ハイブリッド接続ネットワークエンドポイントグループの概要

Cloud Load Balancing は、オンプレミスデータセンターや他のパブリッククラウドなどの Google Cloud の外部に拡張され、ハイブリッド接続で到達可能なエンドポイントへのトラフィックをロードバランシングできます。

ハイブリッド戦略は、変化する市場の要求に応じて、アプリケーションを段階的にモダナイズするための実際的なソリューションです。これは、最新のクラウドベースのソリューションに移行する際の一時的なデプロイメントの場合もあれば、組織の IT インフラストラクチャの恒久的な設備の場合もあります。

ハイブリッドロードバランシングを設定すると、Google Cloud の外部にある既存のインフラストラクチャで実行されているサービスでも Cloud Load Balancing のネットワーク機能のメリットを活用できます。

ハイブリッドロードバランシングは、次の Google Cloud ロードバランサでサポートされています。

外部アプリケーションロードバランサ: グローバル外部アプリケーションロードバランサ、従来のアプリケーションロードバランサ、リージョン外部アプリケーションロードバランサ
内部アプリケーションロードバランサ: クロスリージョン内部アプリケーションロードバランサとリージョン内部アプリケーションロードバランサ
外部プロキシネットワークロードバランサ: グローバル外部プロキシネットワークロードバランサ、従来のプロキシネットワークロードバランサ、リージョン外部プロキシネットワークロードバランサ
内部プロキシネットワークロードバランサ: リージョン内部プロキシネットワークロードバランサとクロスリージョン内部プロキシネットワークロードバランサ

オンプレミスなどのクラウドサービスは、他の Cloud Load Balancing のバックエンドと同様に扱われます。主な違いは、ハイブリッド接続 NEG を使用してサービスのエンドポイントを構成することです。エンドポイントは、Cloud VPN や Cloud Interconnect などのハイブリッド接続プロダクトを使用してロードバランサが到達できる有効な IP:port の組み合わせにする必要があります。

ユースケース: オンプレミスまたは別のクラウドにトラフィックを転送する

ハイブリッド NEG を使用する最も簡単なユースケースは、Google Cloud ロードバランサからオンプレミスのロケーションまたは別のクラウド環境にトラフィックを転送することです。クライアントは、公共のインターネット、Google Cloud 内、またはオンプレミスクライアントからのトラフィックを送信できます。

公開クライアント

ハイブリッド NEG バックエンドを備えた外部アプリケーションロードバランサを使用して、外部クライアントからオンプレミスまたは別のクラウドネットワークのバックエンドにトラフィックを転送できます。また、オンプレミスまたは他のクラウドネットワークのサービスで次の付加価値の高いネットワーク機能を有効にできます。

グローバル外部アプリケーションロードバランサと従来のアプリケーションロードバランサを使用すると、次のことができます。
- Google のグローバルエッジインフラストラクチャを使用して、ユーザーに近い場所でユーザー接続を終端することで、レイテンシを短縮する。
- Google Cloud Armor を使用してサービスを保護する。これは、外部アプリケーションロードバランサ経由でアクセスするすべてのサービスで利用できるエッジ DDoS 防御 / WAF セキュリティプロダクトです。
- サービスで Cloud CDN を使用して配信を最適化できるようにする。Cloud CDN を使用すると、ユーザーの近くにコンテンツをキャッシュ保存できます。Cloud CDN は、キャッシュの無効化や Cloud CDN 署名付き URL などの機能を提供します。
- Google マネージド SSL 証明書を使用する。他の Google Cloud プロダクトですでに使用している証明書と秘密鍵を再利用できます。これにより、証明書を個別に管理する必要がなくなります。
次の図は、外部アプリケーションロードバランサを使用したハイブリッドデプロイを示しています。

グローバル外部アプリケーションロードバランサを使用したハイブリッド接続（クリックして拡大）

この図では、公共のインターネット上のクライアントからのトラフィックが、外部アプリケーションロードバランサなどの Google Cloud ロードバランサ経由で非公開のオンプレミスネットワークまたはクラウドネットワークに送信されます。トラフィックがロードバランサに到達すると、Google Cloud Armor DDoS 対策や Identity-Aware Proxy（IAP）のユーザー認証などのネットワークエッジサービスを適用できます。

