使用 VM 執行個體群組後端設定區域性內部 Proxy 網路負載平衡器

主控台

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下「建立虛擬私有雲網路」。

3. 在「Name」(名稱) 中輸入 lb-network。

4. 在「子網路」部分，將「子網路建立模式」設為「自訂」。

5. 為負載平衡器的後端建立子網路。在「New subnet」(新的子網路) 區段中，輸入以下資訊：

   • Name (名稱)：backend-subnet
   • Region (區域)：REGION_A
   • IP address range (IP 位址範圍)：10.1.2.0/24

6. 按一下 [完成]。

7. 按一下 [新增子網路]。

8. 建立子網路，以示範全球存取權。在「New subnet」(新的子網路) 區段中，輸入以下資訊：

   • Name (名稱)：test-global-access-subnet
   • Region (區域)：REGION_B
   • IP address range (IP 位址範圍)：10.3.4.0/24

9. 按一下 [完成]。

10. 按一下 [建立]。

gcloud

1. 使用 gcloud compute networks create 指令建立自訂虛擬私有雲網路：

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. 使用 gcloud compute networks subnets create 指令，在 REGION_A 區域的 lb-network 網路中建立子網路：

   gcloud compute networks subnets create backend-subnet \
      --network=lb-network \
      --range=10.1.2.0/24 \
      --region=REGION_A
   

   將 REGION_A 替換為目標 Google Cloud 區域的名稱。

3. 使用 gcloud compute networks subnets create 指令，在 REGION_B 區域的 lb-network 網路中建立子網路：

   gcloud compute networks subnets create test-global-access-subnet \
      --network=lb-network \
      --range=10.3.4.0/24 \
      --region=REGION_B
   

   將 REGION_B 替換為您要建立第二個子網路的 Google Cloud 區域名稱，以便測試全球存取權。

主控台

如果您使用的是 Google Cloud 主控台，可以等之後再於「負載平衡」頁面中建立僅限 Proxy 的子網路。

如果您現在想建立僅限 Proxy 的子網路，請按照下列步驟操作：

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。
   前往「VPC networks」(虛擬私有雲網路)
2. 按一下共用虛擬私有雲網路名稱：lb-network。
3. 按一下 [新增子網路]。
4. 在「Name」(名稱) 中輸入 proxy-only-subnet。
5. 在「Region」(區域) 中選取 REGION_A。
6. 將「用途」設為「區域受管理 Proxy」。
7. 在「IP address range」(IP 位址範圍) 中，輸入 10.129.0.0/23。
8. 按一下「新增」。

gcloud

使用 gcloud compute networks subnets create 指令，建立僅限 Proxy 的子網路。

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=REGION_A \
    --network=lb-network \
    --range=10.129.0.0/23

主控台

1. 在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。
   前往「防火牆政策」頁面
2. 按一下「Create firewall rule」(建立防火牆規則)，建立允許連入 SSH 連線的規則：
   • Name (名稱)：fw-allow-ssh
   • Network (網路)：lb-network
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「允許」
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：allow-ssh
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：0.0.0.0/0
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」核取方塊，然後輸入 22 做為「Port number」(通訊埠編號)。
3. 按一下 [建立]。
4. 第二次按一下「Create firewall rule」(建立防火牆規則)，建立允許Google Cloud 健康狀態檢查的規則：
   • Name (名稱)：fw-allow-health-check
   • Network (網路)：lb-network
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「允許」
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：allow-health-check
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：130.211.0.0/22 和 35.191.0.0/16
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」TCP核取方塊，然後輸入 80 做為「Port number」(通訊埠編號)。
       最佳做法是將這個規則限制為只允許與健康檢查所使用的通訊協定和通訊埠相符的通訊協定和通訊埠。如果您將 tcp:80 用於通訊協定和通訊埠， Google Cloud 可以使用通訊埠 80 的 HTTP 與 VM 聯絡，但無法使用通訊埠 443 的 HTTPS 與 VM 聯絡。
5. 按一下 [建立]。
6. 第三次按一下「Create firewall rule」(建立防火牆規則)，以建立允許負載平衡器 Proxy 伺服器連結後端的規則：
   • Name (名稱)：fw-allow-proxy-only-subnet
   • Network (網路)：lb-network
   • Direction of traffic (流量方向)：「Ingress」(輸入)
   • 「Action on match」(相符時執行的動作)：「允許」
   • 目標：指定的目標標記
   • 「Target tags」(目標標記)：allow-proxy-only-subnet
   • 來源篩選器：IPv4 範圍
   • Source IPv4 ranges (來源 IPv4 範圍)：10.129.0.0/23
   • 通訊協定和通訊埠：
     • 選擇「Specified protocols and ports」。
     • 勾選「TCP」TCP核取方塊，然後輸入 80 做為「Port number」(通訊埠編號)。
7. 按一下 [建立]。

