Menyiapkan Load Balancer Jaringan proxy internal regional dengan konektivitas hybrid

Load Balancer Jaringan proxy internal regional adalah load balancer Lapisan 4 regional berbasis proxy yang memungkinkan Anda menjalankan dan menskalakan traffic layanan TCP di balik alamat IP internal yang hanya dapat diakses oleh klien di jaringan Virtual Private Cloud (VPC) yang sama atau klien yang terhubung ke jaringan VPC Anda. Jika ingin menyediakan layanan untuk klien di jaringan VPC lain, Anda dapat menggunakan Private Service Connect untuk memublikasikan layanan.

Halaman ini menjelaskan cara mengonfigurasi Load Balancer Jaringan proxy internal regional untuk melakukan load balancing traffic ke backend di infrastruktur lokal atau di lingkungan cloud lain yang terhubung menggunakan konektivitas hybrid. Mengonfigurasi konektivitas hybrid untuk menghubungkan jaringan Anda ke Google Cloud tidak termasuk dalam cakupan halaman ini.

Ringkasan

Dalam contoh ini, kita akan menggunakan load balancer untuk mendistribusikan traffic TCP di seluruh VM backend yang terletak di infrastruktur lokal atau di lingkungan cloud lainnya.

Dalam contoh ini, Anda mengonfigurasi deployment berikut:

Contoh konfigurasi Load Balancer Jaringan proxy internal regional dengan backend NEG hybrid. — Contoh konfigurasi Load Balancer Jaringan proxy internal regional dengan backend NEG hybrid (klik untuk memperbesar).

Load Balancer Jaringan proxy internal regional adalah load balancer regional. Semua komponen load balancer (grup instance backend, layanan backend, proxy target, dan aturan penerusan) harus berada di region yang sama.

Izin

Untuk menyiapkan load balancing hybrid, Anda harus memiliki izin berikut:

Di Google Cloud
- Izin untuk membuat konektivitas hybrid antara Google Cloud dan lingkungan lokal Anda atau lingkungan cloud lainnya. Untuk daftar izin yang diperlukan, lihat dokumentasi produk Konektivitas Jaringan yang relevan.
- Izin untuk membuat NEG konektivitas hybrid dan load balancer. Peran Admin Load Balancer Compute (roles/compute.loadBalancerAdmin) berisi izin yang diperlukan untuk melakukan tugas-tugas yang dijelaskan dalam panduan ini.
Di lingkungan lokal Anda atau lingkungan cloud non-Google Cloud lainnya
- Izin untuk mengonfigurasi endpoint jaringan yang memungkinkan layanan di lingkungan lokal Anda atau lingkungan cloud lainnya dapat dijangkau dari Google Cloud menggunakan kombinasi IP:Port. Untuk mengetahui informasi selengkapnya, hubungi administrator jaringan lingkungan Anda.
- Izin untuk membuat aturan firewall di lingkungan lokal Anda atau lingkungan cloud lainnya agar pemeriksaan health check Google dapat mencapai endpoint.

Selain itu, untuk menyelesaikan petunjuk di halaman ini, Anda perlu membuat NEG konektivitas hybrid, load balancer, dan NEG zona (serta endpoint-nya) untuk berfungsi sebagai backend berbasis Google Cloud untuk load balancer.

Anda harus merupakan Pemilik atau Editor project, atau Anda harus memiliki peran IAM Compute Engine berikut.

Tugas	Peran yang diperlukan
Membuat jaringan, subnet, dan komponen load balancer	Admin Jaringan Compute (`roles/compute.networkAdmin`)
Menambahkan dan menghapus aturan firewall	Admin Keamanan Compute (`roles/compute.securityAdmin`)
Membuat instance	Admin Instance Compute (`roles/compute.instanceAdmin`)

Membangun konektivitas hybrid

Lingkungan Google Cloud dan lingkungan lokal Anda atau lingkungan cloud lainnya harus terhubung melalui konektivitas hybrid menggunakan lampiran VLAN Cloud Interconnect atau tunnel Cloud VPN dengan Cloud Router. Sebaiknya gunakan koneksi ketersediaan tinggi.

Cloud Router yang diaktifkan dengan perutean dinamis global mempelajari endpoint tertentu melalui Border Gateway Protocol (BGP) dan memprogramnya ke jaringan VPC Google Cloud Anda. Perutean dinamis regional tidak didukung. Rute statis juga tidak didukung.

