使用虚拟机实例组后端设置区域级外部应用负载均衡器

控制台

1. 在 Google Cloud 控制台中，进入 VPC 网络页面。

   进入 VPC 网络页面

2. 点击创建 VPC 网络。

3. 对于名称，输入 lb-network。

4. 在子网部分中执行以下操作：

   • 将子网创建模式设置为自定义。
   • 在新子网部分中，输入以下信息：
     • 名称：backend-subnet
     • 区域：us-west1
     • IP 地址范围：10.1.2.0/24
   • 点击完成。

5. 点击创建。

gcloud

1. 使用 gcloud compute networks create 命令创建自定义 VPC 网络：

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. 使用 gcloud compute networks subnets create 命令在 us-west1 区域的 lb-network 网络中创建子网：

   gcloud compute networks subnets create backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-west1
   

Terraform

如需创建 VPC 网络，请使用 google_compute_network 资源。

resource "google_compute_network" "default" {
  name                    = "lb-network"
  auto_create_subnetworks = false
  routing_mode            = "REGIONAL"
}

如需在 lb-network 网络中创建 VPC 子网，请使用 google_compute_subnetwork 资源。

resource "google_compute_subnetwork" "default" {
  name                       = "backend-subnet"
  ip_cidr_range              = "10.1.2.0/24"
  network                    = google_compute_network.default.id
  private_ipv6_google_access = "DISABLE_GOOGLE_ACCESS"
  purpose                    = "PRIVATE"
  region                     = "us-west1"
  stack_type                 = "IPV4_ONLY"
}

API

1. 向 networks.insert 方法发出 POST 请求，并将 PROJECT_ID 替换为您的项目 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks
   {
    "routingConfig": {
      "routingMode": "REGIONAL"
    },
    "name": "lb-network",
    "autoCreateSubnetworks": false
   }
   

2. 向 subnetworks.insert 方法发出 POST 请求，并将 PROJECT_ID 替换为您的项目 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks
   {
    "name": "backend-subnet",
    "network": "projects/PROJECT_ID/global/networks/lb-network",
    "ipCidrRange": "10.1.2.0/24",
    "region": "projects/PROJECT_ID/regions/us-west1",
   }
   

控制台

如果您使用的是 Google Cloud 控制台，也可以稍后在负载均衡页面上创建代理专用子网。

如需立即创建代理专用子网，请按以下步骤操作：

1. 在 Google Cloud 控制台中，进入 VPC 网络页面。

   进入 VPC 网络页面

2. 点击 VPC 网络的名称：lb-network。

3. 点击添加子网。

4. 对于名称，输入 proxy-only-subnet。

5. 对于区域，请选择 us-west1。

6. 将用途设置为区域级代管式代理。

7. 对于 IP 地址范围，输入 10.129.0.0/23。

8. 点击添加。

gcloud

使用 gcloud compute networks subnets create 命令创建代理专用子网。

gcloud compute networks subnets create proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-west1 \
  --network=lb-network \
  --range=10.129.0.0/23

Terraform

如需在 lb-network 网络中创建 VPC 代理专用子网，请使用 google_compute_subnetwork 资源。

resource "google_compute_subnetwork" "proxy_only" {
  name          = "proxy-only-subnet"
  ip_cidr_range = "10.129.0.0/23"
  network       = google_compute_network.default.id
  purpose       = "REGIONAL_MANAGED_PROXY"
  region        = "us-west1"
  role          = "ACTIVE"
}

API

使用 subnetworks.insert 方法创建代理专用子网，并将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks
{
  "name": "proxy-only-subnet",
  "ipCidrRange": "10.129.0.0/23",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "region": "projects/PROJECT_ID/regions/us-west1",
  "purpose": "REGIONAL_MANAGED_PROXY",
  "role": "ACTIVE"
}

控制台

1. 在 Google Cloud 控制台中，转到防火墙政策页面。

   转到“防火墙规则”

