ハイブリッド接続でグローバル外部アプリケーション ロードバランサを設定する

コンソール

IPv4 トラフィックと IPv6 トラフィックの両方をサポートするには、次の操作を行います。

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. 環境間のハイブリッド接続の構成に使用されたネットワークに移動します。

   • [編集] をクリックします。
   • [サブネット作成モード] で [カスタム] をクリックします。
   • [保存] をクリックします。

3. 省略可: このネットワークのサブネットで内部 IPv6 アドレス範囲を構成する場合は、次の手順を完了します。

   1. [VPC ネットワーク ULA の内部 IPv6 範囲] で、[有効] を選択します。

   2. [内部 IPv6 範囲の割り当て] で、[自動] または [手動] を選択します。

      [手動] を選択した場合は、fd20::/20 の範囲内の /48 の範囲を入力します。範囲が使用されている場合は、別の範囲を指定するように求めるプロンプトが表示されます。

4. [サブネット] タブで [サブネットを追加] をクリックします。

5. [サブネットの追加] パネルで、次のフィールドを構成します。

   1. [名前] フィールドに、サブネットの名前を入力します。
   2. [リージョン] フィールドでリージョンを選択します。
   3. [IP アドレス範囲] フィールドに IP アドレス範囲を入力します。
   4. [IP スタックタイプ] には、[IPv4 と IPv6（デュアルスタック）] を選択します。
   5. [IPv6 アクセスタイプ] フィールドで [外部] を選択します。
   6. [Add] をクリックします。

IPv4 トラフィックをサポートするには、次の操作を行います。

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. 環境間のハイブリッド接続の構成に使用されたネットワークに移動します。

   • [編集] をクリックします。
   • [サブネット作成モード] で [カスタム] をクリックします。
   • [保存] をクリックします。

3. [サブネット] タブで [サブネットを追加] をクリックします。

4. [サブネットを追加] パネルで、次の情報を入力します。

   • [名前] フィールドに、サブネットの名前を入力します。
   • [リージョン] フィールドでリージョンを選択します。
   • [IP アドレス範囲] フィールドに IP アドレス範囲を入力します。
   • [IP スタックタイプ] フィールドで、[IPv4（シングルスタック）] を選択します。
   • [Add] をクリックします。

gcloud

環境間のハイブリッド接続の構成に使用した NETWORK ネットワーク内にサブネットを作成します。

IPv4 と IPv6 トラフィック両方の場合は、次のコマンドを使用します。

gcloud compute networks update NETWORK \
    [ --enable-ula-internal-ipv6 [ --internal-ipv6-range=ULA_IPV6_RANGE ]] \
    --switch-to-custom-subnet-mode

gcloud compute networks subnets create LB_SUBNET_NAME \
    --network=NETWORK \
    --range=LB_SUBNET_RANGE \
    --region=REGION \
    --stack-type=IPV4_IPV6 \
    --ipv6-access-type=EXTERNAL

IPv4 トラフィックの場合は、次のコマンドを使用します。

gcloud compute networks subnets create LB_SUBNET_NAME \
    --network=NETWORK \
    --range=LB_SUBNET_RANGE \
    --region=REGION

次のように置き換えます。

• NETWORK: VPC ネットワークの名前。

• LB_SUBNET_NAME: サブネットの名前。

• REGION: リージョンの名前。

• ULA_IPV6_RANGE: Google が内部 IPv6 サブネット範囲に使用する fd20::/20 範囲内の /48 プレフィックス。--internal-ipv6-range フラグを使用しない場合は、Google によってネットワークの /48 接頭辞が選択されます。

コンソール

1. Google Cloud コンソールで [ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] に移動

2. [ファイアウォール ルールを作成] をクリックします。

   1. [名前] に「fw-allow-health-check」を入力します。
   2. [ネットワーク] セクションで、NETWORK を選択します。
   3. [ターゲット] で [指定されたターゲットタグ] を選択します。
   4. [ターゲットタグ] フィールドに「allow-health-check」を入力します。
   5. [ソースフィルタ] を [IPv4 範囲] に設定します。
   6. [送信元 IPv4 範囲] を 130.211.0.0/22 と 35.191.0.0/16 に設定します。
   7. [プロトコルとポート] で [指定したプロトコルとポート] をオンにします。
   8. [TCP] の横にあるチェックボックスをオンにして、ポート番号に「80」と入力します。

3. [作成] をクリックします。

4. IPv6 サブネット トラフィックを許可するには、もう一度 [ファイアウォール ルールを作成] をクリックして、次の情報を入力します。

   1. 名前: fw-allow-lb-access-ipv6
   2. ネットワーク: NETWORK
   3. 優先度: 1000
   4. トラフィックの方向: 上り（内向き）
   5. ターゲット: 指定されたターゲットタグ
   6. [ターゲットタグ] フィールドに「allow-health-check-ipv6」と入力します。
   7. ソースフィルタ: IPv6 範囲
   8. 送信元 IPv6 範囲: 2600:2d00:1:b029::/64,2600:2d00:1:1::/64
   9. プロトコルとポート: すべて許可

