Configura un bilanciatore del carico di rete proxy interno regionale con backend di gruppi di istanze VM

Console

1. Nella console Google Cloud, vai alla pagina Reti VPC.

   Vai a Reti VPC

2. Fai clic su Crea rete VPC.

3. In Nome, inserisci lb-network.

4. Nella sezione Subnet, imposta Modalità di creazione subnet su Personalizzata.

5. Crea una subnet per i backend del bilanciatore del carico. Nella sezione Nuova subnet, inserisci le seguenti informazioni:

   • Nome: backend-subnet
   • Regione: REGION_A
   • Intervallo di indirizzi IP: 10.1.2.0/24

6. Fai clic su Fine.

7. Fai clic su Aggiungi subnet.

8. Crea una subnet per dimostrare l'accesso globale. Nella sezione Nuova subnet, inserisci le seguenti informazioni:

   • Nome: test-global-access-subnet
   • Regione: REGION_B
   • Intervallo di indirizzi IP: 10.3.4.0/24

9. Fai clic su Fine.

10. Fai clic su Crea.

gcloud

1. Crea la rete VPC personalizzata con il comando gcloud compute networks create:

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. Crea una subnet nella rete lb-network nella regione REGION_A con il comando gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
      --network=lb-network \
      --range=10.1.2.0/24 \
      --region=REGION_A
   

   Sostituisci REGION_A con il nome della regione Google Cloud di destinazione.

3. Crea una subnet nella rete lb-network nella regione REGION_B con il comando gcloud compute networks subnets create:

   gcloud compute networks subnets create test-global-access-subnet \
      --network=lb-network \
      --range=10.3.4.0/24 \
      --region=REGION_B
   

   Sostituisci REGION_B con il nome della regione Google Cloud in cui vuoi creare la seconda subnet per testare l'accesso globale.

Console

Se utilizzi la console Google Cloud, puoi attendere e creare la sottorete solo proxy in un secondo momento nella pagina Equilibrazione del carico.

Se vuoi creare subito la subnet solo proxy:

1. Nella console Google Cloud, vai alla pagina Reti VPC.
   Vai a Reti VPC
2. Fai clic sul nome della rete VPC condiviso: lb-network.
3. Fai clic su Aggiungi subnet.
4. In Nome, inserisci proxy-only-subnet.
5. In Regione, seleziona REGION_A.
6. Imposta Finalità su Proxy gestito a livello di regione.
7. In Intervallo di indirizzi IP, inserisci 10.129.0.0/23.
8. Fai clic su Aggiungi.

gcloud

Crea la subnet solo proxy con il comando gcloud compute networks subnets create.

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION_A \
    --network=lb-network \
    --range=10.129.0.0/23