gcloud

1. 建立 fw-allow-ssh 防火牆規則，允許與具有 allow-ssh 網路標記的 VM 建立 SSH 連線。若省略 source-ranges，Google Cloud 會將規則解讀為任何來源。

   gcloud compute firewall-rules create fw-allow-ssh \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --target-tags=allow-ssh \
      --rules=tcp:22
   

2. 建立 fw-allow-health-check 規則，允許 Google Cloud健康狀態檢查。這個範例可允許來自健康狀態檢查探測器的所有 TCP 流量，但您可以根據自己的需求設定一組較少的通訊埠。

   gcloud compute firewall-rules create fw-allow-health-check \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=130.211.0.0/22,35.191.0.0/16 \
      --target-tags=allow-health-check \
      --rules=tcp:80
   

3. 建立 fw-allow-proxy-only-subnet 規則，允許該區域的 Envoy Proxy 連結後端。將 --source-ranges 設為僅限 Proxy 子網路的已分配範圍，在本範例中為 10.129.0.0/23。

   gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=10.129.0.0/23 \
      --target-tags=allow-proxy-only-subnet \
      --rules=tcp:80
   

主控台

1. 建立執行個體範本。在 Google Cloud 控制台中，前往「Instance templates」(執行個體範本) 頁面。

   前往「Instance templates」(執行個體範本) 頁面

   1. 點選「建立執行個體範本」。
   2. 在「Name」(名稱) 中輸入 int-tcp-proxy-backend-template。
   3. 確認「開機磁碟」已設為 Debian 映像檔，例如「Debian GNU/Linux 12 (bookworm)」。這些操作說明使用僅在 Debian 上可用的指令，例如 apt-get。
   4. 點選「進階選項」。
   5. 按一下「網路」，然後設定下列欄位：
      1. 在「Network tags」中輸入 allow-ssh、allow-health-check 和 allow-proxy-only-subnet。
      2. 在「網路介面」中，選取下列項目：
         • Network (網路)：lb-network
         • Subnet (子網路)：backend-subnet

   6. 按一下 [Management] (管理)。在「Startup script」(開機指令碼) 欄位中輸入下列指令碼。

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. 按一下 [建立]。

2. 建立代管執行個體群組。在 Google Cloud 控制台中，前往「Instance groups」(執行個體群組) 頁面。

   前往「Instance groups」(執行個體群組)

   1. 點選「建立執行個體群組」。
   2. 選取「New managed instance group (stateless)」(新增代管執行個體群組 (無狀態))。詳情請參閱「無狀態或有狀態的 MIG」。
   3. 在「Name」(名稱) 中輸入 mig-a。
   4. 在「Location」(位置) 底下，選取 [Single zone] (單一區域)。
   5. 在「Region」(區域) 中選取 REGION_A。
   6. 在「Zone」(可用區) 中選取 ZONE_A1。
   7. 在「Instance template」(執行個體範本) 下，選取 int-tcp-proxy-backend-template。

