Sebelum mengikuti panduan ini, pahami dokumentasi Ringkasan NEG Internet, termasuk batasan.
Diagram arsitektur berikut menunjukkan frontend Load Balancer Aplikasi eksternal regional dengan backend eksternal.
Izin
Untuk mengikuti panduan ini, Anda perlu membuat NEG internet dan membuat atau mengubah
Load Balancer Aplikasi dalam sebuah project. Anda harus menjadi Pemilik atau Editor project (roles/owner
atau roles/editor
), atau Anda harus memiliki kedua peran IAM Compute Engine berikut.
Tugas | Peran yang diperlukan |
---|---|
Membuat dan mengubah komponen load balancer | Compute Network Admin ( roles/compute.networkAdmin )
|
Membuat dan mengubah NEG | Compute Instance Admin ( roles/compute.instanceAdmin )
|
Menyiapkan lingkungan backend eksternal di luar Trusted Cloud
Untuk menyiapkan lingkungan backend eksternal, lihat bagian berikut.
Mengonfigurasi endpoint jaringan
Konfigurasi endpoint jaringan untuk mengekspos backend eksternal Anda ke Trusted Cloud. Pastikan endpoint—baik kombinasi IP:Port atau nama domain yang sepenuhnya memenuhi syarat (FQDN) dan port—dapat dijangkau melalui internet. Endpoint ini kemudian dirujuk dari NEG internet.
Untuk mengetahui persyaratan konfigurasi mendetail untuk endpoint NEG internet, lihat Ringkasan NEG internet.
Mengizinkan backend eksternal menerima traffic dari Trusted Cloud
Langkah ini dapat diselesaikan setelah Anda membuat subnet khusus proxy dan menyiapkan gateway Cloud NAT.
Agar permintaan dari Trusted Cloud dapat mencapai backend eksternal Anda, Anda harus melakukan langkah-langkah berikut:
- Konfigurasi gateway Cloud NAT dengan alamat IP yang digunakan untuk traffic keluar dari Trusted Cloud. Gateway memetakan rentang subnet khusus proxy ke alamat IP eksternal. Untuk mengetahui langkah-langkahnya, lihat Menyiapkan gateway Cloud NAT.
- Pastikan lingkungan backend eksternal Anda dikonfigurasi untuk mengizinkan traffic dari Trusted Cloud untuk menjangkau backend eksternal. Misalnya, jika Anda menggunakan alamat IP yang telah dicadangkan untuk gateway NAT, Anda harus memasukkan alamat IP tersebut ke daftar yang diizinkan di lingkungan eksternal Anda. Anda mungkin perlu bekerja sama dengan admin jaringan atau keamanan lingkungan eksternal Anda untuk menyiapkan hal ini.
Menyiapkan Trusted Cloud lingkungan
Anda memerlukan jaringan VPC dengan dua subnet: satu untuk komponen load balancer dan yang lainnya untuk subnet khusus proxy region. Kemudian, Anda akan membuat load balancer dengan backend NEG internet.
Buat jaringan dan subnet VPC
Subnet ini digunakan untuk membuat komponen load balancer.
Cloud Console
- Di Trusted Cloud konsol, buka halaman VPC networks.
Buka jaringan VPC - Klik Create VPC network.
- Masukkan Nama: LB_NETWORK.
- Di bagian Subnet:
- Setel Subnet creation mode ke Custom.
- Di bagian New subnet, masukkan informasi berikut:
- Nama: LB_SUBNET_NAME
- Region: REGION
- Rentang alamat IP: LB_SUBNET_RANGE
- Klik Selesai.
- Klik Create.
gcloud
Buat jaringan VPC kustom menggunakan perintah
gcloud compute networks create
:gcloud compute networks create LB_NETWORK \ --subnet-mode=custom
Buat subnet di jaringan LB_NETWORK.
gcloud compute networks subnets create LB_SUBNET_NAME \ --network=LB_NETWORK \ --range=LB_SUBNET_RANGE \ --region=REGION
Konfigurasi subnet khusus proxy
Subnet khusus proxy ini digunakan oleh semua load balancer berbasis Envoy regional di region REGION.
