設定具有 VM 執行個體群組後端的區域性外部應用程式負載平衡器

主控台

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下「建立虛擬私有雲網路」。

3. 在「Name」(名稱) 中輸入 lb-network。

4. 在「Subnets」(子網路) 區段中：

   • 將「Subnet creation mode」(子網路建立模式) 設為「Custom」(自訂)。
   • 在「New subnet」(新的子網路) 區段中，輸入以下資訊：
     • Name (名稱)：backend-subnet
     • Region (區域)：us-west1
     • IP address range (IP 位址範圍)：10.1.2.0/24
   • 按一下 [完成]。

5. 按一下 [建立]。

gcloud

1. 使用 gcloud compute networks create 指令建立自訂虛擬私有雲網路：

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. 使用 gcloud compute networks subnets create 指令，在 us-west1 地區的 lb-network 網路中建立子網路：

   gcloud compute networks subnets create backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-west1
   

Terraform

如要建立虛擬私人雲端網路，請使用 google_compute_network 資源。

resource "google_compute_network" "default" {
  name                    = "lb-network"
  auto_create_subnetworks = false
  routing_mode            = "REGIONAL"
}

如要在 lb-network 網路中建立 VPC 子網路，請使用 google_compute_subnetwork 資源。

resource "google_compute_subnetwork" "default" {
  name                       = "backend-subnet"
  ip_cidr_range              = "10.1.2.0/24"
  network                    = google_compute_network.default.id
  private_ipv6_google_access = "DISABLE_GOOGLE_ACCESS"
  purpose                    = "PRIVATE"
  region                     = "us-west1"
  stack_type                 = "IPV4_ONLY"
}

API

1. 向 networks.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks
   {
    "routingConfig": {
      "routingMode": "REGIONAL"
    },
    "name": "lb-network",
    "autoCreateSubnetworks": false
   }
   

2. 向 subnetworks.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks
   {
    "name": "backend-subnet",
    "network": "projects/PROJECT_ID/global/networks/lb-network",
    "ipCidrRange": "10.1.2.0/24",
    "region": "projects/PROJECT_ID/regions/us-west1",
   }
   

主控台

如果您使用的是 Google Cloud 控制台，也可以等之後再於「負載平衡」頁面中建立僅限 Proxy 的子網路。

如果您現在想建立僅限 Proxy 的子網路，請按照下列步驟操作：

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下虛擬私有雲網路名稱：lb-network。

3. 按一下 [新增子網路]。

4. 在「Name」(名稱) 中輸入 proxy-only-subnet。

5. 在「Region」(區域) 中選取 us-west1。

6. 將「用途」設為「區域受管理 Proxy」。

7. 在「IP address range」(IP 位址範圍) 中，輸入 10.129.0.0/23。

8. 按一下「新增」。

gcloud

使用 gcloud compute networks subnets create 指令，建立僅限 Proxy 的子網路。

gcloud compute networks subnets create proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-west1 \
  --network=lb-network \
  --range=10.129.0.0/23

Terraform

如要在 lb-network 網路中建立僅限 Proxy 的 VPC 子網路，請使用 google_compute_subnetwork 資源。

resource "google_compute_subnetwork" "proxy_only" {
  name          = "proxy-only-subnet"
  ip_cidr_range = "10.129.0.0/23"
  network       = google_compute_network.default.id
  purpose       = "REGIONAL_MANAGED_PROXY"
  region        = "us-west1"
  role          = "ACTIVE"
}

API

使用 subnetworks.insert 方法建立僅限 Proxy 的子網路，並將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks
{
  "name": "proxy-only-subnet",
  "ipCidrRange": "10.129.0.0/23",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "region": "projects/PROJECT_ID/regions/us-west1",
  "purpose": "REGIONAL_MANAGED_PROXY",
  "role": "ACTIVE"
}

主控台

1. 在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

   前往「防火牆規則」

2. 按一下「Create firewall rule」(建立防火牆規則)，建立允許Google Cloud 健康狀態檢查的規則：

   • Name (名稱)：fw-allow-health-check
   • Network (網路)：lb-network
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「允許」
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：load-balanced-backend
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：130.211.0.0/22 和 35.191.0.0/16
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」TCP核取方塊，然後輸入 80 做為「Port number」(通訊埠編號)。
       最佳做法是將這個規則限制為只允許與健康檢查所使用的通訊協定和通訊埠相符的通訊協定和通訊埠。如果您將 tcp:80 用於通訊協定和通訊埠， Google Cloud 可以使用通訊埠 80 的 HTTP 與 VM 聯絡，但無法使用通訊埠 443 的 HTTPS 與 VM 聯絡。