Jaringan VPC yang digunakan untuk mengonfigurasi Cloud Interconnect atau Cloud VPN adalah jaringan yang sama dengan yang Anda gunakan untuk mengonfigurasi deployment load balancing hybrid. Pastikan rentang CIDR subnet jaringan VPC Anda tidak bertentangan dengan rentang CIDR jarak jauh Anda. Ketika alamat IP tumpang-tindih, rute subnet akan diprioritaskan daripada konektivitas jarak jauh.

Untuk mengetahui petunjuknya, lihat dokumentasi berikut:

Menyiapkan lingkungan Anda yang berada di luar Google Cloud

Lakukan langkah-langkah berikut untuk menyiapkan lingkungan lokal atau lingkungan cloud lainnya untuk load balancing hybrid:

Konfigurasi endpoint jaringan untuk mengekspos layanan lokal ke Google Cloud (IP:Port).
Konfigurasikan aturan firewall di lingkungan lokal Anda atau lingkungan cloud lainnya.
Konfigurasi Cloud Router untuk memberitahukan rute tertentu yang diperlukan ke lingkungan pribadi Anda.

Menyiapkan endpoint jaringan

Setelah menyiapkan konektivitas hybrid, Anda akan mengonfigurasi satu atau beberapa endpoint jaringan dalam lingkungan lokal Anda atau lingkungan cloud lain yang dapat dijangkau melalui Cloud Interconnect atau Cloud VPN menggunakan kombinasi IP:port. Kombinasi IP:port ini dikonfigurasi sebagai satu atau beberapa endpoint untuk NEG konektivitas hybrid yang dibuat di Google Cloud nanti dalam proses ini.

Jika ada beberapa jalur ke endpoint IP, perutean akan mengikuti perilaku yang dijelaskan dalam ringkasan Cloud Router.

Menyiapkan aturan firewall

Aturan firewall berikut harus dibuat di lingkungan lokal Anda atau lingkungan cloud lainnya:

Buat aturan firewall izinkan masuk di lingkungan lokal atau lingkungan cloud lainnya untuk mengizinkan traffic dari subnet khusus proxy di region tersebut untuk mencapai endpoint.
Mengizinkan rentang pemeriksaan health check Google tidak diperlukan untuk NEG campuran. Namun, jika menggunakan kombinasi NEG campuran dan zona dalam satu layanan backend, Anda harus mengizinkan rentang pemeriksaan health check Google untuk NEG zona.

Iklankan rute

Konfigurasikan Cloud Router untuk mengiklankan rentang IP kustom berikut ke lingkungan lokal atau lingkungan cloud lainnya:

Rentang subnet khusus proxy region.

Menyiapkan lingkungan Google Cloud

Untuk langkah berikut, pastikan Anda menggunakan jaringan VPC yang sama (disebut NETWORK dalam prosedur ini) yang digunakan untuk mengonfigurasi konektivitas hybrid antar-lingkungan. Anda dapat memilih subnet apa pun dari jaringan ini untuk mencadangkan alamat IP load balancer, dan membuat load balancer. Subnet ini disebut sebagai LB_SUBNET dalam prosedur ini.

Selain itu, pastikan region yang digunakan (disebut REGION dalam prosedur ini) sama dengan yang digunakan untuk membuat tunnel Cloud VPN atau lampiran VLAN Cloud Interconnect.

Mengonfigurasi subnet khusus proxy

Subnet khusus proxy memberikan sekumpulan alamat IP yang digunakan Google untuk menjalankan proxy Envoy atas nama Anda. Proxy tersebut menghentikan koneksi dari klien dan membuat koneksi baru ke backend.

Subnet khusus proxy digunakan oleh semua load balancer regional berbasis Envoy di region REGION pada jaringan VPC NETWORK.

Hanya boleh ada satu subnet khusus proxy aktif per region, per jaringan VPC. Anda dapat melewati langkah ini jika sudah ada subnet khusus proxy di region ini.

Konsol

Jika menggunakan Google Cloud Console, Anda dapat menunggu dan membuat subnet khusus proxy nanti di halaman Load balancing.

Jika Anda ingin membuat subnet khusus proxy sekarang, gunakan langkah-langkah berikut:

Di Konsol Google Cloud, buka halaman jaringan VPC.

