הגדרה של מאזן עומסי רשת אזורי חיצוני בשרת proxy עם קצה עורפי של NEG אזורי

המסוף

1. נכנסים לדף VPC networks במסוף Cloud de Confiance .

   מעבר לרשתות VPC

2. לוחצים על יצירת רשת VPC.

3. בשדה Name (שם), מזינים lb-network.

4. בקטע Subnets (רשתות משנה), מבצעים את הפעולות הבאות:

   1. מגדירים את מצב יצירת רשתות משנה לבהתאמה אישית.
   2. בקטע New subnet (רשת משנה חדשה), מזינים את הפרטים הבאים:
      • Name (שם): backend-subnet
      • אזור: REGION_A
      • טווח כתובות IP: 10.1.2.0/24
   3. לוחצים על סיום.

5. לוחצים על יצירה.

gcloud

1. כדי ליצור רשת VPC בהתאמה אישית, משתמשים בפקודה gcloud compute networks create:

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. כדי ליצור תת-רשת ברשת lb-network באזור REGION_A, משתמשים בפקודה gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
      --network=lb-network \
      --range=10.1.2.0/24 \
      --region=REGION_A
   

המסוף

אם אתם משתמשים במסוף Cloud de Confiance , אתם יכולים לחכות וליצור את רשת המשנה של ה-proxy בלבד מאוחר יותר בדף איזון עומסים.

כדי ליצור עכשיו את רשת המשנה של ה-proxy בלבד, פועלים לפי השלבים הבאים:

1. נכנסים לדף VPC networks במסוף Cloud de Confiance .

   מעבר לרשתות VPC

2. לוחצים על השם של רשת ה-VPC המשותפת: lb-network.

3. לוחצים על הוספת רשת משנה.

4. בשדה Name (שם), מזינים proxy-only-subnet.

5. בשדה אזור, בוחרים באפשרות REGION_A.

6. מגדירים את Purpose (מטרה) לערך Regional Managed Proxy (שרת proxy מנוהל אזורי).

7. בשדה טווח כתובות IP, מזינים 10.129.0.0/23.

8. לוחצים על הוספה.

gcloud

כדי ליצור את רשת המשנה של ה-proxy בלבד, משתמשים בפקודה gcloud compute networks subnets create:

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION_A \
    --network=lb-network \
    --range=10.129.0.0/23

המסוף

1. נכנסים לדף Firewall policies במסוף Cloud de Confiance .

   לדף Firewall policies

2. לוחצים על יצירת כלל לחומת האש וממלאים את השדות הבאים:

   • Name (שם): fw-allow-health-check
   • רשת: lb-network
   • יעדים: תגי יעד שצוינו
   • תגי טירגוט: allow-health-check
   • מסנן מקור: טווחים של כתובות IPv4
   • טווחים של כתובות IPv4 של המקור: 177.222.80.0/23
   • פרוטוקולים ויציאות:
     • בוחרים באפשרות Specified protocols and ports (פרוטוקולים ויציאות ספציפיים).
     • מסמנים את תיבת הסימון TCP ומזינים 80 כמספר היציאה.

3. לוחצים על יצירה.

4. לוחצים על Create firewall rule (יצירת כלל חומת אש) בפעם השנייה כדי ליצור את הכלל שיאפשר חיבורי SSH נכנסים:

   • Name (שם): fw-allow-ssh
   • רשת: lb-network
   • עדיפות: 1000
   • כיוון התנועה: כניסה
   • פעולה במקרה של התאמה: אישור
   • יעדים: תגי יעד שצוינו
   • תגי טירגוט: allow-ssh
   • מסנן מקור: טווחים של כתובות IPv4
   • טווחי IPv4 של המקור: 0.0.0.0/0
   • פרוטוקולים ויציאות:
     • בוחרים באפשרות Specified protocols and ports (פרוטוקולים ויציאות ספציפיים).
     • מסמנים את תיבת הסימון TCP ומזינים 22 כמספר היציאה.

5. לוחצים על יצירה.

