Menyiapkan Load Balancer Jaringan proxy eksternal regional dengan backend NEG zonal

Network Load Balancer proxy eksternal regional adalah load balancer Lapisan 4 regional berbasis proxy yang memungkinkan Anda menjalankan dan menskalakan traffic layanan TCP di satu region di balik alamat IP regional eksternal. Load balancer ini mendistribusikan traffic TCP eksternal dari internet ke backend di region yang sama.

Panduan ini berisi petunjuk untuk menyiapkan Load Balancer Jaringan proxy eksternal regional dengan backend grup endpoint jaringan (NEG) zona.

Sebelum memulai, tinjau dokumen berikut:

• Ringkasan Load Balancer Jaringan proxy eksternal
• Ringkasan NEG zona

Dalam contoh ini, kita akan menggunakan load balancer untuk mendistribusikan traffic TCP di seluruh VM backend dalam dua NEG zonal di Region A. Untuk tujuan contoh, layanan ini adalah kumpulan server Apache yang dikonfigurasi untuk merespons di port 80.

Dalam contoh ini, Anda akan mengonfigurasi deployment yang ditampilkan dalam diagram berikut.

Contoh konfigurasi Load Balancer Jaringan proxy eksternal regional dengan backend NEG zona.

Ini adalah load balancer regional. Semua komponen load balancer (grup instance backend, layanan backend, proxy target, dan aturan penerusan) harus berada di region yang sama.

Izin

Untuk mengikuti panduan ini, Anda harus dapat membuat instance dan mengubah jaringan dalam project. Anda harus menjadi Pemilik atau Editor project, atau Anda harus memiliki semua peran IAM Compute Engine berikut.

Tugas	Peran yang diperlukan
Membuat komponen jaringan, subnet, dan load balancer	Compute Network Admin (roles/compute.networkAdmin)
Menambahkan dan menghapus aturan firewall	Compute Security Admin (roles/compute.securityAdmin)
Membuat instance	Compute Instance Admin (roles/compute.instanceAdmin)

Untuk informasi selengkapnya, lihat panduan berikut:

• Peran dan izin
• Kondisi IAM

Mengonfigurasi jaringan dan subnet

Anda memerlukan jaringan VPC dengan dua subnet, satu untuk backend load balancer dan satu lagi untuk proxy load balancer. Ini adalah load balancer regional. Traffic dalam jaringan VPC dirutekan ke load balancer jika sumber traffic berada di subnet di region yang sama dengan load balancer.

Contoh ini menggunakan jaringan, region, dan subnet VPC berikut:

• Jaringan: jaringan VPC mode kustom bernama lb-network

• Subnet untuk backend: subnet bernama backend-subnet di Region A yang menggunakan 10.1.2.0/24 untuk rentang alamat IP utama

• Subnet untuk proxy: subnet bernama proxy-only-subnet di Wilayah A yang menggunakan 10.129.0.0/23 untuk rentang alamat IP utamanya

Catatan: Anda dapat mengubah nama jaringan, region, dan parameter untuk subnet; namun, langkah-langkah berikutnya dalam panduan ini menggunakan parameter jaringan, region, dan subnet seperti yang disebutkan di sini.

Membuat jaringan dan subnet untuk backend

Konsol

1. Di Konsol Google Cloud, buka halaman jaringan VPC.

   Buka VPC networks

2. Klik Create VPC network.

3. Untuk Name, masukkan lb-network.

4. Di bagian Subnets, lakukan hal berikut:

   1. Setel Subnet creation mode ke Custom.
   2. Di bagian New subnet, masukkan informasi berikut:
      • Nama: backend-subnet
      • Region: REGION_A
      • Rentang alamat IP: 10.1.2.0/24
   3. Klik Done.

5. Klik Create.

gcloud

1. Untuk membuat jaringan VPC kustom, gunakan perintah gcloud compute networks create:

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. Untuk membuat subnet di jaringan lb-network di region REGION_A, gunakan perintah gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
      --network=lb-network \
      --range=10.1.2.0/24 \
      --region=REGION_A
   

Membuat subnet khusus proxy

Subnet khusus proxy menyediakan kumpulan alamat IP yang digunakan Google untuk menjalankan proxy Envoy atas nama Anda. Proxy menghentikan koneksi dari klien dan membuat koneksi baru ke backend.

Subnet khusus proxy ini digunakan oleh semua load balancer berbasis Envoy di Region A jaringan VPC lb-network.

