Configurazione di un bilanciatore del carico delle applicazioni esterno

I bilanciatori del carico delle applicazioni esterni con Identity-Aware Proxy (IAP) sono supportati con i seguenti tipi di backend:

• Gruppi di istanze
• Gruppi di endpoint di rete (NEG) a livello di zona
• NEG serverless: uno o più servizi Cloud Run
• NEG internet, per endpoint esterni a Google Cloud (note anche come origini personalizzate)
• NEG di connettività ibrida, per gli endpoint che si estendono oltre Google Cloud, ad esempio data center on-premise e altri cloud pubblici che puoi utilizzare la connettività ibrida per raggiungere.
• NEG Private Service Connect, endpoint che si risolve in uno dei seguenti:
  • Un endpoint API regionale gestito da Google
  • Un servizio gestito pubblicato utilizzando Private Service Connect

Per i concetti generali, consulta la panoramica del bilanciatore del carico delle applicazioni esterno.

Se sei un utente esistente del bilanciatore del carico delle applicazioni classico, assicurati di consultare la panoramica della migrazione quando pianifichi un nuovo deployment con il bilanciatore del carico delle applicazioni esterno globale.

Topologie del bilanciatore del carico

Per un bilanciatore del carico HTTPS, crei la configurazione mostrata nel diagramma seguente.

Per un bilanciatore del carico HTTP, crei la configurazione mostrata nel diagramma seguente.

La sequenza di eventi nei diagrammi è la seguente:

1. Un client invia una richiesta di contenuti all'indirizzo IPv4 esterno definito nella regola di forwarding.

2. Per un bilanciatore del carico HTTPS, la regola di forwarding indirizza la richiesta al proxy HTTPS di destinazione.

   Per un bilanciatore del carico HTTP, la regola di forwarding indirizza la richiesta al proxy HTTP di destinazione.

3. Il proxy di destinazione utilizza la regola nella mappa URL per determinare che un singolo servizio di backend riceve tutte le richieste.

4. Il bilanciatore del carico determina che il servizio di backend ha un solo gruppo di istanze e indirizza la richiesta a un'istanza di macchina virtuale (VM) in quel gruppo.

5. La VM fornisce i contenuti richiesti dall'utente.

Prima di iniziare

Completa i seguenti passaggi prima di creare il bilanciatore del carico.

Configura una risorsa del certificato SSL

Per creare il bilanciatore del carico, devi disporre di una risorsa del certificato SSL che può essere collegata al proxy di destinazione. La risorsa del certificato SSL può essere una mappa dei certificati o un certificato SSL di Compute Engine (certificato classico).

Mappa di certificati

Puoi creare una mappa dei certificati come descritto in uno dei seguenti documenti:

• Esegui il deployment di un certificato globale gestito da Google con l'autorizzazione del bilanciatore del carico
• Deployment di un certificato globale gestito da Google con autorizzazione DNS
• Deployment di un certificato globale gestito da Google con Certificate Authority Service
• Esegui il deployment di un certificato autogestito globale

Certificato SSL di Compute Engine

Per un bilanciatore del carico HTTPS, crea una risorsa certificato SSL di Compute Engine come descritto in uno dei seguenti documenti:

• Utilizza i certificati SSL autogestiti
• Utilizzare i certificati SSL gestiti da Google

Ti consigliamo di utilizzare un certificato gestito da Google.

Configura le autorizzazioni

Per completare i passaggi di questa guida, devi disporre dell'autorizzazione per creare istanze Compute Engine, regole firewall e indirizzi IP prenotati in un progetto. Devi disporre del ruolo di proprietario o editor del progetto oppure dei seguenti ruoli IAM di Compute Engine.

Per saperne di più, consulta le guide seguenti:

• Controllo dell'accesso
• Condizioni IAM

(Facoltativo) Utilizza indirizzi BYOIP

Con Bring Your Own IP (BYOIP), puoi importare i tuoi indirizzi pubblici inGoogle Cloud per utilizzarli con le risorse Google Cloud . Ad esempio, se importi i tuoi indirizzi IPv4, puoi assegnarne uno alla regola di forwarding quando configuri il bilanciatore del carico. Quando segui le istruzioni riportate in questo documento per configurare il bilanciatore del carico, fornisci l'indirizzo BYOIP come indirizzo IP.

Per saperne di più sull'utilizzo di BYOIP, consulta Bring Your Own IP.

Configura la rete e le subnet

Per creare la rete e la subnet di esempio, segui questi passaggi.

Crea un gruppo di istanze gestite

Per configurare un bilanciatore del carico con un backend di Compute Engine, le VM devono trovarsi in un gruppo di istanze. Questa guida descrive come creare un gruppo di istanze gestite con VM Linux su cui è in esecuzione Apache e poi configurare il bilanciamento del carico. Un gruppo di istanze gestite crea ciascuna delle sue istanze gestite in base ai modelli di istanza che specifichi.

