Une règle de transfert spécifie comment acheminer le trafic réseau vers les services de backend d'un équilibreur de charge. Une règle de transfert comprend une adresse IP, un protocole IP et un ou plusieurs ports sur lesquels l'équilibreur de charge accepte du trafic. Certains équilibreurs de chargeTrusted Cloud by S3NS vous limitent à un ensemble prédéfini de ports, tandis que d'autres vous permettent de spécifier des ports arbitraires.
Une règle de transfert et l'adresse IP qui lui est associée représentent la configuration de l'interface d'un équilibreur de charge Trusted Cloud by S3NS .
En fonction du type d'équilibreur de charge, les éléments suivants s'appliquent :
- Les règles de transfert spécifient un service de backend, un proxy cible ou un pool cible.
- Les règles de transfert et leurs adresses IP peuvent être internes ou externes.
- Les règles de transfert sont régionales.
En outre, une règle de transfert régionale peut être une ressource désignée comme service dans les applications App Hub.
Règles de transfert internes
Les règles de transfert internes transfèrent le trafic provenant d'un réseau Trusted Cloud . Les clients peuvent se trouver sur le même réseau de cloud privé virtuel (VPC) que les backends ou sur un réseau connecté.
Les règles de transfert internes sont utilisées par les équilibreurs de charge Trusted Cloud suivants :
- Équilibreur de charge d'application interne
- Équilibreur de charge réseau proxy interne
- Équilibreur de charge réseau passthrough interne
Équilibreur de charge d'application interne
L'équilibreur de charge d'application interne est compatible avec le trafic IPv4 utilisant les protocoles HTTP, HTTPS ou HTTP/2.
Le champ d'application de la règle de transfert dépend du type d'équilibreur de charge :
- Chaque équilibreur de charge d'application interne régional possède au moins une règle de transfert interne régionale. La règle de transfert interne régionale pointe vers le proxy HTTP ou HTTPS régional cible de l'équilibreur de charge. La règle de transfert est associée à une adresse IP interne régionale.
Les règles de transfert gérées internes connectées à un proxy HTTP(S) cible acceptent tous les numéros de port compris entre 1 et 65 535 inclus.
À titre d'exemple, le schéma suivant montre comment une règle de transfert s'intègre à l'architecture de l'équilibreur de charge d'application interne régional.
Pour plus d'informations sur les équilibreurs de charge d'application internes, consultez les pages suivantes :
- Présentation de l'équilibreur de charge d'application interne
- Configurer un équilibreur de charge d'application interne
- Équilibreurs de charge d'application internes et réseaux connectés
Équilibreur de charge réseau proxy interne
Avec un équilibreur de charge réseau proxy interne, le type de trafic compatible est IPv4 et le protocole accepté est TCP.
Le champ d'application de la règle de transfert dépend du type d'équilibreur de charge :
- Chaque équilibreur de charge réseau proxy interne régional possède au moins une règle de transfert interne régionale. La règle de transfert spécifie une adresse IP interne, un port ainsi qu'un proxy TCP cible régional. Les clients utilisent l'adresse IP et le port pour se connecter aux proxys Envoy de l'équilibreur de charge. L'adresse IP de la règle de transfert correspond à l'adresse IP de l'équilibreur de charge (parfois appelée adresse IP virtuelle ou VIP).
Les règles de transfert gérées internes connectées à un proxy TCP cible acceptent tous les numéros de port compris entre 1 et 65 535 inclus.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture de l'équilibreur de charge réseau proxy interne régional.
Pour en savoir plus sur les équilibreurs de charge réseau internes proxy, consultez les pages suivantes :
- Présentation de l'équilibreur de charge réseau proxy interne
- Équilibreur de charge réseau proxy interne et réseaux connectés
Équilibreur de charge réseau passthrough interne
Avec un équilibreur de charge réseau interne, les types de trafic compatibles sont IPv4 ou IPv6. Pour en savoir plus sur les protocoles acceptés, consultez la page Protocoles de règles de transfert.
Chaque équilibreur de charge réseau passthrough interne possède au moins une règle de transfert interne régionale. Les règles de transfert internes régionales pointent vers le service de backend interne régional de l'équilibreur de charge. Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture de l'équilibreur de charge réseau passthrough interne.
Le schéma suivant montre comment les composants de l'équilibreur de charge s'intègrent à un sous-réseau et à une région.