5. [作成] をクリックします。

gcloud

1. ロードバランサと Google Cloud ヘルスチェックが TCP ポート 80 でバックエンド システムと通信ができるように、fw-allow-health-check-and-proxy ルールを作成します。

   NETWORK は、ハイブリッド接続の構成に使用する VPC ネットワークの名前に置き換えます。

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --rules=tcp:80
   

2. Google Cloud IPv6 ヘルスチェックを許可する fw-allow-health-check-ipv6 ルールを作成します。

   gcloud compute firewall-rules create fw-allow-health-check-ipv6 \
      --network=NETWORK \
      --action=allow \
      --direction=ingress \
      --target-tags=allow-health-check-ipv6 \
      --source-ranges=2600:2d00:1:b029::/64,2600:2d00:1:1::/64 \
      --rules=tcp,udp,icmp
   

コンソール

1. Google Cloud Console の [VM インスタンス] ページに移動します。
   [VM インスタンス] に移動

2. [インスタンスを作成] をクリックします。

3. [名前] を vm-a1 に設定します。

4. [リージョン] で [REGION] を選択します。

5. [ゾーン] で [GCP_NEG_ZONE] を選択します。

6. [ブートディスク] セクションで、ブートディスク オプションとして Debian GNU/Linux 12 (bookworm) が選択されていることを確認します。必要に応じて [選択] をクリックし、イメージを変更します。

7. [詳細オプション] をクリックして、次の変更を行います。

   • [ネットワーク] をクリックして、ネットワーク タグ allow-health-check を追加します。
   • [ネットワーク インターフェース] にある編集ボタン edit をクリックして、次の変更を行い、[完了] をクリックします。
     • ネットワーク: NETWORK
     • サブネット: LB_SUBNET_NAME
     • IP スタックタイプ: IPv4 と IPv6（デュアルスタック）

   • [管理] をクリックします。[起動スクリプト] フィールドに、次のスクリプトの内容をコピーして貼り付けます。スクリプトの内容は 4 つの VM ですべて同じです。

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2
     

8. [作成] をクリックします。

9. 以下の手順を繰り返し、次の名前とゾーンの組み合わせを使用して、2 つ目の VM を作成します。

   • 名前: vm-a2、ゾーン: GCP_NEG_ZONE

gcloud

VM とそのゾーンの名前にこれらの組み合わせを使用して、次のコマンドを 2 回実行して VM を作成します。スクリプトの内容は両方の VM で同じです。

• vm-a1 の VM_NAME と任意の GCP_NEG_ZONE ゾーン

• vm-a2 の VM_NAME と同じ GCP_NEG_ZONE ゾーン

  IPv4 トラフィックと IPv6 トラフィックの両方をサポートするには、次のコマンドを実行します。

  gcloud compute instances create VM_NAME \
      --zone=GCP_NEG_ZONE \
      --image-family=debian-10 \
      --image-project=debian-cloud \
      --tags=allow-health-check,allow-health-check-ipv6 \
      --ipv6-network-tier=PREMIUM \
      --stack-type=IPv4_IPv6 \
      --subnet=LB_SUBNET_NAME \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
  

コンソール

ゾーン ネットワーク エンドポイント グループを作成するには:

1. Google Cloud Console の [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] ページに移動
   
2. [ネットワーク エンドポイント グループを作成] をクリックします。
3. ゾーン NEG の名前を入力します。この手順では GCP_NEG_NAME とします。
4. ネットワーク エンドポイント グループの種類: ネットワーク エンドポイント グループ（ゾーン）を選択します。
5. [ネットワーク] で NETWORK を選択します。
6. [サブネット] で LB_SUBNET_NAME を選択します。
7. [ゾーン] で GCP_NEG_ZONE を選択します。
8. [デフォルト ポート: 80] を入力します。
9. [作成] をクリックします。

