Convertir un balanceador de carga de red de proxy a IPv6

Consola

1. Crea una subred de solo proxy de copia de seguridad en la misma región que la subred de solo proxy activa y especifica el tipo de pila de IP como de doble pila.

   1. En la Google Cloud consola, ve a la página Redes de VPC.
      Ir a la página Redes de VPC
   2. Haga clic en el nombre de la red VPC a la que quiere añadir una subred solo proxy.
   3. Haz clic en Añadir subred.
   4. Escribe un nombre.
   5. Selecciona una región.
   6. En Propósito, selecciona Proxy gestionado regional.
   7. En Rol, selecciona Copia de seguridad.
   8. En Tipo de pila de IP, selecciona IPv4 e IPv6 (pila dual).
   9. Introduce un intervalo de direcciones IP.
   10. Haz clic en Añadir.

2. Crea o modifica reglas de cortafuegos de entrada que se apliquen a tus VMs o endpoints de backend para que incluyan el intervalo de direcciones IP principal de la subred de solo proxy de backup.

3. Asigna el rol activo a la subred de solo proxy de copia de seguridad. Esta acción también degrada la subred de solo proxy que estaba activa a la función de copia de seguridad:

   1. En la Google Cloud consola, ve a la página Redes de VPC.
      Ir a la página Redes de VPC
   2. Haga clic en el nombre de la red VPC que quiera modificar.
   3. En Subredes de solo proxy reservadas para el balanceo de carga, busca la subred de copia de seguridad que has creado en el paso anterior.
   4. Haz clic en Activate (Activar).
   5. Especifica un tiempo de espera de purga opcional.
   6. Haz clic en Activar la subred.

4. Una vez que haya transcurrido el tiempo de espera del vaciado de conexiones o cuando tengas la certeza de que las conexiones a tus VMs o endpoints de backend no proceden de proxies de la subred de solo proxy que estaba activa (ahora es la de backup), puedes hacer lo siguiente:

   • Modifica las reglas de cortafuegos de entrada que se aplican a tus máquinas virtuales o endpoints de backend para que no incluyan el intervalo de direcciones IP principal de la subred de solo proxy que estaba activa anteriormente (ahora es la de copia de seguridad).
   • Elimina la subred de solo proxy que estaba activa (ahora es la de copia de seguridad) para liberar las direcciones IP que usaba en su intervalo de direcciones IP principal.

gcloud

En este procedimiento se presupone que ya tienes una subred de solo proxy activa.

1. Crea una subred de solo proxy de respaldo en la misma región, especificando un tipo de pila de pila dual (--stack-type=IPV4_IPV6), mediante el comando gcloud compute networks subnets create. Esta subred se asigna como copia de seguridad con la marca --role=BACKUP.

   gcloud compute networks subnets create BACKUP_PROXY_ONLY_SUBNET_NAME \
     --purpose=REGIONAL_MANAGED_PROXY \
     --role=BACKUP \
     --region=REGION \
     --network=VPC_NETWORK_NAME \
     --range=BACKUP_PROXY_ONLY_SUBNET_RANGE \
     --stack-type=IPV4_IPV6
   

   Haz los cambios siguientes:

   • BACKUP_PROXY_ONLY_SUBNET_NAME: nombre de la subred de solo proxy de copia de seguridad recién creada
   • REGION: la región de la subred de solo proxy de copia de seguridad recién creada. Debe ser la misma región que la subred solo proxy activa.
   • VPC_NETWORK_NAME: la red de la subred de solo proxy de copia de seguridad que se acaba de crear. Debe ser la misma red que la subred solo proxy activa.
   • VPC_NETWORK_NAME: nombre de la red VPC
   • BACKUP_PROXY_ONLY_SUBNET_RANGE: el intervalo CIDR de la subred de solo proxy de copia de seguridad que se acaba de crear

2. Crea o modifica reglas de cortafuegos de entrada que se apliquen a tus VMs o endpoints de backend para que incluyan el intervalo de direcciones IP principal de la subred de solo proxy de copia de seguridad. La regla de cortafuegos ya debería aceptar conexiones de la subred activa.

