Load Balancer Aplikasi internal dan jaringan yang terhubung

Halaman ini menjelaskan skenario untuk mengakses load balancer internal di jaringan Virtual Private Cloud (VPC) Anda dari jaringan yang terhubung. Sebelum meninjau informasi di halaman ini, Anda harus sudah memahami konsep dalam panduan berikut:

Menggunakan Peering Jaringan VPC

Saat Anda menggunakan Peering Jaringan VPC untuk menghubungkan jaringan VPC ke jaringan lain, Google Cloud akan membagikan rute subnet antar-jaringan. Rute subnet memungkinkan traffic dari jaringan peer menjangkau load balancer internal di jaringan Anda. Akses diizinkan jika hal berikut berlaku:

  • Anda membuat aturan firewall masuk untuk mengizinkan traffic dari VM klien di jaringan peer. Aturan firewall Google Cloud tidak dibagikan antarjaringan saat menggunakan Peering Jaringan VPC.
  • Untuk Load Balancer Aplikasi internal regional, instance virtual machine (VM) klien di jaringan peer harus berada di region yang sama dengan load balancer internal Anda. Batasan ini dihapus jika Anda mengonfigurasi akses global.

Anda tidak dapat secara selektif membagikan hanya beberapa Load Balancer Jaringan passthrough internal, Load Balancer Jaringan proxy internal regional, atau Load Balancer Aplikasi internal menggunakan Peering Jaringan VPC. Semua load balancer internal dibagikan secara otomatis. Anda dapat membatasi akses ke backend load balancer dengan mengonfigurasi VM atau endpoint backend untuk mengontrol akses menggunakan header HTTP (misalnya, X-Forwarded-For).

Menggunakan Cloud VPN dan Cloud Interconnect

Anda dapat mengakses load balancer internal dari jaringan peer yang terhubung melalui tunnel Cloud VPN atau lampiran VLAN untuk koneksi Dedicated Interconnect atau Partner Interconnect. Jaringan peer dapat berupa jaringan lokal, jaringan VPC Google Cloud lainnya, atau jaringan virtual yang dihosting oleh penyedia cloud yang berbeda.

Akses melalui tunnel Cloud VPN

Anda dapat mengakses load balancer internal melalui tunnel Cloud VPN jika semua kondisi berikut terpenuhi.

Di jaringan load balancer internal

  • Gateway dan tunnel Cloud VPN harus berada di region yang sama dengan load balancer saat akses global dinonaktifkan. Jika akses global diaktifkan pada aturan penerusan load balancer, batasan ini akan dihapus.
  • Rute harus menyediakan jalur respons dari sistem proxy kembali ke jaringan lokal atau peer tempat klien berada. Jika Anda menggunakan tunnel Cloud VPN dengan perutean dinamis, pertimbangkan mode perutean dinamis jaringan Cloud VPN load balancer. Mode pemilihan rute dinamis menentukan rute dinamis kustom yang tersedia untuk proxy di subnet khusus proxy.

Di jaringan peer

Jaringan peer harus memiliki minimal satu tunnel Cloud VPN dengan rute ke subnet tempat load balancer internal ditentukan.

Jika jaringan peer adalah jaringan VPC Google Cloud lain:

  • Gateway dan tunnel Cloud VPN jaringan peer dapat berada di region mana pun.

  • Untuk tunnel Cloud VPN yang menggunakan pemilihan rute dinamis, mode pemilihan rute dinamis jaringan VPC akan menentukan rute mana yang tersedia untuk klien di setiap region. Untuk menyediakan kumpulan rute dinamis kustom secara konsisten kepada klien di semua region, gunakan mode pemilihan rute dinamis global.

  • Pastikan firewall jaringan lokal atau peer mengizinkan paket yang dikirim ke alamat IP aturan penerusan load balancer. Pastikan firewall jaringan lokal atau peer memungkinkan paket respons diterima dari alamat IP aturan penerusan load balancer.

Diagram berikut menyoroti konsep utama saat mengakses load balancer internal melalui gateway Cloud VPN dan tunnel terkaitnya. Cloud VPN menghubungkan jaringan lokal Anda ke jaringan VPC Google Cloud dengan aman menggunakan tunnel Cloud VPN.

Load balancing internal dan Cloud VPN.
Load balancing internal dan Cloud VPN (klik untuk memperbesar).

Perhatikan elemen konfigurasi berikut yang terkait dengan contoh ini:

  • Di lb-network, tunnel Cloud VPN yang menggunakan perutean dinamis telah dikonfigurasi. Tunnel VPN, gateway, dan Cloud Router semuanya berada di REGION_A, region yang sama dengan lokasi komponen load balancer internal.
  • Aturan firewall yang mengizinkan traffic masuk telah dikonfigurasi untuk diterapkan ke VM backend di grup instance A dan B sehingga dapat menerima traffic dari alamat IP di jaringan VPC dan dari jaringan lokal, 10.1.2.0/24 dan 192.168.1.0/24. Tidak ada aturan firewall deny keluar yang telah dibuat, sehingga aturan izinkan keluar tersirat berlaku.
  • Paket yang dikirim dari klien di jaringan lokal, termasuk dari 192.168.1.0/24, ke alamat IP load balancer internal, 10.1.2.99, dikirim langsung ke VM backend yang sehat, seperti vm-a2, sesuai dengan konfigurasi afinitas sesi.
  • Balasan yang dikirim dari VM backend (seperti vm-a2) dikirim melalui tunnel VPN ke klien lokal.

