使用 VM 執行個體群組後端設定跨區域內部應用程式負載平衡器

主控台

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下「建立虛擬私有雲網路」。

3. 提供網路的「名稱」。

4. 在「子網路」部分，將「子網路建立模式」設為「自訂」。

5. 為負載平衡器的後端建立子網路。在「New subnet」(新的子網路) 區段中，輸入以下資訊：

   • 提供這個子網路的 [Name] (名稱)。
   • 選取「區域」：REGION_A
   • 輸入「IP 位址範圍」：10.1.2.0/24

6. 按一下 [完成]。

7. 按一下 [新增子網路]。

8. 為負載平衡器的後端建立子網路。在「New subnet」(新的子網路) 區段中，輸入以下資訊：

   • 提供這個子網路的 [Name] (名稱)。
   • 選取「區域」：REGION_B
   • 輸入「IP 位址範圍」：10.1.3.0/24

9. 按一下 [完成]。

10. 按一下 [建立]。

gcloud

1. 使用 gcloud compute networks create 指令建立自訂虛擬私有雲網路：

   gcloud compute networks create NETWORK \
       --subnet-mode=custom
   

2. 使用 gcloud compute networks subnets create 指令，在 REGION_A 地區的 NETWORK 網路中建立子網路：

   gcloud compute networks subnets create SUBNET_A \
       --network=NETWORK \
       --range=10.1.2.0/24 \
       --region=REGION_A
   

3. 使用 gcloud compute networks subnets create 指令，在 REGION_B 地區的 NETWORK 網路中建立子網路：

   gcloud compute networks subnets create SUBNET_B \
       --network=NETWORK \
       --range=10.1.3.0/24 \
       --region=REGION_B
   

Terraform

如要建立虛擬私有雲網路，請使用 google_compute_network 資源。

resource "google_compute_network" "default" {
  auto_create_subnetworks = false
  name                    = "lb-network-crs-reg"
  provider                = google-beta
}

如要在 lb-network-crs-reg 網路中建立 VPC 子網路，請使用 google_compute_subnetwork 資源。

resource "google_compute_subnetwork" "subnet_a" {
  provider      = google-beta
  ip_cidr_range = "10.1.2.0/24"
  name          = "lbsubnet-uswest1"
  network       = google_compute_network.default.id
  region        = "us-west1"
}

resource "google_compute_subnetwork" "subnet_b" {
  provider      = google-beta
  ip_cidr_range = "10.1.3.0/24"
  name          = "lbsubnet-useast1"
  network       = google_compute_network.default.id
  region        = "us-east1"
}

API

對 networks.insert 方法提出 POST 要求。將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks

{
 "routingConfig": {
   "routingMode": "regional"
 },
 "name": "NETWORK",
 "autoCreateSubnetworks": false
}

對 subnetworks.insert 方法提出 POST 要求。將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_A/subnetworks

{
 "name": "SUBNET_A",
 "network": "projects/PROJECT_ID/global/networks/lb-network-crs-reg",
 "ipCidrRange": "10.1.2.0/24",
 "region": "projects/PROJECT_ID/regions/REGION_A",
}

對 subnetworks.insert 方法提出 POST 要求。將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_B/subnetworks

{
 "name": "SUBNET_B",
 "network": "projects/PROJECT_ID/global/networks/NETWORK",
 "ipCidrRange": "10.1.3.0/24",
 "region": "projects/PROJECT_ID/regions/REGION_B",
}

主控台

1. 在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

   前往「防火牆政策」

2. 按一下「Create firewall rule」(建立防火牆規則)，建立允許連入 SSH 連線的規則：

   • Name (名稱)：fw-ilb-to-backends
   • Network (網路)：NETWORK
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「Allow」(允許)
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：allow-ssh
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：0.0.0.0/0
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」核取方塊，然後輸入 22 做為「Port number」(通訊埠編號)。

3. 按一下 [建立]。

4. 再次按一下「Create firewall rule」(建立防火牆規則)，建立允許Google Cloud 健康狀態檢查的規則：

   • Name (名稱)：fw-healthcheck
   • Network (網路)：NETWORK
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「Allow」(允許)
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：load-balanced-backend
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：130.211.0.0/22 和 35.191.0.0/16

   • 通訊協定和通訊埠：

     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」核取方塊，然後輸入 80 做為「Port number」(通訊埠編號)。

     最佳做法是將此規則限制為僅適用於與健康檢查所用通訊協定和通訊埠相符的項目。如果您將 tcp:80 用於通訊協定和通訊埠， Google Cloud 可以使用通訊埠 80 的 HTTP 與 VM 聯絡，但無法使用通訊埠 443 的 HTTPS 與 VM 聯絡。

5. 按一下 [建立]。

6. 第三次按一下「Create firewall rule」(建立防火牆規則)，以建立允許負載平衡器 Proxy 伺服器連結後端的規則：

   • Name (名稱)：fw-backends
   • Network (網路)：NETWORK
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「Allow」(允許)
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：load-balanced-backend
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：10.129.0.0/23 和 10.130.0.0/23
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」TCP核取方塊，然後輸入 80, 443, 8080 做為「Port number」(通訊埠編號)。

7. 按一下 [建立]。

gcloud

1. 建立 fw-ilb-to-backends 防火牆規則，允許與具有 allow-ssh 網路標記的 VM 建立 SSH 連線。若省略 source-ranges，Google Cloud 會將規則解讀為任何來源。

   gcloud compute firewall-rules create fw-ilb-to-backends \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

2. 建立 fw-healthcheck 規則，允許 Google Cloud健康狀態檢查。這個範例可允許來自健康狀態檢查探測器的所有 TCP 流量，但您可以根據自己的需求設定一組較少的通訊埠。

   gcloud compute firewall-rules create fw-healthcheck \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --target-tags=load-balanced-backend \
       --rules=tcp
   

3. 建立 fw-backends 規則，允許內部應用程式負載平衡器的 Proxy 連結後端。將 source-ranges 設為僅限 Proxy 子網路的已分配範圍，例如 10.129.0.0/23 和 10.130.0.0/23。

   gcloud compute firewall-rules create fw-backends \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --source-ranges=source-range \
       --target-tags=load-balanced-backend \
       --rules=tcp:80,tcp:443,tcp:8080
   

