Traffic masuk untuk mesh Anda
Mesh layanan memfasilitasi komunikasi antarlayanan yang berjalan di mesh. Bagaimana cara Anda memasukkan traffic ke mesh? Anda dapat menggunakan gateway untuk mengarahkan traffic dari luar mesh ke dalam mesh melalui titik entri.
Dokumen ini menjelaskan cara menggunakan Cloud Load Balancing sebagai gateway untuk mendapatkan traffic ke dalam mesh Anda, dan mencakup hal berikut:
- Pertimbangan tingkat tinggi untuk gateway Anda.
- Ringkasan opsi saat Anda memilih gateway untuk mesh.
- Rekomendasi arsitektur yang dapat Anda terapkan ke topologi gateway.
Dalam dokumen ini, gateway mengacu pada solusi atau pola untuk menangani traffic yang ditujukan ke layanan di mesh Anda. Gateway Masuk Istio adalah salah satu implementasi pola ini. Dalam dokumen ini, gateway adalah istilah umum yang merujuk pada pola umum, bukan implementasi Istio.
Dokumen ini berlaku untuk Cloud Service Mesh API. Setelah langkah-langkah penyiapan persiapan, lihat artikel yang berisi petunjuk untuk men-deploy dengan gateway ingress.
Saat mendesain mesh layanan, pertimbangkan traffic yang berasal dari sumber berikut:
- Traffic yang berasal dari dalam mesh Anda
- Traffic yang berasal dari luar mesh Anda
Traffic yang berasal dari dalam mesh Anda berjalan di bidang data mesh layanan untuk menjangkau backend atau endpoint yang terkait dengan layanan tujuan. Namun, traffic yang berasal dari luar mesh Anda harus mencapai data plane mesh layanan terlebih dahulu.
Dalam contoh traffic berikut yang berasal dari dalam mesh, Cloud Service Mesh mengonfigurasi proxy sidecar Anda. Proxy sidecar ini membentuk bidang data mesh layanan Anda. Jika Layanan A ingin berkomunikasi dengan Layanan B, hal berikut akan terjadi:
- Layanan A membuat permintaan ke Layanan B berdasarkan nama.
- Permintaan ini dicegat dan dialihkan ke proxy sidecar Layanan A.
- Proxy sidecar kemudian mengirim permintaan ke endpoint yang terkait dengan Layanan B.
Dalam contoh berikut, traffic berasal dari luar mesh layanan Anda dan
tidak berjalan di sepanjang bidang data mesh layanan.
Dalam contoh ini, klien berada di luar mesh layanan Anda. Karena tidak berpartisipasi langsung dalam mesh, klien tidak mengetahui endpoint mana yang merupakan layanan di dalam mesh. Dengan kata lain, karena klien tidak menggunakan proxy yang dikonfigurasi Cloud Service Mesh untuk mengirim permintaan keluar, klien tidak mengetahui pasangan port alamat IP mana yang akan digunakan saat mengirim traffic ke Layanan A atau Layanan B. Tanpa informasi tersebut, klien tidak dapat menjangkau layanan di dalam mesh Anda.
Pertimbangan untuk gateway Anda
Bagian ini memberikan ringkasan masalah yang perlu dipertimbangkan saat Anda memilih gateway, termasuk hal-hal berikut:
- Bagaimana cara klien menjangkau gateway saya?
- Kebijakan apa yang ingin saya terapkan ke traffic yang mencapai gateway saya?
- Bagaimana gateway mendistribusikan traffic ke layanan di mesh?
Mengaktifkan klien untuk menjangkau gateway ke mesh Anda
Klien, baik di internet publik, di lingkungan lokal, maupun dalam Google Cloud, memerlukan cara untuk menjangkau layanan dalam mesh Anda. Menjangkau layanan di mesh biasanya dilakukan dengan menggunakan alamat IP dan port yang dapat dirutekan secara publik atau pribadi yang di-resolve ke gateway. Klien di luar mesh Anda menggunakan alamat IP dan port ini untuk mengirim permintaan ke layanan di mesh melalui gateway.
