在按照本指南操作之前，請先詳閱網際網路 NEG 總覽說明文件，包括限制。
下方的架構圖顯示區域性內部 Proxy 網路負載平衡器前端，以及外部後端。
權限
如要按照本指南操作，您必須在專案中建立網際網路 NEG，以及建立或修改 Proxy 網路負載平衡器。因此您必須是專案擁有者或編輯者 (roles/owner 或 roles/editor)，或是應具有以下所有 Compute Engine 身分與存取權管理角色。
| 工作 | 必要角色 |
|---|---|
| 建立及修改負載平衡器元件 | Compute 網路管理員 ( roles/compute.networkAdmin)
|
| 建立及修改 NEG | Compute 執行個體管理員 ( roles/compute.instanceAdmin)
|
在外部設定外部後端環境 Google Cloud
如要設定外部後端環境，請參閱下列章節。
設定網路端點
設定網路端點，將外部後端公開給Google Cloud。請確認端點 (IP:Port 組合或完整網域名稱 (FQDN) 和通訊埠) 可透過網際網路連線。這個端點稍後會從網際網路 NEG 參照。
如要瞭解網際網路 NEG 端點的詳細設定需求，請參閱「網際網路 NEG 總覽」。
允許外部後端接收來自 Google Cloud的流量
建立僅限 Proxy 的子網路並設定 Cloud NAT 閘道後，即可完成這個步驟。
如要允許 Google Cloud 的要求連線至外部後端，請執行下列步驟：
- 設定 Cloud NAT 閘道，並指定用於從 Google Cloud傳出流量的 IP 位址。閘道會將僅限 Proxy 的子網路範圍對應至外部 IP 位址。如需操作步驟，請參閱「設定 Cloud NAT 閘道」。
- 確認外部後端環境已設為允許流量從 Google Cloud 傳送至外部後端。舉例來說，如果您為 NAT 閘道使用預先保留的 IP 位址，請在外部環境中將這些 IP 位址加入允許清單。您可能需要與外部環境的網路或安全管理員合作，才能完成這項設定。
設定 Google Cloud 環境
您需要具有兩個子網路的虛擬私有雲網路：一個用於負載平衡器元件，另一個用於區域的僅限 Proxy 子網路。接著，您會建立負載平衡器，並使用網際網路 NEG 後端。
建立虛擬私有雲網路和子網路
這個子網路用於建立負載平衡器的元件。
Cloud 控制台
- 在 Google Cloud 控制台中，前往「VPC networks」(虛擬私有雲網路) 頁面。
前往「VPC networks」(虛擬私有雲網路) - 按一下「建立虛擬私有雲網路」。
- 輸入「名稱」：LB_NETWORK。
- 在「Subnets」(子網路) 區段中：
- 將「Subnet creation mode」(子網路建立模式) 設為 [Custom] (自訂)。
- 在「New subnet」(新的子網路) 區段中，輸入以下資訊：
- Name (名稱)：LB_SUBNET_NAME
- Region (區域)：REGION
- IP address range (IP 位址範圍)：LB_SUBNET_RANGE
- 按一下 [完成]。
- 點選「建立」。
gcloud
使用
gcloud compute networks create指令建立自訂虛擬私有雲網路：gcloud compute networks create LB_NETWORK \ --subnet-mode=custom
在LB_NETWORK網路中建立子網路。
gcloud compute networks subnets create LB_SUBNET_NAME \ --network=LB_NETWORK \ --range=LB_SUBNET_RANGE \ --region=REGION
設定僅限 Proxy 的子網路
REGION 區域中的所有區域 Envoy 型負載平衡器都會使用這個僅限 Proxy 的子網路。
主控台
- 在 Google Cloud 控制台中，前往「VPC networks」(虛擬私有雲網路) 頁面。
前往「VPC networks」(虛擬私有雲網路) - 從清單中選取「網路」。
- 按一下 [新增子網路]。
- 輸入「名稱」：PROXY_ONLY_SUBNET_NAME。
- 選取「區域」REGION。
- 將「用途」設為「區域受管理 Proxy」。
- 輸入「IP address range」(IP 位址範圍)：PROXY_ONLY_SUBNET_RANGE。
- 按一下「新增」。
gcloud
使用 gcloud compute networks subnets
create 指令建立僅限 Proxy 的子網路。
gcloud compute networks subnets create PROXY_ONLY_SUBNET_NAME \ --purpose=REGIONAL_MANAGED_PROXY \ --role=ACTIVE \ --region=REGION \ --network=LB_NETWORK \ --range=PROXY_ONLY_SUBNET_RANGE