La règle de transfert interne doit être définie dans une région et un sous-réseau. Le service de backend doit correspondre uniquement à cette région.
Pour en savoir plus sur les équilibreurs de charge réseau passthrough internes, consultez les pages suivantes :
- Présentation de l'équilibreur de charge réseau passthrough interne
- Configurez un équilibreur de charge réseau passthrough interne
- Équilibreurs de charge réseau à stratégie internes et réseaux connectés
Règles de transfert externes
Les règles de transfert externes acceptent le trafic provenant de systèmes clients ayant un accès à Internet, y compris :
- Un client en dehors de Trusted Cloud
- Une VM Trusted Cloud avec une adresse IP externe
- Une VM Trusted Cloud sans adresse IP externe utilisant Cloud NAT ou un système NAT basé sur une instance
Les règles de transfert externes sont utilisées par les types d'équilibreurs de charge Trusted Cloud suivants :
- Équilibreur de charge d'application externe
- Équilibreur de charge réseau proxy externe
- Équilibreur de charge réseau passthrough externe
Équilibreur de charge d'application externe
Pour les équilibreurs de charge d'application externes, la règle de transfert et l'adresse IP dépendent du mode d'équilibreur de charge et des niveaux de service réseau que vous sélectionnez pour l'équilibreur de charge.
Dans un équilibreur de charge d'application externe, une règle de transfert pointe vers un proxy HTTP(S) cible. Les règles de transfert externes connectées à un proxy HTTP(S) cible acceptent tous les numéros de port compris entre 1 et 65 535 inclus.
Les équilibreurs de charge d'application externes régionaux utilisent une adresse IPv4 externe régionale et une règle de transfert externe régionale.
Le schéma suivant montre comment une règle de transfert régionale s'intègre à l'architecture d'un équilibreur de charge d'application externe régional.
Pour en savoir plus sur les équilibreurs de charge d'application externes, consultez la Présentation de l'équilibreur de charge d'application externe.
Équilibreur de charge réseau proxy externe
Un équilibreur de charge réseau proxy externe offre des fonctionnalités de proxy TCP. Ces équilibreurs de charge sont semblables aux équilibreurs de charge d'application externes, car ils peuvent mettre fin aux sessions TCP. Toutefois, contrairement aux équilibreurs de charge d'application externes, ces équilibreurs de charge n'acceptent pas la redirection basée sur le chemin.
Dans un équilibreur de charge réseau proxy externe, une règle de transfert pointe vers un proxy TCP cible. Les règles de transfert externes connectées à un proxy TCP cible acceptent tous les numéros de port compris entre 1 et 65 535 inclus.
Le schéma suivant montre comment une règle de transfert s'intègre à l'architecture de l'équilibreur de charge réseau proxy externe régional.
Pour plus d'informations sur les équilibreurs de charge réseau proxy externes, consultez la Présentation de l'équilibreur de charge réseau proxy externe. Pour en savoir plus sur la configuration des équilibreurs de charge réseau proxy externes, consultez la page Configurer un équilibreur de charge réseau proxy externe.
Équilibreur de charge réseau passthrough externe
Les équilibreurs de charge réseau passthrough externes sont des équilibreurs de charge passthrough qui distribuent le trafic entre les instances backend d'une seule région. Un équilibreur de charge réseau passthrough externe utilise une règle de transfert externe régionale et une adresse IP externe régionale. L'adresse IP externe régionale est accessible depuis n'importe quel emplacement sur Internet et par les VM Trusted Cloud avec un accès Internet.
Pour les équilibreurs de charge réseau passthrough externes basés sur un service de backend, la règle de transfert externe régionale pointe vers un service de backend. Les équilibreurs de charge réseau passthrough externes basés sur un service de backend acceptent le trafic TCP, UDP, ESP, GRE, ICMP et ICMPv6. Pour en savoir plus, consultez la section Protocoles de règles de transfert pour les équilibreurs de charge réseau passthrough externes basés sur un service de backend. Les règles de transfert des équilibreurs de charge basés sur un service de backend peuvent être configurées avec des adresses IPv4 ou IPv6. Les règles de transfert des équilibreurs de charge réseau passthrough externes basés sur un service de backend sont compatibles avec les fonctionnalités avancées suivantes :
- Diriger le trafic provenant d'une plage spécifique d'adresses IP sources vers un service de backend spécifique. Pour en savoir plus, consultez Orientation du trafic.
