הגדרה של מאזן עומסי רשת פנימי אזורי בשרת proxy עם קצה עורפי של NEG אזורי

המסוף

1. נכנסים לדף VPC networks במסוף Cloud de Confiance .

   מעבר לרשתות VPC

2. לוחצים על יצירת רשת VPC.

3. בשדה Name (שם), מזינים lb-network.

4. בקטע Subnets (רשתות משנה):

   • מגדירים את מצב יצירת רשתות משנה לבהתאמה אישית.
   • בקטע New subnet (רשת משנה חדשה), מזינים את הפרטים הבאים:
     • Name (שם): backend-subnet
     • אזור: REGION_A
     • טווח כתובות IP: 10.1.2.0/24
   • לוחצים על סיום.

5. לוחצים על יצירה.

gcloud

1. יוצרים את רשת ה-VPC המותאמת אישית באמצעות הפקודה gcloud compute networks create:

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. יוצרים תת-רשת ברשת lb-network באזור REGION_A באמצעות הפקודה gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=REGION_A
   

המסוף

אם אתם משתמשים במסוף Cloud de Confiance , אתם יכולים לחכות וליצור את רשת המשנה של ה-proxy בלבד מאוחר יותר בדף איזון עומסים.

כדי ליצור עכשיו את רשת המשנה של ה-proxy בלבד, פועלים לפי השלבים הבאים:

1. נכנסים לדף VPC networks במסוף Cloud de Confiance .

   מעבר לרשתות VPC

2. לוחצים על השם של רשת ה-VPC המשותפת: lb-network.

3. לוחצים על הוספת רשת משנה.

4. בשדה Name (שם), מזינים proxy-only-subnet.

5. בקטע אזור, בוחרים באפשרות REGION_A.

6. מגדירים את Purpose (מטרה) לערך Regional Managed Proxy (שרת proxy מנוהל אזורי).

7. בשדה IP address range (טווח כתובות IP), מזינים 10.129.0.0/23.

8. לוחצים על הוספה.

gcloud

יוצרים את התת-רשת של ה-proxy בלבד באמצעות הפקודה gcloud compute networks subnets create.

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION_A \
    --network=lb-network \
    --range=10.129.0.0/23

המסוף

1. נכנסים לדף Firewall policies במסוף Cloud de Confiance .

   לדף Firewall policies

2. לוחצים על יצירת כלל לחומת האש:

   1. מזינים שם של fw-allow-health-check.
   2. בקטע רשת, בוחרים באפשרות lb-network.
   3. בקטע יעדים, בוחרים באפשרות תגי יעד ספציפיים.
   4. בשדה Target tags (תגי יעד) כותבים allow-health-check.
   5. מגדירים את Source filter בתור IPv4 ranges.
   6. מגדירים את Source IPv4 ranges לערך 177.222.80.0/23.
   7. בקטע Protocols and ports (פרוטוקולים ויציאות), בוחרים באפשרות Specified protocols and ports (פרוטוקולים ויציאות שצוינו).
   8. מסמנים את תיבת הסימון TCP ומזינים 80 עבור מספרי היציאות.
   9. לוחצים על יצירה.

3. לוחצים שוב על Create firewall rule (יצירת כלל חומת אש) כדי ליצור את הכלל שיאפשר חיבורי SSH נכנסים:

   • Name (שם): fw-allow-ssh
   • רשת: lb-network
   • עדיפות: 1000
   • כיוון התנועה: כניסה
   • פעולה במקרה של התאמה: לאפשר
   • יעדים: תגי יעד שצוינו
   • תגי טירגוט: allow-ssh
   • מסנן מקור: טווחים של כתובות IPv4
   • טווחי IPv4 של המקור: 0.0.0.0/0
   • פרוטוקולים ויציאות: בוחרים באפשרות פרוטוקולים ויציאות שצוינו ואז מקלידים: tcp:22

4. לוחצים על יצירה.

