Ringkasan Load Balancer Jaringan passthrough eksternal global

Load Balancer Jaringan passthrough eksternal global adalah load balancer passthrough Lapisan 4 yang mendistribusikan traffic eksternal di antara backend (grup instance atau grup endpoint jaringan) yang dapat berada di beberapa region. Cloud de Confiance Load balancer ini dibangun di atas Maglev yang didistribusikan secara global, beroperasi bersama menggunakan jaringan global dan bidang kontrol Google.

Load Balancer Jaringan passthrough eksternal global secara otomatis mengarahkan traffic ke region backend yang paling dekat dengan titik tempat traffic pengguna memasuki jaringan globalS3NS.

Dengan ketentuan bahwa backend yang memenuhi syarat dikonfigurasi di dua region atau lebih:

  • Jika suatu region mencapai kapasitas maksimum, load balancer akan otomatis meluapkan beberapa koneksi pengguna baru yang melebihi kapasitas region ke region terdekat berikutnya yang memiliki kapasitas yang tersedia, sekaligus mempertahankan koneksi yang ada di region saat ini.

  • Jika suatu region nonaktif, load balancer akan otomatis melakukan failover traffic ke region terdekat berikutnya yang memiliki kapasitas yang tersedia.

Load Balancer Jaringan passthrough eksternal global dapat menerima traffic dari:

  • Klien mana pun di internet
  • Cloud de Confiance VM dengan IP eksternal
  • Cloud de Confiance VM yang memiliki akses internet melalui Cloud NAT atau NAT berbasis instance

Gunakan Load Balancer Jaringan passthrough eksternal global dalam situasi berikut:

  • Anda memerlukan load balancer Lapisan 4 passthrough berperforma tinggi untuk traffic TCP, UDP, ESP, GRE, ICMP, dan ICMPv6. Load balancer dapat menangani traffic IPv4 dan IPv6.

  • Anda harus menerima paket asli tanpa proxy. Misalnya, jika Anda ingin alamat IP sumber klien dipertahankan.

  • Anda perlu melayani traffic ke backend di beberapa Cloud de Confiance region dengan latensi rendah, menggunakan alamat IP anycast yang sama.

  • Anda memerlukan deployment yang tangguh terhadap kegagalan dan kelebihan beban backend regional, yang secara otomatis dan dengan baik mengalihkan traffic ke region terdekat berikutnya yang memiliki kapasitas yang tersedia.

Untuk menggunakan Load Balancer Jaringan passthrough eksternal global, deployment Anda harus memenuhi persyaratan berikut:

  • Jika menyalurkan traffic TLS (SSL), backend Anda harus menghentikan traffic SSL. Load Balancer Jaringan passthrough eksternal global tidak mendukung penghentian SSL.

Fitur utama

Load Balancer Jaringan passthrough eksternal global mendukung fitur utama berikut.

Ketersediaan tinggi berdasarkan desain

Load balancer memberi Anda dua alamat IP anycast eksternal global, yang masing-masing ditayangkan oleh infrastruktur server bidang data dan kontrol load balancing global yang terpisah dan terisolasi (juga dikenal sebagai grup ketersediaan) untuk memberikan ketersediaan tinggi. Klien dapat menggunakan alamat IP untuk terhubung ke backend terdekat yang sehat dengan kapasitas yang tersedia.

Load balancer memungkinkan Anda meningkatkan ketersediaan layanan saat membuat layanan backend global dengan backend di beberapa region Cloud de Confiance . Jika backend di region tertentu tidak berfungsi, traffic akan di-failover ke region terdekat berikutnya dengan lancar.

Sebaiknya deploy backend di setidaknya tiga Cloud de Confiance region untuk memastikan ketahanan terhadap pemadaman layanan regional, meskipun Anda diizinkan untuk mengonfigurasi semua backend di satu Cloud de Confiance region.

Load balancing yang sadar latensi dan beban

Load Balancer Jaringan passthrough eksternal global menggunakan Paket Premium secara eksklusif. Dengan Paket Premium, traffic masuk dari internet memasuki jaringan berperforma tinggi dengan latensi rendah S3NSdi titik kehadiran (PoP) yang terdekat dengan pengguna. Demikian pula, traffic keluar dikirim melalui jaringan S3NS, keluar di PoP yang terdekat dengan pengguna.

Load balancer Maglev yang didistribusikan secara global merutekan traffic masuk ke Cloud de Confiance region yang paling dekat dengan PoP tempat traffic masuk ke S3NSjaringan, asalkan region tersebut memiliki backend yang responsif dengan kapasitas yang tersedia. Jika tidak, load balancer akan secara otomatis dan lancar meluapkan traffic ke region terdekat berikutnya yang memiliki backend responsif dengan kapasitas yang tersedia.

Anda menentukan penempatan dan kapasitas backend untuk latensi paket yang optimal dan efisiensi backend. Kapasitas backend dapat didasarkan pada tingkat PPS (paket per detik) masuk maksimum, atau penggunaan CPU maksimum, atau keduanya. Kapasitas backend yang dikonfigurasi dalam layanan backend dibagi secara adil di antara alamat IP semua aturan penerusan yang mereferensikan layanan backend.

Cara kerja Load Balancer Jaringan passthrough eksternal global

Load Balancer Jaringan passthrough eksternal global memiliki frontend (aturan penerusan) dan backend (layanan backend dan grup backend-nya). Anda dapat menggunakan grup instance atau NEG zonasi sebagai grup backend.GCE_VM_IP

Arsitektur

Diagram berikut menunjukkan Load Balancer Jaringan passthrough eksternal global yang mendistribusikan traffic ke backend di beberapa region Cloud de Confiance . Saat load balancer dibuat, Cloud de Confiance tetapkan dua alamat IP anycast eksternal global, yang ditayangkan oleh infrastruktur bidang kontrol dan data yang terpisah dan terisolasi (juga dikenal sebagai grup ketersediaan, AG0 dan AG1).

Dua bidang kontrol dan data memberikan ketersediaan tinggi, fault tolerance, dan ketahanan untuk setiap Network Load Balancer passthrough eksternal global. Kegagalan di bidang kontrol atau data dari satu grup ketersediaan tidak memengaruhi grup ketersediaan lainnya. Klien yang dikonfigurasi dengan benar harus dapat terhubung ke kedua alamat IP load balancer. Misalnya, jika klien tidak dapat terhubung ke alamat IP AG0, klien harus dikonfigurasi untuk terhubung ke alamat IP AG1.

