סקירה כללית על מאזן עומסי רשת חיצוני אזורי להעברת סיגנל ללא שינוי שמבוסס על מאגר יעד

מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי הוא מאזן עומסים אזורי בשכבה 4. מאזני עומסים אזוריים חיצוניים של רשת להעברת סיגנל ללא שינוי מחלקים תעבורת TCP ו-UDP בין מכונות וירטואליות (VM) בעורף באותו אזור ברשת של ענן וירטואלי פרטי (VPC). מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי יכול לקבל תעבורה מכל אחד מהמקורות הבאים:

  • כל לקוח באינטרנט
  • Cloud de Confiance מכונות וירטואליות עם כתובות IP חיצוניות
  • Cloud de Confiance מכונות וירטואליות שיש להן גישה לאינטרנט דרך Cloud NAT או NAT מבוסס-מכונה

בהתאם להגדרות של כלל ההעברה, כל מאזן עומסים שמבוסס על מאגר יעדים תומך באחד מסוגי תעבורת הפרוטוקולים הבאים:

  • TCP
  • UDP
  • ‫TCP ו-UDP

ההיקף של מאזן העומסים הוא אזורי ולא גלובלי. כלומר, כל מופעי ה-Backend של מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי חייבים להיות באותו אזור. אפשר למקם שרתי בק-אנד בכל אזור של האזור.

מאזני עומסים אזוריים חיצוניים להעברת סיגנל ללא שינוי תומכים בכל היציאות. אתם יכולים להשתמש במאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי כדי לאזן עומסים של תנועת TCP או UDP. מאחר שמאזן העומסים הוא מאזן עומסים להעברת סיגנל ללא שינוי, שרתי הבק-אנד מסיימים את חיבור ה-TCP המאוזן או את חבילות ה-UDP בעצמם. לדוגמה, יכול להיות שתפעילו שרת אינטרנט HTTPS בבק-אנד ותשתמשו במאזן עומסי רשת חיצוני אזורי להעברת סיגנל ללא שינוי כדי לנתב אליו בקשות, ותסיימו את ה-TLS בבק-אנד עצמו.

אם אתם מפתחים אפליקציות ב-GKE, מומלץ להשתמש בבקר השירות של GKE המובנה, שמבצע פריסה של מאזני עומסים בשם משתמשי GKE. Cloud de Confiance הארכיטקטורה הזו זהה לארכיטקטורה של איזון עומסים עצמאי, אבל מחזור החיים שלה אוטומטי לגמרי ונשלט על ידי GKE. פרטים נוספים מופיעים במאמר בנושא חשיפת אפליקציות באמצעות שירותים.

ארכיטקטורה

מאזן העומסים מורכב מכמה רכיבי הגדרה. מאזן עומסים יחיד יכול לכלול את הרכיבים הבאים:

למאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי יש תמיד מאגר יעד אחד. כמה כללי העברה יכולים להפנות למאגר היעדים.

מאגר היעד הוא קצה עורפי של מאזן העומסים. הוא מציין את מופעי ה-backend שביניהם מתבצע איזון עומסים של התנועה. כל כלל העברה הוא קצה קדמי למאזן העומסים. חשוב לזכור שיש מגבלות על מספר כללי ההעברה ומאגרי היעדים לכל פרויקט.

מאזני עומסים אזוריים חיצוניים של רשת להעברת סיגנל ללא שינוי מאזנים את העומס במערכות על סמך נתוני פרוטוקול IP נכנסים, כמו כתובת, יציאה וסוג פרוטוקול.

מאזן עומסי רשת חיצוני אזורי להעברת סיגנל ללא שינוי הוא מאזן עומסים להעברת סיגנל ללא שינוי, ולכן שרתי הבק-אנד מקבלים את בקשת הלקוח המקורית. מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי לא מבצע העברה של TLS (אבטחת שכבת התעבורה) או שימוש בשרת proxy. התנועה מנותבת ישירות למכונות הווירטואליות.

כשיוצרים כלל להעברת תנועה למאזן העומסים, מקבלים כתובת IP וירטואלית (VIP) ארעית או שומרים כתובת VIP שמקורה בבלוק של רשת אזורית.