Penting: Jangan mencoba menetapkan alamat dari subnet khusus proxy ke aturan penerusan atau backend load balancer Anda. Anda menetapkan alamat IP aturan penerusan dan alamat IP instance backend dari rentang subnet (atau beberapa rentang) yang berbeda, bukan rentang ini. Google Cloud mereservasi rentang subnet ini untuk proxy yang dikelola Google Cloud.

Konsol

Jika menggunakan konsol Google Cloud, Anda dapat menunggu dan membuat subnet khusus proxy nanti di halaman Load balancing.

Jika Anda ingin membuat subnet khusus proxy sekarang, gunakan langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman jaringan VPC.

   Buka jaringan VPC

2. Klik nama jaringan VPC Bersama: lb-network.

3. Klik Tambahkan subnet.

4. Untuk Name, masukkan proxy-only-subnet.

5. Untuk Region, pilih REGION_A.

6. Tetapkan Tujuan ke Proxy yang Dikelola Berdasarkan Wilayah.

7. Untuk Rentang alamat IP, masukkan 10.129.0.0/23.

8. Klik Tambahkan.

gcloud

Untuk membuat subnet khusus proxy, gunakan perintah gcloud compute networks subnets create:

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION_A \
    --network=lb-network \
    --range=10.129.0.0/23

Membuat aturan firewall

Dalam contoh ini, Anda membuat aturan firewall berikut:

• fw-allow-health-check. Aturan ingress, yang berlaku untuk instance Google Cloud yang di-load balance, yang mengizinkan traffic dari load balancer dan sistem health check Google Cloud (130.211.0.0/22 dan 35.191.0.0/16). Contoh ini menggunakan tag target allow-health-check untuk mengidentifikasi VM backend yang harus diterapkan dengan tag tersebut.
• fw-allow-ssh. Aturan ingress yang mengizinkan konektivitas SSH masuk di TCP port 22 dari alamat mana pun. Anda dapat memilih rentang IP sumber yang lebih ketat untuk aturan ini; misalnya, Anda hanya dapat menentukan rentang IP sistem tempat Anda memulai sesi SSH. Contoh ini menggunakan tag target allow-ssh untuk mengidentifikasi VM tempat tag tersebut harus diterapkan.

• fw-allow-proxy-only-subnet. Aturan firewall allow masuk untuk subnet khusus proxy yang memungkinkan load balancer berkomunikasi dengan instance backend di port TCP 80. Contoh ini menggunakan tag target allow-proxy-only-subnet untuk mengidentifikasi VM backend tempat tag tersebut harus diterapkan.

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Klik Create firewall rule, lalu lengkapi kolom berikut:

   • Nama: fw-allow-health-check
   • Jaringan: lb-network
   • Targets: Tag target yang ditentukan
   • Tag target: allow-health-check
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 130.211.0.0/22 dan 35.191.0.0/16
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.

3. Klik Create.

4. Klik Create firewall rule untuk kedua kalinya guna membuat aturan yang mengizinkan koneksi SSH yang masuk:

   • Nama: fw-allow-ssh
   • Jaringan: lb-network
   • Prioritas: 1000
   • Direction of traffic: Ingress
   • Action on match: Allow
   • Targets: Tag target yang ditentukan
   • Tag target: allow-ssh
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 0.0.0.0/0
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 22 untuk nomor port.

5. Klik Create.

6. Klik Create firewall rule untuk ketiga kalinya guna membuat aturan yang mengizinkan koneksi masuk dari subnet khusus proxy ke backend Google Cloud:

   • Nama: fw-allow-proxy-only-subnet
   • Jaringan: lb-network
   • Prioritas: 1000
   • Direction of traffic: Ingress
   • Action on match: Allow
   • Targets: Tag target yang ditentukan
   • Tag target: allow-proxy-only-subnet
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 10.129.0.0/23
   • Protokol dan port:
     • Pilih Protokol dan port yang ditentukan.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.

7. Klik Create.

gcloud

1. Buat aturan fw-allow-health-check untuk mengizinkan health check Google Cloud menjangkau instance backend di port TCP 80:

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --rules=tcp:80
   

2. Buat aturan firewall fw-allow-ssh untuk mengizinkan konektivitas SSH ke VM dengan tag jaringan allow-ssh. Saat Anda menghapus source-ranges, Google Cloud akan menafsirkan aturan sebagai sumber apa pun.

