Menyiapkan Load Balancer Aplikasi internal regional dengan backend grup instance VM

Dokumen ini memberikan petunjuk untuk mengonfigurasi Load Balancer Aplikasi internal regional untuk layanan Anda yang berjalan di VM Compute Engine.

Untuk mengonfigurasi load balancing bagi layanan yang berjalan di Pod Google Kubernetes Engine (GKE), lihat Load balancing native container dengan NEG mandiri dan bagian Menempelkan Load Balancer Aplikasi internal regional ke NEG mandiri.

Untuk mengonfigurasi load balancing guna mengakses Google API dan layanan menggunakan Private Service Connect, lihat Mengonfigurasi Private Service Connect dengan kontrol layanan HTTP(S) konsumen.

Penyiapan untuk Load Balancer Aplikasi internal memiliki dua bagian:

• Lakukan tugas prasyarat, seperti memastikan bahwa akun yang diperlukan memiliki izin yang benar dan menyiapkan jaringan Virtual Private Cloud (VPC).
• Siapkan resource load balancer.

Sebelum mengikuti panduan ini, pahami hal-hal berikut:

• Ringkasan Load Balancer Aplikasi Internal, termasuk bagian Batasan
• Ringkasan aturan firewall VPC

Izin

Untuk mengikuti panduan ini, Anda harus dapat membuat instance dan mengubah jaringan dalam project. Anda harus menjadi pemilik atau editor project, atau Anda harus memiliki semua peran IAM Compute Engine berikut.

Tugas	Peran yang diperlukan
Membuat komponen jaringan, subnet, dan load balancer	Admin Jaringan Compute
Menambahkan dan menghapus aturan firewall	Compute Security Admin
Membuat instance	Compute Instance Admin

Untuk informasi selengkapnya, lihat panduan berikut:

• Access control
• Kondisi IAM

Ringkasan penyiapan

Anda dapat mengonfigurasi Load Balancer Aplikasi internal seperti yang dijelaskan dalam alur konfigurasi tingkat tinggi berikut. Langkah-langkah yang diberi nomor mengacu pada angka dalam diagram.

Komponen bernomor Load Balancer Aplikasi Internal (klik untuk memperbesar).

Seperti yang ditunjukkan pada diagram, contoh ini membuat Load Balancer Aplikasi internal di jaringan VPC di region us-west1, dengan satu layanan backend dan dua grup backend.

Diagram menunjukkan hal berikut:

1. Jaringan VPC dengan dua subnet:

   1. Satu subnet digunakan untuk backend (grup instance) dan aturan penerusan. Rentang alamat IP utamanya adalah 10.1.2.0/24.

   2. Satu subnet adalah subnet khusus proxy di region us-west1. Anda harus membuat satu subnet khusus proxy di setiap region jaringan VPC tempat Anda menggunakan Load Balancer Aplikasi internal. Subnet khusus proxy di region digunakan bersama oleh semua Load Balancer Aplikasi internal di region. Alamat sumber paket yang dikirim dari Load Balancer Aplikasi internal ke backend layanan Anda dialokasikan dari subnet khusus proxy. Dalam contoh ini, subnet khusus proxy untuk region tersebut memiliki rentang alamat IP utama 10.129.0.0/23, yang merupakan ukuran subnet yang direkomendasikan. Untuk informasi selengkapnya, lihat Subnet khusus proxy.

2. Aturan firewall yang mengizinkan alur traffic subnet khusus proxy di jaringan Anda. Artinya, tambahkan satu aturan yang mengizinkan traffic port TCP 80, 443, dan 8080 dari 10.129.0.0/23 (rentang subnet khusus proxy dalam contoh ini). Aturan firewall lain untuk pemeriksaan health check.

3. Instance VM Compute Engine backend.

4. Grup instance terkelola atau tidak terkelola untuk deployment VM Compute Engine.

   Di setiap zona, Anda dapat memiliki kombinasi jenis grup backend berdasarkan persyaratan deployment Anda.

   Catatan: Penyiapan ini menunjukkan cara melakukan load balancing permintaan hanya ke backend grup instance VM. Untuk mempelajari cara melakukan load balancing permintaan ke pod GKE, lihat GKE Ingress untuk Load Balancing HTTP(S).

5. Health check regional yang melaporkan kesiapan backend Anda.

6. Layanan backend regional yang memantau penggunaan dan kondisi backend.

7. Peta URL regional yang mengurai URL permintaan dan meneruskan permintaan ke layanan backend tertentu berdasarkan host dan jalur URL permintaan.

8. Proxy HTTP atau HTTPS target regional, yang menerima permintaan dari pengguna dan meneruskannya ke peta URL. Untuk HTTPS, konfigurasikan resource sertifikat SSL regional. Proxy target menggunakan sertifikat SSL untuk mendekripsi traffic SSL jika Anda mengonfigurasi load balancing HTTPS. Proxy target dapat meneruskan traffic ke instance Anda menggunakan HTTP atau HTTPS.

9. Aturan penerusan, yang memiliki alamat IP internal load balancer Anda, untuk meneruskan setiap permintaan masuk ke proxy target.

   Alamat IP internal yang terkait dengan aturan penerusan dapat berasal dari subnet mana pun di jaringan dan region yang sama. Perhatikan kondisi berikut:

   • Alamat IP dapat (tetapi tidak harus) berasal dari subnet yang sama dengan grup instance backend.
   • Alamat IP tidak boleh berasal dari subnet khusus proxy yang dicadangkan yang telah menetapkan tanda --purpose ke REGIONAL_MANAGED_PROXY.
   • Jika Anda ingin membagikan alamat IP internal dengan beberapa aturan penerusan, tetapkan tanda --purpose alamat IP ke SHARED_LOADBALANCER_VIP.

   Contoh di halaman ini menggunakan alamat IP internal yang dicadangkan untuk aturan penerusan Load Balancer Aplikasi internal regional, bukan mengizinkan alamat IP internal sementara dialokasikan. Sebagai praktik terbaik, sebaiknya pesan alamat IP untuk aturan penerusan.

Mengonfigurasi jaringan dan subnet

Anda memerlukan jaringan VPC dengan dua subnet: satu untuk backend load balancer dan satu lagi untuk proxy load balancer. Load Balancer Aplikasi internal bersifat regional. Traffic dalam jaringan VPC dirutekan ke load balancer jika sumber traffic berada di subnet di region yang sama dengan load balancer.

Contoh ini menggunakan jaringan, region, dan subnet VPC berikut:

• Jaringan. Jaringan ini adalah jaringan VPC mode kustom bernama lb-network.

• Subnet untuk backend. Subnet bernama backend-subnet di wilayah us-west1 menggunakan 10.1.2.0/24 untuk rentang IP utamanya.

• Subnet untuk proxy. Subnet bernama proxy-only-subnet di wilayah us-west1 menggunakan 10.129.0.0/23 untuk rentang IP utamanya.

Untuk menunjukkan akses global, contoh ini juga membuat VM klien pengujian kedua di region dan subnet yang berbeda:

• Region: europe-west1
• Subnet: europe-subnet, dengan rentang alamat IP utama 10.3.4.0/24

Catatan: Anda dapat mengubah nama jaringan, region, dan parameter untuk subnet; namun, langkah-langkah berikutnya dalam panduan ini menggunakan parameter jaringan, region, dan subnet seperti yang diuraikan di sini.

