Configure um balanceador de carga de rede de passagem interno com back-ends apenas IPv6 internos

Consola

1. Na Trusted Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Clique em Criar rede de VPC.

3. Em Nome, introduza lb-network-ipv6-only.

4. Se quiser configurar intervalos de endereços IPv6 internos em sub-redes nesta rede, conclua estes passos:

   1. Para as Definições de endereço IPv6 privado, selecione Configurar um intervalo IPv6 interno para esta rede VPC.
   2. Para Atribuir intervalo IPv6 interno, selecione Automaticamente ou Manualmente. Se selecionar Manualmente, introduza um intervalo de /48 no intervalo de fd20::/20. Se o intervalo já estiver a ser usado, é-lhe pedido que forneça um intervalo diferente.

5. Para o Modo de criação de sub-rede, selecione Personalizado.

6. Na secção Nova sub-rede, especifique os seguintes parâmetros de configuração da sub-rede:

   • Nome: lb-subnet-ipv6-only
   • Região: us-west1
   • Tipo de pilha de IP: IPv6 (pilha única)
   • Tipo de acesso IPv6: interno

7. Clique em Concluído.

8. Clique em Criar.

gcloud

1. Para criar uma nova rede VPC no modo personalizado, execute o comando gcloud compute networks create.

   Para configurar intervalos IPv6 internos em quaisquer sub-redes nesta rede, use a flag --enable-ula-internal-ipv6.

   gcloud compute networks create lb-network-ipv6-only \
       --subnet-mode=custom \
       --enable-ula-internal-ipv6 \
       --bgp-routing-mode=regional
   

2. Configure uma sub-rede com o ipv6-access-type definido como INTERNAL. Isto indica que as VMs nesta sub-rede só podem ter endereços IPv6 internos. Neste exemplo, a sub-rede tem o nome lb-subnet-ipv6-only-internal.

   Para criar a sub-rede, execute o comando gcloud compute networks subnets create.

   gcloud compute networks subnets create lb-subnet-ipv6-only-internal \
       --network=lb-network-ipv6-only \
       --region=us-west1 \
       --stack-type=IPV6_ONLY \
       --ipv6-access-type=INTERNAL
   

Consola

1. Na Trusted Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Para ver a página Detalhes da rede de VPC, clique no nome da rede de VPC que criou.

3. No separador Sub-redes, clique em add_boxAdicionar sub-rede. No painel apresentado, especifique os seguintes parâmetros de configuração para a sub-rede:

   • Nome: lb-subnet-ipv6-only-external
   • Região: us-west1
   • Tipo de pilha de IP: IPv6 (pilha única)
   • Tipo de acesso IPv6: externo

4. Clique em Adicionar.

gcloud

Configure uma sub-rede com o ipv6-access-type definido como EXTERNAL. Isto indica que as VMs nesta sub-rede podem ter endereços IPv6 externos. Neste exemplo, a sub-rede tem o nome lb-subnet-ipv6-only-external.

Para criar a sub-rede, execute o comando gcloud compute networks subnets create.

gcloud compute networks subnets create  lb-subnet-ipv6-only-external \
    --network=lb-network-ipv6-only \
    --region=us-west1 \
    --stack-type=IPV6_ONLY \
    --ipv6-access-type=EXTERNAL

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Para permitir o tráfego de sub-rede IPv6, clique novamente em Criar regra de firewall e introduza as seguintes informações:

   • Nome: fw-allow-lb-access-ipv6-only
   • Rede: lb-network-ipv6-only
   • Prioridade: 1000
   • Direção do tráfego: entrada
   • Ação na correspondência: Permitir
   • Segmenta: todas as instâncias na rede
   • Filtro de origem: intervalos IPv6
   • Intervalos IPv6 de origem: ::/0
   • Protocolos e portas: Permitir tudo

3. Clique em Criar.

4. Para permitir ligações SSH recebidas, clique novamente em Criar regra de firewall e introduza as seguintes informações:

   • Nome: fw-allow-ssh
   • Rede: lb-network-ipv6-only
   • Prioridade: 1000
   • Direção do tráfego: entrada
   • Ação na correspondência: Permitir
   • Objetivos: etiquetas de destino especificadas
   • Etiquetas de segmentação: allow-ssh
   • Filtro de origem: intervalos IPv6
   • Intervalos IPv6 de origem: ::/0
   • Protocolos e portas: selecione Protocolos e portas especificados, selecione a caixa de verificação TCP e, de seguida, introduza 22 em Portas.