5. לוחצים שוב על יצירת כלל חומת אש כדי ליצור את הכלל שיאפשר חיבורים נכנסים מתת-הרשת של שרת proxy בלבד לשרתים העורפיים (backend) של Cloud de Confiance:

   • Name (שם): fw-allow-proxy-only-subnet
   • רשת: lb-network
   • עדיפות: 1000
   • כיוון התנועה: כניסה
   • פעולה במקרה של התאמה: לאפשר
   • יעדים: תגי יעד שצוינו
   • תגי טירגוט: allow-proxy-only-subnet
   • מסנן מקור: טווחים של כתובות IPv4
   • טווחי IPv4 של המקור: 10.129.0.0/23
   • פרוטוקולים ויציאות: בוחרים באפשרות פרוטוקולים ויציאות שצוינו ואז מקלידים: tcp:80

6. לוחצים על יצירה.

gcloud

1. יוצרים את הכלל fw-allow-health-check כדי לאפשר לבדיקות התקינות של Cloud de Confiance להגיע לשרתים העורפיים (backend instance) ביציאת TCP‏ 80:

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-health-check \
       --source-ranges=177.222.80.0/23 \
       --rules=tcp:80
   

2. יוצרים את כלל חומת האש fw-allow-ssh כדי לאפשר קישוריות SSH למכונות וירטואליות עם תג הרשת allow-ssh. אם לא מציינים את source-ranges, Cloud de Confiance מפרש את הכלל כאילו הוא מתייחס לכל מקור.

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

3. יוצרים כלל חומת אש שמאפשר תעבורת נתונים נכנסת (ingress) לתת-רשת של שרת proxy בלבד, כדי לאפשר למאזן העומסים לתקשר עם שרתים עורפיים ביציאת TCP מספר 80:

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-proxy-only-subnet \
       --source-ranges=10.129.0.0/23 \
       --rules=tcp:80
   

המסוף

1. נכנסים לדף VM instances במסוף Cloud de Confiance .

   כניסה לדף VM instances

2. לוחצים על Create instance.

3. מגדירים את Name לערך vm-a1.

4. בקטע אזור, בוחרים באפשרות REGION_A.

5. למידע על Zone, אפשר לעיין במאמר ZONE_A1.

6. בקטע Boot disk מוודאים שהאפשרות Debian GNU/Linux 12 (bookworm)‎ מסומנת באפשרויות של דיסק האתחול. לוחצים על בחירה כדי לשנות את התמונה, אם צריך.

7. לוחצים על אפשרויות מתקדמות.

8. לוחצים על Networking ומגדירים את השדות הבאים:

   1. בשדה Network tags (תגי רשת), מזינים את הערכים allow-ssh, allow-health-check ו-allow-proxy-only-subnet.
   2. בקטע Network interfaces (ממשקי רשת), בוחרים באפשרויות הבאות:
      • רשת: lb-network
      • ‫Subnet (רשת משנה): backend-subnet

9. לוחצים על ניהול. מזינים את הסקריפט הבא בשדה סקריפט לטעינה בזמן ההפעלה.

   #! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2
   

10. לוחצים על יצירה.

11. חוזרים על השלבים הבאים כדי ליצור עוד 3 מכונות וירטואליות, באמצעות שילובי השמות והאזורים הבאים:

    • שם: vm-a2, אזור: ZONE_A1
    • שם: vm-c1, אזור: ZONE_A2
    • שם: vm-c2, אזור: ZONE_A2

gcloud

כדי ליצור את המכונות הווירטואליות, מריצים את הפקודה הבאה פעמיים, ומשתמשים בשילובים האלה עבור VM_NAME ו-ZONE. התוכן של הסקריפט זהה בשתי המכונות הווירטואליות.

