ハイブリッド接続でリージョン外部アプリケーション ロードバランサを設定する

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。
   [VPC ネットワーク] に移動
2. 環境間のハイブリッド接続の構成に使用されたネットワークに移動します。
3. [サブネットを追加] をクリックします。
4. 名前（PROXY_ONLY_SUBNET_NAME）を入力します。
5. リージョン（REGION）を選択します。
6. [目的] を [リージョン マネージド プロキシ] に設定します。
7. IP アドレス範囲（PROXY_ONLY_SUBNET_RANGE）を入力します。
8. [追加] をクリックします。

gcloud

gcloud compute networks subnets create コマンドを使用して、プロキシ専用サブネットを作成します。

gcloud compute networks subnets create PROXY_ONLY_SUBNET_NAME \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=REGION \
  --network=NETWORK \
  --range=PROXY_ONLY_SUBNET_RANGE

Cloud コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。
   [VPC ネットワーク] に移動
2. 環境間のハイブリッド接続の構成に使用されたネットワークに移動します。
3. [サブネット] セクションで次の設定を行います。
   • [サブネット作成モード] を [カスタム] に設定します。
   • [新しいサブネット] セクションに、次の情報を入力します。
     • 名前: LB_SUBNET_NAME
     • リージョン: REGION
     • IP アドレス範囲: LB_SUBNET_RANGE
   • [完了] をクリックします。
4. [作成] をクリックします。

gcloud

環境間のハイブリッド接続の構成に使用した NETWORK ネットワーク内にサブネットを作成します。

  gcloud compute networks subnets create LB_SUBNET_NAME 

      --network=NETWORK 

      --range=LB_SUBNET_RANGE 

      --region=REGION
  

Cloud コンソール

1. Google Cloud コンソールで、[静的アドレスの予約] ページに移動します。

   [静的アドレスの予約] に移動

2. 名前（LB_IP_ADDRESS）を入力します。

3. [ネットワーク サービス ティア] で [スタンダード] を選択します。

4. [IP バージョン] で [IPv4] を選択します。

5. [タイプ] で [リージョン] を選択します。

6. アドレスを作成する REGION を選択します。

7. [接続先] オプションを [なし] に設定したままにします。ロードバランサを作成すると、この IP アドレスがロードバランサの転送ルールに関連付けられます。

8. [予約] をクリックして IP アドレスを予約します。

gcloud

1. 次のように、リージョン静的外部 IP アドレスを予約します。

   gcloud compute addresses create LB_IP_ADDRESS  \
      --region=REGION \
      --network-tier=STANDARD
   

2. 結果を表示するには、compute addresses describe コマンドを使用します。

   gcloud compute addresses describe LB_IP_ADDRESS  \
      --region=REGION
   

コンソール

1. Google Cloud コンソールで [ファイアウォール ポリシー] ページに移動します。
   [ファイアウォール ポリシー] に移動
2. [ファイアウォール ルールを作成] をクリックして、ヘルスチェック プローブからのトラフィックを許可するルールを作成します。
   1. [名前] に「fw-allow-health-check」と入力します。
   2. [ネットワーク] で、[NETWORK] を選択します。
   3. [ターゲット] で [指定されたターゲットタグ] を選択します。
   4. [ターゲットタグ] フィールドに「allow-health-check」を入力します。
   5. [ソースフィルタ] を [IPv4 範囲] に設定します。
   6. [送信元 IPv4 範囲] を 130.211.0.0/22 と 35.191.0.0/16 に設定します。
   7. [プロトコルとポート] で [指定したプロトコルとポート] を選択します。
   8. [TCP] を選択し、ポート番号に「80」と入力します。
   9. [Create（作成）] をクリックします。
3. [ファイアウォール ルールを作成] を再度クリックして、プロキシ専用サブネットからの受信接続を許可するルールを作成します。
   1. 名前: fw-allow-ssh
   2. ネットワーク: NETWORK
   3. 優先度: 1000
   4. トラフィックの方向: 上り
   5. 一致したときのアクション: 許可
   6. ターゲット: 指定されたターゲットタグ
   7. ターゲットタグ: allow-proxy-only-subnet
   8. ソースフィルタ: IPv4 の範囲
   9. 送信元 IPv4 範囲: PROXY_ONLY_SUBNET_RANGE
   10. プロトコルとポート: 指定したプロトコルとポートを選択します。
   11. [TCP] を選択し、ポート番号に「80」と入力します。
   12. [Create（作成）] をクリックします。

gcloud

1. Google Cloud ヘルスチェックが TCP ポート 80 でバックエンド インスタンスに到達できるように fw-allow-health-check-and-proxy ルールを作成します。

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --rules=tcp:80
   

2. ロードバランサが TCP ポート 80 でバックエンド インスタンスと通信することを許可するプロキシ専用サブネットの上り（内向き）許可ファイアウォール ルールを作成します。