3. 按一下 [建立]。

4. 按一下「Create firewall rule」(建立防火牆規則)，建立允許負載平衡器 Proxy 伺服器連結後端的規則：

   • Name (名稱)：fw-allow-proxies
   • Network (網路)：lb-network
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「允許」
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：load-balanced-backend
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：10.129.0.0/23
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」TCP核取方塊，然後輸入 80, 443, 8080 做為「Port number」(通訊埠編號)。

5. 按一下 [建立]。

gcloud

1. 建立 fw-allow-health-check 規則，允許 Google Cloud健康狀態檢查。這個範例可允許來自健康狀態檢查探測器的所有 TCP 流量，但您可以根據自己的需求設定一組較少的通訊埠。

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --target-tags=load-balanced-backend \
       --rules=tcp
   

2. 建立 fw-allow-proxies 規則，允許區域性外部應用程式負載平衡器的 Proxy 連結後端。將 source-ranges 設為僅限 Proxy 子網路的已分配範圍，例如 10.129.0.0/23。

   gcloud compute firewall-rules create fw-allow-proxies \
     --network=lb-network \
     --action=allow \
     --direction=ingress \
     --source-ranges=source-range \
     --target-tags=load-balanced-backend \
     --rules=tcp:80,tcp:443,tcp:8080
   

Terraform

如要建立防火牆規則，請使用 google_compute_firewall 資源。

resource "google_compute_firewall" "default" {
  name = "fw-allow-health-check"
  allow {
    protocol = "tcp"
  }
  direction     = "INGRESS"
  network       = google_compute_network.default.id
  priority      = 1000
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
  target_tags   = ["load-balanced-backend"]
}

resource "google_compute_firewall" "allow_proxy" {
  name = "fw-allow-proxies"
  allow {
    ports    = ["443"]
    protocol = "tcp"
  }
  allow {
    ports    = ["80"]
    protocol = "tcp"
  }
  allow {
    ports    = ["8080"]
    protocol = "tcp"
  }
  direction     = "INGRESS"
  network       = google_compute_network.default.id
  priority      = 1000
  source_ranges = ["10.129.0.0/23"]
  target_tags   = ["load-balanced-backend"]
}

API

請向 firewalls.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立 fw-allow-health-check 防火牆規則。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls
{
  "name": "fw-allow-health-check",
  "network": "projects/PROJECT-ID/global/networks/lb-network",
  "sourceRanges": [
    "130.211.0.0/22",
    "35.191.0.0/16"
  ],
  "targetTags": [
    "load-balanced-backend"
  ],
  "allowed": [
    {
      "IPProtocol": "tcp"
    }
  ],
  "direction": "INGRESS"
}

建立 fw-allow-proxies 防火牆規則，允許 proxy 子網路中的 TCP 流量，適用於 firewalls.insert 方法，並將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls
{
  "name": "fw-allow-proxies",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "sourceRanges": [
    "10.129.0.0/23"
  ],
  "targetTags": [
    "load-balanced-backend"
  ],
  "allowed": [
    {
      "IPProtocol": "tcp",
      "ports": [
        "80"
      ]
    },
    {
      "IPProtocol": "tcp",
      "ports": [
        "443"
      ]
    },
    {
      "IPProtocol": "tcp",
      "ports": [
        "8080"
      ]
    }
  ],
  "direction": "INGRESS"
}

主控台

1. 建立執行個體範本。前往 Google Cloud 控制台的「Instance Templates」(執行個體範本) 頁面。

   前往「Instance templates」(執行個體範本) 頁面

   1. 點選「建立執行個體範本」。
   2. 在「Name」(名稱) 中輸入 l7-xlb-backend-template。
   3. 確認「開機磁碟」已設為 Debian 映像檔，例如「Debian GNU/Linux 12 (bookworm)」。這些操作說明使用僅在 Debian 上可用的指令，例如 apt-get。
   4. 點選「進階選項」。
   5. 按一下「網路」，然後設定下列欄位：
      1. 在「網路標記」中輸入 load-balanced-backend。
      2. 在「網路介面」中，選取下列項目：
         • Network (網路)：lb-network
         • Subnet (子網路)：backend-subnet