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

3. Buat aturan firewall izinkan masuk untuk subnet khusus proxy agar load balancer dapat berkomunikasi dengan instance backend di port TCP 80:

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-proxy-only-subnet \
       --source-ranges=10.129.0.0/23 \
       --rules=tcp:80
   

Mencadangkan alamat IP load balancer

Catatan: Load Balancer Jaringan proxy eksternal regional mendukung Network Service Tiers Premium dan Standar. Prosedur ini menunjukkan penyiapan dengan Paket Standar.

Konsol

1. Di konsol Google Cloud, buka halaman Reserve a static address.

   Buka Cadangkan alamat statis

2. Pilih nama untuk alamat baru.

3. Untuk Network Service Tier, pilih Standard.

4. Untuk IP version, pilih IPv4. Alamat IPv6 tidak didukung.

5. Untuk Jenis, pilih Regional.

6. Untuk Region, pilih REGION_A.

7. Biarkan opsi Lampirkan ke ditetapkan ke Tidak ada. Setelah Anda membuat load balancer, alamat IP ini akan dilampirkan ke aturan penerusan load balancer.

8. Klik Reserve untuk mereservasi alamat IP.

gcloud

1. Untuk mencadangkan alamat IP eksternal statis, gunakan perintah gcloud compute addresses create:

   gcloud compute addresses create ADDRESS_NAME  \
      --region=REGION_A \
      --network-tier=STANDARD
   

   Ganti ADDRESS_NAME dengan nama yang ingin Anda beri untuk alamat ini.

2. Untuk melihat hasilnya, gunakan perintah gcloud compute addresses describe:

   gcloud compute addresses describe ADDRESS_NAME
   

Menyiapkan NEG zona

Siapkan NEG zona dengan endpoint jenis GCE_VM_IP_PORT di Region A. Pertama-tama, buat VM, lalu buat NEG zonal dan tambahkan endpoint jaringan VM ke NEG.

Membuat VM

Konsol

1. Di konsol Google Cloud, buka halaman Instance VM.

   Buka instance VM

2. Klik Create instance.

3. Setel Nama ke vm-a1.

4. Untuk Region, pilih REGION_A.

5. Untuk Zone, pilih ZONE_A.

6. Di bagian Boot disk, pastikan Debian GNU/Linux 12 (bookworm) dipilih untuk opsi boot disk. Klik Pilih untuk mengubah gambar jika perlu.

7. Klik Advanced options.

8. Klik Networking, lalu konfigurasikan kolom berikut:

   1. Untuk Network tags, masukkan allow-ssh, allow-health-check, dan allow-proxy-only-subnet.
   2. Untuk Network interfaces, pilih dari daftar berikut:
      • Jaringan: lb-network
      • Subnet: backend-subnet

9. Klik Management. Masukkan skrip berikut ke dalam kolom Startup script:

   #! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2
   

10. Klik Create.

11. Ulangi langkah-langkah sebelumnya untuk membuat tiga VM lagi. Gunakan kombinasi nama dan zona berikut:

    • Nama: vm-a2 | Zona: ZONE_A
    • Nama: vm-b1 | Zona: ZONE_B
    • Nama: vm-b2 | Zona: ZONE_B

gcloud

Untuk membuat VM, gunakan perintah gcloud compute instances create dua kali. Gunakan kombinasi berikut untuk VM_NAME dan ZONE. Isi skrip identik untuk kedua VM:

• VM_NAME: vm-a1 dan ZONE: ZONE_A
• VM_NAME: vm-a2 dan ZONE: ZONE_A
• VM_NAME: vm-b1 dan ZONE: ZONE_B
• VM_NAME: vm-b2 dan ZONE: ZONE_B

 gcloud compute instances create VM_NAME \
     --zone=ZONE \
     --image-family=debian-12 \
     --image-project=debian-cloud \
     --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
     --subnet=backend-subnet \
     --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2'