Load Balancer Jaringan passthrough eksternal global mengirim traffic ke backend grup instance VM yang di-deploy di region `us-west1` dan `europe-west2`.
Arsitektur Load Balancer Jaringan passthrough eksternal global (klik untuk memperbesar).

Load balancer terdiri dari komponen konfigurasi berikut.

  • Dua alamat IP eksternal global, satu dari setiap grup ketersediaan (AG0 dan AG1). Dapat bersifat statis atau sementara. Untuk mengetahui detailnya, lihat Alamat IP.

  • Satu aturan penerusan global yang menentukan dua alamat IP eksternal global, satu dari setiap grup ketersediaan (AG0 dan AG1). Saat Anda membuat aturan penerusan ini, Cloud de Confiance dua aturan penerusan turunan hanya baca akan dibuat, satu untuk setiap grup ketersediaan, untuk memastikan ketersediaan tinggi. Untuk mengetahui detailnya, lihat Aturan penerusan.

  • Satu layanan backend global yang menentukan cara traffic didistribusikan ke backend di beberapa Cloud de Confiance region. Grup backend dapat berupa semua grup instance (grup instance terkelola menurut zona atau grup instance tidak terkelola menurut zona) atau semua backend NEG zonasi (NEG zonasi dengan endpoint GCE_VM_IP). Untuk mengetahui detailnya, lihat Layanan backend.

  • Health check global yang terkait dengan layanan backend. Untuk mengetahui detailnya, lihat Pemeriksaan kondisi.

  • Aturan firewall yang mengizinkan traffic load balancing dan pemeriksaan health check untuk menjangkau VM backend. Untuk mengetahui detailnya, lihat Aturan firewall.

Pengembalian server langsung

Load Balancer Jaringan passthrough eksternal global, seperti Load Balancer Jaringan Passthrough lainnya, bukan proxy. Load balancer itu sendiri tidak menghentikan koneksi pengguna. Paket yang di-load balanced dikirim ke VM backend dengan alamat IP sumber dan tujuan, protokol, dan, jika berlaku, port yang tidak berubah. VM backend kemudian menghentikan koneksi pengguna dan mengirim paket yang kembali langsung ke klien. Respons tidak kembali melalui load balancer. Proses ini dikenal sebagai direct server return (DSR).

Perutean lokal untuk alamat IP load balancer

Load Balancer Jaringan passthrough eksternal global, seperti Load Balancer Jaringan passthrough lainnya, tidak melakukan NAT sumber atau tujuan alamat IP atau port.

Cloud de Confiance Lingkungan tamu mengonfigurasi setiap VM backend dengan alamat IP load balancer. Entri di tabel perutean lokal VM mengonfigurasi pengontrol antarmuka jaringan (NIC) yang di-load balance dari VM backend untuk menerima paket yang alamat IP tujuannya cocok dengan setiap alamat IP aturan penerusan. Untuk mempelajari lebih lanjut, lihat Periksa tabel perutean lokal untuk alamat IP load balancer.

Alamat IP untuk paket permintaan dan respons

Saat VM backend menerima paket yang di-load balance dari klien, sumber dan tujuan paket adalah sebagai berikut:

  • Sumber: alamat IP eksternal yang terkait dengan klien, VM Cloud de Confiance atau sistem di internet.
  • Tujuan: salah satu alamat IP aturan penerusan load balancer.
Karena load balancer adalah load balancer passthrough (bukan proxy), paket tiba dengan salah satu alamat IP aturan penerusan load balancer.

Meskipun lingkungan tamu secara otomatis mengonfigurasi rute lokal sehingga sistem operasi VM menerima traffic yang ditujukan ke alamat IP load balancer, sistem operasi tidak dapat mengirimkan paket ini ke aplikasi Anda jika aplikasi dikonfigurasi untuk hanya memproses alamat IP internal yang ditetapkan VM.

Untuk memastikan bahwa sistem operasi mengirimkan paket ke aplikasi Anda, konfigurasi aplikasi yang berjalan di VM backend untuk melakukan hal berikut:

  • Memproses (mengikat ke) alamat IP aturan penerusan load balancer atau alamat IP apa pun (0.0.0.0 atau ::)
  • Jika protokol aturan penerusan load balancer mendukung port, dengarkan (ikat ke) port yang disertakan dalam aturan penerusan load balancer

Paket kembali dikirim langsung dari VM backend load balancer ke klien. Alamat IP sumber paket yang dikembalikan bergantung pada protokol:

  • TCP berorientasi koneksi sehingga VM backend harus membalas dengan paket yang alamat IP sumbernya cocok dengan alamat IP tujuan paket yang meminta sehingga klien dapat mengaitkan paket respons dengan koneksi TCP yang sesuai.
  • UDP, ESP, GRE, ICMP, dan ICMPv6 tidak memiliki koneksi. VM backend dapat mengirim paket respons yang alamat IP sumbernya cocok dengan alamat IP aturan penerusan atau cocok dengan alamat IP eksternal yang ditetapkan untuk VM. Secara praktis, sebagian besar klien mengharapkan respons berasal dari alamat IP yang sama dengan alamat IP yang digunakan untuk mengirim paket.

Tabel berikut merangkum alamat IP sumber dan tujuan untuk paket respons:

Jenis traffic Sumber Tujuan
TCP Tujuan paket yang meminta Sumber paket yang meminta
UDP, ESP, GRE, ICMP, dan ICMPv6 Untuk sebagian besar kasus penggunaan, tujuan paket permintaan1 Sumber paket yang meminta

1 Jika VM memiliki alamat IP eksternal atau saat Anda menggunakan Cloud NAT, Anda juga dapat menetapkan alamat IP sumber paket respons ke alamat IPv4 internal utama NIC VM. Cloud de Confiance atau Cloud NAT mengubah alamat IP sumber paket respons ke alamat IPv4 eksternal NIC atau alamat IPv4 eksternal Cloud NAT untuk mengirim paket respons ke alamat IP eksternal klien. Tidak menggunakan alamat IP aturan penerusan sebagai sumber adalah skenario lanjutan karena klien menerima paket respons dari alamat IP eksternal yang tidak cocok dengan alamat IP yang dikirimi paket permintaan.

