ゾーン NEG を使用して外部パススルーネットワークロードバランサを設定する

このドキュメントでは、ゾーンネットワークエンドポイントグループ（NEG）バックエンドを使用する外部パススルーネットワークロードバランサをデプロイする方法について説明します。GCE_VM_IP エンドポイントを含むゾーン NEG を使用すると、次のことができます。

仮想マシン（VM）インスタンスのネットワークインターフェースをバックエンドエンドポイントとして表すことで、VM インスタンスの nic0 以外のネットワークインターフェースにパケットを転送する。
1 つのエンドポイントを複数の NEG に接続できる柔軟なバックエンドエンドポイントのセットを作成する。各 NEG は異なるエンドポイントのセットを持つことができます（エンドポイントが重複する可能性があります）。

このドキュメントに進む前に、次の内容を理解しておいてください。

権限

ここで説明する手順に沿って操作する前に、インスタンスを作成し、プロジェクト内のネットワークを変更しておく必要があります。そのため、プロジェクトのオーナーまたは編集者であるか、次の Compute Engine IAM ロールがすべて割り当てられている必要があります。

タスク	必要なロール
ネットワーク、サブネット、ロードバランサコンポーネントの作成	ネットワーク管理者
ファイアウォールルールの追加と削除	セキュリティ管理者
インスタンスの作成	Compute インスタンス管理者

詳しくは次のページをご覧ください。

設定の概要

このドキュメントでは、GCE_VM_IP ゾーン NEG バックエンドを使用する外部パススルーネットワークロードバランサを構成してテストする方法について説明します。このセクションでは、以下の構成方法について説明します。

カスタムサブネットを持つ lb-network という名前のサンプル VPC ネットワーク。
バックエンド VM への受信接続を許可するファイアウォールルール。
4 つの VM。
- ゾーン us-west1-a 内に VM vm-a1 と vm-a2
- ゾーン us-west1-c 内に VM vm-c1 と vm-c2
2 つのバックエンドゾーン NEG（ゾーン us-west1-a 内に neg-a、ゾーン us-west1-c 内に neg-c）。各 NEG には次のエンドポイントがあります。
- neg-a には、次の 2 つのエンドポイントが含まれています。
  - プライマリ内部 IP アドレスで識別される VM vm-a1 の nic1
  - プライマリ内部 IP アドレスで識別される VM vm-a2 の nic1
- neg-c には、次の 2 つのエンドポイントが含まれています。
  - プライマリ内部 IP アドレスで識別される VM vm-c1 の nic1
  - プライマリ内部 IP アドレスで識別される VM vm-c2 の nic1
us-west1-a 内で接続テストに使用する 1 台のクライアント VM（vm-client）
次のロードバランサコンポーネント:
- us-west1 リージョンの外部バックエンドサービス。2 つのゾーン NEG への接続分散を管理します。
- ロードバランサのフロントエンドの外部転送ルールと IP アドレス

外部パススルーネットワークロードバランサはリージョンロードバランサです。すべてのロードバランサコンポーネント（バックエンド VM、バックエンドサービス、転送ルール）は同じリージョン内に存在している必要があります。

この例のアーキテクチャは次のようになります。

ゾーン NEG を使用する外部パススルーネットワークロードバランサ。 — ゾーン NEG を使用する外部パススルーネットワークロードバランサ（クリックして拡大）

始める前に

Google Cloud CLI をインストールします。ツールの完全な概要については、gcloud CLI の概要をご覧ください。ロードバランシングに関連するコマンドについては、API と gcloud のリファレンスをご覧ください。

gcloud CLI を初めて実行する場合は、最初に gcloud init コマンドを実行して、認証を行います。

このページの説明は、bash の知識があることを前提としています。

ネットワークとサブネットを設定する

このページの例では、lb-network という名前のカスタムモードの VPC ネットワークを使用します。IPv4 トラフィックのみを処理する場合は、自動モードの VPC ネットワークを使用できます。ただし、IPv6 トラフィックにはカスタムモードのサブネットが必要です。

IPv6 トラフィックには、デュアルスタックサブネット（stack-type を IPv4_IPv6 に設定）も必要です。カスタムモードの VPC ネットワークにデュアルスタックサブネットを作成する場合は、サブネットに IPv6 アクセスタイプを選択します。この例では、サブネットの ipv6-access-type パラメータを EXTERNAL に設定します。このサブネット上の新しい VM には、外部 IPv4 アドレスと外部 IPv6 アドレスの両方を割り当てることができます。