Console

1. Nella console Google Cloud, vai alla pagina Criteri firewall.
   Vai a Criteri firewall
2. Fai clic su Crea regola firewall per creare la regola che consente le connessioni SSH in entrata:
   • Nome: fw-allow-ssh
   • Rete: lb-network
   • Direzione del traffico: in entrata
   • Azione in caso di corrispondenza: Consenti
   • Target: tag di destinazione specificati
   • Tag di destinazione: allow-ssh
   • Filtro di origine: intervalli IPv4
   • Intervalli IPv4 di origine: 0.0.0.0/0
   • Protocolli e porte:
     • Scegli Protocolli e porte specificati.
     • Seleziona la casella di controllo TCP, quindi inserisci 22 per il numero di porta.
3. Fai clic su Crea.
4. Fai clic su Crea regola firewall una seconda volta per creare la regola per consentire i controlli di integrità di Google Cloud:
   • Nome: fw-allow-health-check
   • Rete: lb-network
   • Direzione del traffico: in entrata
   • Azione in caso di corrispondenza: Consenti
   • Target: tag di destinazione specificati
   • Tag di destinazione: allow-health-check
   • Filtro di origine: intervalli IPv4
   • Intervalli IPv4 di origine: 130.211.0.0/22 e 35.191.0.0/16
   • Protocolli e porte:
     • Scegli Protocolli e porte specificati.
     • Seleziona la casella di controllo TCP, quindi inserisci 80 per il numero di porta.
       Come best practice, limita questa regola solo ai protocolli e alle porte che corrispondono a quelli utilizzati dal controllo dell'integrità. Se utilizzi tcp:80 per il protocollo e la porta, Google Cloud può utilizzare HTTP sulla porta 80 per contattare le VM, ma non può utilizzare HTTPS sulla porta 443 per contattarle.
5. Fai clic su Crea.
6. Fai clic su Crea regola firewall una terza volta per creare la regola che consenta ai server proxy del bilanciatore del carico di connettere i backend:
   • Nome: fw-allow-proxy-only-subnet
   • Rete: lb-network
   • Direzione del traffico: in entrata
   • Azione in caso di corrispondenza: Consenti
   • Target: tag di destinazione specificati
   • Tag di destinazione: allow-proxy-only-subnet
   • Filtro di origine: intervalli IPv4
   • Intervalli IPv4 di origine: 10.129.0.0/23
   • Protocolli e porte:
     • Scegli Protocolli e porte specificati.
     • Seleziona la casella di controllo TCP e inserisci 80 per i numeri di porta.
7. Fai clic su Crea.

gcloud

1. Crea la regola firewall fw-allow-ssh per consentire la connettività SSH alle VM con il tag di rete allow-ssh. Se ometti source-ranges, Google Cloud interpreta la regola come qualsiasi origine.

   gcloud compute firewall-rules create fw-allow-ssh \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --target-tags=allow-ssh \
      --rules=tcp:22
   

2. Crea la regola fw-allow-health-check per consentire i controlli di integrità di Google Cloud. Questo esempio consente tutto il traffico TCP proveniente dai probe del controllo di integrità. Tuttavia, puoi configurare un insieme più ristretto di porte in base alle tue esigenze.

   gcloud compute firewall-rules create fw-allow-health-check \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=130.211.0.0/22,35.191.0.0/16 \
      --target-tags=allow-health-check \
      --rules=tcp:80
   

3. Crea la regola fw-allow-proxy-only-subnet per consentire ai proxy Envoy della regione di connettersi ai tuoi backend. Imposta --source-ranges sugli intervalli allocati della subnet solo proxy, in questo esempio 10.129.0.0/23.

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=10.129.0.0/23 \
      --target-tags=allow-proxy-only-subnet \
      --rules=tcp:80
   

Console

1. Creare un modello di istanza. Nella console Google Cloud, vai alla pagina Modelli di istanza.

   Vai a Modelli di istanza

   1. Fai clic su Crea modello istanza.
   2. In Nome, inserisci int-tcp-proxy-backend-template.
   3. Assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 10 (stretch). Queste istruzioni utilizzano comandi disponibili solo su Debian, come apt-get.
   4. Fai clic su Opzioni avanzate.
   5. Fai clic su Networking e configura i seguenti campi:
      1. In Tag di rete, inserisci allow-ssh, allow-health-check e allow-proxy-only-subnet.
      2. In Interfacce di rete, seleziona quanto segue:
         • Rete: lb-network
         • Subnet: backend-subnet

   6. Fai clic su Gestione. Inserisci lo script che segue nel campo Script di avvio.

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. Fai clic su Crea.

2. Creare un gruppo di istanze gestite. Nella console Google Cloud, vai alla pagina Gruppi di istanze.

   Vai a Gruppi di istanze

   1. Fai clic su Crea gruppo di istanze.
   2. Seleziona Nuovo gruppo di istanze gestite (stateless). Per ulteriori informazioni, consulta Gruppi di istanze gestite stateless o stateful.
   3. In Nome, inserisci mig-a.
   4. In Località, seleziona Zona singola.
   5. In Regione, seleziona REGION_A.
   6. In Zona, seleziona ZONE_A1.
   7. In Modello di istanza, seleziona int-tcp-proxy-backend-template.