• VM_NAME: vm-a1 וגם ZONE: ZONE_A1
• VM_NAME: vm-a2 וגם ZONE: ZONE_A1
• VM_NAME: vm-c1 וגם ZONE: ZONE_A2

• VM_NAME: vm-c2 וגם ZONE: ZONE_A2

  gcloud compute instances create VM_NAME \
      --zone=ZONE \
      --image-family=debian-12 \
      --image-project=debian-cloud \
      --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
      --subnet=backend-subnet \
      --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2'
  

המסוף

כדי ליצור קבוצת נקודות קצה ברשת אזורית:

1. נכנסים לדף Network endpoint groups במסוף Cloud de Confiance .

   כניסה לדף Network endpoint groups
   

2. לוחצים על יצירת קבוצת נקודות קצה ברשת.

3. בשדה Name (שם), מזינים zonal-neg-a.

4. בקטע סוג קבוצת נקודות קצה ברשת, בוחרים באפשרות קבוצת נקודות קצה ברשת (אזורית).

5. בשדה רשת, בוחרים באפשרות lb-network.

6. בקטע תת-רשת, בוחרים באפשרות backend-subnet.

7. בשדה Zone, בוחרים באפשרות ZONE_A1.

8. מזינים את יציאת ברירת המחדל: 80.

9. לוחצים על יצירה.

10. חוזרים על כל השלבים בקטע הזה כדי ליצור עוד NEG אזורי עם השינויים הבאים בהגדרות:

    • Name (שם): zonal-neg-c
    • Zone (תחום): ZONE_A2

מוסיפים נקודות קצה ל-NEGs אזוריים:

1. נכנסים לדף Network endpoint groups במסוף Cloud de Confiance .

   כניסה לדף Network endpoint groups
   

2. לוחצים על Name (שם) של קבוצת נקודות הקצה ברשת שנוצרה בשלב הקודם (לדוגמה, zonal-neg-a). מוצג הדף Network endpoint group details (פרטים של קבוצת נקודות קצה ברשת).

3. בקטע Network endpoints in this group (נקודות קצה ברשת בקבוצה הזו), לוחצים על Add network endpoint (הוספת נקודת קצה ברשת). מוצג הדף Add network endpoint.

4. בוחרים VM instance (לדוגמה, vm-a1). בקטע Network interface מוצגים שם המכונה הווירטואלית, האזור ורשת המשנה.

   1. מזינים את כתובת ה-IP של נקודת הקצה החדשה ברשת. אפשר ללחוץ על Check primary IP addresses and alias IP range in nic0 כדי לראות את כתובת ה-IP.
   2. בקטע Port type (סוג היציאה), בוחרים באפשרות Default (ברירת מחדל). נקודת הקצה משתמשת ביציאה 80 שמוגדרת כברירת מחדל לכל נקודות הקצה בקבוצה של נקודות קצה ברשת. זה מספיק לדוגמה שלנו כי שרת Apache משרת בקשות ביציאה 80.
   3. לוחצים על יצירה.

5. לוחצים שוב על הוספת נקודת קצה של רשת. בוחרים את מכונת ה-VM השנייה, vm-a2, וחוזרים על השלבים האלה כדי להוסיף את נקודות הקצה שלה אל zonal-neg-a.

6. חוזרים על כל השלבים בקטע הזה כדי להוסיף נקודות קצה מ-vm-c1 ומ-vm-c2 אל zonal-neg-c.

gcloud

1. יוצרים NEG אזורי באזור ZONE_A1 עם נקודות קצה GCE_VM_IP_PORT.

   gcloud compute network-endpoint-groups create zonal-neg-a \
      --network-endpoint-type=GCE_VM_IP_PORT \
      --zone=ZONE_A1 \
      --network=lb-network \
      --subnet=backend-subnet
   

   אפשר לציין את --default-port כשיוצרים את ה-NEG, או לציין מספר יציאה לכל נקודת קצה, כמו שמוצג בשלב הבא.

