ハイブリッド接続でリージョン内部プロキシネットワークロードバランサを設定する

リージョン内部プロキシネットワークロードバランサは、プロキシベースのリージョンレイヤ 4 ロードバランサです。これにより、同じ Virtual Private Cloud（VPC）ネットワーク内のクライアントまたは VPC ネットワークに接続されているクライアントのみがアクセスできる内部 IP アドレスの背後で TCP サービストラフィックを実行し、スケーリングできます。他の VPC ネットワーク内のクライアントがサービスを利用できるようにする場合は、Private Service Connect を使用してサービスを公開できます。

このページでは、ハイブリッド接続で接続されているオンプレミスまたは他のクラウド環境でバックエンドにトラフィックをロードバランスするようにリージョン内部プロキシネットワークロードバランサを構成する方法について説明します。ネットワークを Google Cloud に接続するためのハイブリッド接続の構成は、このページの対象外です。

概要

この例では、ロードバランサを使用して、オンプレミスまたは他のクラウド環境にあるバックエンド VM に TCP トラフィックを分散します。

この例では、以下のデプロイを構成します。

ハイブリッド NEG バックエンドを使用したリージョン内部プロキシネットワークロードバランサの構成例（クリックして拡大）

リージョン内部プロキシのネットワークロードバランサは、リージョンロードバランサです。すべてのロードバランサコンポーネント（バックエンドインスタンスグループ、バックエンドサービス、ターゲットプロキシ、転送ルール）は、同じリージョンに配置されている必要があります。

権限

ハイブリッドロードバランシングを設定するには、次の権限が必要です。

Google Cloud上で必要な権限
- Google Cloud とオンプレミス環境または他のクラウド環境との間のハイブリッド接続を確立する権限。必要な権限の一覧については、関連する Network Connectivity プロダクトのドキュメントをご覧ください。
- ハイブリッド接続 NEG とロードバランサを作成する権限。このガイドで説明するタスクの実行に必要な権限は、Compute ロードバランサ管理者のロール（roles/compute.loadBalancerAdmin）に含まれています。
オンプレミス環境またはGoogle Cloud 以外のクラウド環境で必要な権限
- IP:Port の組み合わせでGoogle Cloud からオンプレミス環境または他のクラウド環境のサービスに到達できるように、ネットワークエンドポイントを構成する権限。詳細については、お使いの環境のネットワーク管理者にお問い合わせください。
- Google のヘルスチェックプローブがエンドポイントに到達することを許可するように、ファイアウォールルールをオンプレミス環境または他のクラウド環境に作成する権限。

さらに、このページの手順を完了するには、ハイブリッド接続 NEG、ロードバランサ、ゾーン NEG（およびそれらのエンドポイント）を作成して、ロードバランサの Google Cloudベースのバックエンドとして機能させる必要があります。

そのためには、プロジェクトのオーナーまたは編集者であるか、次の Compute Engine IAM のロールが必要です。

タスク	必要なロール
ネットワーク、サブネット、ロードバランサコンポーネントの作成	Compute ネットワーク管理者（`roles/compute.networkAdmin`）
ファイアウォールルールの追加と削除	Compute セキュリティ管理者（`roles/compute.securityAdmin`）
インスタンスの作成	Compute インスタンス管理者（`roles/compute.instanceAdmin`）

ハイブリッド接続を確立する

オンプレミス環境または他のクラウド環境と Google Cloud を接続するには、Cloud Router またはルーターアプライアンス VM とともに Cloud Interconnect VLAN アタッチメントまたは Cloud VPN トンネルを使用して、ハイブリッド接続を確立する必要があります。高可用性接続の使用をおすすめします。

グローバル動的ルーティングが有効になっている Cloud Router は、Border Gateway Protocol（BGP）を介して特定のエンドポイントを学習し、 Google Cloud VPC ネットワークにそのエンドポイントをプログラムします。リージョン動的ルーティングはサポートされていません。静的ルートもサポートされていません。