   6. 按一下 [Management] (管理)。在「Startup script」(開機指令碼) 欄位中輸入下列指令碼。

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. 按一下 [建立]。

2. 建立代管執行個體群組。前往 Google Cloud 控制台的「Instance groups」(執行個體群組) 頁面。

   前往「Instance groups」(執行個體群組)

   1. 點選「建立執行個體群組」。
   2. 選取「New managed instance group (stateless)」(新增代管執行個體群組 (無狀態))。詳情請參閱「無狀態或有狀態的 MIG」。
   3. 在「Name」(名稱) 中輸入 l7-xlb-backend-example。
   4. 在「Location」(位置) 中，選取「Single zone」(單一可用區)。
   5. 在「Region」(區域) 中選取 us-west1。
   6. 在「Zone」(區域) 中選取 us-west1-a。
   7. 在「Instance template」(執行個體範本) 中選取 l7-xlb-backend-template。

   8. 針對「Autoscaling mode」(自動調度資源模式)，選取「On: add and remove instances to the group」(開啟：在群組中新增和移除執行個體)。

      將「Minimum number of instances」(執行個體數量下限) 設為 2，並將「Maximum number of instances」(執行個體數量上限) 設為 2 以上。

   9. 按一下 [建立]。

gcloud

本指南的 gcloud 操作說明假設您使用 Cloud Shell 或已安裝 bash 的其他環境。

1. 使用 gcloud compute instance-templates create 指令，建立含有 HTTP 伺服器的 VM 執行個體範本。

   gcloud compute instance-templates create l7-xlb-backend-template \
   --region=us-west1 \
   --network=lb-network \
   --subnet=backend-subnet \
   --tags=load-balanced-backend \
   --image-family=debian-12 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2'
   

2. 使用 gcloud compute instance-groups managed create 指令，在區域中建立代管執行個體群組。

   gcloud compute instance-groups managed create l7-xlb-backend-example \
       --zone=us-west1-a \
       --size=2 \
       --template=l7-xlb-backend-template
   

Terraform

如要建立執行個體範本，請使用 google_compute_instance_template 資源。

resource "google_compute_instance_template" "default" {
  name = "l7-xlb-backend-template"
  disk {
    auto_delete  = true
    boot         = true
    device_name  = "persistent-disk-0"
    mode         = "READ_WRITE"
    source_image = "projects/debian-cloud/global/images/family/debian-12"
    type         = "PERSISTENT"
  }
  labels = {
    managed-by-cnrm = "true"
  }
  machine_type = "n1-standard-1"
  metadata = {
    startup-script = <<EOF
    #! /bin/bash
    sudo apt-get update
    sudo apt-get install apache2 -y
    sudo a2ensite default-ssl
    sudo a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://169.254.169.254/computeMetadata/v1/instance/name)"
    sudo echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    sudo systemctl restart apache2
    EOF
  }
  network_interface {
    access_config {
      network_tier = "PREMIUM"
    }
    network    = google_compute_network.default.id
    subnetwork = google_compute_subnetwork.default.id
  }
  region = "us-west1"
  scheduling {
    automatic_restart   = true
    on_host_maintenance = "MIGRATE"
    provisioning_model  = "STANDARD"
  }
  service_account {
    email  = "default"
    scopes = ["https://www.googleapis.com/auth/devstorage.read_only", "https://www.googleapis.com/auth/logging.write", "https://www.googleapis.com/auth/monitoring.write", "https://www.googleapis.com/auth/pubsub", "https://www.googleapis.com/auth/service.management.readonly", "https://www.googleapis.com/auth/servicecontrol", "https://www.googleapis.com/auth/trace.append"]
  }
  tags = ["load-balanced-backend"]
}

如要建立代管執行個體群組，請使用 google_compute_instance_group_manager 資源。

resource "google_compute_instance_group_manager" "default" {
  name = "l7-xlb-backend-example"
  zone = "us-west1-a"
  named_port {
    name = "http"
    port = 80
  }
  version {
    instance_template = google_compute_instance_template.default.id
    name              = "primary"
  }
  base_instance_name = "vm"
  target_size        = 2
}

