Convertire il bilanciatore del carico di rete proxy in IPv6

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Console

1. Crea una subnet solo proxy di backup nella stessa regione della subnet solo proxy attiva, specificando il tipo di stack IP come dual-stack.

   1. Nella console Google Cloud, vai alla pagina Reti VPC.
      Vai alla pagina Reti VPC
   2. Fai clic sul nome della rete VPC a cui vuoi aggiungere una subnet solo proxy.
   3. Fai clic su Aggiungi subnet.
   4. Inserisci un nome.
   5. Seleziona una regione.
   6. In Finalità, seleziona Proxy gestito a livello di regione.
   7. In Ruolo, seleziona Backup.
   8. Per Tipo di stack IP, seleziona IPv4 e IPv6 (stack doppio).
   9. Inserisci un intervallo di indirizzi IP.
   10. Fai clic su Aggiungi.

2. Crea o modifica regole firewall di autorizzazione in entrata che si applicano alle VM o agli endpoint di backend in modo che includano l'intervallo di indirizzi IP principale della subnet solo proxy di backup.

3. Esegui la promozione della subnet solo proxy di backup al ruolo attivo. Questa azione inoltre riduce il ruolo della subnet solo proxy attiva in precedenza al ruolo di backup:

   1. Nella console Google Cloud, vai alla pagina Reti VPC.
      Vai alla pagina Reti VPC
   2. Fai clic sul nome della rete VPC da modificare.
   3. In Subnet solo proxy riservate per il bilanciamento del carico, individua la subnet di backup creata nel passaggio precedente.
   4. Fai clic su Attiva.
   5. Specifica un timeout di svuotamento facoltativo.
   6. Fai clic su Attiva la subnet.

4. Dopo il timeout dello svuotamento delle connessioni o dopo aver verificato che le connessioni alle VM o agli endpoint di backend non provengono da proxy nella subnet solo proxy attiva in precedenza (ora di riserva), puoi procedere nel seguente modo:

   • Modifica le regole firewall di autorizzazione in entrata che si applicano alle VM o agli endpoint di backend in modo che non includano l'intervallo di indirizzi IP principale della subnet solo proxy precedentemente attiva (ora di backup).
   • Elimina la subnet solo proxy attiva in precedenza (ora di riserva) per rilasciare gli indirizzi IP utilizzati dalla subnet per il suo intervallo IP principale.

gcloud

I passaggi che seguono presuppongono che tu abbia già una subnet solo proxy attiva.

1. Crea una subnet solo proxy di backup nella stessa regione, specificando un tipo di stack dual-stack (--stack-type=IPV4_IPV6), utilizzando il comando gcloud compute networks subnets create. Questa subnet viene assegnata come backup con il flag --role=BACKUP.

   gcloud compute networks subnets create BACKUP_PROXY_ONLY_SUBNET_NAME \
     --purpose=REGIONAL_MANAGED_PROXY \
     --role=BACKUP \
     --region=REGION \
     --network=VPC_NETWORK_NAME \
     --range=BACKUP_PROXY_ONLY_SUBNET_RANGE \
     --stack-type=IPV4_IPV6
   

   Sostituisci quanto segue:

   • BACKUP_PROXY_ONLY_SUBNET_NAME: il nome della subnet solo proxy di backup appena creata
   • REGION: la regione della subnet solo proxy di backup appena creata. Deve essere la stessa regione della subnet solo proxy attiva corrente.
   • VPC_NETWORK_NAME: la rete della subnet solo proxy di backup appena creata. Deve essere la stessa rete della subnet solo proxy attiva corrente.
   • VPC_NETWORK_NAME: il nome della rete VPC
   • BACKUP_PROXY_ONLY_SUBNET_RANGE: l'intervallo CIDR della subnet solo proxy di backup appena creata

2. Crea o modifica le regole firewall di autorizzazione in entrata che si applicano alle VM o agli endpoint di backend in modo che includano ora l'intervallo di indirizzi IP principale della subnet solo proxy di backup. La regola del firewall dovrebbe già accettare le connessioni dalla subnet attiva.

   gcloud compute firewall-rules update PROXY_ONLY_SUBNET_FIREWALL_RULE \
     --source-ranges ACTIVE_PROXY_ONLY_SUBNET_RANGE,BACKUP_PROXY_ONLY_SUBNET_RANGE
   

