設定外部應用程式負載平衡器

主控台

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下「建立虛擬私有雲網路」。

3. 輸入網路的 [Name] (名稱)。

4. 在「子網路建立模式」中，選擇「自訂」。

5. 在「New subnet」(新子網路) 區段中，設定下列欄位：

   1. 提供這個子網路的 [Name] (名稱)。
   2. 選擇一個 [Region] (地區)。
   3. 在「IP 堆疊類型」中，選取「IPv4 (單一堆疊)」。
   4. 輸入 [IP address range] (IP 位址範圍)。這是子網路的主要 IPv4 範圍。

6. 按一下 [完成]。

7. 如要在其他區域新增子網路，請按一下「新增子網路」，然後重複上述步驟。

8. 按一下 [建立]。

gcloud

1. 建立自訂模式虛擬私有雲網路：

   gcloud compute networks create NETWORK \
       --subnet-mode=custom
   

2. 在網路中為後端建立子網路：

   gcloud compute networks subnets create SUBNET \
       --network=NETWORK \
       --stack-type=IPV4_ONLY \
       --range=10.1.2.0/24 \
       --region=REGION
   

   更改下列內容：

   • NETWORK：虛擬私有雲網路的名稱。

   • SUBNET：子網路名稱。

   • REGION：區域名稱。

主控台

如要支援 IPv4 流量，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Instance Templates」(執行個體範本) 頁面。

   前往「Instance templates」(執行個體範本) 頁面

2. 點選「建立執行個體範本」。

3. 在「Name」(名稱) 中輸入 lb-backend-template。

4. 確認將開機磁碟設為 Debian 映像檔，例如「Debian GNU/Linux 12 (bookworm)」。這些操作說明使用僅在 Debian 上可用的指令，例如 apt-get。

5. 展開進階選項

6. 展開「Networking」，然後設定下列欄位：

   1. 在「網路標記」中輸入 allow-health-check。
   2. 在「Network interfaces」部分，按一下 edit「Edit」，然後進行下列變更：
      • Network (網路)：NETWORK
      • Subnet (子網路)：SUBNET
      • IPv4 流量：IPv4 (單一堆疊)
   3. 按一下 [完成]。

7. 展開「管理」。在「Startup script」(開機指令碼) 欄位中，輸入下列指令碼：

   #! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2
   

8. 點選「建立」。

gcloud

如要支援 IPv4 流量，請執行下列指令：

gcloud compute instance-templates create TEMPLATE_NAME \
  --region=REGION \
  --network=NETWORK \
  --subnet=SUBNET \
  --stack-type=IPV4_ONLY \
  --tags=allow-health-check \
  --image-family=debian-12 \
  --image-project=debian-cloud \
  --metadata=startup-script='#! /bin/bash
    apt-get update
    apt-get install apache2 -y
    a2ensite default-ssl
    a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://metadata.google.internal/computeMetadata/v1/instance/name)"
    echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    systemctl restart apache2'

Terraform

如要建立執行個體範本，請使用 google_compute_instance_template 資源。

resource "google_compute_instance_template" "default" {
  name = "lb-backend-template"
  disk {
    auto_delete  = true
    boot         = true
    device_name  = "persistent-disk-0"
    mode         = "READ_WRITE"
    source_image = "projects/debian-cloud/global/images/family/debian-11"
    type         = "PERSISTENT"
  }
  labels = {
    managed-by-cnrm = "true"
  }
  machine_type = "n1-standard-1"
  metadata = {
    startup-script = "#! /bin/bash\n     sudo apt-get update\n     sudo apt-get install apache2 -y\n     sudo a2ensite default-ssl\n     sudo a2enmod ssl\n     vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\" \\\n   http://169.254.169.254/computeMetadata/v1/instance/name)\"\n   sudo echo \"Page served from: $vm_hostname\" | \\\n   tee /var/www/html/index.html\n   sudo systemctl restart apache2"
  }
  network_interface {
    access_config {
      network_tier = "PREMIUM"
    }
    network    = "global/networks/default"
    subnetwork = "regions/us-east1/subnetworks/default"
  }
  region = "us-east1"
  scheduling {
    automatic_restart   = true
    on_host_maintenance = "MIGRATE"
    provisioning_model  = "STANDARD"
  }
  service_account {
    email  = "default"
    scopes = ["https://www.googleapis.com/auth/devstorage.read_only", "https://www.googleapis.com/auth/logging.write", "https://www.googleapis.com/auth/monitoring.write", "https://www.googleapis.com/auth/pubsub", "https://www.googleapis.com/auth/service.management.readonly", "https://www.googleapis.com/auth/servicecontrol", "https://www.googleapis.com/auth/trace.append"]
  }
  tags = ["allow-health-check"]
}

