設定區域性內部應用程式負載平衡器，並使用混合式連線

主控台

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。
   前往「VPC networks」(虛擬私有雲網路)
2. 前往用於在環境之間設定混合連線的網路。
3. 按一下 [新增子網路]。
4. 輸入「名稱」：PROXY_ONLY_SUBNET_NAME。
5. 選取「Region」(區域)：REGION。
6. 將「用途」設為「區域受管理 Proxy」。
7. 輸入「IP address range」(IP 位址範圍)：PROXY_ONLY_SUBNET_RANGE。
8. 按一下「新增」。

gcloud

使用 gcloud compute networks subnets create 指令，建立僅限 Proxy 的子網路。

gcloud compute networks subnets create PROXY_ONLY_SUBNET_NAME \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=REGION \
  --network=NETWORK \
  --range=PROXY_ONLY_SUBNET_RANGE

Cloud 控制台

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。
   前往「VPC networks」(虛擬私有雲網路)
2. 前往用於設定環境間混合式連線的網路。
3. 在「Subnets」(子網路) 區段中：
   • 將「Subnet creation mode」(子網路建立模式) 設為 [Custom] (自訂)。
   • 在「New subnet」(新的子網路) 區段中，輸入以下資訊：
     • Name (名稱)：LB_SUBNET_NAME
     • 區域：REGION
     • IP address range (IP 位址範圍)：LB_SUBNET_RANGE
   • 按一下 [完成]。
4. 按一下 [建立]。

gcloud

1. 在用於在環境之間設定混合式連線的網路中建立子網路。

   gcloud compute networks subnets create LB_SUBNET_NAME \
       --network=NETWORK \
       --range=LB_SUBNET_RANGE \
       --region=REGION
   

主控台

您可以使用Google Cloud 主控台保留獨立的內部 IP 位址。

1. 前往「VPC networks」(VPC 網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下用於設定環境之間混合式連線的網路。
3. 按一下「Static internal IP addresses」(靜態內部 IP 位址)，然後點選「Reserve static address」(預留靜態位址)。
4. 輸入「名稱」：LB_IP_ADDRESS。
5. 在「子網路」中，選取 LB_SUBNET_NAME。
6. 如要指定要保留的 IP 位址，請在「Static IP address」(靜態 IP 位址) 下方選取「Let me choose」(自行選擇)，然後填入「Custom IP address」(自訂 IP 位址)。否則，系統會自動在子網路中指派 IP 位址。
7. 如果您想將這個 IP 位址用於多個轉送規則，請在「用途」下方選擇「共用」。
8. 按一下「預訂」，即可完成程序。

gcloud

1. 使用 gcloud CLI 執行 compute addresses create 指令：

   gcloud compute addresses create LB_IP_ADDRESS \
     --region=REGION \
     --subnet=LB_SUBNET_NAME \
   