   8. 指定要在群組中建立的執行個體數量。

      在本例中，請在「Autoscaling」(自動調度資源) 下指定下列選項：

      • 針對「Autoscaling mode」(自動調度資源模式)，選取 Off:do not autoscale。
      • 在「Maximum number of instances」(執行個體數量上限) 中輸入 2。

   9. 在「Port mapping」(通訊埠對應) 部分，按一下「Add port」(新增通訊埠)。

      • 在「Port name」(通訊埠名稱) 中輸入 tcp80。
      • 在「Port number」(通訊埠編號) 中輸入 80。

   10. 按一下 [建立]。

3. 重複執行步驟 2，建立第二個代管執行個體群組，並加入下列設定：

   1. Name (名稱)：mig-c
   2. 可用區：ZONE_A2 保留其他所有設定。

gcloud

本指南的 gcloud 操作說明假設您使用 Cloud Shell 或已安裝 bash 的其他環境。

1. 使用 gcloud compute instance-templates create 指令，建立含有 HTTP 伺服器的 VM 執行個體範本。

   gcloud compute instance-templates create int-tcp-proxy-backend-template \
      --region=REGION_A \
      --network=lb-network \
      --subnet=backend-subnet \
      --tags=allow-ssh,allow-health-check,allow-proxy-only-subnet \
      --image-family=debian-12 \
      --image-project=debian-cloud \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        vm_hostname="$(curl -H "Metadata-Flavor:Google" \
        http://metadata.google.internal/computeMetadata/v1/instance/name)"
        echo "Page served from: $vm_hostname" | \
        tee /var/www/html/index.html
        systemctl restart apache2'
   

2. 在 ZONE_A1 可用區中建立代管執行個體群組。

   gcloud compute instance-groups managed create mig-a \
      --zone=ZONE_A1 \
      --size=2 \
      --template=int-tcp-proxy-backend-template
   

   將 ZONE_A1 替換為目標 Google Cloud 區域中的區域名稱。

3. 在 ZONE_A2 可用區中建立代管執行個體群組。

   gcloud compute instance-groups managed create mig-c \
      --zone=ZONE_A2 \
      --size=2 \
      --template=int-tcp-proxy-backend-template
   

   將 ZONE_A2 替換為目標 Google Cloud 區域中的另一個區域名稱。

主控台

開始設定

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「Load balancing」(負載平衡) 頁面

2. 點選「建立負載平衡器」。
3. 在「負載平衡器類型」部分，選取「網路負載平衡器 (TCP/UDP/SSL)」，然後點選「下一步」。
4. 在「直通或使用 Proxy」部分，選取「Proxy load balancer」，然後點選「Next」。
5. 在「公開或內部」部分，選取「內部」，然後點選「下一步」。
6. 在「跨區域或單一區域部署」部分，選取「最適合區域工作負載」，然後點選「Next」。
7. 按一下 [設定]。

基本設定

1. 在「Name」(名稱) 中輸入 my-int-tcp-lb。
2. 在「Region」(區域) 中選取 REGION_A。
3. 在「Network」(網路) 中選取 lb-network。

保留僅限 Proxy 子網路

如要保留僅限 Proxy 的子網路，請按照下列步驟操作：

1. 按一下「保留子網路」。
2. 在「Name」(名稱) 中輸入 proxy-only-subnet。
3. 在「IP address range」(IP 位址範圍) 中，輸入 10.129.0.0/23。
4. 按一下「新增」。