Membuat NEG zona

Konsol

Membuat grup endpoint jaringan zona

1. Di Konsol Google Cloud, buka halaman Network endpoint groups.

   Buka Network endpoint groups
   

2. Klik Create network endpoint group.

3. Untuk Name, masukkan zonal-neg-a.

4. Untuk Network endpoint group type, pilih Network endpoint group (Zonal).

5. Untuk Network, pilih lb-network.

6. Untuk Subnet, pilih backend-subnet.

7. Untuk Zone, pilih ZONE_A.

8. Untuk Port default, masukkan 80.

9. Klik Create.

10. Ulangi semua langkah di bagian ini untuk membuat NEG zona kedua dengan perubahan setelan berikut:

    • Nama: zonal-neg-b
    • Zona: ZONE_B

Menambahkan endpoint ke NEG zona

1. Di Konsol Google Cloud, buka halaman Network endpoint groups.

   Buka Network endpoint groups
   

2. Klik nama grup endpoint jaringan yang Anda buat di langkah sebelumnya (misalnya, zonal-neg-a).

3. Di halaman Network endpoint group details, di bagian Network endpoints in this group, klik Add network endpoint.

4. Pilih instance VM (misalnya, vm-a1).

5. Di bagian Network interface, nama, zona, dan subnet VM akan ditampilkan.

   1. Untuk IP address, masukkan alamat IP endpoint jaringan baru. Untuk mendapatkan alamat IP, klik Periksa alamat IP utama dan rentang IP alias di nic0.
   2. Untuk Jenis port, pilih Default. Endpoint menggunakan port default 80 untuk semua endpoint dalam grup endpoint jaringan. Hal ini cukup untuk contoh kita karena server Apache menayangkan permintaan di port 80.
   3. Klik Create.

6. Klik Add network endpoint. Pilih instance VM kedua, vm-a2, dan ulangi langkah-langkah sebelumnya untuk menambahkan endpoint-nya ke zonal-neg-a.

7. Ulangi semua langkah di bagian ini untuk menambahkan endpoint dari vm-b1 dan vm-b2 ke zonal-neg-b.

gcloud

1. Buat NEG zona di zona ZONE_A dengan endpoint GCE_VM_IP_PORT:

   gcloud compute network-endpoint-groups create zonal-neg-a \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=ZONE_A \
       --network=lb-network \
       --subnet=backend-subnet
   

   Anda dapat menentukan --default-port saat membuat NEG, atau menentukan nomor port untuk setiap endpoint seperti yang ditunjukkan pada langkah berikutnya.

2. Tambahkan endpoint ke NEG zona:

   gcloud compute network-endpoint-groups update zonal-neg-a \
       --zone=ZONE_A \
       --add-endpoint='instance=vm-a1,port=80' \
       --add-endpoint='instance=vm-a2,port=80'
   

3. Buat NEG zona di zona ZONE_B dengan endpoint GCE_VM_IP_PORT:

   gcloud compute network-endpoint-groups create zonal-neg-b \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=ZONE_B \
       --network=lb-network \
       --subnet=backend-subnet
   

   Anda dapat menentukan --default-port saat membuat NEG, atau menentukan nomor port untuk setiap endpoint seperti yang ditunjukkan pada langkah berikutnya.

4. Tambahkan endpoint ke NEG zona:

   gcloud compute network-endpoint-groups update zonal-neg-b \
       --zone=ZONE_B \
       --add-endpoint='instance=vm-b1,port=80' \
       --add-endpoint='instance=vm-b2,port=80'
   

Mengonfigurasi load balancer

Konsol

Memulai konfigurasi

1. Di konsol Google Cloud, buka halaman Load balancing.

   Buka Load balancing

2. Klik Create load balancer.
3. Untuk Type of load balancer, pilih Network Load Balancer (TCP/UDP/SSL), lalu klik Next.
4. Untuk Proxy or passthrough, pilih Proxy load balancer, lalu klik Next.
5. Untuk Public facing or internal, pilih Public facing (external), lalu klik Next.
6. Untuk Global or single region deployment, pilih Best for regional workloads, lalu klik Next.
7. Klik Konfigurasikan.

Konfigurasi dasar

1. Untuk Name, masukkan my-ext-tcp-lb.
2. Untuk Region, pilih REGION_A.
3. Untuk Network, pilih lb-network.

Mereservasi subnet khusus proxy

Catatan: Jika Anda sudah membuat subnet khusus proxy, tombol Reserve subnet tidak akan ditampilkan. Anda dapat melewati bagian ini dan melanjutkan dengan langkah-langkah di bagian Mengonfigurasi backend.

1. Klik Reserve subnet.
2. Untuk Name, masukkan proxy-only-subnet.
3. Untuk Rentang alamat IP, masukkan 10.129.0.0/23.
4. Klik Tambahkan.

