Questa pagina è stata tradotta dall'API Cloud Translation.

Configura un bilanciatore del carico di rete passthrough interno con NEG a livello di zona

Questa guida mostra come eseguire il deployment di un bilanciatore del carico di rete passthrough interno con una rete di zona dei gruppi di endpoint (NEG). I NEG a livello di zona sono a livello di zona che rappresentano raccolte di indirizzi IP o combinazioni indirizzo/porta per le risorse Google Cloud all'interno di un una subnet. I NEG ti consentono di creare raggruppamenti logici di indirizzi IP o combinazioni indirizzo IP/porta che rappresentano servizi software invece di intere VM.

Prima di seguire questa guida, acquisisci familiarità con con quanto segue:

I bilanciatori del carico di rete passthrough interni supportano solo i NEG a livello di zona con GCE_VM_IP endpoint.

Autorizzazioni

Per seguire questa guida, devi creare le istanze e modificare in un progetto. Devi essere il proprietario o il proprietario di un progetto Editor o dovresti avere tutti dei seguenti ruoli IAM di Compute Engine:

Attività	Ruolo richiesto
Creazione di reti, subnet e componenti del bilanciatore del carico	Amministratore rete
Aggiungi e rimuovi regole firewall	Amministratore sicurezza
Creazione delle istanze	Amministratore istanze Compute

Per ulteriori informazioni, consulta le seguenti guide:

Panoramica della configurazione

Questa guida mostra come configurare e testare un bilanciatore del carico di rete passthrough interno con GCE_VM_IP backend NEG a livello di zona. I passaggi in questa sezione descrivono come configurare quanto segue:

Una rete VPC di esempio denominata lb-network con una subnet personalizzata
Regole firewall che consentono le connessioni in entrata alle VM di backend
Quattro VM:
- VM vm-a1 e vm-a2 nella zona us-west1-a
- VM vm-c1 e vm-c2 nella zona us-west1-c
Due NEG di backend a livello di zona, neg-a nella zona us-west1-a e neg-c nella zona us-west1-c. Ogni NEG avrà i seguenti endpoint:
- neg-a contiene questi due endpoint:
  - Indirizzo IP interno della VM vm-a1
  - Indirizzo IP interno della VM vm-a2
- neg-c contiene questi due endpoint:
  - Indirizzo IP interno della VM vm-c1
  - Indirizzo IP interno della VM vm-c2
Una VM client (vm-client) in us-west1-a per testare le connessioni
I seguenti componenti del bilanciatore del carico di rete passthrough interno:
- Un servizio di backend interno nella regione us-west1 da gestire distribuzione delle connessioni ai due NEG a livello di zona
- Una regola di forwarding interno e un indirizzo IP interno per frontend del bilanciatore del carico,

L'architettura per questo esempio è simile alla seguente:

Configurazione del bilanciatore del carico di rete passthrough interno con NEG a livello di zona

Configura una rete, una regione e una subnet

Il bilanciatore del carico di rete passthrough interno di esempio descritto in questa pagina viene creato in un rete VPC in modalità personalizzata denominata lb-network.

Le VM di backend, i NEG a livello di zona e i componenti del bilanciatore del carico di questo esempio sono situata nella regione e nella subnet:

Regione: us-west1
Subnet: lb-subnet, con intervallo di indirizzi IP principali 10.1.2.0/24

Per creare la rete e la subnet di esempio, segui questi passaggi.