ハイブリッドネットワーキング（Cloud Interconnect、Cloud VPN、またはルーターアプライアンス VM）とロードバランサの両方を構成するには、同じプロジェクト内の同じネットワークまたは別の VPC ネットワークを使用できます。次の点にご注意ください。

別の VPC ネットワークを使用する場合は、2 つのネットワークを VPC ネットワークピアリングを使用して接続するか、同じ Network Connectivity Center ハブの VPC スポークにする必要があります。
同じ VPC ネットワークを使用する場合は、VPC ネットワークのサブネットの CIDR 範囲がリモートの CIDR 範囲と競合しないようにしてください。IP アドレスが重複する場合、リモート接続よりもサブネットルートが優先されます。

手順については、次のドキュメントをご覧ください。

Google Cloud外部にある環境を設定する

次の手順で、ハイブリッドロードバランシング用のオンプレミス環境またはその他のクラウド環境を設定します。

オンプレミスサービスをGoogle Cloud （IP:Port）に公開するようにネットワークエンドポイントを構成します。
オンプレミス環境または他のクラウド環境でファイアウォールルールを構成します。
プライベート環境への特定の必要なルートをアドバタイズするように Cloud Router を構成します。

ネットワークエンドポイントを設定する

ハイブリッド接続を設定したら、オンプレミス環境または他のクラウド環境内に、IP:port の組み合わせを使用して Cloud Interconnect、Cloud VPN、またはルーターアプライアンス経由で到達可能なネットワークエンドポイントを構成します。この IP:port の組み合わせは、このプロセスの後半に Google Cloud で作成されるハイブリッド接続 NEG の 1 つ以上のエンドポイントとして構成されます。

IP エンドポイントへのパスが複数ある場合、ルーティングは Cloud Router の概要で説明されているように動作します。

ファイアウォールルールを設定する

オンプレミス環境またはその他のクラウド環境に、次のファイアウォールルールを作成する必要があります。

オンプレミス環境またはその他のクラウド環境で上り（内向き）許可ファイアウォールルールを作成して、リージョンのプロキシ専用サブネットからのトラフィックがエンドポイントに到達できるようにします。
ハイブリッド NEG では、Google のヘルスチェックプローブ範囲からのトラフィックを許可する必要はありません。ただし、1 つのバックエンドサービスでハイブリッド NEG とゾーン NEG の組み合わせを使用している場合は、ゾーン NEG の Google ヘルスチェックプローブ範囲からのトラフィックを許可する必要があります。

ルートをアドバタイズする

オンプレミス環境またはその他のクラウド環境に次のカスタム IP 範囲をアドバタイズするように、Cloud Router を構成します。

リージョンのプロキシ専用サブネットの範囲。

Google Cloud 環境をセットアップする

以降のステップでは、環境間のハイブリッド接続の構成に使用した VPC ネットワーク（この手順では NETWORK）を使用します。このネットワークから任意のサブネットを選択して、ロードバランサの IP アドレスを予約し、ロードバランサを作成できます。この手順では、このサブネットを LB_SUBNET とします。

また、使用するリージョン（この手順では REGION）が Cloud VPN トンネルまたは Cloud Interconnect VLAN アタッチメントの作成に使用したリージョンと同じであることを確認します。

プロキシ専用サブネットを構成する

プロキシ専用サブネットには、Google がユーザーに代わって Envoy プロキシを実行する際に使用する一連の IP アドレスが用意されています。このプロキシは、クライアントからの接続を終端し、バックエンドへの新しい接続を作成します。

プロキシ専用サブネットは、NETWORK VPC ネットワークの REGION リージョン内のすべての Envoy ベースのリージョンロードバランサで使用されます。

リージョンごと、VPC ネットワークごとにアクティブなプロキシ専用サブネットは 1 つだけです。このリージョンにプロキシ専用サブネットがすでに存在する場合は、この手順をスキップできます。