API

1. 使用 instanceTemplates.insert 方法建立執行個體範本，並將 PROJECT_ID 替換為您的專案 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/instanceTemplates
   {
    "name":"l7-xlb-backend-template",
    "properties": {
      "machineType":"e2-standard-2",
      "tags": {
        "items":[
          "load-balanced-backend"
        ]
      },
      "metadata": {
        "kind":"compute#metadata",
        "items":[
          {
            "key":"startup-script",
            "value":"#! /bin/bash\napt-get update\napt-get install apache2 -y\na2ensite default-ssl\na2enmod ssl\nvm_hostname=\"$(curl -H \"Metadata-Flavor:Google\" \\\nhttp://metadata.google.internal/computeMetadata/v1/instance/name)\"\necho \"Page served from: $vm_hostname\" | \\\ntee /var/www/html/index.html\nsystemctl restart apache2"
          }
        ]
      },
      "networkInterfaces":[
        {
          "network":"projects/PROJECT_ID/global/networks/lb-network",
          "subnetwork":"regions/us-west1/subnetworks/backend-subnet",
          "accessConfigs":[
            {
              "type":"ONE_TO_ONE_NAT"
            }
          ]
        }
      ],
      "disks": [
        {
          "index":0,
          "boot":true,
          "initializeParams": {
            "sourceImage":"projects/debian-cloud/global/images/family/debian-12"
          },
          "autoDelete":true
        }
      ]
    }
   }
   

2. 使用 instanceGroupManagers.insert 方法，在每個區域中建立受管理的執行個體群組，並將 PROJECT_ID 替換為您的專案 ID。

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers
   {
    "name": "l7-xlb-backend-example",
    "zone": "projects/PROJECT_ID/zones/us-west1-a",
    "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/l7-xlb-backend-template",
    "baseInstanceName": "l7-xlb-backend-example",
    "targetSize": 2
   }
   

主控台

1. 前往 Google Cloud 控制台的「Instance groups」(執行個體群組) 頁面。

   前往「Instance groups」(執行個體群組)

2. 按一下執行個體群組的名稱 (本例為 l7-xlb-backend-example)。

3. 在執行個體群組的「總覽」頁面上，按一下「編輯」圖示 edit。

4. 按一下 [Specify port name mapping] (指定通訊埠名稱對應)。

5. 按一下 [新增項目]。

6. 在「Port name」(通訊埠名稱) 中輸入 http。在「Port number」(通訊埠編號) 中輸入 80。

7. 按一下 [儲存]。

gcloud

使用 gcloud compute instance-groups set-named-ports 指令。

gcloud compute instance-groups set-named-ports l7-xlb-backend-example \
    --named-ports http:80 \
    --zone us-west1-a

Terraform

代管執行個體群組範例包含 named_port 屬性。

主控台

1. 在 Google Cloud 控制台，前往「Reserve a static address」(預約靜態位址) 頁面。

   前往「保留靜態位址」

2. 為新地址選擇「名稱」。

3. 在「Network Service Tier」中，選取「Standard」。

4. 在「IP 版本」部分，選取「IPv4」。IPv6 位址只限通用位址，且只適用於全球負載平衡器。

5. 在「Type」(類型) 中，選取「Regional」(區域)。

6. 在「Region」(地區) 中，選取 us-west1。

7. 將「Attached to」(連接至) 選項設為「None」(無)。建立負載平衡器後，這個 IP 位址就會附加至負載平衡器的轉送規則。

8. 按一下「保留」，即可預留 IP 位址。

gcloud

1. 如要使用 gcloud compute 保留靜態外部 IP 位址，請使用 compute addresses create 指令。

   gcloud compute addresses create ADDRESS_NAME  \
      --region=us-west1 \
      --network-tier=STANDARD
   

   更改下列內容：

   • ADDRESS_NAME：您要稱呼此位址的名稱。
   • REGION：您要保留這個位址的地區。此區域應與負載平衡器位於相同區域。所有區域 IP 位址都是 IPv4。