Komponen

Bagian berikut menjelaskan setiap komponen konfigurasi Load Balancer Jaringan passthrough eksternal global secara mendetail.

Alamat IP

Load Balancer Jaringan passthrough eksternal global memerlukan dua alamat IP eksternal global untuk memberikan ketersediaan tinggi. Aturan penerusan load balancer menggunakan alamat ini untuk menerima traffic masuk, dan alamat tersebut harus termasuk dalam versi IP yang sama—IPv4 atau IPv6. Cloud de Confiance mengiklankan alamat IP load balancer Anda dari semua titik kehadiran di seluruh dunia. Setiap alamat IP load balancer adalah alamat IP anycast global yang hanya didukung di Paket Premium.

Setiap dari dua alamat IP harus berasal dari kumpulan alamat IP eksternal global yang termasuk dalam grup ketersediaan yang berbeda. Alamat IP tidak dikaitkan dengan subnet di jaringan VPC. Di API, grup ketersediaan diwakili dengan menggunakan kolom purpose pada resource globalAddresses:

  • PASSTHROUGH_LOAD_BALANCER_AVAILABILITY_GROUP0: untuk alamat grup ketersediaan 0.
  • PASSTHROUGH_LOAD_BALANCER_AVAILABILITY_GROUP1: untuk alamat grup ketersediaan 1.

Kolom IPAddresses dari resource aturan penerusan menentukan nol, satu, atau dua alamat IP:

  • Jika tidak ditentukan, Cloud de Confiance akan menetapkan dua alamat IP efemeral, masing-masing dari setiap grup ketersediaan.
  • Jika Anda menentukan satu alamat IP yang mereferensikan resource alamat IP statis yang ada dari satu grup ketersediaan, Cloud de Confiance menetapkan alamat IP sementara dari grup ketersediaan lainnya.
  • Jika Anda menentukan dua alamat IP yang mereferensikan resource alamat IP statis yang ada, alamat IP tersebut harus berasal dari grup ketersediaan yang berbeda.

Gunakan alamat IP statis yang dicadangkan untuk aturan penerusan jika Anda perlu menyimpan alamat yang terkait dengan project Anda untuk digunakan kembali setelah Anda menghapus aturan penerusan atau jika Anda memerlukan beberapa aturan penerusan untuk mereferensikan alamat IP yang sama.

Untuk aturan penerusan Load Balancer Jaringan passthrough eksternal global, alamat IP dapat berupa salah satu dari berikut ini:

  • Alamat IPv4 statis atau sementara dari kumpulan alamat IP global milik Google.
  • Rentang alamat IPv6 eksternal /96 statis atau sementara dari kumpulan alamat IP global milik Google.
  • Alamat BYOIP IPv4 statis dari awalan yang didelegasikan secara publik global.

Load Balancer Jaringan passthrough eksternal global mendukung alamat Bring your own IP (BYOIP) untuk alamat IPv4 saja. Dukungan terbatas pada BYOIP API v1. Penyediaan rentang IPv4 baru dapat memakan waktu hingga 4 minggu, dan tidak ada API yang memungkinkan Anda mengontrol status iklan BGP. Untuk mengetahui detailnya, lihat Konfigurasi bawa IP Anda sendiri.

Kolom IPAddresses dari aturan penerusan hanya dapat ditetapkan saat pembuatan dan tidak dapat diperbarui.

Terlepas dari asalnya (milik Google atau BYOIP), alamat IP eksternal global di Cloud de Confiance diambil dari tiga jenis kumpulan alamat IP eksternal global yang berbeda:

  • Kumpulan alamat IP yang digunakan oleh Load Balancer Jaringan passthrough eksternal global untuk grup ketersediaan, AG0
  • Kumpulan alamat IP yang digunakan oleh Load Balancer Jaringan passthrough eksternal global untuk grup ketersediaan, AG1
  • Kumpulan alamat IP yang digunakan oleh load balancer berbasis proxy eksternal global

Oleh karena itu, Load Balancer Jaringan passthrough eksternal global tidak dapat berbagi alamat IP dengan load balancer global atau regional lainnya.

Aturan penerusan global

Aturan penerusan Load Balancer Jaringan passthrough eksternal global membentuk frontend load balancer, yang menentukan alamat IP tujuan, protokol, dan port tempat load balancer menerima traffic. Karena Load Balancer Jaringan passthrough eksternal global bukan proxy, Load Balancer ini meneruskan traffic ke backend tanpa mengubah alamat IP sumber dan tujuan, protokol, dan port-nya, jika protokol membawa informasi port.

Aturan penerusan Load Balancer Jaringan passthrough eksternal global yang Anda konfigurasi menentukan hal berikut:

  • Skema load balancing ditetapkan sebagai EXTERNAL_PASSTHROUGH.
  • Pasangan alamat IP global di kolom IPAddresses[], satu dari setiap grup ketersediaan.
  • Protokol (TCP, UDP, atau L3_DEFAULT) dan port.

Untuk setiap aturan penerusan Load Balancer Jaringan passthrough eksternal global yang Anda buat (juga dikenal sebagai aturan penerusan induk), Cloud de Confiancemembuat dua aturan penerusan turunan hanya baca untuk setiap stack load balancing— AVAILABILITY_GROUP0 dan AVAILABILITY_GROUP1. Aturan penerusan turunan memiliki setelan protokol IP, port, dan layanan backend yang sama dengan aturan penerusan induk, tetapi hanya memiliki salah satu dari dua alamat IP aturan penerusan induk.

Aturan penerusan turunan dapat diidentifikasi secara unik karena memiliki -ag0 dan -ag1 yang ditambahkan ke nama aturan penerusan induk. Fitur ini tidak menggunakan kuota tambahan atau menimbulkan biaya ekstra. Metrik pemantauan dan status kesehatan dilaporkan di tingkat aturan penerusan anak.

Traffic masuk dicocokkan dengan aturan penerusan, yang mencocokkan alamat IP tujuan, protokol, dan port paket dengan kombinasi kolom aturan penerusan—dua alamat IP, protokol, dan jika protokol berbasis port, salah satu port, rentang port, atau semua port. Aturan penerusan kemudian mengarahkan traffic ke layanan backend load balancer.