Console

Vai alla pagina Reti VPC nella console Google Cloud.
Vai alla pagina della rete VPC
Fai clic su Crea rete VPC.
Inserisci lb-network come nome.
Nella sezione Subnet:
- Imposta Modalità di creazione subnet su Personalizzata.
- Nella sezione Nuova subnet, inserisci le informazioni seguenti:
  - Nome: lb-subnet
  - Regione: us-west1
  - Intervallo di indirizzi IP: 10.1.2.0/24
  - Fai clic su Fine.
Fai clic su Crea.

gcloud

Crea la rete VPC personalizzata:

gcloud compute networks create lb-network --subnet-mode=custom

All'interno della rete lb-network, crea una subnet per le VM di backend nel Regione us-west1:

gcloud compute networks subnets create lb-subnet \
    --network=lb-network \
    --range=10.1.2.0/24 \
    --region=us-west1

Configurazione delle regole del firewall

Questo esempio utilizza le seguenti regole firewall:

fw-allow-lb-access: una regola in entrata, applicabile a tutte le destinazioni in che consente il traffico da origini in Intervallo 10.1.2.0/24. Questa regola consente il traffico in entrata di qualsiasi cliente in lb-subnet.
fw-allow-ssh: una regola in entrata, applicabile alle istanze da caricare bilanciata, che consente la connettività SSH in entrata sulla porta TCP 22 da qualsiasi . Puoi scegliere un intervallo IP di origine più restrittivo per questa regola. della Ad esempio, puoi specificare solo gli intervalli IP del sistema da cui avviare sessioni SSH. Questo esempio utilizza il tag target allow-ssh per a identificare le VM a cui deve essere applicato.

Senza queste regole firewall, il campo di blocco predefinito una regola in entrata blocca in entrata alle istanze di backend.

Console

Nella console Google Cloud, vai alla pagina Criteri firewall.
Vai ai criteri firewall
Fai clic su Crea regola firewall e inserisci quanto segue. informazioni per creare la regola che consenta il traffico della subnet:
- Nome: fw-allow-lb-access
- Rete: lb-network
- Priorità: 1000
- Direzione del traffico: in entrata
- Azione in caso di corrispondenza: consenti
- Destinazioni: Tutte le istanze nella rete
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine: 10.1.2.0/24
- Protocolli e porte: Consenti tutto
Fai clic su Crea.
Fai di nuovo clic su Crea regola firewall per creare la regola e consentire l'accesso Connessioni SSH:
- Nome: fw-allow-ssh
- Rete: lb-network
- Priorità: 1000
- Direzione del traffico: in entrata
- Azione in caso di corrispondenza: consenti
- Target: Tag di destinazione specificati
- Tag di destinazione: allow-ssh
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine: 0.0.0.0/0
- Protocolli e porte: scegli Protocolli e porte specificati, quindi tipo: tcp:22
Fai clic su Crea.
Fai clic su Crea regola firewall una terza volta per creare la regola che consente Controlli di integrità di Google Cloud:
- Nome: fw-allow-health-check
- Rete: lb-network
- Priorità: 1000
- Direzione del traffico: in entrata
- Azione in caso di corrispondenza: consenti
- Target: Tag di destinazione specificati
- Tag di destinazione: allow-health-check
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine: 130.211.0.0/22 e 35.191.0.0/16
- Protocolli e porte: Consenti tutto
Fai clic su Crea.

gcloud

Crea la regola firewall fw-allow-lb-access per consentire la comunicazione da con la subnet:

gcloud compute firewall-rules create fw-allow-lb-access \
    --network=lb-network \
    --action=allow \
    --direction=ingress \
    --source-ranges=10.1.2.0/24 \
    --rules=tcp,udp,icmp

Crea la regola firewall fw-allow-ssh per consentire la connettività SSH a VM con il tag di rete allow-ssh. Se ometti source-ranges, Google Cloud interpreta la regola nel significato che Fonte.
```
gcloud compute firewall-rules create fw-allow-ssh \
    --network=lb-network \
    --action=allow \
    --direction=ingress \
    --target-tags=allow-ssh \
    --rules=tcp:22
```

Crea la regola fw-allow-health-check per consentire a Google Cloud e controlli di integrità.

gcloud compute firewall-rules create fw-allow-health-check \
    --network=lb-network \
    --action=allow \
    --direction=ingress \
    --target-tags=allow-health-check \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --rules=tcp,udp,icmp

Crea backend NEG

Per dimostrare la natura regionale dei bilanciatori del carico di rete passthrough interni, questo esempio utilizza due backend NEG a livello di zona, neg-a e neg-c, nelle zone us-west1-a e us- west1-c. Il traffico viene bilanciato del carico sia tra i NEG che tra gli endpoint all'interno per ogni NEG.