この例で使用されているバックエンドとロードバランサのコンポーネントは、次のリージョンとサブネットに存在します。

リージョン: us-central1
サブネット: lb-subnet（プライマリ IPv4 アドレス範囲は 10.1.2.0/24）。サブネットに構成する IPv4 アドレス範囲を選択します。IPv6 アドレス範囲は自動的に割り当てられます。Google では、固定サイズ（/64）の IPv6 CIDR ブロックを提供しています。

サンプルのネットワークとサブネットを作成する手順は次のとおりです。

コンソール

IPv4 トラフィックと IPv6 トラフィックの両方をサポートするには、次の操作を行います。

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[VPC ネットワークを作成] をクリックします。
[名前] に「lb-network」を入力します。
[サブネット] セクションで次の設定を行います。
- [サブネット作成モード] を [カスタム] に設定します。
- [新しいサブネット] セクションで、次のフィールドを構成して [完了] をクリックします。
  - 名前: lb-subnet
  - リージョン: us-central1
  - IP スタックタイプ: IPv4 および IPv6（デュアルスタック）
  - IPv4 範囲: 10.1.2.0/24
    サブネットの IPv4 アドレス範囲は構成できますが、サブネットの IPv6 アドレスの範囲は選択できません。Google では、固定サイズ（/64）の IPv6 CIDR ブロックを提供しています。
  - IPv6 アクセスタイプ: 外部
[作成] をクリックします。

IPv4 トラフィックのみをサポートするには、次の操作を行います。

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[VPC ネットワークを作成] をクリックします。
[名前] に「lb-network」を入力します。
[サブネット] セクションで次の設定を行います。
- [サブネット作成モード] を [カスタム] に設定します。
- [新しいサブネット] セクションで、次のフィールドを構成して [完了] をクリックします。
  - 名前: lb-subnet
  - リージョン: us-central1
  - IP スタックタイプ: IPv4（シングルスタック）
  - IPv4 範囲: 10.1.2.0/24
[作成] をクリックします。

gcloud

カスタムモードの VPC ネットワークを作成します。

gcloud compute networks create lb-network \
    --subnet-mode=custom

lb-network ネットワーク内に us-central1 リージョンのバックエンドのサブネットを作成します。

IPv4 トラフィックと IPv6 トラフィックの両方の場合は、次のコマンドを使用してデュアルスタックサブネットを作成します。
```
gcloud compute networks subnets create lb-subnet \
  --stack-type=IPV4_IPv6 \
  --ipv6-access-type=EXTERNAL \
  --network=lb-network \
  --range=10.1.2.0/24 \
  --region=us-central1
```
IPv4 トラフィックのみの場合は、次のコマンドを使用します。
```
gcloud compute networks subnets create lb-subnet \
  --network=lb-network \
  --range=10.1.2.0/24 \
  --region=us-central1
```

VM とネットワークエンドポイントグループを作成する

外部パススルーネットワークロードバランサのリージョン特性を示すために、この例では、2 つの異なるゾーンで 2 つのゾーン NEG バックエンドを使用します。トラフィックは、両方の NEG 間および各 NEG 内のエンドポイント間でロードバランスされます。

VM を作成する

このロードバランシングのシナリオでは、4 つの VM を作成し、各インスタンスに Apache ウェブサーバーをインストールします。ウェブサーバーは TCP ポート 80 でリッスンします。デフォルトでは、Apache は任意の IP アドレスにバインドされます。外部パススルーネットワークロードバランサは、宛先 IP アドレスを保持してパケットを配信します。

説明を簡単にするため、これらのバックエンド VM では Debian GNU Linux 10 を実行します。

IPv4 トラフィックと IPv6 トラフィックの両方を処理するには、バックエンド VM をデュアルスタックとして構成します。VM の stack-type を IPv4_IPv6 に設定します。VM は、サブネットから ipv6-access-type 設定（この例では EXTERNAL）も継承します。IPv6 の要件の詳細については、外部パススルーネットワークロードバランサの概要: 転送ルールをご覧ください。

既存の VM をバックエンドとして使用するには、gcloud compute instances network-interfaces update コマンドを使用して VM をデュアルスタックに更新します。