設定 Cloud NAT 閘道
設定 Cloud NAT 閘道前，請務必詳閱相關限制和定價考量。詳情請參閱「區域 NEG：使用 Cloud NAT 閘道」。下列指令說明如何設定 Cloud NAT 閘道。您可以將 Cloud NAT 閘道設為使用自動 NAT 外部 IP 位址 (根據需求分配)，或是使用手動預先保留的一組外部 IP 位址。閘道會將僅限 Proxy 的子網路範圍對應至外部 IP 位址。
設定自動分配的 NAT IP 位址
使用自動 NAT IP 位址分配功能建立 Cloud NAT 閘道時，您可以指定 Cloud NAT 閘道分配 IP 位址的網路服務級別 (進階級或標準級)。
主控台
前往 Google Cloud 控制台的「Cloud NAT」頁面。
按一下「開始使用」或「建立 Cloud NAT 閘道」。
輸入閘道名稱 LB_NAT_CONFIG。
在「NAT type」(NAT 類型) 中，選取「Public」(公開)。
在「Network」(網路) 清單中選取「LB_NETWORK」。
在「Region」(區域) 清單中選取「REGION」。
在該區域中建立 Cloud Router。
在「來源端點類型」中，選取「受管理 Proxy 負載平衡器」。
在「來源」清單中，選取「自訂」。
- 在「Subnets」(子網路) 中，選取 PROXY_ONLY_SUBNET_NAME。
在「Cloud NAT IP addresses」(Cloud NAT IP 位址) 清單中，選取「Automatic (recommended)」(自動 (建議))。
在「Network service tier」(網路服務級別) 部分，選擇「Premium」(進階級) 或「Standard」(標準級)。
點選「建立」。
gcloud
如果外部後端環境不需要您將特定 IP 位址加入允許清單，允許這些 IP 位址將流量傳送至外部後端，請使用動態分配的 IP 位址。 Google Cloud
建立 Cloud Router：
gcloud beta compute routers create ROUTER_NAME \ --network=LB_NETWORK \ --region=REGION
設定 Cloud NAT 閘道。
gcloud beta compute routers nats create LB_NAT_CONFIG \ --router=ROUTER_NAME \ --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \ --nat-custom-subnet-ip-ranges=PROXY_ONLY_SUBNET_NAME \ --auto-allocate-nat-external-ips \ --region=REGION
更改下列內容：
LB_NAT_CONFIG：NAT 設定的名稱。ROUTER_NAME：Cloud Router 的名稱。REGION：要建立 NAT 的區域。如未指定，系統可能會提示您選取區域 (僅限互動模式)。PROXY_ONLY_SUBNET_NAME：僅限於 Proxy 子網路的名稱。
設定手動分配的 IP 位址
只有在外部後端環境要求您使用特定 Google Cloud IP 位址的允許清單時，才使用手動分配的 IP 位址。如果外部後端環境不需要許可清單，請改用動態分配，如先前所示。
建立 Cloud NAT 閘道時，您可以選擇從「進階」或「標準」層級手動指派 NAT IP 位址，或同時從這兩個層級指派，但須符合特定條件。
主控台
前往 Google Cloud 控制台的「Cloud NAT」頁面。
按一下「開始使用」或「建立 Cloud NAT 閘道」。
輸入閘道名稱 LB_NAT_CONFIG。
在「Network」(網路) 清單中選取「LB_NETWORK」。
在「Region」(區域) 清單中選取「REGION」。
在該區域中選取或建立 Cloud Router。
在「來源端點類型」中，選取「受管理 Proxy 負載平衡器」。
在「來源」清單中，選取「自訂」。
- 在「子網路」中，選取 PROXY_ONLY_SUBNET_NAME。
在「Cloud NAT IP addresses」(Cloud NAT IP 位址) 清單中，選取「Manual」(手動)。
在「Network service tier」(網路服務級別) 部分，選擇「Premium」(進階級) 或「Standard」(標準級)。
選取或建立靜態預留外部 IP 位址，以用於 NAT。
如要指定其他 IP 位址，請按一下「新增 IP 位址」，然後選取或建立其他靜態保留外部 IP 位址。
點選「建立」。
gcloud