   Sostituisci quanto segue:

   • PROXY_ONLY_SUBNET_FIREWALL_RULE: il nome della regola firewall che consente al traffico dalla subnet solo proxy di raggiungere le istanze o gli endpoint di backend
   • ACTIVE_PROXY_ONLY_SUBNET_RANGE: l'intervallo CIDR della subnet solo proxy attiva corrente
   • BACKUP_PROXY_ONLY_SUBNET_RANGE: l'intervallo CIDR della subnet solo proxy di backup

3. Aggiorna la nuova subnet impostandola come subnet solo proxy ACTIVE nella regione e attendi lo svuotamento della vecchia subnet. Inoltre, viene retrocessa la subnet solo proxy attiva in precedenza al ruolo di backup.

   Per svuotare immediatamente un intervallo di indirizzi IP, imposta --drain-timeout su 0s. In questo modo vengono interrotte immediatamente tutte le connessioni ai proxy che hanno indirizzi assegnati nella sottorete in cui viene eseguito lo scarico.

   gcloud compute networks subnets update BACKUP_PROXY_ONLY_SUBNET_NAME \
     --region=REGION \
     --role=ACTIVE \
     --drain-timeout=CONNECTION_DRAINING_TIMEOUT
   

   Sostituisci quanto segue:

   • BACKUP_PROXY_ONLY_SUBNET_NAME: il nome della subnet solo proxy di backup appena creata
   • REGION: la regione della subnet solo proxy di backup appena creata. Deve essere la stessa regione della subnet solo proxy attiva corrente.
   • CONNECTION_DRAINING_TIMEOUT: il tempo in secondi impiegato per eseguire la migrazione delle connessioni esistenti dai proxy nella subnet solo proxy attiva in precedenza. Google Cloud

4. Monitora lo stato dello scarico utilizzando un comando list o describe. Lo stato della subnet è DRAINING durante lo svuotamento.

   gcloud compute networks subnets list
   

   Attendi il completamento dello svuotamento. Quando la vecchia subnet solo proxy viene svuotata, il suo stato è READY.

5. Aggiorna la regola del firewall della subnet solo proxy in modo da consentire solo le connessioni dalla nuova subnet.

   gcloud compute firewall-rules PROXY_ONLY_SUBNET_FIREWALL_RULE \
     --source-ranges BACKUP_PROXY_ONLY_SUBNET_RANGE
   

6. Una volta accertato che le connessioni alle VM o agli endpoint di backend non provengono da proxy nella subnet solo proxy attiva in precedenza (ora di backup), puoi eliminare la vecchia subnet.

   gcloud compute networks subnets delete ACTIVE_PROXY_ONLY_SUBNET_NAME \
     --region=REGION
   

Console

1. Nella console Google Cloud, vai alla pagina Modelli di istanza.

   Vai a Modelli di istanza

   1. Fai clic sul modello di istanza da copiare e aggiornare.
   2. Fai clic su Crea simile.
   3. Espandi la sezione Opzioni avanzate.
   4. In Tag di rete, inserisci allow-health-check-ipv6.
   5. Nella sezione Interfacce di rete, fai clic su Aggiungi un'interfaccia di rete.
   6. Nell'elenco Rete, seleziona la rete VPC in modalità personalizzata.
   7. Nell'elenco Subnet, seleziona SUBNET.
   8. Per Tipo di stack IP, seleziona IPv4 e IPv6 (stack doppio).
   9. Fai clic su Crea.

2. Avvio di un aggiornamento in sequenza di base nel gruppo di istanze gestite MIG associato al bilanciatore del carico.

Console

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Fai clic su Crea istanza.

3. Imposta Nome su vm-a1.

4. Per Regione, scegli REGION_A e poi un valore qualsiasi per il campo Zona. In questa procedura, questa zona è indicata come GCP_NEG_ZONE.

5. Nella sezione Disco di avvio, assicurati che sia selezionata l'opzione Debian GNU/Linux 12 (bookworm) per le opzioni del disco di avvio. Fai clic su Scegli per modificare l'immagine, se necessario.