外部パススルーネットワークロードバランサのバックエンド VM として参加するインスタンスでは、適切な Linux ゲスト環境、Windows ゲスト環境、または同等の機能を提供する他のプロセスが実行されている必要があります。

各 VM には、nic0 と nic1 の 2 つのネットワークインターフェースがあります。このチュートリアルでは、lb-network VPC ネットワークと lb-subnet サブネットに関連付けられた nic1 を使用します。この手順の後半では、この lb-network ネットワークと lb-subnet サブネットを使用して、ゾーン NEG を作成します。

コンソール

VM を作成する

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
次の手順を繰り返し、4 つの VM を作成します。次の名前とゾーンの組み合わせを使用します。
- 名前: vm-a1、ゾーン: us-west1-a
- 名前: vm-a2、ゾーン: us-west1-a
- 名前: vm-c1、ゾーン: us-west1-c
- 名前: vm-c2、ゾーン: us-west1-c
[インスタンスを作成] をクリックします。
先ほど示したように [名前] を設定します。
[リージョン] で us-west1 を選択し、前述のように [ゾーン] を選択します。
[ブートディスク] セクションで、ブートディスクオプションに Debian オペレーティングシステムと 10（buster）バージョンが選択されていることを確認します。必要に応じて、[選択] をクリックしてイメージを変更します。
[詳細オプション] をクリックして、次の変更を行います。
- [ネットワーク] をクリックして、ネットワークタグ lb-tag を追加します。
- [ネットワークインターフェース] で、[ネットワークインターフェースを追加] をクリックして、次の変更を行います。
  
  IPv4 バックエンドと IPv6 バックエンドの場合:
  - ネットワーク: lb-network
  - サブネット: lb-subnet
  - IP スタックタイプ: IPv4 and IPv6 (dual-stack)
  - プライマリ内部 IP: エフェメラル（自動）
  - 外部 IPv4 アドレス: エフェメラル（自動）
  - 外部 IPv6 アドレス: 自動割り振り
  IPv4 のみのバックエンドの場合:
  - ネットワーク: lb-network
  - サブネット: lb-subnet
  - IP スタックタイプ: IPv4 (single-stack)
  - プライマリ内部 IP: エフェメラル（自動）
  - 外部 IP: エフェメラル
  次に [完了] をクリックします。
- [管理] をクリックします。[起動スクリプト] フィールドに、次のスクリプトの内容をコピーして貼り付けます。スクリプトの内容は 4 つの VM ですべて同じです。
```
#! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2
```
[作成] をクリックします。

gcloud

次の [VM-NAME] と [ZONE] の 4 つの組み合わせを使用して、下のコマンドを 4 回実行して 4 つの VM を作成します。スクリプトの内容は 4 つの VM ですべて同じです。

VM_NAME: vm-a1、ZONE: us-west1-a
VM_NAME: vm-a2、ZONE: us-west1-a
VM_NAME: vm-c1、ZONE: us-west1-c
VM_NAME: vm-c2、ZONE: us-west1-c

IPv4 トラフィックと IPv6 トラフィックの両方を処理する場合は、次のコマンドを使用します。

gcloud compute instances create VM_NAME \
    --zone=ZONE \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --tags=lb-tag \
    --network-interface=network=default,subnet=default,stack_type=IPv4_IPv6,--ipv6-network-tier=PREMIUM \
    --network-interface=network=lb-network,subnet=lb-subnet,stack_type=IPv4_IPv6,--ipv6-network-tier=PREMIUM \
    --metadata=startup-script='#! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2'

IPv4 トラフィックのみのトラフィックを処理するには、次のコマンドを使用します。

gcloud compute instances create VM_NAME \
    --zone=ZONE \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --tags=lb-tag \
    --network-interface=network=default,subnet=default,stack_type=IPv4_ONLY \
    --network-interface=network=lb-network,subnet=lb-subnet,stack_type=IPv4_ONLY \
    --metadata=startup-script='#! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2'

`GCE_VM_IP` エンドポイントを使用してゾーン NEG を作成する

NEG は、前の手順で作成した VM と同じゾーンに作成する必要があります。また、この例では、前の手順で作成した VM の nic1 に関連付けられた lb-network VPC ネットワークと lb-subnet サブネットに NEG を作成します。したがって、NEG のエンドポイントは VM の nic1 になります。

コンソール

ゾーンネットワークエンドポイントグループを作成するには:

Google Cloud コンソールの [ネットワークエンドポイントグループ] ページに移動します。
[ネットワークエンドポイントグループ] ページに移動
[ネットワークエンドポイントグループを作成] をクリックします。
ゾーン NEG の名前を入力します（例: neg-a）。
[ネットワークエンドポイントグループの種類] で [ネットワークエンドポイントグループ（ゾーン）] を選択します。
[ネットワーク] で lb-network を選択します。
[サブネット] で lb-subnet を選択します。
[ゾーン] で us-west1-a を選択します。
[作成] をクリックします。
この手順を繰り返して、neg-c という 2 番目のゾーン NEG を us-west1-c ゾーンに作成します。

エンドポイントをゾーン NEG に追加します。

Google Cloud コンソールの [ネットワークエンドポイントグループ] ページに移動します。
[ネットワークエンドポイントグループ] に移動
前の手順で作成した最初のネットワークエンドポイントグループの名前（neg-a）をクリックします。[ネットワークエンドポイントグループの詳細] ページが表示されます。
[このグループのネットワークエンドポイント] セクションで [ネットワークエンドポイントを追加] をクリックします。[ネットワークエンドポイントの追加] ページが表示されます。
1. [VM インスタンス] をクリックして [vm-a1] を選択し、その内部 IP アドレスをネットワークエンドポイントとして追加します。
2. [作成] をクリックします。
3. もう一度 [ネットワークエンドポイントを追加] をクリックし、[VM インスタンス] で [vm-a2] を選択します。
4. [作成] をクリックします。
前の手順で作成した 2 番目のネットワークエンドポイントグループの名前（neg-c）をクリックします。[ネットワークエンドポイントグループの詳細] ページが表示されます。
[このグループのネットワークエンドポイント] セクションで [ネットワークエンドポイントを追加] をクリックします。[ネットワークエンドポイントの追加] ページが表示されます。
1. [VM インスタンス] をクリックして [vm-c1] を選択し、その内部 IP アドレスをネットワークエンドポイントとして追加します。
2. [作成] をクリックします。
3. もう一度 [ネットワークエンドポイントを追加] をクリックし、[VM インスタンス] で [vm-c2] を選択します。
4. [作成] をクリックします。

gcloud

gcloud compute network-endpoint-groups create コマンドを使用して、us-west1-a に neg-a という GCE_VM_IP ゾーン NEG を作成します。

gcloud compute network-endpoint-groups create neg-a \
    --network-endpoint-type=gce-vm-ip \
    --zone=us-west1-a \
    --network=lb-network \
    --subnet=lb-subnet

エンドポイントを neg-a に追加します。

gcloud compute network-endpoint-groups update neg-a \
    --zone=us-west1-a \
    --add-endpoint='instance=vm-a1' \
    --add-endpoint='instance=vm-a2'

gcloud compute network-endpoint-groups create コマンドを使用して、us-west1-c に neg-c という GCE_VM_IP ゾーン NEG を作成します。

gcloud compute network-endpoint-groups create neg-c \
    --network-endpoint-type=gce-vm-ip \
    --zone=us-west1-c \
    --network=lb-network \
    --subnet=lb-subnet

エンドポイントを neg-c に追加します。

gcloud compute network-endpoint-groups update neg-c \
    --zone=us-west1-c \
    --add-endpoint='instance=vm-c1' \
    --add-endpoint='instance=vm-c2'

ファイアウォールルールの構成

外部トラフィック（ヘルスチェックプローブを含む）がバックエンドインスタンスに到達できるようにファイアウォールルールを作成します。

この例では、すべての送信元範囲からの TCP トラフィックがポート 80 でバックエンドインスタンスに到達できるようにファイアウォールルールを作成します。ヘルスチェックプローブ専用のファイアウォールルールを作成する場合は、ヘルスチェックの概要: プローブ IP 範囲とファイアウォールルールに記載されているソース IP アドレス範囲を使用します。