2. 点击创建防火墙规则 以创建允许 Google Cloud 健康检查的规则：

   • 名称：fw-allow-health-check
   • 网络：lb-network
   • 流量方向：入站
   • 对匹配项执行的操作：允许
   • 目标：指定的目标标记
   • 目标标记：load-balanced-backend
   • 来源过滤条件：IPv4 范围
   • 来源 IPv4 范围：130.211.0.0/22 和 35.191.0.0/16
   • 协议和端口：
     • 选择指定的协议和端口。
     • 选中 TCP 复选框，然后输入 80 作为端口号。
       最佳实践是将此规则限制为仅使用与健康检查所使用的协议和端口匹配的协议和端口。如果您使用 tcp:80 协议和端口，则 Google Cloud 可以使用 HTTP 通过端口 80 联系您的虚拟机，但无法使用 HTTPS 通过端口 443 联系这些虚拟机。

3. 点击创建。

4. 点击创建防火墙规则，以创建允许负载均衡器的代理服务器连接后端的规则：

   • 名称：fw-allow-proxies
   • 网络：lb-network
   • 流量方向：入站
   • 对匹配项执行的操作：允许
   • 目标：指定的目标标记
   • 目标标记：load-balanced-backend
   • 来源过滤条件：IPv4 范围
   • 来源 IPv4 范围：10.129.0.0/23
   • 协议和端口：
     • 选择指定的协议和端口。
     • 选中 TCP 复选框，然后输入 80, 443, 8080 作为端口号。

5. 点击创建。

gcloud

1. 创建 fw-allow-health-check 规则以允许 Google Cloud 健康检查。本示例允许来自健康检查探测工具的所有 TCP 流量；但是，您可以根据自己的需求配置较小范围的端口集。

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --target-tags=load-balanced-backend \
       --rules=tcp
   

2. 创建 fw-allow-proxies 规则以允许区域级外部应用负载均衡器的代理连接到您的后端。将 source-ranges 设置为代理专用子网的分配范围，例如 10.129.0.0/23。

   gcloud compute firewall-rules create fw-allow-proxies \
     --network=lb-network \
     --action=allow \
     --direction=ingress \
     --source-ranges=source-range \
     --target-tags=load-balanced-backend \
     --rules=tcp:80,tcp:443,tcp:8080
   

Terraform

如需创建防火墙规则，请使用 google_compute_firewall 资源。

resource "google_compute_firewall" "default" {
  name = "fw-allow-health-check"
  allow {
    protocol = "tcp"
  }
  direction     = "INGRESS"
  network       = google_compute_network.default.id
  priority      = 1000
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
  target_tags   = ["load-balanced-backend"]
}

resource "google_compute_firewall" "allow_proxy" {
  name = "fw-allow-proxies"
  allow {
    ports    = ["443"]
    protocol = "tcp"
  }
  allow {
    ports    = ["80"]
    protocol = "tcp"
  }
  allow {
    ports    = ["8080"]
    protocol = "tcp"
  }
  direction     = "INGRESS"
  network       = google_compute_network.default.id
  priority      = 1000
  source_ranges = ["10.129.0.0/23"]
  target_tags   = ["load-balanced-backend"]
}

API

通过向 firewalls.insert 方法发出 POST 请求以创建 fw-allow-health-check 防火墙规则，注意要将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls
{
  "name": "fw-allow-health-check",
  "network": "projects/PROJECT-ID/global/networks/lb-network",
  "sourceRanges": [
    "130.211.0.0/22",
    "35.191.0.0/16"
  ],
  "targetTags": [
    "load-balanced-backend"
  ],
  "allowed": [
    {
      "IPProtocol": "tcp"
    }
  ],
  "direction": "INGRESS"
}

通过 firewalls.insert 方法创建 fw-allow-proxies 防火墙规则，以允许代理子网内的 TCP 流量，注意要将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls
{
  "name": "fw-allow-proxies",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "sourceRanges": [
    "10.129.0.0/23"
  ],
  "targetTags": [
    "load-balanced-backend"
  ],
  "allowed": [
    {
      "IPProtocol": "tcp",
      "ports": [
        "80"
      ]
    },
    {
      "IPProtocol": "tcp",
      "ports": [
        "443"
      ]
    },
    {
      "IPProtocol": "tcp",
      "ports": [
        "8080"
      ]
    }
  ],
  "direction": "INGRESS"
}