לאחר מכן משייכים את כלל ההעברה למאגרי היעדים. כתובת ה-VIP מועברת בשיטת anycast מנקודות הנוכחות הגלובליות של Google, אבל השרתים העורפיים הם אזוריים. למאזן העומסים לא יכולים להיות שרתי בק-אנד בכמה אזורים.

אפשר להשתמש ב Cloud de Confiance חומות אש כדי לשלוט בגישה למכונות הווירטואליות של ה-Backend או לסנן אותה.

מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי בודק את יציאות המקור והיעד, כתובת ה-IP והפרוטוקול כדי לקבוע איך להעביר חבילות. במקרה של תעבורת TCP, אפשר לשנות את התנהגות ההעברה של מאזן העומסים על ידי הגדרת שיוך סשן. מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי מעביר מנות לממשק הרשת הראשון (nic0) של המופעים במאגר היעד.

מאזן העומסים שומר על כתובות ה-IP של המקור של חבילות נתונים נכנסות. כתובת ה-IP של היעד של מנות נכנסות היא כתובת ה-IP החיצונית האזורית שמשויכת לכלל ההעברה של מאזן העומסים.

אלגוריתם של חלוקת עומסים

כברירת מחדל, כדי להפיץ את התנועה למופעים, הערך של session affinity מוגדר ל-NONE. Cloud Load Balancing בוחר מופע על סמך גיבוב של כתובת ה-IP והיציאה של המקור, כתובת ה-IP והיציאה של היעד והפרוטוקול. המשמעות היא שחיבורי TCP נכנסים מתפזרים בין המופעים, וכל חיבור חדש עשוי להגיע למופע אחר. כל החבילות של חיבור מסוים מופנות לאותו מופע עד שהחיבור נסגר. החיבורים הקיימים לא נלקחים בחשבון בתהליך איזון העומסים.

ללא קשר להגדרת ההעדפה לסשן, כל החבילות של חיבור מסוים מופנות למופע שנבחר עד שהחיבור נסגר. חיבור קיים לא משפיע על החלטות איזון העומסים לגבי חיבורים נכנסים חדשים. אם נעשה שימוש בחיבורי TCP לטווח ארוך, יכול להיות שייווצר חוסר איזון בין השרתים העורפיים.

אתם יכולים לבחור הגדרת שיוך סשן אחרת אם אתם צריכים כמה חיבורים מלקוח לאותו מופע.

מאגרי יעד

משאב של מאגר מכונות יעד מגדיר קבוצה של מופעים שאמורים לקבל תנועה נכנסת מכללי העברה. כשכלל העברה מכוון תנועה למאגר יעדים, Cloud Load Balancing בוחר מופע ממאגרי היעדים האלה על סמך גיבוב של כתובת ה-IP והיציאה של המקור וכתובת ה-IP והיציאה של היעד. כל מאגר של יעדים פועל באזור אחד ומפיץ את התעבורה לממשק הרשת הראשון (nic0) של מופע ה-Backend. מידע נוסף על חלוקת התנועה למופעים זמין בקטע אלגוריתם חלוקת העומס.

מאזני עומסי רשת אזוריים חיצוניים להעברת סיגנל ללא שינוי הם לא שרתי proxy. התשובות ממכונות וירטואליות של ה-Backend מגיעות ישירות ללקוחות, ולא עוברות דרך איזון העומסים. מאזן העומסים שומר על כתובות ה-IP של המקור של חבילות הנתונים. כתובת ה-IP של היעד של חבילות נכנסות היא כתובת ה-IP החיצונית האזורית שמשויכת לכלל ההעברה של מאזן העומסים. לכן:

  • במקרים שבהם מופעלות מכונות וירטואליות כבק-אנד למאזני עומסי רשת חיצוניים אזוריים להעברת סיגנל ללא שינוי, צריך להפעיל בהן את סביבת האורח המתאימה של Linux, את סביבת האורח של Windows או תהליכים אחרים שמספקים יכולת שוות ערך.