Mengonfigurasi jaringan dan subnet

Konsol

1. Di Konsol Google Cloud, buka halaman jaringan VPC.

   Buka VPC networks

2. Klik Create VPC network.

3. Untuk Name, masukkan lb-network.

4. Di bagian Subnet, tetapkan Subnet creation mode ke Custom.

5. Buat subnet untuk backend load balancer. Di bagian New subnet, masukkan informasi berikut:

   • Nama: backend-subnet
   • Region: us-west1
   • Rentang alamat IP: 10.1.2.0/24

6. Klik Done.

7. Klik Tambahkan subnet.

8. Buat subnet untuk menunjukkan akses global. Di bagian Subnet baru, masukkan informasi berikut:

   • Nama: europe-subnet
   • Region: europe-west1
   • Rentang alamat IP: 10.3.4.0/24

9. Klik Done.

10. Klik Create.

gcloud

1. Buat jaringan VPC kustom dengan perintah gcloud compute networks create:

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. Buat subnet di jaringan lb-network di region us-west1 dengan perintah gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-west1
   

3. Buat subnet di jaringan lb-network di region europe-west1 dengan perintah gcloud compute networks subnets create:

   gcloud compute networks subnets create europe-subnet \
       --network=lb-network \
       --range=10.3.4.0/24 \
       --region=europe-west1
   

API

Buat permintaan POST ke metode networks.insert. Ganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks

{
 "routingConfig": {
   "routingMode": "REGIONAL"
 },
 "name": "lb-network",
 "autoCreateSubnetworks": false
}

Buat permintaan POST ke metode subnetworks.insert. Ganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks

{
 "name": "backend-subnet",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "ipCidrRange": "10.1.2.0/24",
 "region": "projects/PROJECT_ID/regions/us-west1",
}

Buat permintaan POST ke metode subnetworks.insert. Ganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/europe-west1/subnetworks

{
 "name": "europe-subnet",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "ipCidrRange": "10.3.4.0/24",
 "region": "projects/PROJECT_ID/regions/europe-west1",
}

Mengonfigurasi subnet khusus proxy

Subnet khusus proxy ini ditujukan untuk semua load balancer berbasis Envoy regional di region us-west1 dari lb-network.

Penting: Jangan mencoba menetapkan alamat dari subnet khusus proxy ke aturan penerusan atau backend load balancer Anda. Anda menetapkan alamat IP aturan penerusan dan alamat IP instance backend dari rentang subnet (atau beberapa rentang) yang berbeda, bukan rentang ini. Google Cloud mereservasi rentang subnet ini untuk proxy yang dikelola Google Cloud.

Konsol

Jika menggunakan konsol Google Cloud, Anda dapat menunggu dan membuat subnet khusus proxy di halaman Load balancing nanti.

Jika Anda ingin membuat subnet khusus proxy sekarang, gunakan langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman jaringan VPC.

   Buka jaringan VPC

2. Klik nama jaringan VPC: lb-network.

3. Klik Tambahkan subnet.

4. Untuk Name, masukkan proxy-only-subnet.

5. Untuk Region, pilih us-west1.

6. Tetapkan Tujuan ke Proxy yang Dikelola Berdasarkan Wilayah.

7. Untuk Rentang alamat IP, masukkan 10.129.0.0/23.

8. Klik Tambahkan.

gcloud

Buat subnet khusus proxy dengan perintah gcloud compute networks subnets create.

gcloud compute networks subnets create proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-west1 \
  --network=lb-network \
  --range=10.129.0.0/23

API

Buat subnet khusus proxy dengan metode subnetworks.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/projects/PROJECT_ID/regions/us-west1/subnetworks

{
  "name": "proxy-only-subnet",
  "ipCidrRange": "10.129.0.0/23",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "region": "projects/PROJECT_ID/regions/us-west1",
  "purpose": "REGIONAL_MANAGED_PROXY",
  "role": "ACTIVE"
}

Mengonfigurasi aturan firewall

Contoh ini menggunakan aturan firewall berikut:

• fw-allow-ssh. Aturan ingress, yang berlaku untuk instance yang di-load balance, yang memungkinkan konektivitas SSH yang masuk pada TCP port 22 dari alamat mana pun. Anda dapat memilih rentang IP sumber yang lebih ketat untuk aturan ini; misalnya, Anda dapat menentukan hanya rentang IP sistem tempat Anda memulai sesi SSH. Contoh ini menggunakan tag target allow-ssh untuk mengidentifikasi VM yang menerapkan aturan firewall.

• fw-allow-health-check. Aturan ingress, yang berlaku untuk instance yang di-load balance, yang mengizinkan semua traffic TCP dari sistem health check Google Cloud (dalam 130.211.0.0/22 dan 35.191.0.0/16). Contoh ini menggunakan tag target load-balanced-backend untuk mengidentifikasi VM yang menerapkan aturan firewall.

• fw-allow-proxies. Aturan ingress, yang berlaku untuk instance yang di-load balance, yang mengizinkan traffic TCP pada port 80, 443, dan 8080 dari proxy terkelola Load Balancer Aplikasi internal. Contoh ini menggunakan tag target load-balanced-backend untuk mengidentifikasi VM yang menerapkan aturan firewall.

Tanpa aturan firewall ini, aturan tolak ingress default akan memblokir traffic masuk ke instance backend.

Tag target menentukan instance backend. Tanpa tag target, aturan firewall akan berlaku untuk semua instance backend Anda di jaringan VPC. Saat membuat VM backend, pastikan untuk menyertakan tag target yang ditentukan, seperti yang ditunjukkan dalam Membuat grup instance terkelola.

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Klik Create firewall rule untuk membuat aturan yang mengizinkan koneksi SSH yang masuk:

   • Nama: fw-allow-ssh
   • Jaringan: lb-network
   • Direction of traffic: Ingress
   • Action on match: Allow
   • Targets: Tag target yang ditentukan
   • Tag target: allow-ssh
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 0.0.0.0/0
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 22 untuk nomor port.

3. Klik Create.

4. Klik Create firewall rule untuk kedua kalinya guna membuat aturan yang mengizinkan health check Google Cloud:

   • Nama: fw-allow-health-check
   • Jaringan: lb-network
   • Direction of traffic: Ingress
   • Action on match: Allow
   • Targets: Tag target yang ditentukan
   • Tag target: load-balanced-backend
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 130.211.0.0/22 dan 35.191.0.0/16
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.
       Sebagai praktik terbaik, batasi aturan ini hanya pada protokol dan port yang cocok dengan yang digunakan oleh health check Anda. Jika Anda menggunakan tcp:80 untuk protokol dan port, Google Cloud dapat menggunakan HTTP di port 80 untuk menghubungi VM Anda, tetapi tidak dapat menggunakan HTTPS di port 443 untuk menghubunginya.

5. Klik Create.

6. Klik Create firewall rule untuk ketiga kalinya guna membuat aturan yang mengizinkan server proxy load balancer menghubungkan backend:

   • Nama: fw-allow-proxies
   • Jaringan: lb-network
   • Direction of traffic: Ingress
   • Action on match: Allow
   • Targets: Tag target yang ditentukan
   • Tag target: load-balanced-backend
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 10.129.0.0/23
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 80, 443, 8080 untuk nomor port.

7. Klik Create.

gcloud

1. Buat aturan firewall fw-allow-ssh untuk mengizinkan konektivitas SSH ke VM dengan tag jaringan allow-ssh. Saat Anda menghapus source-ranges, Google Cloud akan menafsirkan aturan sebagai sumber apa pun.

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

2. Buat aturan fw-allow-health-check untuk mengizinkan health check Google Cloud. Contoh ini mengizinkan semua traffic TCP dari penguji health check; namun, Anda juga dapat mengonfigurasi kumpulan port yang lebih sempit untuk memenuhi kebutuhan Anda.