控制台

1. 创建实例模板。在 Google Cloud 控制台中，进入实例模板页面。

   转到“实例模板”

   1. 点击创建实例模板。
   2. 对于名称，输入 l7-xlb-backend-template。
   3. 确保启动磁盘已设置为 Debian 映像，例如 Debian GNU/Linux 12 (bookworm)。本文中的说明使用仅 Debian 支持的命令，例如 apt-get。
   4. 点击高级选项。
   5. 点击网络并配置以下字段：
      1. 对于网络标记，请输入 load-balanced-backend。
      2. 对于网络接口，请选择以下内容：
         • 网络：lb-network
         • 子网：backend-subnet

   6. 点击管理。将以下脚本输入启动脚本字段。

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. 点击创建。

2. 创建托管式实例组。在 Google Cloud 控制台中，转到实例组页面。

   进入“实例组”

   1. 点击创建实例组。
   2. 选择 New managed instance group (stateless)（新的托管式实例组 [无状态]）。如需了解详情，请参阅无状态或有状态 MIG。
   3. 对于名称，输入 l7-xlb-backend-example。
   4. 对于位置，选择单个可用区。
   5. 对于区域，请选择 us-west1。
   6. 对于可用区，请选择 us-west1-a。
   7. 对于实例模板，请选择 l7-xlb-backend-template。

   8. 对于自动扩缩模式，选择“开启：在实例组中添加和移除实例”。

      将实例数下限设置为 2，并将实例数上限设置为 2 或更大。

   9. 点击创建。

gcloud

本指南中的 gcloud 说明假定您使用的是 Cloud Shell 或安装了 bash 的其他环境。

1. 使用 gcloud compute instance-templates create 命令创建含有 HTTP 服务器的虚拟机实例模板。

   gcloud compute instance-templates create l7-xlb-backend-template \
   --region=us-west1 \
   --network=lb-network \
   --subnet=backend-subnet \
   --tags=load-balanced-backend \
   --image-family=debian-12 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2'
   

2. 使用 gcloud compute instance-groups managed create 命令在相应可用区中创建一个托管式实例组。

   gcloud compute instance-groups managed create l7-xlb-backend-example \
       --zone=us-west1-a \
       --size=2 \
       --template=l7-xlb-backend-template
   

Terraform

如需创建实例模板，请使用 google_compute_instance_template 资源。

resource "google_compute_instance_template" "default" {
  name = "l7-xlb-backend-template"
  disk {
    auto_delete  = true
    boot         = true
    device_name  = "persistent-disk-0"
    mode         = "READ_WRITE"
    source_image = "projects/debian-cloud/global/images/family/debian-12"
    type         = "PERSISTENT"
  }
  labels = {
    managed-by-cnrm = "true"
  }
  machine_type = "n1-standard-1"
  metadata = {
    startup-script = <<EOF
    #! /bin/bash
    sudo apt-get update
    sudo apt-get install apache2 -y
    sudo a2ensite default-ssl
    sudo a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://169.254.169.254/computeMetadata/v1/instance/name)"
    sudo echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    sudo systemctl restart apache2
    EOF
  }
  network_interface {
    access_config {
      network_tier = "PREMIUM"
    }
    network    = google_compute_network.default.id
    subnetwork = google_compute_subnetwork.default.id
  }
  region = "us-west1"
  scheduling {
    automatic_restart   = true
    on_host_maintenance = "MIGRATE"
    provisioning_model  = "STANDARD"
  }
  service_account {
    email  = "default"
    scopes = ["https://www.googleapis.com/auth/devstorage.read_only", "https://www.googleapis.com/auth/logging.write", "https://www.googleapis.com/auth/monitoring.write", "https://www.googleapis.com/auth/pubsub", "https://www.googleapis.com/auth/service.management.readonly", "https://www.googleapis.com/auth/servicecontrol", "https://www.googleapis.com/auth/trace.append"]
  }
  tags = ["load-balanced-backend"]
}