コンソール

Google Cloud コンソールで [ファイアウォール] ページに移動します。

[ファイアウォール] に移動
IPv4 トラフィックを許可するには、次の操作手を行います。
1. [ファイアウォールルールを作成] をクリックします。
2. 名前（allow-network-lb-ipv4）を入力します。
3. [ネットワーク] で [lb-network] を選択します。
4. [ターゲット] で [指定されたターゲットタグ] を選択します。
5. [ターゲットタグ] フィールドに「lb-tag」と入力します。
6. [ソースフィルタ] で [IPv4 範囲] を選択します。
7. [送信元 IPv4 範囲] を 0.0.0.0/0 に設定します。これにより、任意の送信元からの IPv4 トラフィックが許可されます。また、Google のヘルスチェックプローブがバックエンドインスタンスに到達できるようになります。
8. [指定したプロトコルとポート] で [TCP] を選択し、「80」と入力します。
9. [作成] をクリックします。
IPv6 トラフィックを許可するには、次の操作を行います。
1. もう一度 [ファイアウォールルールを作成] をクリックします。
2. 名前（allow-network-lb-ipv6）を入力します。
3. [ネットワーク] で [lb-network] を選択します。
4. [ターゲット] で [指定されたターゲットタグ] を選択します。
5. [ターゲットタグ] フィールドに「lb-tag」と入力します。
6. [ソースフィルタ] で [IPv6 範囲] を選択します。
7. [送信元 IPv6 範囲] を ::/0 に設定します。これにより、任意の送信元からの IPv6 トラフィックが許可されます。また、Google のヘルスチェックプローブがバックエンドインスタンスに到達できるようになります。
8. [指定したプロトコルとポート] で [TCP] を選択し、「80」と入力します。
9. [作成] をクリックします。

gcloud

IPv4 トラフィックを許可するには、次のコマンドを実行します。

gcloud compute firewall-rules create allow-network-lb-ipv4 \
    --network=lb-network \
    --target-tags=lb-tag \
    --allow=tcp:80 \
    --source-ranges=0.0.0.0/0

IPv6 トラフィックを許可するには、次のコマンドを実行します。

gcloud compute firewall-rules create allow-network-lb-ipv6 \
  --network=lb-network \
  --target-tags=lb-tag \
  --allow=tcp:80 \
  --source-ranges=::/0

ロードバランサの構成

次に、ロードバランサを設定します。

ロードバランサを構成すると、構成した静的外部 IP アドレス宛てのパケットを VM が受信するようになります。Compute Engine で提供されるイメージを使用する場合は、この IP アドレスを処理するようにインスタンスが自動的に構成されます。その他のイメージを使用する場合は、このアドレスを eth1 のエイリアスまたは各インスタンスのループバックとして構成する必要があります。

コンソール

構成を開始する

Google Cloud コンソールで、[ロードバランシング] ページに移動します。

[ロードバランシング] に移動
[ロードバランサを作成] をクリックします。
[ロードバランサの種類] で [ネットワークロードバランサ（TCP / UDP / SSL）] を選択し、[次へ] をクリックします。
[プロキシまたはパススルー] で [パススルーロードバランサ] を選択し、[次へ] をクリックします。
[インターネット接続または内部] で [インターネット接続（外部）] を選択し、[次へ] をクリックします。
[構成] をクリックします。

バックエンドの構成

[Create external passthrough Network Load Balancer] ページで、新しいロードバランサの名前 network-lb-zonal-neg を入力します。
[リージョン] で us-west1 を選択します。
[バックエンドタイプ] で [インターネットネットワークエンドポイントグループ] を選択します。
[バックエンドの構成] をクリックします。前に入力したロードバランサの名前が表示されますが、変更はできません。
[バックエンドの構成] ページで次の変更を行います。
1. [ネットワークエンドポイントグループ] リストで neg-a を選択し、[完了] をクリックします。
2. [バックエンドを追加] をクリックし、前の手順を繰り返して neg-c を追加します。
3. [ヘルスチェック] で、[ヘルスチェックを作成] または [別のヘルスチェックを作成] を選択して、次の情報を入力します。
  - 名前: tcp-health-check
  - プロトコル: TCP
  - ポート: 80
4. [保存] をクリックします。
続行する前に、[バックエンドの構成] の隣に青いチェックマークがあることを確認します。