建立 IP 位址。由於閘道會執行一對一 NAT 轉譯，因此請務必確認保留的 IP 位址集區夠大，足以處理預期的流量。如果分配的 NAT IP 位址不足，可能會導致流量遺失。
gcloud compute addresses create IP_ADDRESS_NAME_1 IP_ADDRESS_NAME_2 [IP_ADDRESS_NAME_3 ...] \ --region=REGION
建立 Cloud Router：
gcloud compute routers create ROUTER_NAME \ --network=LB_NETWORK \ --region=REGION
設定 Cloud NAT 閘道。
gcloud beta compute routers nats create LB_NAT_CONFIG \ --router=ROUTER_NAME \ --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \ --nat-custom-subnet-ip-ranges=PROXY_ONLY_SUBNET_NAME \ --nat-external-ip-pool=IP_ADDRESS_NAME_1,IP_ADDRESS_NAME_2,[IP_ADDRESS_NAME_3 ...] \ --region=REGION
更改下列內容：
LB_NAT_CONFIG：NAT 設定的名稱。ROUTER_NAME：Cloud Router 的名稱。PROXY_ONLY_SUBNET_NAME：僅限於 Proxy 子網路的名稱。REGION：要建立 NAT 的區域。如未指定，系統可能會提示您選取區域 (僅限互動模式)。
設定動態通訊埠分配
更新 Cloud NAT 閘道，改用動態通訊埠分配模式，充分運用指派的 IP 位址。
gcloud
更新 Cloud NAT 閘道。建議將通訊埠數量下限設為 2048，上限設為 4096。
gcloud compute routers nats update LB_NAT_CONFIG \ --router=ROUTER_NAME \ --enable-dynamic-port-allocation \ --min-ports-per-vm=MIN_PORTS_PER_VM \ --max-ports-per-vm=MAX_PORTS_PER_VM \ --region=REGION確認已啟用動態通訊埠分配功能，並設定通訊埠數量下限和上限。
gcloud compute routers nats describe LB_NAT_CONFIG \ --router=ROUTER_NAME \ --region=REGION輸出結果會與下列內容相似：
enableDynamicPortAllocation: true enableEndpointIndependentMapping: false endpointTypes: ‐ ENDPOINT_TYPE_MANAGED_PROXY_LB logConfig: enable: true filter: ALL maxPortsPerVm: 4096 minPortsPerVm: 2048 name: LB_NAT_CONFIG natIpAllocateOption: MANUAL_ONLY natIps: ‐ https://www.googleapis.com/compute/projects/PROJECT_NAME/regions/REGION/addresses/ADDRESS sourceSubnetworkIpRangesToNat: ALL_SUBNETWORKS_ALL_IP_RANGES type: PUBLIC
詳情請參閱 Cloud NAT 說明文件中的「指定 NAT 的子網路範圍」。
請務必在外部後端環境中，使用 NAT IP 位址範圍的允許清單，讓外部後端可以接收來自 Google Cloud的流量。
保留負載平衡器的 IP 位址
為負載平衡器保留內部 IP 位址。
主控台
您可以使用Google Cloud 控制台保留獨立內部 IP 位址。
- 前往「VPC networks」(VPC 網路) 頁面。
- 按一下用於設定環境間混合式連線的網路。
- 按一下「靜態內部 IP 位址」，然後按一下「預約靜態位址」。
- 輸入「名稱」：LB_IP_ADDRESS。
- 在「Subnet」(子網路) 中，選取 LB_SUBNET_NAME。
- 如要指定要保留的 IP 位址，請在「Static IP address」(靜態 IP 位址) 下方選取「Let me choose」(自行選擇)，然後填入「Custom IP address」(自訂 IP 位址)。否則，系統會自動從子網路中為您指派 IP 位址。
- 如要將這個 IP 位址用於多個轉送規則，請在「用途」下方選擇「共用」。
- 按一下「預訂」即可完成程序。
gcloud
使用 gcloud CLI 執行