6. Espandi la sezione Opzioni avanzate e apporta le seguenti modifiche:

   • Espandi la sezione Networking.
   • Nel campo Tag di rete, inserisci allow-health-check.
   • Nella sezione Interfacce di rete, apporta le seguenti modifiche:
     • Rete: NETWORK
     • Subnet: SUBNET
     • Tipo di stack IP: IPv4 e IPv6 (stack doppio)
   • Fai clic su Fine.

   • Fai clic su Gestione. Nel campo Script di avvio, copia e incolla i seguenti contenuti dello script.

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2
     

7. Fai clic su Crea.

8. Ripeti i seguenti passaggi per creare una seconda VM utilizzando la seguente combinazione di nome e zona:

   • Nome: vm-a2, zona: GCP_NEG_ZONE

gcloud

Crea le VM eseguendo il seguente comando due volte, utilizzando queste combinazioni per il nome della VM e della relativa zona. I contenuti dello script sono identici per entrambe le VM.

• VM_NAME di vm-a1 e qualsiasi GCP_NEG_ZONE zona di tuo gradimento.

• VM_NAME di vm-a2 e nella stessa GCP_NEG_ZONE zona.

  gcloud compute instances create VM_NAME \
      --zone=GCP_NEG_ZONE \
      --stack-type=IPV4_IPV6 \
      --image-family=debian-12 \
      --image-project=debian-cloud \
      --tags=allow-health-check \
      --subnet=SUBNET \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
  

Console

Per aggiungere endpoint al NEG zonale:

1. Nella console Google Cloud, vai alla pagina Gruppi di endpoint di rete.

   Vai a Gruppi di endpoint di rete

2. Nell'elenco Nome, fai clic sul nome del gruppo di endpoint di rete (ZONAL_NEG). Vedi la pagina Dettagli gruppo di endpoint di rete.

3. Nella sezione Endpoint di rete in questo gruppo, seleziona l'endpoint NEG creato in precedenza. Fai clic su Rimuovi endpoint.

4. Nella sezione Endpoint di rete in questo gruppo, fai clic su Aggiungi endpoint di rete.

5. Seleziona l'istanza VM.

6. Nella sezione Interfaccia di rete vengono visualizzati il nome, la zona e la subnet della VM.

7. Nel campo Indirizzo IPv4, inserisci l'indirizzo IPv4 del nuovo endpoint di rete.

8. Nel campo Indirizzo IPv6, inserisci l'indirizzo IPv6 del nuovo endpoint di rete.

9. Seleziona il Tipo di porta.

   1. Se selezioni Predefinito, l'endpoint utilizza la porta predefinita 80 per tutti gli endpoint nel gruppo di endpoint di rete. Questo è sufficiente per il nostro esempio perché il server Apache gestisce le richieste sulla porta 80.
   2. Se selezioni Personalizzata, inserisci il Numero di porta da utilizzare per l'endpoint.

10. Per aggiungere altri endpoint, fai clic su Aggiungi endpoint di rete e ripeti i passaggi precedenti.

11. Dopo aver aggiunto tutti gli endpoint, fai clic su Crea.

gcloud

1. Aggiungi endpoint (endpoint GCE_VM_IP_PORT) a ZONAL_NEG.

   gcloud compute network-endpoint-groups update ZONAL_NEG \
       --zone=GCP_NEG_ZONE \
       --add-endpoint='instance=vm-a1,ip=IPv4_ADDRESS, \
         ipv6=IPv6_ADDRESS,port=80' \
       --add-endpoint='instance=vm-a2,ip=IPv4_ADDRESS, \
         ipv6=IPv6_ADDRESS,port=80'
   

Sostituisci quanto segue:

IPv4_ADDRESS: indirizzo IPv4 dell'endpoint di rete. L'IPv4 deve appartenere a una VM in Compute Engine (l'IP principale o all'interno di un intervallo IP con alias). Se l'indirizzo IP non è specificato, viene utilizzato l'indirizzo IP principale per l'istanza VM nella rete a cui appartiene il gruppo di endpoint di rete.

IPv6_ADDRESS: Indirizzo IPv6 dell'endpoint di rete. L'indirizzo IPv6 deve appartenere a un'istanza VM nella rete a cui appartiene il gruppo di endpoint di rete (indirizzo IPv6 esterno).