主控台

1. 前往 Google Cloud 控制台的「Instance groups」(執行個體群組) 頁面。

   前往「Instance groups」(執行個體群組)

2. 點選「建立執行個體群組」。

3. 在左側選擇「New managed instance group (stateless)」(新增代管執行個體群組 (無狀態))。

4. 在「Name」(名稱) 中輸入 lb-backend-example。

5. 在「Location」(位置) 底下，選取 [Single zone] (單一區域)。

6. 在「區域」部分，選取偏好的地區。

7. 在「可用區」部分，選取可用區。

8. 在「Instance template」(執行個體範本) 下方，選取執行個體範本 lb-backend-template。

9. 針對「Autoscaling mode」(自動調度資源模式)，選取「On: add and remove instances to the group」(開啟：在群組中新增和移除執行個體)。

   將「Minimum number of instances」(執行個體數量下限) 設為 2，並將「Maximum number of instances」(執行個體數量上限) 設為 2 以上。

10. 如要建立新的執行個體群組，請按一下「建立」。

gcloud

1. 依據範本建立代管執行個體群組。

   gcloud compute instance-groups managed create lb-backend-example \
      --template=TEMPLATE_NAME --size=2 --zone=ZONE_A
   

Terraform

如要建立代管執行個體群組，請使用 google_compute_instance_group_manager 資源。

resource "google_compute_instance_group_manager" "default" {
  name = "lb-backend-example"
  zone = "us-east1-b"
  named_port {
    name = "http"
    port = 80
  }
  version {
    instance_template = google_compute_instance_template.default.id
    name              = "primary"
  }
  base_instance_name = "vm"
  target_size        = 2
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

主控台

1. 前往 Google Cloud 控制台的「Instance groups」(執行個體群組) 頁面。

   前往「Instance groups」(執行個體群組)

2. 按一下「lb-backend-example」。

3. 在執行個體群組的「總覽」頁面上，按一下「編輯」edit。

4. 在「Port mapping」(通訊埠對應) 專區中，按一下「Add port」(新增通訊埠)。

   1. 在「Port name」(通訊埠名稱) 中輸入 http。在「Port number」(通訊埠編號) 中輸入 80。

5. 按一下 [儲存]。

gcloud

使用 gcloud compute instance-groups set-named-ports 指令。

gcloud compute instance-groups set-named-ports lb-backend-example \
    --named-ports http:80 \
    --zone ZONE_A

Terraform

代管執行個體群組範例包含 named_port 屬性。

主控台

1. 在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

   前往「防火牆政策」

2. 按一下「建立防火牆規則」，建立防火牆規則。

3. 在「Name」(名稱) 中輸入 fw-allow-health-check。

4. 選取「網路」。

5. 在「Targets」(目標) 下方，選取 [Specified target tags] (指定的目標標記)。

6. 在「Target tags」(目標標記) 欄位填入 allow-health-check。

7. 將「Source filter」(來源篩選器) 設為「IPv4 ranges」(IPv4 範圍)。

8. 將「Source IPv4 ranges」(來源 IPv4 範圍) 設為 130.211.0.0/22 和 35.191.0.0/16。

9. 在「Protocols and ports」(通訊協定與通訊埠) 下方，選取 [Specified protocols and ports] (指定的通訊協定與通訊埠)。

10. 勾選「TCP」TCP核取方塊，然後輸入 80 做為通訊埠編號。

11. 按一下 [建立]。

gcloud

gcloud compute firewall-rules create fw-allow-health-check \
    --network=NETWORK \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --target-tags=allow-health-check \
    --rules=tcp:80

Terraform

如要建立防火牆規則，請使用 google_compute_firewall 資源。

resource "google_compute_firewall" "default" {
  name          = "fw-allow-health-check"
  direction     = "INGRESS"
  network       = "global/networks/default"
  priority      = 1000
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
  target_tags   = ["allow-health-check"]
  allow {
    ports    = ["80"]
    protocol = "tcp"
  }
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