Aturan penerusan untuk Load Balancer Jaringan passthrough eksternal global dapat dikonfigurasi dengan alamat IPv4 atau IPv6. Jika Anda ingin load balancer menangani traffic IPv4 dan IPv6, buat dua aturan penerusan:

  • Aturan penerusan untuk traffic IPv4 yang mengarah ke backend dual-stack atau khusus IPv4

  • Aturan penerusan untuk traffic IPv6 yang mengarah ke backend khusus IPv6 atau dual-stack

Anda dapat membuat aturan penerusan IPv4 dan IPv6 yang mereferensikan layanan backend yang sama, tetapi layanan backend harus mereferensikan backend dengan antarmuka jaringan VM stack ganda.

Versi IP aturan penerusan harus cocok dengan jenis stack antarmuka jaringan VM backend.

Jenis stack antarmuka jaringan VM backend Aturan penerusan
Antarmuka jaringan VM khusus IPv4 (IPV4_ONLY) Dapat berupa backend hanya untuk aturan penerusan IPv4.
Antarmuka jaringan VM khusus IPv6 (IPV6_ONLY) Dapat berupa backend hanya untuk aturan penerusan IPv6.
Antarmuka jaringan VM stack ganda (IPV4_IPV6) Dapat berupa backend untuk aturan penerusan IPv4, aturan penerusan IPv6, atau keduanya.

Protokol aturan penerusan

Load Balancer Jaringan passthrough eksternal global mendukung opsi protokol berikut untuk setiap aturan penerusan: TCP, UDP, dan L3_DEFAULT.

Gunakan opsi TCP dan UDP untuk mengonfigurasi load balancing TCP atau UDP. Opsi protokol L3_DEFAULT memungkinkan Load Balancer Jaringan passthrough eksternal global untuk menyeimbangkan beban traffic TCP, UDP, ESP, GRE, ICMP, dan ICMPv6.

Selain mendukung protokol selain TCP dan UDP, L3_DEFAULT memungkinkan satu aturan penerusan melayani beberapa protokol. Misalnya, layanan IPsec biasanya menangani beberapa kombinasi traffic IKE dan NAT-T berbasis UDP dan ESP. Opsi L3_DEFAULT memungkinkan satu aturan penerusan dikonfigurasi untuk memproses semua protokol tersebut.

Jika menggunakan protokol L3_DEFAULT, Anda harus mengonfigurasi aturan penerusan untuk menerima traffic di semua port. Karena L3_DEFAULT adalah aturan catch-all, sebagai praktik terbaik keamanan, Anda harus mengonfigurasi aturan firewall untuk koneksi masuk yang hanya mengizinkan protokol dan port IP yang Anda butuhkan.

Beberapa aturan penerusan

Anda dapat mengonfigurasi beberapa aturan penerusan, yang dapat terdiri dari dua jenis:

  • Beberapa aturan penerusan untuk alamat IP yang sama. Anda dapat mengonfigurasi beberapa aturan penerusan untuk pasangan alamat IP yang sama selama tidak ada dua aturan penerusan yang menggunakan kombinasi protokol dan port yang sama. Setiap aturan penerusan dapat memiliki layanan backend yang berbeda, atau beberapa aturan penerusan dapat memiliki layanan backend yang sama.

  • Beberapa aturan penerusan yang mereferensikan layanan backend yang sama. Anda dapat mengonfigurasi beberapa aturan penerusan yang mereferensikan layanan backend yang sama. Tunduk pada kondisi yang tercantum di poin pertama, dua atau beberapa aturan penerusan dapat menggunakan pasangan alamat IP yang sama, atau setiap aturan penerusan dapat menggunakan pasangan alamat IP yang unik. Traffic untuk semua alamat IP dari semua aturan penerusan yang mereferensikan layanan backend yang sama akan berbagi kapasitas target backend secara adil.

Namun, Anda tidak dapat membagikan alamat IP eksternal global yang sama antara Load Balancer Jaringan passthrough eksternal global dan Load Balancer Aplikasi eksternal global atau Load Balancer Jaringan proxy eksternal global.

Saat menggunakan beberapa aturan penerusan, pastikan Anda mengonfigurasi aplikasi yang berjalan di VM backend sehingga aplikasi tersebut terikat ke semua alamat IP eksternal dari aturan penerusan load balancer.

Mengonfigurasi beberapa aturan penerusan dapat berguna untuk kasus penggunaan berikut:

  • Anda perlu mengonfigurasi lebih dari satu pasangan alamat IP eksternal untuk layanan backend yang sama. Misalnya, satu aturan penerusan untuk alamat IPv4 dan satu lagi untuk alamat IPv6.
  • Anda perlu mengonfigurasi beberapa aturan penerusan untuk pasangan alamat IP eksternal yang sama, tetapi dengan protokol atau port yang tidak tumpang-tindih atau rentang port yang berbeda. Aturan penerusan dapat menggunakan layanan backend yang sama atau berbeda.

Batasan protokol dan port beberapa aturan penerusan

Cloud de Confiance memilih paling banyak satu aturan penerusan untuk memproses paket masuk. Dua atau beberapa aturan penerusan yang menggunakan pasangan alamat IP eksternal global yang sama harus memiliki kombinasi protokol dan port yang unik sesuai dengan batasan berikut:

  • Aturan penerusan yang dikonfigurasi untuk semua port protokol mencegah pembuatan aturan penerusan lain yang menggunakan pasangan alamat IP dan protokol yang sama.

    Aturan penerusan yang menggunakan protokol TCP atau UDP dapat dikonfigurasi untuk menggunakan semua port, atau dapat dikonfigurasi untuk port tertentu.

    Misalnya, jika Anda membuat aturan penerusan menggunakan pasangan alamat IP—136.124.69.214 dan 136.124.83.205, protokol TCP, dan semua port, Anda tidak dapat membuat aturan penerusan lain menggunakan pasangan alamat IP yang sama dan protokol TCP.

    Anda dapat membuat dua aturan penerusan, yang keduanya menggunakan pasangan alamat IP dan protokol TCP, jika masing-masing memiliki port unik atau rentang port yang tidak tumpang-tindih. Misalnya, Anda dapat membuat dua aturan penerusan menggunakan pasangan alamat IP yang sama dan protokol TCP, dengan satu aturan penerusan menggunakan port 80,443 dan aturan lainnya menggunakan rentang port 81-442.

  • Hanya satu aturan penerusan L3_DEFAULT yang dapat dibuat per pasangan alamat IP.