コンソール

Google Cloud コンソールを使用している場合は、後ほど [ロードバランシング] ページでプロキシ専用サブネットを作成することもできます。

プロキシ専用サブネットを今すぐ作成する場合は、次の操作を行います。

Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
環境間のハイブリッド接続の構成に使用されたネットワークに移動します。
[サブネットを追加] をクリックします。
名前（PROXY_ONLY_SUBNET_NAME）を入力します。
リージョン（REGION）を選択します。
[目的] を [リージョンマネージドプロキシ] に設定します。
IP アドレス範囲（PROXY_ONLY_SUBNET_RANGE）を入力します。
[追加] をクリックします。

gcloud

gcloud compute networks subnets create コマンドを使用して、プロキシ専用サブネットを作成します。

gcloud compute networks subnets create PROXY_ONLY_SUBNET_NAME \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION \
    --network=NETWORK \
    --range=PROXY_ONLY_SUBNET_RANGE

ロードバランサの IP アドレスを予約する

デフォルトでは、各転送ルールに 1 つの IP アドレスが使用されます。共有 IPv4 アドレスを予約すると、複数の転送ルールで同じ IPv4 アドレスを使用できます。ただし、Private Service Connect を使用してロードバランサを公開する場合は、転送ルールに共有 IPv4 アドレスを使用しないでください。

ロードバランサに静的内部 IPv4 アドレスを予約するには、新しい静的内部 IPv4 または IPv6 アドレスを予約するをご覧ください。

ハイブリッド接続 NEG を設定する

NEG を作成するときは、 Google Cloud とオンプレミスまたは他のクラウド環境との間の地理的距離を最小限に抑える ZONE を使用します。たとえば、ドイツのフランクフルトのオンプレミス環境にサービスをホストする場合、NEG を作成するときに europe-west3-aGoogle Cloud ゾーンを指定できます。

さらに、NEG の作成に使用する ZONE は、Cloud VPN トンネルまたは Cloud Interconnect VLAN アタッチメントがハイブリッド接続用に構成されたのと同じリージョンに配置されている必要があります。

使用可能なリージョンとゾーンについては、Compute Engine のドキュメント: 使用可能なリージョンとゾーンをご覧ください。

コンソール

ハイブリッド接続 NEG を作成するには:

Google Cloud コンソールで、[ネットワークエンドポイントグループ] ページに移動します。

[ネットワークエンドポイントグループ] に移動
[ネットワークエンドポイントグループを作成] をクリックします。
ハイブリッド NEG の名前を入力します。この手順では HYBRID_NEG_NAME とします。
ネットワークエンドポイントグループの種類として [ハイブリッド接続ネットワークエンドポイントグループ（ゾーン）] を選択します。
[ネットワーク] で NETWORK を選択します。
[サブネット] で LB_SUBNET を選択します。
[ゾーン] で HYBRID_NEG_ZONE を選択します。
デフォルトポートを入力します。
[作成] をクリックします。

ハイブリッド接続 NEG にエンドポイントを追加します。

Google Cloud コンソールで、[ネットワークエンドポイントグループ] ページに移動します。

[ネットワークエンドポイントグループ] に移動
前のステップで作成したネットワークエンドポイントグループの名前（HYBRID_NEG_NAME）をクリックします。ネットワークエンドポイントグループの詳細ページが表示されます。
[このグループのネットワークエンドポイント] セクションで [ネットワークエンドポイントを追加] をクリックします。[ネットワークエンドポイントの追加] ページが表示されます。
新しいネットワークエンドポイントの IP アドレスを入力します。
ポートタイプを選択します。
1. [デフォルト] を選択すると、エンドポイントはネットワークエンドポイントグループのすべてのエンドポイントにデフォルトポートを使用します。
2. [カスタム] を選択すると、使用するエンドポイントに異なるポート番号を入力できます。
他のエンドポイントを追加するには、[ネットワークエンドポイントを追加] をクリックし、前の手順を繰り返します。
すべてのGoogle Cloud 以外のエンドポイントを追加したら、[作成] をクリックします。

gcloud

gcloud compute network-endpoint-groups create コマンドを使用して、ハイブリッド接続 NEG を作成します。

gcloud compute network-endpoint-groups create HYBRID_NEG_NAME \
   --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
   --zone=HYBRID_NEG_ZONE \
   --network=NETWORK