- Répartissez le trafic sur les instances backend de l'équilibreur de charge en fonction des pondérations signalées par une vérification d'état HTTP à l'aide de l'équilibrage de charge pondéré.
Pour les équilibreurs de charge réseau passthrough externes basés sur un pool cible, la règle de transfert pointe vers un pool cible. Un équilibreur de charge réseau passthrough externe basé sur un pool cible n'accepte que le trafic TCP ou UDP. Les règles de transfert des équilibreurs de charge réseau passthrough externes basés sur un pool cible n'acceptent que les adresses IPv4.
Pour prendre en charge des instances backend dans plusieurs régions, vous devez créer un équilibreur de charge réseau passthrough externe dans chaque région.
La figure suivante montre un équilibreur de charge réseau passthrough externe disposant d'une règle de transfert externe régionale avec l'adresse IP 120.1.1.1. L'équilibreur de charge livre les requêtes des backends dans la région us-central1.
Pour plus d'informations sur les équilibreurs de charge réseau passthrough externes, consultez la Présentation de l'équilibreur de charge réseau passthrough externe. Pour en savoir plus sur la configuration des équilibreurs de charge réseau passthrough externes, consultez l'une des sections suivantes :
- Configurer un équilibreur de charge réseau passthrough externe avec un service de backend (trafic TCP ou UDP uniquement)
- Configurer un équilibreur de charge réseau passthrough externe avec un service de backend (plusieurs protocoles)
- Configurer un équilibreur de charge réseau passthrough externe avec un pool cible
Spécifications de protocoles IP
Chaque règle de transfert est associée à un protocole IP utilisé par la règle.
La valeur de protocole par défaut est TCP.
| Produit | Schéma d'équilibrage de charge | Options de protocole IP |
|---|---|---|
| Équilibreur de charge d'application externe régional | EXTERNAL_MANAGED | TCP |
| Équilibreur de charge d'application interne régional | INTERNAL_MANAGED | TCP |
| Équilibreur de charge réseau proxy externe régional | EXTERNAL_MANAGED | TCP |
| Équilibreur de charge réseau proxy interne régional | INTERNAL_MANAGED | TCP |
| Équilibreur de charge réseau passthrough externe | EXTERNAL | TCP, UDP ou L3_DEFAULT |
| Équilibreur de charge réseau passthrough interne | INTERNAL | TCP, UDP, ou L3_DEFAULT |
| Cloud Service Mesh | INTERNAL_SELF_MANAGED | TCP |
Spécifications d'adresses IP
La règle de transfert doit avoir une adresse IP que vos clients utilisent pour atteindre votre équilibreur de charge. Cette adresse IP peut être statique ou éphémère.
Une adresse IP statique fournit une adresse IP réservée unique vers laquelle vous pouvez pointer votre domaine. Si vous devez supprimer votre règle de transfert et la rajouter, vous pouvez continuer à utiliser la même adresse IP réservée.
Une adresse IP éphémère reste constante tant que la règle de transfert existe. Lorsque vous choisissez une adresse IP éphémère, Trusted Cloud associe une adresse IP à la règle de transfert de votre équilibreur de charge. Si vous devez supprimer la règle de transfert puis l'ajouter à nouveau, celle-ci peut alors recevoir une nouvelle adresse IP.
Selon le type d'équilibreur de charge, l'adresse IP peut avoir divers attributs. Le tableau suivant récapitule les configurations d'adresse valides en fonction du schéma d'équilibrage de charge et de la cible de la règle de transfert.