   gcloud compute firewall-rules update PROXY_ONLY_SUBNET_FIREWALL_RULE \
     --source-ranges ACTIVE_PROXY_ONLY_SUBNET_RANGE,BACKUP_PROXY_ONLY_SUBNET_RANGE
   

   Haz los cambios siguientes:

   • PROXY_ONLY_SUBNET_FIREWALL_RULE: el nombre de la regla de cortafuegos que permite que el tráfico de la subred de solo proxy llegue a tus instancias o endpoints de backend
   • ACTIVE_PROXY_ONLY_SUBNET_RANGE: el intervalo CIDR de la subred de solo proxy activa
   • BACKUP_PROXY_ONLY_SUBNET_RANGE: el intervalo CIDR de la subred de solo proxy de copia de seguridad

3. Actualiza la nueva subred para que sea la subred de solo proxy ACTIVE de la región y espera a que se purgue la antigua. De este modo, la subred de solo proxy que estaba activa pasa a ser la copia de seguridad.

   Para agotar un intervalo de direcciones IP inmediatamente, define --drain-timeout como 0s. De esta forma, se finalizan rápidamente todas las conexiones a los proxies que tienen direcciones asignadas en la subred que se está vaciando.

   gcloud compute networks subnets update BACKUP_PROXY_ONLY_SUBNET_NAME \
     --region=REGION \
     --role=ACTIVE \
     --drain-timeout=CONNECTION_DRAINING_TIMEOUT
   

   Haz los cambios siguientes:

   • BACKUP_PROXY_ONLY_SUBNET_NAME: nombre de la subred de solo proxy de copia de seguridad recién creada
   • REGION: la región de la subred de solo proxy de copia de seguridad recién creada. Debe ser la misma región que la subred solo proxy activa.
   • CONNECTION_DRAINING_TIMEOUT: la cantidad de tiempo, en segundos, que Google Cloud usa para migrar las conexiones actuales de los proxies de la subred de solo proxy que estaba activa.

4. Monitoriza el estado del drenaje con un comando list o describe. El estado de la subred es DRAINING mientras se está vaciando.

   gcloud compute networks subnets list
   

   Espera a que se complete el proceso. Cuando se purga la subred de solo proxy antigua, el estado de la subred es READY.

5. Actualiza la regla de cortafuegos de la subred de solo proxy para que solo permita conexiones desde la nueva subred.

   gcloud compute firewall-rules PROXY_ONLY_SUBNET_FIREWALL_RULE \
     --source-ranges BACKUP_PROXY_ONLY_SUBNET_RANGE
   

6. Cuando tengas la certeza de que las conexiones a tus VMs o endpoints de backend no proceden de proxies de la subred de solo proxy que estaba activa (ahora es la de copia de seguridad), puedes eliminar la subred antigua.

   gcloud compute networks subnets delete ACTIVE_PROXY_ONLY_SUBNET_NAME \
     --region=REGION
   

Consola

1. En la consola, ve a la página Plantillas de instancia. Google Cloud

   Ir a Plantillas de instancia

   1. Haz clic en la plantilla de instancia que quieras copiar y actualizar.
   2. Haz clic en Crear similar.
   3. Expande la sección Opciones avanzadas.
   4. En Etiquetas de red, introduzca allow-health-check-ipv6.
   5. En la sección Interfaces de red, haz clic en Añadir una interfaz de red.
   6. En la lista Red, selecciona la red de VPC en modo personalizado.
   7. En la lista Subred, selecciona SUBNET.
   8. En Tipo de pila de IP, selecciona IPv4 e IPv6 (pila dual).
   9. Haz clic en Crear.

2. Inicia una actualización continua básica en el grupo de instancias administrado MIG asociado al balanceador de carga.

Consola

1. En la consola de Google Cloud , ve a la página Instancias de VM.

   Ir a instancias de VM

2. Haz clic en Crear instancia.

3. Asigna el valor vm-a1 a Nombre.

4. En Región, elija REGION_A y, en el campo Zona, elija cualquier valor. En este procedimiento, nos referimos a esta zona como GCP_NEG_ZONE.

5. En la sección Disco de arranque, asegúrate de que la opción Debian GNU/Linux 12 (bookworm) esté seleccionada para el disco de arranque. Haz clic en Elegir para cambiar la imagen si es necesario.