リージョン外部アプリケーションロードバランサでは、ロードバランサのリソースと同じ Google Cloud リージョン内にあるエンドポイントに外部トラフィックをルーティングできます。このロードバランサは、1 つの位置情報のみからコンテンツを配信する場合（コンプライアンスで規制されている場合など）や、スタンダードネットワークサービスティアが必要な場合に使用します。

リクエストの転送方法は URL マップの構成（宛先が Google Cloud バックエンドかオンプレミス / クラウドエンドポイントか）によって異なります。URL マップに応じて、ロードバランサはリクエストのバックエンドサービスを選択します。選択したバックエンドサービスが、ハイブリッド接続 NEG（Google Cloud 以外のエンドポイントでのみ使用）で構成されている場合、ロードバランサは、Cloud VPN または Cloud Interconnect 間のトラフィックを目的の外部の宛先に転送します。

内部クライアント（Google Cloud またはオンプレミス）

Google Cloud 内のクライアントにハイブリッドデプロイを設定することもできます。この場合、クライアントトラフィックは Google Cloud VPC ネットワーク、オンプレミスネットワーク、または別のクラウドから、オンプレミスまたは他のクラウドネットワーク内のエンドポイントに送信されます。

内部アプリケーションロードバランサはリージョンロードバランサです。つまり、ロードバランサのリソースと同じ Google Cloud リージョン内のエンドポイントにのみトラフィックをルーティングできます。クロスリージョン内部アプリケーションロードバランサは、グローバルに分散しているバックエンドサービスにトラフィックをロードバランスできるマルチリージョンロードバランサです。

次の図は、リージョン内部アプリケーションロードバランサを使用したハイブリッドデプロイを示しています。

リージョン内部アプリケーションロードバランサを使用したハイブリッド接続。 — リージョン内部アプリケーションロードバランサを使用したハイブリッド接続（クリックして拡大）

ユースケース: クラウドへの移行

既存のサービスをクラウドに移行してオンプレミスの容量を解放し、オンプレミスのインフラストラクチャを維持する費用と負担を減らすことができます。現在のオンプレミスサービスと対応する Google Cloud サービスエンドポイントの両方にトラフィックを転送できるように、一時的にハイブリッドデプロイメントを設定できます。

次の図は、内部アプリケーションロードバランサを使用した設定を示しています。

Google Cloud への移行。 — Google Cloud への移行（クリックして拡大）

内部アプリケーションロードバランサを使用して内部クライアントを処理する場合は、重み付けベースのトラフィック分割を使用して 2 つのサービス間でトラフィックを分割するように Google Cloud ロードバランサを構成できます。トラフィック分割を使用すると、トラフィックの 0% を Google Cloud サービスに送信し、100% をオンプレミスサービスに送信することから始めることが可能です。その後、Google Cloud サービス宛てのトラフィックの割合を徐々に増やしていきます。最終的には、トラフィックの 100% を Google Cloud サービスに送信し、オンプレミスサービスを廃止します。

ハイブリッドアーキテクチャ

このセクションでは、ロードバランシングアーキテクチャと、ハイブリッドロードバランシングのデプロイメントを構成するために必要なリソースについて説明します。

オンプレミスなどのクラウドサービスは、他の Cloud Load Balancing のバックエンドと同様に動作します。主な違いは、ハイブリッド接続 NEG を使用してサービスのエンドポイントを構成することです。エンドポイントは、Cloud VPN や Cloud Interconnect などのハイブリッド接続を介してクライアントが到達できる有効な IP:port の組み合わせにする必要があります。

次の図は、外部アプリケーションロードバランサとリージョン内部アプリケーションロードバランサのハイブリッドロードバランシングを有効にするために必要な Google Cloud リソースを示しています。

グローバル外部 HTTP(S)

ハイブリッド接続用のグローバル外部アプリケーションロードバランサのリソース。 — ハイブリッド接続用のグローバル外部アプリケーションロードバランサのリソース（クリックして拡大）

リージョン外部 HTTP(S)