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --target-tags=load-balanced-backend \
       --rules=tcp
   

3. Buat aturan fw-allow-proxies untuk mengizinkan proxy Application Load Balancer internal terhubung ke backend Anda. Tetapkan source-ranges ke rentang yang dialokasikan dari subnet khusus proxy Anda, misalnya, 10.129.0.0/23.

   gcloud compute firewall-rules create fw-allow-proxies \
     --network=lb-network \
     --action=allow \
     --direction=ingress \
     --source-ranges=source-range \
     --target-tags=load-balanced-backend \
     --rules=tcp:80,tcp:443,tcp:8080
   

API

Buat aturan firewall fw-allow-ssh dengan membuat permintaan POST ke metode firewalls.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-allow-ssh",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "sourceRanges": [
   "0.0.0.0/0"
 ],
 "targetTags": [
   "allow-ssh"
 ],
 "allowed": [
  {
    "IPProtocol": "tcp",
    "ports": [
      "22"
    ]
  }
 ],
"direction": "INGRESS"
}

Buat aturan firewall fw-allow-health-check dengan membuat permintaan POST ke metode firewalls.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-allow-health-check",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "sourceRanges": [
   "130.211.0.0/22",
   "35.191.0.0/16"
 ],
 "targetTags": [
   "load-balanced-backend"
 ],
 "allowed": [
   {
     "IPProtocol": "tcp"
   }
 ],
 "direction": "INGRESS"
}

Buat aturan firewall fw-allow-proxies untuk mengizinkan traffic TCP dalam subnet proxy untuk metode firewalls.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-allow-proxies",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "sourceRanges": [
   "10.129.0.0/23"
 ],
 "targetTags": [
   "load-balanced-backend"
 ],
 "allowed": [
   {
     "IPProtocol": "tcp",
     "ports": [
       "80"
     ]
   },
 {
     "IPProtocol": "tcp",
     "ports": [
       "443"
     ]
   },
   {
     "IPProtocol": "tcp",
     "ports": [
       "8080"
     ]
   }
 ],
 "direction": "INGRESS"
}

Mencadangkan alamat IP load balancer

Secara default, satu alamat IP digunakan untuk setiap aturan penerusan. Anda dapat menyimpan alamat IP bersama, yang memungkinkan Anda menggunakan alamat IP yang sama dengan beberapa aturan penerusan. Namun, jika Anda ingin memublikasikan load balancer menggunakan Private Service Connect, jangan gunakan alamat IP bersama untuk aturan penerusan.

Untuk alamat IP aturan penerusan, gunakan backend-subnet. Jika Anda mencoba menggunakan subnet khusus proxy, pembuatan aturan penerusan akan gagal.

Konsol

Anda dapat mencadangkan alamat IP internal mandiri menggunakan konsol Google Cloud.

1. Buka halaman VPC networks.

   Buka jaringan VPC

2. Klik jaringan yang digunakan untuk mengonfigurasi konektivitas campuran di antara lingkungan.
3. Klik Static internal IP addresses, lalu klik Reserve static address.
4. Untuk Name, masukkan l7-ilb-ip-address.
5. Untuk Subnet, pilih backend-subnet.
6. Jika Anda ingin menentukan alamat IP yang akan dicadangkan, di bagian Static IP address, pilih Let me choose, lalu isi Custom IP address. Jika tidak, sistem akan otomatis menetapkan alamat IP di subnet untuk Anda.
7. Jika Anda ingin menggunakan alamat IP ini dengan beberapa aturan penerusan, di bagian Purpose, pilih Shared.
8. Klik Pesan untuk menyelesaikan proses.

gcloud

1. Menggunakan gcloud CLI, jalankan perintah compute addresses create:

   gcloud compute addresses create l7-ilb-ip-address \
     --region=us-west1 \
     --subnet=backend-subnet
   

   Jika Anda ingin menggunakan alamat IP yang sama dengan beberapa aturan penerusan, tentukan --purpose=SHARED_LOADBALANCER_VIP.

2. Gunakan perintah compute addresses describe untuk melihat alamat IP yang dialokasikan:

   gcloud compute addresses describe l7-ilb-ip-address \
     --region=us-west1
   

Membuat backend grup instance VM terkelola

Bagian ini menunjukkan cara membuat template grup instance dan grup instance terkelola. Grup instance terkelola menyediakan instance VM yang menjalankan server backend contoh Load Balancer Aplikasi internal regional. Untuk grup instance, Anda dapat menentukan layanan HTTP dan memetakan nama port ke port yang relevan. Layanan backend load balancer meneruskan traffic ke port bernama. Traffic dari klien di-load balance ke server backend. Untuk tujuan demonstrasi, backend menayangkan nama host-nya sendiri.

Konsol

1. Membuat template instance. Di konsol Google Cloud, buka halaman Instance templates.

   Buka halaman Template instance

   1. Klik Create instance template.
   2. Untuk Name, masukkan l7-ilb-backend-template.
   3. Pastikan Boot disk disetel ke image Debian, seperti Debian GNU/Linux 12 (bookworm). Petunjuk ini menggunakan perintah yang hanya tersedia di Debian, seperti apt-get.
   4. Klik Advanced options.
   5. Klik Networking dan konfigurasikan kolom berikut:
      1. Untuk Network tags, masukkan allow-ssh dan load-balanced-backend.
      2. Untuk Network interfaces, pilih dari daftar berikut:
         • Jaringan: lb-network
         • Subnet: backend-subnet

   6. Klik Management. Masukkan skrip berikut ke dalam kolom Skrip startup.

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. Klik Create.

2. Membuat grup instance terkelola. Di konsol Google Cloud, buka halaman Instance groups.

   Buka Instance groups

   1. Klik Create instance group.
   2. Pilih New managed instance group (stateless). Untuk informasi selengkapnya, lihat MIG stateless atau stateful.
   3. Untuk Name, masukkan l7-ilb-backend-example.
   4. Untuk Location, pilih Single zone.
   5. Untuk Region, pilih us-west1.
   6. Untuk Zone, pilih us-west1-a.
   7. Untuk Instance template, pilih l7-ilb-backend-template.

   8. Tentukan jumlah instance yang ingin Anda buat dalam grup.

      Untuk contoh ini, tentukan opsi berikut di bagian Penskalaan otomatis:

      • Untuk Autoscaling mode, pilih Off:do not autoscale.
      • Untuk Maximum number of instances, masukkan 2.

      Secara opsional, di bagian Autoscaling pada UI, Anda dapat mengonfigurasi grup instance untuk otomatis menambahkan atau menghapus instance berdasarkan penggunaan CPU instance.

   9. Klik Create.

gcloud

Petunjuk gcloud dalam panduan ini mengasumsikan bahwa Anda menggunakan Cloud Shell atau lingkungan lain dengan bash yang diinstal.

1. Buat template instance VM dengan server HTTP dengan perintah gcloud compute instance-templates create.

   gcloud compute instance-templates create l7-ilb-backend-template \
   --region=us-west1 \
   --network=lb-network \
   --subnet=backend-subnet \
   --tags=allow-ssh,load-balanced-backend \
   --image-family=debian-12 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2'
   

2. Buat grup instance terkelola di zona dengan perintah gcloud compute instance-groups managed create.

   gcloud compute instance-groups managed create l7-ilb-backend-example \
       --zone=us-west1-a \
       --size=2 \
       --template=l7-ilb-backend-template
   

API

Buat template instance dengan metode instanceTemplates.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/instanceTemplates
{
  "name":"l7-ilb-backend-template",
  "properties":{
     "machineType":"e2-standard-2",
     "tags":{
       "items":[
         "allow-ssh",
         "load-balanced-backend"
       ]
     },
     "metadata":{
        "kind":"compute#metadata",
        "items":[
          {
            "key":"startup-script",
            "value":"#! /bin/bash\napt-get update\napt-get install
            apache2 -y\na2ensite default-ssl\na2enmod ssl\n
            vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\"
            \\\nhttp://metadata.google.internal/computeMetadata/v1/instance/name)\"\n
            echo \"Page served from: $vm_hostname\" | \\\ntee
            /var/www/html/index.html\nsystemctl restart apache2"
          }
        ]
     },
     "networkInterfaces":[
       {
         "network":"projects/PROJECT_ID/global/networks/lb-network",
         "subnetwork":"regions/us-west1/subnetworks/backend-subnet",
         "accessConfigs":[
           {
             "type":"ONE_TO_ONE_NAT"
           }
         ]
       }
     ],
     "disks":[
       {
         "index":0,
         "boot":true,
         "initializeParams":{
           "sourceImage":"projects/debian-cloud/global/images/family/debian-12"
         },
         "autoDelete":true
       }
     ]
  }
}