    Hal ini karena protokol L3_DEFAULT menggunakan semua port secara default. Dalam konteks ini, istilah semua port mencakup protokol tanpa informasi port.

  • Satu aturan penerusan L3_DEFAULT dapat berjalan bersama dengan aturan penerusan lain yang menggunakan protokol tertentu (TCP atau UDP) dan pasangan alamat IP yang sama.

    Jika Anda memiliki aturan penerusan TCP atau UDP tertentu yang dilampirkan ke pasangan alamat IP, Anda juga dapat melampirkan aturan penerusan L3_DEFAULT ke pasangan alamat IP yang sama untuk bertindak sebagai penggantian untuk traffic apa pun yang tidak cocok dengan aturan penerusan tertentu. Aturan penerusan L3_DEFAULT memproses paket yang dikirim ke alamat IP tujuannya jika dan hanya jika alamat IP tujuan, protokol, dan port tujuan paket tidak cocok dengan aturan penerusan khusus protokol.

    Untuk mengilustrasikannya, pertimbangkan dua skenario berikut. Aturan penerusan dalam kedua skenario menggunakan pasangan alamat IP yang sama— 136.124.69.214 dan 136.124.83.205.

    • Skenario 1. Aturan penerusan pertama menggunakan protokol L3_DEFAULT. Aturan penerusan kedua menggunakan protokol TCP dan semua port. Paket TCP yang dikirim ke port tujuan mana pun dari salah satu alamat IP diproses oleh aturan penerusan kedua yang lebih spesifik. Paket yang menggunakan protokol berbeda diproses oleh aturan penerusan pertama.

    • Skenario 2. Aturan penerusan pertama menggunakan protokol L3_DEFAULT. Aturan penerusan kedua menggunakan protokol TCP dan port 8080. Paket TCP yang dikirim ke port 8080 dari salah satu alamat IP diproses oleh aturan penerusan kedua. Semua paket lainnya, termasuk paket TCP yang dikirim ke port tujuan berbeda, diproses oleh aturan penerusan pertama.

Pemilihan aturan penerusan

Cloud de Confiance memilih satu atau nol aturan penerusan untuk memproses paket masuk dengan menggunakan proses eliminasi ini, dimulai dengan kumpulan kandidat aturan penerusan yang cocok dengan alamat IP tujuan paket:

  • Hapus aturan penerusan yang protokolnya tidak cocok dengan protokol paket, kecuali aturan penerusan L3_DEFAULT. Aturan penerusan yang menggunakan protokol L3_DEFAULT tidak akan pernah dihilangkan oleh langkah ini karena L3_DEFAULT cocok dengan semua protokol. Misalnya, jika protokol paket adalah TCP, hanya aturan penerusan yang menggunakan protokol UDP yang akan dihapus.

  • Hapus aturan penerusan yang portnya tidak cocok dengan port paket. Aturan penerusan yang dikonfigurasi untuk semua port tidak pernah dihilangkan oleh langkah ini karena aturan penerusan semua port cocok dengan port apa pun.

  • Pada tahap ini, kandidat aturan penerusan yang tersisa termasuk dalam salah satu kategori berikut:

    • Dua aturan penerusan tetap ada, yaitu aturan penerusan L3_DEFAULT dan aturan penerusan khusus protokol. Gunakan aturan penerusan khusus protokol untuk merutekan paket.

    • Satu aturan penerusan tetap ada, baik aturan penerusan L3_DEFAULT atau aturan penerusan khusus protokol. Alamat ini digunakan untuk merutekan paket.

    • Tidak ada lagi kandidat aturan penerusan dan paket akan dihapus.

Layanan backend global

Layanan backend Load Balancer Jaringan passthrough eksternal global mendistribusikan traffic masuk di seluruh backend terlampir yang dapat berada di beberapa Cloud de Confiance region. Setiap backend terdiri dari grup instance atau grup endpoint jaringan dan informasi tentang kapasitas penayangan backend. Kapasitas penayangan backend dapat didasarkan pada pemakaian CPU atau paket masuk per detik (PPS) atau keduanya. Layanan backend mengelola distribusi traffic sesuai dengan setelan afinitas dan kapasitas yang dikonfigurasi.

Layanan backend menentukan parameter backend berikut:

  • Skema load balancing. Untuk menetapkan layanan backend bagi Load Balancer Jaringan passthrough eksternal global, skema load balancing harus ditetapkan secara eksplisit ke EXTERNAL_PASSTHROUGH.

  • Protocol. Kolom protokol layanan backend bersifat redundan dan hanya dapat disetel ke UNSPECIFIED. Layanan backend dengan protokol UNSPECIFIED dapat digunakan dengan aturan penerusan apa pun, terlepas dari protokol aturan penerusan.

  • Distribusi traffic. Layanan backend mendistribusikan traffic sesuai dengan afinitas sesi yang dikonfigurasi, kebijakan pelacakan koneksi, mode load balancing dan kapasitas backend, serta kebijakan lokalitas load balancing. Layanan backend juga dapat dikonfigurasi untuk mengaktifkan pengosongan koneksi, mengurangi kapasitas backend, dan menetapkan backend pilihan. Sebagian besar setelan ini memiliki nilai default yang memungkinkan Anda memulai dengan cepat.

  • Health check. Layanan backend harus memiliki pemeriksaan kondisi terkait.

  • Backend. Backend adalah endpoint sebenarnya yang menerima traffic yang di-load balance. Load Balancer Jaringan passthrough eksternal global dapat mendistribusikan traffic ke grup instance atau NEG zonal yang berada di beberapa Cloud de Confiance region:

    • Jika memilih grup instance, Anda dapat menggunakan grup instance terkelola menurut zona, grup instance tidak terkelola menurut zona, atau kombinasi jenis grup instance. Grup instance mendukung RATE dan UTILIZATION sebagai mode load balancing-nya.

    • Jika memilih NEG zona, Anda harus menggunakan NEG zona GCE_VM_IP. NEG hanya mendukung RATE sebagai mode load balancing-nya.

Kompatibilitas antarmuka jaringan VM dengan aturan penerusan

Karena Load Balancer Jaringan passthrough eksternal global tidak menghentikan atau menerjemahkan traffic, jenis stack antarmuka jaringan VM backend harus kompatibel dengan versi alamat IP aturan penerusan.