ハイブリッド接続用のリージョン外部アプリケーションロードバランサのリソース。 — ハイブリッド接続用のリージョン外部アプリケーションロードバランサのリソース（クリックして拡大）

リージョン内部 HTTP(S)

ハイブリッド接続用のリージョン内部アプリケーションロードバランサのリソース。 — ハイブリッド接続用のリージョン内部アプリケーションロードバランサのリソース（クリックして拡大）

リージョン内部プロキシ

リージョンとグローバル

Cloud Load Balancing のルーティングは、構成されているロードバランサのスコープによって異なります。

外部アプリケーションロードバランサと外部プロキシネットワークロードバランサこれらのロードバランサは、使用するネットワークティアに応じて、グローバルルーティングまたはリージョンルーティングのいずれかに構成できます。ハイブリッド接続が構成されているネットワークとリージョンにロードバランサのハイブリッド NEG バックエンドを作成します。近接ベースのロードバランシングを利用するには、Google Cloud 以外のエンドポイントも適切に構成する必要があります。

クロスリージョン内部アプリケーションロードバランサとクロスリージョン内部プロキシネットワークロードバランサ。これは、グローバルに分散されたバックエンドサービスにトラフィックをロードバランスできるマルチリージョンロードバランサです。ハイブリッド接続が構成されているネットワークとリージョンにロードバランサのハイブリッド NEG バックエンドを作成します。近接ベースのロードバランシングを利用するには、Google Cloud 以外のエンドポイントも適切に構成する必要があります。

リージョン内部アプリケーションロードバランサとリージョン内部プロキシネットワークロードバランサ。これらはリージョンロードバランサです。つまり、ロードバランサと同じリージョン内のエンドポイントにのみトラフィックを転送できます。ロードバランサコンポーネントは、ハイブリッド接続が構成されているリージョンに構成する必要があります。デフォルトでは、ロードバランサにアクセスするクライアントも同じリージョンに存在する必要があります。ただし、グローバルアクセスを有効にすると、任意のリージョンのクライアントもロードバランサにアクセスできます。

たとえば、Cloud VPN ゲートウェイまたは Cloud Interconnect VLAN アタッチメントが REGION_A に構成されている場合、ロードバランサに必要なリソース（バックエンドサービス、ハイブリッド NEG、転送ルールなど）は、REGION_A リージョンに作成する必要があります。デフォルトでは、ロードバランサにアクセスするクライアントも REGION_A リージョンに存在する必要があります。ただし、グローバルアクセスを有効にすると、任意のリージョンのクライアントもロードバランサにアクセスできます。

ネットワーク接続の要件

ハイブリッドロードバランシングのデプロイメントを構成する前に、次のリソースを設定する必要があります。

Google Cloud VPC ネットワーク。Google Cloud 内で構成された VPC ネットワーク。これは、Cloud Interconnect / Cloud VPN、Cloud Router の構成に使用される VPC ネットワークです。これは、ロードバランシングリソース（転送ルール、ターゲットプロキシ、バックエンドサービスなど）を作成するネットワークです。オンプレミス、他のクラウド、Google Cloud サブネットの IP アドレスと IP アドレス範囲は、重複しないようにする必要があります。IP アドレスが重複する場合、リモート接続よりもサブネットルートが優先されます。
ハイブリッド接続。オンプレミスまたは他のクラウド環境と Google Cloud を接続するには、Cloud Router とともに Cloud Interconnect VLAN アタッチメントまたは Cloud VPN トンネルを使用して、ハイブリッド接続を確立する必要があります。高可用性接続の使用をおすすめします。グローバル動的ルーティングが有効になっている Cloud Router は、BGP を介して特定のエンドポイントを学習し、Google Cloud VPC ネットワークにプログラムします。リージョン動的ルーティングはサポートされていません。静的ルートもサポートされていません。