Crea VM

Per supportare questo esempio, ciascuna delle quattro VM esegue un server web Apache che ascolta sulle seguenti porte TCP: 80, 8008, 8080, 8088, 443 e 8443.

A ogni VM viene assegnato un indirizzo IP interno in lb-subnet e un indirizzo IP temporaneo all'indirizzo IP esterno (pubblico). Puoi rimuovere gli indirizzi IP esterni in un secondo momento.

Gli indirizzi IP esterni non sono richiesti per le VM di backend. tuttavia, utili per questo esempio perché consentono alle VM di scaricare Apache da internet e ti permettono di connetterti tramite SSH. Per impostazione predefinita, Apache è configurato per essere associato a qualsiasi indirizzo IP. Bilanciatori del carico di rete passthrough interni consegnare i pacchetti conservando l'IP di destinazione.

Assicurati che il software del server in esecuzione sulle tue VM sia in ascolto sull'IP dell'indirizzo IP della regola di forwarding interno del bilanciatore del carico.

Per semplificare la didattica, queste VM di backend eseguono Debian GNU Linux 10.

Console

Crea VM

Vai alla pagina Istanze VM nella console Google Cloud.
Vai alla pagina Istanze VM
Ripeti i passaggi seguenti per creare quattro VM con il seguente nome e zone.
- Nome: vm-a1, zona: us-west1-a
- Nome: vm-a2, zona: us-west1-a
- Nome: vm-c1, zona: us-west1-c
- Nome: vm-c2, zona: us-west1-c
Fai clic su Crea istanza.
Imposta il Nome come indicato nel passaggio 2.
Per Regione, scegli us-west1 e scegli una Zona come indicato nel passaggio 2.
Nella sezione Disco di avvio, assicurati che Per il disco di avvio è selezionata l'opzione Debian GNU/Linux 12 (bookworm) le opzioni di CPU e memoria disponibili. Fai clic su Scegli per modificare l'immagine, se necessario.

Fai clic su Opzioni avanzate e apporta le seguenti modifiche:

Fai clic su Networking e aggiungi i seguenti tag di rete: allow-ssh e allow-health-check
Fai clic su Modifica edit in Interfacce di rete e apporta le seguenti modifiche, poi fai clic su Fine:
- Rete: lb-network
- Subnet: lb-subnet
- IP interno principale: Temporaneo (automatico)
- IP esterno: Temporaneo

Fai clic su Gestione. Nel campo Script di avvio, copia e incolla i seguenti contenuti dello script. I contenuti dello script sono identici tutte e quattro le VM:

#! /bin/bash
if [ -f /etc/startup_script_completed ]; then
exit 0
fi
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
file_ports="/etc/apache2/ports.conf"
file_http_site="/etc/apache2/sites-available/000-default.conf"
file_https_site="/etc/apache2/sites-available/default-ssl.conf"
http_listen_prts="Listen 80\nListen 8008\nListen 8080\nListen 8088"
http_vh_prts="*:80 *:8008 *:8080 *:8088"
https_listen_prts="Listen 443\nListen 8443"
https_vh_prts="*:443 *:8443"
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
prt_conf="$(cat "$file_ports")"
prt_conf_2="$(echo "$prt_conf" | sed "s|Listen 80|${http_listen_prts}|")"
prt_conf="$(echo "$prt_conf_2" | sed "s|Listen 443|${https_listen_prts}|")"
echo "$prt_conf" | tee "$file_ports"
http_site_conf="$(cat "$file_http_site")"
http_site_conf_2="$(echo "$http_site_conf" | sed "s|*:80|${http_vh_prts}|")"
echo "$http_site_conf_2" | tee "$file_http_site"
https_site_conf="$(cat "$file_https_site")"
https_site_conf_2="$(echo "$https_site_conf" | sed "s|_default_:443|${https_vh_prts}|")"
echo "$https_site_conf_2" | tee "$file_https_site"
systemctl restart apache2
touch /etc/startup_script_completed

Fai clic su Crea.

gcloud

Crea le quattro VM eseguendo il comando seguente quattro volte, utilizzando queste quattro combinazioni per [VM-NAME] e [ZONE]. Contenuti dello script sono identiche per tutte e quattro le VM.