   8. Specifica il numero di istanze che vuoi creare nel gruppo.

      Per questo esempio, specifica le seguenti opzioni in Scalabilità automatica:

      • Per la modalità di scalabilità automatica, seleziona Off:do not autoscale.
      • In Numero massimo di istanze, inserisci 2.

   9. In Mappatura delle porte, fai clic su Aggiungi porta.

      • In Nome porta, inserisci tcp80.
      • In Numero porta, inserisci 80.

   10. Fai clic su Crea.

3. Ripeti il passaggio 2 per creare un secondo gruppo di istanze gestite con le seguenti impostazioni:

   1. Nome: mig-c
   2. Zona: ZONE_A2 mantieni invariate tutte le altre impostazioni.

gcloud

Le istruzioni gcloud in questa guida presuppongono che tu stia utilizzando Cloud Shell o un altro ambiente con bash installato.

1. Crea un modello di istanza VM con il server HTTP con il comando gcloud compute instance-templates create.

   gcloud compute instance-templates create int-tcp-proxy-backend-template \
      --region=REGION_A \
      --network=lb-network \
      --subnet=backend-subnet \
      --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
      --image-family=debian-12 \
      --image-project=debian-cloud \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
   

2. Crea un gruppo di istanze gestite nella zona ZONE_A1.

   gcloud compute instance-groups managed create mig-a \
      --zone=ZONE_A1 \
      --size=2 \
      --template=int-tcp-proxy-backend-template
   

   Sostituisci ZONE_A1 con il nome della zona nella regione Google Cloud di destinazione.

3. Crea un gruppo di istanze gestite nella zona ZONE_A2.

   gcloud compute instance-groups managed create mig-c \
      --zone=ZONE_A2 \
      --size=2 \
      --template=int-tcp-proxy-backend-template
   

   Sostituisci ZONE_A2 con il nome di un'altra zona nella regione Google Cloud di destinazione.

Console

Avvia la configurazione

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Fai clic su Crea bilanciatore del carico.
3. In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico di rete (TCP/UDP/SSL) e fai clic su Avanti.
4. Per Proxy o passthrough, seleziona Bilanciatore del carico proxy e fai clic su Avanti.
5. In Pubblico o interno, seleziona Interno e fai clic su Avanti.
6. In Deployment tra regioni o in una regione singola, seleziona Ideale per workload regionali e fai clic su Avanti.
7. Fai clic su Configura.

Configurazione di base

1. In Nome, inserisci my-int-tcp-lb.
2. In Regione, seleziona REGION_A.
3. In Rete, seleziona lb-network.

Riserva una subnet solo proxy

Per prenotare una subnet solo proxy:

1. Fai clic su Riserva subnet.
2. In Nome, inserisci proxy-only-subnet.
3. In Intervallo di indirizzi IP, inserisci 10.129.0.0/23.
4. Fai clic su Aggiungi.

Configurazione backend

1. Fai clic su Configurazione backend.
2. In Tipo di backend, seleziona Gruppo di istanze.
3. In Protocollo, seleziona TCP.
4. In Porta denominata, inserisci tcp80.
5. Configura il primo backend:
   1. In Nuovo backend, seleziona il gruppo di istanze mig-a.
   2. In Numeri di porta, inserisci 80.
   3. Mantieni i valori predefiniti rimanenti e fai clic su Fine.
6. Configura il secondo backend:
   1. Fai clic su Aggiungi backend.
   2. In Nuovo backend, seleziona il gruppo di istanze mig-c.
   3. In Numeri di porta, inserisci 80.
   4. Mantieni i valori predefiniti rimanenti e fai clic su Fine.
7. Configura il controllo di integrità:
   1. In Controllo di integrità, seleziona Crea un controllo di integrità.
   2. Imposta il nome del controllo di integrità su tcp-health-check.
   3. In Protocollo, seleziona TCP.
   4. Imposta Porta su 80.
8. Mantieni i valori predefiniti rimanenti e fai clic su Salva.
9. Nella console Google Cloud, verifica che sia presente un segno di spunta accanto a Configurazione backend. In caso contrario, assicurati di aver completato tutti i passaggi.

