Configura un balanceador de cargas de red de proxy externo regional con backends de grupos de instancias de VM

Console

1. En la consola de Cloud de Confiance , ve a la página Redes de VPC.

   Ir a Redes de VPC

2. Haz clic en Crear red de VPC.

3. En Nombre, ingresa lb-network.

4. En la sección Subredes, establece Modo de creación de subred como Personalizado.

5. Crea una subred para los backends del balanceador de cargas. En la sección Nueva subred, ingresa la siguiente información:

   • Nombre: backend-subnet
   • Región: REGION_A
   • Rangos de direcciones IP: 10.1.2.0/24

6. Haz clic en Listo.

7. Haz clic en Crear.

gcloud

1. Para crear la red de VPC personalizada, usa el comando gcloud compute networks create.

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. Para crear una subred en la red lb-network en la región REGION_A, usa el comando gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=REGION_A
   

Console

Si usas la consola de Cloud de Confiance , puedes esperar y crear la subred de solo proxy más adelante en la página Balanceo de cargas.

Si quieres crear la subred de solo proxy ahora, sigue estos pasos:

1. En la consola de Cloud de Confiance , ve a la página Redes de VPC.

   Ir a las redes de VPC

2. Haz clic en el nombre de la red de VPC: lb-network.

3. Haz clic en Agregar subred.

4. En Nombre, ingresa proxy-only-subnet.

5. En Región, selecciona REGION_A.

6. Configura Propósito como Proxy administrado regional.

7. En Rango de direcciones IP, ingresa 10.129.0.0/23.

8. Haz clic en Agregar.

gcloud

Para crear la subred de solo proxy, usa el comando gcloud compute networks subnets create:

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION_A \
    --network=lb-network \
    --range=10.129.0.0/23

Console

1. En la consola de Cloud de Confiance , ve a la página Políticas de firewall.

   Ir a Políticas de firewall

2. Haz clic en Crear regla de firewall para crear la regla que permite conexiones SSH entrantes. Completa los siguientes campos:

   • Nombre: fw-allow-ssh
   • Red: lb-network
   • Dirección del tráfico: Entrada
   • Acción en caso de coincidencia: Permitir
   • Destinos: Etiquetas de destino especificadas
   • Etiquetas de destino: allow-ssh
   • Filtro de fuente: Rangos de IPv4
   • Rangos de IPv4 de origen: 0.0.0.0/0
   • Protocolos y puertos:
     • Elige Protocolos y puertos especificados.
     • Selecciona la casilla de verificación TCP y, luego, ingresa 22 para el número de puerto.

3. Haz clic en Crear.

4. Haz clic en Crear regla de firewall por segunda vez para crear la regla que permita las verificaciones de estado deCloud de Confiance :

   • Nombre: fw-allow-health-check
   • Red: lb-network
   • Dirección del tráfico: Entrada
   • Acción en caso de coincidencia: Permitir
   • Destinos: Etiquetas de destino especificadas
   • Etiquetas de destino: allow-health-check
   • Filtro de fuente: Rangos de IPv4
   • Rangos de IPv4 de origen: 177.222.80.0/23

   • Protocolos y puertos:

     • Elige Protocolos y puertos especificados.
     • Selecciona la casilla de verificación TCP y, luego, ingresa 80 para el número de puerto.

     Como práctica recomendada, limita esta regla solo a los protocolos y puertos que coincidan con los que usa tu verificación de estado. Si usas tcp:80 para el protocolo y el puerto, Cloud de Confiance puede usar HTTP en el puerto 80 para comunicarse con tus VMs, pero no puede usar HTTPS en el puerto 443 para comunicarse con ellas.

5. Haz clic en Crear.

6. Haz clic en Crear regla de firewall por tercera vez para crear la regla a fin de permitir que los servidores proxy del balanceador de cargas se conecten con los backends:

   • Nombre: fw-allow-proxy-only-subnet
   • Red: lb-network
   • Dirección del tráfico: Entrada
   • Acción en caso de coincidencia: Permitir
   • Destinos: Etiquetas de destino especificadas
   • Etiquetas de destino: allow-proxy-only-subnet
   • Filtro de fuente: Rangos de IPv4
   • Rangos de IPv4 de origen: 10.129.0.0/23
   • Protocolos y puertos:
     • Elige Protocolos y puertos especificados.
     • Selecciona la casilla de verificación TCP y, luego, ingresa 80 para el número de puerto.