Il gruppo di istanze gestite fornisce VM che utilizzano i server di backend di un bilanciatore del carico HTTP(S) esterno. A scopo dimostrativo, i backend gestiscono i propri nomi host.

Prima di creare un gruppo di istanze gestite, crea un modello di istanza.

gcloud compute instance-templates create TEMPLATE_NAME \
  --region=REGION \
  --network=NETWORK \
  --subnet=SUBNET \
  --stack-type=IPV4_ONLY \
  --tags=allow-health-check \
  --image-family=debian-10 \
  --image-project=debian-cloud \
  --metadata=startup-script='#! /bin/bash
    apt-get update
    apt-get install apache2 -y
    a2ensite default-ssl
    a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://metadata.google.internal/computeMetadata/v1/instance/name)"
    echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    systemctl restart apache2'

resource "google_compute_instance_template" "default" {
  name = "lb-backend-template"
  disk {
    auto_delete  = true
    boot         = true
    device_name  = "persistent-disk-0"
    mode         = "READ_WRITE"
    source_image = "projects/debian-cloud/global/images/family/debian-11"
    type         = "PERSISTENT"
  }
  labels = {
    managed-by-cnrm = "true"
  }
  machine_type = "n1-standard-1"
  metadata = {
    startup-script = "#! /bin/bash\n     sudo apt-get update\n     sudo apt-get install apache2 -y\n     sudo a2ensite default-ssl\n     sudo a2enmod ssl\n     vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\" \\\n   http://169.254.169.254/computeMetadata/v1/instance/name)\"\n   sudo echo \"Page served from: $vm_hostname\" | \\\n   tee /var/www/html/index.html\n   sudo systemctl restart apache2"
  }
  network_interface {
    access_config {
      network_tier = "PREMIUM"
    }
    network    = "global/networks/default"
    subnetwork = "regions/us-east1/subnetworks/default"
  }
  region = "us-east1"
  scheduling {
    automatic_restart   = true
    on_host_maintenance = "MIGRATE"
    provisioning_model  = "STANDARD"
  }
  service_account {
    email  = "default"
    scopes = ["https://www.googleapis.com/auth/devstorage.read_only", "https://www.googleapis.com/auth/logging.write", "https://www.googleapis.com/auth/monitoring.write", "https://www.googleapis.com/auth/pubsub", "https://www.googleapis.com/auth/service.management.readonly", "https://www.googleapis.com/auth/servicecontrol", "https://www.googleapis.com/auth/trace.append"]
  }
  tags = ["allow-health-check"]
}

Crea il gruppo di istanze gestite e seleziona il modello di istanza.

resource "google_compute_instance_group_manager" "default" {
  name = "lb-backend-example"
  zone = "us-east1-b"
  named_port {
    name = "http"
    port = 80
  }
  version {
    instance_template = google_compute_instance_template.default.id
    name              = "primary"
  }
  base_instance_name = "vm"
  target_size        = 2
}

Aggiungi una porta denominata al gruppo di istanze

Per il gruppo di istanze, definisci un servizio HTTP e mappa un nome di porta alla porta pertinente. Il servizio di bilanciamento del carico inoltra il traffico alla porta denominata. Per saperne di più, consulta Porte denominate.

gcloud compute instance-groups set-named-ports lb-backend-example \
    --named-ports http:80 \
    --zone ZONE_A

Configura una regola firewall

In questo esempio, crei la regola firewall fw-allow-health-check. Si tratta di una regola in entrata che consente il traffico dai sistemi di controllo di integrità Google Cloud (130.211.0.0/22 e 35.191.0.0/16). Questo esempio utilizza il tag di destinazione allow-health-check per identificare le VM.

gcloud compute firewall-rules create fw-allow-health-check \
    --network=NETWORK \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --target-tags=allow-health-check \
    --rules=tcp:80

resource "google_compute_firewall" "default" {
  name          = "fw-allow-health-check"
  direction     = "INGRESS"
  network       = "global/networks/default"
  priority      = 1000
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
  target_tags   = ["allow-health-check"]
  allow {
    ports    = ["80"]
    protocol = "tcp"
  }
}

Prenota un indirizzo IP esterno

Ora che le istanze sono operative, configura un indirizzo IP esterno statico e globale, che verrà utilizzato dai clienti per raggiungere il bilanciatore del carico:

gcloud compute addresses create lb-ipv4-1 \
    --ip-version=IPV4 \
    --network-tier=PREMIUM \
    --global

gcloud compute addresses describe lb-ipv4-1 \
    --format="get(address)" \
    --global