Cloud Load Balancing menyediakan berbagai opsi load balancing yang dapat Anda gunakan sebagai gateway ke mesh. Pertanyaan utama yang harus diajukan saat Anda memilih load balancer Google Cloud untuk bertindak sebagai gateway adalah sebagai berikut:
- Apakah klien saya berada di internet publik, di lingkungan lokal, atau bagian dari jaringan Virtual Private Cloud (VPC) saya?
- Protokol komunikasi mana yang digunakan klien saya?
Untuk ringkasan opsi Cloud Load Balancing, bergantung pada lokasi klien dan protokol komunikasi, lihat bagian Memilih gateway untuk mesh Anda.
Menangani traffic di gateway
Karena gateway berada di tepi mesh—antara klien yang berada di luar mesh dan layanan yang berada di dalam mesh—gateway adalah tempat yang tepat untuk menerapkan kebijakan saat traffic memasuki mesh. Kebijakan ini mencakup:
- Pengelolaan traffic—misalnya, pemilihan rute, pengalihan, dan transformasi permintaan
- Keamanan—misalnya, penghentian TLS dan perlindungan denial of service (DDoS) terdistribusi Google Cloud Armor
- Penyimpanan cache Cloud CDN
Bagian Pilih gateway untuk mesh Anda menyoroti kebijakan yang relevan di tepi mesh Anda.
Mengirim traffic dari gateway ke layanan di mesh Anda
Setelah gateway menerapkan kebijakan ke traffic masuk, gateway akan memutuskan tujuan pengiriman traffic. Anda menggunakan kebijakan pengelolaan traffic dan load balancing untuk mengonfigurasinya. Misalnya, gateway mungkin memeriksa header permintaan untuk mengidentifikasi layanan mesh yang harus menerima traffic. Setelah gateway mengidentifikasi layanan, gateway akan mendistribusikan traffic ke backend tertentu sesuai dengan kebijakan load balancing.
Bagian Pilih gateway untuk mesh Anda menguraikan backend tempat gateway dapat mengirim traffic.
Memilih gateway untuk mesh
Google Cloud menawarkan berbagai load balancer yang dapat berfungsi sebagai gateway ke mesh Anda. Bagian ini membahas pemilihan gateway, membandingkan opsi berikut berdasarkan dimensi yang relevan dengan pola gateway:
- Load Balancer Aplikasi Internal
- Load Balancer Aplikasi Eksternal
- Load Balancer Jaringan passthrough internal
- Load Balancer Jaringan passthrough eksternal
- Load Balancer Jaringan proxy eksternal
Di bagian ini, kita merujuk ke gateway tingkat pertama dan tingkat kedua. Istilah ini digunakan untuk mendeskripsikan penggunaan satu gateway atau dua gateway untuk menangani traffic masuk ke mesh Anda.
Anda mungkin hanya memerlukan satu level, satu load balancer yang berfungsi sebagai gateway ke mesh. Namun, terkadang ada baiknya memiliki beberapa gateway. Dalam konfigurasi ini, satu gateway menangani traffic yang masuk ke Google Cloud, dan gateway tingkat kedua terpisah menangani traffic saat memasuki mesh layanan.
Misalnya, Anda mungkin ingin menerapkan kebijakan keamanan Google Cloud Armor ke traffic yang masuk ke Google Cloud dan kebijakan pengelolaan traffic lanjutan ke traffic yang masuk ke mesh. Pola penggunaan gateway kedua yang dikonfigurasi Cloud Service Mesh dibahas di bagian Menangani traffic masuk menggunakan gateway tingkat kedua di tepi mesh Anda.