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-proxy-only-subnet \
       --source-ranges=PROXY_ONLY_SUBNET_RANGE \
       --rules=tcp:80
   

コンソール

1. Google Cloud Console の [VM インスタンス] ページに移動します。
   [VM インスタンス] に移動
2. [インスタンスを作成] をクリックします。
3. [名前] を vm-a1 に設定します。
4. [リージョン] に REGION を選択し、任意のゾーンを選択します。この手順では GCP_NEG_ZONE とします。
5. [ブートディスク] セクションで、ブートディスク オプションとして Debian GNU/Linux 12 (bookworm) が選択されていることを確認します。必要に応じて [選択] をクリックし、イメージを変更します。

6. [詳細オプション] をクリックして、次の変更を行います。

   • [ネットワーキング] をクリックして、[ネットワーク タグ] に allow-ssh、allow-health-check、allow-proxy-only-subnet を追加します。
   • [ネットワーク インターフェース] にある編集ボタン edit をクリックして、次の変更を行い、[完了] をクリックします。
     • ネットワーク: NETWORK
     • サブネット: LB_SUBNET_NAME

   • [管理] をクリックします。[起動スクリプト] フィールドに、次のスクリプトの内容をコピーして貼り付けます。スクリプトの内容は 4 つの VM ですべて同じです。

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2
     

7. [作成] をクリックします。

8. 以下の手順を繰り返し、次の名前とゾーンの組み合わせを使用して、2 つ目の VM を作成します。

   • 名前: vm-a2、ゾーン: GCP_NEG_ZONE

gcloud

VM とそのゾーンの名前にこれらの組み合わせを使用して、次のコマンドを 2 回実行して VM を作成します。スクリプトの内容は両方の VM で同じです。

• vm-a1 の VM_NAME と任意の GCP_NEG_ZONE ゾーン

• vm-a2 の VM_NAME と同じ GCP_NEG_ZONE ゾーン

  gcloud compute instances create VM_NAME \
      --zone=GCP_NEG_ZONE \
      --image-family=debian-10 \
      --image-project=debian-cloud \
      --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
      --subnet=LB_SUBNET_NAME \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
  

コンソール

ゾーン ネットワーク エンドポイント グループを作成するには:

1. Google Cloud Console の [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] ページに移動
   
2. [ネットワーク エンドポイント グループを作成] をクリックします。
3. ゾーン NEG の名前を入力します。この手順では GCP_NEG_NAME とします。
4. ネットワーク エンドポイント グループの種類: ネットワーク エンドポイント グループ（ゾーン）を選択します。
5. [ネットワーク] で NETWORK を選択します。
6. [サブネット] で LB_SUBNET_NAME を選択します。
7. [ゾーン] で GCP_NEG_ZONE を選択します。
8. [デフォルト ポート: 80] を入力します。
9. [作成] をクリックします。

エンドポイントをゾーン NEG に追加します。

1. Google Cloud コンソールでの [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] に移動
   
2. 前のステップで作成したネットワーク エンドポイント グループの名前（GCP_NEG_NAME）をクリックします。ネットワーク エンドポイント グループの詳細ページが表示されます。
3. [このグループのネットワーク エンドポイント] セクションで [ネットワーク エンドポイントを追加] をクリックします。[ネットワーク エンドポイントの追加] ページが表示されます。
4. [VM インスタンス] を選択して、ネットワーク エンドポイントとして内部 IP アドレスを追加します。[ネットワーク インターフェース] セクションに、VM の名前、ゾーン、サブネットが表示されます。
5. [IPv4 アドレス] フィールドに、新しいネットワーク エンドポイントの IPv4 アドレスを入力します。
6. ポートタイプを選択します。
   1. [デフォルト] を選択すると、エンドポイントはネットワーク エンドポイント グループのすべてのエンドポイントにデフォルト ポート 80 を使用します。この例では、Apache サーバーがポート 80 でリクエストを配信しているため、これで十分です。
   2. [カスタム] を選択した場合は、使用するエンドポイントのポート番号を入力します。
7. 他のエンドポイントを追加するには、[ネットワーク エンドポイントを追加] をクリックし、前の手順を繰り返します。
8. すべてのエンドポイントを追加したら、[作成] をクリックします。

gcloud

1. gcloud compute network-endpoint-groups create コマンドを使用して、ゾーン NEG を作成します（GCE_VM_IP_PORT エンドポイントを含む）。

   gcloud compute network-endpoint-groups create GCP_NEG_NAME \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=GCP_NEG_ZONE \
       --network=NETWORK \
       --subnet=LB_SUBNET_NAME
   