2. מוסיפים נקודות קצה ל-NEG אזורי.

   gcloud compute network-endpoint-groups update zonal-neg-a \
       --zone=ZONE_A1 \
       --add-endpoint='instance=vm-a1,port=80' \
       --add-endpoint='instance=vm-a2,port=80'
   

3. יוצרים NEG אזורי באזור ZONE_A2 עם נקודות קצה GCE_VM_IP_PORT.

   gcloud compute network-endpoint-groups create zonal-neg-c \
       --network-endpoint-type=GCE_VM_IP_PORT \
       --zone=ZONE_A2 \
       --network=lb-network \
       --subnet=backend-subnet
   

   אפשר לציין את --default-port כשיוצרים את ה-NEG, או לציין מספר יציאה לכל נקודת קצה, כמו שמוצג בשלב הבא.

4. מוסיפים נקודות קצה ל-NEG אזורי.

   gcloud compute network-endpoint-groups update zonal-neg-c \
       --zone=ZONE_A2 \
       --add-endpoint='instance=vm-c1,port=80' \
       --add-endpoint='instance=vm-c2,port=80'
   

המסוף

התחלת ההגדרה

1. נכנסים לדף Load balancing במסוף Cloud de Confiance .

   כניסה לדף Load balancing

2. לוחצים על Create load balancer (יצירת מאזן עומסים).
3. בקטע Type of load balancer (סוג מאזן העומסים), בוחרים באפשרות Network Load Balancer (TCP/UDP/SSL) (מאזן עומסים ברשת (TCP/UDP/SSL)) ולוחצים על Next (הבא).
4. בקטע Proxy or passthrough (פרוקסי או העברה), בוחרים באפשרות Proxy load balancer (מאזן עומסים של פרוקסי) ולוחצים על Next (הבא).
5. בקטע Public facing or internal (פנימי או גלוי לכולם), בוחרים באפשרות Internal (פנימי) ולוחצים על Next (הבא).
6. בקטע פריסה חוצה אזורים או פריסה באזור יחיד, בוחרים באפשרות הכי טוב לעומסי עבודה אזוריים ולוחצים על הבא.
7. לוחצים על Configure (הגדרה).

הגדרה בסיסית

1. בשדה Name (שם), מזינים my-int-tcp-lb.
2. בשדה אזור, בוחרים באפשרות REGION_A.
3. בשדה רשת, בוחרים באפשרות lb-network.

הזמנת רשת משנה לשרת proxy בלבד

כדי להזמין תת-רשת ל-Proxy בלבד:

1. לוחצים על שמירת רשת משנה.
2. בשדה Name (שם), מזינים proxy-only-subnet.
3. בשדה טווח כתובות IP, מזינים 10.129.0.0/23.
4. לוחצים על הוספה.

הגדרת הקצה העורפי

1. לוחצים על Backend configuration.
2. בקטע Backend type (סוג ה-Backend), בוחרים באפשרות Zonal network endpoint group (קבוצה של נקודות קצה ברשת אזורית).
3. בשדה Protocol, בוחרים באפשרות TCP.
4. ברשימה Health check, לוחצים על Create a health check ומזינים את הפרטים הבאים:
   1. Name (שם): tcp-health-check
   2. Protocol: TCP
   3. יציאה: 80
5. לוחצים על יצירה.
6. מגדירים את הקצה העורפי הראשון:
   1. בקטע New backend (עורף חדש), בוחרים באפשרות zonal NEG zonal-neg-a (קבוצת נקודות קצה אזורית).
   2. משאירים את ערכי ברירת המחדל בשאר ההגדרות ולוחצים על סיום.

7. מגדירים את הקצה העורפי השני:

   1. לוחצים על הוספת קצה עורפי.
   2. בקטע New backend (שרת קצה עורפי חדש), בוחרים קבוצת מכונות zonal-neg-c.
   3. משאירים את ערכי ברירת המחדל בשאר ההגדרות ולוחצים על סיום.

8. במסוף Cloud de Confiance , מוודאים שמופיע סימן וי ליד Backend configuration. אם לא, צריך לוודא שהשלמתם את כל השלבים.

