כללי חומת אש

Google Cloud בדרך כלל נדרשים כללי חומת אש אחת או יותר במאזני עומסים כדי להבטיח שהתנועה מהלקוחות תגיע לשרתי הקצה העורפיים.

  • ברוב מאזני העומסים צריך לציין בדיקת תקינות למופעי קצה עורפי. כדי שבדיקות התקינות יגיעו לשרתים העורפיים, צריך ליצור כלל חומת אש שמאפשר תעבורת נתונים נכנסת (ingress) ושבאמצעותו בדיקות התקינות יגיעו לשרתים העורפיים.

  • מאזני עומסים שמבוססים על ממשקי קצה של Google‏ (GFE) דורשים כלל חומת אש שמאפשר תעבורת נתונים נכנסת, כדי שתעבורת הנתונים משרת ה-proxy של GFE תגיע למופעי ה-Backend. ברוב המקרים, פרוקסי GFE משתמשים באותם טווחי כתובות IP של המקור כמו בדיקות תקינות, ולכן לא נדרש כלל חומת אש נפרד. החריגים מפורטים בטבלה הבאה.

  • מאזני עומסים שמבוססים על פרוקסי Envoy בקוד פתוח דורשים כלל חומת אש שמאפשר תעבורת נתונים נכנסת, כדי לאפשר לתעבורה מרשת המשנה של הפרוקסי בלבד להגיע למופעי השרת העורפי. מאזני העומסים האלה מסיימים את החיבורים הנכנסים, והתנועה ממאזן העומסים אל השרתים העורפיים נשלחת מכתובות IP ברשת המשנה proxy-only.

בטבלה הבאה מפורטים כללי חומת האש המינימליים שנדרשים לכל סוג של איזון עומסים.

סוג מאזן העומסים כללי חומת האש המינימליים שנדרשים כדי לאפשר תעבורה נכנסת סקירה כללית דוגמה
מאזן עומסים גלובלי חיצוני של אפליקציות (ALB)

  • טווחים של בדיקת תקינות:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • טווחי שרתי proxy של GFE:
    • אם השרתים העורפיים הם קבוצות של מופעים, קבוצות אזוריות של נקודות קצה ברשת (GCE_VM_IP_PORT) או קבוצות של נקודות קצה ברשת לקישוריות היברידית (NON_GCP_PRIVATE_IP_PORT), אלה טווחי ה-proxy:
      • לתנועת IPv4:
        • 35.191.0.0/16
        • 130.211.0.0/22
      • לתנועת IPv6:
        • 2600:2d00:1:1::/64
    • טווחי כתובות ה-IP שמופיעים ברשומת ה-TXT של ה-DNS‏ _cloud-eoips.googleusercontent.com. אפשר לחלץ את כתובות ה-IP של המקור עבור קצה עורפי של קבוצת נקודות קצה ברשת האינטרנט (NEG) באמצעות פקודת הדוגמה הבאה במערכת Linux: dig TXT _cloud-eoips.googleusercontent.com | grep -Eo 'ip4:[^ ]+' | cut -d':' -f2
 סקירה כללית דוגמה
מאזן עומסים קלאסי של אפליקציות (ALB)

  • טווחים של בדיקת תקינות:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16
  • טווחי שרתי proxy של GFE:
    • הטווחים של ה-proxy אם השרתים העורפיים הם קבוצות של מכונות וירטואליות, קבוצות נקודות קצה ברשת (NEG) אזוריות (GCE_VM_IP_PORT) או קבוצות נקודות קצה ברשת (NEG) של קישוריות היברידית (NON_GCP_PRIVATE_IP_PORT).
      • לתנועת IPv4:
        • 35.191.0.0/16
        • 130.211.0.0/22
      • לתנועת IPv6:
        • 2600:2d00:1:1::/64
    • טווחי כתובות ה-IP שמופיעים ברשומת ה-TXT של ה-DNS‏ _cloud-eoips.googleusercontent.com. אפשר לחלץ את כתובות ה-IP של המקור עבור קצה עורפי של קבוצת נקודות קצה ברשת האינטרנט (NEG) באמצעות פקודת הדוגמה הבאה במערכת Linux: dig TXT _cloud-eoips.googleusercontent.com | grep -Eo 'ip4:[^ ]+' | cut -d':' -f2
 סקירה כללית דוגמה
מאזן עומסים חיצוני אזורי של אפליקציות (ALB)

  • טווחי בדיקת התקינות 1, 2:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • תת-רשת 2 לשרת proxy בלבד
 סקירה כללית דוגמה
מאזן עומסים פנימי של אפליקציות (ALB) שפועל בכמה אזורים

  • טווחי בדיקת התקינות 1, 2:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • תת-רשת 2 לשרת proxy בלבד
 סקירה כללית דוגמה
מאזן עומסים פנימי אזורי של אפליקציות (ALB)