compute addresses create指令：gcloud compute addresses create LB_IP_ADDRESS \ --region=REGION \ --subnet=LB_SUBNET_NAME \
使用
compute addresses describe指令 查看已分配的 IP 位址：gcloud compute addresses describe LB_IP_ADDRESS \ --region=REGION
設定網際網路 NEG
您可以透過 INTERNET_FQDN_PORT 端點或 INTERNET_IP_PORT 端點建立網際網路 NEG。
主控台
建立具有 INTERNET_FQDN_PORT 個端點的 NEG
前往 Google Cloud 控制台的「網路端點群組」頁面。
按一下「建立網路端點群組」。
為網際網路 NEG 指定 INTERNET_NEG_NAME。詳情請參閱「資源命名慣例」。
在「網路端點群組類型」清單中，選取「網路端點群組 (網際網路)」，然後執行下列操作：
- 在「範圍」清單中選取「區域」。
- 選用：在「Region」(區域) 清單中，變更這個 NEG 的 REGION。
- 在「Network」(網路) 清單中選取「LB_NETWORK」。
- 在「預設連接埠」方塊中輸入 DEFAULT_PORT_NUMBER。
- 在「Add endpoints through」清單中，選取「Fully qualified domain name and port」。
- 選取 [Create] (建立)。
將 INTERNET_FQDN_PORT 端點新增至 NEG
前往 Google Cloud 控制台的「網路端點群組」頁面。
- 按一下「INTERNET_NEG_NAME」。
輸入完整網域名稱，例如
myorg.example.com。您必須以標準 FQDN 語法指定 FQDN 物件。選用：在「通訊埠類型」中，選取「自訂」。 如果「通訊埠類型」為
Default，系統會使用 NEG 的預設通訊埠。- 在「Port number」(通訊埠編號) 方塊中輸入 PORT_NUMBER_1。
- 選取 [Create] (建立)。
建立具有 INTERNET_IP_PORT 個端點的 NEG
前往 Google Cloud 控制台的「網路端點群組」頁面。
按一下「建立網路端點群組」。
指定網際網路 NEG 的名稱 INTERNET_NEG_NAME 。詳情請參閱「資源命名慣例」。
在「網路端點群組類型」清單中，選取「網路端點群組 (網際網路)」，然後執行下列操作：
- 在「範圍」清單中選取「區域」。
- 選用：在「Region」(區域) 清單中，變更這個 NEG 的 REGION。
- 在「Network」(網路) 清單中選取「LB_NETWORK」。
- 在「預設連接埠」方塊中輸入 DEFAULT_PORT_NUMBER。
- 在「Add endpoints through」(透過以下方式新增端點) 清單中，選取「IP and port」(IP 和通訊埠)。
- 選取 [Create] (建立)。
將 INTERNET_IP_PORT 端點新增至 NEG
前往 Google Cloud 控制台的「網路端點群組」頁面。
- 按一下「INTERNET_NEG_NAME」。
- 在「IP address」(IP 位址) 欄位中輸入 IP_ADDRESS_1。
選用：在「Port type」(通訊埠類型) 清單中，選取「Custom」(自訂)。 如果「通訊埠類型」為
Default，系統會使用 NEG 的預設通訊埠。- 在「Port number」(通訊埠編號) 欄位中，輸入 PORT_NUMBER_1。
- 選取 [Create] (建立)。
gcloud
如要建立具有 INTERNET_FQDN_PORT 端點的 NEG，請按照下列步驟操作：
建立 NEG 資源。
gcloud beta compute network-endpoint-groups create INTERNET_NEG_NAME \ --network-endpoint-type=INTERNET_FQDN_PORT \ --default-port=DEFAULT_PORT_NUMBER \ --network=LB_NETWORK \ --region=REGION將端點新增到 NEG。如果未指定通訊埠，系統會使用 NEG 的預設通訊埠。
gcloud beta compute network-endpoint-groups update INTERNET_NEG_NAME \ --add-endpoint="fqdn=FULLY_QUALIFIED_DOMAIN_NAME_1,port=PORT_NUMBER_1" \ [--add-endpoint="fqdn=FULLY_QUALIFIED_DOMAIN_NAME_2,port=PORT_NUMBER_2" \] --region=REGION更改下列內容：