Aturan penerusan Jenis stack antarmuka jaringan VM backend
Hanya aturan penerusan IPv4 Khusus IPv4 (IPV4_ONLY) atau stack ganda (IPV4_IPv6)
Hanya aturan penerusan IPv6 Khusus IPv6 (IPV6_ONLY) atau stack ganda (IPV4_IPv6)
Aturan penerusan IPv4 dan IPv6 Dual-stack (IPV4_IPv6)

Kompatibilitas antarmuka jaringan VM backend dengan subnet VPC

Seperti yang ditunjukkan pada tabel sebelumnya, Anda dapat mengonfigurasi Load Balancer Jaringan passthrough eksternal global agar memiliki backend yang berisi antarmuka khusus IPv4, antarmuka dual-stack, dan antarmuka khusus IPv6. Tabel berikut meringkas jenis antarmuka jaringan VM backend yang kompatibel dengan setiap jenis stack subnet VPC.

Jenis stack subnet VPC Jenis stack antarmuka jaringan VM backend
IPV4_ONLY (single-stack)
Hanya rentang subnet IPv4		 Khusus IPv4 (IPV4_ONLY)
IPV4_IPV6 (stack ganda)
Rentang subnet IPv4 dan IPv6		 Khusus IPv4 (IPV4_ONLY), stack ganda (IPV4_IPv6), dan khusus IPv6 (IPV6_ONLY)
IPV6_ONLY (single-stack)
Hanya rentang subnet IPv6		 Khusus IPv6 (IPV6_ONLY)

Perhatikan hal berikut:

  • Alamat IP yang ditetapkan ke antarmuka jaringan VM dialokasikan langsung dari subnet VPC yang mendasarinya.

  • Untuk konektivitas IPv6, saat antarmuka jaringan VM ditetapkan ke subnet /64 yang mendukung IPv6, Cloud de Confiance akan mengalokasikan rentang alamat /96 untuk antarmuka jaringan VM dari paruh pertama (/65) rentang alamat IPv6 eksternal /64 subnet. Untuk mempelajari lebih lanjut, lihat Spesifikasi IPv6 eksternal.

  • Jika jenis stack antarmuka jaringan VM adalah stack ganda (IPV4_IPv6) atau khusus IPv6 (IPV6_ONLY), Anda perlu memilih cara agar alamat IPv6 antarmuka jaringan VM dapat dijangkau dengan mengonfigurasi setelan --ipv6-access-type pada subnet VPC ke EXTERNAL atau INTERNAL. Jika --ipv6-access-type subnet ditetapkan ke EXTERNAL, Anda juga harus menetapkan --ipv6-network-tier pada antarmuka jaringan VM ke PREMIUM. Untuk mempelajari lebih lanjut, lihat Rentang subnet IPv6.

Backend grup instance dan antarmuka jaringan

Dalam grup instance (terkelola atau tidak terkelola) tertentu, antarmuka jaringan nic0 dari setiap VM anggota selalu berada di jaringan VPC yang sama:

  • Untuk grup instance terkelola (MIG), jaringan VPC grup instance berasal dari antarmuka nic0 yang ditentukan dalam template instance.
  • Untuk grup instance tidak terkelola, jaringan VPC dari grup instance ditetapkan ke jaringan VPC yang digunakan oleh nic0 antarmuka jaringan instance VM pertama yang Anda tambahkan ke grup instance tidak terkelola. Anda tidak dapat mengubah jaringan VPC grup instance nanti, meskipun Anda menghapus instance pertama yang ditambahkan ke grup.

VM anggota dapat memiliki antarmuka jaringan tambahan (vNIC atau Antarmuka Jaringan Dinamis). Setiap antarmuka non-nic0 dapat berada di jaringan VPC grup instance (jaringan yang digunakan oleh antarmuka nic0) atau jaringan VPC yang berbeda.

Untuk mendistribusikan traffic yang di-load balance ke antarmuka jaringan non-nic0, Anda tidak dapat menggunakan backend grup instance. Gunakan NEG zona dengan endpoint GCE_VM_IP sebagai gantinya. Untuk mengetahui informasi selengkapnya, lihat Layanan backend dan jaringan VPC.

Backend NEG zona dan antarmuka jaringan

Saat membuat NEG zonal baru dengan endpoint GCE_VM_IP, Anda harus secara eksplisit mengaitkan NEG dengan subnetwork jaringan VPC sebelum dapat menambahkan endpoint ke NEG. Subnet maupun jaringan VPC tidak dapat diubah setelah NEG dibuat.

Dalam NEG tertentu, setiap endpoint GCE_VM_IP sebenarnya mewakili antarmuka jaringan. Antarmuka jaringan harus berada di subnetwork yang terkait dengan NEG. Dari perspektif instance Compute Engine, antarmuka jaringan dapat menggunakan ID apa pun. Dari perspektif sebagai endpoint di NEG, antarmuka jaringan diidentifikasi menggunakan alamat IPv4 internal utamanya. Untuk mengetahui informasi selengkapnya, lihat NEG dengan endpoint GCE_VM_IP.

Ada dua cara untuk menambahkan endpoint GCE_VM_IP ke NEG:

  • Jika Anda hanya menentukan nama VM (tanpa alamat IP) saat menambahkan endpoint, Cloud de Confiance mensyaratkan agar VM memiliki antarmuka jaringan di subnet yang terkait dengan NEG. Alamat IP yang dipilih endpoint adalah alamat IPv4 internal utama antarmuka jaringan VM di subnetwork yang terkait dengan NEG. Cloud de Confiance
  • Jika Anda menentukan nama VM dan alamat IP saat menambahkan endpoint, alamat IP yang Anda berikan harus berupa alamat IPv4 internal utama untuk salah satu antarmuka jaringan VM. Antarmuka jaringan tersebut harus berada di subnetwork yang terkait dengan NEG. Perhatikan bahwa menentukan alamat IP bersifat redundan karena hanya ada satu antarmuka jaringan yang berada di subnetwork yang terkait dengan NEG.

Layanan backend dan jaringan VPC

Layanan backend tidak dikaitkan dengan jaringan VPC apa pun; namun, setiap grup instance backend atau NEG zonal dikaitkan dengan jaringan VPC, seperti yang disebutkan sebelumnya. Selama semua backend berada dalam project yang sama, dan selama semua backend memiliki jenis yang sama (grup instance atau NEG zonal), load balancer dan backend-nya dapat berada di jaringan VPC yang sama atau berbeda.