Tabel berikut membandingkan kemampuan yang tersedia, bergantung pada opsi gateway yang Anda pilih.
| Gateway | Lokasi klien | Protokol | Kebijakan | Backend/endpoint |
|---|---|---|---|---|
| Load Balancer Aplikasi Internal | Klien berbasis Google Cloud di region yang sama dengan load balancer. Klien lokal yang permintaannya tiba di region Google Cloud yang sama dengan load balancer—misalnya, menggunakan Cloud VPN atau Cloud Interconnect. |
HTTP/1.1 HTTP/2 HTTPS |
Pengelolaan traffic lanjutan Penghentian TLS menggunakan sertifikat yang dikelola sendiri |
Backend di region Google Cloud yang sama dengan load balancer, berjalan di:
|
| Load Balancer Aplikasi Eksternal | Klien di internet publik | HTTP/1.1 HTTP/2 HTTPS |
Pengelolaan traffic Cloud CDN (termasuk backend bucket Cloud Storage) Penghentian TLS menggunakan sertifikat yang dikelola Google atau dikelola sendiri Kebijakan SSL Google Cloud Armor untuk pencegahan serangan DDoS dan web Dukungan Identity-Aware Proxy (IAP) untuk autentikasi pengguna |
Backend di region Google Cloud mana pun, yang berjalan di:
|
| Load Balancer Network passthrough internal | Klien berbasis Google Cloud di region mana pun; hal ini memerlukan akses global jika klien berada di region yang berbeda dengan load balancer. Klien lokal yang permintaannya tiba di region Google Cloud mana pun—misalnya, menggunakan Cloud VPN atau Cloud Interconnect. |
TCP | Backend di region Google Cloud yang sama dengan load balancer, yang berjalan di VM di Compute Engine. | |
| Load Balancer Jaringan passthrough eksternal | Klien di internet publik | TCP atau UDP | Backend di region Google Cloud yang sama dengan load balancer, yang berjalan di VM di Compute Engine. | |
| Load Balancer Jaringan proxy eksternal | Klien di internet publik | SSL atau TCP | Penghentian TLS menggunakan sertifikat yang dikelola Google atau dikelola sendiri (khusus proxy SSL) Kebijakan SSL (khusus proxy SSL) |
Backend di region Google Cloud mana pun, yang berjalan di:
|
| Edge proxy (di instance VM atau penampung) yang dikonfigurasi oleh Cloud Service Mesh |
Klien harus berada di lokasi yang memenuhi salah satu persyaratan berikut:
|
HTTP/1.1 HTTP/2 |
Pengelolaan traffic
lanjutan (termasuk dukungan regex) |
Backend di region Google Cloud mana pun, yang berjalan di:
|
Untuk perbandingan mendetail fitur demi fitur, lihat halaman Fitur load balancer. Untuk ringkasan mendetail tentang fitur Cloud Service Mesh, lihat halaman Fitur Cloud Service Mesh.
Men-deploy dan mengonfigurasi gateway
Pertimbangan terakhir dalam memilih gateway adalah pengalaman developer dan alat yang ingin Anda gunakan. Google Cloud menawarkan beberapa pendekatan untuk membuat dan mengelola gateway Anda.
Google Cloud CLI dan Compute Engine API
Untuk mengonfigurasi produk load balancing terkelola Google Cloud dan Cloud Service Mesh, Anda dapat menggunakan Google Cloud CLI dan Compute Engine API. gcloud CLI dan API menyediakan mekanisme untuk men-deploy dan mengonfigurasi resource Google Cloud Anda secara imperatif. Untuk mengotomatiskan tugas berulang, Anda dapat membuat skrip.
Konsol Google Cloud
Untuk mengonfigurasi Cloud Service Mesh dan load balancer terkelola Google Cloud, Anda dapat menggunakan konsol Google Cloud.
Untuk mengonfigurasi pola gateway, Anda mungkin memerlukan halaman Cloud Service Mesh dan halaman Load balancing.