FULLY_QUALIFIED_DOMAIN_NAME：端點的完整網域名稱PORT_NUMBER：端點的通訊埠號碼
每個 NEG 最多可新增 256 個端點。
如果網域可透過網際網路解析，則不需要其他設定即可設定 DNS。不過，如果您使用私人 FQDN，則需要設定 Cloud DNS，以利 DNS 解析。名稱必須代管於 Cloud DNS，或可透過 DNS 轉送從 Cloud DNS 解析至內部部署 DNS。
首先，請建立 Cloud DNS 區域，代管專案中的 DNS 記錄。然後將 DNS 記錄新增至該區域。如需具體設定步驟，請參閱 Cloud DNS 說明文件。
如要建立具有 INTERNET_IP_PORT 端點的 NEG，請按照下列步驟操作：
建立 NEG 資源。
gcloud beta compute network-endpoint-groups create INTERNET_NEG_NAME \ --network-endpoint-type=INTERNET_IP_PORT \ --default-port=DEFAULT_PORT_NUMBER \ --network=LB_NETWORK \ --region=REGION將端點新增到 NEG。如果未指定通訊埠，系統會使用 NEG 的預設通訊埠。
gcloud beta compute network-endpoint-groups update INTERNET_NEG_NAME \ --add-endpoint="ip=IP_ADDRESS_1,port=PORT_NUMBER_1" \ [--add-endpoint="ip=IP_ADDRESS_2,port=PORT_NUMBER_2" \] --region=REGION更改下列內容：
IP_ADDRESS：端點的 IP 位址PORT_NUMBER：端點的通訊埠號碼
您可以重複這個步驟，每個 NEG 最多可新增 256 個端點。
建立負載平衡器
主控台
開始設定
前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。
- 點選「建立負載平衡器」。
- 在「負載平衡器類型」部分，選取「網路負載平衡器 (TCP/UDP/SSL)」，然後點選「下一步」。
- 在「Proxy or passthrough」(直通或使用 Proxy) 部分，選取「Proxy load balancer」(Proxy 負載平衡器)，然後點選「Next」(下一步)。
- 在「公開或內部」部分，選取「內部」，然後點選「下一步」。
- 在「Cross-region or single region deployment」(跨區域或單一區域部署) 部分，選取「Best for regional workloads」(最適合區域工作負載)，然後點選「Next」(下一步)。
- 按一下 [設定]。
基本設定
- 輸入負載平衡器名稱。
- 在「Region」(區域) 中選取 REGION。
- 在「Network」(網路) 中選取 LB_NETWORK。
保留僅限 Proxy 子網路
如要保留僅限 Proxy 的子網路，請按照下列步驟操作：
- 按一下「保留子網路」。
- 在「Name」(名稱) 中輸入 PROXY_ONLY_SUBNET_NAME。
- 在「IP address range」(IP 位址範圍) 中，輸入 PROXY_ONLY_SUBNET_RANGE。
- 按一下「新增」。
前端設定
- 按一下「前端設定」。
- 輸入「名稱」。
- 在「Subnetwork」(子網路) 中，選取 LB_SUBNET_NAME。
- 在「IP address」(IP 位址) 的部分，選取先前預留的 IP 位址「LB_IP_ADDRESS」。
- 在「通訊埠編號」中，指定介於 1 至 65535 之間的單一通訊埠編號。轉送規則只會轉送目的地通訊埠相符的封包。
- 按一下 [完成]。
後端設定
- 按一下「後端設定」。
- 按一下「後端服務和後端值區」。
- 按一下「建立後端服務」。
- 輸入名稱。
- 在「Backend type」(後端類型) 部分，選取「Internet network endpoint group」(網際網路網路端點群組)。
- 在「Protocol」(通訊協定) 欄中，選取「TCP」。
- 在「Backends」(後端) 的「New backend」(新增後端) 視窗中，選取上一步建立的「Regional internet network endpoint group」(區域網際網路網路端點群組)。
- 按一下 [完成]。
- 設定健康狀態檢查：
- 在「健康狀態檢查」部分，選取「建立健康狀態檢查」。
- 將健康狀態檢查名稱設為 TCP_HEALTH_CHECK_NAME。
- 在「Protocol」(通訊協定) 欄中，選取「TCP」。
- 將「Port」(通訊埠) 設為