הגדרות הקצה הקדמי

1. לוחצים על Frontend configuration.
2. בשדה Name (שם), מזינים int-tcp-forwarding-rule.
3. בקטע רשת משנה, בוחרים באפשרות backend-subnet.
4. בשביל IP address, בוחרים באפשרות int-tcp-ip-address.
5. בשדה מספר יציאה, מזינים 9090. כלל ההעברה מעביר רק מנות עם יציאת יעד תואמת.
6. בדוגמה הזו, לא מפעילים את פרוטוקול ה-Proxy כי הוא לא פועל עם תוכנת Apache HTTP Server. מידע נוסף זמין במאמר בנושא פרוטוקול proxy.
7. לוחצים על סיום.
8. במסוף Cloud de Confiance , מוודאים שיש סימן וי ליד Frontend configuration. אם לא, בודקים שוב שהשלמתם את כל השלבים הקודמים.

בדיקה וסיום

1. לוחצים על Review and finalize.
2. כדאי לבדוק שוב את ההגדרות.
3. לוחצים על יצירה.

gcloud

1. יוצרים בדיקת תקינות אזורית לשרתי הקצה העורפיים.

   gcloud compute health-checks create tcp tcp-health-check \
       --region=REGION_A \
       --use-serving-port
   

2. יוצרים שירות לקצה העורפי.

   gcloud compute backend-services create internal-tcp-proxy-bs \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --protocol=TCP \
      --region=REGION_A \
      --health-checks=tcp-health-check \
      --health-checks-region=REGION_A
   

3. מוסיפים את ה-NEG האזורי באזור ZONE_A1 לשירות הקצה העורפי.

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --network-endpoint-group=zonal-neg-a \
      --network-endpoint-group-zone=ZONE_A1 \
      --balancing-mode=CONNECTION \
      --max-connections-per-endpoint=50 \
      --region=REGION_A
   

4. מוסיפים את ה-NEG האזורי באזור ZONE_A2 לשירות הקצה העורפי.

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --network-endpoint-group=zonal-neg-c \
      --network-endpoint-group-zone=ZONE_A2 \
      --balancing-mode=CONNECTION \
      --max-connections-per-endpoint=50 \
      --region=REGION_A
   

5. יוצרים את שרת ה-TCP Proxy ביעד.

   gcloud compute target-tcp-proxies create int-tcp-target-proxy \
      --backend-service=internal-tcp-proxy-bs \
      --region=REGION_A
   

6. יוצרים את כלל ההעברה. בשדה --ports, מציינים מספר יציאה יחיד בין 1 ל-65535. בדוגמה הזו נעשה שימוש ביציאה 9090. כלל ההעברה מעביר רק מנות עם יציאת יעד תואמת.

   gcloud compute forwarding-rules create int-tcp-forwarding-rule \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=lb-network \
     --subnet=backend-subnet \
     --address=int-tcp-ip-address \
     --ports=9090 \
     --region=REGION_A \
     --target-tcp-proxy=int-tcp-target-proxy \
     --target-tcp-proxy-region=REGION_A
   

המסוף

1. נכנסים לדף VM instances במסוף Cloud de Confiance .

   כניסה לדף VM instances

2. לוחצים על Create instance.

3. מגדירים את Name לערך client-vm.

4. מגדירים את Zone לערך ZONE_A1.

5. לוחצים על אפשרויות מתקדמות.

6. לוחצים על Networking ומגדירים את השדות הבאים:

   1. בשדה Network tags (תגי רשת), מזינים allow-ssh.
   2. בקטע Network interfaces (ממשקי רשת), בוחרים באפשרויות הבאות:
      • רשת: lb-network
      • ‫Subnet (רשת משנה): backend-subnet

7. לוחצים על יצירה.

gcloud

המכונה הווירטואלית של הלקוח צריכה להיות באותה רשת VPC ובאותו אזור כמו מאזן העומסים. היא לא צריכה להיות באותה רשת משנה או באותו אזור. הלקוח משתמש באותה רשת משנה כמו מכונות ה-VM של ה-Backend.

gcloud compute instances create client-vm \
    --zone=ZONE_A1 \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=backend-subnet