5. Clique em Criar.

6. Para permitir as verificações de funcionamento de Trusted Cloud IPv6, clique novamente em Criar regra de firewall e introduza as seguintes informações:

   • Nome: fw-allow-health-check-ipv6-only
   • Rede: lb-network-ipv6-only
   • Prioridade: 1000
   • Direção do tráfego: entrada
   • Ação na correspondência: Permitir
   • Objetivos: etiquetas de destino especificadas
   • Etiquetas de segmentação: allow-health-check-ipv6
   • Filtro de origem: intervalos IPv6
   • Intervalos IPv6 de origem: 2600:2d00:1:b029::/64
   • Protocolos e portas: Permitir tudo

7. Clique em Criar.

gcloud

1. Crie a regra de firewall fw-allow-lb-access-ipv6-only para permitir todo o tráfego IPv6 de entrada para todas as instâncias de VM na rede da VPC:

   gcloud compute firewall-rules create fw-allow-lb-access-ipv6-only \
       --network=lb-network-ipv6-only \
       --action=allow \
       --direction=ingress \
       --source-ranges=::/0 \
       --rules=all
   

2. Crie a regra de firewall fw-allow-ssh para permitir a conetividade SSH a VMs com a etiqueta de rede allow-ssh. Quando omite source-ranges, Trusted Cloud interpreta a regra como qualquer origem.

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=lb-network-ipv6-only \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --source-ranges=::/0 \
       --rules=tcp:22
   

3. Crie a regra fw-allow-health-check-ipv6 para permitir Trusted Cloud verificações de funcionamento de IPv6.

   gcloud compute firewall-rules create fw-allow-health-check-ipv6-only \
       --network=lb-network-ipv6-only \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check-ipv6 \
       --source-ranges=2600:2d00:1:b029::/64 \
       --rules=tcp,udp
   

Consola

1. Na Trusted Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Clique em Criar instância.

3. Em Nome, introduza nat-gateway-instance.

4. Para Região, selecione us-west1 e, para Zona, selecione us-west1-a.

5. Na secção Disco de arranque, certifique-se de que a opção Debian GNU/Linux 12 (bookworm) está selecionada para as opções do disco de arranque. Se necessário, clique em Alterar para alterar a imagem.

6. Clique em Rede e configure os seguintes campos:

   1. Para etiquetas de rede, introduza allow-ssh.
   2. Para o Encaminhamento de IP, selecione a caixa de verificação Ativar.
   3. Para Interfaces de rede, selecione o seguinte:
      • Rede: lb-network-ipv6-only
      • Subnet: lb-subnet-ipv6-only-external
      • Tipo de pilha de IP: IPv6 (pilha única)
      • Endereço IPv6 externo: atribuição automática

7. Clique em Avançadas e, no campo Script de arranque, introduza o seguinte script:

   #!/bin/bash
   
   set -e
   
   echo "Starting GCE startup script..."
   
   # --- IPv6 NAT table configuration ---
   echo "Modifying the source IPv6 address using the NAT table"
   
   # Enable IPv6 forwarding
   sysctl -w net.ipv6.conf.all.forwarding=1
   
   # Determine the primary network interface (assuming it's the last one listed)
   IFACE=$(ip -brief link | tail -1 | awk '{print $1}')
   
   echo "Using interface: $IFACE for IPv6 NAT"
   
   # Flush existing IPv6 NAT rules
   ip6tables -F -t nat
   ip6tables -X -t nat
   
   # Masquerade all outgoing IPv6 traffic on the determined interface
   ip6tables -t nat -A POSTROUTING -o "$IFACE" -j MASQUERADE
   
   echo "IPv6 masquerading configured successfully."
   
   echo "GCE startup script finished."
   