Konsol
- Di Trusted Cloud konsol, buka halaman VPC networks.
Buka jaringan VPC - Pilih Jaringan dari daftar.
- Klik Tambahkan subnet.
- Masukkan Nama: PROXY_ONLY_SUBNET_NAME.
- Pilih Wilayah: REGION.
- Tetapkan Purpose ke Regional Managed Proxy.
- Masukkan rentang alamat IP: PROXY_ONLY_SUBNET_RANGE.
- Klik Tambahkan.
gcloud
Buat subnet khusus proxy dengan perintah gcloud compute networks subnets
create
.
gcloud compute networks subnets create PROXY_ONLY_SUBNET_NAME \ --purpose=REGIONAL_MANAGED_PROXY \ --role=ACTIVE \ --region=REGION \ --network=LB_NETWORK \ --range=PROXY_ONLY_SUBNET_RANGE
Menyiapkan gateway Cloud NAT
Sebelum mengonfigurasi gateway Cloud NAT, pastikan Anda telah meninjau batasan terkait dan pertimbangan harga. Untuk mengetahui detailnya, lihat NEG regional: Menggunakan gateway Cloud NAT.Perintah berikut menjelaskan cara menyiapkan gateway Cloud NAT. Gateway Cloud NAT dapat dikonfigurasi untuk menggunakan alamat IP eksternal NAT otomatis, yang alokasinya didasarkan pada permintaan, atau menggunakan serangkaian alamat IP eksternal yang telah dipesan secara manual. Gateway memetakan rentang subnet khusus proxy ke alamat IP eksternal.
Menyiapkan alamat IP yang dialokasikan NAT otomatis
Saat membuat gateway Cloud NAT dengan alokasi alamat IP NAT otomatis, Anda dapat menentukan Network Service Tiers (Paket Premium atau Paket Standar) tempat gateway Cloud NAT mengalokasikan alamat IP.
Konsol
Di konsol Trusted Cloud , buka halaman Cloud NAT.
Klik Get started atau Create Cloud NAT gateway.
Masukkan nama gateway LB_NAT_CONFIG.
Untuk NAT type, pilih Public.
Dalam daftar Jaringan, pilih LB_NETWORK.
Dalam daftar Region, pilih REGION.
Buat Cloud Router di region.
Untuk Source endpoint type, pilih Managed proxy load balancers.
Dalam daftar Sumber, pilih Kustom.
- Untuk Subnets, pilih PROXY_ONLY_SUBNET_NAME.
Dalam daftar Alamat IP Cloud NAT, pilih Otomatis (direkomendasikan).
Untuk Network service tier, pilih Premium atau Standard.
Klik Buat.
gcloud
Gunakan alamat IP yang dialokasikan secara dinamis jika lingkungan backend eksternal Anda tidak mengharuskan Anda untuk memasukkan alamat IP tertentu ke dalam daftar yang diizinkan yang dapat mengirim traffic ke backend eksternal. Trusted Cloud
Membuat cloud router
gcloud beta compute routers create ROUTER_NAME \ --network=LB_NETWORK \ --region=REGION
Siapkan gateway Cloud NAT.
gcloud beta compute routers nats create LB_NAT_CONFIG \ --router=ROUTER_NAME \ --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \ --nat-custom-subnet-ip-ranges=PROXY_ONLY_SUBNET_NAME \ --auto-allocate-nat-external-ips \ --region=REGION
Ganti kode berikut:
LB_NAT_CONFIG
: nama konfigurasi NAT Anda.ROUTER_NAME
: nama Cloud Router Anda.REGION
: region NAT yang akan dibuat. Jika tidak ditentukan, Anda mungkin diminta untuk memilih region (hanya mode interaktif).PROXY_ONLY_SUBNET_NAME
: nama subnet khusus proxy Anda.