2. 使用 compute addresses describe 指令查看結果：

   gcloud compute addresses describe ADDRESS_NAME
   

Terraform

如要預留 IP 位址，請使用 google_compute_address 資源。

resource "google_compute_address" "default" {
  name         = "address-name"
  address_type = "EXTERNAL"
  network_tier = "STANDARD"
  region       = "us-west1"
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

API

如要建立地區 IPv4 位址，請呼叫地區 addresses.insert 方法：

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

要求內容應包含以下程式碼：

{
  "name": "ADDRESS_NAME"
  "networkTier": "STANDARD"
  "region": "us-west1"
}

更改下列內容：

• ADDRESS_NAME：地址名稱
• REGION：這項要求的區域名稱
• PROJECT_ID：這項要求的專案 ID

主控台

開始設定

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「Load balancing」(負載平衡) 頁面

2. 點選「建立負載平衡器」。
3. 在「Type of load balancer」(負載平衡器類型)部分，選取「Application Load Balancer (HTTP/HTTPS)」(應用程式負載平衡器 (HTTP/HTTPS))，然後點選「Next」(下一步)。
4. 在「公開或內部」部分，選取「公開 (外部)」，然後點選「下一步」。
5. 在「全域或單一區域部署」部分，選取「最適合區域工作負載」，然後點選「Next」。
6. 按一下 [設定]。

基本設定

1. 在負載平衡器的名稱中輸入 regional-l7-xlb。
2. 在「Region」(區域) 中選取 us-west1。
3. 在「Network」(網路) 中選取 lb-network。

保留僅限 Proxy 的子網路

如果是區域性外部應用程式負載平衡器，請保留 Proxy 專用子網路：

1. 按一下「保留子網路」。
2. 在「Name」(名稱) 中輸入 proxy-only-subnet。
3. 在「IP address range」(IP 位址範圍) 中，輸入 10.129.0.0/23。
4. 按一下「新增」。

設定前端

針對 HTTP：

1. 按一下「前端設定」。
2. 將「Name」(名稱) 設定為 l7-xlb-forwarding-rule。
3. 將「Protocol」(通訊協定) 設為 HTTP。
4. 將「Network service tier」(網路服務級別) 設為「Standard」(標準)。
5. 將「Port」(通訊埠) 設為 80。
6. 選取您在「保留負載平衡器的 IP 位址」中建立的 IP 位址。
7. 按一下 [完成]。

針對 HTTPS：

1. 按一下「前端設定」。
2. 在「Name」(名稱) 欄位中輸入 l7-xlb-forwarding-rule。
3. 在「Protocol」欄位中選取 HTTPS (includes HTTP/2)。
4. 將「Network service tier」(網路服務級別) 設為「Standard」(標準)。
5. 確認「Port」(通訊埠) 已設為 443。
6. 選取您在「保留負載平衡器的 IP 位址」中建立的 IP 位址。
7. 在「Certificate」清單中，執行下列操作：
   1. 如果您已擁有 Compute Engine 自行管理的 SSL 憑證資源，請選取主要 SSL 憑證。
   2. 按一下「建立新憑證」。
      1. 在「Name」(名稱) 欄位中輸入 l7-xlb-cert。
      2. 在適當的欄位中上傳 PEM 格式的檔案：
         • 認證
         • 私密金鑰
      3. 按一下 [建立]。
8. 選用：如要新增主要安全資料傳輸層 (SSL) 憑證以外的憑證，請按照下列指示操作：
   1. 按一下「新增憑證」。
   2. 如果您已擁有憑證，請從「憑證」清單中選取。
   3. 選用：按一下「Create a new certificate」，然後按照先前步驟中的指示操作。

9. 從「SSL policy」清單中選取 SSL 政策。如要建立 SSL 政策，請視需要執行下列操作：

   1. 在「SSL policy」(安全資料傳輸層 (SSL) 政策) 清單中，選取「Create a policy」(建立政策)。
   2. 輸入 SSL 政策的名稱。
   3. 選取最低 TLS 版本。預設值為 TLS 1.0。
   4. 選取預先設定的 Google 代管設定檔，或選取「自訂」設定檔，以便個別選取 SSL 功能。接著，系統會顯示「已啟用的功能」和「已停用的功能」。
   5. 按一下 [儲存]。