[VM-NAME] di vm-a1 e [ZONE] di us-west1-a
[VM-NAME] di vm-a2 e [ZONE] di us-west1-a
[VM-NAME] di vm-c1 e [ZONE] di us-west1-c

[VM-NAME] di vm-c2 e [ZONE] di us-west1-c

gcloud compute instances create VM-NAME \
    --zone=ZONE \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh,allow-health-check \
    --subnet=lb-subnet \
    --metadata=startup-script='#! /bin/bash
if [ -f /etc/startup_script_completed ]; then
exit 0
fi
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
file_ports="/etc/apache2/ports.conf"
file_http_site="/etc/apache2/sites-available/000-default.conf"
file_https_site="/etc/apache2/sites-available/default-ssl.conf"
http_listen_prts="Listen 80\nListen 8008\nListen 8080\nListen 8088"
http_vh_prts="*:80 *:8008 *:8080 *:8088"
https_listen_prts="Listen 443\nListen 8443"
https_vh_prts="*:443 *:8443"
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
prt_conf="$(cat "$file_ports")"
prt_conf_2="$(echo "$prt_conf" | sed "s|Listen 80|${http_listen_prts}|")"
prt_conf="$(echo "$prt_conf_2" | sed "s|Listen 443|${https_listen_prts}|")"
echo "$prt_conf" | tee "$file_ports"
http_site_conf="$(cat "$file_http_site")"
http_site_conf_2="$(echo "$http_site_conf" | sed "s|*:80|${http_vh_prts}|")"
echo "$http_site_conf_2" | tee "$file_http_site"
https_site_conf="$(cat "$file_https_site")"
https_site_conf_2="$(echo "$https_site_conf" | sed "s|_default_:443|${https_vh_prts}|")"
echo "$https_site_conf_2" | tee "$file_https_site"
systemctl restart apache2
touch /etc/startup_script_completed'

Crea `GCE_VM_IP` NEG a livello di zona

I NEG (neg-a e neg-c) devono essere creati nelle stesse zone delle VM creato nel passaggio precedente.

Console

Per creare un gruppo di endpoint di rete a livello di zona:

Vai alla pagina Gruppi di endpoint di rete nella console Google Cloud.
Vai alla pagina Gruppi di endpoint di rete
Fai clic su Crea gruppo di endpoint di rete.
Inserisci un nome per il NEG a livello di zona: neg-a.
Seleziona il Tipo di gruppo di endpoint di rete: Gruppo di endpoint di rete. (a livello di zona).
Seleziona la Rete: lb-network
Seleziona la Subnet: lb-subnet
Seleziona la zona: us-west1-a.
Fai clic su Crea.
Ripeti questi passaggi per creare un secondo NEG di zona chiamato neg-c, in zona us-west1-c.

Aggiungi endpoint al NEG di zona:

Vai alla pagina Gruppi di endpoint di rete nella console Google Cloud.
Vai ai gruppi di endpoint di rete
Fai clic sul Nome del primo gruppo di endpoint di rete creato nella al passaggio precedente (neg-a). Vedrai i Dettagli del gruppo di endpoint di rete .
Nella sezione Endpoint di rete in questo gruppo, fai clic su Aggiungi rete endpoint. Viene visualizzata la pagina Aggiungi endpoint di rete.
1. Fai clic su Istanza VM e seleziona vm-a1 per aggiungere il relativo IP interno come endpoint di rete.
2. Fai clic su Crea.
3. Fai di nuovo clic su Aggiungi endpoint di rete e in Istanza VM seleziona. vm-a2.
4. Fai clic su Crea.
Fai clic sul Nome del secondo gruppo di endpoint di rete creato nella al passaggio precedente (neg-c). Vedrai i Dettagli del gruppo di endpoint di rete .
Nella sezione Endpoint di rete in questo gruppo, fai clic su Aggiungi rete endpoint. Viene visualizzata la pagina Aggiungi endpoint di rete.
1. Fai clic su Istanza VM e seleziona vm-c1 per aggiungere il relativo IP interno come endpoint di rete.
2. Fai clic su Crea.
3. Fai di nuovo clic su Aggiungi endpoint di rete e in Istanza VM seleziona. vm-c2.
4. Fai clic su Crea.