    סביבת מערכת ההפעלה של האורח (או תהליך מקביל) אחראית להגדרת נתיבים מקומיים בכל מכונת קצה עורפית. המסלולים האלה מאפשרים למכונה הווירטואלית לקבל חבילות שהיעד שלהן תואם לכתובת ה-IP של כלל ההעברה של מאזן העומסים.

  • במופעים של קצה עורפי שמקבלים תנועה מאוזנת עומסים, צריך להגדיר את התוכנה כך שתתבצע אליה הצמדה לכתובת ה-IP שמשויכת לכלל ההעברה של מאזן העומסים (או לכל כתובת IP, 0.0.0.0/0).

מאזני עומסים אזוריים חיצוניים של רשתות להעברת סיגנל ללא שינוי תומכים במידרוג אוטומטי ב-Compute Engine, שמאפשר למשתמשים לבצע התאמה אוטומטית לעומס בקבוצות המופעים במאגר יעד על סמך ניצול ה-Backend. מידע נוסף זמין במאמר בנושא שינוי גודל על סמך ניצול CPU.

אם אתם רוצים שמאגר היעדים יכיל מופע VM יחיד, כדאי להשתמש במקום זאת בתכונה העברת פרוטוקול.

אפשר להשתמש במאגרי יעד רק עם כללי העברה שמטפלים בתנועת TCP ו-UDP. לגבי כל הפרוטוקולים האחרים, צריך ליצור מופע יעד. כדי להשתמש במאגר יעד עם כלל העברה, צריך ליצור אותו קודם. בכל פרויקט אפשר ליצור עד 50 מאגרי קהלים לטירגוט.

כללי העברה

כללי העברה פועלים בשילוב עם מאגרי יעד כדי לתמוך באיזון עומסים. כדי להשתמש באיזון עומסים, צריך ליצור כלל העברה שמפנה תנועה למאגרי יעד ספציפיים. אי אפשר לבצע איזון עומסים בתנועה בלי כלל העברה.

כל כלל העברה יוצר התאמה בין כתובת IP מסוימת, פרוטוקול, ואופציונלית, טווח יציאות, לבין מאגר יעד יחיד. כשנשלחת תעבורת נתונים לכתובת IP חיצונית שמטופלת על ידי כלל העברה, כלל ההעברה מפנה את תעבורת הנתונים הזו למאגר היעדים המתאים.

אם אתם מבצעים איזון עומסים של חבילות UDP שסביר להניח שיפוצלו לפני שהן יגיעו לרשת ה-VPC שלכם, כדאי לעיין במאמר איזון עומסים וחבילות UDP מפוצלות. Cloud de Confiance

מאזני עומסי רשת אזוריים חיצוניים להעברת סיגנל ללא שינוי שמבוססים על מאגרי יעד תומכים בפרוטוקולים הבאים לכל כלל העברה: TCP או UDP. אם רוצים שמאזן עומסי רשת יעביר את כל תעבורת נתונים בפרוטוקול IP, צריך להשתמש במאזן עומסי רשת חיצוני אזורי להעברת סיגנל ללא שינוי שמבוסס על שירות לקצה העורפי.

כמה כללי העברה

אפשר להגדיר כמה כללי העברה אזוריים חיצוניים לאותו מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי. אפשר להגדיר לכל כלל העברה כתובת IP חיצונית אזורית שונה, או להגדיר כמה כללי העברה עם אותה כתובת IP חיצונית אזורית.

הגדרת כמה כללי העברה אזוריים חיצוניים יכולה להיות שימושית בתרחישי השימוש הבאים:

  • צריך להגדיר יותר מכתובת IP חיצונית אחת לאותו מאגר יעד.
  • צריך להגדיר טווחי יציאות שונים או פרוטוקולים שונים באמצעות אותה כתובת IP חיצונית לאותו מאגר יעד.

כשמשתמשים בכמה כללי העברה, צריך לוודא שמגדירים את התוכנה שפועלת במכונות הווירטואליות של ה-Backend כך שהיא תתחבר לכל כתובות ה-IP הנדרשות. הדבר נדרש כי כתובת ה-IP של היעד עבור מנות שמועברות דרך מאזן העומסים היא כתובת IP חיצונית אזורית שמשויכת לכלל ההעברה החיצוני האזורי המתאים.