後端設定

1. 按一下「後端設定」。
2. 在「Backend type」(後端類型) 部分，選取「Instance group」(執行個體群組)。
3. 在「Protocol」中，選取「TCP」。
4. 在「Named port」(已命名通訊埠) 輸入 tcp80。
5. 設定第一個後端：
   1. 在「New backend」(新增後端) 下方，選取執行個體群組 mig-a。
   2. 在「Port numbers」(通訊埠編號) 的部分，輸入 80。
   3. 保留其餘預設值，然後按一下「完成」。
6. 設定第二個後端：
   1. 點選「新增後端」。
   2. 在「New backend」(新增後端) 下方，選取執行個體群組 mig-c。
   3. 在「Port numbers」(通訊埠編號) 的部分，輸入 80。
   4. 保留其餘預設值，然後按一下「完成」。
7. 設定健康狀態檢查：
   1. 在「健康狀態檢查」下方，選取 [建立健康狀態檢查]。
   2. 將健康狀態檢查的「Name」(名稱) 設為 tcp-health-check。
   3. 在「Protocol」中，選取「TCP」。
   4. 將「Port」(通訊埠) 設為 80。
8. 保留剩餘的預設值，然後按一下「儲存」。
9. 在 Google Cloud 控制台中，確認「後端設定」旁有勾號。如未顯示，請重新檢查一遍，確認是否已完成所有步驟。

前端設定

1. 按一下「前端設定」。
2. 在「Name」(名稱) 中輸入 int-tcp-forwarding-rule。
3. 在「Subnetwork」中，選取「backend-subnet」。
4. 在「IP address」(IP 位址) 中，選取先前保留的 IP 位址：LB_IP_ADDRESS
5. 在「Port number」(通訊埠編號) 中輸入 110。轉送規則只會轉送具有相符目的地通訊埠的封包。
6. 在本例中，請勿啟用「Proxy Protocol」，因為它與 Apache HTTP Server 軟體不相容。詳情請參閱「Proxy 通訊協定」。
7. 按一下 [完成]。
8. 在 Google Cloud 控制台中，確認「前端設定」旁有勾號。如未顯示，請重新檢查一遍，確認是否已完成上述所有步驟。

檢查並完成

1. 按一下「檢查並完成」。
2. 查看負載平衡器設定。
3. 選用：按一下「等效程式碼」，查看用來建立負載平衡器的 REST API 要求。
4. 按一下 [建立]。

gcloud

1. 建立地區健康狀態檢查。

   gcloud compute health-checks create tcp tcp-health-check \
      --region=REGION_A \
      --use-serving-port
   

2. 建立後端服務。

   gcloud compute backend-services create internal-tcp-proxy-bs \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --protocol=TCP \
      --region=REGION_A \
      --health-checks=tcp-health-check \
      --health-checks-region=REGION_A
   

3. 將執行個體群組新增至後端服務。

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --region=REGION_A \
      --instance-group=mig-a \
      --instance-group-zone=ZONE_A1 \
      --balancing-mode=UTILIZATION \
      --max-utilization=0.8
   

   gcloud compute backend-services add-backend internal-tcp-proxy-bs \
      --region=REGION_A \
      --instance-group=mig-c \
      --instance-group-zone=ZONE_A2 \
      --balancing-mode=UTILIZATION \
      --max-utilization=0.8
   

4. 建立內部目標 TCP Proxy。

   gcloud compute target-tcp-proxies create int-tcp-target-proxy \
      --backend-service=internal-tcp-proxy-bs \
      --proxy-header=NONE \
      --region=REGION_A
   

   如要啟用 Proxy 標頭，請將其設為 PROXY_V1 (而非 NONE)。在本範例中，請勿啟用 Proxy 通訊協定，因為它無法與 Apache HTTP Server 軟體搭配使用。詳情請參閱「Proxy 通訊協定」。

5. 建立轉送規則。針對 --ports，請指定單一通訊埠編號，範圍為 1 至 65535。本範例使用的是通訊埠 110。轉送規則只會轉送具有相符目的地通訊埠的封包。

   gcloud compute forwarding-rules create int-tcp-forwarding-rule \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=lb-network \
      --subnet=backend-subnet \
      --region=REGION_A \
      --target-tcp-proxy=int-tcp-target-proxy \
      --target-tcp-proxy-region=REGION_A \
      --address=int-tcp-ip-address \
      --ports=110
   