gcloud

Crea un NEG di zona GCE_VM_IP denominato neg-a in us-west1-a utilizzando il gcloud compute network-endpoint-groups create :

gcloud compute network-endpoint-groups create neg-a \
    --network-endpoint-type=gce-vm-ip \
    --zone=us-west1-a \
    --network=lb-network \
    --subnet=lb-subnet

Aggiungi endpoint a neg-a:

gcloud compute network-endpoint-groups update neg-a \
    --zone=us-west1-a \
    --add-endpoint='instance=vm-a1' \
    --add-endpoint='instance=vm-a2'

Crea un NEG di zona GCE_VM_IP denominato neg-c in us-west1-c utilizzando il gcloud compute network-endpoint-groups create :

gcloud compute network-endpoint-groups create neg-c \
    --network-endpoint-type=gce-vm-ip \
    --zone=us-west1-c \
    --network=lb-network \
    --subnet=lb-subnet

Aggiungi endpoint a neg-c:

gcloud compute network-endpoint-groups update neg-c \
    --zone=us-west1-c \
    --add-endpoint='instance=vm-c1' \
    --add-endpoint='instance=vm-c2'

Configura i componenti del bilanciatore del carico

Questi passaggi configurano tutto il bilanciatore del carico di rete passthrough interno componenti:

Servizio di backend: per questo esempio, devi passare il traffico HTTP attraverso tramite il bilanciatore del carico. Pertanto, devi utilizzare TCP, non UDP.
Regola di forwarding: questo esempio crea una singola regola di forwarding interno.
Indirizzo IP interno: in questo esempio, specifichi un indirizzo IP interno 10.1.2.99, quando crei la regola di forwarding.

Console

gcloud

Crea un nuovo controllo di integrità HTTP a livello di regione.

gcloud compute health-checks create http hc-http-80 \
    --region=us-west1 \
    --port=80

Crea il servizio di backend:

gcloud compute backend-services create bs-ilb \
    --load-balancing-scheme=internal \
    --protocol=tcp \
    --region=us-west1 \
    --health-checks=hc-http-80 \
    --health-checks-region=us-west1

Aggiungi i due NEG a livello di zona, neg-a e neg-c, al servizio di backend:

gcloud compute backend-services add-backend bs-ilb \
    --region=us-west1 \
    --network-endpoint-group=neg-a \
    --network-endpoint-group-zone=us-west1-a

gcloud compute backend-services add-backend bs-ilb \
    --region=us-west1 \
    --network-endpoint-group=neg-c \
    --network-endpoint-group-zone=us-west1-c

Creare una regola di forwarding per il servizio di backend. Quando crei per la regola di forwarding, specifica 10.1.2.99 per l'indirizzo IP interno in una subnet.

gcloud compute forwarding-rules create fr-ilb \
    --region=us-west1 \
    --load-balancing-scheme=internal \
    --network=lb-network \
    --subnet=lb-subnet \
    --address=10.1.2.99 \
    --ip-protocol=TCP \
    --ports=80,8008,8080,8088 \
    --backend-service=bs-ilb \
    --backend-service-region=us-west1

Testa il bilanciatore del carico

Questo test contatta il bilanciatore del carico da una VM client separata, ovvero non da una VM di backend del bilanciatore del carico. Il comportamento previsto riguarda il traffico verso la distribuzione tra le quattro VM di backend perché non è stata configurato.