Untuk mendistribusikan paket ke antarmuka non-nic0, Anda harus memenuhi kedua persyaratan berikut:

  • Anda harus menggunakan NEG zonal (dengan endpoint GCE_VM_IP), bukan grup instance.

  • Antarmuka jaringan non-nic0 dan nic0 harus berada di jaringan VPC yang berbeda. (Jaringan VPC NEG tidak boleh berisi antarmuka nic0 dan antarmuka non-nic0 yang diinginkan.)

Backend pilihan

Anda dapat menetapkan backend tertentu sebagai backend pilihan. Backend ini harus digunakan secara maksimal (yaitu, kapasitas target yang ditentukan oleh mode penyeimbangan backend) sebelum permintaan dikirim ke backend yang tersisa.

Layanan backend Load Balancer Jaringan passthrough eksternal global dapat memiliki paling banyak satu grup backend pilihan, dan tidak mengizinkan backend pilihan dan non-pilihan di region yang sama Cloud de Confiance .

Untuk mempelajari lebih lanjut, lihat Pengoptimalan load balancing lanjutan.

Health check

Informasi health check digunakan untuk menentukan backend yang memenuhi syarat untuk koneksi baru, dan untuk mengontrol apakah koneksi yang ada tetap ada di backend yang tidak responsif.

Load balancer mengirimkan pemeriksaan health check untuk setiap alamat IP aturan penerusan secara terpisah. Oleh karena itu, aturan penerusan Load Balancer Jaringan passthrough eksternal global dengan dua alamat IP diperiksa untuk setiap alamat IP, sehingga menggandakan frekuensi pemeriksaan di setiap backend. Untuk mengetahui informasi selengkapnya, lihat Beberapa pemeriksaan dan frekuensi.

Jenis, protokol, dan port health check

Layanan backend load balancer harus mereferensikan health check global, menggunakan protokol dan port health check yang didukung. Detail protokol dan port health check tidak harus cocok dengan informasi protokol dan port aturan penerusan.

Karena semua protokol health check yang didukung mengandalkan TCP (health check UDP tidak didukung), saat Anda menggunakan Load Balancer Jaringan passthrough eksternal global untuk menyeimbangkan koneksi dan traffic untuk protokol lain, VM backend harus menjalankan server berbasis TCP untuk merespons pemeriksa health check. Misalnya, Anda dapat menggunakan health check HTTP yang dikombinasikan dengan menjalankan server HTTP di setiap VM backend. Dalam contoh ini, skrip atau software Anda bertanggung jawab untuk mengonfigurasi server HTTP agar menampilkan status 200 hanya saat software yang memproses koneksi yang di-load balance beroperasi.

Untuk mengetahui informasi selengkapnya tentang protokol dan port health check yang didukung, lihat Kategori, protokol, dan port health check serta Cara kerja health check.

Paket health check

Untuk backend grup instance, penguji health check mengirimkan paket ke antarmuka jaringan nic0 setiap VM backend. Untuk backend NEG zonal GCE_VM_IP, pemeriksa health check mengirim paket ke antarmuka jaringan di subjejaring VPC NEG. Paket health check memiliki karakteristik berikut:

  • Alamat IP tujuan yang cocok dengan salah satu dari dua alamat IP aturan penerusan yang merujuk ke layanan backend Load Balancer Jaringan passthrough eksternal global. Paket health check dikirim ke kedua alamat IP.
  • Port tujuan yang cocok dengan nomor port yang Anda tentukan dalam health check.

Aplikasi yang berjalan di VM backend harus terikat ke dan memproses kombinasi alamat IP dan port yang relevan. Untuk melakukannya, konfigurasi aplikasi agar terikat dan memproses port yang relevan dari salah satu alamat IP VM (0.0.0.0 atau ::/0). Untuk mengetahui informasi selengkapnya, lihat Tujuan untuk paket probe.

Aturan firewall

Karena bukan proxy, Load Balancer Jaringan passthrough eksternal global meneruskan traffic ke VM backend tanpa mengubah alamat IP sumber dan tujuan, protokol, dan port-nya, jika protokol membawa informasi port. Oleh karena itu, Anda harus membuat aturan firewall izinkan ingress atau kebijakan firewall hierarkis izinkan ingress untuk mengontrol akses ke VM backend load balancer, khususnya, untuk mengizinkan health check dan traffic yang Anda load balance. Jika tidak, aturan firewall masuk tolak yang tersirat memblokir paket masuk dari semua alamat IP sumber eksternal.

Aturan penerusan dan aturan firewall izinkan traffic masuk atau Kebijakan firewall hierarkis bekerja bersama dengan cara berikut: aturan penerusan menentukan alamat IP tujuan, protokol, dan, jika ditentukan, persyaratan port yang harus dipenuhi paket agar diteruskan ke VM backend. Aturan firewall izin masuk mengontrol apakah firewall mengirimkan paket yang diteruskan ke VM atau menghapusnya. Jaringan VPC default Cloud de Confiance mencakup serangkaian aturan firewall yang sudah terisi otomatis untuk mengizinkan traffic masuk.

  • Untuk menerima traffic dari alamat IP mana pun di internet, Anda harus membuat aturan firewall izinkan masuk dengan rentang sumber 0.0.0.0/0 atau ::/0. Untuk hanya mengizinkan traffic dari rentang alamat IP tertentu, gunakan rentang sumber yang lebih ketat.

  • Sebagai praktik terbaik keamanan, aturan firewall izinkan ingress Anda hanya boleh mengizinkan protokol dan port IP yang Anda butuhkan. Membatasi konfigurasi protokol (dan, jika memungkinkan, port) sangat penting saat menggunakan aturan penerusan yang protokolnya ditetapkan ke L3_DEFAULT. Aturan penerusan L3_DEFAULT meneruskan paket untuk semua protokol IP yang didukung (di semua port jika protokol dan paket memiliki informasi port).

  • Load Balancer Jaringan passthrough eksternal global menggunakan health check Cloud de Confiance . Oleh karena itu, Anda harus selalu mengizinkan traffic dari rentang alamat IP health check. Anda dapat mengonfigurasi aturan firewall yang diizinkan untuk traffic masuk ini secara khusus untuk protokol dan port health check load balancer.