Buat grup instance terkelola di setiap zona dengan metode instanceGroupManagers.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers
{
  "name": "l7-ilb-backend-example",
  "zone": "projects/PROJECT_ID/zones/us-west1-a",
  "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/l7-ilb-backend-template",
  "baseInstanceName": "l7-ilb-backend-example",
  "targetSize": 2
}

Mengonfigurasi load balancer

Contoh ini menunjukkan cara membuat resource Load Balancer Aplikasi internal regional berikut:

• Health check HTTP
• Layanan backend dengan grup instance terkelola sebagai backend
• Peta URL
  • Pastikan untuk merujuk ke peta URL regional jika region ditentukan untuk proxy HTTP(S) target. Peta URL regional merutekan permintaan ke layanan backend regional berdasarkan aturan yang Anda tentukan untuk host dan jalur URL masuk. Peta URL regional hanya dapat direferensikan oleh aturan proxy target regional di region yang sama.
• Sertifikat SSL (untuk HTTPS)
• Proxy target
• Aturan penerusan

Ketersediaan proxy

Terkadang region Google Cloud tidak memiliki kapasitas proxy yang memadai untuk load balancer baru. Jika hal ini terjadi, konsol Google Cloud akan memberikan pesan peringatan ketersediaan proxy saat Anda membuat load balancer. Untuk menyelesaikan masalah ini, Anda dapat melakukan salah satu tindakan berikut:

• Pilih region lain untuk load balancer Anda. Hal ini dapat menjadi opsi yang praktis jika Anda memiliki backend di region lain.
• Pilih jaringan VPC yang sudah memiliki subnet khusus proxy yang dialokasikan.

• Tunggu hingga masalah kapasitas teratasi.

Konsol

Memulai konfigurasi

1. Di konsol Google Cloud, buka halaman Load balancing.

   Buka Load balancing

2. Klik Create load balancer.
3. Untuk Type of load balancer, pilih Application Load Balancer (HTTP/HTTPS), lalu klik Next.
4. Untuk Public facing or internal, pilih Internal, lalu klik Next.
5. Untuk Cross-region atau single region deployment, pilih Best for regional workloads, lalu klik Next.
6. Klik Konfigurasikan.

Konfigurasi dasar

1. Untuk Name load balancer, masukkan l7-ilb-map.
2. Untuk Region, pilih us-west1.
3. Untuk Network, pilih lb-network.

Mereservasi subnet khusus proxy

Catatan: Jika Anda sudah mereservasi subnet khusus proxy, seperti yang diinstruksikan dalam penyiapan persiapan, tombol Reserve a Subnet tidak ditampilkan, jadi Anda harus melewati bagian ini dan melanjutkan dengan langkah-langkah untuk mengonfigurasi layanan backend.

Mereservasi subnet khusus proxy:

1. Klik Reserve a Subnet.
2. Untuk Name, masukkan proxy-only-subnet.
3. Untuk Rentang alamat IP, masukkan 10.129.0.0/23.
4. Klik Tambahkan.

Mengonfigurasi layanan backend

1. Klik Backend configuration.
2. Dari menu Create or select backend services, pilih Create a backend service.
3. Tetapkan nama layanan backend ke l7-ilb-backend-service.
4. Tetapkan Backend type ke Instance group.
5. Di bagian New backend:
   1. Setel Instance group ke l7-ilb-backend-example.
   2. Setel Transfer nomor ke 80.
   3. Tetapkan Balancing mode ke Utilization.
   4. Klik Done.
6. Dari daftar Health check, klik Create a health check dengan parameter berikut:
   1. Nama: l7-ilb-basic-check
   2. Protokol: HTTP
   3. Port: 80
   4. Klik Simpan.
7. Klik Create.

Mengonfigurasi peta URL

1. Klik Host and path rules.

2. Untuk Mode, pilih Simple host and path rule.

3. Pastikan l7-ilb-backend-service adalah satu-satunya layanan backend untuk host dan jalur yang tidak cocok.

Untuk informasi tentang pengelolaan traffic, lihat Menyiapkan pengelolaan traffic.

Mengonfigurasi frontend

Untuk HTTP:

1. Klik Frontend configuration.
2. Tetapkan nama aturan penerusan ke l7-ilb-forwarding-rule.
3. Tetapkan Protocol ke HTTP.
4. Tetapkan Subnetwork ke backend-subnet.
5. Tetapkan Port ke 80.
6. Dari daftar IP address, pilih l7-ilb-ip-address.
7. Klik Done.

Untuk HTTPS:

1. Klik Frontend configuration.
2. Tetapkan nama aturan penerusan ke l7-ilb-forwarding-rule.
3. Tetapkan Protocol ke HTTPS (includes HTTP/2).
4. Tetapkan Subnetwork ke backend-subnet.
5. Pastikan Port ditetapkan ke 443 untuk mengizinkan traffic HTTPS.
6. Dari daftar IP address, pilih l7-ilb-ip-address.
7. Klik menu drop-down Certificate.
   1. Jika Anda sudah memiliki resource sertifikat SSL yang dikelola sendiri yang ingin digunakan sebagai sertifikat SSL utama, pilih sertifikat tersebut dari daftar.
   2. Jika tidak, pilih Create a new certificate.
      1. Tetapkan nama sertifikat ke l7-ilb-cert.
      2. Di kolom yang sesuai, upload file berformat PEM:
         • Sertifikat kunci publik
         • Rantai sertifikat
         • Kunci pribadi
      3. Klik Create.
8. Untuk menambahkan resource sertifikat selain resource sertifikat SSL utama:
   1. Klik Add certificate.
   2. Pilih sertifikat dari daftar Certificates, atau klik Create a new certificate, lalu ikuti petunjuknya.

9. Pilih kebijakan SSL dari daftar Kebijakan SSL. Secara opsional, untuk membuat kebijakan SSL, lakukan hal berikut:

   1. Di daftar SSL policy, pilih Create a policy.
   2. Masukkan nama untuk kebijakan SSL.
   3. Pilih versi TLS minimum. Nilai defaultnya adalah TLS 1.0.
   4. Pilih salah satu profil yang dikelola Google dan telah dikonfigurasi sebelumnya atau pilih profil Kustom yang memungkinkan Anda memilih fitur SSL satu per satu. Fitur yang diaktifkan dan Fitur yang dinonaktifkan akan ditampilkan.
   5. Klik Simpan.

   Jika Anda belum membuat kebijakan SSL, kebijakan SSL Google Cloud default akan diterapkan.

10. Klik Done.

Meninjau konfigurasi

1. Klik Review and finalize.
2. Tinjau setelan konfigurasi load balancer Anda.
3. Opsional: Klik Equivalent code untuk melihat permintaan REST API yang akan digunakan untuk membuat load balancer.
4. Klik Create.

gcloud

1. Tentukan health check HTTP dengan perintah gcloud compute health-checks create http.

   gcloud compute health-checks create http l7-ilb-basic-check \
      --region=us-west1 \
      --use-serving-port
   

2. Tentukan layanan backend dengan perintah gcloud compute backend-services create.

   gcloud compute backend-services create l7-ilb-backend-service \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --protocol=HTTP \
     --health-checks=l7-ilb-basic-check \
     --health-checks-region=us-west1 \
     --region=us-west1
   

3. Tambahkan backend ke layanan backend dengan perintah gcloud compute backend-services add-backend.

   gcloud compute backend-services add-backend l7-ilb-backend-service \
     --balancing-mode=UTILIZATION \
     --instance-group=l7-ilb-backend-example \
     --instance-group-zone=us-west1-a \
     --region=us-west1
   

4. Buat peta URL dengan perintah gcloud compute url-maps create.

   gcloud compute url-maps create l7-ilb-map \
     --default-service=l7-ilb-backend-service \
     --region=us-west1
   

5. Buat proxy target.

   Untuk HTTP:

   Untuk load balancer HTTP internal, buat proxy target dengan perintah gcloud compute target-http-proxies create.

   gcloud compute target-http-proxies create l7-ilb-proxy \
     --url-map=l7-ilb-map \
     --url-map-region=us-west1 \
     --region=us-west1
   

   Untuk HTTPS:

   Anda dapat membuat sertifikat Compute Engine atau Certificate Manager. Gunakan salah satu metode berikut untuk membuat sertifikat menggunakan Pengelola Sertifikat:

   • Sertifikat yang dikelola sendiri secara regional. Untuk informasi tentang cara membuat dan menggunakan sertifikat yang dikelola sendiri secara regional, lihat men-deploy sertifikat yang dikelola sendiri secara regional. Peta sertifikat tidak didukung.

