Load Balancer Aplikasi Internal dan jaringan yang terhubung

Halaman ini menjelaskan skenario untuk mengakses load balancer internal di jaringan Virtual Private Cloud (VPC) Anda dari jaringan yang terhubung. Sebelum meninjau informasi di halaman ini, Anda harus sudah memahami konsep dalam panduan berikut:

Menggunakan Peering Jaringan VPC

Saat Anda menggunakan Peering Jaringan VPC untuk menghubungkan jaringan VPC Anda ke jaringan lain, Google Cloud membagikan rute subnet antarjaringan. Rute subnet memungkinkan traffic dari jaringan peer mencapai load balancer internal di jaringan Anda. Akses diizinkan jika hal berikut benar:

  • Anda membuat aturan firewall masuk untuk mengizinkan traffic dari VM klien di jaringan peer. Google Cloud Aturan firewall tidak dibagikan antarjaringan saat menggunakan Peering Jaringan VPC.
  • Untuk Load Balancer Aplikasi internal regional, instance virtual machine (VM) klien di jaringan peer harus berada di region yang sama dengan load balancer internal Anda. Batasan ini tidak berlaku jika Anda mengonfigurasi akses global.

Anda tidak dapat membagikan hanya beberapa Load Balancer Jaringan passthrough internal, Load Balancer Jaringan proxy internal regional, atau Load Balancer Aplikasi internal secara selektif menggunakan Peering Jaringan VPC. Semua load balancer internal dibagikan secara otomatis. Anda dapat membatasi akses ke backend load balancer dengan mengonfigurasi VM atau endpoint backend untuk mengontrol akses menggunakan header HTTP (misalnya, X-Forwarded-For).

Menggunakan Cloud VPN dan Cloud Interconnect

Anda dapat mengakses load balancer internal dari jaringan peer yang terhubung melalui tunnel Cloud VPN atau lampiran VLAN untuk koneksi Dedicated Interconnect atau Partner Interconnect. Jaringan peer dapat berupa jaringan lokal, jaringan VPC Google Cloud lain, atau jaringan virtual yang dihosting oleh penyedia cloud lain.

Akses melalui tunnel Cloud VPN

Anda dapat mengakses load balancer internal melalui tunnel Cloud VPN jika semua kondisi berikut terpenuhi.

Di jaringan load balancer internal

  • Gateway dan tunnel VPN Cloud harus berada di region yang sama dengan load balancer jika akses global dinonaktifkan. Jika akses global diaktifkan pada aturan penerusan load balancer, pembatasan ini tidak berlaku.
  • Rute harus menyediakan jalur respons dari sistem proxy kembali ke jaringan lokal atau peer tempat klien berada. Jika Anda menggunakan tunnel Cloud VPN dengan perutean dinamis, pertimbangkan mode perutean dinamis jaringan Cloud VPN load balancer. Mode perutean dinamis menentukan rute dinamis kustom mana yang tersedia untuk proxy di subnet khusus proxy.

Di jaringan peer

Jaringan peer harus memiliki setidaknya satu tunnel Cloud VPN dengan rute ke subnet tempat load balancer internal ditentukan.

Jika jaringan peer adalah Google Cloud jaringan VPC lain:

  • Gateway dan tunnel Cloud VPN jaringan peer dapat berada di region mana pun.

  • Untuk tunnel Cloud VPN yang menggunakan perutean dinamis, mode perutean dinamis jaringan VPC menentukan rute mana yang tersedia untuk klien di setiap region. Untuk menyediakan serangkaian rute dinamis kustom yang konsisten kepada klien di semua region, gunakan mode perutean dinamis global.

  • Pastikan firewall jaringan peer atau lokal mengizinkan paket yang dikirim ke alamat IP aturan penerusan load balancer. Pastikan firewall jaringan lokal atau peer mengizinkan paket respons yang diterima dari alamat IP aturan penerusan load balancer.

Diagram berikut menyoroti konsep utama saat mengakses load balancer internal melalui gateway Cloud VPN dan tunnel terkaitnya. Cloud VPN menghubungkan jaringan lokal Anda ke Google Cloud jaringan VPC menggunakan tunnel Cloud VPN dengan aman.

Load balancing internal dan Cloud VPN.
Load balancing internal dan Cloud VPN (klik untuk memperbesar).

Perhatikan elemen konfigurasi berikut yang terkait dengan contoh ini:

  • Di lb-network, tunnel Cloud VPN yang menggunakan perutean dinamis telah dikonfigurasi. Tunnel VPN, gateway, dan Cloud Router semuanya berada di REGION_A, region yang sama dengan tempat komponen load balancer internal berada.
  • Aturan firewall izinkan ingress telah dikonfigurasi untuk diterapkan ke VM backend di grup instance A dan B sehingga VM tersebut dapat menerima traffic dari alamat IP di jaringan VPC dan dari jaringan lokal, 10.1.2.0/24 dan 192.168.1.0/24. Tidak ada aturan firewall keluar yang ditolak yang telah dibuat, sehingga aturan keluar izinkan tersirat berlaku.
  • Paket yang dikirim dari klien di jaringan lokal, termasuk dari 192.168.1.0/24, ke alamat IP load balancer internal, 10.1.2.99, dikirim langsung ke VM backend yang berfungsi dengan baik, seperti vm-a2, sesuai dengan afinitas sesi yang dikonfigurasi.
  • Balasan yang dikirim dari VM backend (seperti vm-a2) dikirimkan melalui tunnel VPN ke klien lokal.