2. 使用 compute addresses describe 指令查看已分配的 IP 位址：

   gcloud compute addresses describe LB_IP_ADDRESS \
     --region=REGION
   

   如果您想使用相同的 IP 位址搭配多個轉送規則，請指定 --purpose=SHARED_LOADBALANCER_VIP。

主控台

1. 在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。
   前往「防火牆政策」頁面
2. 按一下「Create firewall rule」(建立防火牆規則)，建立允許健康狀態檢查探針流量的規則：
   1. 輸入 fw-allow-health-check 的「Name」。
   2. 在「Network」下方選取 NETWORK。
   3. 在「Targets」(目標) 下方，選取 [Specified target tags] (指定的目標標記)。
   4. 在「Target tags」(目標標記) 欄位填入 allow-health-check。
   5. 將「Source filter」(來源篩選器) 設為「IPv4 ranges」(IPv4 範圍)。
   6. 將「Source IPv4 ranges」(來源 IPv4 範圍) 設為 130.211.0.0/22 和 35.191.0.0/16。
   7. 在「Protocols and ports」(通訊協定和通訊埠) 下方，選取「Specified protocols and ports」(指定的通訊協定和通訊埠)。
   8. 選取「TCP」TCP，然後輸入 80 做為「Port number」(通訊埠編號)。
   9. 按一下 [建立]。
3. 再次按一下「Create firewall rule」(建立防火牆規則)，建立允許連入 SSH 連線的規則：
   1. Name (名稱)：fw-allow-ssh
   2. Network (網路)：NETWORK
   3. Priority (優先順序)：1000
   4. 「Direction of traffic」(流量方向)：[ingress] (輸入)
   5. 「Action on match」(相符時執行的動作)：[allow] (允許)
   6. 「Target」(目標)：指定的目標標記
   7. 「Target tags」(目標標記)：allow-ssh
   8. 來源篩選器：IPv4 範圍
   9. Source IPv4 ranges (來源 IPv4 範圍)：0.0.0.0/0
   10. Protocols and ports：選擇「Specified protocols and ports」。
   11. 選取「TCP」TCP，然後輸入 22 做為「Port number」(通訊埠編號)。
   12. 按一下 [建立]。
4. 再次按一下「Create firewall rule」(建立防火牆規則)，以建立允許來自僅限 Proxy 子網路的連線規則：
   1. Name (名稱)：fw-allow-proxy-only-subnet
   2. Network (網路)：NETWORK
   3. Priority (優先順序)：1000
   4. 「Direction of traffic」(流量方向)：[ingress] (輸入)
   5. 「Action on match」(相符時執行的動作)：[allow] (允許)
   6. 「Target」(目標)：指定的目標標記
   7. 「Target tags」(目標標記)：allow-proxy-only-subnet
   8. 來源篩選器：IPv4 範圍
   9. Source IPv4 ranges (來源 IPv4 範圍)：PROXY_ONLY_SUBNET_RANGE
   10. Protocols and ports (通訊協定和通訊埠)：選擇「Specified protocols and ports」(指定的通訊協定和通訊埠)
   11. 選取「TCP」TCP，然後輸入 80 做為「Port number」(通訊埠編號)。
   12. 按一下 [建立]。

gcloud

1. 建立 fw-allow-health-check-and-proxy 規則，允許 Google Cloud 健康檢查在 TCP 通訊埠 80 上存取後端執行個體：

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --rules=tcp:80
   

2. 建立 fw-allow-ssh 防火牆規則，允許與具有 allow-ssh 網路標記的 VM 建立 SSH 連線。若省略 source-ranges，Google Cloud 會將規則解讀為任何來源。

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

3. 為僅限 Proxy 的子網路建立允許輸入的防火牆規則，以便負載平衡器與 TCP 通訊埠 80 上的後端執行個體通訊：

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-proxy-only-subnet \
       --source-ranges=PROXY_ONLY_SUBNET_RANGE \
       --rules=tcp:80
   

主控台

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。
   前往「VM instances」(VM 執行個體)
2. 點選「建立執行個體」。
3. 將「Name」(名稱) 設為 vm-a1。
4. 在「區域」部分，選擇 REGION，然後選擇任何「可用區」。這個值在本程序中會稱為 GCP_NEG_ZONE。
5. 在「Boot disk」(開機磁碟) 專區中，確認已為開機磁碟選項選取「Debian GNU/Linux 12 (bookworm)」。如有需要，請按一下「Choose」(選擇)，以變更圖片。

6. 按一下「進階選項」，然後進行下列變更：

   • 按一下「Networking」(網路)，然後新增下列「Network tags」(網路標記)：allow-ssh、allow-health-check 和 allow-proxy-only-subnet。
   • 按一下「Network interfaces」下方的「Edit」圖示 edit，進行下列變更，然後按一下「Done」：
     • Network (網路)：NETWORK
     • Subnet (子網路)：LB_SUBNET_NAME
     • 「Primary internal IP」(主要內部 IP)：臨時 (自動)
     • External IP (外部 IP)：臨時

   • 按一下 [Management] (管理)。在「Startup script」(開機指令碼) 欄位中，複製並貼上下列指令碼內容。四個 VM 的指令碼內容完全相同：