   • Sertifikat regional yang dikelola Google. Peta sertifikat tidak didukung.

     Jenis sertifikat regional yang dikelola Google berikut didukung oleh Pengelola Sertifikat:

     • Sertifikat regional yang dikelola Google dengan otorisasi DNS per project. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google secara regional.
     • Sertifikat (pribadi) regional yang dikelola Google dengan Certificate Authority Service. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan Layanan CA.

   Setelah membuat sertifikat, lampirkan sertifikat langsung ke proxy target.

   Menetapkan jalur file ke nama variabel.

   export LB_CERT=path to PEM-formatted file
   

   export LB_PRIVATE_KEY=path to PEM-formatted file
   

   Buat sertifikat SSL regional menggunakan perintah gcloud compute ssl-certificates create.

   gcloud compute ssl-certificates create l7-ilb-cert \
     --certificate=$LB_CERT \
     --private-key=$LB_PRIVATE_KEY \
     --region=us-west1
   

   Gunakan sertifikat SSL regional untuk membuat proxy target dengan perintah gcloud compute target-https-proxies create.

   gcloud compute target-https-proxies create l7-ilb-proxy \
     --url-map=l7-ilb-map \
     --region=us-west1 \
     --ssl-certificates=l7-ilb-cert
   

   • Membuat aturan penerusan.

     Untuk jaringan kustom, Anda harus mereferensikan subnet dalam aturan penerusan. Perhatikan bahwa ini adalah subnet VM, bukan subnet proxy.

     Untuk HTTP:

     Gunakan perintah gcloud compute forwarding-rules create dengan flag yang benar.

     gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
       --load-balancing-scheme=INTERNAL_MANAGED \
       --network=lb-network \
       --subnet=backend-subnet \
       --address=l7-ilb-ip-address \
       --ports=80 \
       --region=us-west1 \
       --target-http-proxy=l7-ilb-proxy \
       --target-http-proxy-region=us-west1
     

     Untuk HTTPS:

     Buat aturan penerusan dengan perintah gcloud compute forwarding-rules create dengan flag yang benar.

     gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
       --load-balancing-scheme=INTERNAL_MANAGED \
       --network=lb-network \
       --subnet=backend-subnet \
       --address=l7-ilb-ip-address \
       --ports=443 \
       --region=us-west1 \
       --target-https-proxy=l7-ilb-proxy \
       --target-https-proxy-region=us-west1
     

API

Buat health check dengan membuat permintaan POST ke metode regionHealthChecks.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/{region}/healthChecks

{
"name": "l7-ilb-basic-check",
"type": "HTTP",
"httpHealthCheck": {
  "portSpecification": "USE_SERVING_PORT"
}
}

Buat layanan backend regional dengan membuat permintaan POST ke metode regionBackendServices.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/backendServices

{
"name": "l7-ilb-backend-service",
"backends": [
  {
    "group": "projects/PROJECT_ID/zones/us-west1-a/instanceGroups/l7-ilb-backend-example",
    "balancingMode": "UTILIZATION"
  }
],
"healthChecks": [
  "projects/PROJECT_ID/regions/us-west1/healthChecks/l7-ilb-basic-check"
],
"loadBalancingScheme": "INTERNAL_MANAGED"
}

Buat peta URL dengan membuat permintaan POST ke metode regionUrlMaps.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/urlMaps

{
"name": "l7-ilb-map",
"defaultService": "projects/PROJECT_ID/regions/us-west1/backendServices/l7-ilb-backend-service"
}

Untuk HTTP:

Buat proxy HTTP target dengan membuat permintaan POST ke metode regionTargetHttpProxies.insert, dengan mengganti PROJECT_ID dengan ID project Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/targetHttpProxy

{
"name": "l7-ilb-proxy",
"urlMap": "projects/PROJECT_ID/global/urlMaps/l7-ilb-map",
"region": "us-west1"
}

Buat aturan penerusan dengan membuat permintaan POST ke metode forwardingRules.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/forwardingRules

{
"name": "l7-ilb-forwarding-rule",
"IPAddress": "IP_ADDRESS",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/regions/us-west1/targetHttpProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/us-west1/subnetworks/backend-subnet",
"network": "projects/PROJECT_ID/global/networks/lb-network",
"networkTier": "PREMIUM"
}

Untuk HTTPS:

Anda dapat membuat sertifikat Compute Engine atau Certificate Manager. Gunakan salah satu metode berikut untuk membuat sertifikat menggunakan Pengelola Sertifikat:

• Sertifikat yang dikelola sendiri secara regional. Untuk informasi tentang cara membuat dan menggunakan sertifikat yang dikelola sendiri secara regional, lihat men-deploy sertifikat yang dikelola sendiri secara regional. Peta sertifikat tidak didukung.

• Sertifikat regional yang dikelola Google. Peta sertifikat tidak didukung.

  Jenis sertifikat regional yang dikelola Google berikut didukung oleh Pengelola Sertifikat:

  • Sertifikat regional yang dikelola Google dengan otorisasi DNS per project. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google secara regional.
  • Sertifikat (pribadi) regional yang dikelola Google dengan Certificate Authority Service. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan Layanan CA.

Setelah membuat sertifikat, lampirkan sertifikat langsung ke proxy target.

Baca file sertifikat dan kunci pribadi, lalu buat sertifikat SSL. Contoh berikut menunjukkan cara melakukannya dengan Python.

from pathlib import Path
from pprint import pprint
from typing import Union

from googleapiclient import discovery


def create_regional_certificate(
    project_id: str,
    region: str,
    certificate_file: Union[str, Path],
    private_key_file: Union[str, Path],
    certificate_name: str,
    description: str = "Certificate created from a code sample.",
) -> dict:
    """
    Create a regional SSL self-signed certificate within your Google Cloud project.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        region: name of the region you want to use.
        certificate_file: path to the file with the certificate you want to create in your project.
        private_key_file: path to the private key you used to sign the certificate with.
        certificate_name: name for the certificate once it's created in your project.
        description: description of the certificate.

        Returns:
        Dictionary with information about the new regional SSL self-signed certificate.
    """
    service = discovery.build("compute", "v1")

    # Read the cert into memory
    with open(certificate_file) as f:
        _temp_cert = f.read()

    # Read the private_key into memory
    with open(private_key_file) as f:
        _temp_key = f.read()

    # Now that the certificate and private key are in memory, you can create the
    # certificate resource
    ssl_certificate_body = {
        "name": certificate_name,
        "description": description,
        "certificate": _temp_cert,
        "privateKey": _temp_key,
    }
    request = service.regionSslCertificates().insert(
        project=project_id, region=region, body=ssl_certificate_body
    )
    response = request.execute()
    pprint(response)

    return response

Buat proxy HTTPS target dengan membuat permintaan POST ke metode regionTargetHttpsProxies.insert, dengan mengganti PROJECT_ID dengan ID project Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/regionTargetHttpsProxy

{
"name": "l7-ilb-proxy",
"urlMap": "projects/PROJECT_ID/regions/us-west1/urlMaps/l7-ilb-map",
"sslCertificates": /projects/PROJECT_ID/regions/us-west1/sslCertificates/SSL_CERT_NAME
}

Buat aturan penerusan dengan membuat permintaan POST ke metode forwardingRules.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/forwardingRules

{
"name": "l7-ilb-forwarding-rule",
"IPAddress": "IP_ADDRESS",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/regions/us-west1/targetHttpsProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/us-west1/subnetworks/backend-subnet",
"network": "projects/PROJECT_ID/global/networks/lb-network",
"networkTier": "PREMIUM",
}

Menguji load balancer

Untuk menguji load balancer, buat VM klien. Kemudian, buat sesi SSH dengan VM dan kirim traffic dari VM ke load balancer.