Menyiapkan alamat IP yang dialokasikan secara manual
Gunakan alamat IP yang dialokasikan secara manual hanya jika lingkungan backend eksternal Anda mengharuskan Anda menggunakan daftar yang diizinkan untuk alamat IP tertentu. Trusted Cloud Jika lingkungan backend eksternal tidak memerlukan daftar yang diizinkan, gunakan alokasi dinamis seperti yang ditunjukkan sebelumnya.
Saat membuat gateway Cloud NAT, Anda dapat memilih untuk menetapkan alamat IP NAT secara manual dari Paket Premium atau Paket Standar atau keduanya, dengan tunduk pada kondisi tertentu.
Konsol
Di konsol Trusted Cloud , buka halaman Cloud NAT.
Klik Get started atau Create Cloud NAT gateway.
Masukkan nama gateway LB_NAT_CONFIG.
Dalam daftar Jaringan, pilih LB_NETWORK.
Dalam daftar Region, pilih REGION.
Pilih atau buat Cloud Router di region.
Untuk Source endpoint type, pilih Managed proxy load balancers.
Dalam daftar Sumber, pilih Kustom.
- Di Subnets, pilih PROXY_ONLY_SUBNET_NAME.
Dalam daftar Alamat IP Cloud NAT, pilih Manual.
Untuk Network service tier, pilih Premium atau Standard.
Pilih atau buat alamat IP eksternal statis yang dicadangkan untuk digunakan bagi NAT.
Jika Anda ingin menentukan alamat IP tambahan, klik Tambahkan alamat IP, lalu pilih atau buat alamat IP eksternal statis yang dicadangkan tambahan.
Klik Buat.
gcloud
Buat alamat IP. Karena gateway melakukan terjemahan NAT satu-ke-satu, Anda harus memastikan bahwa kumpulan alamat IP yang dicadangkan cukup besar untuk menangani jumlah traffic yang Anda harapkan. Alamat IP NAT yang dialokasikan tidak memadai dapat menyebabkan hilangnya traffic.
gcloud compute addresses create IP_ADDRESS_NAME_1 IP_ADDRESS_NAME_2 [IP_ADDRESS_NAME_3 ...] \ --region=REGION
Membuat cloud router
gcloud compute routers create ROUTER_NAME \ --network=LB_NETWORK \ --region=REGION
Siapkan gateway Cloud NAT.
gcloud beta compute routers nats create LB_NAT_CONFIG \ --router=ROUTER_NAME \ --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \ --nat-custom-subnet-ip-ranges=PROXY_ONLY_SUBNET_NAME \ --nat-external-ip-pool=IP_ADDRESS_NAME_1,IP_ADDRESS_NAME_2,[IP_ADDRESS_NAME_3 ...] \ --region=REGION
Ganti kode berikut:
LB_NAT_CONFIG
: nama konfigurasi NAT Anda.ROUTER_NAME
: nama Cloud Router Anda.PROXY_ONLY_SUBNET_NAME
: nama subnet khusus proxy Anda.REGION
: region NAT yang akan dibuat. Jika tidak ditentukan, Anda mungkin diminta untuk memilih region (hanya mode interaktif).
Menyiapkan alokasi port dinamis
Perbarui gateway Cloud NAT untuk menggunakan mode alokasi port dinamis agar dapat menggunakan alamat IP yang ditetapkan sepenuhnya.
gcloud
Perbarui gateway Cloud NAT. Sebaiknya tetapkan jumlah minimum port ke 2048 dan jumlah maksimum port ke 4096.
gcloud compute routers nats update LB_NAT_CONFIG \ --router=ROUTER_NAME \ --enable-dynamic-port-allocation \ --min-ports-per-vm=MIN_PORTS_PER_VM \ --max-ports-per-vm=MAX_PORTS_PER_VM \ --region=REGION
Verifikasi bahwa alokasi port dinamis diaktifkan dan jumlah port minimum dan maksimum telah ditetapkan.