如需创建代管式实例组，请使用 google_compute_instance_group_manager 资源。

resource "google_compute_instance_group_manager" "default" {
  name = "l7-xlb-backend-example"
  zone = "us-west1-a"
  named_port {
    name = "http"
    port = 80
  }
  version {
    instance_template = google_compute_instance_template.default.id
    name              = "primary"
  }
  base_instance_name = "vm"
  target_size        = 2
}

API

1. 使用 instanceTemplates.insert 方法创建实例模板，注意要将 PROJECT_ID 替换为您的项目 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/instanceTemplates
   {
    "name":"l7-xlb-backend-template",
    "properties": {
      "machineType":"e2-standard-2",
      "tags": {
        "items":[
          "load-balanced-backend"
        ]
      },
      "metadata": {
        "kind":"compute#metadata",
        "items":[
          {
            "key":"startup-script",
            "value":"#! /bin/bash\napt-get update\napt-get install apache2 -y\na2ensite default-ssl\na2enmod ssl\nvm_hostname=\"$(curl -H \"Metadata-Flavor:Google\" \\\nhttp://metadata.google.internal/computeMetadata/v1/instance/name)\"\necho \"Page served from: $vm_hostname\" | \\\ntee /var/www/html/index.html\nsystemctl restart apache2"
          }
        ]
      },
      "networkInterfaces":[
        {
          "network":"projects/PROJECT_ID/global/networks/lb-network",
          "subnetwork":"regions/us-west1/subnetworks/backend-subnet",
          "accessConfigs":[
            {
              "type":"ONE_TO_ONE_NAT"
            }
          ]
        }
      ],
      "disks": [
        {
          "index":0,
          "boot":true,
          "initializeParams": {
            "sourceImage":"projects/debian-cloud/global/images/family/debian-12"
          },
          "autoDelete":true
        }
      ]
    }
   }
   

2. 使用 instanceGroupManagers.insert 方法在每个可用区中创建一个托管式实例组，注意要将 PROJECT_ID 替换为您的项目 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers
   {
    "name": "l7-xlb-backend-example",
    "zone": "projects/PROJECT_ID/zones/us-west1-a",
    "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/l7-xlb-backend-template",
    "baseInstanceName": "l7-xlb-backend-example",
    "targetSize": 2
   }
   

控制台

1. 在 Google Cloud 控制台中，转到实例组页面。

   进入“实例组”

2. 点击实例组的名称（在此示例中为 l7-xlb-backend-example）。

3. 在实例组的概览页面上，点击修改 edit。

4. 点击指定端口名称映射。

5. 点击添加项目。

6. 对于端口名称，请输入 http。对于端口号，请输入 80。

7. 点击保存。

gcloud

使用 gcloud compute instance-groups set-named-ports 命令。

gcloud compute instance-groups set-named-ports l7-xlb-backend-example \
    --named-ports http:80 \
    --zone us-west1-a

Terraform

named_port 特性包含在代管式实例组示例中。

控制台

1. 在 Google Cloud 控制台中，进入预留静态地址页面。

   进入“预留静态地址”

2. 为新地址选择一个名称。

3. 对于网络服务层级，请选择标准。

4. 在 IP 版本部分，选择 IPv4。IPv6 地址仅限为全球地址，只适用于全球负载均衡器。

5. 对于类型，请选择区域。

6. 对于区域，选择 us-west1。

7. 将附加目标选项设置为无。创建负载均衡器后，此 IP 地址将关联到负载均衡器的转发规则。

8. 点击预留以预留该 IP 地址。

gcloud

1. 如需使用 gcloud compute 预留静态外部 IP 地址，请使用 compute addresses create 命令。

   gcloud compute addresses create ADDRESS_NAME  \
      --region=us-west1 \
      --network-tier=STANDARD
   