Configurazione frontend

1. Fai clic su Configurazione frontend.
2. In Nome, inserisci int-tcp-forwarding-rule.
3. In Subnet, seleziona backend-subnet.
4. In Indirizzo IP, seleziona l'indirizzo IP prenotato in precedenza: LB_IP_ADDRESS
5. In Numero porta, inserisci 110. La regola di forwarding inoltra solo i pacchetti con una porta di destinazione corrispondente.
6. In questo esempio, non attivare il Proxy Protocol perché non funziona con il software Apache HTTP Server. Per ulteriori informazioni, consulta Protocollo proxy.
7. Fai clic su Fine.
8. Nella console Google Cloud, verifica che sia presente un segno di spunta accanto a Configurazione frontend. In caso contrario, assicurati di aver completato tutti i passaggi precedenti.

Esamina e finalizza

1. Fai clic su Esamina e finalizza.
2. Rivedi le impostazioni di configurazione del bilanciatore del carico.
3. (Facoltativo) Fai clic su Codice equivalente per visualizzare la richiesta dell'API REST che verrà utilizzata per creare il bilanciatore del carico.
4. Fai clic su Crea.

gcloud

1. Crea un controllo di integrità a livello di regione.

   gcloud compute health-checks create tcp tcp-health-check \
      --region=REGION_A \
      --use-serving-port
   

2. Crea un servizio di backend.

   gcloud compute backend-services create internal-tcp-proxy-bs \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --protocol=TCP \
      --region=REGION_A \
      --health-checks=tcp-health-check \
      --health-checks-region=REGION_A
   

3. Aggiungi gruppi di istanze al servizio di backend.

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --region=REGION_A \
      --instance-group=mig-a \
      --instance-group-zone=ZONE_A1 \
      --balancing-mode=UTILIZATION \
      --max-utilization=0.8
   

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --region=REGION_A \
      --instance-group=mig-c \
      --instance-group-zone=ZONE_A2 \
      --balancing-mode=UTILIZATION \
      --max-utilization=0.8
   

4. Crea un proxy TCP di destinazione interno.

   gcloud compute target-tcp-proxies create int-tcp-target-proxy \
      --backend-service=internal-tcp-proxy-bs \
      --proxy-header=NONE \
      --region=REGION_A
   

   Se vuoi attivare l'intestazione proxy, impostala su PROXY_V1 anziché NONE. In questo esempio, non attivare il protocollo Proxy perché non funziona con il software Apache HTTP Server. Per ulteriori informazioni, consulta Protocollo proxy.

5. Crea la regola di forwarding. Per --ports, specifica un singolo numero di porta tra 1 e 65535. In questo esempio viene utilizzata la porta 110. La regola di forwarding inoltra solo i pacchetti con una porta di destinazione corrispondente.

   gcloud compute forwarding-rules create int-tcp-forwarding-rule \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=lb-network \
      --subnet=backend-subnet \
      --region=REGION_A \
      --target-tcp-proxy=int-tcp-target-proxy \
      --target-tcp-proxy-region=REGION_A \
      --address=int-tcp-ip-address \
      --ports=110
   

Console

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Fai clic su Crea istanza.