フロントエンドの構成

[フロントエンドの構成] をクリックします。
[名前] に「netlb-forwarding-rule」と入力します。
IPv4 トラフィックを処理する手順は次のとおりです。
1. [IP バージョン] で [IPv4] を選択します。
2. [IP] でプルダウンメニューをクリックして、[IP アドレスを作成] を選択します。
  1. [新しい静的 IP アドレスの予約] ページで、[名前] に「netlb-ipv4-address」と入力します。
  2. [予約] をクリックします。
3. [ポート] で [単一] を選択します。[ポート番号] に「80」と入力します。
4. [完了] をクリックします。
IPv6 トラフィックを処理する手順は次のとおりです。
1. [IP バージョン] で [IPv6] を選択します。
2. [サブネットワーク] で [lb-subnet] を選択します。
3. [IPv6 範囲] のプルダウンメニューをクリックし、[IP アドレスを作成] を選択します。
  1. [新しい静的 IP アドレスの予約] ページで、[名前] に「netlb-ipv6-address」と入力します。
  2. [予約] をクリックします。
4. [ポート] で [単一] を選択します。[ポート番号] に「80」と入力します。
5. [完了] をクリックします。
[フロントエンドの構成] の左側にある青い丸のチェックマークが表示されていれば、設定に成功しています。

構成を確認する

[確認と完了] をクリックします。
ロードバランサの構成を確認します。
省略可: [同等のコード] をクリックして、ロードバランサの作成に使用する REST API リクエストを表示します。
[作成] をクリックします。

[ロードバランシング] ページで、新しいロードバランサの [バックエンド] 列に緑色のチェックマークが表示されていれば、新しく作成したロードバランサは正常な状態です。

gcloud

静的外部 IP アドレスの予約。

IPv4 トラフィックの場合: ロードバランサに静的外部 IPv4 アドレスを作成します。
```
gcloud compute addresses create netlb-ipv4-address \
    --region=us-west1
```
IPv6 トラフィックの場合: ロードバランサの静的外部 IPv6 アドレス範囲を作成します。使用するサブネットは、外部 IPv6 範囲のあるデュアルスタックサブネットである必要があります。
```
gcloud compute addresses create netlb-ipv6-address \
    --region=us-west1 \
    --subnet=lb-subnet \
    --ip-version=IPV6 \
    --endpoint-type=NETLB
```
TCP ヘルスチェックを作成します。
注: バックエンドサービスベースの外部パススルーネットワークロードバランサは、TCP、SSL、HTTP(S)、HTTP/2 ヘルスチェックを使用できます。ターゲットプールベースの外部パススルーネットワークロードバランサは、レガシーヘルスチェックのみを使用できます。
```
gcloud compute health-checks create tcp tcp-health-check \
    --region=us-west1 \
    --port=80
```

バックエンドサービスを作成します。

gcloud compute backend-services create networklb-backend-service \
    --protocol=TCP \
    --health-checks=tcp-health-check \
    --health-checks-region=us-west1 \
    --region=us-west1

2 つのゾーン NEG（neg-a と neg-c）をバックエンドサービスに追加します。

gcloud compute backend-services add-backend networklb-backend-service \
    --region=us-west1 \
    --network-endpoint-group=neg-a \
    --network-endpoint-group-zone=us-west1-a

gcloud compute backend-services add-backend networklb-backend-service \
    --region=us-west1 \
    --network-endpoint-group=neg-c \
    --network-endpoint-group-zone=us-west1-c

IPv4 トラフィックと IPv6 トラフィックのどちらを処理するかに応じて、転送ルールを作成します。両方の転送ルールを作成して、両方のタイプのトラフィックを処理します。
1. IPv4 トラフィックの場合: 着信する TCP トラフィックをバックエンドサービスに転送する転送ルールを作成します。手順 1 で予約した IPv4 アドレスをロードバランサの静的外部 IP アドレスとして使用します。
```
gcloud compute forwarding-rules create forwarding-rule-ipv4 \
  --load-balancing-scheme=EXTERNAL \
  --region=us-west1 \
  --ports=80 \
  --address=netlb-ipv4-address \
  --backend-service=networklb-backend-service
```
2. IPv6 トラフィックの場合: IPv6 トラフィックを処理する転送ルールを作成します。手順 1 で予約した IPv6 アドレス範囲を、ロードバランサの静的外部 IP アドレスとして使用します。使用するサブネットは、外部 IPv6 サブネット範囲のあるデュアルスタックサブネットである必要があります。
```
gcloud compute forwarding-rules create forwarding-rule-ipv6 \
    --load-balancing-scheme=EXTERNAL \
    --region=us-west1 \
    --network-tier=PREMIUM \
    --ip-version=IPV6 \
    --subnet=lb-subnet \
    --address=netlb-ipv6-address \
    --ports=80 \
    --backend-service=networklb-backend-service
```