   替换以下内容：

   • ADDRESS_NAME：您要为此地址指定的名称。
   • REGION：您要预留此地址的区域。此区域应与负载均衡器所在的区域相同。所有区域级 IP 地址均为 IPv4。

2. 使用 compute addresses describe 命令可以查看结果：

   gcloud compute addresses describe ADDRESS_NAME
   

Terraform

如需预留 IP 地址，请使用 google_compute_address 资源。

resource "google_compute_address" "default" {
  name         = "address-name"
  address_type = "EXTERNAL"
  network_tier = "STANDARD"
  region       = "us-west1"
}

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

API

如需创建区域 IPv4 地址，请调用区域 addresses.insert 方法：

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

请求正文应包含以下内容：

{
  "name": "ADDRESS_NAME"
  "networkTier": "STANDARD"
  "region": "us-west1"
}

替换以下内容：

• ADDRESS_NAME：地址的名称
• REGION：此请求的区域名称
• PROJECT_ID：此请求的项目 ID

控制台

开始配置

1. 在 Google Cloud 控制台中，转到负载均衡页面。

   转到“负载均衡”

2. 点击创建负载均衡器。
3. 在负载均衡器的类型字段中，选择应用负载均衡器 (HTTP/HTTPS)，然后点击下一步。
4. 在公共或内部字段中，选择公共（外部），然后点击下一步。
5. 对于全球或单区域部署，选择最适合区域级工作负载，然后点击下一步。
6. 点击配置。

基本配置

1. 对于负载均衡器的名称，请输入 regional-l7-xlb。
2. 对于区域，请选择 us-west1。
3. 对于网络，请选择 lb-network。

预留代理专用子网

对于区域级外部应用负载均衡器，请预留代理专用子网：

1. 点击预留子网。
2. 对于名称，输入 proxy-only-subnet。
3. 对于 IP 地址范围，输入 10.129.0.0/23。
4. 点击添加。

配置前端

对于 HTTP：

1. 点击前端配置。
2. 将名称设置为 l7-xlb-forwarding-rule。
3. 将协议设置为 HTTP。
4. 将端口设置为 80。
5. 选择您在预留负载均衡器的 IP 地址中创建的 IP 地址。
6. 点击完成。

对于 HTTPS：

1. 点击前端配置。
2. 在名称字段中，输入 l7-xlb-forwarding-rule。
3. 在协议字段中，选择 HTTPS (includes HTTP/2)。
4. 确保将端口设置为 443。
5. 选择您在预留负载均衡器的 IP 地址中创建的 IP 地址。
6. 在证书列表中，执行以下操作：
   1. 如果您已拥有 Compute Engine 自行管理的 SSL 证书资源，请选择主要 SSL 证书。
   2. 点击创建新证书。
      1. 在名称字段中，输入 l7-xlb-cert。
      2. 在相应字段中上传您的 PEM 格式的文件：
         • 证书
         • 私钥
      3. 点击创建。
7. 可选：如需添加除了主要 SSL 证书之外的其他证书，请执行以下操作：
   1. 点击添加证书。
   2. 如果您已有证书，请从证书列表中选择。
   3. 可选：点击创建新证书，然后按照上一步中指定的说明操作。

8. 从 SSL 政策列表中选择一项 SSL 政策。（可选）如需创建 SSL 政策，请执行以下操作：

   1. 在 SSL 政策列表中，选择创建政策。
   2. 输入 SSL 政策的名称。
   3. 选择最低的 TLS 版本。默认值为 TLS 1.0。
   4. 选择预配置的 Google 管理的配置文件之一，或者选择一个使您可以单独选择 SSL 功能的自定义配置文件。系统会显示已启用的功能和已停用的功能。
   5. 点击保存。