Terraform

如要建立防火牆規則，請使用 google_compute_firewall 資源。

resource "google_compute_firewall" "fw_healthcheck" {
  name          = "gl7-ilb-fw-allow-hc"
  provider      = google-beta
  direction     = "INGRESS"
  network       = google_compute_network.default.id
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16", "35.235.240.0/20"]
  allow {
    protocol = "tcp"
  }
}

resource "google_compute_firewall" "fw_ilb_to_backends" {
  name          = "fw-ilb-to-fw"
  provider      = google-beta
  network       = google_compute_network.default.id
  source_ranges = ["0.0.0.0/0"]
  allow {
    protocol = "tcp"
    ports    = ["22", "80", "443", "8080"]
  }
}

resource "google_compute_firewall" "fw_backends" {
  name          = "gl7-ilb-fw-allow-ilb-to-backends"
  direction     = "INGRESS"
  network       = google_compute_network.default.id
  source_ranges = ["10.129.0.0/23", "10.130.0.0/23"]
  target_tags   = ["http-server"]
  allow {
    protocol = "tcp"
    ports    = ["80", "443", "8080"]
  }
}

API

請向 firewalls.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立 fw-ilb-to-backends 防火牆規則。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-ilb-to-backends",
 "network": "projects/PROJECT_ID/global/networks/NETWORK",
 "sourceRanges": [
   "0.0.0.0/0"
 ],
 "targetTags": [
   "allow-ssh"
 ],
 "allowed": [
  {
    "IPProtocol": "tcp",
    "ports": [
      "22"
    ]
  }
 ],
"direction": "INGRESS"
}

請向 firewalls.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立 fw-healthcheck 防火牆規則。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-healthcheck",
 "network": "projects/PROJECT_ID/global/networks/NETWORK",
 "sourceRanges": [
   "130.211.0.0/22",
   "35.191.0.0/16"
 ],
 "targetTags": [
   "load-balanced-backend"
 ],
 "allowed": [
   {
     "IPProtocol": "tcp"
   }
 ],
 "direction": "INGRESS"
}

建立 fw-backends 防火牆規則，允許代理子網路中的 TCP 流量，適用於 firewalls.insert 方法，並將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-backends",
 "network": "projects/PROJECT_ID/global/networks/NETWORK",
 "sourceRanges": [
   "10.129.0.0/23",
   "10.130.0.0/23"
 ],
 "targetTags": [
   "load-balanced-backend"
 ],
 "allowed": [
   {
     "IPProtocol": "tcp",
     "ports": [
       "80"
     ]
   },
 {
     "IPProtocol": "tcp",
     "ports": [
       "443"
     ]
   },
   {
     "IPProtocol": "tcp",
     "ports": [
       "8080"
     ]
   }
 ],
 "direction": "INGRESS"
}

主控台

1. 在 Google Cloud 控制台中，前往「Instance templates」(執行個體範本) 頁面。

   前往「Instance templates」(執行個體範本) 頁面

   1. 點選「建立執行個體範本」。
   2. 在「Name」(名稱) 中輸入 gil7-backendeast1-template。
   3. 確認「開機磁碟」已設為 Debian 映像檔，例如「Debian GNU/Linux 12 (bookworm)」。這些操作說明使用僅在 Debian 上可用的指令，例如 apt-get。
   4. 點選「進階選項」。
   5. 按一下「網路」，然後設定下列欄位：
      1. 在「Network tags」(網路標記) 中輸入 allow-ssh 和 load-balanced-backend。
      2. 在「網路介面」中，選取下列項目：
         • Network (網路)：NETWORK
         • Subnet (子網路)：SUBNET_B

   6. 按一下 [Management] (管理)。在「Startup script」(開機指令碼) 欄位中輸入下列指令碼。

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://169.254.169.254/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. 按一下 [建立]。

   8. 點選「建立執行個體範本」。

   9. 在「Name」(名稱) 中輸入 gil7-backendwest1-template。

   10. 確認「開機磁碟」已設為 Debian 映像檔，例如「Debian GNU/Linux 12 (bookworm)」。這些操作說明使用僅在 Debian 上可用的指令，例如 apt-get。

   11. 點選「進階選項」。

   12. 按一下「網路」，然後設定下列欄位：

       1. 在「Network tags」(網路標記) 中輸入 allow-ssh 和 load-balanced-backend。
       2. 在「網路介面」中，選取下列項目：
          • Network (網路)：NETWORK
          • Subnet (子網路)：SUBNET_A

   13. 按一下 [Management] (管理)。在「Startup script」(開機指令碼) 欄位中輸入下列指令碼。

       #! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://169.254.169.254/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2
       

   14. 按一下 [建立]。

2. 前往 Google Cloud 控制台的「Instance groups」(執行個體群組) 頁面。

   前往「Instance groups」(執行個體群組)

   1. 點選「建立執行個體群組」。
   2. 選取「New managed instance group (stateless)」(新增代管執行個體群組 (無狀態))。詳情請參閱「無狀態或有狀態的 MIG」。
   3. 在「Name」(名稱) 中輸入 gl7-ilb-mig-a。
   4. 在「Location」(位置) 中，選取「Single zone」(單一可用區)。
   5. 在「Region」(區域) 中選取 REGION_A。
   6. 在「Zone」(區域) 中選取 ZONE_A。
   7. 在「Instance template」(執行個體範本) 中選取 gil7-backendwest1-template。

   8. 指定要在群組中建立的執行個體數量。

      在本例中，請在「Autoscaling」(自動調度資源) 下指定下列選項：

      • 針對「Autoscaling mode」(自動調度資源模式)，選取 Off:do not autoscale。
      • 在「Maximum number of instances」(執行個體數量上限) 中輸入 2。

      您也可以根據需要，在 UI 的「Autoscaling」(自動調度資源) 區段中，將執行個體群組設為根據執行個體 CPU 使用量自動新增或移除執行個體。

   9. 按一下 [建立]。

   10. 點選「建立執行個體群組」。

   11. 選取「New managed instance group (stateless)」(新增代管執行個體群組 (無狀態))。詳情請參閱「無狀態或有狀態的 MIG」。

   12. 在「Name」(名稱) 中輸入 gl7-ilb-mig-b。

   13. 在「Location」(位置) 中，選取「Single zone」(單一可用區)。

   14. 在「Region」(區域) 中選取 REGION_B。

   15. 在「Zone」(區域) 中選取 ZONE_B。

   16. 在「Instance template」(執行個體範本) 中選取 gil7-backendeast1-template。

   17. 指定要在群組中建立的執行個體數量。

       在本例中，請在「Autoscaling」(自動調度資源) 下指定下列選項：

       • 針對「Autoscaling mode」(自動調度資源模式)，選取 Off:do not autoscale。
       • 在「Maximum number of instances」(執行個體數量上限) 中輸入 2。