8. Clique em Criar.

gcloud

1. Crie um script de arranque.

   nano startup.sh
   

2. Adicione o seguinte script e guarde o ficheiro.

   #!/bin/bash
   
   set -e
   
   echo "Starting GCE startup script..."
   
   # --- IPv6 NAT table configuration ---
   echo "Modifying the source IPv6 address using the NAT table"
   
   # Enable IPv6 forwarding
   sysctl -w net.ipv6.conf.all.forwarding=1
   
   # Determine the primary network interface (assuming it's the last one listed)
   IFACE=$(ip -brief link | tail -1 | awk '{print $1}')
   
   echo "Using interface: $IFACE for IPv6 NAT"
   
   # Flush existing IPv6 NAT rules
   ip6tables -F -t nat
   ip6tables -X -t nat
   
   # Masquerade all outgoing IPv6 traffic on the determined interface
   ip6tables -t nat -A POSTROUTING -o "$IFACE" -j MASQUERADE
   
   echo "IPv6 masquerading configured successfully."
   
   echo "GCE startup script finished."
   

3. Crie uma instância de VM e adicione o ficheiro de metadados à instância de VM. Para usar esta VM como um próximo salto para uma rota, use a flag --can-ip-forward para ativar o encaminhamento de IP para esta instância.

   gcloud compute instances create nat-gateway-instance \
       --zone=us-west1-a \
       --tags=allow-ssh \
       --image-family=debian-12 \
       --image-project=debian-cloud \
       --subnet=lb-subnet-ipv6-only-external \
       --stack-type=IPV6_ONLY \
       --can-ip-forward \
       --metadata-from-file=startup-script=startup.sh
   

Consola

1. Na Trusted Cloud consola, aceda à página Rotas.

   Aceda a Trajetos

2. Clique no separador Gestão de rotas.

3. Clique em Criar trajeto.

4. Especifique um nome e uma descrição para o trajeto.

5. Na lista Rede, selecione a rede de VPC lb-network-ipv6-only.

6. Na lista Versão do IP, selecione IPv6.

7. Especifique um intervalo IPv6 de destino. O destino mais amplo possível é ::/0 para IPv6.

8. Para tornar o trajeto aplicável apenas a instâncias selecionadas com etiquetas de rede correspondentes, especifique-as no campo Etiquetas de instâncias. Deixe o campo em branco para tornar a rota aplicável a todas as instâncias na rede. Para este exemplo, introduza nat-gw-tag.

9. Para o próximo salto, selecione Especificar uma instância.

10. Selecione o nome da instância que criou para servir como gateway NAT. Para este exemplo, selecione nat-gateway-instance.

11. Clique em Criar.

gcloud

Use o comando gcloud compute routes create para criar um novo trajeto. O pacote é encaminhado para a instância de VM nat-gateway-instance, conforme especificado por --next-hop-instance da rota.

gcloud compute routes create route-1 \
    --network=lb-network-ipv6-only \
    --priority=1000 \
    --tags=nat-gw-tag \
    --destination-range=::/0 \
    --next-hop-instance=nat-gateway-instance \
    --next-hop-instance-zone=us-west1-a

Consola

Crie VMs de back-end

1. Na Trusted Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Repita estes passos para cada VM, usando as seguintes combinações de nome e zona.

   • Nome: vm-a1, zona: us-west1-a
   • Nome: vm-a2, zona: us-west1-a
   • Nome: vm-c1, zona: us-west1-c
   • Nome: vm-c2, zona: us-west1-c

3. Clique em Criar instância.

4. Defina o Nome conforme indicado no passo 2.

5. Para Região, selecione us-west1 e escolha uma Zona, conforme indicado no passo 2.

6. Na secção Disco de arranque, certifique-se de que a opção Debian GNU/Linux 12 (bookworm) está selecionada para as opções do disco de arranque. Se necessário, clique em Alterar para alterar a imagem.