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2
     

7. 按一下 [建立]。

8. 使用下列名稱和區域組合，重複執行以下步驟來建立第二個 VM：

   • 名稱：vm-a2，區域：GCP_NEG_ZONE

gcloud

使用下列組合建立 VM 的名稱和區域，執行以下指令兩次來建立 VM。兩個 VM 的指令碼內容皆相同。

• vm-a1 的 VM_NAME 和您選擇的任一 GCP_NEG_ZONE 區

• vm-a2 和相同 GCP_NEG_ZONE 區域的 VM_NAME

  gcloud compute instances create VM_NAME \
      --zone=GCP_NEG_ZONE \
      --image-family=debian-12 \
      --image-project=debian-cloud \
      --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
      --subnet=LB_SUBNET_NAME \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
  

主控台

如何建立可用區網路端點群組：

1. 前往 Google Cloud 控制台的「Network Endpoint Groups」(網路端點群組) 頁面。
   前往「Network Endpoint Groups」(網路端點群組) 頁面
   
2. 按一下「建立網路端點群組」。
3. 輸入區域 NEG 的名稱。在本程序中稱為 GCP_NEG_NAME。
4. 選取「網路端點群組類型」：「網路端點群組 (區域性)」。
5. 選取「網路」：NETWORK
6. 選取「子網路」：LB_SUBNET_NAME
7. 選取「區域」：GCP_NEG_ZONE
8. 輸入「預設通訊埠」：80。
9. 按一下 [建立]。

將端點新增至區域性 NEG：

1. 前往 Google Cloud 控制台的「Network Endpoint Groups」(網路端點群組) 頁面。
   前往「Network endpoint groups」(網路端點群組)
   
2. 按一下在前一個步驟中建立的網路端點群組「名稱」 (GCP_NEG_NAME)。您會看到「Network endpoint group details」頁面。
3. 在「Network endpoints in this group」(這個群組中的網路端點) 區段中，按一下 [Add network endpoint] (新增網路端點]。畫面上即會出現「Add network endpoint」(新增網路端點) 頁面。
4. 選取某個 VM 執行個體，將其內部 IP 位址新增為網路端點。在「Network interface」部分，系統會顯示 VM 的名稱、區域和子網路。
5. 在「IPv4 位址」欄位中，輸入新網路端點的 IPv4 位址。
6. 選取「Port type」(通訊埠類型)。
   1. 如果您選取「預設」，則端點會使用網路端點群組中所有端點的預設通訊埠 80。這對我們的範例來說已足夠，因為 Apache 伺服器會透過通訊埠 80 提供要求。
   2. 如果您選取「Custom」(自訂)，請輸入端點要使用的「Port number」(通訊埠編號)。
7. 如要新增更多端點，請按一下「Add network endpoint」(新增網路端點)，然後重複執行上述步驟。
8. 新增所有端點後，按一下「建立」。

gcloud

1. 使用 gcloud compute network-endpoint-groups create 指令建立區域性 NEG (含 GCE_VM_IP_PORT 端點)：

   gcloud compute network-endpoint-groups create GCP_NEG_NAME \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=GCP_NEG_ZONE \
       --network=NETWORK \
       --subnet=LB_SUBNET_NAME
   

   您可以在建立 NEG 時指定 --default-port，或是為每個端點指定通訊埠號碼，如下一個步驟所示。

2. 將端點新增至 GCP_NEG_NAME。

   gcloud compute network-endpoint-groups update GCP_NEG_NAME \
       --zone=GCP_NEG_ZONE \
       --add-endpoint='instance=vm-a1,port=80' \
       --add-endpoint='instance=vm-a2,port=80'
   

主控台

如何建立混合式連線網路端點群組：

1. 前往 Google Cloud 控制台的「Network Endpoint Groups」(網路端點群組) 頁面。
   前往網路端點群組
   
2. 按一下「建立網路端點群組」。
3. 輸入混合 NEG 的「名稱」。在本程序中稱為 ON_PREM_NEG_NAME。
4. 選取網路端點群組類型：混合式連線網路端點群組 (可用區)。
5. 選取「網路」：NETWORK
6. 選取「子網路」：LB_SUBNET_NAME
7. 選取「區域」：ON_PREM_NEG_ZONE
8. 輸入「預設通訊埠」。
9. 按一下 [建立]。