       您也可以根據需要，在 UI 的「Autoscaling」(自動調度資源) 區段中，將執行個體群組設為根據執行個體 CPU 使用量自動新增或移除執行個體。

   18. 按一下 [建立]。

gcloud

本指南的 gcloud CLI 操作說明假設您使用 Cloud Shell 或已安裝 bash 的其他環境。

1. 使用 gcloud compute instance-templates create 指令，建立含有 HTTP 伺服器的 VM 執行個體範本。

   gcloud compute instance-templates create gil7-backendwest1-template \
     --region=REGION_A \
     --network=NETWORK \
     --subnet=SUBNET_A \
     --tags=allow-ssh,load-balanced-backend \
     --image-family=debian-12 \
     --image-project=debian-cloud \
     --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://169.254.169.254/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2'
   

   gcloud compute instance-templates create gil7-backendeast1-template \
       --region=REGION_B \
       --network=NETWORK \
       --subnet=SUBNET_B \
       --tags=allow-ssh,load-balanced-backend \
       --image-family=debian-12 \
       --image-project=debian-cloud \
       --metadata=startup-script='#! /bin/bash
         apt-get update
         apt-get install apache2 -y
         a2ensite default-ssl
         a2enmod ssl
         vm_hostname="$(curl -H "Metadata-Flavor:Google" \
         http://169.254.169.254/computeMetadata/v1/instance/name)"
         echo "Page served from: $vm_hostname" | \
         tee /var/www/html/index.html
         systemctl restart apache2'
   

2. 使用 gcloud compute instance-groups managed create 指令，在區域中建立代管執行個體群組。

   gcloud compute instance-groups managed create gl7-ilb-mig-a \
       --zone=ZONE_A \
       --size=2 \
       --template=gil7-backendwest1-template
   

   gcloud compute instance-groups managed create gl7-ilb-mig-b \
       --zone=ZONE_B \
       --size=2 \
       --template=gil7-backendeast1-template
   

Terraform

如要建立執行個體範本，請使用 google_compute_instance_template 資源。

resource "google_compute_instance_template" "instance_template_a" {
  name         = "gil7-backendwest1-template"
  provider     = google-beta
  machine_type = "e2-small"
  region       = "us-west1"
  tags         = ["http-server"]

  network_interface {
    network    = google_compute_network.default.id
    subnetwork = google_compute_subnetwork.subnet_a.id
    access_config {
      # add external ip to fetch packages
    }
  }
  disk {
    source_image = "debian-cloud/debian-11"
    auto_delete  = true
    boot         = true
  }

  # install nginx and serve a simple web page
  metadata = {
    startup-script = <<-EOF1
      #! /bin/bash
      set -euo pipefail

      export DEBIAN_FRONTEND=noninteractive
      apt-get update
      apt-get install -y nginx-light jq

      NAME=$(curl -H "Metadata-Flavor: Google" "http://metadata.google.internal/computeMetadata/v1/instance/hostname")
      IP=$(curl -H "Metadata-Flavor: Google" "http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/0/ip")
      METADATA=$(curl -f -H "Metadata-Flavor: Google" "http://metadata.google.internal/computeMetadata/v1/instance/attributes/?recursive=True" | jq 'del(.["startup-script"])')

      cat <<EOF > /var/www/html/index.html
      <pre>
      Name: $NAME
      IP: $IP
      Metadata: $METADATA
      </pre>
      EOF
    EOF1
  }
  lifecycle {
    create_before_destroy = true
  }
}

resource "google_compute_instance_template" "instance_template_b" {
  name         = "gil7-backendeast1-template"
  provider     = google-beta
  machine_type = "e2-small"
  region       = "us-east1"
  tags         = ["http-server"]

  network_interface {
    network    = google_compute_network.default.id
    subnetwork = google_compute_subnetwork.subnet_b.id
    access_config {
      # add external ip to fetch packages
    }
  }
  disk {
    source_image = "debian-cloud/debian-11"
    auto_delete  = true
    boot         = true
  }

  # install nginx and serve a simple web page
  metadata = {
    startup-script = <<-EOF1
      #! /bin/bash
      set -euo pipefail

      export DEBIAN_FRONTEND=noninteractive
      apt-get update
      apt-get install -y nginx-light jq

      NAME=$(curl -H "Metadata-Flavor: Google" "http://metadata.google.internal/computeMetadata/v1/instance/hostname")
      IP=$(curl -H "Metadata-Flavor: Google" "http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/0/ip")
      METADATA=$(curl -f -H "Metadata-Flavor: Google" "http://metadata.google.internal/computeMetadata/v1/instance/attributes/?recursive=True" | jq 'del(.["startup-script"])')

      cat <<EOF > /var/www/html/index.html
      <pre>
      Name: $NAME
      IP: $IP
      Metadata: $METADATA
      </pre>
      EOF
    EOF1
  }
  lifecycle {
    create_before_destroy = true
  }
}

如要建立代管執行個體群組，請使用 google_compute_instance_group_manager 資源。

resource "google_compute_region_instance_group_manager" "mig_a" {
  name     = "gl7-ilb-miga"
  provider = google-beta
  region   = "us-west1"
  version {
    instance_template = google_compute_instance_template.instance_template_a.id
    name              = "primary"
  }
  base_instance_name = "vm"
  target_size        = 2
}

resource "google_compute_region_instance_group_manager" "mig_b" {
  name     = "gl7-ilb-migb"
  provider = google-beta
  region   = "us-east1"
  version {
    instance_template = google_compute_instance_template.instance_template_b.id
    name              = "primary"
  }
  base_instance_name = "vm"
  target_size        = 2
}

API

使用 instanceTemplates.insert 方法建立執行個體範本，並將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/instanceTemplates

{
  "name":"gil7-backendwest1-template",
  "properties":{
     "machineType":"e2-standard-2",
     "tags":{
       "items":[
         "allow-ssh",
         "load-balanced-backend"
       ]
     },
     "metadata":{
        "kind":"compute#metadata",
        "items":[
          {
            "key":"startup-script",
            "value":"#! /bin/bash\napt-get update\napt-get install
            apache2 -y\na2ensite default-ssl\na2enmod ssl\n
            vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\"
            \\\nhttp://169.254.169.254/computeMetadata/v1/instance/name)\"\n
            echo \"Page served from: $vm_hostname\" | \\\ntee
            /var/www/html/index.html\nsystemctl restart apache2"
          }
        ]
     },
     "networkInterfaces":[
       {
         "network":"projects/PROJECT_ID/global/networks/NETWORK",
         "subnetwork":"regions/REGION_A/subnetworks/SUBNET_A",
         "accessConfigs":[
           {
             "type":"ONE_TO_ONE_NAT"
           }
         ]
       }
     ],
     "disks":[
       {
         "index":0,
         "boot":true,
         "initializeParams":{
           "sourceImage":"projects/debian-cloud/global/images/family/debian-12"
         },
         "autoDelete":true
       }
     ]
  }
}