Buka VPC networks
Buka jaringan yang digunakan untuk mengonfigurasi konektivitas hybrid antar-lingkungan.
Klik Tambahkan subnet.
Masukkan Nama: PROXY_ONLY_SUBNET_NAME.
Pilih Region: REGION.
Tetapkan Destination ke Regional Managed Proxy.
Masukkan rentang alamat IP: PROXY_ONLY_SUBNET_RANGE.
Klik Tambahkan.

gcloud

Buat subnet khusus proxy dengan perintah gcloud compute networks subnets create.

gcloud compute networks subnets create PROXY_ONLY_SUBNET_NAME \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION \
    --network=NETWORK \
    --range=PROXY_ONLY_SUBNET_RANGE

Mencadangkan alamat IP load balancer

Secara default, satu alamat IP digunakan untuk setiap aturan penerusan. Anda dapat mencadangkan alamat IPv4 bersama, yang memungkinkan Anda menggunakan alamat IPv4 yang sama dengan beberapa aturan penerusan. Namun, jika Anda ingin menggunakan Private Service Connect untuk memublikasikan load balancer, jangan gunakan alamat IPv4 bersama untuk aturan penerusan.

Guna mencadangkan alamat IPv4 internal statis untuk load balancer, lihat Mencadangkan alamat IPv4 atau IPv6 internal statis yang baru.

Menyiapkan NEG konektivitas hybrid

Saat membuat NEG, gunakan ZONE yang meminimalkan jarak geografis antara Google Cloud dan lingkungan lokal Anda atau lingkungan cloud lainnya. Misalnya, jika menghosting layanan di lingkungan lokal di Frankfurt, Jerman, Anda dapat menentukan zona europe-west3-a Google Cloud saat membuat NEG.

Selain itu, ZONE yang digunakan untuk membuat NEG harus berada di region yang sama dengan tempat terowongan Cloud VPN atau lampiran VLAN Cloud Interconnect dikonfigurasi untuk konektivitas hybrid.

Untuk region dan zona yang tersedia, lihat dokumentasi Compute Engine: Region dan zona yang tersedia.

Konsol

Untuk membuat NEG konektivitas hybrid:

Di Konsol Google Cloud, buka halaman Network endpoint groups.

Buka Network endpoint groups
Klik Create network endpoint group.
Masukkan Nama untuk NEG campuran. Disebut sebagai HYBRID_NEG_NAME dalam prosedur ini.
Pilih Network endpoint group type: Hybrid connection network endpoint group (Zonal).
Pilih Jaringan: NETWORK
Pilih Subnet: LB_SUBNET
Pilih Zone: HYBRID_NEG_ZONE
Masukkan Port default.
Klik Buat

Tambahkan endpoint ke NEG konektivitas campuran:

Di Konsol Google Cloud, buka halaman Network endpoint groups.

Buka Network endpoint groups
Klik Nama grup endpoint jaringan yang dibuat pada langkah sebelumnya (HYBRID_NEG_NAME). Anda akan melihat halaman Detail grup endpoint jaringan.
Di bagian Network endpoint in this group, klik Add network endpoint. Anda akan melihat halaman Add network endpoint.
Masukkan Alamat IP endpoint jaringan baru.
Pilih Port type.
1. Jika Anda memilih Default, endpoint akan menggunakan port default untuk semua endpoint dalam grup endpoint jaringan.
2. Jika memilih Custom, Anda dapat memasukkan Nomor port yang berbeda untuk digunakan oleh endpoint.
Untuk menambahkan endpoint lainnya, klik Tambahkan endpoint jaringan dan ulangi langkah sebelumnya.
Setelah menambahkan semua endpoint non-Google Cloud, klik Create.

gcloud

Buat NEG konektivitas hybrid menggunakan perintah gcloud compute network-endpoint-groups create.

gcloud compute network-endpoint-groups create HYBRID_NEG_NAME \
   --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
   --zone=HYBRID_NEG_ZONE \
   --network=NETWORK

Tambahkan endpoint IP:Port lokal ke NEG hybrid:

gcloud compute network-endpoint-groups update HYBRID_NEG_NAME \
    --zone=HYBRID_NEG_ZONE \
    --add-endpoint="ip=ENDPOINT_IP_ADDRESS,port=ENDPOINT_PORT"

Anda dapat menggunakan perintah ini untuk menambahkan endpoint jaringan yang sebelumnya Anda konfigurasi di infrastruktur lokal atau di lingkungan cloud Anda. Ulangi --add-endpoint sebanyak yang diperlukan.

Anda dapat mengulangi langkah-langkah ini untuk membuat beberapa NEG campuran jika diperlukan.

Mengonfigurasi load balancer

Konsol

Memulai konfigurasi Anda

Di Konsol Google Cloud, buka halaman Load balancing.

Buka Load balancing
Klik Create load balancer.
Untuk Type of load balancer, pilih Network Load Balancer (TCP/UDP/SSL), lalu klik Next.
Untuk Proxy or passthrough, pilih Proxy load balancer, lalu klik Next.
Untuk Terhadap publik atau internal, pilih Internal, lalu klik Berikutnya.
Untuk Cross-region or single region deployment, pilih Best for regional working, lalu klik Next.
Klik Konfigurasikan.