בדיקות תקינות

בדיקות תקינות מוודאות ש-Compute Engine מעביר חיבורים חדשים רק למופעים שפועלים ומוכנים לקבל אותם. ‫Compute Engine שולח בקשות לבדיקת תקינות לכל מכונה בתדירות שצוינה. אחרי שמספר הכשלים בבדיקת תקינות של מופע מסוים חורג מהמספר המותר, המופע כבר לא נחשב למופע שעומד בדרישות לקבלת תנועה חדשה.

כדי לאפשר כיבוי חלק וסגירה של חיבורי TCP, חיבורים קיימים לא מסתיימים באופן פעיל. עם זאת, לא מובטח שחיבורים קיימים לשרת קצה עורפי לא תקין יישארו פעילים לאורך זמן. אם אפשר, כדאי להתחיל תהליך של כיבוי מסודר של ה-Backend הלא תקין בהקדם האפשרי.

בודק התקינות ממשיך לשלוח שאילתות למופעים לא תקינים, ומחזיר מופע למאגר כשמתרחש מספר מסוים של בדיקות מוצלחות. אם כל המופעים מסומנים כ-UNHEALTHY, מאזן העומסים מפנה תעבורה חדשה לכל המופעים הקיימים.

מאזני עומסי רשת אזוריים חיצוניים להעברת סיגנל ללא שינוי מסתמכים על בדיקות תקינות מדור קודם של HTTP כדי לקבוע את תקינות המופעים. גם אם השירות שלכם לא משתמש ב-HTTP, אתם צריכים להפעיל שרת אינטרנט בסיסי בכל מופע שמערכת בדיקת תקינות יכולה לשלוח אליו שאילתה.

אין תמיכה בבדיקות תקינות מדור קודם מסוג HTTPS במאזני עומסי רשת חיצוניים אזוריים להעברת סיגנל ללא שינוי, ואי אפשר להשתמש בהן ברוב הסוגים האחרים של מאזני עומסים.

כללי חומת אש

בדיקות התקינות של מאזני עומסי רשת אזוריים חיצוניים להעברת סיגנל ללא שינוי נשלחות מטווח כתובות ה-IP האלה. תצטרכו ליצור כללים של חומת אש שמאפשרים תעבורה מטווחים כאלה.

מאזני עומסי רשת חיצוניים אזוריים הם מאזני עומסים להעברת סיגנל ללא שינוי, כלומר כללי חומת האש צריכים לאפשר תעבורה מכתובות ה-IP של מקור הלקוח. אם השירות שלכם פתוח לאינטרנט, הכי קל לאפשר תנועה מכל טווחי כתובות ה-IP. אם רוצים להגביל את הגישה כך שרק כתובות IP מסוימות של מקורות יורשו לגשת, אפשר להגדיר כללי חומת אש כדי לאכוף את ההגבלה הזו, אבל צריך לאפשר גישה מטווחי כתובות ה-IP של בדיקות תקינות.

דוגמה לכלל חומת אש ודוגמה להגדרה מופיעות במאמר כללים של חומת אש למאזנים אזוריים חיצוניים של עומסי רשת להעברת סיגנל ללא שינוי.

כתובות IP של חבילות בקשה וחבילות החזרה

כשמכונה וירטואלית בקצה העורפי מקבלת חבילה מאוזנת עומסים מלקוח, המקור והיעד של החבילה הם:

  • מקור: כתובת ה-IP החיצונית שמשויכת ל Cloud de Confiance מכונה וירטואלית או כתובת IP של מערכת שאפשר לנתב דרכה באינטרנט, שמתחברת למאזן העומסים.
  • ‫Destination (יעד): כתובת ה-IP של כלל ההעברה של מאזן העומסים.