Mengonfigurasi backend

1. Klik Backend configuration.
2. Untuk Backend type, pilih Zonal network endpoint group.
3. Untuk Protocol, pilih TCP.
4. Konfigurasikan backend pertama:
   1. Untuk New backend, pilih NEG zona zonal-neg-a.
   2. Pertahankan nilai default yang tersisa, lalu klik Done.
5. Konfigurasikan backend kedua:
   1. Klik Add backend.
   2. Untuk New backend, pilih grup instance zonal-neg-b.
   3. Pertahankan nilai default yang tersisa, lalu klik Done.
6. Konfigurasikan health check:
   1. Untuk Health check, pilih Create a health check.
   2. Tetapkan nama health check ke tcp-health-check.
   3. Untuk Protocol, pilih TCP.
   4. Untuk Port, masukkan 80.
7. Pertahankan nilai default yang tersisa, lalu klik Save.
8. Di konsol Google Cloud, pastikan ada tanda centang di samping Backend configuration. Jika belum, periksa kembali apakah Anda telah menyelesaikan semua langkah.

Mengonfigurasi frontend

1. Klik Frontend configuration.
2. Untuk Name, masukkan ext-tcp-forwarding-rule.
3. Untuk Network Service Tier, pilih Standard.
4. Untuk Alamat IP, pilih ext-tcp-ip-address.
5. Untuk Port number, masukkan 9090. Aturan penerusan hanya meneruskan paket dengan port tujuan yang cocok.
6. Untuk Proxy protocol, pilih Nonaktif karena protokol PROXY tidak berfungsi dengan software Apache HTTP Server. Untuk mengetahui informasi selengkapnya, lihat Protokol PROXY.
7. Klik Done.
8. Di konsol Google Cloud, pastikan ada tanda centang di samping Frontend configuration. Jika belum, periksa kembali apakah Anda telah menyelesaikan semua langkah sebelumnya.

Tinjau dan selesaikan

1. Klik Review and finalize.
2. Periksa kembali setelan Anda.
3. Klik Create.

gcloud

1. Buat health check regional untuk backend:

   gcloud compute health-checks create tcp tcp-health-check \
       --region=REGION_A \
       --use-serving-port
   

2. Buat layanan backend:

   gcloud compute backend-services create external-tcp-proxy-bs \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --protocol=TCP \
      --region=REGION_A \
      --health-checks=tcp-health-check \
      --health-checks-region=REGION_A
   

3. Tambahkan NEG zonal di zona ZONE_A ke layanan backend:

   gcloud compute backend-services add-backend external-tcp-proxy-bs \
      --network-endpoint-group=zonal-neg-a \
      --network-endpoint-group-zone=ZONE_A \
      --balancing-mode=CONNECTION \
      --max-connections-per-endpoint=50 \
      --region=REGION_A
   

4. Tambahkan NEG zonal di zona ZONE_B ke layanan backend:

   gcloud compute backend-services add-backend external-tcp-proxy-bs \
      --network-endpoint-group=zonal-neg-b \
      --network-endpoint-group-zone=ZONE_B \
      --balancing-mode=CONNECTION \
      --max-connections-per-endpoint=50 \
      --region=REGION_A
   

5. Buat proxy TCP target:

   gcloud compute target-tcp-proxies create ext-tcp-target-proxy \
      --backend-service=external-tcp-proxy-bs \
      --region=REGION_A
   

6. Membuat aturan penerusan. Untuk --ports, tentukan satu nomor port dari 1-65535. Contoh ini menggunakan port 9090. Aturan penerusan hanya meneruskan paket dengan port tujuan yang cocok.

   gcloud compute forwarding-rules create ext-tcp-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network=lb-network \
     --network-tier=STANDARD \
     --address=ext-tcp-ip-address \
     --ports=9090 \
     --region=REGION_A \
     --target-tcp-proxy=ext-tcp-target-proxy \
     --target-tcp-proxy-region=REGION_A
   

Menguji load balancer

Catatan: Mungkin perlu waktu beberapa menit agar konfigurasi load balancer diterapkan setelah Anda pertama kali men-deploy-nya.

Setelah mengonfigurasi load balancer, Anda dapat menguji pengiriman traffic ke alamat IP load balancer.

1. Dapatkan alamat IP load balancer.

   Untuk mendapatkan alamat IPv4, jalankan perintah berikut:

   gcloud compute addresses describe ADDRESS_NAME
   

2. Kirim traffic ke load balancer dengan menjalankan perintah berikut. Ganti LB_IP_ADDRESS dengan alamat IPv4 load balancer Anda.

   curl -m1 LB_IP_ADDRESS:9090
   

Langkah selanjutnya

• Mengonversi Load Balancer Jaringan proxy ke IPv6
• Ringkasan Load Balancer Jaringan proxy eksternal.
• Logging dan pemantauan Load Balancer Jaringan Proxy.
• Tambahkan Private Service Connect.
• Membersihkan penyiapan load balancer.