オンプレミス IP:Port エンドポイントをハイブリッド NEG に追加します。

gcloud compute network-endpoint-groups update HYBRID_NEG_NAME \
    --zone=HYBRID_NEG_ZONE \
    --add-endpoint="ip=ENDPOINT_IP_ADDRESS,port=ENDPOINT_PORT"

このコマンドを使用すると、オンプレミスまたはクラウド環境で構成したネットワークエンドポイントを追加できます。--add-endpoint を必要な回数だけ繰り返します。

必要に応じて、これらの手順を繰り返して複数のハイブリッド NEG を作成できます。

ロードバランサを構成する

コンソール

構成を開始する

Google Cloud コンソールで、[ロードバランシング] ページに移動します。

[ロードバランシング] に移動
[ロードバランサを作成] をクリックします。
[ロードバランサの種類] で [ネットワークロードバランサ（TCP / UDP / SSL）] を選択し、[次へ] をクリックします。
[プロキシまたはパススルー] で [プロキシロードバランサ] を選択し、[次へ] をクリックします。
[インターネット接続または内部] で [内部] を選択し、[次へ] をクリックします。
[クロスリージョンまたはシングルリージョンのデプロイ] で [リージョンワークロードに最適] を選択し、[次へ] をクリックします。
[構成] をクリックします。

基本構成

ロードバランサの名前を入力します。
リージョン（REGION）を選択します。
ネットワーク（NETWORK）を選択します。

プロキシ専用サブネットを予約する

プロキシ専用サブネットを予約するには:

[サブネットを予約] をクリックします。
名前（PROXY_ONLY_SUBNET_NAME）を入力します。
IP アドレス範囲（PROXY_ONLY_SUBNET_RANGE）を入力します。
[追加] をクリックします。

バックエンドの構成

[バックエンドの構成] をクリックします。
[バックエンドタイプ] で、[ハイブリッド接続ネットワークエンドポイントグループ（ゾーン）] を選択します。
[プロトコル] で、[TCP] を選択します。
[新しいバックエンド] で、以前に作成したハイブリッド NEG（HYBRID_NEG_NAME）を選択します。[ネットワークエンドポイントグループの作成] をクリックして、ハイブリッド NEG を今すぐ作成することもできます。NEG の構成方法については、ハイブリッド NEG の設定をご覧ください。
残りのデフォルト値は変更せずに、[完了] をクリックします。
ヘルスチェックを構成します。
1. [ヘルスチェック] で [ヘルスチェックを作成] を選択します。
2. [名前] にヘルスチェックの名前を入力します。
3. [プロトコル] で、[TCP] を選択します。
4. [ポート] に「80」と入力します。
残りのデフォルト値は変更せずに、[保存] をクリックします。
Google Cloud コンソールで、[バックエンドの構成] の横にチェックマークが表示されていることを確認します。チェックマークがない場合は、すべての手順を完了したことを再度確認します。

フロントエンドの構成

[フロントエンドの構成] をクリックします。
転送ルールの名前を入力します。
[サブネットワーク] で、[LB_SUBNET] を選択します。
[IP アドレス] で [LB_IP_ADDRESS] を選択します。
[ポート番号] に、1～65535 のポート番号を入力します。転送ルールは、宛先ポートが一致するパケットのみを転送します。
[プロキシのプロトコル] は、オンプレミスまたは他のクラウドエンドポイントで実行されているサービスで動作する場合にのみ有効にします。たとえば、PROXY プロトコルは Apache HTTP Server ソフトウェアでは動作しません。詳細については、プロキシのプロトコルをご覧ください。
[完了] をクリックします。
Google Cloud コンソールで、[フロントエンドの構成] の横にチェックマークが表示されていることを確認します。チェックマークがない場合には、前のすべての手順を完了したことを再度確認します。