使用 instanceGroupManagers.insert 方法，在每個區域中建立受管理的執行個體群組，並將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers

{
  "name": "gl7-ilb-mig-a",
  "zone": "projects/PROJECT_ID/zones/ZONE_A",
  "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/gil7-backendwest1-template",
  "baseInstanceName": "gl7-ilb-mig-b",
  "targetSize": 2
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/instanceTemplates

{
  "name":"gil7-backendeast1-template",
  "properties":{
     "machineType":"e2-standard-2",
     "tags":{
       "items":[
         "allow-ssh",
         "load-balanced-backend"
       ]
     },
     "metadata":{
        "kind":"compute#metadata",
        "items":[
          {
            "key":"startup-script",
            "value":"#! /bin/bash\napt-get update\napt-get install
            apache2 -y\na2ensite default-ssl\na2enmod ssl\n
            vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\"
            \\\nhttp://169.254.169.254/computeMetadata/v1/instance/name)\"\n
            echo \"Page served from: $vm_hostname\" | \\\ntee
            /var/www/html/index.html\nsystemctl restart apache2"
          }
        ]
     },
     "networkInterfaces":[
       {
         "network":"projects/PROJECT_ID/global/networks/NETWORK",
         "subnetwork":"regions/REGION_B/subnetworks/SUBNET_B",
         "accessConfigs":[
           {
             "type":"ONE_TO_ONE_NAT"
           }
         ]
       }
     ],
     "disks":[
       {
         "index":0,
         "boot":true,
         "initializeParams":{
           "sourceImage":"projects/debian-cloud/global/images/family/debian-12"
         },
         "autoDelete":true
       }
     ]
  }
}

使用 instanceGroupManagers.insert 方法，在每個區域中建立受管理的執行個體群組，並將 PROJECT_ID 替換為您的專案 ID。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers

{
  "name": "gl7-ilb-mig-b",
  "zone": "projects/PROJECT_ID/zones/ZONE_B",
  "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/gil7-backendwest1-template",
  "baseInstanceName": "gl7-ilb-mig-b",
  "targetSize": 2
}

主控台

開始設定

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「Load balancing」(負載平衡) 頁面

2. 點選「建立負載平衡器」。
3. 在「Type of load balancer」(負載平衡器類型)部分，選取「Application Load Balancer (HTTP/HTTPS)」(應用程式負載平衡器 (HTTP/HTTPS))，然後點選「Next」(下一步)。
4. 在「公開或內部」部分，選取「內部」，然後點選「下一步」。
5. 在「跨區域或單一區域部署」部分，選取「最適合跨區域工作負載」，然後點選「下一步」。
6. 按一下 [設定]。

基本設定

1. 提供負載平衡器的「名稱」。
2. 在「Network」(網路) 中選取 NETWORK。

使用兩個轉送規則設定前端

HTTP：

1. 按一下「前端設定」。
1. 提供轉送規則的「Name」(名稱)。
2. 在「子網路區域」清單中選取「REGION_A」。
   

   保留僅限 Proxy 的子網路

3. 在「Subnetwork」(子網路) 清單中選取「SUBNET_A」。
4. 在「IP address」清單中，按一下「Create IP address」。系統會開啟「保留靜態內部 IP 位址」頁面。
• 為靜態 IP 位址提供「名稱」。
• 在「Static IP address」清單中，選取「Let me choose」。
• 在「Custom IP address」(自訂 IP 位址) 欄位中輸入 10.1.2.99。
• 選取「預訂」。
2. 按一下 [完成]。
3. 如要新增第二個轉寄規則，請按一下「新增前端 IP 和通訊埠」。
1. 提供轉送規則的「Name」(名稱)。
2. 在「子網路區域」清單中選取「REGION_B」。
   

   保留僅限 Proxy 的子網路

3. 在「Subnetwork」(子網路) 清單中選取「SUBNET_B」。
4. 在「IP address」清單中，按一下「Create IP address」。系統會開啟「保留靜態內部 IP 位址」頁面。
• 為靜態 IP 位址提供「名稱」。
• 在「Static IP address」清單中，選取「Let me choose」。
• 在「Custom IP address」(自訂 IP 位址) 欄位中輸入 10.1.3.99。
• 選取「預訂」。
4. 按一下 [完成]。

針對 HTTPS：

如果您在用戶端與負載平衡器間使用的是 HTTPS，則需要有一個或多個 SSL 憑證資源才能設定 Proxy。如要建立 all-regions Google 代管憑證，請參閱下列說明文件：

• 建立由憑證授權單位服務執行個體核發的 Google 代管憑證。
• 建立使用 DNS 授權的 Google 代管憑證。

建立 Google 代管憑證後，請 將憑證直接附加至目標 Proxy。跨區域內部應用程式負載平衡器不支援憑證對應項目。

如要建立 all-regions 自行管理憑證，請參閱以下說明文件： 部署區域性自行管理憑證。

1. 按一下「前端設定」。
1. 提供轉送規則的「Name」(名稱)。
2. 在「Protocol」欄位中選取 HTTPS (includes HTTP/2)。
3. 確認「Port」(通訊埠) 已設為 443。
4. 在「子網路區域」清單中選取「REGION_A」。
   

   保留僅限 Proxy 的子網路

5. 在「Subnetwork」(子網路) 清單中選取「SUBNET_A」。
6. 在「IP address」清單中，按一下「Create IP address」。系統會開啟「保留靜態內部 IP 位址」頁面。
• 為靜態 IP 位址提供「名稱」。
• 在「Static IP address」清單中，選取「Let me choose」。
• 在「Custom IP address」(自訂 IP 位址) 欄位中輸入 10.1.3.99。
• 選取「預訂」。
7. 在「新增憑證」部分中，選取憑證。
8. 選用：如要新增主要 SSL 憑證以外的憑證，請按照下列指示操作：
1. 按一下「新增憑證」。
2. 從清單中選取憑證。
9. 從「SSL policy」清單中選取 SSL 政策。如果您尚未建立任何 SSL 政策，系統會套用預設 Google Cloud SSL 政策。
10. 按一下 [完成]。