gcloud compute routers nats describe LB_NAT_CONFIG \ --router=ROUTER_NAME \ --region=REGION
Outputnya mirip dengan hal berikut ini:
enableDynamicPortAllocation: true enableEndpointIndependentMapping: false endpointTypes: ‐ ENDPOINT_TYPE_MANAGED_PROXY_LB logConfig: enable: true filter: ALL maxPortsPerVm: 4096 minPortsPerVm: 2048 name: LB_NAT_CONFIG natIpAllocateOption: MANUAL_ONLY natIps: ‐ https://www.googleapis.com/compute/projects/PROJECT_NAME/regions/REGION/addresses/ADDRESS sourceSubnetworkIpRangesToNat: ALL_SUBNETWORKS_ALL_IP_RANGES type: PUBLIC
Untuk mengetahui informasi selengkapnya, lihat Menentukan rentang subnet untuk NAT dalam dokumentasi Cloud NAT.
Pastikan Anda menggunakan daftar yang diizinkan untuk rentang alamat IP NAT di lingkungan backend eksternal, sehingga backend eksternal Anda dapat menerima traffic dari Trusted Cloud.
Mencadangkan alamat IP load balancer
Cadangkan alamat IP statis untuk load balancer.
Konsol
Di konsol Trusted Cloud , buka halaman Reserve a static address.
Pilih Nama untuk alamat baru.
Untuk Network Service Tier, pilih Standard.
Untuk IP version, pilih IPv4. Alamat IPv6 hanya dapat bersifat global dan hanya dapat digunakan dengan load balancer global.
Untuk Jenis, pilih Regional.
Pilih Region.
Biarkan opsi Dilampirkan ke ditetapkan ke Tidak ada. Setelah Anda membuat load balancer, alamat IP ini akan dilampirkan ke aturan penerusan load balancer.
Klik Reserve untuk mereservasi alamat IP.
gcloud
Untuk mereservasi alamat IP eksternal statis menggunakan
gcloud compute
, gunakan perintahcompute addresses create
.gcloud compute addresses create LB_IP_ADDRESS \ --region=REGION \ --network-tier=STANDARD
Ganti kode berikut:
LB_IP_ADDRESS
: nama yang ingin Anda beri untuk alamat ini.REGION
: region tempat Anda ingin mencadangkan alamat ini. Region ini harus berupa region yang sama dengan load balancer. Semua alamat IP regional adalahIPv4
.
Gunakan perintah
compute addresses describe
untuk melihat hasilnya:gcloud compute addresses describe LB_IP_ADDRESS
Menyiapkan NEG internet
Anda dapat membuat NEG internet menggunakan endpoint INTERNET_FQDN_PORT
atau
endpoint INTERNET_IP_PORT
.
Konsol
Buat NEG dengan INTERNET_FQDN_PORT
endpoint
Di konsol Trusted Cloud , buka halaman Network endpoint group.
Klik Create network endpoint group.
Tentukan INTERNET_NEG_NAME untuk NEG Internet Anda. Untuk mengetahui informasi selengkapnya, lihat Konvensi penamaan resource.
Di daftar Network endpoint group type, pilih Network endpoint group (Internet), lalu lakukan hal berikut:
- Di daftar Cakupan, pilih Regional.
- Opsional: Di daftar Region, ubah REGION untuk NEG ini.
- Dalam daftar Jaringan, pilih LB_NETWORK.
- Di kotak Default port, masukkan DEFAULT_PORT_NUMBER.
- Dalam daftar Tambahkan endpoint melalui, pilih Nama domain dan port yang sepenuhnya memenuhi syarat.
- Pilih Create.
Menambahkan endpoint INTERNET_FQDN_PORT
ke NEG
Di konsol Trusted Cloud , buka halaman Network endpoint group.