6. לוחצים על Create firewall rule (יצירת כלל לחומת האש) בפעם השלישית כדי ליצור את הכלל שיאפשר חיבורים נכנסים מתת-הרשת של שרת proxy בלבד לשרתים העורפיים (backend) של Cloud de Confiance:

   • Name (שם): fw-allow-proxy-only-subnet
   • רשת: lb-network
   • עדיפות: 1000
   • כיוון התנועה: כניסה
   • פעולה במקרה של התאמה: אישור
   • יעדים: תגי יעד שצוינו
   • תגי טירגוט: allow-proxy-only-subnet
   • מסנן מקור: טווחים של כתובות IPv4
   • טווחי IPv4 של המקור: 10.129.0.0/23
   • פרוטוקולים ויציאות:
     • בוחרים באפשרות Specified protocols and ports (פרוטוקולים ויציאות ספציפיים).
     • מסמנים את תיבת הסימון TCP ומזינים 80 כמספר היציאה.

7. לוחצים על יצירה.

gcloud

1. יוצרים את הכלל fw-allow-health-check כדי לאפשר לבדיקות התקינות להגיע לשרתים העורפיים ביציאת TCP‏ 80: Cloud de Confiance

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check \
       --source-ranges=177.222.80.0/23 \
       --rules=tcp:80
   

2. יוצרים את כלל חומת האש fw-allow-ssh כדי לאפשר קישוריות SSH למכונות וירטואליות עם תג הרשת allow-ssh. אם לא מציינים את source-ranges, Cloud de Confiance מפרש את הכלל כאילו הוא מתייחס לכל מקור.

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

3. יוצרים כלל חומת אש שמאפשר תעבורת נתונים נכנסת (ingress) לתת-רשת של שרת proxy בלבד, כדי לאפשר למאזן העומסים לתקשר עם שרתים עורפיים ביציאת TCP מספר 80:

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-proxy-only-subnet \
       --source-ranges=10.129.0.0/23 \
       --rules=tcp:80
   

המסוף

1. נכנסים לדף Reserve a static address במסוף Cloud de Confiance .

   מעבר אל Reserve a static address

2. בוחרים שם לכתובת החדשה.

3. בקטע Network Service Tier, בוחרים באפשרות Standard.

4. בשביל IP version, בוחרים IPv4. אין תמיכה בכתובות IPv6.

5. בקטע Type, בוחרים באפשרות Regional.

6. בשדה אזור, בוחרים באפשרות REGION_A.

7. משאירים את האפשרות מצורף אל במצב ללא. אחרי שיוצרים את מאזן העומסים, כתובת ה-IP הזו מצורפת לכלל ההעברה של מאזן העומסים.

8. לוחצים על שמירה כדי לשמור את כתובת ה-IP.

gcloud

1. כדי לשמור כתובת IP חיצונית סטטית, משתמשים בפקודה gcloud compute addresses create:

   gcloud compute addresses create ADDRESS_NAME  \
      --region=REGION_A \
      --network-tier=STANDARD
   

   מחליפים את ADDRESS_NAME בשם שרוצים לתת לכתובת הזו.

2. כדי לראות את התוצאה, משתמשים בפקודה gcloud compute addresses describe:

   gcloud compute addresses describe ADDRESS_NAME
   

המסוף

1. נכנסים לדף VM instances במסוף Cloud de Confiance .

   כניסה לדף VM instances

2. לוחצים על Create instance.

3. מגדירים את Name לערך vm-a1.

4. בשדה אזור, בוחרים באפשרות REGION_A.

5. בשדה Zone, בוחרים באפשרות ZONE_A.

6. בקטע Boot disk מוודאים שהאפשרות Debian GNU/Linux 12 (bookworm)‎ מסומנת באפשרויות של דיסק האתחול. לוחצים על בחירה כדי לשנות את התמונה, אם צריך.

7. לוחצים על אפשרויות מתקדמות.