מאחר שמאזן העומסים הוא מאזן עומסים להעברת סיגנל ללא שינוי (לא פרוקסי), החבילות מגיעות עם כתובת ה-IP של היעד של כלל ההעברה של מאזן העומסים. מגדירים את התוכנה שפועלת במכונות וירטואליות של קצה עורפי כך שתבצע את הפעולות הבאות:

  • האזנה (קישור) לכתובת ה-IP של כלל ההעברה של מאזן העומסים או לכל כתובת IP (0.0.0.0 או ::)
  • אם הפרוטוקול של כלל ההעברה במאזן העומסים תומך ביציאות: האזנה (קישור) ליציאה שכלולה בכלל ההעברה במאזן העומסים

חבילות ההחזרה נשלחות ישירות מהמכונות הווירטואליות של הקצה העורפי של מאזן העומסים אל הלקוח. כתובות ה-IP של המקור והיעד של חבילת הנתונים שמוחזרת תלויות בפרוטוקול:

  • פרוטוקול TCP הוא פרוטוקול מבוסס-חיבור, ולכן מכונות וירטואליות בבק-אנד צריכות להשיב עם חבילות שכתובות ה-IP של המקור שלהן תואמות לכתובת ה-IP של כלל ההעברה, כדי שהלקוח יוכל לשייך את חבילות התגובה לחיבור ה-TCP המתאים.
  • פרוטוקול UDP הוא פרוטוקול ללא חיבור, ולכן מכונות וירטואליות בעורף יכולות לשלוח מנות תגובה שכתובות ה-IP של המקור שלהן תואמות לכתובת ה-IP של כלל ההעברה או לכל כתובת IP שהוקצתה למכונה הווירטואלית. מבחינה מעשית, רוב הלקוחות מצפים שהתגובה תגיע מאותה כתובת IP שאליה הם שלחו חבילות.

בטבלה הבאה מפורטים מקורות ויעדים של מנות תגובה:

סוג תעבורה מקור יעד
TCP כתובת ה-IP של כלל ההעברה של מאזן העומסים המקור של חבילת הבקשה
UDP ברוב תרחישי השימוש, כתובת ה-IP של כלל ההעברה של מאזן העומסים 1 המקור של חבילת הבקשה

‫1 כשמכונה וירטואלית כוללת כתובת IP חיצונית או כשמשתמשים ב-Cloud NAT, אפשר גם להגדיר את כתובת ה-IP של המקור של חבילת התגובה לכתובת ה-IPv4 הפנימית הראשית של כרטיס ממשק הרשת של המכונה הווירטואלית. Cloud de Confiance או ש-Cloud NAT משנה את כתובת ה-IP של המקור של חבילת התגובה לכתובת ה-IPv4 החיצונית של כרטיס ממשק הרשת או לכתובת IPv4 חיצונית של Cloud NAT, כדי לשלוח את חבילת התגובה לכתובת ה-IP החיצונית של הלקוח. לא להשתמש בכתובת ה-IP של כלל ההעברה כמקור הוא תרחיש מתקדם, כי הלקוח מקבל חבילת תגובה מכתובת IP חיצונית שלא תואמת לכתובת ה-IP שאליה הוא שלח חבילת בקשה.

נתיבי ניתוב מיוחדים

Cloud de Confiance משתמש בנתיבים מיוחדים שלא מוגדרים ברשת ה-VPC שלכם לבדיקות תקינות. מידע נוסף זמין במאמר נתיבים לבדיקות תקינות.

ארכיטקטורה של VPC משותף

בטבלה הבאה מפורטים רכיבי VPC משותף למאזנים אזוריים חיצוניים של עומסי רשת להעברת סיגנל ללא שינוי:

כתובת IP כלל העברה רכיבי קצה עורפי
כתובת IP חיצונית אזורית צריכה להיות מוגדרת באותו פרויקט כמו המכונות הווירטואליות שמתבצע איזון עומסים ביניהן. כלל העברה חיצוני אזורי צריך להיות מוגדר באותו פרויקט כמו המכונות במאגר היעד (פרויקט השירות). מאגר היעד צריך להיות מוגדר באותו פרויקט ובאותו אזור שבו קיימים המופעים במאגר היעד. גם בדיקות תקינות שמשויכות למאגר היעדים צריכות להיות מוגדרות באותו פרויקט.

ביזור תעבורת נתונים

האופן שבו מאזן עומסי רשת אזורי חיצוני להעברת סיגנל ללא שינוי שמבוסס על מאגר יעד מחלק חיבורים חדשים תלוי בהגדרות של הצמדת סשן.