| Produit et schéma | Cible | Type d'adresse IP | Champ d'application de l'adresse IP | Niveau d'adresse IP | Adresse IP réservable | Remarques |
|---|---|---|---|---|---|---|
| Équilibreur de charge d'application externe régional EXTERNAL_MANAGED |
Proxy HTTP cible Proxy HTTPS cible |
Externe | Régional | Niveau Premium | Oui, facultatif | IPv6 non disponible |
| Équilibreur de charge d'application interne régional INTERNAL_MANAGED |
Proxy HTTP cible Proxy HTTPS cible |
Interne | Régional | Niveau Premium | Oui, facultatif | L'adresse de la règle de transfert doit être comprise dans la plage d'adresses IPv4 principale du sous-réseau associé. |
| Équilibreur de charge réseau proxy externe régional EXTERNAL_MANAGED |
Proxy TCP cible | Externe | Régional | Niveau Premium | Oui, facultatif | IPv6 non disponible |
| Équilibreur de charge réseau proxy interne régional INTERNAL_MANAGED |
Proxy TCP cible | Interne | Régional | Niveau Premium | Oui, facultatif | L'adresse de la règle de transfert doit être comprise dans la plage d'adresses IPv4 principale du sous-réseau associé. |
| Équilibreur de charge réseau passthrough externe EXTERNAL |
Service de backend Pool cible |
Externe | Régional | Premium (adresses IPv4 ou IPv6) | Oui, facultatif | La compatibilité IPv6 nécessite un équilibreur de charge réseau passthrough externe basé sur un service de backend. L'adresse IPv6 de la règle de transfert doit être comprise dans la plage d'adresses IPv6 externes d'un sous-réseau. L'adresse IPv6 externe provient de la plage d'adresses IPv6 externe du sous-réseau. Elle est donc de niveau Premium. |
| Équilibreur de charge réseau passthrough interne INTERNAL |
Service de backend | Interne | Régional | Niveau Premium | Oui, facultatif | Pour le trafic IPv4, la règle de transfert doit référencer une adresse IPv4 de la plage de sous-réseau IPv4 principale. Pour le trafic IPv6, la règle de transfert doit faire référence à une plage d'adresses IPv6 internes |
| VPN classique EXTERNAL |
Consultez la documentation sur les VPN classiques. | Externe | Régional | Cloud VPN ne propose pas plusieurs niveaux de service réseau | Oui, obligatoire | IPv6 non compatible |
EXTERNAL_MANAGED à des règles de transfert EXTERNAL. Toutefois, les services de backend EXTERNAL ne peuvent pas être associés à des règles de transfert EXTERNAL_MANAGED.
Pour profiter des nouvelles fonctionnalités disponibles uniquement avec l'équilibreur de charge d'application externe mondial, nous vous recommandons de migrer vos ressources EXTERNAL existantes vers EXTERNAL_MANAGED en suivant la procédure de migration décrite dans Migrer des ressources de l'équilibreur de charge d'application classique vers l'équilibreur de charge d'application externe mondial.
Plusieurs règles de transfert avec une adresse IP commune
Deux règles de transfert ou plus avec le schéma d'équilibrage de charge EXTERNAL ou EXTERNAL_MANAGED (ou une combinaison des deux) peuvent partager la même adresse IP si les conditions suivantes sont remplies :
- Les ports utilisés par chaque règle de transfert ne se chevauchent pas. En effet, chaque combinaison de
IP address + protocol + portdoit être unique. - Les niveaux de service réseau de chaque règle de transfert correspondent aux niveaux de service réseau de l'adresse IP externe.
Exemples :
- Deux équilibreurs de charge réseau passthrough externes qui acceptent respectivement le trafic sur le port TCP 79 et sur le port TCP 80 peuvent partager la même adresse IP externe régionale.
- Vous pouvez utiliser la même adresse IP externe globale pour un équilibreur de charge d'application externe (HTTP et HTTPS).
Deux règles de transfert ou plus avec le schéma d'équilibrage de charge INTERNAL ou INTERNAL_MANAGED (ou une combinaison des deux) peuvent partager la même adresse IP si la condition suivante est remplie :
- Les ports utilisés par chaque règle de transfert ne se chevauchent pas. En effet, chaque combinaison de
IP address + protocol + portdoit être unique.
Pour en savoir plus, consultez les ressources suivantes :
- Pour les équilibreurs de charge réseau passthrough internes, consultez la section Règles de transfert de l'équilibreur de charge réseau passthrough interne utilisant une adresse IP commune.
- Pour les équilibreurs de charge d'application internes, consultez Utiliser une adresse IP commune avec plusieurs règles de transfert internes.
- Pour les équilibreurs de charge réseau proxy internes, consultez la section Règles de transfert et adresses IP.