   今回の手順で NEG を作成する際に --default-port を指定するか、次の手順で示すように、エンドポイントごとにポート番号を指定できます。

2. エンドポイントを GCP_NEG_NAME に追加します。

   gcloud compute network-endpoint-groups update GCP_NEG_NAME \
       --zone=GCP_NEG_ZONE \
       --add-endpoint='instance=vm-a1,port=80' \
       --add-endpoint='instance=vm-a2,port=80'
   

コンソール

ハイブリッド接続ネットワーク エンドポイント グループを作成するには:

1. Google Cloud コンソールでの [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] に移動
   
2. [ネットワーク エンドポイント グループを作成] をクリックします。
3. ハイブリッド NEG の名前を入力します。この手順では ON_PREM_NEG_NAME とします。
4. ネットワーク エンドポイント グループの種類: [ハイブリッド接続ネットワーク エンドポイント グループ（ゾーン）] を選択します。
5. ネットワーク: NETWORK を選択します
6. [サブネット: LB_SUBNET_NAME] を選択します。
7. [ゾーン: ON_PREM_NEG_ZONE] を選択します。
8. [デフォルト ポート] を入力します。
9. [作成] をクリックします。

ハイブリッド接続 NEG にエンドポイントを追加します。

1. Google Cloud コンソールでの [ネットワーク エンドポイント グループ] ページに移動します。
   [ネットワーク エンドポイント グループ] ページに移動
   
2. 前のステップで作成したネットワーク エンドポイント グループの名前（ON_PREM_NEG_NAME）をクリックします。ネットワーク エンドポイント グループの詳細ページが表示されます。
3. [このグループのネットワーク エンドポイント] セクションで [ネットワーク エンドポイントを追加] をクリックします。[ネットワーク エンドポイントの追加] ページが表示されます。
4. 新しいネットワーク エンドポイントの IP アドレスを入力します。
5. ポートタイプを選択します。
   1. [デフォルト] を選択すると、エンドポイントはネットワーク エンドポイント グループのすべてのエンドポイントにデフォルト ポートを使用します。
   2. [カスタム] を選択すると、使用するエンドポイントに異なる [ポート番号] を入力できます。
6. 他のエンドポイントを追加するには、[ネットワーク エンドポイントを追加] をクリックし、前の手順を繰り返します。
7. Google Cloud 以外のエンドポイントをすべて追加したら、[作成] をクリックします。

gcloud

1. gcloud compute network-endpoint-groups create コマンドを使用して、ハイブリッド接続 NEG を作成します。

   gcloud compute network-endpoint-groups create ON_PREM_NEG_NAME \
       --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
       --zone=ON_PREM_NEG_ZONE \
       --network=NETWORK
   

2. オンプレミス バックエンド VM のエンドポイントを ON_PREM_NEG_NAME に追加します。

   gcloud compute network-endpoint-groups update ON_PREM_NEG_NAME \
       --zone=ON_PREM_NEG_ZONE \
       --add-endpoint="ip=ON_PREM_IP_ADDRESS_1,port=PORT_1" \
       --add-endpoint="ip=ON_PREM_IP_ADDRESS_2,port=PORT_2"
   

このコマンドを使用すると、オンプレミスまたはクラウド環境で構成したネットワーク エンドポイントを追加できます。--add-endpoint を必要な回数だけ繰り返します。

必要に応じて、これらの手順を繰り返して複数のハイブリッド NEG を作成できます。

コンソール

gcloud

1. バックエンドのヘルスチェックを作成します。

      gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \
          --region=REGION \
          --use-serving-port
      

   ハイブリッド NEG バックエンドのヘルスチェック プローブはプロキシ専用サブネットの Envoy プロキシから発信され、ゾーン NEG バックエンドのプローブは [Google の中央プローブ IP 範囲](/load-balancing/docs/health-check-concepts#ip-ranges)から発信されます。
2. バックエンド サービスを作成します。このバックエンド サービスに、ゾーン NEG とハイブリッド接続 NEG の両方をバックエンドとして追加します。

     gcloud compute backend-services create BACKEND_SERVICE \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --protocol=HTTP \
         --health-checks=HTTP_HEALTH_CHECK_NAME \
         --health-checks-region=REGION \
         --region=REGION
     