新增第二個前端設定：

1. 為前端設定提供名稱。
2. 在「Protocol」欄位中選取 HTTPS (includes HTTP/2)。
3. 確認「Port」(通訊埠) 已設為 443。
4. 在「子網路區域」清單中選取「REGION_B」。
   

   保留僅限 Proxy 的子網路

5. 在「Subnetwork」(子網路) 清單中選取「SUBNET_B」。
6. 在「IP address」清單中，按一下「Create IP address」。系統會開啟「保留靜態內部 IP 位址」頁面。
• 為靜態 IP 位址提供「名稱」。
• 在「Static IP address」清單中，選取「Let me choose」。
• 在「Custom IP address」(自訂 IP 位址) 欄位中輸入 10.1.3.99。
• 選取「預訂」。
7. 在「新增憑證」部分中，選取憑證。
8. 選用：如要新增主要 SSL 憑證以外的憑證，請按照下列指示操作：
1. 按一下「新增憑證」。
2. 從清單中選取憑證。
9. 從「SSL policy」清單中選取 SSL 政策。如果您尚未建立任何 SSL 政策，系統會套用預設 Google Cloud SSL 政策。
10. 按一下 [完成]。
設定後端服務
1. 按一下「後端設定」。
2. 在「Create or select backend services」清單中，按一下「Create a backend service」。
3. 為後端服務提供「Name」(名稱)。
4. 在「通訊協定」部分選取「HTTP」。
5. 在「Named Port」(已命名的通訊埠) 中輸入 http。
6. 在「Backend type」清單中，選取「Instance group」。
7. 在「New backend」專區中：
• 在「Instance group」清單中，選取 REGION_A 中的 gl4-ilb-miga。
• 將「Port numbers」(通訊埠編號) 設為 80。
• 按一下 [完成]。
• 如要新增其他後端，請按一下「新增後端」。
• 在「Instance group」清單中，選取 REGION_B 中的 gl4-ilb-migb。
• 將「Port numbers」(通訊埠編號) 設為 80。
• 按一下 [完成]。
8. 在「健康狀態檢查」清單中，按一下「建立健康狀態檢查」。
• 在「Name」(名稱) 欄位中輸入 global-http-health-check。
• 將「Protocol」(通訊協定) 設為 HTTP。
• 將「Port」(通訊埠) 設為 80。
• 按一下 [儲存]。

設定轉送規則

1. 按一下「轉送規則」。
2. 在「Mode」中，選取「Simple host and path rule」。
3. 確認任何不相符主機和路徑都只有一個後端服務。

檢查設定

1. 按一下「檢查並完成」。
2. 查看負載平衡器設定。
3. 按一下 [建立]。

gcloud

1. 使用 gcloud compute health-checks create http 指令定義 HTTP 健康狀態檢查。

   gcloud compute health-checks create http global-http-health-check \
      --use-serving-port \
      --global
   

2. 使用 gcloud compute backend-services create 指令定義後端服務。

   gcloud compute backend-services create BACKEND_SERVICE_NAME \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --protocol=HTTP \
     --enable-logging \
     --logging-sample-rate=1.0 \
     --health-checks=global-http-health-check \
     --global-health-checks \
     --global
   

3. 使用 gcloud compute backend-services add-backend 指令，將後端新增到後端服務。

   gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
     --balancing-mode=UTILIZATION \
     --instance-group=gl7-ilb-mig-a \
     --instance-group-zone=ZONE_A \
     --global
   

   gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
     --balancing-mode=UTILIZATION \
     --instance-group=gl7-ilb-mig-b \
     --instance-group-zone=ZONE_B \
     --global
   

4. 使用 gcloud compute url-maps create 指令建立網址對應。

   gcloud compute url-maps create gl7-gilb-url-map \
     --default-service=BACKEND_SERVICE_NAME \
     --global
   

5. 建立目標 Proxy。

   HTTP：

   使用 gcloud compute target-http-proxies create 指令建立目標 Proxy。

   gcloud compute target-http-proxies create gil7-http-proxy \
     --url-map=gl7-gilb-url-map \
     --global
   

   適用於 HTTPS：

   如要建立 Google 代管的憑證，請參閱下列說明文件：

   • 建立由憑證授權單位服務執行個體核發的 Google 代管憑證。
   • 建立使用 DNS 授權的 Google 代管憑證。

   建立 Google 代管憑證後，請直接將憑證附加至目標 Proxy。跨區域內部應用程式負載平衡器不支援憑證對應項目。

   如要建立自行管理的憑證，請參閱下列說明文件：

   • 建立私密金鑰和憑證。

   將檔案路徑指派給變數名稱。

   export LB_CERT=PATH_TO_PEM_FORMATTED_FILE
   

   export LB_PRIVATE_KEY=PATH_TO_LB_PRIVATE_KEY_FILE
   

   使用 gcloud beta certificate-manager certificates create 指令建立全區域 SSL 憑證。

   gcloud certificate-manager certificates create gilb-certificate \
     --private-key-file=$LB_PRIVATE_KEY \
     --certificate-file=$LB_CERT \
     --scope=all-regions
   

   使用 SSL 憑證，透過 gcloud compute target-https-proxies create 指令建立目標 Proxy

   gcloud compute target-https-proxies create gil7-https-proxy \
     --url-map=gl7-gilb-url-map \
     --certificate-manager-certificates=gilb-certificate \
     --global
   

6. 建立兩個轉送規則，一個在 REGION_B 區域中使用 VIP (10.1.2.99)，另一個在 REGION_A 區域中使用 VIP (10.1.3.99)。詳情請參閱「預留靜態內部 IPv4 位址」。

   如果是自訂網路，您必須參照轉送規則中的子網路。請注意，這是 VM 子網路，而不是 Proxy 子網路。

   HTTP：

   使用 gcloud compute forwarding-rules create 指令，並加上正確的旗標。

   gcloud compute forwarding-rules create FWRULE_A \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=NETWORK \
     --subnet=SUBNET_A \
     --subnet-region=REGION_A \
     --address=10.1.2.99 \
     --ports=80 \
     --target-http-proxy=gil7-http-proxy \
     --global
   

   gcloud compute forwarding-rules create FWRULE_B \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=NETWORK \
     --subnet=SUBNET_B \
     --subnet-region=REGION_B \
     --address=10.1.3.99 \
     --ports=80 \
     --target-http-proxy=gil7-http-proxy \
     --global
   