Spécifications de ports
Le tableau suivant récapitule les configurations de port valides en fonction du schéma d'équilibrage de charge et de la cible de la règle de transfert.
| Produit | Schéma d'équilibrage de charge | Cible | Configuration requise au niveau des ports |
|---|---|---|---|
| Équilibreur de charge d'application externe régional | EXTERNAL_MANAGED | Proxy HTTP cible Proxy HTTPS cible |
Peut faire référence à un seul port dans la plage 1-65535 |
| Équilibreur de charge d'application interne régional | INTERNAL_MANAGED | Proxy HTTP cible Proxy HTTPS cible |
Peut faire référence à un seul port dans la plage 1-65535 |
| Équilibreur de charge réseau proxy externe régional | EXTERNAL_MANAGED | Proxy TCP cible | Peut faire référence à un seul port dans la plage 1-65535 |
| Équilibreur de charge réseau proxy interne régional | INTERNAL_MANAGED | Proxy TCP cible | Peut faire référence à un seul port dans la plage 1-65535 |
| Équilibreur de charge réseau passthrough externe | EXTERNAL | Service de backend | Si le protocole de règle de transfert est TCP ou UDP, vous pouvez configurer :
Si le protocole de règle de transfert est L3_DEFAULT, vous devez configurer tous les ports.
|
| Pool cible | Doit correspondre à une seule plage de ports (contiguë) La spécification d'un port est facultative pour les règles de transfert utilisées avec des équilibreurs de charge réseau externes basés sur un pool cible. Si aucun port n'est spécifié, le trafic provenant de tous les ports (1-65535) est transféré. |
||
| Équilibreur de charge réseau passthrough interne | INTERNAL | Service de backend | Jusqu'à cinq (contigus ou non contigus) ports, ou vous pouvez configurer tous les ports à l'aide de l'une des méthodes suivantes : définissez --ports=ALL à l'aide de l'outil de ligne de commande gcloud, oudéfinissez allPorts sur True à l'aide de l'API.
|
| VPN classique | EXTERNAL | Passerelle VPN cible | Peut référencer exactement l'un des ports suivants : 500, 4500 |
Conditions IAM
Vous pouvez définir des conditions IAM (Identity and Access Management) pour contrôler les rôles accordés aux comptes principaux. Cette fonctionnalité vous permet d'accorder des autorisations aux comptes principaux si les conditions configurées sont remplies.
Une condition IAM vérifie le schéma d'équilibrage de charge de la règle de transfert (par exemple, INTERNAL ou EXTERNAL), et autorise ou interdit la création de la règle de transfert. Si un compte principal essaie de créer une règle de transfert sans autorisation, un message d'erreur s'affiche.
Pour en savoir plus, consultez la page Conditions IAM.
Utiliser des règles de transfert
Si vous utilisez la console Trusted Cloud pour configurer un équilibreur de charge, la règle de transfert est configurée implicitement lors de la configuration de votre interface. Si vous utilisez Google Cloud CLI ou l'API, vous devez configurer explicitement la règle de transfert.
Une fois que vous avez créé une règle de transfert, vous pouvez y apporter des modifications limitées. Par exemple, une fois qu'une règle de transfert a été définie, vous ne pouvez plus modifier son adresse IP, son numéro de port ni son protocole. Toutefois, vous pouvez mettre à jour certains paramètres des règles de transfert en modifiant la configuration de l'interface de l'équilibreur de charge auquel ils sont associés. Utilisez gcloud CLI ou l'API pour effectuer d'autres modifications.
Modifier l'adresse IP d'une règle de transfert
Vous ne pouvez pas modifier l'adresse IP d'une règle de transfert existante. Pour mettre à jour l'adresse IP d'une règle de transfert, vous devez supprimer et recréer la règle comme suit :
Supprimez la règle de transfert à l'aide de la commande
gcloud compute forwarding-rules deleteou de la méthodeforwardingRules.delete.Recréez la règle de transfert à l'aide de la commande
gcloud compute forwarding-rules createou de la méthodeforwardingRules.insert.
API
Pour une description des propriétés et des méthodes disponibles lorsque vous utilisez des règles de transfert via l'API REST, consultez les pages suivantes :
- Champ d'application régional : forwardingRules
Google Cloud CLI
Pour la documentation de référence de gcloud CLI, consultez les pages suivantes :
gcloud compute forwarding-rules
- Champ d'application régional :
--region=[REGION]
Étapes suivantes
- Pour en savoir plus sur le transfert de protocole, consultez Présentation du transfert de protocole.