Untuk memecahkan masalah Cloud VPN, lihat Pemecahan masalah Cloud VPN.

Akses melalui Cloud Interconnect

Anda dapat mengakses load balancer internal dari jaringan pembanding lokal yang terhubung ke jaringan VPC load balancer jika semua kondisi berikut terpenuhi di jaringan load balancer internal:

  • Lampiran VLAN dan Cloud Router harus berada di region yang sama dengan load balancer jika akses global dinonaktifkan. Jika akses global diaktifkan pada aturan penerusan load balancer, batasan ini tidak berlaku.

  • Router lokal harus menyediakan jalur respons dari backend load balancer ke jaringan lokal. Lampiran VLAN untuk Dedicated Interconnect dan Partner Interconnect harus menggunakan Cloud Router; dengan demikian, rute dinamis kustom menyediakan jalur respons. Kumpulan rute dinamis kustom yang dipelajari bergantung pada mode perutean dinamis jaringan load balancer.

  • Pastikan firewall lokal mengizinkan paket yang dikirim ke alamat IP aturan penerusan load balancer. Pastikan firewall lokal mengizinkan paket respons yang diterima dari alamat IP aturan penerusan load balancer.

Menggunakan akses global dengan Cloud VPN dan Cloud Interconnect

Secara default, klien harus berada di jaringan yang sama atau di jaringan VPC yang terhubung menggunakan Peering Jaringan VPC. Anda dapat mengaktifkan akses global untuk mengizinkan klien dari region mana pun mengakses load balancer Anda.

Jika Anda mengaktifkan akses global, resource berikut dapat berada di region mana pun:
  • Cloud Router
  • Gateway dan tunnel Cloud VPN
  • Lampiran VLAN

Dalam diagram:

  • Frontend dan backend load balancer berada di region REGION_A.
  • Cloud Router berada di region REGION_B.
  • Cloud Router melakukan peering dengan router VPN lokal.
  • Sesi peering Border Gateway Protocol (BGP) dapat dilakukan melalui Cloud VPN atau Cloud Interconnect dengan Peering Langsung atau Partner Interconnect.
Load balancing internal dengan akses global.
Load balancing internal dengan akses global (klik untuk memperbesar).

Mode perutean dinamis jaringan VPC ditetapkan ke global untuk memungkinkan Cloud Router di REGION_B mengiklankan rute subnet untuk subnet di region mana pun dari jaringan VPC load balancer.

Beberapa jalur keluar

Di lingkungan produksi, Anda harus menggunakan beberapa tunnel Cloud VPN atau lampiran VLAN untuk redundansi. Bagian ini membahas persyaratan saat menggunakan beberapa tunnel atau lampiran VLAN.

Dalam diagram berikut, dua tunnel Cloud VPN menghubungkan lb-network ke jaringan lokal. Meskipun tunnel Cloud VPN digunakan di sini, prinsip yang sama berlaku untuk Cloud Interconnect.

Load balancing internal dan beberapa tunnel Cloud VPN.
Load balancing internal dan beberapa tunnel Cloud VPN (klik untuk memperbesar).

Anda harus mengonfigurasi setiap tunnel atau setiap lampiran VLAN di region yang sama dengan load balancer internal. Persyaratan ini tidak berlaku jika Anda mengaktifkan akses global.

Beberapa tunnel atau lampiran VLAN dapat menyediakan bandwidth tambahan atau dapat berfungsi sebagai jalur standby untuk redundansi.

Perhatikan poin-poin berikut:

  • Jika jaringan lokal memiliki dua rute dengan prioritas yang sama, masing-masing dengan tujuan 10.1.2.0/24 dan next hop yang sesuai dengan tunnel VPN yang berbeda di region yang sama dengan load balancer internal, traffic dapat dikirim dari jaringan lokal (192.168.1.0/24) ke load balancer menggunakan equal-cost multipath (ECMP).
  • Setelah paket dikirimkan ke jaringan VPC, load balancer internal akan mendistribusikannya ke VM backend sesuai dengan afinitas sesi yang dikonfigurasi.
  • Jika lb-network memiliki dua rute, masing-masing dengan tujuan 192.168.1.0/24 dan next hop yang sesuai dengan tunnel VPN yang berbeda, respons dari VM backend dapat dikirimkan melalui setiap tunnel sesuai dengan prioritas rute di jaringan. Jika prioritas rute yang berbeda digunakan, satu tunnel dapat berfungsi sebagai cadangan untuk tunnel lainnya. Jika prioritas yang sama digunakan, respons akan dikirimkan menggunakan ECMP.
  • Balasan yang dikirim dari VM backend (seperti vm-a2) dikirimkan langsung ke klien lokal melalui tunnel yang sesuai. Dari perspektif lb-network, jika rute atau tunnel VPN berubah, traffic mungkin keluar menggunakan tunnel yang berbeda. Hal ini dapat menyebabkan reset sesi TCP jika koneksi yang sedang berlangsung terganggu.

Langkah berikutnya