主控台

1. 在 Google Cloud 控制台中，前往「External IP addresses」(外部 IP 位址) 頁面。

   前往「外部 IP 位址」

2. 如要預留 IPv4 位址，請按一下「保留外部靜態 IP 位址」。

3. 在「Name」(名稱) 中輸入 lb-ipv4-1。

4. 將「Network Service Tier」(網路服務級別) 設為「Premium」。

5. 將「IP version」(IP 版本) 設為「IPv4」。

6. 將「Type」(類型) 設為「Global」(通用)。

7. 按一下「保留」。

gcloud

gcloud compute addresses create lb-ipv4-1 \
    --ip-version=IPV4 \
    --network-tier=PREMIUM \
    --global

請注意預留的 IPv4 位址：

gcloud compute addresses describe lb-ipv4-1 \
    --format="get(address)" \
    --global

Terraform

如要預留 IP 位址，請使用 google_compute_global_address 資源。

resource "google_compute_global_address" "default" {
  name       = "lb-ipv4-1"
  ip_version = "IPV4"
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

主控台

開始設定

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「Load balancing」(負載平衡) 頁面

2. 點選「建立負載平衡器」。
3. 在「Type of load balancer」(負載平衡器類型)部分，選取「Application Load Balancer (HTTP/HTTPS)」(應用程式負載平衡器 (HTTP/HTTPS))，然後點選「Next」(下一步)。
4. 在「公開或內部」部分，選取「公開 (外部)」，然後點選「下一步」。
5. 在「全域或單一區域部署」部分，選取「最適合全域工作負載」，然後點選「Next」。
6. 在「Load balancer generation」(負載平衡器代別) 部分，選取「Classic Application Load Balancer」(傳統應用程式負載平衡器)，然後點選「Next」(下一步)。
7. 按一下 [設定]。

基本設定

在負載平衡器的「Name」 中輸入 web-map-https 或 web-map-http 之類的字串。

前端設定

1. 按一下「前端設定」。
2. 將「Protocol」(通訊協定) 設為「HTTPS」。
3. 選取 IPv4 代表 IPv4 流量。將「IP address」(IP 位址) 設為您先前建立的 lb-ipv4-1。
4. 將「Port」(通訊埠) 設為 443。
5. 按一下「憑證」，然後選取主要的 SSL 憑證。
6. 選用：建立安全資料傳輸層 (SSL) 政策：
   1. 在「SSL policy」清單中，選取「Create a policy」。
   2. 將 SSL 政策的名稱設為 my-ssl-policy。
   3. 在「Minimum TLS Version」部分，選取「TLS 1.0」。
   4. 在「Profile」(設定檔) 部分，選取「Modern」(當前版本)。接著，系統會顯示「已啟用的功能」和「已停用的功能」。
   5. 按一下 [儲存]。
   如果您尚未建立任何 SSL 政策，系統會套用預設的 SSL 政策。
7. 選用：選取「Enable HTTP to HTTPS Redirect」核取方塊，啟用重新導向功能。

   啟用這個核取方塊會建立額外的部分 HTTP 負載平衡器，該負載平衡器會使用與 HTTPS 負載平衡器相同的 IP 位址，並將傳入的 HTTP 要求重新導向至負載平衡器的 HTTPS 前端。

   只有在選取 HTTPS 通訊協定並使用預留 IP 位址時，才能勾選這個核取方塊。

8. 按一下 [完成]。

後端設定

1. 按一下「後端設定」。
2. 在「Create or select backend services & backend buckets」(建立或選擇後端服務與後端值區) 下方，依序選取「Backend services」(後端服務) >「Create a backend service」(建立後端服務)。
3. 為後端服務新增名稱，例如 web-backend-service。
4. 在「Protocol」(通訊協定) 下方，選取「HTTP」。
5. 在「Named Port」(已命名通訊埠) 中輸入 http。
6. 在「Backends」(後端) >「New backend」(新增後端) >「Instance group」(執行個體群組) 中，選取執行個體群組 lb-backend-example。
7. 在「Port numbers」(通訊埠編號) 中輸入 80。
8. 保留其他預設設定。
9. 在「Health check」(健康狀態檢查) 下方，選取「Create a health check」(建立健康狀態檢查)，然後為健康狀態檢查新增名稱，例如 http-basic-check。
10. 將通訊協定設為「HTTP」，然後按一下「儲存」。