Cloud Interconnect / Cloud VPN と Cloud Router は、ハイブリッドロードバランシングに使用する VPC ネットワークで構成する必要があります。Cloud Router は、オンプレミス環境に次のルートをアドバタイズする必要もあります。
- Google のヘルスチェックプローブで使用される範囲: 35.191.0.0/16 と 130.211.0.0/22。これは、グローバル外部アプリケーションロードバランサ、従来のアプリケーションロードバランサ、グローバル外部プロキシネットワークロードバランサ、従来のプロキシネットワークロードバランサに必要です。
- リージョンのプロキシ専用サブネットの範囲: Envoy ベースのロードバランサの場合 - リージョン外部アプリケーションロードバランサ、リージョン内部アプリケーションロードバランサ、クロスリージョン内部アプリケーションロードバランサ、リージョン外部プロキシネットワークロードバランサ、クロスリージョン内部プロキシネットワークロードバランサ、リージョン内部プロキシネットワークロードバランサ。
  
  分散 Envoy ヘルスチェックを機能させるには、アドバタイズするリージョンのプロキシ専用サブネットも必要です。分散 Envoy ヘルスチェックは、Envoy ベースのロードバランサの背後にあるゾーンハイブリッド接続 NEG（NON_GCP_PRIVATE_IP_PORT エンドポイント）のデフォルトのヘルスチェックメカニズムです。
オンプレミスまたは他のクラウドのネットワークエンドポイント（IP:Port）。オンプレミスまたは他のクラウド環境内で構成され、Cloud Interconnect または Cloud VPN 経由で転送可能な 1 つ以上の IP:Port ネットワークエンドポイント。IP エンドポイントへのパスが複数ある場合は、VPC ルートの概要と Cloud Router の概要で説明されているように動作します。
オンプレミスまたは他のクラウド上のファイアウォールルール。オンプレミスまたはその他のクラウド環境に、次のファイアウォールルールを作成する必要があります。
- Google のヘルスチェックプローブからエンドポイントへのトラフィックを許可する上り（内向き）許可のファイアウォールルール。許可される範囲は 35.191.0.0/16 と 130.211.0.0/22 です。これらの範囲は、Cloud Router からオンプレミスネットワークにもアドバタイズする必要があります。詳細については、プローブの IP 範囲とファイアウォールルールをご覧ください。
- ロードバランシングされるトラフィックがエンドポイントに到達することを許可する上り（内向き）許可ファイアウォールルール。
- Envoy ベースのロードバランサ（リージョン外部アプリケーションロードバランサ、リージョン内部アプリケーションロードバランサ、クロスリージョン内部アプリケーションロードバランサ、リージョン外部プロキシネットワークロードバランサ、クロスリージョン内部プロキシネットワークロードバランサ、リージョン内部プロキシネットワークロードバランサ）の場合は、リージョンのプロキシ専用サブネットからのトラフィックがオンプレミスまたは他のクラウド環境にあるエンドポイントに到達できるようにファイアウォールルールを作成する必要があります。

ロードバランサコンポーネント

ロードバランサの種類に応じて、スタンダードティアまたはプレミアムティアのネットワークサービスを使用してハイブリッドロードバランシングのデプロイメントを設定できます。

ハイブリッドロードバランサには、バックエンドサービス専用の特別な構成が必要です。フロントエンドの構成は他のロードバランサと同じです。Envoy ベースのロードバランサ（リージョン外部アプリケーションロードバランサ、リージョン内部アプリケーションロードバランサ、クロスリージョン内部アプリケーションロードバランサ、リージョン外部プロキシネットワークロードバランサ、クロスリージョン内部プロキシネットワークロードバランサ、リージョン内部プロキシネットワークロードバランサ）には、ユーザーに代わって Envoy プロキシを実行するための追加のプロキシ専用サブネットが必要です。

フロントエンドの構成

ハイブリッドロードバランシングには特別なフロントエンド構成は必要ありません。転送ルールは、IP アドレス、ポート、プロトコルに基づいてトラフィックをターゲットプロキシに転送するために使用されます。ターゲットプロキシはクライアントからの接続を終端します。

URL マップは、HTTP(S) ロードバランサが適切なバックエンドサービスへのリクエストの URL ベースの転送を設定するために使用します。

これらの各コンポーネントの詳細については、特定のロードバランサの概要にあるアーキテクチャのセクションをご覧ください。

バックエンドサービス

バックエンドサービスは、ロードバランサに構成情報を提供します。ロードバランサは、バックエンドサービスからの情報を使用して、受信トラフィックを接続されている 1 つまたは複数のバックエンドに振り向けます。