8. לוחצים על Networking (רשת) ומגדירים את השדות הבאים:

   1. בשדה Network tags (תגים של רשת), מזינים את הערכים allow-ssh, allow-health-check, ו-allow-proxy-only-subnet.
   2. בקטע Network interfaces (ממשקי רשת), בוחרים באפשרויות הבאות:
      • רשת: lb-network
      • ‫Subnet (רשת משנה): backend-subnet

9. לוחצים על ניהול. מזינים את הסקריפט הבא בשדה סקריפט לטעינה בזמן ההפעלה:

   #! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2
   

10. לוחצים על יצירה.

11. חוזרים על השלבים הקודמים כדי ליצור עוד שלוש מכונות וירטואליות. משתמשים בשילובים הבאים של שמות ואזורים:

    • שם: vm-a2 | אזור: ZONE_A
    • שם: vm-b1 | אזור: ZONE_B
    • שם: vm-b2 | אזור: ZONE_B

gcloud

כדי ליצור את המכונות הווירטואליות, משתמשים בפקודה gcloud compute instances create פעמיים. משתמשים בצירופים הבאים עבור VM_NAME ו-ZONE. תוכן הסקריפט זהה בשתי המכונות הווירטואליות:

• VM_NAME: vm-a1 וגם ZONE: ZONE_A
• VM_NAME: vm-a2 וגם ZONE: ZONE_A
• VM_NAME: vm-b1 וגם ZONE: ZONE_B
• VM_NAME: vm-b2 וגם ZONE: ZONE_B

 gcloud compute instances create VM_NAME \
     --zone=ZONE \
     --image-family=debian-12 \
     --image-project=debian-cloud \
     --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
     --subnet=backend-subnet \
     --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2'

המסוף

יצירה של קבוצת נקודות קצה ברשת אזורית

1. נכנסים לדף Network endpoint groups במסוף Cloud de Confiance .

   כניסה לדף Network endpoint groups
   

2. לוחצים על יצירת קבוצת נקודות קצה ברשת.

3. בשדה Name (שם), מזינים zonal-neg-a.

4. בקטע סוג קבוצת נקודות קצה ברשת, בוחרים באפשרות קבוצת נקודות קצה ברשת (אזורית).

5. בשדה רשת, בוחרים באפשרות lb-network.

6. בקטע תת-רשת, בוחרים באפשרות backend-subnet.

7. בשדה Zone, בוחרים באפשרות ZONE_A.

8. בשדה יציאה שמוגדרת כברירת מחדל, מזינים 80.

9. לוחצים על יצירה.

10. חוזרים על כל השלבים בקטע הזה כדי ליצור עוד NEG אזורי עם השינויים הבאים בהגדרות:

    • Name (שם): zonal-neg-b
    • Zone (תחום): ZONE_B

הוספת נקודות קצה ל-NEGs אזוריים

1. נכנסים לדף Network endpoint groups במסוף Cloud de Confiance .

   כניסה לדף Network endpoint groups
   

2. לוחצים על השם של קבוצת נקודות הקצה ברשת שיצרתם בשלב הקודם (לדוגמה, zonal-neg-a).

3. בדף Network endpoint group details, בקטע Network endpoints in this group, לוחצים על Add network endpoint.

4. בוחרים מכונה וירטואלית (לדוגמה, vm-a1).

5. בקטע Network interface מוצגים שם מכונת ה-VM, האזור ורשת המשנה.

   1. בשדה IP address, מזינים את כתובת ה-IP של נקודת הקצה החדשה ברשת. כדי לקבל את כתובת ה-IP, לוחצים על Check primary IP addresses and alias IP range in nic0.
   2. בקטע סוג יציאה, בוחרים באפשרות ברירת מחדל. נקודת הקצה משתמשת ביציאת ברירת המחדל 80 לכל נקודות הקצה בקבוצת נקודות הקצה ברשת. זה מספיק לדוגמה שלנו כי שרת Apache משרת בקשות ביציאה 80.
   3. לוחצים על יצירה.

6. לוחצים על הוספת נקודת קצה של רשת. בוחרים את מכונת ה-VM השנייה, vm-a2, וחוזרים על השלבים הקודמים כדי להוסיף את נקודות הקצה שלה אל zonal-neg-a.

