get update\nsudo apt-get install apache2 -y\nsudo a2ensite default-ssl\nsudo a2enmod ssl\nsudo vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\" \\\nhttp://169.254.169.254/computeMetadata/v1/instance/name)\"\nsudo echo \"Page served from: $vm_hostname\" | \\\ntee /var/www/html/index.html\nsudo systemctl restart apache2"
          }
        ]
      },
      "networkInterfaces":[
        {
          "network":"projects/PROJECT_ID/global/networks/lb-network",
          "subnetwork":"regions/us-west1/subnetworks/backend-subnet",
          "accessConfigs":[
            {
              "type":"ONE_TO_ONE_NAT"
            }
          ]
        }
      ],
      "disks": [
        {
          "index":0,
          "boot":true,
          "initializeParams": {
            "sourceImage":"projects/debian-cloud/global/images/family/debian-9"
          },
          "autoDelete":true
        }
      ]
    }
   }
   

2. Crea un gruppo di istanze gestite in ogni zona con il metodo instanceGroupManagers.insert, sostituendo PROJECT_ID con l'ID progetto.

   POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers
   {
    "name": "l7-xlb-backend-example",
    "zone": "projects/PROJECT_ID/zones/us-west1-a",
    "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/l7-xlb-backend-template",
    "baseInstanceName": "l7-xlb-backend-example",
    "targetSize": 2
   }
   

Aggiunta di una porta denominata al gruppo di istanze

Per il tuo gruppo di istanze, definisci un servizio HTTP e mappa un nome di porta alla porta pertinente. Il servizio di bilanciamento del carico inoltra il traffico alla porta denominata.

console

1. In Google Cloud Console, vai alla pagina Gruppi di istanze.

   Vai a Gruppi di istanze

2. Fai clic sul nome del gruppo di istanze (in questo esempio l7-xlb-backend-example).
3. Nella pagina Panoramica del gruppo di istanze, fai clic su Modifica. .
4. Fai clic su Specifica mappatura nomi di porte.
5. Fai clic su Aggiungi elemento.
6. Come nome della porta, inserisci http. Per il numero di porta, inserisci 80.
7. Fai clic su Salva.

gcloud

Utilizza il comando gcloud beta compute instance-groups set-named-ports.

gcloud beta compute instance-groups set-named-ports l7-xlb-backend-example \
    --named-ports http:80 \
    --zone us-west1-a

Prenotazione dell'indirizzo IP del bilanciatore del carico

Cloud Console

1. In Google Cloud Console, vai alla pagina Prenota un indirizzo statico.

   Vai a Prenota un indirizzo statico

2. Scegli un Nome per il nuovo indirizzo.

3. Per il livello di servizio di rete, seleziona Standard.

4. Seleziona IPv4. Gli indirizzi IPv6 possono essere solo globali e possono essere utilizzati solo con bilanciatori del carico globali.

5. Seleziona Regionale.

6. Seleziona l'area geografica in cui creare l'indirizzo.

7. Lascia l'opzione Allega a impostata su Nessuna. Dopo aver creato il bilanciatore del carico, questo indirizzo IP verrà associato alla regola di forwarding del bilanciatore del carico.

8. Fai clic su Prenota per prenotare l'indirizzo IP.

gcloud

1. Per prenotare un indirizzo IP esterno statico utilizzando gcloud beta compute, utilizza il comando compute addresses create.

   gcloud beta compute addresses create ADDRESS_NAME  \
      --region=us-west1 \
      --network-tier=STANDARD
   

   Sostituisci quanto segue:

   • ADDRESS_NAME: il nome che vuoi chiamare.
   • REGION: l'area geografica in cui vuoi prenotare questo indirizzo. Questa area geografica deve corrispondere alla stessa area geografica del bilanciatore del carico. Tutti gli indirizzi IP a livello di area geografica sono IPv4.