Membuat instance VM untuk menguji konektivitas

Konsol

1. Di konsol Google Cloud, buka halaman Instance VM.

   Buka instance VM

2. Klik Create instance.

3. Setel Nama ke l7-ilb-client-us-west1-a.

4. Setel Zona ke us-west1-a.

5. Klik Advanced options.

6. Klik Networking dan konfigurasikan kolom berikut:

   1. Untuk Network tags, masukkan allow-ssh.
   2. Untuk Network interfaces, pilih dari daftar berikut:
      1. Jaringan: lb-network
      2. Subnet: backend-subnet

7. Klik Create.

gcloud

gcloud compute instances create l7-ilb-client-us-west1-a \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --network=lb-network \
    --subnet=backend-subnet \
    --zone=us-west1-a \
    --tags=allow-ssh

Mengirim traffic ke load balancer

Login ke instance yang baru saja Anda buat dan uji apakah layanan HTTP(S) di backend dapat dijangkau menggunakan alamat IP aturan penerusan Load Balancer Aplikasi internal regional, dan traffic di-load balance di seluruh instance backend.

Menghubungkan menggunakan SSH ke setiap instance klien

gcloud compute ssh l7-ilb-client-us-west1-a \
    --zone=us-west1-a

Mendapatkan alamat IP load balancer

Gunakan perintah gcloud compute addresses describe untuk melihat alamat IP yang dialokasikan:

gcloud compute addresses describe l7-ilb-ip-address \
    --region=us-west1

Memverifikasi bahwa alamat IP menyalurkan nama host-nya

Ganti IP_ADDRESS dengan alamat IP load balancer.

curl IP_ADDRESS

Untuk pengujian HTTPS, ganti curl dengan:

curl -k -s 'https://test.example.com:443' --connect-to test.example.com:443:IP_ADDRESS:443

Flag -k menyebabkan curl melewati validasi sertifikat.

Jalankan 100 permintaan dan pastikan semuanya di-load balance

Ganti IP_ADDRESS dengan alamat IP load balancer.

Untuk HTTP:

{
  RESULTS=
  for i in {1..100}
  do
      RESULTS="$RESULTS:$(curl --silent IP_ADDRESS)"
  done
  echo "***"
  echo "*** Results of load-balancing: "
  echo "***"
  echo "$RESULTS" | tr ':' '\n' | grep -Ev "^$" | sort | uniq -c
  echo
}

Untuk HTTPS:

{
  RESULTS=
  for i in {1..100}
  do
      RESULTS="$RESULTS:$(curl -k -s 'https://test.example.com:443' --connect-to test.example.com:443:IP_ADDRESS:443)"
  done
  echo "***"
  echo "*** Results of load-balancing: "
  echo "***"
  echo "$RESULTS" | tr ':' '\n' | grep -Ev "^$" | sort | uniq -c
  echo
}

Opsi konfigurasi tambahan

Bagian ini memperluas contoh konfigurasi untuk memberikan opsi konfigurasi alternatif dan tambahan. Semua tugas bersifat opsional. Anda dapat melakukannya dalam urutan apa pun.

Mengaktifkan akses global

Anda dapat mengaktifkan akses global untuk Load Balancer Aplikasi internal Regional dan Load Balancer Jaringan proxy internal Regional agar dapat diakses oleh klien di semua region. Backend contoh load balancer Anda harus masih berada di satu region (us-west1).

Load Balancer Aplikasi internal regional dengan akses global (klik untuk memperbesar).

Anda tidak dapat mengubah aturan penerusan regional yang ada untuk mengaktifkan akses global. Anda harus membuat aturan penerusan baru untuk tujuan ini dan menghapus aturan penerusan sebelumnya. Selain itu, setelah dibuat dengan akses global diaktifkan, aturan penerusan tidak dapat diubah. Untuk menonaktifkan akses global, Anda harus membuat aturan penerusan akses regional baru dan menghapus aturan penerusan akses global sebelumnya.

Untuk mengonfigurasi akses global, lakukan perubahan konfigurasi berikut.

Konsol

Buat aturan penerusan baru untuk load balancer:

1. Di konsol Google Cloud, buka halaman Load balancing.

   Buka Load balancing

2. Di kolom Name, klik load balancer Anda.

3. Klik Frontend configuration.

4. Klik Add frontend IP and port.

5. Masukkan nama dan detail subnet untuk aturan penerusan baru.

6. Untuk Subnetwork, pilih backend-subnet.

7. Untuk Alamat IP, Anda dapat memilih alamat IP yang sama dengan aturan penerusan yang ada, mencadangkan alamat IP baru, atau menggunakan alamat IP sementara. Berbagi alamat IP yang sama di beberapa aturan penerusan hanya dapat dilakukan jika Anda menetapkan tanda --purpose alamat IP ke SHARED_LOADBALANCER_VIP saat membuat alamat IP.

8. Untuk Port number, masukkan 110.

9. Untuk Global access, pilih Enable.

10. Klik Done.

11. Klik Perbarui.

gcloud

1. Buat aturan penerusan baru untuk load balancer dengan flag --allow-global-access.

   Untuk HTTP:

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule-global-access \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=lb-network \
     --subnet=backend-subnet \
     --address=10.1.2.99 \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=l7-ilb-proxy \
     --target-http-proxy-region=us-west1 \
     --allow-global-access
   

   Untuk HTTPS:

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule-global-access \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=lb-network \
     --subnet=backend-subnet \
     --address=10.1.2.99 \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=l7-ilb-proxy \
     --target-https-proxy-region=us-west1 \
     --allow-global-access
   

2. Anda dapat menggunakan perintah gcloud compute forwarding-rules describe untuk menentukan apakah aturan penerusan mengaktifkan akses global. Misalnya:

   gcloud compute forwarding-rules describe l7-ilb-forwarding-rule-global-access \
     --region=us-west1 \
     --format="get(name,region,allowGlobalAccess)"
   

   Jika akses global diaktifkan, kata True akan muncul dalam output setelah nama dan region aturan penerusan.

Membuat VM klien untuk menguji akses global

Konsol

1. Di konsol Google Cloud, buka halaman Instance VM.

   Buka instance VM

2. Klik Create instance.

3. Setel Nama ke europe-client-vm.

4. Setel Zona ke europe-west1-b.

5. Klik Advanced options.

6. Klik Networking dan konfigurasikan kolom berikut:

   1. Untuk Network tags, masukkan allow-ssh.
   2. Untuk Network interfaces, pilih dari daftar berikut:
      • Jaringan: lb-network
      • Subnet: europe-subnet

7. Klik Create.

gcloud

Buat VM klien di zona europe-west1-b.

gcloud compute instances create europe-client-vm \
    --zone=europe-west1-b \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=europe-subnet

Menghubungkan ke klien VM dan menguji konektivitas

1. Gunakan ssh untuk terhubung ke instance klien.

   gcloud compute ssh europe-client-vm \
       --zone=europe-west1-b
   

2. Uji koneksi ke load balancer seperti yang Anda lakukan dari vm-client di region us-west1.

   curl http://10.1.2.99
   

Mengaktifkan afinitas sesi

Prosedur ini menunjukkan cara mengupdate layanan backend untuk contoh Load Balancer Aplikasi internal regional atau Load Balancer Aplikasi internal lintas region sehingga layanan backend menggunakan afinitas cookie yang dihasilkan, afinitas kolom header, atau afinitas cookie HTTP.