ハイブリッドロードバランシングのデプロイを設定するには、Google Cloud 内と Google Cloud の外部にあるバックエンドを使用してロードバランサを構成します。

Google Cloud 以外のバックエンド（オンプレミスまたは他のクラウド）

Google のハイブリッド接続プロダクト（Cloud VPN または Cloud Interconnect）を使用して到達でき、有効な IP:Port の組み合わせを使用して到達可能な宛先は、ロードバランサのエンドポイントとして構成できます。

Google Cloud 以外のバックエンドを次のように構成します。
1. Google Cloud 以外のネットワークエンドポイントの IP:Port の組み合わせをハイブリッド接続ネットワークエンドポイントグループ（NEG）に追加します。ハイブリッド接続（Cloud VPN または Cloud Interconnect）を使用して、この IP アドレスとポートに Google Cloud から到達できるようにします。ハイブリッド接続 NEG の場合は、ネットワークエンドポイントタイプを NON_GCP_PRIVATE_IP_PORT に設定します。
2. NEG を作成する際に、Google Cloud とオンプレミスまたは他のクラウド環境との間の地理的距離が最短になる Google Cloud ゾーンを指定します。たとえば、ドイツのフランクフルトのオンプレミス環境にサービスをホストする場合、NEG を作成するときに europe-west3-a Google Cloud ゾーンを指定できます。
3. このハイブリッド接続 NEG をバックエンドサービスのバックエンドとして追加します。
  
  ハイブリッド接続 NEG には Google Cloud 以外のエンドポイントのみを含める必要があります。内部パススルーネットワークロードバランサの転送ルール IP アドレスなど、Google Cloud VPC ネットワーク内のリソースのエンドポイントがハイブリッド NEG に含まれている場合、トラフィックはドロップされる可能性があります。次のセクションの指示に従って、Google Cloud エンドポイントを構成します。
Google Cloud バックエンド

Google Cloud エンドポイントを次のように構成します。
1. Google Cloud バックエンド用に別のバックエンドサービスを作成します。
2. ハイブリッド接続を設定したリージョン内で、複数のバックエンド（GCE_VM_IP_PORT ゾーン NEG またはインスタンスグループ）を構成します。

その他の注意事項:

各ハイブリッド接続 NEG には、同じタイプのネットワークエンドポイント（NON_GCP_PRIVATE_IP_PORT）のみを含めることができます。
単一のバックエンドサービスを使用して、Google Cloud ベースのバックエンド（GCE_VM_IP_PORT エンドポイントでゾーン NEG を使用）とオンプレミスまたは他のクラウドバックエンド（NON_GCP_PRIVATE_IP_PORT エンドポイントでハイブリッド接続 NEG を使用）の両方を参照できます。混合バックエンドタイプでは、これ以外の組み合わせは許可されません。 Cloud Service Mesh は、単一のバックエンドサービスで混合バックエンドタイプをサポートしていません。
注: GKE のデプロイの場合、混合 NEG バックエンドはスタンドアロン NEG でのみサポートされます。

バックエンドサービスのロードバランシングスキームは次のいずれかにする必要があります。
- EXTERNAL_MANAGED: グローバル外部アプリケーションロードバランサ、リージョン外部アプリケーションロードバランサ、グローバル外部プロキシネットワークロードバランサ、リージョン外部プロキシネットワークロードバランサの場合
- EXTERNAL: 従来のアプリケーションロードバランサ、従来のプロキシネットワークロードバランサの場合
- INTERNAL_MANAGED: 内部アプリケーションロードバランサと内部プロキシネットワークロードバランサの場合
INTERNAL_SELF_MANAGED は、ハイブリッド接続 NEG を使用した Cloud Service Mesh のマルチ環境デプロイでサポートされています。