2. Utilizza il comando compute addresses describe per visualizzare il risultato:

   gcloud beta compute addresses describe ADDRESS_NAME
   

API

Per creare un indirizzo IPv4 a livello di area geografica, chiama il metodo addresses.insert a livello di area geografica:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

Il corpo della richiesta deve contenere quanto segue:

{
  "name": "ADDRESS_NAME"
  "networkTier": "STANDARD"
  "region": "us-west1"
}

Sostituisci quanto segue:

• ADDRESS_NAME: nome dell'indirizzo
• REGION: nome dell'area geografica per questa richiesta
• PROJECT_ID: l'ID progetto per questa richiesta

Configurazione del bilanciatore del carico

L'esempio seguente mostra come creare le seguenti risorse bilanciatore del carico HTTP(S) esterne a livello di area geografica:

• Controllo di integrità HTTP
• Servizio di backend con un gruppo di istanze gestite come backend
• Una mappa URL
  • Assicurati di fare riferimento a una mappa URL a livello di area geografica se è stata definita un'area geografica per il proxy HTTP(S) di destinazione. Una mappa URL a livello di area geografica instrada le richieste a un servizio di backend a livello di area geografica in base a regole che hai definito per l'host e il percorso di un URL in entrata. È possibile fare riferimento a una mappa URL a livello di area geografica solo con una regola proxy di destinazione a livello di area geografica nella stessa area geografica.
• Certificato SSL (per HTTPS)
• Proxy di destinazione
• Regola di forwarding

Per l'indirizzo IP della regola di forwarding, utilizza backend-subnet. Se tenta di utilizzare la subnet solo proxy, la creazione della regola di forwarding non riesce.

Disponibilità del proxy

A volte le aree geografiche Google Cloud non hanno una capacità proxy sufficiente per un nuovo bilanciatore del carico. In questo caso, Google Cloud Console fornisce un messaggio di avviso sulla disponibilità del proxy durante la creazione del bilanciatore del carico. Per risolvere il problema, puoi eseguire una delle seguenti operazioni:

• Seleziona un'area geografica diversa per il bilanciatore del carico. Può essere una soluzione pratica se hai backend in un'altra area geografica.
• Seleziona una rete VPC che ha già una subnet solo proxy allocata.

• Attendi che il problema di capacità venga risolto.

Cloud Console

Seleziona un tipo di bilanciatore del carico

1. In Google Cloud Console, vai alla pagina Crea un bilanciatore del carico.
   Vai alla pagina Creare un bilanciatore del carico
2. In Bilanciamento del carico HTTP(S), fai clic su Avvia configurazione.
3. Nella sezione Solo per Internet o interno, seleziona Da Internet alle mie VM o ai miei servizi serverless. Questa impostazione significa che il bilanciatore del carico è un bilanciatore del carico HTTP(S) esterno.
4. Nella sezione Gestione avanzata del traffico:
   1. Seleziona il bilanciatore del carico HTTP(S) con gestione avanzata del traffico.
   2. Seleziona Bilanciatore del carico HTTP(S) a livello di area geografica.
5. Fai clic su Continua.

Crea un bilanciatore del carico HTTP(S) esterno a livello di area geografica

1. In Nome del bilanciatore del carico, inserisci regional-l7-xlb.
2. Come Area geografica, seleziona us-west1.
3. In Rete, seleziona lb-network.

Prenota una subnet solo proxy

Nota: se hai già configurato la subnet solo proxy, il pulsante Prenota una subnet non viene visualizzato. Devi saltare questa sezione e continuare con i passaggi descritti in Configurare il servizio frontend.

Per un bilanciatore del carico HTTP(S) esterno a un'area geografica, prenota una subnet solo proxy:

1. Fai clic su Prenota una subnet.

2. In Nome, inserisci proxy-only-subnet.

3. Per Intervallo di indirizzi IP, inserisci 10.129.0.0/23.

4. Fai clic su Aggiungi.

Configura il frontend

Per HTTP:

1. Fai clic su Configurazione frontend.
2. Imposta il Nome su l7-xlb-forwarding-rule.
3. Imposta il Protocollo su HTTP.
4. Imposta il campo Porta su 80.
5. Seleziona l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico.
6. Fai clic su Fine.