   如果您尚未创建任何 SSL 政策，则系统会应用默认 Google Cloud SSL 政策。

9. 点击完成。

配置后端服务

1. 点击后端配置。
2. 在创建或选择后端服务菜单中，选择创建后端服务。
3. 将后端服务的名称设置为 l7-xlb-backend-service。
4. 对于协议，选择 HTTP。
5. 对于已命名端口，输入 http。
6. 将后端类型设置为实例组。
7. 在新后端部分：
   1. 将实例组设置为 l7-xlb-backend-example。
   2. 将端口号设置为 80。
   3. 将平衡模式设置为利用率。
   4. 点击完成。
8. 在健康检查列表中，点击创建健康检查。
   1. 将名称设置为 l7-xlb-basic-check。
   2. 将协议设置为 HTTP。
   3. 将端口设置为 80。
   4. 点击保存。
9. 点击创建。

配置路由规则

1. 点击路由规则。
2. 对于模式，选择简单主机和路径规则。
3. 确保 l7-xlb-backend-service 是任何不匹配的主机和任何不匹配的路径的唯一后端服务。

检查配置

1. 点击检查并最终确定。
2. 查看负载均衡器配置设置。
3. 可选：点击等效代码以查看将用于创建负载均衡器的 REST API 请求。
4. 点击创建。

gcloud

1. 使用 gcloud compute health-checks create http 命令定义 HTTP 健康检查。

   gcloud compute health-checks create http l7-xlb-basic-check \
      --region=us-west1 \
      --request-path='/' \
      --use-serving-port
   

2. 使用 gcloud compute backend-services create 命令定义后端服务。

   gcloud compute backend-services create l7-xlb-backend-service \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --protocol=HTTP \
     --port-name=http \
     --health-checks=l7-xlb-basic-check \
     --health-checks-region=us-west1 \
     --region=us-west1
   

3. 使用 gcloud compute backend-services add-backend 命令将后端添加到后端服务。

   gcloud compute backend-services add-backend l7-xlb-backend-service \
     --balancing-mode=UTILIZATION \
     --instance-group=l7-xlb-backend-example \
     --instance-group-zone=us-west1-a \
     --region=us-west1
   

4. 使用 gcloud compute url-maps create 命令创建网址映射。

   gcloud compute url-maps create regional-l7-xlb-map \
     --default-service=l7-xlb-backend-service \
     --region=us-west1
   

5. 创建目标代理。

   对于 HTTP：

   对于 HTTP 负载均衡器，使用 gcloud compute target-http-proxies create 命令创建目标代理。

   gcloud compute target-http-proxies create l7-xlb-proxy \
     --url-map=regional-l7-xlb-map \
     --url-map-region=us-west1 \
     --region=us-west1
   

   对于 HTTPS：

   您可以创建 Compute Engine 证书或 Certificate Manager 证书。使用以下任一方法通过 Certificate Manager 创建证书：

   • 自行管理的区域级证书。如需了解如何创建和使用自行管理的区域级证书，请参阅部署自行管理的区域级证书。不支持证书映射。

   • Google 管理的区域级证书。不支持证书映射。

     Certificate Manager 支持以下类型的 Google 管理的区域级证书：

     • 具有每个项目的 DNS 授权的 Google 管理的区域级证书。如需了解详情，请参阅部署 Google 管理的区域级证书。
     • 使用 Certificate Authority Service 的 Google 管理的（专用）区域级证书。如需了解详情，请参阅使用 CA Service 部署 Google 管理的区域级证书。

   创建证书后，将证书直接附加到目标代理。

   1. 将文件路径分配给变量名称。

      export LB_CERT=path to PEM-formatted file
      

      export LB_PRIVATE_KEY=path to PEM-formatted file
      

   2. 使用 gcloud compute ssl-certificates create 命令创建区域 SSL 证书。

      gcloud compute ssl-certificates create l7-xlb-cert \
       --certificate=$LB_CERT \
       --private-key=$LB_PRIVATE_KEY \
       --region=us-west1
      

   3. 使用区域 SSL 证书通过 gcloud compute target-https-proxies create 命令创建目标代理。

      gcloud compute target-https-proxies create l7-xlb-proxy \
       --url-map=regional-l7-xlb-map \
       --region=us-west1 \
       --ssl-certificates=l7-xlb-cert
      