6. Expande la sección Opciones avanzadas y haz los siguientes cambios:

   • Despliega la sección Redes.
   • En el campo Etiquetas de red, introduce allow-health-check.
   • En la sección Interfaces de red, haz los siguientes cambios:
     • Red: NETWORK
     • Subred: SUBNET
     • Tipo de pila de IP: IPv4 e IPv6 (pila dual)
   • Haz clic en Listo.

   • Haz clic en Gestión. En el campo Startup script (Secuencia de comandos de inicio), copia y pega el siguiente contenido de la secuencia de comandos.

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2
     

7. Haz clic en Crear.

8. Repite los pasos siguientes para crear una segunda máquina virtual con la siguiente combinación de nombre y zona:

   • Nombre: vm-a2, zona: GCP_NEG_ZONE

gcloud

Crea las VMs ejecutando el siguiente comando dos veces y usando estas combinaciones para el nombre de la VM y su zona. El contenido de la secuencia de comandos es idéntico en ambas máquinas virtuales.

• VM_NAME de vm-a1 y cualquier zona GCP_NEG_ZONE de tu elección.

• VM_NAME de vm-a2 y la misma zona GCP_NEG_ZONE.

  gcloud compute instances create VM_NAME \
      --zone=GCP_NEG_ZONE \
      --stack-type=IPV4_IPV6 \
      --image-family=debian-12 \
      --image-project=debian-cloud \
      --tags=allow-health-check \
      --subnet=SUBNET \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
  

Consola

Para añadir endpoints a un NEG zonal, sigue estos pasos:

1. En la Google Cloud consola, ve a la página Grupos de endpoints de red.

   Ir a grupos de puntos finales de red

2. En la lista Nombre, haga clic en el nombre del grupo de puntos finales de red (ZONAL_NEG). Verá la página Detalles del grupo de puntos finales de red.

3. En la sección Puntos finales de red de este grupo, selecciona el endpoint de NEG que has creado anteriormente. Haz clic en Quitar endpoint.

4. En la sección Puntos finales de red de este grupo, haz clic en Añadir punto final de red.

5. Selecciona la instancia de VM.

6. En la sección Interfaz de red, se muestra el nombre, la zona y la subred de la máquina virtual.

7. En el campo Dirección IPv4, introduce la dirección IPv4 del nuevo endpoint de red.

8. En el campo Dirección IPv6, introduce la dirección IPv6 del nuevo endpoint de red.

9. Seleccione el Tipo de puerto.

   1. Si selecciona Predeterminado, el endpoint usará el puerto predeterminado 80 para todos los endpoints del grupo de endpoints de red. Esto es suficiente para nuestro ejemplo, ya que el servidor Apache sirve solicitudes en el puerto 80.
   2. Si seleccionas Personalizado, introduce el Número de puerto del endpoint que quieras usar.

10. Para añadir más endpoints, haz clic en Añadir endpoint de red y repite los pasos anteriores.

11. Una vez que hayas añadido todos los endpoints, haz clic en Crear.

gcloud

1. Añade puntos finales (GCE_VM_IP_PORT) a ZONAL_NEG.

   gcloud compute network-endpoint-groups update ZONAL_NEG \
       --zone=GCP_NEG_ZONE \
       --add-endpoint='instance=vm-a1,ip=IPv4_ADDRESS, \
         ipv6=IPv6_ADDRESS,port=80' \
       --add-endpoint='instance=vm-a2,ip=IPv4_ADDRESS, \
         ipv6=IPv6_ADDRESS,port=80'
   

Haz los cambios siguientes:

IPv4_ADDRESS: dirección IPv4 del endpoint de la red. La dirección IPv4 debe pertenecer a una máquina virtual de Compute Engine (ya sea la IP principal o como parte de un intervalo de IPs de alias). Si no se especifica la dirección IP, se usará la dirección IP principal de la instancia de VM de la red a la que pertenece el grupo de extremos de red.

IPv6_ADDRESS: Dirección IPv6 del endpoint de la red. La dirección IPv6 debe pertenecer a una instancia de máquina virtual de la red a la que pertenece el grupo de extremos de red (dirección IPv6 externa).