確認と完了

[確認と完了] をクリックします。
設定を再度確認します。
[作成] をクリックします。

gcloud

バックエンドのリージョンヘルスチェックを作成します。
```
gcloud compute health-checks create tcp TCP_HEALTH_CHECK_NAME \
    --region=REGION \
    --use-serving-port
```
ハイブリッド NEG バックエンドのヘルスチェックプローブは、プロキシ専用サブネットの Envoy プロキシから発信されています。

バックエンドサービスを作成します。

gcloud compute backend-services create BACKEND_SERVICE_NAME \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --protocol=TCP \
   --region=REGION \
   --health-checks=TCP_HEALTH_CHECK_NAME \
   --health-checks-region=REGION

ハイブリッド NEG バックエンドをバックエンドサービスに追加します。

gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
   --network-endpoint-group=HYBRID_NEG_NAME \
   --network-endpoint-group-zone=HYBRID_NEG_ZONE \
   --region=REGION \
   --balancing-mode=CONNECTION \
   --max-connections=MAX_CONNECTIONS

MAX_CONNECTIONS には、バックエンドで処理する最大同時接続数を入力します。

ターゲット TCP プロキシを作成します。

gcloud compute target-tcp-proxies create TARGET_TCP_PROXY_NAME \
   --backend-service=BACKEND_SERVICE_NAME \
   --region=REGION

転送ルールを作成します。

gcloud compute forwarding-rules create コマンドを使用して転送ルールを作成します。

FWD_RULE_PORT は、1～65535 の単一のポート番号に置き換えます。転送ルールは、宛先ポートが一致するパケットのみを転送します。

gcloud compute forwarding-rules create FORWARDING_RULE \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --network=NETWORK \
   --subnet=LB_SUBNET \
   --address=LB_IP_ADDRESS \
   --ports=FWD_RULE_PORT \
   --region=REGION \
   --target-tcp-proxy=TARGET_TCP_PROXY_NAME \
   --target-tcp-proxy-region=REGION

ロードバランサをテストする

ロードバランサをテストするには、ロードバランサと同じリージョンにクライアント VM を作成します。次に、クライアントからロードバランサにトラフィックを送信します。

クライアント VM を作成する

ロードバランサと同じリージョンにクライアント VM（client-vm）を作成します。

コンソール

Google Cloud コンソールで、[VM インスタンス] ページに移動します。

[VM インスタンス] に移動
[インスタンスを作成] をクリックします。
[名前] を client-vm に設定します。
[ゾーン] を CLIENT_VM_ZONE に設定します。
[詳細オプション] をクリックします。
[ネットワーキング] をクリックして次のフィールドを構成します。
1. [ネットワークタグ] に「allow-ssh」と入力します。
2. [ネットワークインターフェース] で、次のように選択します。
  - ネットワーク: NETWORK
  - サブネット: LB_SUBNET
[作成] をクリックします。

gcloud

クライアント VM は、ロードバランサと同じ VPC ネットワークとリージョンに存在する必要があります。同じサブネットまたはゾーンに存在する必要はありません。クライアントは、バックエンド VM と同じサブネットを使用します。

gcloud compute instances create client-vm \
    --zone=CLIENT_VM_ZONE \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=LB_SUBNET

test VM への SSH トラフィックを許可する

この例では、次のファイアウォールルールを作成します。

fw-allow-ssh: 任意のアドレスから TCP ポート 22 への SSH 受信接続を許可する上り（内向き）ルール。このルールには、送信元の IP 範囲をより限定的に指定できます。たとえば、SSH セッションを開始するシステムの IP 範囲のみを指定できます。この例では、ターゲットタグ allow-ssh を使用して、適用する test client VM を識別させています。