   • 创建转发规则。

     对于 HTTP：

     使用带有正确标志的 gcloud compute forwarding-rules create 命令。

     gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --network-tier=STANDARD \
       --network=lb-network \
       --address=ADDRESS_NAME \
       --ports=80 \
       --region=us-west1 \
       --target-http-proxy=l7-xlb-proxy \
       --target-http-proxy-region=us-west1
     

     对于 HTTPS：

     使用带有正确标志的 gcloud compute forwarding-rules create 命令创建转发规则。

     gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --network-tier=STANDARD \
       --network=lb-network \
       --address=ADDRESS_NAME \
       --ports=443 \
       --region=us-west1 \
       --target-https-proxy=l7-xlb-proxy \
       --target-https-proxy-region=us-west1
     

Terraform

如需创建健康检查，请使用 google_compute_region_health_check 资源。

resource "google_compute_region_health_check" "default" {
  name               = "l7-xlb-basic-check"
  check_interval_sec = 5
  healthy_threshold  = 2
  http_health_check {
    port_specification = "USE_SERVING_PORT"
    proxy_header       = "NONE"
    request_path       = "/"
  }
  region              = "us-west1"
  timeout_sec         = 5
  unhealthy_threshold = 2
}

如需创建后端服务，请使用 google_compute_region_backend_service 资源。

resource "google_compute_region_backend_service" "default" {
  name                  = "l7-xlb-backend-service"
  region                = "us-west1"
  load_balancing_scheme = "EXTERNAL_MANAGED"
  health_checks         = [google_compute_region_health_check.default.id]
  protocol              = "HTTP"
  session_affinity      = "NONE"
  timeout_sec           = 30
  backend {
    group           = google_compute_instance_group_manager.default.instance_group
    balancing_mode  = "UTILIZATION"
    capacity_scaler = 1.0
  }
}

如需创建网址映射，请使用 google_compute_region_url_map 资源。

resource "google_compute_region_url_map" "default" {
  name            = "regional-l7-xlb-map"
  region          = "us-west1"
  default_service = google_compute_region_backend_service.default.id
}

如需创建目标 HTTP 代理，请使用 google_compute_region_target_http_proxy 资源。

resource "google_compute_region_target_http_proxy" "default" {
  name    = "l7-xlb-proxy"
  region  = "us-west1"
  url_map = google_compute_region_url_map.default.id
}

如需创建转发规则，请使用 google_compute_forwarding_rule 资源。

resource "google_compute_forwarding_rule" "default" {
  name       = "l7-xlb-forwarding-rule"
  provider   = google-beta
  depends_on = [google_compute_subnetwork.proxy_only]
  region     = "us-west1"

  ip_protocol           = "TCP"
  load_balancing_scheme = "EXTERNAL_MANAGED"
  port_range            = "80"
  target                = google_compute_region_target_http_proxy.default.id
  network               = google_compute_network.default.id
  ip_address            = google_compute_address.default.id
  network_tier          = "STANDARD"
}

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

API

向 regionHealthChecks.insert 方法发出 POST 请求以创建健康检查，注意要将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/{region}/healthChecks
{
  "name": "l7-xlb-basic-check",
  "type": "HTTP",
  "httpHealthCheck": {
    "portSpecification": "USE_SERVING_PORT"
  }
}

向 regionBackendServices.insert 方法发出 POST 请求以创建区域后端服务，注意要将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices
{
  "name": "l7-xlb-backend-service",
  "backends": [
    {
      "group": "projects/<var>PROJECT_ID</var>/zones/us-west1-a/instanceGroups/l7-xlb-backend-example",
      "balancingMode": "UTILIZATION"
    }
  ],
  "healthChecks": [
    "projects/<var>PROJECT_ID</var>/regions/us-west1/healthChecks/l7-xlb-basic-check"
  ],
  "loadBalancingScheme": "EXTERNAL_MANAGED"
}

向 regionUrlMaps.insert 方法发出 POST 请求以创建网址映射，注意要将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/us-west1/urlMaps
{
  "name": "regional-l7-xlb-map",
  "defaultService": "projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices/l7-xlb-backend-service"
}