Consola

1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

   Ir a Políticas de cortafuegos

2. Para permitir el tráfico de subred IPv6, haz clic de nuevo en Crear regla de cortafuegos e introduce la siguiente información:

   • Nombre: fw-allow-lb-access-ipv6
   • Red: NETWORK
   • Prioridad: 1000
   • Sentido del tráfico: entrada
   • Objetivos: Etiquetas de destino especificadas
   • Etiquetas de destino: allow-health-check-ipv6
   • Filtro de origen: Intervalos de IPv6

   • Intervalos de IPv6 de origen:

     • En el caso del balanceador de carga de aplicaciones externo global y del balanceador de carga de red con proxy externo global, introduce 2600:2d00:1:b029::/64,2600:2d00:1:1::/64

     • En el caso de los balanceadores de carga de aplicación internos entre regiones, los balanceadores de carga de aplicación externos regionales, los balanceadores de carga de aplicación internos regionales, los balanceadores de carga de red con proxy internos entre regiones, los balanceadores de carga de red con proxy externos regionales y los balanceadores de carga de red con proxy internos regionales, introduce 2600:2d00:1:b029::/64

   • Protocolos y puertos: Permitir todo

3. Haz clic en Crear.

gcloud

1. Crea la regla de cortafuegos fw-allow-lb-access-ipv6 para permitir la comunicación con la subred.

   En el caso del balanceador de carga de aplicación externo global y del balanceador de carga de red con proxy externo global, usa el siguiente comando:

   gcloud compute firewall-rules create fw-allow-lb-access-ipv6 \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check-ipv6 \
       --source-ranges=2600:2d00:1:b029::/64,2600:2d00:1:1::/64 \
       --rules=all
   

   Para los balanceadores de carga de aplicaciones internos entre regiones, los balanceadores de carga de aplicaciones externos regionales, los balanceadores de carga de aplicaciones internos regionales, los balanceadores de carga de red con proxy internos entre regiones, los balanceadores de carga de red con proxy externos regionales y los balanceadores de carga de red con proxy internos regionales, usa el siguiente comando:

   gcloud compute firewall-rules create fw-allow-lb-access-ipv6 \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check-ipv6 \
       --source-ranges=2600:2d00:1:b029::/64 \
       --rules=all
   

Consola

1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

   Ir a Políticas de cortafuegos

2. En el panel Reglas de cortafuegos de VPC, haga clic en fw-allow-lb-access-ipv6.

   • Intervalos de IPv6 de origen: 2600:2d00:1:b029::/64, IPV6_PROXY_ONLY_SUBNET_RANGE

3. Haz clic en Guardar.

gcloud

1. Actualiza la regla de cortafuegos fw-allow-lb-access-ipv6 para permitir la comunicación con la subred de solo proxy:

   gcloud compute firewall-rules update fw-allow-lb-access-ipv6 \
       --source-ranges=2600:2d00:1:b029::/64,IPV6_PROXY_ONLY_SUBNET_RANGE
   

Consola

1. En la Google Cloud consola, ve a la página Balanceo de carga.

   Ir a Balanceo de carga

2. Haz clic en el nombre del balanceador de carga.

3. Haz clic en Editar.

Configurar el servicio de backend para IPv6

1. Haz clic en Configuración de backend.
2. En Tipo de backend, selecciona Grupo de puntos finales de red por zonas.
3. En la lista Política de selección de direcciones IP, selecciona Preferir IPv6.
4. En el campo Protocol (Protocolo), haga lo siguiente:
   • En Proxy TCP, selecciona TCP.
   • En Proxy SSL, selecciona SSL.
5. Para NEGs por zonas:
   1. En la sección Back-ends, haz clic en Añadir un back-end.
   2. En el panel Nuevo backend, haz lo siguiente:
      • En la lista Grupo de puntos finales de red, selecciona ZONAL_NEG.
      • En el campo Número máximo de conexiones, introduce 10.
6. En el caso de los grupos de instancias: si ya has actualizado la instancia de VM o las plantillas a pila dual, no es necesario que lo hagas.
7. Haz clic en Listo.
8. En la lista Comprobación del estado, selecciona una comprobación del estado HTTP.