7. Haz clic en Crear.

gcloud

1. Crea la regla de firewall fw-allow-ssh para permitir la conectividad SSH a las VM con la etiqueta de red allow-ssh. Cuando omites source-ranges,Cloud de Confiance interpreta que la regla significa cualquier fuente.

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

2. Crea la regla fw-allow-health-check para permitir las verificaciones de estado de Cloud de Confiance. Este ejemplo permite todo el tráfico de TCP proveniente de la verificación de estado. Sin embargo, puedes configurar un conjunto más limitado de puertos según tus necesidades.

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=177.222.80.0/23 \
       --target-tags=allow-health-check \
       --rules=tcp:80
   

3. Crea la regla fw-allow-proxy-only-subnet para permitir que los proxies de Envoy de la región se conecten a tus backends. Configura --source-ranges en los rangos asignados de tu subred de solo proxy, en este ejemplo, 10.129.0.0/23.

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=10.129.0.0/23 \
       --target-tags=allow-proxy-only-subnet \
       --rules=tcp:80
   

Console

1. En la consola de Cloud de Confiance , ve a la página Reserva una dirección estática.

   Ir a Reserva una dirección estática

2. Elige un nombre para la dirección nueva.

3. En Nivel de servicio de red, selecciona Estándar.

4. Para Versión de la IP, selecciona IPv4. Las direcciones IPv6 no son compatibles.

5. En Tipo, selecciona Regional.

6. En Región, selecciona REGION_A.

7. Deja la opción Conectado a configurada en Ninguna. Después de crear el balanceador de cargas, esta dirección IP se adjunta a la regla de reenvío del balanceador de cargas.

8. Haz clic en Reservar si deseas reservar la dirección IP.

gcloud

1. Para reservar una dirección IP externa estática, usa el comando gcloud compute addresses create:

   gcloud compute addresses create ADDRESS_NAME  \
       --region=REGION_A \
       --network-tier=STANDARD
   

   Reemplaza ADDRESS_NAME por el nombre que deseas darle a esta dirección.

2. Para ver el resultado, usa el comando gcloud compute addresses describe:

   gcloud compute addresses describe ADDRESS_NAME
   

Console

Crea una plantilla de instancias

1. En la consola de Cloud de Confiance , ve a la página Plantillas de instancias.

   Ir a Plantillas de instancia

2. Haz clic en Crear plantilla de instancias.

3. En Nombre, ingresa ext-reg-tcp-proxy-backend-template.

4. Asegúrate de que el disco de arranque esté configurado como una imagen de Debian, como Debian GNU/Linux 12 (bookworm). En estas instrucciones, se usan comandos que solo están disponibles en Debian, como apt-get.

5. Haz clic en Opciones avanzadas.

6. Haz clic en Herramientas de redes y configura los siguientes campos:

   1. En Etiquetas de red, ingresa allow-ssh, allow-health-check y allow-proxy-only-subnet.
   2. En Interfaces de red, selecciona lo siguiente:
      • Red: lb-network
      • Subred: backend-subnet

7. Haz clic en Administración. Ingresa la siguiente secuencia de comandos en el campo Secuencia de comandos de inicio:

    #! /bin/bash
    apt-get update
    apt-get install apache2 -y
    a2ensite default-ssl
    a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://metadata.google.internal/computeMetadata/v1/instance/name)"
    echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    systemctl restart apache2
    

8. Haz clic en Crear.

Cree un grupo de instancias administrado

1. En la consola de Cloud de Confiance , ve a la página Grupos de instancias.

   Ir a Grupos de instancias

2. Haz clic en Crear grupo de instancias.

3. Selecciona Nuevo grupo de instancias administrado (sin estado). Para obtener más información, consulta Crea un MIG con discos con estado.

4. En Nombre, ingresa mig-a.

5. En Ubicación, selecciona Zona única.

6. En Región, selecciona REGION_A.

7. En Zona, selecciona ZONE_A.

8. En Plantilla de instancias, selecciona ext-reg-tcp-proxy-backend-template.

9. Especifica la cantidad de instancias que quieres crear en el grupo.

   En este ejemplo, especifica las siguientes opciones en Ajuste de escala automático:

   • En Modo de ajuste de escala automático, selecciona Off:do not autoscale.
   • En Cantidad máxima de instancias, ingresa 2.