Console

1. Nella console Google Cloud, vai alla pagina Policy firewall.

   Vai a Policy del firewall

2. Per consentire il traffico nella subnet IPv6, fai di nuovo clic su Crea regola firewall e inserisci le seguenti informazioni:

   • Nome: fw-allow-lb-access-ipv6
   • Rete: NETWORK
   • Priorità: 1000
   • Direzione del traffico: in entrata
   • Target: tag di destinazione specificati
   • Tag di destinazione: allow-health-check-ipv6
   • Filtro di origine: intervalli IPv6

   • Intervalli IPv6 di origine:

     • Per bilanciatore del carico delle applicazioni esterno globale e bilanciatore del carico di rete proxy esterno globale, inserisci 2600:2d00:1:b029::/64,2600:2d00:1:1::/64

     • Per bilanciatore del carico delle applicazioni interno tra regioni, bilanciatore del carico delle applicazioni esterno regionale, bilanciatore del carico delle applicazioni interno regionale, bilanciatore del carico di rete proxy interno tra regioni, bilanciatore del carico di rete proxy esterno regionale e bilanciatore del carico di rete proxy interno regionale, inserisci 2600:2d00:1:b029::/64

   • Protocolli e porte: Consenti tutto

3. Fai clic su Crea.

gcloud

1. Crea la regola firewall fw-allow-lb-access-ipv6 per consentire la comunicazione con la subnet.

   Per il bilanciatore del carico delle applicazioni esterno globale e il bilanciatore del carico di rete proxy esterno globale, utilizza il seguente comando:

   gcloud compute firewall-rules create fw-allow-lb-access-ipv6 \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check-ipv6 \
       --source-ranges=2600:2d00:1:b029::/64,2600:2d00:1:1::/64 \
       --rules=all
   

   Per i bilanciatori del carico delle applicazioni interni tra regioni, i bilanciatori del carico delle applicazioni esterni a livello di regione, i bilanciatori del carico delle applicazioni interni a livello di regione, i bilanciatori del carico di rete proxy interni tra regioni, i bilanciatori del carico di rete proxy esterni a livello di regione e i bilanciatori del carico di rete proxy interni a livello di regione, utilizza il seguente comando:

   gcloud compute firewall-rules create fw-allow-lb-access-ipv6 \
       --network=NETWORK \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check-ipv6 \
       --source-ranges=2600:2d00:1:b029::/64 \
       --rules=all
   

Console

1. Nella console Google Cloud, vai alla pagina Policy firewall.

   Vai a Policy del firewall

2. Nel riquadro Regole firewall VPC, fai clic su fw-allow-lb-access-ipv6.

   • Intervalli IPv6 di origine: 2600:2d00:1:b029::/64, IPV6_PROXY_ONLY_SUBNET_RANGE

3. Fai clic su Salva.

gcloud

1. Aggiorna la regola firewall fw-allow-lb-access-ipv6 per consentire la comunicazione con la subnet solo proxy:

   gcloud compute firewall-rules update fw-allow-lb-access-ipv6 \
       --source-ranges=2600:2d00:1:b029::/64,IPV6_PROXY_ONLY_SUBNET_RANGE
   

Console

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Fai clic sul nome del bilanciatore del carico.

3. Fai clic su Modifica.

Configura il servizio di backend per IPv6

1. Fai clic su Configurazione backend.
2. In Tipo di backend, seleziona Gruppo di endpoint di rete zonale.
3. Nell'elenco Criterio di selezione degli indirizzi IP, seleziona Preferenza per IPv6.
4. Nel campo Protocollo:
   • Per il proxy TCP, seleziona TCP.
   • Per il proxy SSL, seleziona SSL.
5. Per i NEG a livello di zona:
   1. Nella sezione Backend, fai clic su Aggiungi un backend.
   2. Nel riquadro Nuovo backend:
      • Nell'elenco Gruppo di endpoint di rete, seleziona ZONAL_NEG.
      • Nel campo Connessioni massime, inserisci 10.
6. Per i gruppi di istanze: se hai già aggiornato l'istanza VM o i modelli al dual stack, non è necessario aggiornarli.
7. Fai clic su Fine.
8. Nell'elenco Controllo di integrità, seleziona un controllo di integrità HTTP.

Configura la regola di inoltro IPv6

Le regole di inoltro IPv6 non sono supportate per i bilanciatori del carico di rete proxy interni tra regioni, per i bilanciatori del carico di rete proxy esterni regionali e per i bilanciatori del carico di rete proxy interni regionali.