7. חוזרים על כל השלבים בקטע הזה כדי להוסיף נקודות קצה מ-vm-b1 ומ-vm-b2 אל zonal-neg-b.

gcloud

1. יוצרים NEG אזורי באזור ZONE_A עם נקודות קצה GCE_VM_IP_PORT:

   gcloud compute network-endpoint-groups create zonal-neg-a \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=ZONE_A \
       --network=lb-network \
       --subnet=backend-subnet
   

   אפשר לציין את --default-port כשיוצרים את ה-NEG, או לציין מספר יציאה לכל נקודת קצה, כמו שמוצג בשלב הבא.

2. מוסיפים נקודות קצה ל-NEG האזורי:

   gcloud compute network-endpoint-groups update zonal-neg-a \
       --zone=ZONE_A \
       --add-endpoint='instance=vm-a1,port=80' \
       --add-endpoint='instance=vm-a2,port=80'
   

3. יוצרים NEG אזורי באזור ZONE_B עם נקודות קצה GCE_VM_IP_PORT:

   gcloud compute network-endpoint-groups create zonal-neg-b \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=ZONE_B \
       --network=lb-network \
       --subnet=backend-subnet
   

   אפשר לציין את --default-port כשיוצרים את ה-NEG, או לציין מספר יציאה לכל נקודת קצה, כמו שמוצג בשלב הבא.

4. מוסיפים נקודות קצה ל-NEG האזורי:

   gcloud compute network-endpoint-groups update zonal-neg-b \
       --zone=ZONE_B \
       --add-endpoint='instance=vm-b1,port=80' \
       --add-endpoint='instance=vm-b2,port=80'
   

המסוף

התחלת ההגדרה

1. נכנסים לדף Load balancing במסוף Cloud de Confiance .

   כניסה לדף Load balancing

2. לוחצים על Create load balancer (יצירת מאזן עומסים).
3. בקטע Type of load balancer (סוג מאזן העומסים), בוחרים באפשרות Network Load Balancer (TCP/UDP/SSL) (מאזן עומסים ברשת (TCP/UDP/SSL)) ולוחצים על Next (הבא).
4. בקטע Proxy or passthrough (פרוקסי או העברה), בוחרים באפשרות Proxy load balancer (מאזן עומסים של פרוקסי) ולוחצים על Next (הבא).
5. בקטע Public facing or internal (פנימי או גלוי לכולם), בוחרים באפשרות Public facing (external) (גלוי לכולם – חיצוני) ולוחצים על Next (הבא).
6. אם בוחרים באפשרות פריסה גלובלית או פריסה באזור יחיד, בוחרים באפשרות הכי טוב לעומסי עבודה אזוריים ולוחצים על הבא.
7. לוחצים על Configure (הגדרה).

הגדרה בסיסית

1. בשדה Name (שם), מזינים my-ext-tcp-lb.
2. בשדה אזור, בוחרים באפשרות REGION_A.
3. בשדה רשת, בוחרים באפשרות lb-network.

הזמנת רשת משנה לשרת proxy בלבד

1. לוחצים על שמירת רשת משנה.
2. בשדה Name (שם), מזינים proxy-only-subnet.
3. בשדה טווח כתובות IP, מזינים 10.129.0.0/23.
4. לוחצים על הוספה.