7. Clique em Opções avançadas.

8. Clique em Rede e configure os seguintes campos:

   1. Para etiquetas de rede, introduza allow-ssh, allow-health-check-ipv6 e nat-gw-tag.
   2. Para Interfaces de rede, selecione o seguinte:
      • Rede: lb-network-ipv6-only
      • Subnet: lb-subnet-ipv6-only-internal
      • Tipo de pilha de IP: IPv6 (pilha única)
      • Endereço IPv6 interno principal: efémero (automático)

9. Clique em Avançadas e, de seguida, no campo Script de arranque, introduza o seguinte script. O conteúdo do script é idêntico para todas as quatro VMs.

   #! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2
   

10. Clique em Criar.

Crie grupos de instâncias

1. Na Trusted Cloud consola, aceda à página Grupos de instâncias.

   Aceda a Grupos de instâncias

2. Repita os passos seguintes para criar dois grupos de instâncias não geridos, cada um com duas VMs, usando estas combinações.

   • Nome do grupo de instâncias: ig-a, zona: us-west1-a, VMs: vm-a1 e vm-a2
   • Nome do grupo de instâncias: ig-c, zona: us-west1-c, VMs: vm-c1 e vm-c2

3. Clique em Criar grupo de instâncias.

4. Clique em Novo grupo de instâncias não gerido.

5. Defina o Nome conforme indicado no passo 2.

6. Na secção Localização, selecione us-west1 para a Região e, em seguida, escolha uma Zona, conforme indicado no passo 2.

7. Para Rede, selecione lb-network-ipv6-only.

8. Para Sub-rede, selecione lb-subnet-ipv6-only-internal.

9. Na secção Instâncias de VM, adicione as VMs conforme indicado no passo 2.

10. Clique em Criar.

gcloud

1. Para criar as quatro VMs, execute o comando gcloud compute instances create quatro vezes, usando as seguintes quatro combinações para [VM-NAME] e [ZONE].

   • VM-NAME: vm-a1, ZONE: us-west1-a
   • VM-NAME: vm-a2, ZONE: us-west1-a
   • VM-NAME: vm-c1, ZONE: us-west1-c
   • VM-NAME: vm-c2, ZONE: us-west1-c

   gcloud compute instances create VM-NAME \
       --zone=ZONE \
       --image-family=debian-12 \
       --image-project=debian-cloud \
       --tags=allow-ssh,allow-health-check-ipv6,nat-gw-tag \
       --subnet=lb-subnet-ipv6-only-internal \
       --stack-type=IPV6_ONLY \
       --metadata=startup-script='#! /bin/bash
         apt-get update
         apt-get install apache2 -y
         a2ensite default-ssl
         a2enmod ssl
         vm_hostname="$(curl -H "Metadata-Flavor:Google" \
         http://metadata.google.internal/computeMetadata/v1/instance/name)"
         echo "Page served from: $vm_hostname" | \
         tee /var/www/html/index.html
         systemctl restart apache2'
   

2. Crie os dois grupos de instâncias não geridos em cada zona:

   gcloud compute instance-groups unmanaged create ig-a \
       --zone=us-west1-a
   gcloud compute instance-groups unmanaged create ig-c \
       --zone=us-west1-c
   

3. Adicione as VMs aos grupos de instâncias adequados:

   gcloud compute instance-groups unmanaged add-instances ig-a \
       --zone=us-west1-a \
       --instances=vm-a1,vm-a2
   gcloud compute instance-groups unmanaged add-instances ig-c \
       --zone=us-west1-c \
       --instances=vm-c1,vm-c2
   

Consola

Inicie a configuração

1. Na Trusted Cloud consola, aceda à página Equilíbrio de carga.

   Aceda ao balanceamento de carga

2. Clique em Criar equilibrador de carga.
3. Para Tipo de balanceador de carga, selecione Balanceador de carga de rede (TCP/UDP/SSL) e clique em Seguinte.
4. Para Proxy ou passagem, selecione Passagem do balanceador de carga e clique em Seguinte.
5. Clique em Configurar.