- Klik INTERNET_NEG_NAME.
Masukkan Nama domain yang sepenuhnya memenuhi syarat seperti
myorg.example.com
. Anda harus menentukan objek FQDN dalam sintaksis FQDN standar.Opsional: Untuk Jenis port, pilih Kustom. Jika Jenis port adalah
Default
, port default NEG akan digunakan.- Di kotak Nomor port, masukkan PORT_NUMBER_1.
- Pilih Create.
Buat NEG dengan INTERNET_IP_PORT
endpoint
Di konsol Trusted Cloud , buka halaman Network endpoint group.
Klik Create network endpoint group.
Tentukan nama INTERNET_NEG_NAME untuk NEG Internet Anda. Untuk mengetahui informasi selengkapnya, lihat Konvensi penamaan resource.
Di daftar Network endpoint group type, pilih Network endpoint group (Internet), lalu lakukan hal berikut:
- Di daftar Cakupan, pilih Regional.
- Opsional: Di daftar Region, ubah REGION untuk NEG ini.
- Dalam daftar Jaringan, pilih LB_NETWORK.
- Di kotak Default port, masukkan DEFAULT_PORT_NUMBER.
- Dalam daftar Tambahkan endpoint melalui, pilih IP dan port.
- Pilih Create.
Menambahkan endpoint INTERNET_IP_PORT
ke NEG
Di konsol Trusted Cloud , buka halaman Network endpoint group.
- Klik INTERNET_NEG_NAME.
- Di kolom IP address, masukkan IP_ADDRESS_1.
Opsional: Di daftar Port type, pilih Custom. Jika Jenis port adalah
Default
, port default NEG akan digunakan.- Di kolom Port number, masukkan PORT_NUMBER_1.
- Pilih Create.
gcloud
Untuk membuat NEG dengan endpoint INTERNET_FQDN_PORT
:
Buat resource NEG.
gcloud beta compute network-endpoint-groups create INTERNET_NEG_NAME \ --network-endpoint-type=INTERNET_FQDN_PORT \ --default-port=DEFAULT_PORT_NUMBER \ --network=LB_NETWORK \ --region=REGION
Tambahkan endpoint ke NEG. Jika port tidak ditentukan, port default NEG akan digunakan.
gcloud beta compute network-endpoint-groups update INTERNET_NEG_NAME \ --add-endpoint="fqdn=FULLY_QUALIFIED_DOMAIN_NAME_1,port=PORT_NUMBER_1" \ [--add-endpoint="fqdn=FULLY_QUALIFIED_DOMAIN_NAME_2,port=PORT_NUMBER_2" \] --region=REGION
Ganti kode berikut:
FULLY_QUALIFIED_DOMAIN_NAME
: nama domain yang sepenuhnya memenuhi syarat untuk endpointPORT_NUMBER
: nomor port untuk endpoint
Anda dapat menambahkan hingga 256 endpoint per NEG.
Jika domain Anda dapat di-resolve melalui internet, tidak ada konfigurasi lain yang diperlukan untuk menyiapkan DNS. Namun, jika Anda menggunakan FQDN pribadi, Anda harus mengonfigurasi Cloud DNS untuk memfasilitasi resolusi DNS. Nama harus dihosting di Cloud DNS atau dapat di-resolve melalui penerusan DNS dari Cloud DNS ke DNS lokal.
Mulai dengan membuat zona Cloud DNS untuk menghosting data DNS di project Anda. Kemudian, tambahkan data DNS ke domain tersebut. Lihat dokumentasi Cloud DNS untuk mengetahui langkah-langkah konfigurasi tertentu.