主控台

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 點選「建立執行個體」。

3. 將「Name」(名稱) 設定為 client-vm。

4. 將「可用區」設為 ZONE_A1。

5. 點選「進階選項」。

6. 按一下「網路」，然後設定下列欄位：

   1. 在「網路標記」中輸入 allow-ssh。
   2. 在「網路介面」中，選取下列項目：
      • Network (網路)：lb-network
      • Subnet (子網路)：backend-subnet

7. 按一下 [建立]。

gcloud

用戶端 VM 必須與負載平衡器位於相同的 VPC 網路和區域。不必位於相同的子網路或區域。用戶端使用與後端 VM 相同的子網路。

gcloud compute instances create client-vm \
    --zone=ZONE_A1 \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=backend-subnet

主控台

為負載平衡器建立新的轉送規則：

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「負載平衡」

2. 在「Name」欄中，按一下負載平衡器。

3. 按一下「前端設定」。

4. 按一下 [Add frontend IP and port] (新增前端 IP 和通訊埠)。

5. 輸入新轉送規則的名稱和子網路詳細資料。

6. 在「Subnetwork」中，選取「backend-subnet」。

7. 在「IP 位址」部分，您可以選取與現有轉送規則相同的 IP 位址、預留新的 IP 位址，或使用臨時 IP 位址。如要在多個轉送規則中共用相同的 IP 位址，您必須在建立 IP 位址時將 IP 位址 --purpose 標記設為 SHARED_LOADBALANCER_VIP。

8. 在「Port number」(通訊埠編號) 中輸入 110。

9. 在「全域存取權」部分，選取「啟用」。

10. 按一下 [完成]。

11. 按一下 [Update]。

gcloud

1. 使用 --allow-global-access 標記為負載平衡器建立新的轉送規則。

   gcloud compute forwarding-rules create int-tcp-forwarding-rule-global-access \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=lb-network \
      --subnet=backend-subnet \
      --region=REGION_A \
      --target-tcp-proxy=int-tcp-target-proxy \
      --target-tcp-proxy-region=REGION_A \
      --address=int-tcp-ip-address \
      --ports=110 \
      --allow-global-access
   

2. 您可以使用 gcloud compute forwarding-rules describe 指令，判斷轉送規則是否已啟用全域存取權。例如：

   gcloud compute forwarding-rules describe int-tcp-forwarding-rule-global-access \
      --region=REGION_A \
      --format="get(name,region,allowGlobalAccess)"
   

   啟用全域存取權後，輸出內容會在轉送規則的名稱和區域後方顯示 True 字樣。

主控台

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 點選「建立執行個體」。

3. 將「Name」(名稱) 設定為 test-global-access-vm。

4. 將「可用區」設為 ZONE_B1。

5. 點選「進階選項」。

6. 按一下「網路」，然後設定下列欄位：

   1. 在「網路標記」中輸入 allow-ssh。
   2. 在「網路介面」中，選取下列項目：
      • Network (網路)：lb-network
      • Subnet (子網路)：test-global-access-subnet

7. 按一下 [建立]。

gcloud

在 ZONE_B1 可用區中建立用戶端 VM。

gcloud compute instances create test-global-access-vm \
    --zone=ZONE_B1 \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=test-global-access-subnet

將 ZONE_B1 替換為 REGION_B 區域中的區域名稱。

控制台

如何啟用用戶端 IP 工作階段相依性：

1. 前往 Google Cloud 控制台的「負載平衡」頁面。
   前往「負載平衡」
2. 點選「後端」。
3. 按一下「internal-tcp-proxy-bs」 (您為本範例建立的後端服務名稱)，然後按一下「Edit」。
4. 在「後端服務詳細資料」頁面中，按一下「進階設定」。
5. 在「Session affinity」(工作階段相依性) 下方，從選單中選取「Client IP」(用戶端 IP)。
6. 按一下 [Update]。

gcloud

使用下列 Google Cloud CLI 指令更新 internal-tcp-proxy-bs 後端服務，並指定用戶端 IP 工作階段相依性：

gcloud compute backend-services update internal-tcp-proxy-bs \
    --region=REGION_A \
    --session-affinity=CLIENT_IP