Distribusi traffic

Untuk Load Balancer Jaringan passthrough eksternal global, distribusi traffic adalah fungsi dari berbagai atribut seperti afinitas sesi, kebijakan pelacakan koneksi, mode load balancing dan kapasitas backend, backend pilihan, serta kebijakan lokalitas load balancing. Semuanya digabungkan sebagai bagian dari alur kerja terkoordinasi untuk mengoptimalkan konfigurasi load balancing Anda demi performa yang andal dan pemanfaatan resource yang efisien.

Arsitektur VPC Bersama

Perhatikan poin-poin berikut terkait arsitektur VPC Bersama untuk Load Balancer Jaringan passthrough eksternal global:

  • Kecuali resource alamat IP, semua resource lain yang terkait dengan Load Balancer Jaringan passthrough eksternal global—aturan penerusan, layanan backend, health check, dan grup backend (grup instance atau NEG)—harus ada di project yang sama, dan project ini dapat berupa project host atau project layanan.

  • Jika resource load balancing ada di project host, resource alamat IP juga harus ada di project host.

  • Jika resource load balancing ada dalam project layanan, resource alamat IP dapat berada dalam project layanan yang sama, atau dalam project host.

Tabel berikut menguraikan lokasi berbagai komponen Load Balancer Jaringan passthrough eksternal global dalam arsitektur VPC Bersama.

Lokasi resource load balancing1 Lokasi yang diperlukan untuk resource alamat IP
Project host Project host
Project layanan Project layanan atau project host

1 Mencakup aturan penerusan, layanan backend, health check, dan backend (grup instance atau NEG)

Batasan

  • Backend hanya dapat di-deploy di Cloud de Confiance region berikut:

    • Amerika Utara: us-west1, us-west4, us-east4, us-east5
    • Eropa: europe-west2, europe-west3
    • Asia: asia-southeast1, asia-south1, asia-northeast1
    • Amerika Selatan: southamerica-east1
    • Afrika: africa-south1
    • Australia: australia-southeast1

  • Load Balancer Jaringan passthrough eksternal global hanya dapat dikonfigurasi di Paket Premium.

  • Anda tidak dapat mengonfigurasi Load Balancer Jaringan passthrough eksternal global menggunakan konsol Cloud de Confiance . Gunakan Google Cloud CLI atau REST API sebagai gantinya.

  • Anda tidak dapat menggunakan backend grup instance terkelola regional. Anda dapat menggunakan grup instance terkelola menurut zona, grup instance tidak terkelola menurut zona, dan NEG menurut zona dengan GCE_VM_IP endpoint.

  • Batasan dan panduan yang ada untuk menggunakan grup instance di layanan backend juga berlaku untuk Load Balancer Jaringan passthrough eksternal global. Grup instance yang dibagikan antara Load Balancer Jaringan passthrough eksternal global dan Load Balancer Jaringan passthrough regional (Load Balancer Jaringan passthrough eksternal regional atau Load Balancer Jaringan passthrough internal) harus dikonfigurasi untuk menggunakan mode penyeimbangan RATE di Load Balancer Jaringan passthrough eksternal global. Load Balancer Jaringan passthrough regional selalu menggunakan mode load balancing CONNECTION.

  • Anda dapat membagikan alamat IP eksternal global yang sama di antara beberapa aturan penerusan Load Balancer Jaringan passthrough eksternal global selama protokol dan port yang dikonfigurasi tidak bertentangan. Namun, Anda tidak dapat membagikan alamat IP eksternal global yang sama antara Load Balancer Jaringan passthrough eksternal global dan Load Balancer Aplikasi eksternal global atau Load Balancer Jaringan proxy eksternal global.

  • Load Balancer Jaringan passthrough eksternal global mendukung alamat Bring your own IP (BYOIP) untuk alamat IPv4 saja. Dukungan terbatas pada BYOIP API v1. Penyediaan rentang IPv4 baru dapat memakan waktu hingga 4 minggu, dan tidak ada API yang memungkinkan Anda mengontrol status iklan BGP. Untuk mengetahui detailnya, lihat Konfigurasi bawa IP Anda sendiri.

  • Anda tidak dapat membuat lebih dari 10 aturan penerusan dalam sebuah project, dan Anda tidak dapat menambahkan lebih dari 25 grup backend ke layanan backend. Untuk mengetahui detailnya, lihat Kuota dan batas.

  • Layanan backend Load Balancer Jaringan passthrough eksternal global dapat memiliki paling banyak satu PREFERRED grup backend. Anda tidak dapat memiliki grup backend PREFERRED dan non-PREFERRED di region Cloud de Confiance yang sama.

  • Anda tidak dapat men-deploy Load Balancer Jaringan passthrough eksternal global di GKE.

  • Anda tidak dapat menggunakan Google Cloud Armor untuk memberikan perlindungan DDoS jaringan tingkat lanjut untuk Load Balancer Jaringan passthrough eksternal global. Untuk mengetahui detailnya, lihat Mengonfigurasi perlindungan DDoS jaringan tingkat lanjut.

  • Kebijakan lokalitas load balancing, yang dikonfigurasi pada layanan backend load balancer, tidak mendukung opsi WEIGHTED_MAGLEV. Untuk Load Balancer Jaringan passthrough eksternal global, hanya MAGLEV yang didukung.

  • Mode pelacakan koneksi PER_SESSION tidak didukung. Hanya mode pelacakan koneksi PER_CONNECTION yang didukung.

  • Hanya mode load balancing berikut yang didukung: RATE dan UTILIZATION. Kecepatan ditentukan bukan dalam hal permintaan per detik, tetapi paket masuk per detik. Grup instance mendukung RATE dan UTILIZATION, sedangkan NEG hanya mendukung RATE.

  • Aturan penerusan kemudi (pengarahan traffic berbasis IP sumber) tidak didukung.

  • Semua backend yang terlampir ke layanan backend harus memiliki jenis yang sama. Layanan backend tidak boleh memiliki campuran grup instance dan NEG zona.

  • Metrik pemantauan tidak dapat dikueri atau difilter menggunakan aturan penerusan global induk; metrik tersebut harus dikueri menggunakan aturan penerusan turunan yang dihasilkan Cloud de Confiance.

Harga

Untuk mengetahui informasi harga, lihat Harga jaringan: Cloud Load Balancing.

Langkah berikutnya