   適用於 HTTPS：

   使用 gcloud compute forwarding-rules create 指令，並加上正確的旗標。

   gcloud compute forwarding-rules create FWRULE_A \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=NETWORK \
     --subnet=SUBNET_A \
     --subnet-region=REGION_A \
     --address=10.1.2.99 \
     --ports=443 \
     --target-https-proxy=gil7-https-proxy \
     --global
   

   gcloud compute forwarding-rules create FWRULE_B \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=NETWORK \
     --subnet=SUBNET_B \
     --subnet-region=REGION_B \
     --address=10.1.3.99 \
     --ports=443 \
     --target-https-proxy=gil7-https-proxy \
     --global
   

Terraform

如要建立健康狀態檢查，請使用 google_compute_health_check 資源。

resource "google_compute_health_check" "default" {
  provider = google-beta
  name     = "global-http-health-check"
  http_health_check {
    port_specification = "USE_SERVING_PORT"
  }
}

如要建立後端服務，請使用 google_compute_backend_service 資源。

resource "google_compute_backend_service" "default" {
  name                  = "gl7-gilb-backend-service"
  provider              = google-beta
  protocol              = "HTTP"
  load_balancing_scheme = "INTERNAL_MANAGED"
  timeout_sec           = 10
  health_checks         = [google_compute_health_check.default.id]
  backend {
    group           = google_compute_region_instance_group_manager.mig_a.instance_group
    balancing_mode  = "UTILIZATION"
    capacity_scaler = 1.0
  }
  backend {
    group           = google_compute_region_instance_group_manager.mig_b.instance_group
    balancing_mode  = "UTILIZATION"
    capacity_scaler = 1.0
  }
}

如要建立網址對應，請使用 google_compute_url_map 資源。

resource "google_compute_url_map" "default" {
  name            = "gl7-gilb-url-map"
  provider        = google-beta
  default_service = google_compute_backend_service.default.id
}

如要建立目標 HTTP Proxy，請使用 google_compute_target_http_proxy 資源。

resource "google_compute_target_http_proxy" "default" {
  name     = "gil7target-http-proxy"
  provider = google-beta
  url_map  = google_compute_url_map.default.id
}

如要建立轉送規則，請使用 google_compute_forwarding_rule 資源。

resource "google_compute_global_forwarding_rule" "fwd_rule_a" {
  provider              = google-beta
  depends_on            = [google_compute_subnetwork.proxy_subnet_a]
  ip_address            = "10.1.2.99"
  ip_protocol           = "TCP"
  load_balancing_scheme = "INTERNAL_MANAGED"
  name                  = "gil7forwarding-rule-a"
  network               = google_compute_network.default.id
  port_range            = "80"
  target                = google_compute_target_http_proxy.default.id
  subnetwork            = google_compute_subnetwork.subnet_a.id
}

resource "google_compute_global_forwarding_rule" "fwd_rule_b" {
  provider              = google-beta
  depends_on            = [google_compute_subnetwork.proxy_subnet_b]
  ip_address            = "10.1.3.99"
  ip_protocol           = "TCP"
  load_balancing_scheme = "INTERNAL_MANAGED"
  name                  = "gil7forwarding-rule-b"
  network               = google_compute_network.default.id
  port_range            = "80"
  target                = google_compute_target_http_proxy.default.id
  subnetwork            = google_compute_subnetwork.subnet_b.id
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

API

請向 healthChecks.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立健康狀態檢查。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/healthChecks

{
"name": "global-http-health-check",
"type": "HTTP",
"httpHealthCheck": {
  "portSpecification": "USE_SERVING_PORT"
}
}

請對 backendServices.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立全域後端服務。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices

{
"name": "BACKEND_SERVICE_NAME",
"backends": [
  {
    "group": "projects/PROJECT_ID/zones/ZONE_A/instanceGroups/gl7-ilb-mig-a",
    "balancingMode": "UTILIZATION"
  },
  {
    "group": "projects/PROJECT_ID/zones/ZONE_B/instanceGroups/gl7-ilb-mig-b",
    "balancingMode": "UTILIZATION"
  }
],
"healthChecks": [
  "projects/PROJECT_ID/regions/global/healthChecks/global-http-health-check"
],
"loadBalancingScheme": "INTERNAL_MANAGED"
}

請向 urlMaps.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立網址對應。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/urlMaps

{
"name": "l7-ilb-map",
"defaultService": "projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME"
}

HTTP：

請對 targetHttpProxies.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立目標 HTTP Proxy。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpProxy

{
"name": "l7-ilb-proxy",
"urlMap": "projects/PROJECT_ID/global/urlMaps/l7-ilb-map"
}

請對 forwardingRules.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立轉送規則。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules

{
"name": "FWRULE_A",
"IPAddress": "10.1.2.99",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/global/targetHttpProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/REGION_A/subnetworks/SUBNET_A",
"network": "projects/PROJECT_ID/global/networks/NETWORK",
"networkTier": "PREMIUM"
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules

{
"name": "gil7forwarding-rule-b",
"IPAddress": "10.1.3.99",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/global/targetHttpProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/REGION_B/subnetworks/SUBNET_B",
"network": "projects/PROJECT_ID/global/networks/NETWORK",
"networkTier": "PREMIUM"
}

適用於 HTTPS：

讀取憑證和私密金鑰檔案，然後建立 SSL 憑證。以下範例說明如何使用 Python 執行這項操作。

from pathlib import Path
from pprint import pprint
from typing import Union

from googleapiclient import discovery


def create_regional_certificate(
    project_id: str,
    region: str,
    certificate_file: Union[str, Path],
    private_key_file: Union[str, Path],
    certificate_name: str,
    description: str = "Certificate created from a code sample.",
) -> dict:
    """
    Create a regional SSL self-signed certificate within your Google Cloud project.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        region: name of the region you want to use.
        certificate_file: path to the file with the certificate you want to create in your project.
        private_key_file: path to the private key you used to sign the certificate with.
        certificate_name: name for the certificate once it's created in your project.
        description: description of the certificate.