ロードバランサをテストする

ロードバランシングサービスの構成が完了したので、ロードバランサの外部 IP アドレスにトラフィックの送信を開始できます。また、バックエンドインスタンスに分散されるトラフィックを監視できます。

ロードバランサの外部 IP アドレスを調べる

コンソール

[ロードバランシング] ページの [詳細] で、[転送ルール] タブに移動します。

[転送ルール] に移動
ロードバランサが使用する転送ルールを探します。
[アドレス] 列に表示された外部 IP アドレスをメモします。

gcloud: IPv4

次のコマンドを入力して、ロードバランサが使用する network-lb-forwarding-rule 転送ルールの外部 IPv4 アドレスを表示します。

gcloud compute forwarding-rules describe forwarding-rule-ipv4 \
    --region=us-west1

gcloud: IPv6

次のコマンドを入力して、ロードバランサが使用する network-lb-forwarding-rule 転送ルールの外部 IPv6 アドレスを表示します。

gcloud compute forwarding-rules describe forwarding-rule-ipv6 \
    --region=us-west1

ロードバランサにトラフィックを送信する

curl を使用して IP アドレスに接続するロードバランサへのウェブリクエストを作成します。

IPv4 接続のクライアントから、次のコマンドを実行します。
```
$ while true; do curl -m1 IPV4_ADDRESS; done
```
IPv6 接続のクライアントから、次のコマンドを実行します。
```
$ while true; do curl -m1 http://IPV6_ADDRESS; done
```
たとえば、割り当てられた IPv6 アドレスが [2001:db8:1:1:1:1:1:1/96]:80 の場合、コマンドは次のようになります。
```
$ while true; do curl -m1 http://[2001:db8:1:1:1:1:1:1]:80; done
```

curl コマンドによって返された値の文字列をメモします。レスポンスを生成するバックエンド VM の名前が文字列内に表示されます（たとえば、Page served from: VM_NAME）。

curl コマンドからのレスポンスは、バックエンドインスタンスの間でランダムに変わります。最初のレスポンスで失敗した場合は、構成が完全に読み込まれてインスタンスが正常であるとマークされるまで最大 30 秒待ってから、もう一度やり直してください。

追加の構成オプション

外部パススルーネットワークロードバランサをさらにカスタマイズするには、セッションアフィニティとトラフィックステアリングを構成し、フェイルオーバーポリシーまたは接続トラッキングポリシーを設定します。これらのタスクはオプションで、任意の順序で実行できます。設定については、追加の構成オプションをご覧ください。

次のステップ

外部パススルーネットワークロードバランサをターゲットプールバックエンドからリージョンバックエンドサービスに移行する方法を確認する。外部パススルーネットワークロードバランサをターゲットプールからバックエンドサービスに移行するをご覧ください。
複数の IP プロトコルに外部パススルーネットワークロードバランサを構成する（IPv4 と IPv6 のトラフィックをサポート）。複数の IP プロトコルへの外部パススルーネットワークロードバランサを設定するをご覧ください。
Google Cloud Armor を使用して外部パススルーネットワークロードバランサの高度なネットワーク DDoS 対策を構成する。高度なネットワーク DDoS 対策を構成するをご覧ください。
リソースを削除する。ロードバランサの設定をクリーンアップするをご覧ください。

ゾーン NEG を使用して外部パススルー ネットワーク ロードバランサを設定する

権限

設定の概要

始める前に

ネットワークとサブネットを設定する

コンソール

gcloud

VM とネットワーク エンドポイント グループを作成する

VM を作成する

コンソール

gcloud

GCE_VM_IP エンドポイントを使用してゾーン NEG を作成する

コンソール

gcloud

ファイアウォール ルールの構成

コンソール

gcloud

ロードバランサの構成

コンソール

構成を開始する

バックエンドの構成

フロントエンドの構成

構成を確認する

gcloud

ロードバランサをテストする

ロードバランサの外部 IP アドレスを調べる

コンソール

gcloud: IPv4

gcloud: IPv6

ロードバランサにトラフィックを送信する

追加の構成オプション

次のステップ

ゾーン NEG を使用して外部パススルーネットワークロードバランサを設定する

VM とネットワークエンドポイントグループを作成する

`GCE_VM_IP` エンドポイントを使用してゾーン NEG を作成する

ファイアウォールルールの構成