エンドポイントをゾーン NEG に追加します。

1. Google Cloud コンソールでの [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] に移動
   
2. 前のステップで作成したネットワーク エンドポイント グループの名前（GCP_NEG_NAME）をクリックします。ネットワーク エンドポイント グループの詳細ページが表示されます。
3. [このグループのネットワーク エンドポイント] セクションで [ネットワーク エンドポイントを追加] をクリックします。[ネットワーク エンドポイントの追加] ページが表示されます。
4. [VM インスタンス] を選択して、ネットワーク エンドポイントとして内部 IP アドレスを追加します。[ネットワーク インターフェース] セクションに、VM の名前、ゾーン、サブネットが表示されます。
5. [IPv4 アドレス] フィールドに、新しいネットワーク エンドポイントの IPv4 アドレスを入力します。
6. [IPv6 アドレス] フィールドに、新しいネットワーク エンドポイントの IPv6 アドレスを入力します。
7. ポートタイプを選択します。
   1. [デフォルト] を選択すると、エンドポイントはネットワーク エンドポイント グループのすべてのエンドポイントにデフォルト ポート 80 を使用します。この例では、Apache サーバーがポート 80 でリクエストを配信しているため、これで十分です。
   2. [カスタム] を選択した場合は、使用するエンドポイントのポート番号を入力します。
8. 他のエンドポイントを追加するには、[ネットワーク エンドポイントを追加] をクリックし、前の手順を繰り返します。
9. すべてのエンドポイントを追加したら、[作成] をクリックします。

gcloud

1. gcloud compute network-endpoint-groups create コマンドを使用して、ゾーン NEG を作成します（GCE_VM_IP_PORT エンドポイントを含む）。

   gcloud compute network-endpoint-groups create GCP_NEG_NAME \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=GCP_NEG_ZONE \
       --network=NETWORK \
       --subnet=LB_SUBNET_NAME
   

   次のステップで説明するように、NEG の作成時に --default-port を指定するか、各エンドポイントのポート番号を指定します。

2. デュアル スタック エンドポイントを GCP_NEG_NAME に追加します。

   gcloud compute network-endpoint-groups update GCP_NEG_NAME \
      --zone=GCP_NEG_ZONE \
      --add-endpoint='instance=vm-a1,ip=IPv4_ADDRESS, \
                      ipv6=IPv6_ADDRESS,port=80' \
      --add-endpoint='instance=vm-a2,ip=IPv4_ADDRESS, \
                      ipv6=IPv6_ADDRESS,port=80'
   

コンソール

ハイブリッド接続ネットワーク エンドポイント グループを作成するには:

1. Google Cloud コンソールでの [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] に移動
   
2. [ネットワーク エンドポイント グループを作成] をクリックします。
3. ハイブリッド NEG の名前を入力します。この手順では ON_PREM_NEG_NAME とします。
4. ネットワーク エンドポイント グループの種類: [ハイブリッド接続ネットワーク エンドポイント グループ（ゾーン）] を選択します。
5. ネットワーク: NETWORK を選択します
6. [サブネット: LB_SUBNET_NAME] を選択します。
7. [ゾーン: ON_PREM_NEG_ZONE] を選択します。
8. [デフォルト ポート] を入力します。
9. [作成] をクリックします。

ハイブリッド接続 NEG にエンドポイントを追加します。

1. Google Cloud コンソールでの [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] ページに移動
   
2. 前のステップで作成したネットワーク エンドポイント グループの名前（ON_PREM_NEG_NAME）をクリックします。ネットワーク エンドポイント グループの詳細ページが表示されます。
3. [このグループのネットワーク エンドポイント] セクションで [ネットワーク エンドポイントを追加] をクリックします。[ネットワーク エンドポイントの追加] ページが表示されます。
4. 新しいネットワーク エンドポイントの IP アドレスを入力します。
5. ポートタイプを選択します。
   1. [デフォルト] を選択すると、エンドポイントはネットワーク エンドポイント グループのすべてのエンドポイントにデフォルト ポートを使用します。
   2. [カスタム] を選択すると、使用するエンドポイントに異なる [ポート番号] を入力できます。
6. 他のエンドポイントを追加するには、[ネットワーク エンドポイントを追加] をクリックし、前の手順を繰り返します。
7. Google Cloud 以外のエンドポイントをすべて追加したら、[作成] をクリックします。

gcloud

1. gcloud compute network-endpoint-groups create コマンドを使用して、ハイブリッド接続 NEG を作成します。

   gcloud compute network-endpoint-groups create ON_PREM_NEG_NAME \
       --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
       --zone=ON_PREM_NEG_ZONE \
       --network=NETWORK
   

2. エンドポイントを on-prem-neg に追加します。

   gcloud compute network-endpoint-groups update ON_PREM_NEG_NAME \
       --zone=ON_PREM_NEG_ZONE \
       --add-endpoint="ip=ON_PREM_IP_ADDRESS_1,port=PORT_1" \
       --add-endpoint="ip=ON_PREM_IP_ADDRESS_2,port=PORT_2"
   

このコマンドを使用すると、オンプレミスまたはクラウド環境で構成したネットワーク エンドポイントを追加できます。--add-endpoint を必要な回数だけ繰り返します。

必要に応じて、これらの手順を繰り返して複数のハイブリッド NEG を作成できます。

コンソール

gcloud

1. 外部クライアントがトラフィックを送信するグローバル静的外部 IP アドレスを作成します。

     gcloud compute addresses create LB_IP_ADDRESS_NAME \
         --network-tier=PREMIUM \
         --global
     