3. ゾーン NEG をバックエンドとしてバックエンド サービスに追加します。

   gcloud compute backend-services add-backend BACKEND_SERVICE \
       --region=REGION \
       --balancing-mode=RATE \
       --max-rate-per-endpoint=MAX_REQUEST_RATE_PER_ENDPOINT \
       --network-endpoint-group=GCP_NEG_NAME \
       --network-endpoint-group-zone=GCP_NEG_ZONE
   

   バランシング モードの構成の詳細については、gcloud CLI のドキュメントで --max-rate-per-endpoint パラメータをご覧ください。
4. ハイブリッド NEG をバックエンドとしてバックエンド サービスに追加します。

   gcloud compute backend-services add-backend BACKEND_SERVICE \
       --region=REGION \
       --balancing-mode=RATE \
       --max-rate-per-endpoint=MAX_REQUEST_RATE_PER_ENDPOINT \
       --network-endpoint-group=ON_PREM_NEG_NAME \
       --network-endpoint-group-zone=ON_PREM_NEG_ZONE
   

   バランシング モードの構成の詳細については、gcloud CLI のドキュメントで --max-rate-per-endpoint パラメータをご覧ください。
5. 受信リクエストをバックエンド サービスに転送するための URL マップを作成します。

   gcloud compute url-maps create URL_MAP_NAME \
       --default-service BACKEND_SERVICE \
       --region=REGION
   

6. 省略可: この手順は、クライアントとロードバランサ間で HTTPS を使用している場合に行います。HTTP ロードバランサの場合、必須ではありません。

   Compute Engine または Certificate Manager の証明書を作成できます。Certificate Manager を使用して証明書を作成するには、次のいずれかの方法を使用します。

   • リージョン セルフマネージド証明書。リージョン セルフマネージド証明書の作成と使用については、リージョン セルフマネージド証明書をデプロイするをご覧ください。証明書マップはサポートされていません。

   • リージョンの Google マネージド証明書。証明書マップはサポートされていません。

     Certificate Manager では、次のタイプのリージョン Google マネージド証明書がサポートされています。

     • プロジェクトごとの DNS 認証を使用するリージョン Google マネージド証明書。詳細については、リージョン Google マネージド証明書をデプロイするをご覧ください。
     • Certificate Authority Service を使用するリージョン Google マネージド（プライベート）証明書。詳細については、CA Service を使用してリージョン Google マネージド証明書をデプロイするをご覧ください。

   証明書を作成したら、証明書をターゲット プロキシに直接関連付けます。

   Compute Engine セルフマネージド SSL 証明書リソースを作成するには:

   gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
       --certificate CRT_FILE_PATH \
       --private-key KEY_FILE_PATH
   

   • URL マップにリクエストを転送するターゲット HTTP(S) プロキシを作成します。
     
     HTTP ロードバランサの場合は、HTTP ターゲット プロキシを作成します。

     gcloud compute target-http-proxies create TARGET_HTTP_PROXY_NAME \
         --url-map=URL_MAP_NAME \
         --url-map-region=REGION \
         --region=REGION
     

     HTTPS ロードバランサの場合は、HTTPS ターゲット プロキシを作成します。プロキシはロードバランサの一部であり、HTTPS ロード バランシング用の SSL 証明書を保持するため、このステップで証明書も読み込みます。

     gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
         --ssl-certificates=SSL_CERTIFICATE_NAME \
         --url-map=URL_MAP_NAME \
         --url-map-region=REGION \
         --region=REGION
     

   • 受信リクエストをプロキシに転送する転送ルールを作成します。転送ルールの作成には、プロキシ専用サブネットを使用しないでください。
     
     HTTP ロードバランサの場合:

       gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \
           --load-balancing-scheme=EXTERNAL_MANAGED \
           --network=NETWORK \
           --subnet=LB_SUBNET_NAME \
           --address=LB_IP_ADDRESS \
           --ports=80 \
           --region=REGION \
           --target-http-proxy=TARGET_HTTP_PROXY_NAME \
           --target-http-proxy-region=REGION
     

     HTTPS ロードバランサの場合:

       gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
           --load-balancing-scheme=EXTERNAL_MANAGED \
           --network=NETWORK \
           --subnet=LB_SUBNET_NAME \
           --address=LB_IP_ADDRESS \
           --ports=443 \
           --region=REGION \
           --target-http-proxy=TARGET_HTTPS_PROXY_NAME \
           --target-http-proxy-region=REGION