Jika afinitas cookie yang dihasilkan diaktifkan, load balancer akan mengeluarkan cookie pada permintaan pertama. Untuk setiap permintaan berikutnya dengan cookie yang sama, load balancer akan mengarahkan permintaan ke instance atau endpoint virtual machine (VM) backend yang sama. Dalam contoh ini, cookie diberi nama GCILB.

Jika afinitas kolom header diaktifkan, load balancer akan merutekan permintaan ke VM atau endpoint backend dalam grup endpoint jaringan (NEG) berdasarkan nilai header HTTP yang diberi nama dalam flag --custom-request-header. Afinitas kolom header hanya valid jika kebijakan lokalitas load balancing adalah RING_HASH atau MAGLEV dan hash konsisten layanan backend menentukan nama header HTTP.

Jika afinitas cookie HTTP diaktifkan, load balancer akan merutekan permintaan ke VM atau endpoint backend dalam NEG, berdasarkan cookie HTTP yang diberi nama dalam tanda HTTP_COOKIE dengan tanda --affinity-cookie-ttl opsional. Jika klien tidak memberikan cookie dalam permintaan HTTP-nya, proxy akan membuat cookie dan menampilkannya kepada klien dalam header Set-Cookie. Afinitas cookie HTTP hanya valid jika kebijakan lokalitas load balancing adalah RING_HASH atau MAGLEV dan hash konsisten layanan backend menentukan cookie HTTP.

Konsol

Untuk mengaktifkan atau mengubah afinitas sesi untuk layanan backend:

1. Di konsol Google Cloud, buka halaman Load balancing.

   Buka Load balancing

2. Klik Backend.
3. Klik l7-ilb-backend-service (nama layanan backend yang Anda buat untuk contoh ini) dan klik Edit.
4. Di halaman Detail layanan backend, klik Konfigurasi lanjutan.
5. Di bagian Afinitas sesi, pilih jenis afinitas sesi yang Anda inginkan.
6. Klik Perbarui.

gcloud

Gunakan perintah Google Cloud CLI berikut untuk mengupdate layanan backend ke berbagai jenis afinitas sesi:

    gcloud compute backend-services update l7-ilb-backend-service \
        --session-affinity=[GENERATED_COOKIE | HEADER_FIELD | HTTP_COOKIE | CLIENT_IP] \
        --region=us-west1
    

API

Untuk menetapkan afinitas sesi, buat permintaan `PATCH` ke metode backendServices/patch.

    PATCH https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/us-west1/regionBackendServices/l7-ilb-backend-service
    {
      "sessionAffinity": ["GENERATED_COOKIE" | "HEADER_FIELD" | "HTTP_COOKIE" | "CLIENT_IP" ]
    }
    

Membatasi klien yang dapat mengirim traffic ke load balancer

Catatan: Bagian ini menunjukkan cara membatasi akses klien ke Load Balancer Aplikasi internal regional Anda menggunakan aturan firewall. Anda juga dapat menggunakan Google Cloud Armor untuk membatasi akses klien ke load balancer. Untuk mengetahui informasi selengkapnya, lihat Ringkasan kebijakan keamanan dalam dokumentasi Google Cloud Armor.

Anda dapat membatasi klien agar tidak terhubung ke VIP aturan penerusan Load Balancer Aplikasi internal dengan mengonfigurasi aturan firewall keluar di klien ini. Tetapkan aturan firewall ini di VM klien tertentu berdasarkan akun layanan atau tag.

Anda tidak dapat menggunakan aturan firewall untuk membatasi traffic masuk ke VIP aturan penerusan Load Balancer Aplikasi internal tertentu. Setiap klien di jaringan VPC yang sama dan di region yang sama dengan VIP aturan penerusan umumnya dapat mengirim traffic ke VIP aturan penerusan.

Selain itu, semua permintaan ke backend berasal dari proxy yang menggunakan alamat IP dalam rentang subnet khusus proxy. Anda tidak dapat membuat aturan firewall yang mengizinkan atau menolak traffic masuk di backend ini berdasarkan VIP aturan penerusan yang digunakan oleh klien.

Berikut beberapa contoh cara menggunakan aturan firewall keluar untuk membatasi traffic ke VIP aturan penerusan load balancer.

Konsol

Untuk mengidentifikasi VM klien, beri tag pada VM tertentu yang ingin Anda batasi. Tag ini digunakan untuk mengaitkan aturan firewall dengan VM klien yang diberi tag. Kemudian, tambahkan tag ke kolom TARGET_TAG dalam langkah-langkah berikut.

Gunakan satu aturan firewall atau beberapa aturan untuk menyiapkannya.

Satu aturan firewall keluar

Anda dapat mengonfigurasi satu aturan keluar firewall untuk menolak semua traffic keluar yang berasal dari VM klien yang diberi tag ke VIP load balancer.

1. Di konsol Google Cloud, buka halaman Firewall rules.

   Buka Aturan firewall

2. Klik Create firewall rule untuk membuat aturan guna menolak traffic keluar dari VM klien yang diberi tag ke VIP load balancer.

   • Nama: fr-deny-access
   • Jaringan: lb-network
   • Prioritas: 100
   • Direction of traffic: Egress
   • Action on match: Deny
   • Targets: Tag target yang ditentukan
   • Tag target: TARGET_TAG
   • Filter tujuan: Rentang IP
   • Rentang IP tujuan: 10.1.2.99
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang tcp, lalu masukkan 80 untuk nomor port.

3. Klik Create.

Beberapa aturan firewall keluar

Pendekatan yang lebih skalabel melibatkan penetapan dua aturan. Aturan default dengan prioritas rendah yang membatasi semua klien agar tidak mengakses VIP load balancer. Aturan kedua dengan prioritas lebih tinggi yang memungkinkan sebagian klien yang diberi tag untuk mengakses VIP load balancer. Hanya VM yang diberi tag yang dapat mengakses VIP.

1. Di konsol Google Cloud, buka halaman Firewall rules.

   Buka Aturan firewall

2. Klik Create firewall rule untuk membuat aturan prioritas yang lebih rendah guna menolak akses secara default:

   • Nama: fr-deny-all-access-low-priority
   • Jaringan: lb-network
   • Prioritas: 200
   • Direction of traffic: Egress
   • Action on match: Deny
   • Targets: Tag target yang ditentukan
   • Tag target: TARGET_TAG
   • Filter tujuan: Rentang IP
   • Rentang IP tujuan: 10.1.2.99
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.

3. Klik Create.

4. Klik Create firewall rule untuk membuat aturan prioritas yang lebih tinggi guna mengizinkan traffic dari instance tertentu yang diberi tag.

   • Nama: fr-allow-some-access-high-priority
   • Jaringan: lb-network
   • Prioritas: 100
   • Direction of traffic: Egress
   • Action on match: Allow
   • Targets: Tag target yang ditentukan
   • Tag target: TARGET_TAG
   • Filter tujuan: Rentang IP
   • Rentang IP tujuan: 10.1.2.99
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.

5. Klik Create.

gcloud

Untuk mengidentifikasi VM klien, beri tag pada VM tertentu yang ingin Anda batasi. Kemudian, tambahkan tag ke kolom TARGET_TAG dalam langkah-langkah ini.

Gunakan satu aturan firewall atau beberapa aturan untuk menyiapkannya.

Satu aturan firewall keluar

Anda dapat mengonfigurasi satu aturan keluar firewall untuk menolak semua traffic keluar yang berasal dari VM klien yang diberi tag ke VIP load balancer.

gcloud compute firewall-rules create fr-deny-access \
  --network=lb-network \
  --action=deny \
  --direction=egress \
  --rules=tcp \
  --priority=100 \
  --destination-ranges=10.1.2.99 \
  --target-tags=TARGET_TAG

Beberapa aturan firewall keluar

Pendekatan yang lebih skalabel melibatkan penetapan dua aturan: aturan default dengan prioritas rendah yang membatasi semua klien agar tidak mengakses VIP load balancer, dan aturan kedua dengan prioritas lebih tinggi yang memungkinkan sebagian klien yang diberi tag untuk mengakses VIP load balancer. Hanya VM yang diberi tag yang dapat mengakses VIP.