זיקה לסשן (session affinity)

ההגדרה 'שמירת סשן' קובעת את שיטת הגיבוב שמשמשת להפצת חיבורים חדשים מלקוחות למכונות ה-VM בעורף של מאזן העומסים. מאזני עומסים שמבוססים על מאגר יעד משתמשים בפרמטר sessionAffinity כדי להגדיר את ההעדפה של סשנים.

מידע נוסף זמין במאמר שימוש במאגרי יעדים.

איזון עומסים ומנות UDP מפולחות

אם אתם מבצעים איזון עומסים של מנות UDP, חשוב לשים לב לנקודות הבאות:

  1. מטפלים בחבילות לא מקוטעות כרגיל בכל ההגדרות.
  2. יכול להיות שחבילות UDP יפוצלו לפני שיגיעו אל Cloud de Confiance. רשתות ביניים עשויות להמתין להגעת כל הפרגמנטים לפני שהן מעבירות אותם, מה שגורם לעיכוב, או שהן עשויות להשליך פרגמנטים. Cloud de Confiance לא ממתין להגעת כל הפרגמנטים, אלא מעביר כל פרגמנט ברגע שהוא מגיע.

  3. מכיוון שפרגמנטים עוקבים של UDP לא מכילים את יעד היציאה, יכולות להתרחש בעיות במצבים הבאים:

    • אם זיקת הסשן של מאגרי היעד מוגדרת ל-NONE (זיקה של 5 טאפלים), יכול להיות שהפרגמנטים הבאים יימחקו כי מאזן העומסים לא יכול לחשב את הגיבוב של 5 הטאפלים.
    • אם יש יותר מכלל אחד להעברת UDP לאותה כתובת IP עם איזון עומסים, יכול להיות שפרגמנטים עוקבים יגיעו לכלל ההעברה הלא נכון.

אם אתם מצפים לחבילות UDP מפוצלות, אתם צריכים:

  • מגדירים את הזיקה לסשן (session affinity) ל-NONE, CLIENT_IP_PROTO או CLIENT_IP.
    • הגדרה של זיקה לסשן לערך NONE מציינת שאין צורך לשמור על הזיקה. לכן מאזן העומסים משתמש בגיבוב של 5-tuple כדי לבחור בק-אנד לחבילות לא מקוטעות, אבל בגיבוב של 3-tuple לחבילות מקוטעות.
    • הגדרת שיוך סשן ל-CLIENT_IP_PROTO או ל-CLIENT_IP פירושה שלא נעשה שימוש ביציאות המקור והיעד לגיבוב, ולכן הגיבוב זהה עבור מנות מקוטעות ולא מקוטעות.
  • אפשר להשתמש רק בכלל העברה אחד של UDP לכל כתובת IP עם איזון עומסים. כך מוודאים שכל הפרגמנטים יגיעו לאותו כלל העברה.

עם ההגדרות האלה, פרגמנטים של UDP מאותו מנה עוברים לאותו מופע כדי להרכיב אותם מחדש.

שימוש במופעי יעד כשרתי קצה עורפיים

אם אתם משתמשים במכונות יעד כבק-אנד למאזן עומסי רשת חיצוני אזורי להעברת סיגנל ללא שינוי, ואתם מצפים לחבילות UDP מפוצלות, אתם צריכים להשתמש רק בכלל העברה אחד של UDP לכל כתובת IP עם איזון עומסים, ולהגדיר את כלל ההעברה לקבלת תעבורת נתונים בכל היציאות 0-65535. כך מובטח שכל הפרגמנטים יגיעו לאותו כלל העברה, גם אם אין להם אותו יעד יציאה.

מגבלות

  • אי אפשר להשתמש במסוף Cloud de Confiance כדי ליצור מאזנים חיצוניים אזוריים של עומסי רשת להעברת סיגנל ללא שינוי שמבוססים על מאגרי יעד. במקום זאת, אפשר להשתמש ב-gcloud או ב-API בארכיטקטורת REST.
  • מאזני עומסים אזוריים חיצוניים של רשתות להעברת סיגנל ללא שינוי שמבוססים על מאגרי יעד לא תומכים ב-Cloud Logging.

המאמרים הבאים