10. En Asignación de puertos, haz clic en Agregar puerto.

    • En Nombre del puerto, ingresa tcp80.
    • En Número de puerto, ingresa 80.

11. Haz clic en Crear.

12. Para crear un segundo grupo de instancias administrado, repite los pasos de Crea un grupo de instancias administrado y usa la siguiente configuración:

    • Nombre: mig-b
    • Zona: ZONE_B

    No cambies los demás parámetros de configuración.

gcloud

En las instrucciones de Google Cloud CLI de esta guía, se supone que usas Cloud Shell o algún otro entorno con bash instalado.

1. Para crear una plantilla de instancias de VM con el servidor HTTP, usa el comando gcloud compute instance-templates create:

   gcloud compute instance-templates create ext-reg-tcp-proxy-backend-template \
       --region=REGION_A \
       --network=lb-network \
       --subnet=backend-subnet \
       --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
       --image-family=debian-12 \
       --image-project=debian-cloud \
       --metadata=startup-script='#! /bin/bash
          apt-get update
          apt-get install apache2 -y
          a2ensite default-ssl
          a2enmod ssl
          vm_hostname="$(curl -H "Metadata-Flavor:Google" \
          http://metadata.google.internal/computeMetadata/v1/instance/name)"
          echo "Page served from: $vm_hostname" | \
          tee /var/www/html/index.html
          systemctl restart apache2'
   

2. Crea un grupo de instancias administrado en la zona ZONE_A:

   gcloud compute instance-groups managed create mig-a \
       --zone=ZONE_A \
       --size=2 \
       --template=ext-reg-tcp-proxy-backend-template
   

3. Crea un grupo de instancias administrado en la zona ZONE_B:

   gcloud compute instance-groups managed create mig-b \
       --zone=ZONE_B \
       --size=2 \
       --template=ext-reg-tcp-proxy-backend-template
   

Console

Inicia tu configuración

1. En la consola de Cloud de Confiance , ve a la página Balanceo de cargas.

   Ir a Balanceo de cargas

2. Haz clic en Crear balanceador de cargas.
3. En Tipo de balanceador de cargas, selecciona Balanceador de cargas de red (TCP/UDP/SSL) y haz clic en Siguiente.
4. En Proxy o transferencia, selecciona Balanceador de cargas de proxy y haz clic en Siguiente.
5. En Orientado al público o interno, selecciona Orientado al público (externo) y haz clic en Siguiente.
6. En Implementación global o de una sola región, selecciona Mejor para cargas de trabajo regionales y haz clic en Siguiente.
7. Haz clic en Configurar.

Configuración básica

1. En Nombre, ingresa my-ext-tcp-lb.
2. En Región, selecciona REGION_A.
3. En Red, selecciona lb-network.

Reserva una subred de solo proxy

1. Haz clic en Reservar.
2. En el campo Nombre, ingresa proxy-only-subnet.
3. En el campo Rango de direcciones IP, ingresa 10.129.0.0/23.
4. Haz clic en Agregar.

Configura los backends

1. Haz clic en Configuración de backend.
2. En la lista Tipo de backend, selecciona Grupo de instancias.
3. En la lista Protocolo, selecciona TCP.
4. En el campo Puerto con nombre, ingresa tcp80.
5. Configura la verificación de estado:
   1. En la lista Verificación de estado, selecciona Crear una verificación de estado.
   2. En el campo Nombre, ingresa tcp-health-check.
   3. En la lista Protocolo, selecciona TCP.
   4. En el campo Puerto, ingresa 80.
   5. Haz clic en Crear.
6. Configura el primer backend:
   1. En Nuevo backend, selecciona el grupo de instancias mig-a.
   2. En Números de puerto, ingresa 80.
   3. Conserva los valores predeterminados restantes y haz clic en Listo.
7. Configura el segundo backend:
   1. Haz clic en Agregar backend.
   2. En Nuevo backend, selecciona el grupo de instancias mig-b.
   3. En Números de puerto, ingresa 80.
   4. Conserva los valores predeterminados restantes y haz clic en Listo.
8. Conserva los valores predeterminados restantes y haz clic en Guardar.
9. En la consola de Cloud de Confiance , verifica que haya una marca de verificación junto a Configuración de backend. De lo contrario, verifica que hayas completado todos los pasos.