11. 選用步驟：設定預設的後端安全性政策。預設安全政策會限制超過使用者設定門檻的流量。如要進一步瞭解預設安全性政策，請參閱「頻率限制總覽」。

    1. 如要停用 Google Cloud Armor 的預設安全性政策，請在後端安全性政策清單選單中選取 None。
    2. 在「安全性」部分中，選取「預設安全政策」。
    3. 在「Policy name」欄位中，接受系統自動產生的名稱，或輸入安全政策的名稱。
    4. 在「Request count」欄位中，接受預設要求數量，或輸入介於 1 和 10,000 之間的整數。
    5. 在「間隔」欄位中選取間隔。
    6. 在「Enforce on key」欄位中，選擇下列其中一個值：「All」、「IP address」或「X-Forwarded-For IP address」。如要進一步瞭解這些選項，請參閱「識別用於頻率限制的用戶端」。
12. 保留其他預設設定。
13. 按一下 [建立]。

主機與路徑規則

保留「Host and path rules」(主機與路徑規則)的預設設定。

檢查並完成

1. 按一下「檢查並完成」。
2. 查看負載平衡器設定。
3. 選用：按一下「等效程式碼」，查看用於建立負載平衡器的 REST API 要求。
4. 按一下 [建立]。

gcloud

1. 建立健康狀態檢查。

    gcloud compute health-checks create http http-basic-check \
        --port 80
    

2. 建立後端服務。

   gcloud compute backend-services create web-backend-service \
       --load-balancing-scheme=EXTERNAL \
       --protocol=HTTP \
       --port-name=http \
       --health-checks=http-basic-check \
       --global
   

3. 將執行個體群組新增至後端服務，做為後端使用。

   gcloud beta compute backend-services add-backend web-backend-service \
     --instance-group=lb-backend-example \
     --instance-group-zone=ZONE_A \
     --global
   

4. 針對 HTTP，建立網址對應，將傳入的要求轉送至預設後端服務。

   gcloud beta compute url-maps create web-map-http \
     --default-service web-backend-service
   

5. 針對 HTTPS，建立網址對應，將連入的要求轉送至預設後端服務。

   gcloud beta compute url-maps create web-map-https \
     --default-service web-backend-service
   

設定 HTTPS 前端

請略過這節，因為 HTTP 負載平衡器不支援此功能。

1. 如為 HTTPS，如果您尚未建立全域 SSL 憑證資源，請按照下列各節的說明操作：
• 建立 Google 代管的 SSL 憑證資源
• 建立自行管理的 SSL 憑證資源

2. 針對 HTTPS，請建立目標 HTTPS Proxy，將要求轉送至您的網址對應。Proxy 是負載平衡器的一部分，用於保存 HTTPS 負載平衡器的 SSL 憑證，因此您還可以在此步驟中載入憑證。

   gcloud compute target-https-proxies create https-lb-proxy \
     --url-map=web-map-https \
     --ssl-certificates=www-ssl-cert
   

3. 針對 HTTPS，請建立全域轉送規則，將傳入要求轉送至 Proxy。

   gcloud compute forwarding-rules create https-content-rule \
     --load-balancing-scheme=EXTERNAL \
     --network-tier=PREMIUM \
     --address=lb-ipv4-1 \
     --global \
     --target-https-proxy=https-lb-proxy \
     --ports=443
   

4. 選用：針對 HTTPS，建立全域 SSL 政策並附加至 HTTPS Proxy。
   如要建立全域 SSL 政策，請按照下列步驟操作：

   gcloud compute ssl-policies create my-ssl-policy \
     --profile MODERN \
     --min-tls-version 1.0
   

   如要將 SSL 政策附加至全域目標 HTTPS Proxy：

   gcloud compute target-https-proxies update https-lb-proxy \
     --ssl-policy my-ssl-policy
   

設定 HTTP 前端

請略過 HTTPS 負載平衡器的這一節。

1. 針對 HTTP，請建立目標 HTTP Proxy，將要求轉送至您的網址對應。

   gcloud compute target-http-proxies create http-lb-proxy \
     --url-map=web-map-http
   

2. 針對 HTTP，請建立全域轉送規則，將傳入要求轉送至 Proxy。

   gcloud compute forwarding-rules create http-content-rule \
     --load-balancing-scheme=EXTERNAL \
     --address=lb-ipv4-1 \
     --global \
     --target-http-proxy=http-lb-proxy \
     --ports=80
   