Untuk membuat NEG dengan endpoint INTERNET_IP_PORT
:
Buat resource NEG.
gcloud beta compute network-endpoint-groups create INTERNET_NEG_NAME \ --network-endpoint-type=INTERNET_IP_PORT \ --default-port=DEFAULT_PORT_NUMBER \ --network=LB_NETWORK \ --region=REGION
Tambahkan endpoint ke NEG. Jika port tidak ditentukan, port default NEG akan digunakan.
gcloud beta compute network-endpoint-groups update INTERNET_NEG_NAME \ --add-endpoint="ip=IP_ADDRESS_1,port=PORT_NUMBER_1" \ [--add-endpoint="ip=IP_ADDRESS_2,port=PORT_NUMBER_2" \] --region=REGION
Ganti kode berikut:
IP_ADDRESS
: alamat IP untuk endpointPORT_NUMBER
: nomor port untuk endpoint
Anda dapat mengulangi langkah ini untuk menambahkan hingga 256 endpoint per NEG.
Membuat load balancer
Konsol
Pilih jenis load balancer
Di konsol Trusted Cloud , buka halaman Load balancing.
- Klik Create load balancer.
- Untuk Type of load balancer, pilih Application Load Balancer (HTTP/HTTPS), lalu klik Next.
- Untuk Public facing or internal, pilih Public facing (external), lalu klik Next.
- Untuk Global or single region deployment, pilih Best for regional workloads, lalu klik Next.
- Klik Configure.
Konfigurasi dasar
- Masukkan Nama load balancer.
- Untuk Region, pilih REGION.
- Untuk Network, pilih LB_NETWORK.
Mereservasi subnet khusus proxy
Untuk mereservasi subnet khusus proxy:
- Klik Reserve subnet.
- Untuk Name, masukkan PROXY_ONLY_SUBNET_NAME.
- Untuk Rentang alamat IP, masukkan PROXY_ONLY_SUBNET_RANGE.
- Klik Tambahkan.
Konfigurasi frontend
- Klik Frontend configuration.
- Masukkan Nama.
Untuk membuat load balancer HTTPS, Anda harus memiliki sertifikat SSL. Sebaiknya gunakan sertifikat yang dikelola Google.
Properti Nilai (masukkan nilai atau pilih opsi yang ditentukan) Protokol HTTPS IP version IPv4 Alamat IP Pilih alamat IP yang dicadangkan sebelumnya: LB_IP_ADDRESS. Port 443 Sertifikat Pilih sertifikat SSL yang ada atau buat sertifikat baru.
Untuk membuat load balancer HTTPS, Anda harus memiliki resource sertifikat SSL untuk digunakan di proxy HTTPS.
Jika ingin menguji proses ini tanpa menyiapkan resource sertifikat SSL (atau domain seperti yang diperlukan oleh sertifikat yang dikelola Google), Anda dapat menyiapkan load balancer HTTP.
Untuk membuat load balancer HTTP, pastikan opsi berikut dikonfigurasi dengan nilai ini:
Properti Nilai (masukkan nilai atau pilih opsi yang ditentukan) Protokol HTTP IP version IPv4 Alamat IP Pilih alamat IP yang dicadangkan sebelumnya: LB_IP_ADDRESS. Port 80 Klik Selesai.
Konfigurasi backend
- Klik Backend configuration.
- Klik Backend services and backend buckets.
- Klik Create a backend service.
- Masukkan nama.
- Untuk Backend type, pilih Internet network endpoint group.
- Untuk Protocol, pilih protokol yang akan Anda gunakan dari load balancer ke NEG internet.
- Untuk Backends, di jendela New backend, pilih Regional internet network endpoint group yang dibuat pada langkah sebelumnya.
- Klik Selesai.
- Konfigurasi health check:
- Untuk Health check, pilih Create a health check.
- Tetapkan nama health check ke HTTP_HEALTH_CHECK_NAME.
- Untuk Protocol, pilih HTTP.
- Tetapkan Port ke
80
.
- Klik Buat.
Tinjau dan selesaikan
- Klik Review and finalize.