   如果您尚未建立任何 SSL 政策，系統會套用預設 Google Cloud SSL 政策。

10. 按一下 [完成]。

設定後端服務

1. 按一下「後端設定」。
2. 在「Create or select backend services」(建立或選取後端服務) 選單中，選取 [Create a backend service] (建立後端服務)。
3. 將後端服務的名稱設為 l7-xlb-backend-service。
4. 在「通訊協定」部分選取「HTTP」。
5. 在「Named Port」(已命名的通訊埠) 中輸入 http。
6. 將「後端類型」(Backend type) 設為「Instance group」(執行個體群組)。
7. 在「New backend」部分中：
   1. 將「Instance group」(執行個體群組) 設為 l7-xlb-backend-example。
   2. 將「Port numbers」(通訊埠編號) 設為 80。
   3. 將「Balancing mode」(平衡模式) 設為「Utilization」(使用率)。
   4. 按一下 [完成]。
8. 在「Health check」(健康狀態檢查) 清單中，按一下「Create a health check」(建立健康狀態檢查)。
   1. 將「Name」(名稱) 設定為 l7-xlb-basic-check。
   2. 將「Protocol」(通訊協定) 設為 HTTP。
   3. 將「Port」(通訊埠) 設為 80。
   4. 按一下 [儲存]。
9. 按一下 [建立]。

設定轉送規則

1. 按一下「轉送規則」。
2. 針對「Mode」，請選取「Simple host and path rule」。
3. 確保 l7-xlb-backend-service 是任何不相符主機和路徑的唯一後端服務。

檢查設定

1. 按一下「檢查並完成」。
2. 查看負載平衡器設定。
3. 選用：按一下「等效程式碼」，查看用來建立負載平衡器的 REST API 要求。
4. 按一下 [建立]。

gcloud

1. 使用 gcloud compute health-checks create http 指令定義 HTTP 健康狀態檢查。

   gcloud compute health-checks create http l7-xlb-basic-check \
      --region=us-west1 \
      --request-path='/' \
      --use-serving-port
   

2. 使用 gcloud compute backend-services create 指令定義後端服務。

   gcloud compute backend-services create l7-xlb-backend-service \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --protocol=HTTP \
     --port-name=http \
     --health-checks=l7-xlb-basic-check \
     --health-checks-region=us-west1 \
     --region=us-west1
   

3. 使用 gcloud compute backend-services add-backend 指令，將後端新增到後端服務。

   gcloud compute backend-services add-backend l7-xlb-backend-service \
     --balancing-mode=UTILIZATION \
     --instance-group=l7-xlb-backend-example \
     --instance-group-zone=us-west1-a \
     --region=us-west1
   

4. 使用 gcloud compute url-maps create 指令建立網址對應。

   gcloud compute url-maps create regional-l7-xlb-map \
     --default-service=l7-xlb-backend-service \
     --region=us-west1
   

5. 建立目標 Proxy。

   HTTP：

   針對 HTTP 負載平衡器，請使用 gcloud compute target-http-proxies create 指令建立目標 Proxy。

   gcloud compute target-http-proxies create l7-xlb-proxy \
     --url-map=regional-l7-xlb-map \
     --url-map-region=us-west1 \
     --region=us-west1
   

   適用於 HTTPS：

   您可以建立 Compute Engine 或憑證管理工具憑證。請使用下列任一方法，透過憑證管理工具建立憑證：

   • 區域性自行管理憑證。如要進一步瞭解如何建立及使用區域性自行管理憑證，請參閱「部署區域性自行管理憑證」一文。不支援憑證對應。

   • 區域性 Google 代管憑證。不支援憑證對應。

     Certificate Manager 支援下列類型的區域性 Google 代管憑證：

     • 區域性 Google 代管憑證，並針對每個專案授權 DNS 存取權。詳情請參閱「部署區域性 Google 代管憑證」。
     • 區域性 Google 代管 (私人) 憑證 (搭配憑證授權單位服務)。 詳情請參閱「透過 CA 服務部署區域性 Google 代管憑證」。

   建立憑證後，請直接將憑證附加至目標 Proxy。

   1. 將檔案路徑指派給變數名稱。

      export LB_CERT=path to PEM-formatted file
      

      export LB_PRIVATE_KEY=path to PEM-formatted file
      

   2. 使用 gcloud compute ssl-certificates create 指令建立地區 SSL 憑證。

      gcloud compute ssl-certificates create l7-xlb-cert \
       --certificate=$LB_CERT \
       --private-key=$LB_PRIVATE_KEY \
       --region=us-west1
      