Per HTTPS:

Se utilizzi HTTPS tra il client e il bilanciatore del carico, sono necessarie una o più risorse certificato SSL per configurare il proxy. Per informazioni su come creare risorse dei certificati SSL, consulta Certificati SSL. I certificati gestiti da Google non sono attualmente supportati con bilanciatori del carico HTTP(S) esterni a livello di area geografica.

1. Fai clic su Configurazione frontend.
2. Nel campo Nome, inserisci l7-xlb-forwarding-rule.
3. Nel campo Protocollo, seleziona HTTPS (includes HTTP/2).
4. Assicurati che la Porta sia impostata su 443.
5. Seleziona l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico.
6. Nell'elenco Certificate (Certificato), segui questa procedura:
   1. Se hai già una risorsa certificato SSL autogestita, seleziona il certificato SSL principale.
   2. Fai clic su Crea un nuovo certificato.
      1. Nel campo Nome, inserisci l7-xlb-cert.
      2. Nei campi appropriati, carica i file in formato PEM:
         • Certificato di chiave pubblica
         • Catena di certificati
         • Chiave privata
      3. Fai clic su Crea.
7. Facoltativo: per aggiungere certificati oltre al certificato SSL principale:
   1. Fai clic su Aggiungi certificato.
   2. Se hai già un certificato, selezionalo dall'elenco Certificati.
   3. Facoltativo: fai clic su Crea un nuovo certificato e segui le istruzioni specificate sopra.
8. Fai clic su Fine.

Configura il servizio di backend

1. Fai clic su Configurazione backend.
2. Dal menu Crea o seleziona servizi di backend, seleziona Crea un servizio di backend.
3. Imposta il nome del servizio di backend su l7-xlb-backend-service.
4. Per Protocollo, seleziona HTTP.
5. In Porta denominata, inserisci http.
6. Imposta il Tipo di backend su Gruppo di istanze.
7. Nella sezione Nuovo backend:
   1. Imposta il Gruppo di istanze su l7-xlb-backend-example.
   2. Imposta Numeri di porta su 80.
   3. Imposta la Modalità di bilanciamento su Utilizzo.
   4. Fai clic su Fine.
8. Nella sezione Controllo di integrità, fai clic su Crea controllo di integrità.
   1. Imposta il Nome su l7-xlb-basic-check.
   2. Imposta il Protocollo su HTTP.
   3. Imposta il Porta su 80
   4. Fai clic su Salva.
9. Fai clic su Crea.

Configura le regole di routing

1. Fai clic su Regole di routing.
2. In Modalità, seleziona Host semplice e regola percorso.
3. Assicurati che l7-xlb-backend-service sia l'unico servizio di backend per qualsiasi host senza corrispondenza e qualsiasi percorso senza corrispondenza.

Completa la configurazione

Fai clic su Crea.

gcloud

1. Definisci il controllo di integrità HTTP con il comando gcloud beta compute health-checks create http.

   gcloud beta compute health-checks create http l7-xlb-basic-check \
      --region=us-west1 \
      --request-path='/' \
      --use-serving-port
   

2. Definisci il servizio di backend con il comando gcloud beta compute backend-services create.

   gcloud beta compute backend-services create l7-xlb-backend-service \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --protocol=HTTP \
     --port-name=http \
     --health-checks=l7-xlb-basic-check \
     --health-checks-region=us-west1 \
     --region=us-west1
   

3. Aggiungere backend al servizio di backend con il comando gcloud beta compute backend-services add-backend.

   gcloud beta compute backend-services add-backend l7-xlb-backend-service \
     --balancing-mode=UTILIZATION \
     --instance-group=l7-xlb-backend-example \
     --instance-group-zone=us-west1-a \
     --region=us-west1
   