將端點新增至混合式連線 NEG：

1. 前往 Google Cloud 控制台的「Network Endpoint Groups」(網路端點群組) 頁面。
   前往「Network Endpoint Groups」(網路端點群組) 頁面
   
2. 按一下在前一個步驟建立的網路端點群組的「名稱」 (ON_PREM_NEG_NAME)。您會看到「Network endpoint group detail」頁面。
3. 在「Network endpoints in this group」(這個群組中的網路端點) 區段中，按一下 [Add network endpoint] (新增網路端點]。畫面上即會出現「Add network endpoint」(新增網路端點) 頁面。
4. 輸入新網路端點的「IP 位址」。
5. 選取「Port type」(通訊埠類型)。
   1. 如果您選取「預設」，則端點會使用網路端點群組中所有端點的預設通訊埠。
   2. 如果您選取「Custom」(自訂)，可以輸入端點要使用的不同「Port number」(通訊埠編號)。
6. 如要新增更多端點，請按一下「Add network endpoint」(新增網路端點)，然後重複執行上述步驟。
7. 新增所有非Google Cloud 端點後，請按一下「建立」。

gcloud

1. 使用 gcloud compute network-endpoint-groups create 指令建立混合式連線 NEG。

   gcloud compute network-endpoint-groups create ON_PREM_NEG_NAME \
       --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
       --zone=ON_PREM_NEG_ZONE \
       --network=NETWORK
   

2. 將內部部署後端 VM 端點新增至 ON_PREM_NEG_NAME：

   gcloud compute network-endpoint-groups update ON_PREM_NEG_NAME \
       --zone=ON_PREM_NEG_ZONE \
       --add-endpoint="ip=ON_PREM_IP_ADDRESS_1,port=PORT_1" \
       --add-endpoint="ip=ON_PREM_IP_ADDRESS_2,port=PORT_2"
   

您可以使用這個指令，新增先前在內部部署環境或雲端環境中設定的網路端點。視需要重複執行 --add-endpoint。

如有需要，您可以重複執行這些步驟來建立多個混合型 NEG。

主控台

gcloud

1. 為後端建立健康狀態檢查。

      gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \
          --region=REGION \
          --use-serving-port
      

   混合 NEG 後端的健康狀態檢查探測來自僅限 Proxy 的子網路中的 Envoy Proxy，而區域 NEG 後端的探測來自 [Google 的中央探測 IP 範圍](/load-balancing/docs/health-check-concepts#ip-ranges)。
2. 為以 Google Cloud為基礎的後端建立後端服務。您同時將區域 NEG 和混合式連線 NEG 新增為此後端服務的後端。

     gcloud compute backend-services create BACKEND_SERVICE \
         --load-balancing-scheme=INTERNAL_MANAGED \
         --protocol=HTTP \
         --health-checks=HTTP_HEALTH_CHECK_NAME \
         --health-checks-region=REGION \
         --region=REGION
     

3. 將區域 NEG 新增至後端服務，做為後端使用。

   gcloud compute backend-services add-backend BACKEND_SERVICE \
       --region=REGION \
       --balancing-mode=RATE \
       --max-rate-per-endpoint=MAX_REQUEST_RATE_PER_ENDPOINT \
       --network-endpoint-group=GCP_NEG_NAME \
       --network-endpoint-group-zone=GCP_NEG_ZONE
   

   如要進一步瞭解如何設定平衡模式，請參閱 gcloud CLI 說明文件中的 --max-rate-per-endpoint 參數。
4. 將混合 NEG 新增至後端服務，做為後端使用。

   gcloud compute backend-services add-backend BACKEND_SERVICE \
       --region=REGION \
       --balancing-mode=RATE \
       --max-rate-per-endpoint=MAX_REQUEST_RATE_PER_ENDPOINT \
       --network-endpoint-group=ON_PREM_NEG_NAME \
       --network-endpoint-group-zone=ON_PREM_NEG_ZONE
   

   如要進一步瞭解如何設定平衡模式，請參閱 gcloud CLI 說明文件中的 --max-rate-per-endpoint 參數。
5. 建立網址對應，將連入的要求轉送至後端服務：

   gcloud compute url-maps create URL_MAP_NAME \
       --default-service BACKEND_SERVICE \
       --region=REGION
   