   3. 使用地區 SSL 憑證，搭配 gcloud compute target-https-proxies create 指令建立目標 Proxy。

      gcloud compute target-https-proxies create l7-xlb-proxy \
       --url-map=regional-l7-xlb-map \
       --region=us-west1 \
       --ssl-certificates=l7-xlb-cert
      

6. 建立轉寄規則。

   HTTP：

   使用 gcloud compute forwarding-rules create 指令並加上正確的旗標。

   gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network-tier=STANDARD \
     --network=lb-network \
     --address=ADDRESS_NAME \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=l7-xlb-proxy \
     --target-http-proxy-region=us-west1
   

   適用於 HTTPS：

   使用 gcloud compute forwarding-rules create 指令搭配正確的旗標建立轉送規則。

   gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network-tier=STANDARD \
     --network=lb-network \
     --address=ADDRESS_NAME \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=l7-xlb-proxy \
     --target-https-proxy-region=us-west1
   

Terraform

如要建立健康狀態檢查，請使用 google_compute_region_health_check 資源。

resource "google_compute_region_health_check" "default" {
  name               = "l7-xlb-basic-check"
  check_interval_sec = 5
  healthy_threshold  = 2
  http_health_check {
    port_specification = "USE_SERVING_PORT"
    proxy_header       = "NONE"
    request_path       = "/"
  }
  region              = "us-west1"
  timeout_sec         = 5
  unhealthy_threshold = 2
}

如要建立後端服務，請使用 google_compute_region_backend_service 資源。

resource "google_compute_region_backend_service" "default" {
  name                  = "l7-xlb-backend-service"
  region                = "us-west1"
  load_balancing_scheme = "EXTERNAL_MANAGED"
  health_checks         = [google_compute_region_health_check.default.id]
  protocol              = "HTTP"
  session_affinity      = "NONE"
  timeout_sec           = 30
  backend {
    group           = google_compute_instance_group_manager.default.instance_group
    balancing_mode  = "UTILIZATION"
    capacity_scaler = 1.0
  }
}

如要建立網址對應，請使用 google_compute_region_url_map 資源。

resource "google_compute_region_url_map" "default" {
  name            = "regional-l7-xlb-map"
  region          = "us-west1"
  default_service = google_compute_region_backend_service.default.id
}

如要建立目標 HTTP Proxy，請使用 google_compute_region_target_http_proxy 資源。

resource "google_compute_region_target_http_proxy" "default" {
  name    = "l7-xlb-proxy"
  region  = "us-west1"
  url_map = google_compute_region_url_map.default.id
}

如要建立轉送規則，請使用 google_compute_forwarding_rule 資源。

resource "google_compute_forwarding_rule" "default" {
  name       = "l7-xlb-forwarding-rule"
  provider   = google-beta
  depends_on = [google_compute_subnetwork.proxy_only]
  region     = "us-west1"

  ip_protocol           = "TCP"
  load_balancing_scheme = "EXTERNAL_MANAGED"
  port_range            = "80"
  target                = google_compute_region_target_http_proxy.default.id
  network               = google_compute_network.default.id
  ip_address            = google_compute_address.default.id
  network_tier          = "STANDARD"
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

API

請向 regionHealthChecks.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立健康狀態檢查。

POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/{region}/healthChecks
{
  "name": "l7-xlb-basic-check",
  "type": "HTTP",
  "httpHealthCheck": {
    "portSpecification": "USE_SERVING_PORT"
  }
}

請對 regionBackendServices.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立區域後端服務。

POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices
{
  "name": "l7-xlb-backend-service",
  "backends": [
    {
      "group": "projects/<var>PROJECT_ID</var>/zones/us-west1-a/instanceGroups/l7-xlb-backend-example",
      "balancingMode": "UTILIZATION"
    }
  ],
  "healthChecks": [
    "projects/<var>PROJECT_ID</var>/regions/us-west1/healthChecks/l7-xlb-basic-check"
  ],
  "loadBalancingScheme": "EXTERNAL_MANAGED"
}