GKE dan Multi Cluster Ingress
Pengontrol jaringan GKE dan GKE Enterprise juga mendukung deployment Cloud Load Balancing untuk integrasi bawaan dengan jaringan penampung. API ini menyediakan antarmuka deklaratif bergaya Kubernetes untuk men-deploy dan mengonfigurasi gateway. Pengontrol Ingress GKE dan Multi-cluster Ingress mengelola load balancer internal dan eksternal untuk mengirim traffic ke satu cluster atau di beberapa cluster GKE. Resource Ingress juga dapat dikonfigurasi untuk mengarah ke layanan yang dikonfigurasi Cloud Service Mesh yang di-deploy di cluster GKE.
Pola arsitektur gateway
Bagian ini menjelaskan pola tingkat tinggi dan memberikan diagram arsitektur untuk gateway Anda.
Pola yang paling umum melibatkan penggunaan load balancer yang dikelola Google Cloud sebagai gateway Anda:
Klien mengirim traffic ke load balancer terkelola Google Cloud yang bertindak sebagai gateway Anda.
- Gateway menerapkan kebijakan.
Gateway mengirimkan traffic ke layanan di mesh Anda.
Pola yang lebih canggih melibatkan gateway di dua tingkat. Gateway berfungsi sebagai berikut:
Klien mengirim traffic ke load balancer yang dikelola Google Cloud yang bertindak sebagai gateway tingkat pertama Anda.
- Gateway menerapkan kebijakan.
Gateway mengirim traffic ke proxy edge (atau kumpulan proxy edge) yang dikonfigurasi oleh Cloud Service Mesh. Proxy edge ini bertindak sebagai gateway tingkat kedua. Level ini melakukan hal berikut:
Memberikan pemisahan masalah yang jelas, misalnya, satu tim bertanggung jawab atas traffic masuk yang memasuki Google Cloud, sedangkan tim lain bertanggung jawab atas traffic masuk yang memasuki mesh tim tersebut.
Memungkinkan Anda menerapkan kebijakan yang mungkin tidak didukung di load balancer yang dikelola Google Cloud.
Gateway tingkat kedua mengirim traffic ke layanan di mesh Anda.
Pola traffic masuk berakhir setelah traffic mencapai layanan dalam mesh. Kasus umum dan pola lanjutan dijelaskan di bagian berikut.
Mengaktifkan traffic masuk dari internet
Jika klien Anda berada di luar Google Cloud dan perlu menjangkau Google Cloud melalui internet publik, Anda dapat menggunakan salah satu load balancer berikut sebagai gateway:
- Load Balancer Aplikasi Eksternal
- Load Balancer Jaringan passthrough eksternal
- Load Balancer Jaringan proxy eksternal
Dalam pola ini, load balancer terkelola Google Cloud berfungsi sebagai gateway Anda. Gateway menangani traffic masuk sebelum meneruskannya ke layanan dalam mesh Anda.
Misalnya, Anda dapat memilih Load Balancer Aplikasi eksternal sebagai gateway untuk menggunakan hal berikut:
- Alamat IP Anycast global yang dapat dirutekan secara publik, yang meminimalkan latensi dan biaya traversal jaringan.
- Google Cloud Armor dan penghentian TLS untuk mengamankan traffic ke mesh Anda.
- Cloud CDN untuk menayangkan konten web dan video.
- Kemampuan pengelolaan traffic seperti pemilihan rute berbasis host dan berbasis jalur.
Untuk informasi selengkapnya guna membantu Anda menentukan gateway yang sesuai, lihat bagian Memilih gateway untuk mesh.
Mengaktifkan traffic masuk dari klien di VPC dan jaringan lokal yang terhubung
Jika klien berada di dalam jaringan VPC, atau jika berada di lokal dan dapat menjangkau layanan Google Cloud menggunakan metode konektivitas pribadi (seperti Cloud VPN atau Cloud Interconnect), Anda dapat menggunakan salah satu load balancer berikut sebagai gateway:
Dalam pola ini, load balancer terkelola Google Cloud berfungsi sebagai gateway Anda. Gateway menangani traffic masuk sebelum meneruskannya ke layanan dalam mesh Anda.