- Jika semuanya sudah benar, klik Buat.
gcloud
- Opsional: Buat health check. Probe health check untuk backend
eksternal menggunakan health check Envoy
terdistribusi dan kemudian diterjemahkan NAT.
gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \ --region=REGION \ --use-serving-port
- Buat layanan backend:
gcloud compute backend-services create BACKEND_SERVICE \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --health-checks=HTTP_HEALTH_CHECK_NAME \ --health-checks-region=REGION \ --region=REGION
- Tambahkan NEG internet ke layanan backend:
gcloud compute backend-services add-backend BACKEND_SERVICE \ --network-endpoint-group=INTERNET_NEG_NAME \ --network-endpoint-group-region=REGION \ --region=REGION
- Buat peta URL untuk mengarahkan permintaan masuk ke layanan backend:
gcloud compute url-maps create URL_MAP_NAME \ --default-service=BACKEND_SERVICE \ --region=REGION
-
Opsional: Lakukan langkah ini jika Anda menggunakan HTTPS antara klien dan load balancer. Langkah ini tidak diperlukan untuk load balancer HTTP.
Anda dapat membuat sertifikat Compute Engine atau Certificate Manager. Gunakan salah satu metode berikut untuk membuat sertifikat menggunakan Pengelola Sertifikat:
- Sertifikat yang dikelola sendiri secara regional. Untuk mengetahui informasi tentang cara membuat dan menggunakan sertifikat yang dikelola sendiri secara regional, lihat Men-deploy sertifikat yang dikelola sendiri secara regional. Peta sertifikat tidak didukung.
Sertifikat yang dikelola Google regional. Peta sertifikat tidak didukung.
Jenis sertifikat regional yang dikelola Google berikut didukung oleh Certificate Manager:
- Sertifikat yang dikelola Google regional dengan otorisasi DNS per project. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan otorisasi DNS.
- Sertifikat regional yang dikelola Google (pribadi) dengan Certificate Authority Service. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan Certificate Authority Service.
Setelah membuat sertifikat, lampirkan sertifikat langsung ke proxy target.
Untuk membuat resource sertifikat SSL yang dikelola sendiri Compute Engine:gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \ --certificate CRT_FILE_PATH \ --private-key KEY_FILE_PATH
-
Buat proxy HTTP(S) target untuk mengarahkan permintaan ke peta URL Anda.
Untuk load balancer HTTP, buat proxy target HTTP:
gcloud compute target-http-proxies create TARGET_HTTP_PROXY_NAME \ --url-map=URL_MAP_NAME \ --region=REGION
Untuk load balancer HTTPS, buat proxy target HTTPS. Proxy ini merupakan bagian dari load balancer yang menampung sertifikat SSL untuk Load Balancing HTTPS, sehingga Anda juga memuat sertifikat pada langkah ini.
gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \ --ssl-certificates=SSL_CERTIFICATE_NAME \ --url-map=URL_MAP_NAME \ --region=REGION
-
Buat aturan penerusan untuk mengarahkan permintaan masuk ke proxy.
Untuk load balancer HTTP:
gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network-tier=STANDARD \ --network=LB_NETWORK \ --address=LB_IP_ADDRESS \ --target-http-proxy=TARGET_HTTP_PROXY_NAME \ --target-http-proxy-region=REGION \ --region=REGION \ --ports=80
Untuk load balancer HTTPS:
gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network-tier=STANDARD \ --network=LB_NETWORK \ --address=LB_IP_ADDRESS \ --target-https-proxy=TARGET_HTTPS_PROXY_NAME \ --target-https-proxy-region=REGION \ --region=REGION \ --ports=443
Menghubungkan domain ke load balancer
Setelah load balancer dibuat, catat alamat IP yang terkait dengan load balancer, misalnya, 30.90.80.100
. Untuk mengarahkan domain ke load balancer, buat data A
menggunakan layanan pendaftaran domain. Jika
Anda menambahkan beberapa domain ke sertifikat SSL, Anda harus menambahkan data A
untuk setiap domain, yang semuanya mengarah ke alamat IP load balancer. Misalnya, untuk
membuat data A
bagi www.example.com
dan example.com
, gunakan string berikut:
NAME TYPE DATA www A 30.90.80.100 @ A 30.90.80.100
Jika Anda menggunakan Cloud DNS sebagai penyedia DNS, lihat Menambahkan, mengubah, dan menghapus data.