Configurar la regla de reenvío de IPv6

Las reglas de reenvío de IPv6 no se admiten en los balanceadores de carga de red con proxy internos entre regiones, los balanceadores de carga de red con proxy externos regionales ni los balanceadores de carga de red con proxy internos regionales.

1. Haz clic en Configuración de frontend.
2. Haz clic en Añadir IP y puerto de frontend.
3. En el campo Nombre, introduce un nombre para la regla de reenvío.
4. En el campo Protocol (Protocolo), haga lo siguiente:
   • En Proxy TCP, selecciona TCP.
   • En Proxy SSL, selecciona SSL.
5. Configura Versión de IP como IPv6.
6. En Proxy SSL, seleccione un certificado de la lista Certificados.
7. Haz clic en Listo.
8. Haz clic en Actualizar.

gcloud

1. Añade los NEGs zonales de doble pila como backend al servicio de backend.

   Mundial

   En el caso del balanceador de carga de red con proxy externo global, usa el siguiente comando:

    gcloud compute backend-services add-backend BACKEND_SERVICE \
        --network-endpoint-group=ZONAL_NEG \
        --max-rate-per-endpoint=10 \
        --global
   

   interregional

   En el caso del balanceador de carga de red con proxy interno entre regiones, usa el siguiente comando:

    gcloud compute backend-services add-backend BACKEND_SERVICE \
        --network-endpoint-group=ZONAL_NEG \
        --max-rate-per-endpoint=10 \
        --global
   

   regional

   En el caso del balanceador de carga de red con proxy externo regional y del balanceador de carga de red con proxy interno regional, usa el siguiente comando:

    gcloud compute backend-services add-backend BACKEND_SERVICE \
        --network-endpoint-group=ZONAL_NEG \
        --max-rate-per-endpoint=10 \
        --region=REGION
   

2. Añade el grupo de instancias de doble pila como backend al servicio de backend. Como ya has actualizado la instancia o las plantillas de VM a pila dual, no tienes que hacer nada más.

3. Solo para balanceadores de carga de red con proxy externo global. Para crear la regla de reenvío de IPv6 de tu balanceador de carga de red de proxy externo global con un proxy SSL de destino, usa el siguiente comando:

   gcloud compute forwarding-rules create FORWARDING_RULE_IPV6 \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network-tier=PREMIUM \
      --address=lb-ipv6-1 \
      --global \
      --target-ssl-proxy=TARGET_PROXY \
      --ports=80
   

   Para crear la regla de reenvío de IPv6 de tu balanceador de carga de red proxy externo global con un proxy TCP de destino, usa el siguiente comando:

   gcloud compute forwarding-rules create FORWARDING_RULE_IPV6 \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network-tier=PREMIUM \
      --global \
      --target-tcp-proxy=TARGET_PROXY \
      --ports=80
   

Consola

1. En la Google Cloud consola, ve a la página Balanceo de carga.

   Ir a Balanceo de carga

2. Haz clic en el nombre del balanceador de carga.

3. Haz clic en Editar.

4. Haz clic en Configuración de backend.

5. En el campo Servicio de backend, selecciona BACKEND_SERVICE.

6. El Tipo de backend debe ser Grupo de puntos finales de red por zonas o Grupo de instancias.

7. En la lista Política de selección de direcciones IP, selecciona IP_ADDRESS_SELECTION_POLICY.

8. Haz clic en Listo.

gcloud

Actualiza la política de selección de direcciones IP del servicio de backend:

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=EXTERNAL_MANAGED \
    --protocol=SSL | TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --global

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=INTERNAL_MANAGED \
    --protocol=TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --global

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=EXTERNAL_MANAGED \
    --protocol=TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --region=REGION

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=INTERNAL_MANAGED \
    --protocol=TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --region=REGION

Consola

1. En la Google Cloud consola, ve a la página Balanceo de carga.

   Ir a Balanceo de carga

2. Haz clic en el nombre del balanceador de carga.

3. En la sección Frontend, se muestran dos direcciones IP del balanceador de carga. En este procedimiento, la dirección IPv4 se denomina IP_ADDRESS_IPV4 y la dirección IPv6, IP_ADDRESS_IPV6.

4. En la sección Backends (Back-ends), cuando la política de selección de direcciones IP es Prefer IPv6, se muestran dos estados de comprobación de estado de los back-ends.