        Returns:
        Dictionary with information about the new regional SSL self-signed certificate.
    """
    service = discovery.build("compute", "v1")

    # Read the cert into memory
    with open(certificate_file) as f:
        _temp_cert = f.read()

    # Read the private_key into memory
    with open(private_key_file) as f:
        _temp_key = f.read()

    # Now that the certificate and private key are in memory, you can create the
    # certificate resource
    ssl_certificate_body = {
        "name": certificate_name,
        "description": description,
        "certificate": _temp_cert,
        "privateKey": _temp_key,
    }
    request = service.regionSslCertificates().insert(
        project=project_id, region=region, body=ssl_certificate_body
    )
    response = request.execute()
    pprint(response)

    return response

請對 targetHttpsProxies.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立目標 HTTPS Proxy。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpsProxy

{
"name": "l7-ilb-proxy",
"urlMap": "projects/PROJECT_ID/global/urlMaps/l7-ilb-map",
"sslCertificates": /projects/PROJECT_ID/global/sslCertificates/SSL_CERT_NAME
}

請對 globalForwardingRules.insert 方法提出 POST 要求，並將 PROJECT_ID 替換為您的專案 ID，藉此建立轉送規則。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules

{
"name": "FWRULE_A",
"IPAddress": "10.1.2.99",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/global/targetHttpsProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/REGION_A/subnetworks/SUBNET_A",
"network": "projects/PROJECT_ID/global/networks/NETWORK",
"networkTier": "PREMIUM"
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules

{
"name": "FWRULE_B",
"IPAddress": "10.1.3.99",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/global/targetHttpsProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/REGION_B/subnetworks/SUBNET_B",
"network": "projects/PROJECT_ID/global/networks/NETWORK",
"networkTier": "PREMIUM"
}

主控台

如要識別用戶端 VM，請標記要限制的特定 VM。這些標記可用來將防火牆規則與標記的用戶端 VM 建立關聯。接著，請在下列步驟中將標記新增至 TARGET_TAG 欄位。

您可以使用單一防火牆規則或多個規則來設定這項功能。

單一輸出防火牆規則

您可以設定一個防火牆輸出規則，拒絕所有從標記用戶端 VM 傳出的流量，並將這些流量傳送至負載平衡器的 VIP。

1. 在 Google Cloud 控制台中，前往「Firewall rules」(防火牆規則) 頁面。

   前往「防火牆規則」

2. 按一下「Create firewall rule」，建立規則，拒絕標記用戶端 VM 的傳出流量，以便將流量傳送至負載平衡器的 VIP。

   • Name (名稱)：fr-deny-access
   • Network (網路)：lb-network
   • Priority (優先順序)：100
   • 流量方向：Egress
   • 「相符時執行的動作」：「拒絕」
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：TARGET_TAG
   • Destination filter (目的地篩選器)：IP ranges (IP 範圍)
   • 目的地 IP 範圍：10.1.2.99
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「tcp」tcp核取方塊，然後輸入 80 做為「Port number」(通訊埠編號)。

3. 按一下 [建立]。

多個輸出防火牆規則

更具擴充性的做法是設定兩個規則。這是預設的低優先順序規則，可限制所有用戶端存取負載平衡器的 VIP。第二個優先順序較高的規則，允許部分標記用戶端存取負載平衡器的 VIP。只有標記的 VM 可以存取 VIP。

1. 在 Google Cloud 控制台中，前往「Firewall rules」(防火牆規則) 頁面。

   前往「防火牆規則」

2. 按一下「Create firewall rule」，建立優先順序較低的規則，以便預設拒絕存取權限：

   • Name (名稱)：fr-deny-all-access-low-priority
   • Network (網路)：lb-network
   • Priority (優先順序)：200
   • 流量方向：Egress
   • 「相符時執行的動作」：「拒絕」
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：TARGET_TAG
   • Destination filter (目的地篩選器)：IP ranges (IP 範圍)
   • 目的地 IP 範圍：10.1.2.99
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」核取方塊，然後輸入 80 做為「Port number」(通訊埠編號)。

3. 按一下 [建立]。

4. 按一下「Create firewall rule」(建立防火牆規則)，建立優先順序較高的規則，允許來自特定標記執行個體的流量。

   • Name (名稱)：fr-allow-some-access-high-priority
   • Network (網路)：lb-network
   • Priority (優先順序)：100
   • 流量方向：Egress
   • 「Action on match」(相符時執行的動作)：「Allow」(允許)
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：TARGET_TAG
   • Destination filter (目的地篩選器)：IP ranges (IP 範圍)
   • 目的地 IP 範圍：10.1.2.99
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」核取方塊，然後輸入 80 做為「Port number」(通訊埠編號)。

5. 按一下 [建立]。

gcloud

如要識別用戶端 VM，請標記要限制的特定 VM。然後在這些步驟中將標籤新增至 TARGET_TAG 欄位。

您可以使用單一防火牆規則或多個規則來設定這項功能。

單一輸出防火牆規則

您可以設定一個防火牆輸出規則，拒絕所有從標記用戶端 VM 傳出的流量，並將這些流量傳送至負載平衡器的 VIP。

gcloud compute firewall-rules create fr-deny-access \
  --network=lb-network \
  --action=deny \
  --direction=egress \
  --rules=tcp \
  --priority=100 \
  --destination-ranges=10.1.2.99 \
  --target-tags=TARGET_TAG

多個輸出防火牆規則

更具擴充性的做法是設定兩個規則：預設的低優先順序規則，可限制所有用戶端存取負載平衡器的 VIP，以及第二個優先順序較高的規則，可允許標記的用戶端存取負載平衡器的 VIP。只有標記的 VM 可以存取 VIP。

1. 建立優先順序較低的規則：

   gcloud compute firewall-rules create fr-deny-all-access-low-priority \
     --network=lb-network \
     --action=deny \
     --direction=egress \
     --rules=tcp \
     --priority=200 \
     --destination-ranges=10.1.2.99
   

2. 建立優先順序較高的規則：

   gcloud compute firewall-rules create fr-allow-some-access-high-priority \
     --network=lb-network \
     --action=allow \
     --direction=egress \
     --rules=tcp \
     --priority=100 \
     --destination-ranges=10.1.2.99 \
     --target-tags=TARGET_TAG
   

如要使用服務帳戶 (而非標記) 控管存取權，請在建立防火牆規則時使用 --target-service-accounts 選項，而非 --target-tags 標記。

gcloud

1. 建立地區子網路，用於為轉送規則分配負載平衡 IP 位址：

   gcloud compute networks subnets create l7-ilb-restricted-subnet \
     --network=lb-network \
     --region=us-west1 \
     --range=10.127.0.0/24
   

2. 建立轉送規則，從子網路取得位址。以下範例使用前一個步驟建立的子網路中的 10.127.0.1 位址。

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule-restricted \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=lb-network \
     --subnet=l7-ilb-restricted-subnet \
     --address=10.127.0.1 \
     --ports=80 \
     --global \
     --target-http-proxy=gil7-http-proxy
   