Terraform

1. 如要建立健康狀態檢查，請使用 google_compute_health_check 資源。

   resource "google_compute_health_check" "default" {
     name               = "http-basic-check"
     check_interval_sec = 5
     healthy_threshold  = 2
     http_health_check {
       port               = 80
       port_specification = "USE_FIXED_PORT"
       proxy_header       = "NONE"
       request_path       = "/"
     }
     timeout_sec         = 5
     unhealthy_threshold = 2
   }

2. 如要建立後端服務，請使用 google_compute_backend_service 資源。

   本範例使用 load_balancing_scheme="EXTERNAL_MANAGED"，可設定具備進階流量管理功能的全域外部應用程式負載平衡器。如要建立傳統版應用程式負載平衡器，請務必先將 load_balancing_scheme 變更為 EXTERNAL，再執行指令碼。

   resource "google_compute_backend_service" "default" {
     name                            = "web-backend-service"
     connection_draining_timeout_sec = 0
     health_checks                   = [google_compute_health_check.default.id]
     load_balancing_scheme           = "EXTERNAL_MANAGED"
     port_name                       = "http"
     protocol                        = "HTTP"
     session_affinity                = "NONE"
     timeout_sec                     = 30
     backend {
       group           = google_compute_instance_group_manager.default.instance_group
       balancing_mode  = "UTILIZATION"
       capacity_scaler = 1.0
     }
   }

3. 如要建立網址對應，請使用 google_compute_url_map 資源。

   resource "google_compute_url_map" "default" {
     name            = "web-map-http"
     default_service = google_compute_backend_service.default.id
   }

4. 如要建立目標 HTTP Proxy，請使用 google_compute_target_http_proxy 資源。

   resource "google_compute_target_http_proxy" "default" {
     name    = "http-lb-proxy"
     url_map = google_compute_url_map.default.id
   }

5. 如要建立轉送規則，請使用 google_compute_global_forwarding_rule 資源。

   本範例使用 load_balancing_scheme="EXTERNAL_MANAGED"，可設定具備進階流量管理功能的全域外部應用程式負載平衡器。如要建立傳統版應用程式負載平衡器，請務必先將 load_balancing_scheme 變更為 EXTERNAL，再執行指令碼。

   resource "google_compute_global_forwarding_rule" "default" {
     name                  = "http-content-rule"
     ip_protocol           = "TCP"
     load_balancing_scheme = "EXTERNAL_MANAGED"
     port_range            = "80-80"
     target                = google_compute_target_http_proxy.default.id
     ip_address            = google_compute_global_address.default.id
   }

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

主控台

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「Load balancing」(負載平衡) 頁面

2. 點選剛剛建立的負載平衡器。

3. 在「Backend」(後端) 區段中，確認 VM 健康狀態良好。「Healthy」欄應已填妥，顯示兩個 VM 的健康狀態均良好 (2/2)。如有其他顯示，請先嘗試重新載入頁面。 Google Cloud 主控台可能需要一些時間才能顯示 VM 的健康狀態良好。如果幾分鐘後，後端仍未顯示為健康，請檢查指派到您後端 VM 的防火牆設定與網路標記。

4. 如果您使用的是 Google 代管的憑證，請確認憑證資源狀態為「ACTIVE」(有效)。詳情請參閱 Google 代管的 SSL 憑證資源狀態。
5. 在 Google Cloud 主控台顯示後端執行個體健康後，您可以前往 https://IP_ADDRESS (或 http://IP_ADDRESS)，使用網路瀏覽器測試負載平衡器。請將 IP_ADDRESS 替換為負載平衡器的 IP 位址。
6. 如果您使用自行簽署的憑證測試 HTTPS，瀏覽器會顯示警告。您必須明確指示瀏覽器接受自行簽署的憑證。
7. 瀏覽器應會顯示頁面，並於其中列出提供該頁面的執行個體名稱及所屬可用區 (例如 Page served from: lb-backend-example-xxxx)。如果您的瀏覽器無法顯示這個頁面，請查看本指南中的設定說明。

gcloud

gcloud compute addresses describe lb-ipv4-1 \
   --format="get(address)" \
   --global

幾分鐘後，您可以執行下列 curl 指令來測試設定。

curl http://IP_ADDRESS

-或-

curl https://HOSTNAME