Konfigurasi dasar

Masukkan Nama untuk load balancer.
Pilih Region: REGION.
Pilih Network: NETWORK.

Mereservasi subnet khusus proxy

Untuk mencadangkan subnet khusus proxy:

Klik Reserve subnet.
Masukkan Name: PROXY_ONLY_SUBNET_NAME.
Masukkan rentang alamat IP: PROXY_ONLY_SUBNET_RANGE.
Klik Tambahkan.

Konfigurasi backend

Klik Backend configuration.
Untuk Backend type, pilih Hybrid connection network endpoint group (Zonal).
Untuk Protocol, pilih TCP.
Di bagian New backend, pilih NEG campuran yang dibuat sebelumnya: HYBRID_NEG_NAME. Atau, Anda dapat mengklik Create a network endpoint group untuk membuat NEG hybrid. Untuk panduan mengonfigurasi NEG, lihat Menyiapkan NEG hybrid.
Pertahankan nilai default yang tersisa dan klik Done.
Konfigurasi health check:
1. Di bagian Health check, pilih Create a health check.
2. Masukkan Nama untuk health check.
3. Untuk Protocol, pilih TCP.
4. Untuk Port, masukkan 80.
Pertahankan nilai default yang tersisa lalu klik Save.
Di konsol Google Cloud, pastikan ada tanda centang di samping Backend configuration. Jika belum, periksa kembali apakah Anda telah menyelesaikan semua langkah.

Konfigurasi frontend

Klik Frontend configuration.
Masukkan Nama aturan penerusan.
Untuk Subnetwork, pilih LB_SUBNET.
Untuk Alamat IP, pilih LB_IP_ADDRESS.
Untuk Nomor port, masukkan nomor port dari 1-65535. Aturan penerusan hanya meneruskan paket dengan port tujuan yang cocok.
Aktifkan Protokol Proxy hanya jika protokol tersebut berfungsi dengan layanan yang berjalan di endpoint cloud lokal Anda atau endpoint cloud lainnya. Misalnya, protokol PROXY tidak berfungsi dengan software Server HTTP Apache. Untuk mengetahui informasi selengkapnya, lihat Protokol proxy.
Klik Done.
Di konsol Google Cloud, pastikan ada tanda centang di samping Frontend configuration. Jika belum, periksa kembali apakah Anda telah menyelesaikan semua langkah sebelumnya.

Melakukan peninjauan dan penyelesaian

Klik Review and finalize.
Periksa kembali setelan Anda.
Klik Create.

gcloud

Buat health check regional untuk backend.
```
gcloud compute health-checks create tcp TCP_HEALTH_CHECK_NAME \
    --region=REGION \
    --use-serving-port
```
Pemeriksaan health check untuk backend NEG hybrid berasal dari proxy Envoy di subnet khusus proxy.

Buat layanan backend.

gcloud compute backend-services create BACKEND_SERVICE_NAME \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --protocol=TCP \
   --region=REGION \
   --health-checks=TCP_HEALTH_CHECK_NAME \
   --health-checks-region=REGION

Tambahkan backend NEG hybrid ke layanan backend.

gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
   --network-endpoint-group=HYBRID_NEG_NAME \
   --network-endpoint-group-zone=HYBRID_NEG_ZONE \
   --region=REGION \
   --balancing-mode=CONNECTION \
   --max-connections=MAX_CONNECTIONS

Untuk MAX_CONNECTIONS, masukkan koneksi serentak maksimum yang harus ditangani backend.

Membuat proxy TCP target.

gcloud compute target-tcp-proxies create TARGET_TCP_PROXY_NAME \
   --backend-service=BACKEND_SERVICE_NAME \
   --region=REGION

Membuat aturan penerusan.

Buat aturan penerusan menggunakan perintah gcloud compute forwarding-rules create.

Ganti FWD_RULE_PORT dengan satu nomor port dari 1-65535. Aturan penerusan hanya meneruskan paket dengan port tujuan yang cocok.

gcloud compute forwarding-rules create FORWARDING_RULE \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --network=NETWORK \
   --subnet=LB_SUBNET \
   --address=LB_IP_ADDRESS \
   --ports=FWD_RULE_PORT \
   --region=REGION \
   --target-tcp-proxy=TARGET_TCP_PROXY_NAME \
   --target-tcp-proxy-region=REGION

Menguji load balancer

Untuk menguji load balancer, buat VM klien di region yang sama dengan load balancer. Kemudian, kirim traffic dari klien ke load balancer.

Membuat VM klien

Buat VM klien (client-vm) di region yang sama dengan load balancer.