80。 - 保留其餘預設值，然後按一下「儲存」。
- 點選「建立」。
檢查並完成
- 按一下「檢查並完成」。
- 確認一切無誤後，請按一下「建立」。
gcloud
- 選用：建立健康狀態檢查。外部後端的健康狀態檢查探測會使用分散式 Envoy 健康狀態檢查，並在稍後經過 NAT 轉換。
gcloud compute health-checks create tcp TCP_HEALTH_CHECK_NAME \ --region=REGION \ --use-serving-port - 建立後端服務：
gcloud compute backend-services create BACKEND_SERVICE \ --load-balancing-scheme=INTERNAL_MANAGED \ --health-checks=TCP_HEALTH_CHECK_NAME \ --health-checks-region=REGION \ --region=REGION - 將網際網路 NEG 新增至後端服務：
gcloud compute backend-services add-backend BACKEND_SERVICE \ --network-endpoint-group=INTERNET_NEG_NAME \ --network-endpoint-group-region=REGION \ --region=REGIONgcloud compute backend-services add-backend BACKEND_SERVICE \ --network-endpoint-group=INTERNET_NEG_NAME \ --network-endpoint-group-region=REGION \ --region=REGION 建立目標 TCP Proxy，將要求轉送至後端服務。
gcloud compute target-tcp-proxies create TARGET_TCP_PROXY_NAME \ --backend-service=BACKEND_SERVICE \ --region=REGION建立轉送規則，將連入要求轉送至 Proxy。 如要使用 `--ports`，請指定介於 1 到 65535 之間的單一通訊埠編號。轉送規則只會轉送目的地通訊埠相符的封包。
gcloud compute forwarding-rules create FORWARDING_RULE_NAME \ --load-balancing-scheme=INTERNAL_MANAGED \ --network-tier=PREMIUM \ --network=LB_NETWORK \ --subnet=LB_SUBNET_NAME \ --address=LB_IP_ADDRESS \ --target-tcp-proxy=TARGET_TCP_PROXY_NAME \ --target-tcp-proxy-region=REGION \ --region=REGION \ --ports=PORT_NUMBER
測試負載平衡器
負載平衡器設定完成後，即可開始將流量傳送至負載平衡器的 IP 位址。
建立用戶端 VM
這個範例會在與負載平衡器相同的地區中建立用戶端 VM (vm-client)。該用戶端用於驗證負載平衡器的設定，以及示範預期行為。
gcloud
用戶端 VM 可以位於與負載平衡器相同 REGION 的任何區域中，也可以使用相同 VPC 網路中的任何子網路。
gcloud compute instances create vm-client \
--image-family=debian-12 \
--image-project=debian-cloud \
--tags=allow-ssh \
--network=LB_NETWORK \
--subnet=LB_SUBNET_NAME \
--zone=ZONE
將流量傳送至負載平衡器
首次部署負載平衡器後，負載平衡器設定可能需要幾分鐘才會生效。
透過 SSH 連線至用戶端執行個體。
gcloud compute ssh vm-client \ --zone=ZONE
確認負載平衡器是否正常提供後端主機名稱。
使用
compute addresses describe指令查看負載平衡器的 IP 位址：gcloud compute addresses describe LB_IP_ADDRESS \ --region=REGION
記下 IP 位址。
您可以透過
curl，將流量傳送至建立負載平衡器轉送規則時指定的 IP 位址和通訊埠。測試網際網路 NEG 後端是否回應要求，取決於外部端點上執行的服務。
額外設定選項
如要為區域性內部 Proxy 網路負載平衡器啟用更多功能，例如全域存取權 (如果用戶端位於不同區域)，請參閱「使用 VM 執行個體群組後端設定內部應用程式負載平衡器：其他設定」。