Configuração básica

Na página Criar balanceador de carga de rede de encaminhamento interno, introduza as seguintes informações:

• Nome do balanceador de carga: ilb-ipv6-only
• Região: us-west1
• Rede: lb-network-ipv6-only

Configuração do back-end

1. Clique em Configuração de back-end.
2. Na lista Verificação de funcionamento, selecione Criar uma verificação de funcionamento e, de seguida, introduza as seguintes informações:
   • Nome: hc-http-80
   • Âmbito: regional
   • Protocolo: HTTP
   • Porta: 80
   • Protocolo proxy: Nenhum
   • Pedido: /
3. Clique em Criar.
4. Na secção Novo back-end, para Tipo de pilha de IP, selecione a opção IPv6 (pilha única).
5. Em Grupo de instâncias, selecione o grupo de instâncias ig-a e clique em Concluído.
6. Clique em Adicionar um back-end e repita o passo para adicionar ig-c.
7. Verifique se aparece uma marca de verificação azul junto a Configuração de back-end.

Configuração da interface

1. Clique em Configuração do front-end. Na secção Novo IP e porta de front-end, faça o seguinte:
   1. Em Nome, introduza fr-ilb-ipv6-only.
   2. Para processar o tráfego IPv6, faça o seguinte:
      1. Para a versão do IP, selecione IPv6. O servidor TCP IPv6 que vai criar na secção seguinte associa-se ao VIP da regra de encaminhamento.
      2. Para Sub-rede, selecionelb-subnet-ipv6-only-internal. O intervalo de endereços IPv6 na regra de encaminhamento é sempre efémero.
      3. Para Portas, selecione Múltiplas e, de seguida, no campo Número da porta, introduza 80.
      4. Clique em Concluído.
   3. Antes de continuar, verifique se existe uma marca de verificação azul junto a Configuração do frontend.

Reveja a configuração

1. Clique em Rever e finalizar. Verifique todas as suas definições.
2. Se as definições estiverem corretas, clique em Criar. A criação do balanceador de carga de encaminhamento interno demora alguns minutos.

gcloud

1. Crie uma nova verificação de funcionamento de HTTP regional para testar a conetividade HTTP às VMs na porta 80.

   gcloud compute health-checks create http hc-http-80 \
       --region=us-west1 \
       --port=80
   

2. Crie o serviço de back-end:

   gcloud compute backend-services create ilb-ipv6-only \
       --load-balancing-scheme=INTERNAL \
       --protocol=tcp \
       --region=us-west1 \
       --health-checks=hc-http-80 \
       --health-checks-region=us-west1
   

3. Adicione os dois grupos de instâncias ao serviço de back-end:

   gcloud compute backend-services add-backend ilb-ipv6-only \
       --region=us-west1 \
       --instance-group=ig-a \
       --instance-group-zone=us-west1-a
   

   gcloud compute backend-services add-backend ilb-ipv6-only \
       --region=us-west1 \
       --instance-group=ig-c \
       --instance-group-zone=us-west1-c
   

4. Crie a regra de encaminhamento IPv6 com um endereço IPv6 temporário.

   gcloud compute forwarding-rules create fr-ilb-ipv6-only \
       --region=us-west1 \
       --load-balancing-scheme=INTERNAL \
       --subnet=lb-subnet-ipv6-only-internal \
       --ip-protocol=TCP \
       --ports=80 \
       --backend-service=ilb-ipv6-only \
       --backend-service-region=us-west1 \
       --ip-version=IPV6
   

Consola

1. Na Trusted Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Clique em Criar instância.

3. Em Nome, introduza vm-client.

4. Para Região, selecione us-west1.

5. Para Zona, selecione us-west1-a.

6. Clique em Opções avançadas.

7. Clique em Rede e configure os seguintes campos:

   1. Para etiquetas de rede, introduza allow-ssh.
   2. Para Interfaces de rede, selecione o seguinte:
      • Rede: lb-network-ipv6-only
      • Subnet: lb-subnet-ipv6-only-internal
      • Tipo de pilha de IP: IPv6 (pilha única)
   3. Clique em Concluído.

8. Clique em Criar.

gcloud

A VM do cliente pode estar em qualquer zona na mesma região que o balanceador de carga. Neste exemplo, o cliente está na zona us-west1-a e usa a mesma sub-rede que as VMs de back-end.

gcloud compute instances create vm-client \
    --zone=us-west1-a \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --stack-type=IPV6_ONLY \
    --tags=allow-ssh \
    --subnet=lb-subnet-ipv6-only-internal