コンソール

Google Cloud コンソールで、[ファイアウォールポリシー] ページに移動します。 [ファイアウォールポリシー] に移動
[ファイアウォールルールを作成] をクリックして、SSH 接続の受信を許可するルールを作成します。
1. 名前: fw-allow-ssh
2. ネットワーク: NETWORK
3. 優先度: 1000
4. トラフィックの方向: 上り（内向き）
5. 一致したときのアクション: 許可
6. ターゲット: 指定されたターゲットタグ
7. ターゲットタグ: allow-ssh
8. ソースフィルタ: IPv4 の範囲
9. 送信元 IPv4 範囲: 0.0.0.0/0
10. プロトコルとポート: [指定されたプロトコルとポート] を選択して、tcp:22 を入力します。
11. [作成] をクリックします。

gcloud

ネットワークタグ allow-ssh を使用して、VM との SSH 接続を許可する fw-allow-ssh ファイアウォールルールを作成します。

gcloud compute firewall-rules create fw-allow-ssh \
    --network=NETWORK \
    --action=allow \
    --direction=ingress \
    --target-tags=allow-ssh \
    --rules=tcp:22

ロードバランサにトラフィックを送信する

ロードバランサを構成したので、ロードバランサの IP アドレスにトラフィックを送信してテストできるようになりました。

SSH 経由でクライアントインスタンスに接続します。
```
gcloud compute ssh client-vm \
  --zone=CLIENT_VM_ZONE
```
ロードバランサがバックエンドのホスト名を想定どおりに処理していることを確認します。
1. ロードバランサの IP アドレスを表示するには、compute addresses describe コマンドを使用します。
```
gcloud compute addresses describe LB_IP_ADDRESS \
  --region=REGION
```
  IP アドレスをメモしておきます。
2. ロードバランサ転送ルールの作成時に指定した IP アドレスとポートで、ロードバランサにトラフィックを送信します。ハイブリッド NEG バックエンドがリクエストに応答しているかどうかのテストは、Google Cloud 以外のエンドポイントで実行されているサービスによって異なります。

省略可: Private Service Connect を使用してサービスを公開する

ハイブリッド接続でリージョン内部プロキシネットワークロードバランサを使用すると、VPC ネットワーク内のクライアントがオンプレミス環境または他のクラウド環境でホストされているサービスを利用できるようになります。

ハイブリッドサービスを他の VPC ネットワークで利用できるようにするには、Private Service Connect を使用してサービスを公開します。サービスアタッチメントをリージョン内部プロキシネットワークロードバランサの前に配置することで、他の VPC ネットワーク内のクライアントが、オンプレミスまたは他のクラウド環境で実行されているハイブリッドサービスに到達できるようになります。

Private Service Connect を使用してハイブリッドサービスを公開する。 — Private Service Connect を使用してハイブリッドサービスを公開する（クリックして拡大）

次のステップ

リージョン内部プロキシネットワークロードバランサのモニタリングを設定する。モニタリングの使用をご覧ください。
リージョン内部プロキシネットワークロードバランサの仕組みを確認する。リージョン内部プロキシネットワークロードバランサの概要をご覧ください。
ロードバランサの設定をクリーンアップする。

ハイブリッド接続でリージョン内部プロキシ ネットワーク ロードバランサを設定する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

概要

権限

ハイブリッド接続を確立する

Google Cloud外部にある環境を設定する

ネットワーク エンドポイントを設定する

ファイアウォール ルールを設定する

ルートをアドバタイズする

Google Cloud 環境をセットアップする

プロキシ専用サブネットを構成する

コンソール

gcloud

ロードバランサの IP アドレスを予約する

ハイブリッド接続 NEG を設定する

コンソール

gcloud

ロードバランサを構成する

コンソール

構成を開始する

基本構成

プロキシ専用サブネットを予約する

バックエンドの構成

フロントエンドの構成

確認と完了

gcloud

ロードバランサをテストする

クライアント VM を作成する

コンソール

gcloud

test VM への SSH トラフィックを許可する

コンソール

gcloud

ロードバランサにトラフィックを送信する

省略可: Private Service Connect を使用してサービスを公開する

次のステップ

ハイブリッド接続でリージョン内部プロキシネットワークロードバランサを設定する

ネットワークエンドポイントを設定する

ファイアウォールルールを設定する