Crea una VM client di test

In questo esempio viene creata una VM client (vm-client) nella stessa regione del backend (server). Il client viene utilizzato per convalidare la configurazione del bilanciatore del carico e dimostrare il comportamento previsto come descritto test.

Console

Vai alla pagina Istanze VM nella console Google Cloud.
Vai alla pagina Istanze VM
Fai clic su Crea istanza.
Imposta il Nome su vm-client.
Imposta la Zona su us-west1-a.
Fai clic su Opzioni avanzate e apporta le seguenti modifiche:
- Fai clic su Networking e aggiungi allow-ssh a Tag di rete.
- Fai clic sul pulsante di modifica in Interfacce di rete e le seguenti modifiche, quindi fai clic su Fine:
  - Rete: lb-network
  - Subnet: lb-subnet
  - IP interno principale: Temporaneo (automatico)
  - IP esterno: Temporaneo
Fai clic su Crea.

gcloud

La VM client può trovarsi in qualsiasi zona della stessa regione con il bilanciatore del carico di rete e può usare qualsiasi subnet in quella regione. In questo esempio, il client si trova nella zona us-west1-a e utilizza lo stesso come VM di backend.

gcloud compute instances create vm-client \
    --zone=us-west1-a \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=lb-subnet

Invia traffico al bilanciatore del carico

Per connetterti al bilanciatore del carico, segui questi passaggi.

Connettiti all'istanza VM client.

gcloud compute ssh vm-client --zone=us-west1-a

Effettua una richiesta web al bilanciatore del carico utilizzando curl per contattare il relativo IP . Ripeti la richiesta per vedere che le risposte provengono diverse VM di backend. Il nome della VM che genera la risposta è visualizzato nel testo della risposta HTML, in virtù dei contenuti /var/www/html/index.html su ogni VM di backend. Le risposte previste hanno il seguente aspetto: Page served from: vm-a1 e Page served from: vm-a2.
```
curl http://10.1.2.99
```
La regola di forwarding è configurata per gestire le porte 80, 8008, 8080 e 8088. Per inviare il traffico a queste altre porte, aggiungi i due punti (:) e la di porta dopo l'indirizzo IP, in questo modo:
```
curl http://10.1.2.99:8008
```

Passaggi successivi

Per impostare opzioni di configurazione aggiuntive, come l'attivazione accesso globale, accettazione di traffico su tutte le porte e accettazione di traffico su più porte utilizzando due regole di forwarding, consulta Informazioni sulla configurazione opzioni per bilanciatori del carico di rete passthrough interni.
Per informazioni importanti, consulta Panoramica del bilanciatore del carico di rete passthrough interno i concetti fondamentali.
Consulta i concetti del failover per i bilanciatori del carico di rete passthrough interni per informazioni importanti sul failover.
Vedi Logging del bilanciatore del carico di rete passthrough interno e Monitoring per informazioni sulla configurazione Logging e monitoraggio per bilanciatori del carico di rete passthrough interni.
Vedi Bilanciatori del carico di rete passthrough interni e connessione reti per informazioni sull'accesso ai bilanciatori del carico di rete passthrough interni da reti peer è connesso alla rete VPC.
Vedi Risolvere i problemi dei bilanciatori del carico di rete passthrough interni per e informazioni su come risolvere i problemi relativi al bilanciatore del carico di rete passthrough interno.

Configura un bilanciatore del carico di rete passthrough interno con NEG a livello di zona

Autorizzazioni

Panoramica della configurazione

Configura una rete, una regione e una subnet

Console

gcloud

Configurazione delle regole del firewall

Console

gcloud

Crea backend NEG

Crea VM

Console

gcloud

Crea GCE_VM_IP NEG a livello di zona

Console

gcloud

Configura i componenti del bilanciatore del carico

Console

gcloud

Testa il bilanciatore del carico

Crea una VM client di test

Console

gcloud

Invia traffico al bilanciatore del carico

Passaggi successivi

Crea `GCE_VM_IP` NEG a livello di zona