Menguji load balancer
Setelah mengonfigurasi load balancer, Anda dapat mulai mengirimkan traffic ke alamat IP load balancer. Jika mengonfigurasi domain, Anda juga dapat mengirim traffic ke nama domain tersebut. Namun, propagasi DNS memerlukan waktu untuk selesai, jadi Anda dapat mulai menggunakan alamat IP untuk pengujian.
Konsol
Di konsol Trusted Cloud , buka halaman Load balancing.
Klik load balancer yang baru saja Anda buat.
Catat alamat IP load balancer.
Kirim traffic ke load balancer.
Jika Anda membuat load balancer HTTP, Anda dapat menguji load balancer dengan membuka
http://IP_ADDRESS
. GantiIP_ADDRESS
dengan alamat IP load balancer. Anda akan diarahkan ke aplikasi yang Anda jalankan di backend eksternal.Jika Anda membuat load balancer HTTPS, Anda dapat menguji load balancer dengan membuka
https://IP_ADDRESS
. GantiIP_ADDRESS
dengan alamat IP load balancer. Anda akan diarahkan ke aplikasi yang Anda jalankan di backend eksternal.
Jika tidak berhasil dan Anda menggunakan sertifikat yang dikelola Google, pastikan status resource sertifikat Anda adalah AKTIF. Untuk mengetahui informasi selengkapnya, lihat Status resource sertifikat SSL yang dikelola Google.
Atau, Anda dapat menggunakan
curl
dari command line mesin lokal. GantiIP_ADDRESS
dengan alamat IPv4 load balancer. Jika Anda menggunakan sertifikat yang dikelola Google, uji domain yang mengarah ke alamat IP load balancer. Contoh:curl -s 'https://www.example.com:443' --resolve www.example.com:443:IP_ADDRESS
Opsional: Jika Anda menggunakan domain kustom, Anda mungkin perlu menunggu setelan DNS yang diperbarui diterapkan. Kemudian, uji domain Anda di browser web.
Untuk mendapatkan bantuan terkait pemecahan masalah, lihat Memecahkan masalah backend eksternal dan masalah NEG internet.
Konfigurasi tambahan
Bagian ini memperluas contoh konfigurasi untuk memberikan opsi konfigurasi alternatif dan tambahan. Semua tugas bersifat opsional. Anda dapat melakukannya dalam urutan apa pun.
Menggunakan header kustom untuk mengautentikasi permintaan
Untuk mengautentikasi permintaan yang dikirim ke backend eksternal, Anda dapat menyetel header kustom untuk menunjukkan bahwa permintaan berasal dari load balancer Trusted Cloud . Anda juga perlu mengonfigurasi backend eksternal agar mengharapkan header kustom ini pada traffic yang berasal dari Trusted Cloud.
Untuk mempelajari cara menyiapkan header kustom, lihat Menyiapkan pengelolaan traffic lanjutan.Untuk metode autentikasi lainnya, lihat Mengautentikasi permintaan ke backend eksternal.
Mengaktifkan IAP di Load Balancer Aplikasi eksternal
Anda dapat mengonfigurasi IAP agar
diaktifkan atau dinonaktifkan (default). Jika diaktifkan, Anda harus memberikan nilai untuk
oauth2-client-id
dan oauth2-client-secret
.
Untuk mengaktifkan IAP, perbarui layanan backend
untuk menyertakan tanda --iap=enabled
dengan oauth2-client-id
dan
oauth2-client-secret
.
Secara opsional, Anda dapat mengaktifkan IAP untuk resource Compute Engine menggunakan Trusted Cloud konsol, gcloud CLI, atau API.