1. Fai clic su Configurazione frontend.
2. Fai clic su Aggiungi IP e porta frontend.
3. Nel campo Nome, inserisci un nome per la regola di inoltro.
4. Nel campo Protocollo:
   • Per il proxy TCP, seleziona TCP.
   • Per il proxy SSL, seleziona SSL.
5. Imposta Versione IP su IPv6.
6. Per il proxy SSL, seleziona un certificato nell'elenco Certificati.
7. Fai clic su Fine.
8. Fai clic su Aggiorna.

gcloud

1. Aggiungi i NEG zonali dual-stack come backend del servizio di backend.

   globale

   Per il bilanciatore del carico di rete proxy esterno globale, utilizza il comando:

    gcloud compute backend-services add-backend BACKEND_SERVICE \
        --network-endpoint-group=ZONAL_NEG \
        --max-rate-per-endpoint=10 \
        --global
   

   tra regioni

   Per il bilanciatore del carico di rete proxy interno tra regioni, utilizza il comando:

    gcloud compute backend-services add-backend BACKEND_SERVICE \
        --network-endpoint-group=ZONAL_NEG \
        --max-rate-per-endpoint=10 \
        --global
   

   regionale

   Per il bilanciatore del carico di rete proxy esterno regionale e il bilanciatore del carico di rete proxy interno regionale, utilizza il comando:

    gcloud compute backend-services add-backend BACKEND_SERVICE \
        --network-endpoint-group=ZONAL_NEG \
        --max-rate-per-endpoint=10 \
        --region=REGION
   

2. Aggiungi il gruppo di istanze dual-stack come backend del servizio di backend. Poiché hai già aggiornato le istanze o i modelli VM al dual stack, non devi fare altro.

3. Solo per i bilanciatori del carico di rete proxy esterni globali. Per creare la regola di forwarding IPv6 per il bilanciatore del carico di rete del proxy esterno globale con un proxy SSL di destinazione, utilizza il seguente comando:

   gcloud compute forwarding-rules create FORWARDING_RULE_IPV6 \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network-tier=PREMIUM \
      --address=lb-ipv6-1 \
      --global \
      --target-ssl-proxy=TARGET_PROXY \
      --ports=80
   

   Per creare la regola di inoltro IPv6 per il bilanciatore del carico di rete proxy esterno globale con un proxy TCP di destinazione, utilizza il seguente comando:

   gcloud compute forwarding-rules create FORWARDING_RULE_IPV6 \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network-tier=PREMIUM \
      --global \
      --target-tcp-proxy=TARGET_PROXY \
      --ports=80
   

Console

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Fai clic sul nome del bilanciatore del carico.

3. Fai clic su Modifica.

4. Fai clic su Configurazione backend.

5. Nel campo Servizio di backend, seleziona BACKEND_SERVICE.

6. Il tipo di backend deve essere Gruppo di endpoint di rete a livello di zona o Gruppo di istanze.

7. Nell'elenco Criterio di selezione degli indirizzi IP, seleziona IP_ADDRESS_SELECTION_POLICY.

8. Fai clic su Fine.

gcloud

Aggiorna la policy di selezione degli indirizzi IP per il servizio di backend:

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=EXTERNAL_MANAGED \
    --protocol=SSL | TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --global

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=INTERNAL_MANAGED \
    --protocol=TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --global

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=EXTERNAL_MANAGED \
    --protocol=TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --region=REGION

gcloud compute backend-services update BACKEND_SERVICE_IPV6 \
    --load-balancing-scheme=INTERNAL_MANAGED \
    --protocol=TCP \
    --ip-address-selection-policy=IP_ADDRESS_SELECTION_POLICY \
    --region=REGION

Console

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Fai clic sul nome del bilanciatore del carico.

3. Nella sezione Frontend, vengono visualizzati due indirizzi IP del bilanciatore del carico. In questa procedura, l'indirizzo IPv4 è indicato come IP_ADDRESS_IPV4 e l'indirizzo IPv6 come IP_ADDRESS_IPV6.

4. Nella sezione Backend, quando il criterio di selezione dell'indirizzo IP è Prefer IPv6, vengono visualizzati due stati del controllo di integrità per i backend.