Untuk memecahkan masalah Cloud VPN, lihat Pemecahan masalah Cloud VPN.

Akses melalui Cloud Interconnect

Anda dapat mengakses load balancer internal dari jaringan peer lokal yang terhubung ke jaringan VPC load balancer jika semua kondisi berikut terpenuhi di jaringan load balancer internal:

  • Lampiran VLAN dan Cloud Router harus berada di region yang sama dengan load balancer saat akses global dinonaktifkan. Jika akses global diaktifkan pada aturan penerusan load balancer, batasan ini akan dihapus.

  • Router lokal harus menyediakan jalur respons dari backend load balancer ke jaringan lokal. Lampiran VLAN untuk Dedicated Interconnect dan Partner Interconnect harus menggunakan Cloud Router; sehingga, rute dinamis kustom memberikan jalur respons. Kumpulan rute dinamis kustom yang dipelajari bergantung pada mode pemilihan rute dinamis jaringan load balancer.

  • Pastikan firewall on-premise mengizinkan paket yang dikirim ke alamat IP aturan penerusan load balancer. Pastikan firewall lokal mengizinkan paket respons yang diterima dari alamat IP aturan penerusan load balancer.

Menggunakan akses global dengan Cloud VPN dan Cloud Interconnect

Secara default, klien harus berada di jaringan yang sama atau di jaringan VPC yang terhubung menggunakan Peering Jaringan VPC. Anda dapat mengaktifkan akses global untuk mengizinkan klien dari region mana pun mengakses load balancer Anda.

Saat Anda mengaktifkan akses global, resource berikut dapat berada di region mana pun:
  • Router Cloud
  • Gateway dan tunnel Cloud VPN
  • Lampiran VLAN

Dalam diagram:

  • Frontend dan backend load balancer berada di region REGION_A.
  • Cloud Router berada di region REGION_B.
  • Cloud Router melakukan peering dengan router VPN lokal.
  • Sesi peering Border Gateway Protocol (BGP) dapat dilakukan melalui Cloud VPN atau Cloud Interconnect dengan Peering Langsung atau Partner Interconnect.
Load balancing internal dengan akses global.
Load balancing internal dengan akses global (klik untuk memperbesar).

Mode perutean dinamis jaringan VPC ditetapkan ke global untuk mengaktifkan Cloud Router di REGION_B guna mengiklankan rute subnet untuk subnet di region mana pun di jaringan VPC load balancer.

Beberapa jalur keluar

Di lingkungan produksi, Anda harus menggunakan beberapa tunnel Cloud VPN atau lampiran VLAN untuk redundansi. Bagian ini membahas persyaratan saat menggunakan beberapa tunnel atau lampiran VLAN.

Pada diagram berikut, dua tunnel Cloud VPN menghubungkan lb-network ke jaringan lokal. Meskipun tunnel Cloud VPN digunakan di sini, prinsip yang sama berlaku untuk Cloud Interconnect.

Load balancing internal dan beberapa tunnel Cloud VPN.
Load balancing internal dan beberapa tunnel Cloud VPN (klik untuk memperbesar).

Anda harus mengonfigurasi setiap tunnel atau setiap lampiran VLAN di region yang sama dengan load balancer internal. Persyaratan ini tidak berlaku jika Anda mengaktifkan akses global.

Beberapa tunnel atau lampiran VLAN dapat memberikan bandwidth tambahan atau dapat berfungsi sebagai jalur cadangan untuk redundansi.

Perhatikan poin-poin berikut:

  • Jika jaringan lokal memiliki dua rute dengan prioritas yang sama, masing-masing dengan tujuan 10.1.2.0/24 dan next hop yang sesuai dengan tunnel VPN yang berbeda di region yang sama dengan load balancer internal, traffic dapat dikirim dari jaringan lokal (192.168.1.0/24) ke load balancer menggunakan equal-cost multipath (ECMP).
  • Setelah paket dikirim ke jaringan VPC, load balancer internal mendistribusikannya ke VM backend sesuai dengan afinitas sesi yang dikonfigurasi.
  • Jika lb-network memiliki dua rute, masing-masing dengan tujuan 192.168.1.0/24 dan next hop yang sesuai dengan tunnel VPN yang berbeda, respons dari VM backend dapat dikirim melalui setiap tunnel sesuai dengan prioritas rute di jaringan. Jika prioritas rute yang berbeda digunakan, satu tunnel dapat berfungsi sebagai cadangan untuk tunnel lainnya. Jika prioritas yang sama digunakan, respons akan dikirim menggunakan ECMP.
  • Balasan yang dikirim dari VM backend (seperti vm-a2) dikirim langsung ke klien lokal melalui tunnel yang sesuai. Dari perspektif lb-network, jika rute atau tunnel VPN berubah, traffic mungkin keluar menggunakan tunnel yang berbeda. Hal ini dapat menyebabkan reset sesi TCP jika koneksi yang sedang berlangsung terganggu.

Langkah selanjutnya