  • טווחי בדיקת התקינות 1, 2:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • תת-רשת 2 לשרת proxy בלבד
 סקירה כללית דוגמה
מאזן עומסי רשת גלובלי חיצוני בשרת proxy

  • טווחים של בדיקת תקינות:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • טווחי שרתי proxy של GFE:
    • לתנועת IPv4:
      • 35.191.0.0/16
      • 130.211.0.0/22
    • לתנועת IPv6:
      • 2600:2d00:1:1::/64
 סקירה כללית דוגמה
מאזן עומסי רשת קלאסי בשרת proxy

  • טווחים של בדיקת תקינות:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16
  • טווחי שרתי proxy של GFE:
    • לתנועת IPv4:
      • 35.191.0.0/16
      • 130.211.0.0/22
    • לתנועת IPv6:
      • 2600:2d00:1:1::/64
 סקירה כללית דוגמה
מאזן עומסי רשת אזורי חיצוני בשרת proxy

  • טווחי בדיקת התקינות 1, 2:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • תת-רשת 2 לשרת proxy בלבד
 סקירה כללית דוגמה
מאזן עומסי רשת אזורי פנימי בשרת proxy

  • טווחי בדיקת התקינות 1, 2:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • תת-רשת 2 לשרת proxy בלבד
 סקירה כללית דוגמה
מאזן עומסי רשת פנימי בשרת proxy שפועל בכמה אזורים

  • טווחי בדיקת התקינות 1, 2:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • תת-רשת 2 לשרת proxy בלבד
 סקירה כללית דוגמה
מאזן עומסי רשת גלובלי חיצוני להעברת סיגנל ללא שינוי

  • טווחים של בדיקת תקינות:

    לתנועת IPv4 לשרתי הקצה העורפיים:

    • 136.124.104.0/22
    • 136.124.108.0/22

    לתנועת IPv6 לשרתי הקצה:

    • 2600:1904:7::/48
    • 2600:1904:8::/48
  • כתובות IP חיצוניות של לקוחות באינטרנט.
    לדוגמה, 0.0.0.0/0 (כל לקוחות IPv4) או ::/0 (כל לקוחות IPv6) או קבוצה ספציפית של טווחי כתובות IP.
 סקירה כללית דוגמה
מאזן עומסי רשת חיצוני אזורי להעברת סיגנל ללא שינוי

  • טווחים של בדיקת תקינות:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16
    • ‫209.85.152.0/22 (למאגרי יעד)
    • 209.85.204.0/22

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:1901:8001::/48

  • כתובות IP חיצוניות של לקוחות באינטרנט.
    לדוגמה, 0.0.0.0/0 (כל לקוחות IPv4) או ::/0 (כל לקוחות IPv6) או קבוצה ספציפית של טווחי כתובות IP.

    מאזני עומסים שמבוססים על מאגרי יעד עשויים להעביר בדיקות תקינות דרך שרת המטא-נתונים. במקרה כזה, המקורות של בדיקות התקינות תואמים לכתובת ה-IP של שרת המטא-נתונים: 169.254.169.254. עם זאת, תמיד מותר לתעבורה משרת המטא-נתונים להגיע למכונות וירטואליות. לא נדרש כלל חומת אש.

 סקירה כללית
 דוגמאות
מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי

  • טווחים של בדיקת תקינות:

    לגבי בדיקות תקינות של IPv4 לשרתי הקצה העורפיים:

    • 35.191.0.0/16

    לגבי בדיקות תקינות של IPv6 לשרתי הקצה העורפיים:

    • 2600:2d00:1:b029::/64
  • כתובות IP פנימיות של לקוחות
 סקירה כללית ‫single-stack dual-stack

‫1 אין צורך לאפשר תנועה מטווחים של בדיקות תקינות של Google עבור קבוצות מעורבות של נקודות קצה ברשת (NEGs). עם זאת, אם אתם משתמשים בשילוב של NEGs היברידיים ואזוריים בשירות קצה עורפי יחיד, אתם צריכים לאפשר תנועה מטווחים של בדיקות תקינות של Google עבור ה-NEGs האזוריים.

‫2 במקרה של קבוצות אזוריות של נקודות קצה ברשת האינטרנט, בדיקות התקינות הן אופציונליות. תעבורת נתונים ממאזני עומסים שמשתמשים ב-regional internet NEGs מגיעה מ-proxy-only subnet ואז עוברת תרגום NAT (באמצעות Cloud NAT) לכתובות IP של NAT שהוקצו באופן ידני או אוטומטי. התנועה הזו כוללת גם בדיקות תקינות וגם בקשות של משתמשים ממאזן העומסים לשרתי הקצה. פרטים נוספים זמינים במאמר בנושא NEGs אזוריים: שימוש בשער Cloud NAT.