3. 建立防火牆規則，限制目的地為轉送規則子網路 (l7-ilb-restricted-subnet) 中的 IP 範圍的流量：

   gcloud compute firewall-rules create restrict-traffic-to-subnet \
     --network=lb-network \
     --action=deny \
     --direction=egress \
     --rules=tcp:80 \
     --priority=100 \
     --destination-ranges=10.127.0.0/24 \
     --target-tags=TARGET_TAG
   

gcloud

gcloud compute addresses create SHARED_IP_ADDRESS_NAME \
    --region=REGION \
    --subnet=SUBNET_NAME \
    --purpose=SHARED_LOADBALANCER_VIP

gcloud

如要建立 TTL 為 30 秒的 DNS 項目，請使用 gcloud dns record-sets create 指令。

gcloud dns record-sets create DNS_ENTRY --ttl="30" \
  --type="A" --zone="service-zone" \
  --routing-policy-type="GEO" \
  --routing-policy-data="REGION_A=gil7-forwarding-rule-a@global;REGION_B=gil7-forwarding-rule-b@global" \
  --enable-health-checking

更改下列內容：

• DNS_ENTRY：記錄組的 DNS 或網域名稱

  例如 service.example.com。

• REGION_A 和 REGION_B：您設定負載平衡器的區域

API

對 ResourceRecordSets.create 方法發出 POST 要求，即可建立 DNS 記錄。將 PROJECT_ID 替換為您的專案 ID。

POST https://www.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/SERVICE_ZONE/rrsets
{
  "name": "DNS_ENTRY",
  "type": "A",
  "ttl": 30,
  "routingPolicy": {
    "geo": {
      "items": [
        {
          "location": "REGION_A",
          "healthCheckedTargets": {
            "internalLoadBalancers": [
              {
                "loadBalancerType": "globalL7ilb",
                "ipAddress": "IP_ADDRESS",
                "port": "80",
                "ipProtocol": "tcp",
                "networkUrl": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/lb-network",
                "project": "PROJECT_ID"
              }
            ]
          }
        },
        {
          "location": "REGION_B",
          "healthCheckedTargets": {
            "internalLoadBalancers": [
              {
                "loadBalancerType": "globalL7ilb",
                "ipAddress": "IP_ADDRESS_B",
                "port": "80",
                "ipProtocol": "tcp",
                "networkUrl": "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/lb-network",
                "project": "PROJECT_ID"
              }
            ]
          }
        }
      ]
    }
  }
}

主控台

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「負載平衡」

2. 按一下您要編輯後端服務的負載平衡器名稱。

3. 在「Load balancer details」(負載平衡器詳細資料) 頁面中，按一下 edit「Edit」(編輯)。

4. 在「Edit cross-region internal Application Load Balancer」(編輯跨區域內部應用程式負載平衡器) 頁面上，按一下「Backend configuration」(後端設定)。

5. 在「Backend configuration」(後端設定) 頁面上，針對要修改的後端服務，按一下 edit「Edit」(編輯)。

6. 向下捲動並展開「進階設定」部分。

7. 在「異常值偵測」部分，勾選「啟用」核取方塊。

8. 按一下 edit「Edit」 來設定異常值偵測功能。

   確認下列選項已設為指定的值：

   屬性	值
   連續錯誤	5
   間隔	1000
   基礎排除時間	30000
   排除百分比上限	50
   強制執行連續錯誤	100

   在本範例中，系統每秒執行一次異常值偵測分析。如果 Envoy Proxy 收到的連續 HTTP 5xx 狀態碼數量達到五個以上，後端端點就會從該 Envoy Proxy 的負載平衡集區中移除 30 秒。當強制百分比設為 100% 時，後端服務會在每次執行異常情況偵測分析時，強制從特定 Envoy Proxy 的負載平衡集區中，將不健康的端點彈出。如果符合排除條件，最多可從負載平衡集區中排除 50% 的後端端點。

9. 按一下 [儲存]。

10. 如要更新後端服務，請按一下「更新」。

11. 如要更新負載平衡器，請在「Edit cross-region internal Application Load Balancer」(編輯跨區域內部應用程式負載平衡器) 頁面上，按一下「Update」(更新)。

gcloud

1. 將後端服務匯出為 YAML 檔案。

   gcloud compute backend-services export BACKEND_SERVICE_NAME \
     --destination=BACKEND_SERVICE_NAME.yaml --global
   

   將 BACKEND_SERVICE_NAME 替換為後端服務名稱。

2. 編輯後端服務的 YAML 設定，新增異常值偵測欄位，如下列 YAML 設定中 outlierDetection 部分所示：

   在本範例中，系統每秒執行一次異常值偵測分析。如果 Envoy Proxy 收到的連續 HTTP 5xx 狀態碼數量達到五個以上，後端端點就會從該 Envoy Proxy 的負載平衡集區中移除 30 秒。當強制百分比設為 100% 時，後端服務會在每次執行異常情況偵測分析時，強制從特定 Envoy Proxy 的負載平衡集區中，將不健康的端點彈出。如果符合排除條件，最多可從負載平衡集區中排除 50% 的後端端點。

   name: BACKEND_SERVICE_NAME
   backends:
   - balancingMode: UTILIZATION
     capacityScaler: 1.0
     group: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_A/networkEndpointGroups/SERVERLESS_NEG_NAME
   - balancingMode: UTILIZATION
     capacityScaler: 1.0
     group: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION_B/networkEndpointGroups/SERVERLESS_NEG_NAME_2
   outlierDetection:
     baseEjectionTime:
       nanos: 0
       seconds: 30
     consecutiveErrors: 5
     enforcingConsecutiveErrors: 100
     interval:
       nanos: 0
       seconds: 1
     maxEjectionPercent: 50
   port: 80
   selfLink: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME
   sessionAffinity: NONE
   timeoutSec: 30
   ...
   

   更改下列內容：

   • BACKEND_SERVICE_NAME：後端服務名稱
   • PROJECT_ID：專案 ID
   • REGION_A 和 REGION_B：負載平衡器已設定的區域。
   • SERVERLESS_NEG_NAME：第一個無伺服器 NEG 的名稱
   • SERVERLESS_NEG_NAME_2：第二個無伺服器 NEG 的名稱

3. 匯入最新設定，更新後端服務。

   gcloud compute backend-services import BACKEND_SERVICE_NAME \
     --source=BACKEND_SERVICE_NAME.yaml --global
   

   後端服務現在已啟用離群值偵測功能。