4. Creare la mappa URL con il comando gcloud beta compute url-maps create.

   gcloud beta compute url-maps create regional-l7-xlb-map \
     --default-service=l7-xlb-backend-service \
     --region=us-west1
   

5. Crea il proxy di destinazione.

   Per HTTP:

   Per un bilanciatore del carico HTTP, crea il proxy di destinazione con il comando gcloud beta compute target-http-proxies create.

   gcloud beta compute target-http-proxies create l7-xlb-proxy \
     --url-map=regional-l7-xlb-map \
     --url-map-region=us-west1 \
     --region=us-west1
   

   Per HTTPS:

   Per informazioni su come creare risorse dei certificati SSL, consulta Certificati SSL. I certificati gestiti da Google non sono supportati con bilanciatori del carico HTTP(S) esterni a livello di area geografica.

   1. Assegna i percorsi file a nomi di variabili.

      export LB_CERT=path to PEM-formatted file
      

      export LB_PRIVATE_KEY=path to PEM-formatted file
      

   2. Creare un certificato SSL a livello di area geografica utilizzando il comando gcloud beta compute ssl-certificates create.

      gcloud beta compute ssl-certificates create l7-xlb-cert \
       --certificate=$LB_CERT \
       --private-key=$LB_PRIVATE_KEY \
       --region=us-west1
      

   3. Utilizza il certificato SSL a livello di area geografica per creare un proxy di destinazione con il comando gcloud beta compute target-https-proxies create.

      gcloud beta compute target-https-proxies create l7-xlb-proxy \
       --url-map=regional-l7-xlb-map \
       --region=us-west1 \
       --ssl-certificates=l7-xlb-cert
      

6. Crea la regola di forwarding.

   Per HTTP:

   Utilizza il comando gcloud beta compute forwarding-rules create con i flag corretti.

   gcloud beta compute forwarding-rules create l7-xlb-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network-tier=STANDARD \
     --network=lb-network \
     --address=ADDRESS_NAME \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=l7-xlb-proxy \
     --target-http-proxy-region=us-west1
   

   Per HTTPS:

   Crea la regola di forwarding con il comando gcloud beta compute forwarding-rules create con i flag corretti.

   gcloud beta compute forwarding-rules create l7-xlb-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network-tier=STANDARD \
     --network=lb-network \
     --address=ADDRESS_NAME \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=l7-xlb-proxy \
     --target-https-proxy-region=us-west1
   

API

Crea il controllo di integrità effettuando una richiesta POST per il metodo regionHealthChecks.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/<var>PROJECT_ID</var>/regions/{region}/healthChecks
{
  "name": "l7-xlb-basic-check",
  "type": "HTTP",
  "httpHealthCheck": {
    "portSpecification": "USE_SERVING_PORT"
  }
}

Crea il servizio di backend a livello di area geografica effettuando una richiesta POST al metodo regionBackendServices.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices
{
  "name": "l7-xlb-backend-service",
  "backends": [
    {
      "group": "projects/<var>PROJECT_ID</var>/zones/us-west1-a/instanceGroups/l7-xlb-backend-example",
      "balancingMode": "UTILIZATION"
    }
  ],
  "healthChecks": [
    "projects/<var>PROJECT_ID</var>/regions/us-west1/healthChecks/l7-xlb-basic-check"
  ],
  "loadBalancingScheme": "EXTERNAL_MANAGED"
}

Per creare la mappa URL, invia una richiesta POST al metodo regionUrlMaps.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/<var>PROJECT_ID</var>/regions/us-west1/urlMaps
{
  "name": "regional-l7-xlb-map",
  "defaultService": "projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices/l7-xlb-backend-service"
}

Crea il proxy HTTP di destinazione effettuando una richiesta POST al metodo regionTargetHttpProxies.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/us-west1/targetHttpProxy
{
  "name": "l7-xlb-proxy",
  "urlMap": "projects/PROJECT_ID/global/urlMaps/regional-l7-xlb-map",
  "region": "us-west1"
}

Per creare la regola di forwarding, invia una richiesta POST al metodo forwardingRules.insert, sostituendo PROJECT_ID con l'ID progetto.

POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/us-west1/forwardingRules
{
  "name": "l7-xlb-forwarding-rule",
  "IPAddress": "10.1.2.99",
  "IPProtocol": "TCP",
  "portRange": "80-80",
  "target": "projects/PROJECT_ID/regions/us-west1/targetHttpProxies/l7-xlb-proxy",
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "networkTier": "STANDARD",
}

Connetti il dominio al bilanciatore del carico

Dopo aver creato il bilanciatore del carico, prendi nota dell'indirizzo IP associato al bilanciatore del carico, ad esempio 30.90.80.100. Per indirizzare il tuo dominio al bilanciatore del carico, crea un record A utilizzando il tuo servizio di registrazione del dominio. Se hai aggiunto più domini al tuo certificato SSL, devi aggiungere un record A per ognuno di essi, ognuno dei quali punta all'indirizzo IP del bilanciatore del carico. Ad esempio, per creare record A per www.example.com e example.com:

NAME                  TYPE     DATA
www                   A        30.90.80.100
@                     A        30.90.80.100

Se utilizzi Google Domains, consulta la pagina di assistenza di Google Domains per ulteriori informazioni.

Test del traffico inviato alle istanze

Ora che il servizio di bilanciamento del carico è in esecuzione, puoi inviare traffico alla regola di forwarding e osservare la distribuzione del traffico su diverse istanze.

Cloud Console

1. In Google Cloud Console, vai alla pagina Bilanciamento del carico.

   Vai al bilanciamento del carico

2. Seleziona il bilanciatore del carico che hai appena creato.
3. Nella sezione Backend, verifica che le VM siano in stato integro. La colonna Stato integro dovrebbe essere compilata, a indicare che entrambe le VM sono in stato integro (2/2). Se non diversamente specificato, prova innanzitutto a ricaricare la pagina. Google Cloud Console potrebbe impiegare qualche istante per indicare che le VM sono in stato integro. Se i backend non sembrano essere integri dopo alcuni minuti, controlla la configurazione del firewall e il tag di rete assegnato alle VM di backend.
4. Dopo che Google Cloud Console ha dimostrato che le istanze di backend sono in stato integro, puoi testare il tuo bilanciatore del carico tramite un browser web andando all'indirizzo https://IP_ADDRESS (o http://IP_ADDRESS). Sostituisci IP_ADDRESS con l'indirizzo IP del bilanciatore del carico.
5. Se hai utilizzato un certificato autofirmato per testare HTTPS, il tuo browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
6. Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome dell'istanza che ha pubblicato la pagina e la relativa zona (ad esempio Page served from: lb-backend-example-xxxx). Se il tuo browser non mostra questa pagina, rivedi le impostazioni di configurazione in questa guida.

gcloud

Prendi nota dell'indirizzo IPv4 riservato:

gcloud beta compute addresses describe ADDRESS_NAME \
    --format="get(address)" \
    --region="us-west1"

Puoi testare il tuo bilanciatore del carico tramite un browser web andando all'indirizzo https://IP_ADDRESS (o http://IP_ADDRESS). Sostituisci IP_ADDRESS con l'indirizzo IP del bilanciatore del carico.

Se hai utilizzato un certificato autofirmato per testare HTTPS, il tuo browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.

Il browser dovrebbe visualizzare una pagina con informazioni minime sull'istanza di backend. Se il tuo browser non riesce a visualizzare questa pagina, esamina le impostazioni di configurazione di questa guida.

Opzioni di configurazione aggiuntive

Questa sezione espande l'esempio di configurazione per fornire opzioni di configurazione alternative e aggiuntive. Tutte le attività sono facoltative. Puoi eseguire le operazioni in qualsiasi ordine.