1. Buat aturan prioritas yang lebih rendah:

   gcloud compute firewall-rules create fr-deny-all-access-low-priority \
     --network=lb-network \
     --action=deny \
     --direction=egress \
     --rules=tcp \
     --priority=200 \
     --destination-ranges=10.1.2.99
   

2. Buat aturan prioritas yang lebih tinggi:

   gcloud compute firewall-rules create fr-allow-some-access-high-priority \
     --network=lb-network \
     --action=allow \
     --direction=egress \
     --rules=tcp \
     --priority=100 \
     --destination-ranges=10.1.2.99 \
     --target-tags=TARGET_TAG
   

Untuk menggunakan akun layanan, bukan tag, guna mengontrol akses, gunakan opsi --target-service-accounts, bukan tanda --target-tags saat membuat aturan firewall.

Menskalakan akses terbatas ke backend Load Balancer Aplikasi internal berdasarkan subnet

Mengelola aturan firewall terpisah atau menambahkan alamat IP load-balanced baru ke aturan yang ada seperti yang dijelaskan di bagian sebelumnya menjadi tidak praktis seiring meningkatnya jumlah aturan penerusan. Salah satu cara untuk mencegahnya adalah dengan mengalokasikan alamat IP aturan penerusan dari subnet yang dicadangkan. Kemudian, traffic dari instance yang diberi tag atau akun layanan dapat diizinkan atau diblokir dengan menggunakan subnet yang dicadangkan sebagai rentang tujuan untuk aturan firewall. Hal ini memungkinkan Anda mengontrol akses ke grup VIP aturan penerusan secara efektif tanpa harus mempertahankan aturan keluar firewall per VIP.

Berikut adalah langkah-langkah tingkat tinggi untuk menyiapkannya, dengan asumsi bahwa Anda akan membuat semua resource load balancer lain yang diperlukan secara terpisah.

gcloud

1. Buat subnet regional yang akan digunakan untuk mengalokasikan alamat IP load-balanced untuk aturan penerusan:

   gcloud compute networks subnets create l7-ilb-restricted-subnet \
     --network=lb-network \
     --region=us-west1 \
     --range=10.127.0.0/24
   

2. Buat aturan penerusan yang mengambil alamat dari subnet. Contoh berikut menggunakan alamat 10.127.0.1 dari subnet yang dibuat pada langkah sebelumnya.

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule-restricted \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=lb-network \
     --subnet=l7-ilb-restricted-subnet \
     --address=10.127.0.1 \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=l7-ilb-proxy \
     --target-http-proxy-region=us-west1
   

3. Buat aturan firewall untuk membatasi traffic yang ditujukan ke alamat IP rentang di subnet aturan penerusan (l7-ilb-restricted-subnet):

   gcloud compute firewall-rules create restrict-traffic-to-subnet \
     --network=lb-network \
     --action=deny \
     --direction=egress \
     --rules=tcp:80 \
     --priority=100 \
     --destination-ranges=10.127.0.0/24 \
     --target-tags=TARGET_TAG
   

Mengonfigurasi subkumpulan backend

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Subset backend meningkatkan performa dan skalabilitas dengan menetapkan subset backend ke setiap instance proxy. Jika diaktifkan untuk layanan backend, subset backend akan menyesuaikan jumlah backend yang digunakan oleh setiap instance proxy sebagai berikut:

• Seiring meningkatnya jumlah instance proxy yang berpartisipasi dalam load balancer, ukuran subset akan menurun.

• Jika jumlah total backend dalam jaringan melebihi kapasitas satu instance proxy, ukuran subset akan otomatis dikurangi untuk setiap layanan yang mengaktifkan subset backend.

Catatan: Di REST API, setelan subsetting.subsetSize hanya tersedia untuk Cloud Service Mesh. Setelan ini tidak tersedia untuk Load Balancer Aplikasi internal regional.

Contoh ini menunjukkan cara membuat resource Load Balancer Aplikasi internal regional dan mengaktifkan subset backend:

1. Gunakan contoh konfigurasi untuk membuat layanan backend regional l7-ilb-backend-service.

2. Aktifkan subkumpulan backend dengan menentukan flag --subsetting-policy sebagai CONSISTENT_HASH_SUBSETTING. Tetapkan skema load balancing ke INTERNAL_MANAGED.

   gcloud

   Gunakan perintah gcloud berikut untuk mengupdate l7-ilb-backend-service dengan subkumpulan backend:

   gcloud beta compute backend-services update l7-ilb-backend-service \
      --region=us-west1 \
      --subsetting-policy=CONSISTENT_HASH_SUBSETTING
   

   API

   Buat permintaan PATCH ke metode metode regionBackendServices/patch.

   PATCH https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/us-west1/backendServices/l7-ilb-backend-service
   
   {
    "subsetting":
   {
    "policy": CONSISTENT_HASH_SUBSETTING
   }
   }
   

Anda juga dapat meningkatkan kualitas load balancing backend dengan menetapkan kebijakan localityLbPolicy. Untuk informasi selengkapnya, lihat Kebijakan traffic.

Menggunakan alamat IP yang sama di antara beberapa aturan penerusan internal

Agar beberapa aturan penerusan internal dapat menggunakan alamat IP internal yang sama, Anda harus mencadangkan alamat IP dan menetapkan tanda --purpose-nya ke SHARED_LOADBALANCER_VIP.

gcloud

gcloud compute addresses create SHARED_IP_ADDRESS_NAME \
    --region=REGION \
    --subnet=SUBNET_NAME \
    --purpose=SHARED_LOADBALANCER_VIP

Jika perlu mengalihkan traffic HTTP ke HTTPS, Anda dapat membuat dua aturan penerusan yang menggunakan alamat IP umum. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan pengalihan HTTP ke HTTPS untuk Load Balancer Aplikasi internal.

Memperbarui waktu tunggu keepalive HTTP klien

Load balancer yang dibuat pada langkah sebelumnya telah dikonfigurasi dengan nilai default untuk waktu tunggu keepalive HTTP klien.

Untuk memperbarui waktu tunggu keepalive HTTP klien, gunakan petunjuk berikut.

Konsol

1. Di konsol Google Cloud, buka halaman Load balancing.

   Buka Load balancing.

2. Klik nama load balancer yang ingin diubah.
3. Klik Edit.
4. Klik Frontend configuration.
5. Luaskan Fitur lanjutan. Untuk Timeout keepalive HTTP, masukkan nilai waktu tunggu.
6. Klik Perbarui.
7. Untuk meninjau perubahan, klik Tinjau dan selesaikan, lalu klik Perbarui.

gcloud

Untuk load balancer HTTP, perbarui proxy HTTP target menggunakan perintah gcloud compute target-http-proxies update.

      gcloud compute target-http-proxies update TARGET_HTTP_PROXY_NAME \
         --http-keep-alive-timeout-sec=HTTP_KEEP_ALIVE_TIMEOUT_SEC \
         --region=REGION
      

Untuk load balancer HTTPS, perbarui proxy HTTPS target menggunakan perintah gcloud compute target-https-proxies update.

      gcloud compute target-https-proxies update TARGET_HTTP_PROXY_NAME \
         --http-keep-alive-timeout-sec=HTTP_KEEP_ALIVE_TIMEOUT_SEC \
         --region REGION
      

Ganti kode berikut:

• TARGET_HTTP_PROXY_NAME: nama proxy HTTP target.
• TARGET_HTTPS_PROXY_NAME: nama proxy HTTPS target.
• HTTP_KEEP_ALIVE_TIMEOUT_SEC: nilai waktu tunggu keepalive HTTP dari 5 hingga 600 detik.

Langkah selanjutnya

• Mengonversi Load Balancer Aplikasi ke IPv6
• Ringkasan Load Balancer Aplikasi internal regional
• Subnet khusus proxy untuk load balancer berbasis Envoy
• Menggunakan sertifikat SSL yang dikelola sendiri
• Membersihkan penyiapan load balancer