Configura el frontend

1. Haz clic en Configuración de frontend.
2. En Nombre, ingresa ext-reg-tcp-forwarding-rule.
3. En Nivel de servicio de red, selecciona Estándar.
4. En Dirección IP, selecciona la dirección IP que se reservó antes: LB_IP_ADDRESS
5. En Número de puerto, ingresa 110. La regla de reenvío solo reenvía los paquetes con un puerto de destino coincidente.
6. En Protocolo de proxy, selecciona Desactivado porque el protocolo PROXY no funciona con el software del servidor HTTP de Apache. Para obtener más información, consulta Protocolo PROXY.
7. Haz clic en Listo.
8. En la consola de Cloud de Confiance , verifica que haya una marca de verificación junto a Configuración de frontend. De lo contrario, verifica que hayas completado todos los pasos anteriores.

Revisa y finaliza

1. Haz clic en Revisión y finalización.
2. Revisa la configuración del balanceador de cargas.
3. Opcional: Haz clic en Código equivalente a fin de ver la solicitud a la API de REST que se usa para crear el balanceador de cargas.
4. Haz clic en Crear.

gcloud

1. Crea una verificación de estado regional:

   gcloud compute health-checks create tcp tcp-health-check \
       --region=REGION_A \
       --use-serving-port
   

2. Crea un servicio de backend:

   gcloud compute backend-services create ext-reg-tcp-proxy-bs \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --protocol=TCP \
       --port-name=tcp80 \
       --region=REGION_A \
       --health-checks=tcp-health-check \
       --health-checks-region=REGION_A
   

3. Agrega grupos de instancias a tu servicio de backend:

   gcloud compute backend-services add-backend ext-reg-tcp-proxy-bs \
       --region=REGION_A \
       --instance-group=mig-a \
       --instance-group-zone=ZONE_A \
       --balancing-mode=UTILIZATION \
       --max-utilization=0.8
    

   gcloud compute backend-services add-backend ext-reg-tcp-proxy-bs \
       --region=REGION_A \
       --instance-group=mig-b \
       --instance-group-zone=ZONE_B \
       --balancing-mode=UTILIZATION \
       --max-utilization=0.8
   

4. Crea un proxy TCP de destino:

   gcloud compute target-tcp-proxies create ext-reg-tcp-target-proxy \
       --backend-service=ext-reg-tcp-proxy-bs \
       --proxy-header=NONE \
       --region=REGION_A
   

   Si quieres activar el encabezado de proxy, configúralo como PROXY_V1 en lugar de NONE. En este ejemplo, no habilites el protocolo PROXY porque no funciona con el software del servidor HTTP de Apache. Para obtener más información, consulta Protocolo PROXY.

5. Crea la regla de reenvío. Para --ports, especifica un solo número de puerto, de 1 a 65535. En este ejemplo, se usa el puerto 110. La regla de reenvío solo reenvía los paquetes con un puerto de destino coincidente.

   gcloud compute forwarding-rules create ext-reg-tcp-forwarding-rule \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --network-tier=STANDARD \
       --network=lb-network \
       --region=REGION_A \
       --target-tcp-proxy=ext-reg-tcp-target-proxy \
       --target-tcp-proxy-region=REGION_A \
       --address=LB_IP_ADDRESS \
       --ports=110
   

Console

1. En la consola de Cloud de Confiance , ve a la página Balanceo de cargas.

   Ir a Balanceo de cargas

2. Haz clic en Backends.

3. Haz clic en ext-reg-tcp-proxy-bs (el nombre del servicio de backend que creaste para este ejemplo) y, luego, en Editar.

4. En la página Detalles del servicio de backend, haz clic en Configuración avanzada.

5. En Afinidad de sesión, selecciona IP de cliente.

6. Haz clic en Actualizar.

gcloud

Para actualizar el servicio de backend ext-reg-tcp-proxy-bs y especificar la afinidad de sesión de IP de cliente, usa el comando gcloud compute backend-services update ext-reg-tcp-proxy-bs:

gcloud compute backend-services update ext-reg-tcp-proxy-bs \
    --region=REGION_A \
    --session-affinity=CLIENT_IP