Attivazione dell'affinità sessione

Queste procedure mostrano come aggiornare un servizio di backend per il bilanciatore del carico HTTP(S) esterno di esempio in modo che il servizio di backend utilizzi un'affinità cookie generata, un'affinità campo di intestazione o un'affinità cookie HTTP.

Quando è abilitata un'affinità cookie generata, il bilanciatore del carico emette un cookie alla prima richiesta. Per ogni richiesta successiva con lo stesso cookie, il bilanciatore del carico indirizza la richiesta alla stessa VM o endpoint di backend. Per i bilanciatori del carico HTTP(S) esterni di un'area geografica, il cookie è denominato GCILB.

Quando è abilitata l'affinità campo di intestazione, il bilanciatore del carico instrada le richieste di backend a VM o endpoint in un NEG basato sul valore dell'intestazione HTTP denominata nel flag --custom-request-header. L'affinità del campo di intestazione è valida solo se il criterio di località del bilanciamento del carico è RING_HASH o MAGLEV e se l'hash coerente del servizio di backend specifica il nome dell'intestazione HTTP.

Quando è attivata l'affinità cookie HTTP, il bilanciatore del carico instrada le richieste di backend delle VM o degli endpoint in un NEG, in base a un cookie HTTP denominato nel flag HTTP_COOKIE con il flag --affinity-cookie-ttl facoltativo. Se il client non fornisce il cookie nella richiesta HTTP, il proxy genera il cookie e lo restituisce al client in un'intestazione Set-Cookie. L'affinità cookie HTTP è valida solo se il criterio di località del bilanciamento del carico è RING_HASH o MAGLEV e l'hash coerente del servizio di backend specifica il cookie HTTP.

Cloud Console

Per attivare o modificare l'affinità sessione per un servizio di backend:

1. Vai alla pagina Bilanciamento del carico in Google Cloud Console.
   Vai al bilanciamento del carico
2. Seleziona il bilanciatore del carico che hai appena creato.
3. Fai clic su Backend.
4. Fai clic su l7-xlb-backend-service (il nome del servizio di backend che hai creato per questo esempio) e fai clic su Modifica.
5. Nella pagina Dettagli del servizio di backend, fai clic su Configurazione avanzata.
6. In Affinità sessione, seleziona dal menu il tipo di affinità sessione che preferisci.
7. Fai clic su Aggiorna.

gcloud

Utilizza i seguenti comandi gcloud per aggiornare il servizio di backend l7-xlb-backend-service con diversi tipi di affinità sessione:

gcloud beta compute backend-services update l7-xlb-backend-service \
    --session-affinity=[GENERATED_COOKIE | HEADER_FIELD | HTTP_COOKIE | CLIENT_IP]
    --region=us-west1

API

Per impostare l'affinità sessione, invia una richiesta PATCH al metodo regionBackendServices/patch.

PATCH https://compute.googleapis.com/compute/beta/projects/[PROJECT_ID]/regions/us-west1/regionBackendServices/l7-xlb-backend-service
{
  "sessionAffinity": ["GENERATED_COOKIE" | "HEADER_FIELD" | "HTTP_COOKIE" | "CLIENT_IP" ]
}

Passaggi successivi

• Per informazioni sulle funzionalità di gestione del traffico, consulta la Panoramica della gestione del traffico per bilanciatori del carico HTTP(S) esterni a livello di area geografica.

• Per gestire la risorsa di subnet solo proxy richiesta da un bilanciatore del carico HTTP(S) esterno a livello di area geografica, consulta la sezione Subnet solo proxy.

• Per scoprire come aggiornare il certificato SSL esterno del bilanciatore del carico HTTP(S) a livello di area geografica, consulta Utilizzo dei certificati SSL autogestiti.

• Pulisci la configurazione del bilanciatore del carico.