2. バックエンドのヘルスチェックを作成します。

     gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \
         --use-serving-port
     

3. バックエンド サービスを作成します。このバックエンド サービスに、ゾーン NEG とハイブリッド接続 NEG の両方をバックエンドとして追加します。

  gcloud beta compute backend-services create BACKEND_SERVICE \
      --health-checks=HTTP_HEALTH_CHECK_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --ip-address-selection-policy=PREFER_IPV6 \
      --global
  

4. ゾーン NEG をバックエンドとしてバックエンド サービスに追加します。

     gcloud beta compute backend-services add-backend BACKEND_SERVICE \
         --global \
         --balancing-mode=RATE \
         --max-rate-per-endpoint=MAX_REQUEST_RATE_PER_ENDPOINT \
         --network-endpoint-group=GCP_NEG_NAME \
         --network-endpoint-group-zone=GCP_NEG_ZONE
      

   バランシング モードの構成の詳細については、gcloud CLI のドキュメントで --max-rate-per-endpoint パラメータをご覧ください。
5. ハイブリッド NEG をバックエンドとしてバックエンド サービスに追加します。

     gcloud compute backend-services add-backend BACKEND_SERVICE \
         --global \
         --balancing-mode=RATE \
         --max-rate-per-endpoint=MAX_REQUEST_RATE_PER_ENDPOINT \
         --network-endpoint-group=ON_PREM_NEG_NAME \
         --network-endpoint-group-zone=ON_PREM_NEG_ZONE
     

6. 受信リクエストをバックエンド サービスに転送するための URL マップを作成します。

     gcloud beta compute url-maps create URL_MAP_NAME \
         --default-service BACKEND_SERVICE
     

7. この手順は、HTTPS ロードバランサを作成する場合にのみ行います。HTTP ロードバランサの場合、必須ではありません。
   HTTPS ロードバランサを作成するには、HTTPS ターゲット プロキシで使用する SSL 証明書リソースが必要です。SSL 証明書リソースは、Google マネージド SSL 証明書またはセルフマネージド SSL 証明書を使用して作成できます。このうち、Google Cloud が自動的に取得、管理、更新する Google マネージド証明書をおすすめします。
   
   Google マネージド証明書を作成するには、ドメインが必要です。ドメインがない場合は、自己署名 SSL 証明書を使用してテストできます。
   
   Google マネージド SSL 証明書リソースを作成するには、次のコマンドを実行します。

   gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
       --domains DOMAIN
   

   セルフマネージド SSL 証明書リソースを作成するには:

   gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
       --certificate CRT_FILE_PATH \
       --private-key KEY_FILE_PATH
   

8. URL マップにリクエストを転送するターゲット HTTP(S) プロキシを作成します。
   
   HTTP ロードバランサの場合は、HTTP ターゲット プロキシを作成します。

   gcloud beta compute target-http-proxies create TARGET_HTTP_PROXY_NAME \
       --http-keep-alive-timeout-sec=HTTP_KEEP_ALIVE_TIMEOUT_SEC \
       --url-map=URL_MAP_NAME
   

   HTTPS ロードバランサの場合は、HTTPS ターゲット プロキシを作成します。プロキシはロードバランサの一部であり、HTTPS ロード バランシング用の SSL 証明書を保持するため、このステップで証明書も読み込みます。

   gcloud beta compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
       --http-keep-alive-timeout-sec=HTTP_KEEP_ALIVE_TIMEOUT_SEC \
       --ssl-certificates=SSL_CERTIFICATE_NAME \
       --url-map=URL_MAP_NAME
   

   以下を置き換えます。

   • TARGET_HTTP_PROXY_NAME: ターゲット HTTP プロキシの名前。
   • TARGET_HTTPS_PROXY_NAME: ターゲット HTTPS プロキシの名前。
   • HTTP_KEEP_ALIVE_TIMEOUT_SEC: クライアント HTTP キープアライブ タイムアウトの指定に使用するオプション フィールドです。タイムアウト値は 5～1,200 秒の範囲で指定してください。デフォルト値は 610 秒です。
   • SSL_CERTIFICATE_NAME: SSL 証明書の名前。
   • URL_MAP_NAME: URL マップの名前。
9. 受信リクエストをプロキシに転送する転送ルールを作成します。
   
   HTTP ロードバランサの場合:

   gcloud beta compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --network-tier=PREMIUM \
       --address=LB_IP_ADDRESS_NAME \
       --target-http-proxy=TARGET_HTTP_PROXY_NAME \
       --global \
       --ports=80
   

   HTTPS ロードバランサの場合:

   gcloud beta compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --network-tier=PREMIUM \
       --address=LB_IP_ADDRESS_NAME \
       --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
       --global \
       --ports=443