Misalnya, Anda dapat memilih Load Balancer Aplikasi internal sebagai gateway agar dapat menggunakan fitur berikut:
- Alamat IP yang dapat dialamatkan secara pribadi
- TLS termination untuk mengamankan mesh Anda
- Kemampuan pengelolaan traffic lanjutan seperti pemisahan traffic berbasis bobot
- NEG sebagai backend
Untuk informasi selengkapnya guna membantu Anda menentukan gateway yang sesuai, lihat bagian Memilih gateway untuk mesh.
Menangani traffic masuk menggunakan gateway tingkat kedua di tepi mesh
Bergantung pada kebutuhan, Anda dapat mempertimbangkan pola yang lebih canggih yang menambahkan gateway tambahan.
Gateway ini adalah proxy edge yang dikonfigurasi Cloud Service Mesh (atau kumpulan proxy) yang berada di belakang load balancer yang dikelola Google Cloud. Anda dapat menghosting gateway tingkat kedua ini di project menggunakan kumpulan VM Compute Engine (grup instance terkelola) atau layanan GKE.
Meskipun lebih canggih, pola ini memberikan manfaat tambahan:
Load balancer yang dikelola Google Cloud menerapkan kumpulan kebijakan awal—misalnya, perlindungan Google Cloud Armor jika Anda menggunakan Load Balancer Aplikasi eksternal.
Proxy edge yang dikonfigurasi Cloud Service Mesh menerapkan kumpulan kebijakan kedua yang mungkin tidak tersedia di load balancer terkelola Google Cloud. Kebijakan ini mencakup pengelolaan traffic lanjutan yang menggunakan ekspresi reguler yang diterapkan ke header HTTP dan pemisahan traffic berbasis bobot.
Pola ini dapat disiapkan untuk mencerminkan struktur organisasi Anda. Contoh:
Satu tim mungkin bertanggung jawab untuk menangani traffic masuk ke Google Cloud, sementara tim lain bertanggung jawab untuk menangani traffic masuk ke mesh-nya.
Jika beberapa tim menawarkan layanan di satu VPC Bersama, dengan setiap tim memiliki project layanannya sendiri, tim dapat menggunakan pola ini untuk mengelola dan menerapkan kebijakan di mesh mereka sendiri. Setiap tim dapat mengekspos gateway yang dikonfigurasi Cloud Service Mesh yang dapat dijangkau di satu alamat IP dan pasangan port. Tim kemudian dapat menentukan dan mengelola kebijakan secara independen yang diterapkan pada traffic masuk ke mesh tim.
Pola ini dapat diterapkan menggunakan load balancer apa pun yang dikelola Google Cloud, selama load balancer dapat mengirim traffic ke backend yang menghosting gateway yang dikonfigurasi Cloud Service Mesh.
Menggunakan API pemilihan rute layanan untuk traffic masuk
API pemilihan rute layanan menyediakan resource Gateway untuk
mengonfigurasi pengelolaan dan keamanan traffic untuk proxy Envoy yang bertindak sebagai gateway masuk, yang memungkinkan klien eksternal terhubung ke mesh layanan (utara-selatan).
Untuk informasi selengkapnya, baca ringkasan perutean layanan dan Menyiapkan gateway ingress.
Langkah selanjutnya
- Untuk menyiapkan gateway traffic masuk, lihat Penyiapan Cloud Service Mesh untuk gateway traffic masuk,
- Untuk mengelompokkan VM dan penampung yang menjalankan kode sebagai endpoint layanan, lihat Penemuan layanan Cloud Service Mesh.
- Untuk menggunakan Cloud Service Mesh dengan VPC Bersama, lihat Menyiapkan mesh layanan multi-cluster.
- Untuk mempelajari Cloud Service Mesh lebih lanjut, lihat ringkasan Cloud Service Mesh.