3. Imposta Nome su client-vm.

4. Imposta Zona su ZONE_A1.

5. Fai clic su Opzioni avanzate.

6. Fai clic su Networking e configura i seguenti campi:

   1. In Tag di rete, inserisci allow-ssh.
   2. In Interfacce di rete, seleziona quanto segue:
      • Rete: lb-network
      • Subnet: backend-subnet

7. Fai clic su Crea.

gcloud

La VM client deve trovarsi nella stessa rete VPC e nella stessa regione del bilanciatore del carico. Non è necessario che si trovi nella stessa subnet o nella stessa zona. Il client utilizza la stessa sottorete delle VM di backend.

gcloud compute instances create client-vm \
    --zone=ZONE_A1 \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=backend-subnet

Console

Crea una nuova regola di forwarding per il bilanciatore del carico:

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

   Vai a Bilanciamento del carico

2. Nella colonna Nome, fai clic sul bilanciatore del carico.

3. Fai clic su Configurazione frontend.

4. Fai clic su Aggiungi IP e porta frontend.

5. Inserisci il nome e i dettagli della sottorete per la nuova regola di forwarding.

6. In Subnet, seleziona backend-subnet.

7. In Indirizzo IP, puoi selezionare lo stesso indirizzo IP di una regola di forwarding esistente, prenotare un nuovo indirizzo IP o utilizzare un indirizzo IP temporaneo. La condivisione dello stesso indirizzo IP tra più regole di inoltro è possibile solo se imposti il flag --purpose SHARED_LOADBALANCER_VIP per l'indirizzo IP durante la creazione.

8. In Numero porta, inserisci 110.

9. Per Accesso globale, seleziona Attiva.

10. Fai clic su Fine.

11. Fai clic su Aggiorna.

gcloud

1. Crea una nuova regola di forwarding per il bilanciatore del carico con il flag --allow-global-access.

   gcloud compute forwarding-rules create int-tcp-forwarding-rule-global-access \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=lb-network \
      --subnet=backend-subnet \
      --region=REGION_A \
      --target-tcp-proxy=int-tcp-target-proxy \
      --target-tcp-proxy-region=REGION_A \
      --address=int-tcp-ip-address \
      --ports=110 \
      --allow-global-access
   

2. Puoi utilizzare il comando gcloud compute forwarding-rules describe per determinare se per una regola di forwarding è attivato l'accesso globale. Ad esempio:

   gcloud compute forwarding-rules describe int-tcp-forwarding-rule-global-access \
      --region=REGION_A \
      --format="get(name,region,allowGlobalAccess)"
   

   Quando l'accesso globale è abilitato, la parola True viene visualizzata nell'output dopo il nome e la regione della regola di forwarding.

Console

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Fai clic su Crea istanza.

3. Imposta Nome su test-global-access-vm.

4. Imposta Zona su ZONE_B1.

5. Fai clic su Opzioni avanzate.

6. Fai clic su Networking e configura i seguenti campi:

   1. In Tag di rete, inserisci allow-ssh.
   2. In Interfacce di rete, seleziona quanto segue:
      • Rete: lb-network
      • Subnet: test-global-access-subnet

7. Fai clic su Crea.

gcloud

Crea una VM client nella zona ZONE_B1.

gcloud compute instances create test-global-access-vm \
    --zone=ZONE_B1 \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=test-global-access-subnet

Sostituisci ZONE_B1 con il nome della zona nella regione REGION_B.

Console

Per attivare l'affinità sessione dell'IP client:

1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
   Vai a Bilanciamento del carico
2. Fai clic su Backend.
3. Fai clic su internal-tcp-proxy-bs (il nome del servizio di backend che hai creato per questo esempio) e poi su Modifica.
4. Nella pagina Dettagli del servizio di backend, fai clic su Configurazione avanzata.
5. In Affinità sessione, seleziona IP client dal menu.
6. Fai clic su Aggiorna.

gcloud

Utilizza il seguente comando Google Cloud CLI per aggiornare il servizio di backend internal-tcp-proxy-bs, specificando l'affinità sessione IP del client:

gcloud compute backend-services update internal-tcp-proxy-bs \
    --region=REGION_A \
    --session-affinity=CLIENT_IP