對 regionUrlMaps.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立網址對應。

POST https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/us-west1/urlMaps
{
  "name": "regional-l7-xlb-map",
  "defaultService": "projects/<var>PROJECT_ID</var>/regions/us-west1/backendServices/l7-xlb-backend-service"
}

請對 regionTargetHttpProxies.insert 方法提出 POST 要求，並將 PROJECT_ID 取代為您的專案 ID，藉此建立目標 HTTP Proxy。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/targetHttpProxy
{
  "name": "l7-xlb-proxy",
  "urlMap": "projects/PROJECT_ID/global/urlMaps/regional-l7-xlb-map",
  "region": "us-west1"
}

請對 forwardingRules.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立轉送規則。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/us-west1/forwardingRules
{
  "name": "l7-xlb-forwarding-rule",
  "IPAddress": "10.1.2.99",
  "IPProtocol": "TCP",
  "portRange": "80-80",
  "target": "projects/PROJECT_ID/regions/us-west1/targetHttpProxies/l7-xlb-proxy",
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "networkTier": "STANDARD",
}

主控台

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「Load balancing」(負載平衡) 頁面

2. 選取剛剛建立的負載平衡器。
3. 在「Backend」(後端) 區段中，確認 VM 健康狀態良好。「Healthy」欄應已填妥，顯示兩個 VM 的健康狀態均良好 (2/2)。如有其他情況，請先嘗試重新載入頁面。 Google Cloud 主控台可能需要一些時間才會顯示 VM 的健康狀態良好。如果幾分鐘後，後端仍未顯示為健康，請檢查指派到您後端 VM 的防火牆設定與網路標記設定。
4. 在 Google Cloud 主控台顯示後端執行個體健康後，您可以前往 https://IP_ADDRESS (或 http://IP_ADDRESS)，使用網路瀏覽器測試負載平衡器。請將 IP_ADDRESS 替換為負載平衡器的 IP 位址。
5. 如果您使用自行簽署的憑證測試 HTTPS，瀏覽器會顯示警告。您必須明確指示瀏覽器接受自行簽署的憑證。
6. 瀏覽器應會顯示頁面，並於其中列出提供該頁面的執行個體名稱及所屬可用區 (例如 Page served from: lb-backend-example-xxxx)。如果您的瀏覽器無法顯示這個頁面，請檢查本指南中的設定。

gcloud

請注意預留的 IPv4 位址：

gcloud beta compute addresses describe ADDRESS_NAME \
    --format="get(address)" \
    --region="us-west1"

您可以前往 https://IP_ADDRESS (或 http://IP_ADDRESS)，透過網路瀏覽器測試負載平衡器。請將 IP_ADDRESS 替換為負載平衡器的 IP 位址。

如果您使用自行簽署的憑證測試 HTTPS，瀏覽器會顯示警告。您必須明確指示瀏覽器接受自行簽署的憑證。

瀏覽器應會顯示含有後端執行個體最少資訊的頁面。如果您的瀏覽器無法顯示這個頁面，請參閱本指南中的設定說明。

主控台

如要為後端服務啟用或變更工作階段相依性，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「負載平衡」

2. 選取剛剛建立的負載平衡器。

3. 點選「後端」。

4. 按一下「l7-xlb-backend-service」 (您為本範例建立的後端服務名稱)，然後按一下「Edit」。

5. 在「後端服務詳細資料」頁面中，按一下「進階設定」。

6. 如要設定「工作階段相依性」，請從選單中選取所需的工作階段相依性類型。

7. 按一下「更新」。

gcloud

使用下列指令，將 l7-xlb-backend-service 後端服務更新為不同類型的工作階段相依性：

gcloud compute backend-services update l7-xlb-backend-service \
    --session-affinity=GENERATED_COOKIE | HEADER_FIELD | HTTP_COOKIE | CLIENT_IP
    --region=us-west1

API

如要設定工作階段相依性，請對 regionBackendServices/patch 方法發出 PATCH 要求。

PATCH https://compute.googleapis.com/compute/v1/projects/<var>PROJECT_ID</var>/regions/us-west1/regionBackendServices/l7-xlb-backend-service
{
  "sessionAffinity": <var>"GENERATED_COOKIE" | "HEADER_FIELD" | "HTTP_COOKIE" | "CLIENT_IP"</var>
}