向 regionTargetHttpProxies.insert 方法发出 POST 请求以创建目标 HTTP 代理，注意要将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/targetHttpProxy
{
  "name": "l7-xlb-proxy",
  "urlMap": "projects/PROJECT_ID/global/urlMaps/regional-l7-xlb-map",
  "region": "us-west1"
}

向 forwardingRules.insert 方法发出 POST 请求以创建转发规则，注意要将 PROJECT_ID 替换为您的项目 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/forwardingRules
{
  "name": "l7-xlb-forwarding-rule",
  "IPAddress": "10.1.2.99",
  "IPProtocol": "TCP",
  "portRange": "80-80",
  "target": "projects/PROJECT_ID/regions/us-west1/targetHttpProxies/l7-xlb-proxy",
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "networkTier": "STANDARD",
}

控制台

1. 在 Google Cloud 控制台中，转到负载均衡页面。

   转到“负载均衡”

2. 点击您刚刚创建的负载均衡器。
3. 在后端部分中，确认虚拟机运行状况良好。运行状况良好列应该会填充相应信息，指示两个虚拟机运行状况都良好 (2/2)。否则，请先尝试重新加载页面。Google Cloud 控制台可能需要一些时间才能指示虚拟机运行状况良好。如果几分钟后后端的健康状况仍然不佳，请检查防火墙配置以及分配给后端虚拟机的网络标记。
4. 在 Google Cloud 控制台显示后端实例运行状况良好后，您可使用网络浏览器转到 https://IP_ADDRESS（或 http://IP_ADDRESS），来测试您的负载均衡器。将 IP_ADDRESS 替换为负载均衡器的 IP 地址。
5. 如果您使用自签名证书测试 HTTPS，您的浏览器将显示警告。您必须明确指示浏览器接受自签名证书。
6. 您的浏览器应该会呈现一个页面，其中的内容显示提供该页面的实例的名称以及其可用区（例如，Page served from: lb-backend-example-xxxx）。如果您的浏览器未呈现此页面，请查看本指南中的配置设置。

gcloud

请记下预留的 IPv4 地址：

gcloud beta compute addresses describe ADDRESS_NAME \
    --format="get(address)" \
    --region="us-west1"

您可以使用网络浏览器转到 https://IP_ADDRESS（或 http://IP_ADDRESS）来测试您的负载均衡器。将 IP_ADDRESS 替换为负载均衡器的 IP 地址。

如果您使用自签名证书来测试 HTTPS，您的浏览器将显示警告。您必须明确指示浏览器接受自签名证书。

您的浏览器应会打开一个页面，其中包含有关后端实例的极少量信息。如果您的浏览器没有打开此页面，请检查本指南中的配置设置。

控制台

如需针对后端服务启用或更改会话亲和性，请执行以下操作：

1. 在 Google Cloud 控制台中，进入负载均衡页面。

   进入“负载均衡”

2. 点击您刚刚创建的负载均衡器。

3. 点击后端。

4. 点击 l7-xlb-backend-service（您为此示例创建的后端服务的名称），然后点击修改。

5. 在后端服务详情页面上，点击高级配置。

6. 对于会话亲和性，从菜单中选择所需的会话亲和性类型。

7. 点击更新。

gcloud

使用以下 gcloud 命令将 l7-xlb-backend-service 后端服务更新为不同类型的会话亲和性：

gcloud compute backend-services update l7-xlb-backend-service \
    --session-affinity=[GENERATED_COOKIE | HEADER_FIELD | HTTP_COOKIE | CLIENT_IP]
    --region=us-west1

API

如需设置会话亲和性，请向 regionBackendServices/patch 方法发出 PATCH 请求。

PATCH https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/us-west1/regionBackendServices/l7-xlb-backend-service
{
  "sessionAffinity": ["GENERATED_COOKIE" | "HEADER_FIELD" | "HTTP_COOKIE" | "CLIENT_IP" ]
}