Konsol

Di konsol Google Cloud, buka halaman Instance VM.

Buka instance VM
Klik Create instance.
Tetapkan Nama ke client-vm.
Setel Zona ke CLIENT_VM_ZONE.
Klik Advanced options.
Klik Networking dan konfigurasikan kolom berikut:
1. Untuk Tag jaringan, masukkan allow-ssh.
2. Untuk Network interfaces, pilih opsi berikut:
  - Jaringan: NETWORK
  - Subnet: LB_SUBNET
Klik Create.

gcloud

VM klien harus berada di jaringan dan region VPC yang sama dengan load balancer. IP tersebut tidak perlu berada di subnet atau zona yang sama. Klien menggunakan subnet yang sama dengan VM backend.

gcloud compute instances create client-vm \
    --zone=CLIENT_VM_ZONE \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=LB_SUBNET

Mengizinkan traffic SSH ke VM pengujian

Dalam contoh ini, Anda membuat aturan firewall berikut:

fw-allow-ssh: Aturan masuk yang mengizinkan konektivitas SSH yang masuk di TCP port 22 dari alamat mana pun. Anda dapat memilih rentang IP sumber yang lebih ketat untuk aturan ini. Misalnya, Anda dapat menentukan hanya rentang IP sistem tempat Anda akan memulai sesi SSH. Contoh ini menggunakan tag target allow-ssh untuk mengidentifikasi VM klien pengujian yang harus diterapkan.

Konsol

Di Konsol Google Cloud, buka halaman Firewall policies. Buka Kebijakan firewall
Klik Create firewall rule untuk membuat aturan guna mengizinkan koneksi SSH masuk:
1. Name: fw-allow-ssh
2. Jaringan: NETWORK
3. Prioritas: 1000
4. Arah traffic: masuk
5. Tindakan terhadap kecocokan: izinkan
6. Targets: Tag target yang ditentukan
7. Tag target: allow-ssh
8. Filter sumber: Rentang IPv4
9. Rentang IPv4 sumber: 0.0.0.0/0
10. Protocols and ports: Pilih Specified protocols and ports, lalu masukkan tcp:22.
11. Klik Create.

gcloud

Buat aturan firewall fw-allow-ssh untuk mengizinkan konektivitas SSH ke VM dengan tag jaringan allow-ssh.

gcloud compute firewall-rules create fw-allow-ssh \
    --network=NETWORK \
    --action=allow \
    --direction=ingress \
    --target-tags=allow-ssh \
    --rules=tcp:22

Mengirim traffic ke load balancer

Setelah mengonfigurasi load balancer, Anda dapat menguji pengiriman traffic ke alamat IP load balancer.

Menghubungkan ke instance klien melalui SSH.

gcloud compute ssh client-vm \
  --zone=CLIENT_VM_ZONE

Pastikan load balancer menayangkan nama host backend seperti yang diharapkan.
1. Gunakan perintah compute addresses describe untuk melihat alamat IP load balancer:
```
gcloud compute addresses describe LB_IP_ADDRESS \
  --region=REGION
```
  Catat alamat IP-nya.
2. Mengirim traffic ke load balancer di alamat IP dan port yang ditentukan saat membuat aturan penerusan load balancer. Pengujian apakah backend NEG hibrida merespons permintaan bergantung pada layanan yang berjalan di endpoint non-Google Cloud.

Opsional: Memublikasikan layanan menggunakan Private Service Connect

Load Balancer Jaringan proxy internal regional dengan konektivitas hybrid memungkinkan Anda membuat layanan yang dihosting di lingkungan lokal atau lingkungan cloud lainnya yang tersedia untuk klien di jaringan VPC Anda.

Jika ingin membuat layanan hybrid tersedia di jaringan VPC lain, Anda dapat menggunakan Private Service Connect untuk memublikasikan layanan. Dengan menempatkan lampiran layanan di depan Load Balancer Jaringan proxy internal regional, Anda dapat memungkinkan klien di jaringan VPC lain menjangkau layanan hybrid yang berjalan di lingkungan lokal atau lingkungan cloud lainnya.

Menggunakan Private Service Connect untuk memublikasikan layanan hybrid. — Menggunakan Private Service Connect untuk memublikasikan layanan hybrid (klik untuk memperbesar).

Langkah selanjutnya

Guna menyiapkan pemantauan untuk Load Balancer Jaringan proxy internal regional Anda, lihat Menggunakan pemantauan.
Untuk mempelajari cara kerja Load Balancer Jaringan proxy internal regional, lihat Ringkasan Load Balancer Jaringan proxy internal regional.
Bersihkan penyiapan load balancer.