アプリケーションロードバランサの場合、バックエンドサービスプロトコルは、HTTP、HTTPS、HTTP2 のいずれかにする必要があります。プロキシネットワークロードバランサの場合は、TCP または SSL にする必要があります。各ロードバランサでサポートされているバックエンドサービスプロトコルのリストについては、ロードバランサからバックエンドへのプロトコルをご覧ください。
ハイブリッド NEG バックエンドの分散モードは、アプリケーションロードバランサの場合は RATE、プロキシネットワークロードバランサの場合は CONNECTION にする必要があります。分散モードの詳細については、バックエンドサービスの概要をご覧ください。
ネットワークエンドポイントを追加するには、バックエンドサービスに接続しているバックエンドを更新します。
ハイブリッド接続 NEG バックエンド（Envoy ベースのロードバランサでのみサポート）で分散 Envoy ヘルスチェックを使用している場合は、同じバックエンドサービスに接続されているすべての NEG に一意のネットワークエンドポイントを構成してください。同じネットワークエンドポイントを複数の NEG に追加すると、未定義の動作になります。

一元化されたヘルスチェック

ハイブリッド NEG を使用する場合、グローバル外部アプリケーションロードバランサ、従来のアプリケーションロードバランサ、グローバル外部プロキシネットワークロードバランサ、従来のプロキシネットワークロードバランサには、一元化されたヘルスチェックが必要です。他の Envoy ベースのロードバランサは、次のセクションで説明するように分散 Envoy ヘルスチェックを使用します。

Google Cloud の外部にある NON_GCP_PRIVATE_IP_PORT バックエンドの場合は、オンプレミスと他のクラウドネットワークにファイアウォールルールを作成します。詳しくは、ネットワーク管理者に相談してください。ハイブリッド接続に使用する Cloud Router では、Google のヘルスチェックプローブで使用される範囲もアドバタイズする必要があります。アドバタイズされる範囲は 35.191.0.0/16 と 130.211.0.0/22 です。

Google Cloud 内の他の種類のバックエンドの場合は、こちらの例のように、Google Cloud でファイアウォールルールを作成します。

分散 Envoy ヘルスチェック

ヘルスチェックの構成は、ロードバランサの種類によって異なります。

グローバル外部アプリケーションロードバランサ、従来のアプリケーションロードバランサ、グローバル外部プロキシネットワークロードバランサ、従来のプロキシネットワークロードバランサ。これらのロードバランサは、分散 Envoy ヘルスチェックをサポートしていません。一元化されたヘルスチェックで説明されているように、Google の一元化されたヘルスチェックメカニズムを使用します。

リージョン外部アプリケーションロードバランサ、リージョン内部アプリケーションロードバランサ、リージョン外部プロキシネットワークロードバランサ、リージョン内部プロキシネットワークロードバランサ、クロスリージョン内部プロキシネットワークロードバランサ、クロスリージョン内部アプリケーションロードバランサ。これらのロードバランサは、分散 Envoy ヘルスチェックを使用してハイブリッド NEG の状態を確認します。ヘルスチェックプローブは、Envoy プロキシソフトウェア自体から発信されます。各バックエンドサービスは、バックエンドの状態を確認するヘルスチェックに関連付ける必要があります。ヘルスチェックプローブは、リージョン内のプロキシ専用サブネットの Envoy プロキシから発信されます。ヘルスチェックプローブが正常に機能するには、プロキシ専用サブネットからのトラフィックが外部バックエンドに到達できるように、外部環境にファイアウォールルールを作成する必要があります。

Google Cloud 外部の NON_GCP_PRIVATE_IP_PORT エンドポイントの場合は、オンプレミスと他のクラウドネットワークにこれらのファイアウォールルールを作成する必要があります。詳しくは、ネットワーク管理者に相談してください。ハイブリッド接続に使用する Cloud Router は、リージョンのプロキシ専用サブネット範囲もアドバタイズする必要があります。

分散 Envoy ヘルスチェックは、一元化されたヘルスチェックと同じ Google Cloud コンソール、gcloud CLI、API プロセスを使用して作成されます。その他の構成は不要です。