6. 選用步驟：如果您在用戶端和負載平衡器之間使用 HTTPS，請執行這個步驟。但 HTTP 負載平衡器不需要這項資訊。

   您可以建立 Compute Engine 或憑證管理工具憑證。請使用下列任一方法，透過憑證管理工具建立憑證：

   • 區域性自行管理憑證。如要進一步瞭解如何建立及使用區域性自行管理憑證，請參閱「部署區域性自行管理憑證」一文。不支援憑證對應。

   • 區域性 Google 代管憑證。不支援憑證對應。

     Certificate Manager 支援下列類型的區域性 Google 代管憑證：

     • 區域性 Google 代管憑證，並具備個別專案 DNS 授權。詳情請參閱「部署區域性 Google 代管憑證」。
     • 區域性 Google 代管 (私人) 憑證 (搭配憑證授權單位服務)。 詳情請參閱「透過 CA 服務部署區域性 Google 代管憑證」。

   建立憑證後，請直接將憑證附加至目標 Proxy。

   建立 Compute Engine 自行管理的 SSL 憑證資源：

   gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
       --certificate CRT_FILE_PATH \
       --private-key KEY_FILE_PATH
   

7. 建立目標 HTTP(S) Proxy，將要求轉送至您的網址對應。
   
   如要建立 HTTP 負載平衡器，請建立 HTTP 目標 Proxy：

   gcloud compute target-http-proxies create TARGET_HTTP_PROXY_NAME \
       --url-map=URL_MAP_NAME \
       --url-map-region=REGION \
       --region=REGION
   

   如要建立 HTTPS 負載平衡器，請建立 HTTPS 目標 Proxy。Proxy 是負載平衡器的一部分，用於保存 HTTPS 負載平衡的 SSL 憑證，因此您還可以在此步驟中載入憑證。

   gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
       --ssl-certificates=SSL_CERTIFICATE_NAME \
       --url-map=URL_MAP_NAME \
       --url-map-region=REGION \
       --region=REGION
   

8. 建立轉送規則，將傳入要求轉送至 Proxy。請勿使用僅限 Proxy 的子網路建立轉送規則。
   
   HTTP 負載平衡器：

     gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \
         --load-balancing-scheme=INTERNAL_MANAGED \
         --network=NETWORK \
         --subnet=LB_SUBNET_NAME \
         --address=LB_IP_ADDRESS \
         --ports=80 \
         --region=REGION \
         --target-http-proxy=TARGET_HTTP_PROXY_NAME \
         --target-http-proxy-region=REGION
   

   HTTPS 負載平衡器：

     gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
         --load-balancing-scheme=INTERNAL_MANAGED \
         --network=NETWORK \
         --subnet=LB_SUBNET_NAME \
         --address=LB_IP_ADDRESS \
         --ports=443 \
         --region=REGION \
         --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
         --target-https-proxy-region=REGION
   

主控台

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。
   前往「VM instances」(VM 執行個體)
2. 點選「建立執行個體」。
3. 將「Name」(名稱) 設為 vm-client。
4. 將「可用區」設為 CLIENT_VM_ZONE。
5. 按一下「進階選項」，然後進行以下變更：
   • 按一下「Networking」(網路)，然後將 allow-ssh 新增至「Network tags」(網路標記)。
   • 按一下「Network interfaces」下方的編輯按鈕，進行下列變更，然後按一下「Done」：
     • Network (網路)：NETWORK
     • Subnet (子網路)：LB_SUBNET_NAME
     • 「Primary internal IP」(主要內部 IP)：臨時 (自動)
     • 「External IP」(外部 IP)：[Ephemeral] (臨時)
6. 按一下 [建立]。

gcloud

用戶端 VM 可以位於與負載平衡器相同地區的任何區域中，也可以使用該地區中的任何子網路。在本範例中，用戶端位於 CLIENT_VM_ZONE 區域，並使用與後端 VM 相同的子網路。

gcloud compute instances create vm-client \
    --zone=CLIENT_VM_ZONE \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=LB_SUBNET_NAME