הגדרת הקצוות העורפיים

1. לוחצים על Backend configuration.
2. ברשימה סוג ה-Backend, בוחרים באפשרות קבוצת נקודות קצה ברשת אזורית.
3. ברשימה Protocol בוחרים באפשרות TCP.
4. מגדירים את בדיקת התקינות:
   1. ברשימה Health check, בוחרים באפשרות Create a health check.
   2. בשדה שם מזינים tcp-health-check.
   3. ברשימה Protocol בוחרים באפשרות TCP.
   4. בשדה יציאה, מזינים 80.
   5. לוחצים על יצירה.
5. מגדירים את הקצה העורפי הראשון:
   1. בקטע New backend, בוחרים באפשרות zonal NEG zonal-neg-a.
   2. משאירים את ערכי ברירת המחדל בשאר השדות ולוחצים על סיום.
6. מגדירים את הקצה העורפי השני:
   1. לוחצים על הוספת קצה עורפי.
   2. בקטע New backend (קצה עורפי חדש), בוחרים באפשרות instance group (קבוצת מכונות) zonal-neg-b.
   3. משאירים את ערכי ברירת המחדל בשאר השדות ולוחצים על סיום.
7. משאירים את ערכי ברירת המחדל הנותרים ולוחצים על שמירה.
8. במסוף Cloud de Confiance , מוודאים שמופיע סימן וי ליד Backend configuration. אם לא, צריך לוודא שהשלמתם את כל השלבים.

הגדרת הקצה הקדמי

1. לוחצים על Frontend configuration.
2. בשדה Name (שם), מזינים ext-tcp-forwarding-rule.
3. בקטע Network Service Tier, בוחרים באפשרות Standard.
4. בשדה IP address, בוחרים באפשרות ext-tcp-ip-address.
5. בשדה מספר יציאה, מזינים 9090. כלל ההעברה מעביר רק מנות עם יציאת יעד תואמת.
6. בשדה Proxy protocol, בוחרים באפשרות Off כי פרוטוקול ה-PROXY לא פועל עם תוכנת Apache HTTP Server. מידע נוסף מופיע במאמר בנושא פרוטוקול PROXY.
7. לוחצים על סיום.
8. במסוף Cloud de Confiance , מוודאים שיש סימן וי ליד Frontend configuration. אם לא, בודקים שוב שהשלמתם את כל השלבים הקודמים.

בדיקה וסיום

1. לוחצים על Review and finalize.
2. כדאי לבדוק שוב את ההגדרות.
3. לוחצים על יצירה.

gcloud

1. יוצרים בדיקת תקינות אזורית לשרתי הקצה העורפיים:

   gcloud compute health-checks create tcp tcp-health-check \
       --region=REGION_A \
       --use-serving-port
   

2. יוצרים שירות לקצה העורפי:

   gcloud compute backend-services create external-tcp-proxy-bs \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --protocol=TCP \
      --region=REGION_A \
      --health-checks=tcp-health-check \
      --health-checks-region=REGION_A
   

3. מוסיפים את ה-NEG האזורי לאזור ZONE_A לשירות לקצה העורפי:

   gcloud compute backend-services add-backend external-tcp-proxy-bs \
      --network-endpoint-group=zonal-neg-a \
      --network-endpoint-group-zone=ZONE_A \
      --balancing-mode=CONNECTION \
      --max-connections-per-endpoint=50 \
      --region=REGION_A
   

4. מוסיפים את ה-NEG האזורי לאזור ZONE_B לשירות לקצה העורפי:

   gcloud compute backend-services add-backend external-tcp-proxy-bs \
      --network-endpoint-group=zonal-neg-b \
      --network-endpoint-group-zone=ZONE_B \
      --balancing-mode=CONNECTION \
      --max-connections-per-endpoint=50 \
      --region=REGION_A
   

5. יוצרים את שרת ה-TCP Proxy ביעד:

   gcloud compute target-tcp-proxies create ext-tcp-target-proxy \
      --backend-service=external-tcp-proxy-bs \
      --region=REGION_A
   

6. יוצרים את כלל ההעברה. בשדה --ports, מציינים מספר יציאה יחיד בין 1 ל-65535. בדוגמה הזו נעשה שימוש ביציאה 9090. כלל ההעברה מעביר רק מנות עם יציאת יעד תואמת.

   gcloud compute forwarding-rules create ext-tcp-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network=lb-network \
     --network-tier=STANDARD \
     --address=ext-tcp-ip-address \
     --ports=9090 \
     --region=REGION_A \
     --target-tcp-proxy=ext-tcp-target-proxy \
     --target-tcp-proxy-region=REGION_A