注意するポイント:

gRPC ヘルスチェックはサポートされていません。
PROXY プロトコル v1 が有効になっているヘルスチェックはサポートされていません。
1 つのバックエンドサービスで、ゾーン NEG（Google Cloud 内の GCE_VM_IP_PORT エンドポイント）とハイブリッド NEG（Google Cloud の外部にある NON_GCP_PRIVATE_IP_PORT エンドポイント）との混合 NEG を使用する場合、Google ヘルスチェックプローブの IP 範囲（130.211.0.0/22 と 35.191.0.0/16）から Google Cloud のゾーン NEG エンドポイントへのトラフィックを許可するように、ファイアウォールルールを設定する必要があります。これは、ゾーン NEG が Google の一元化されたヘルスチェックシステムを使用しているためです。
Envoy データプレーンはヘルスチェックを処理するため、Google Cloud コンソール、API、gcloud CLI を使用して、これらの外部エンドポイントのヘルスステータスを確認することはできません。Envoy ベースのロードバランサを使用するハイブリッド NEG の場合、Google Cloud コンソールでヘルスチェックステータスが N/A と表示されます。この表示は予期されたものです。
VPC ネットワークのリージョン内のプロキシ専用サブネットに割り当てられた Envoy プロキシは、それぞれ独立してヘルスチェックを開始します。そのため、ヘルスチェックが原因でネットワークトラフィックが増加することがあります。その増加量は、リージョン内の VPC ネットワークに割り当てられた Envoy プロキシの数、これらのプロキシが受信するトラフィックの量、各 Envoy プロキシがヘルスチェックを実行するエンドポイントの数によって異なります。最悪の場合、ヘルスチェックによるネットワークトラフィックが二次関数的に (O(n^2)) の割合で増加します。
分散 Envoy ヘルスチェックのヘルスチェックログには、ヘルスチェックの詳細な状態が記録されません。記録される内容の詳細については、ヘルスチェックのロギングをご覧ください。Envoy プロキシから NEG エンドポイントへの接続をさらにトラブルシューティングするには、対応するロードバランサのログを確認する必要があります。

制限事項

ハイブリッド接続に使用される Cloud Router は、グローバル動的ルーティングを有効にする必要があります。リージョン動的ルーティングと静的ルートはサポートされません。
Envoy ベースのリージョンロードバランサ（リージョン外部アプリケーションロードバランサ、リージョン外部プロキシネットワークロードバランサ、リージョン内部プロキシネットワークロードバランサ、リージョン内部アプリケーションロードバランサ）の場合、ハイブリッド接続をロードバランサと同じリージョン内で構成する必要があります。異なるリージョンで構成されている場合、バックエンドが正常と表示されることがありますが、クライアントのリクエストはバックエンドに転送されません。
こちらに記載されているロードバランサからバックエンドへの暗号化接続の考慮事項は、ハイブリッド接続 NEG で構成された Google Cloud 以外のバックエンドエンドポイントにも適用されます。

ハイブリッド接続構成のセキュリティ設定も必ず確認してください。現在、デフォルトでは HA VPN 接続は暗号化されます（IPsec）。デフォルトでは Cloud Interconnect 接続は暗号化されません。詳細については、転送データの暗号化に関するホワイトペーパーをご覧ください。

ロギング

ハイブリッド NEG のエンドポイントにプロキシされたリクエストは、他のバックエンドのリクエストと同様の方法で Cloud Logging のログに記録されます。グローバル外部アプリケーションロードバランサで Cloud CDN を有効にすると、キャッシュヒットもログに記録されます。

詳しくは以下をご覧ください。

割り当て

既存のネットワークエンドポイントグループ割り当てで許可されている数のネットワークエンドポイントを持つハイブリッド NEG を構成できます。詳細については、NEG バックエンドと、NEG あたりのエンドポイント数をご覧ください。

次のステップ

ハイブリッド接続で従来のアプリケーションロードバランサを設定する
ハイブリッド接続でリージョン外部アプリケーションロードバランサを設定する
ハイブリッド接続でリージョン内部アプリケーションロードバランサを設定する
ハイブリッド接続でリージョン内部プロキシネットワークロードバランサを設定する
ハイブリッド接続でクロスリージョン内部プロキシネットワークロードバランサを設定する
ハイブリッド接続でリージョン外部プロキシネットワークロードバランサを設定する
Cloud Service Mesh とのハイブリッド接続の詳細については、Cloud Service Mesh ハイブリッド接続の概要をご覧ください。
ハイブリッドデプロイ用に Cloud Service Mesh を構成するには、マルチ環境デプロイ用のネットワークエッジサービスをご覧ください。