設定具有後端服務的外部直通式網路負載平衡器

主控台

如要同時支援 IPv4 和 IPv6 流量，請按照下列步驟操作：

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下「建立虛擬私有雲網路」。

3. 輸入 lb-network 的「Name」。

4. 在「Subnets」(子網路) 區段中：

   • 將「Subnet creation mode」(子網路建立模式) 設為 [Custom] (自訂)。
   • 在「New subnet」(新的子網路) 區段中，設定下列欄位，然後按一下「Done」：
     • Name (名稱)：lb-subnet
     • Region (區域)：us-central1
     • IP 堆疊類型：IPv4 和 IPv6 (雙重堆疊)
     • IPv4 範圍：10.1.2.0/24
       雖然您可以為子網路設定 IPv4 位址範圍，但無法選擇子網路的 IPv6 位址範圍。Google 提供固定大小 (/64) 的 IPv6 CIDR 區塊。
     • IPv6 存取權類型：外部

5. 按一下 [建立]。

如要支援僅 IPv4 流量，請按照下列步驟操作：

1. 在 Google Cloud 控制台中，前往「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下「建立虛擬私有雲網路」。

3. 輸入 lb-network 的「Name」。

4. 在「Subnets」(子網路) 區段中：

   • 將「Subnet creation mode」(子網路建立模式) 設為 [Custom] (自訂)。
   • 在「New subnet」(新的子網路) 區段中，設定下列欄位，然後按一下「Done」：
     • Name (名稱)：lb-subnet
     • Region (區域)：us-central1
     • IP stack type (IP 堆疊類型)：IPv4 (單一堆疊)
     • IPv4 範圍：10.1.2.0/24

5. 按一下 [建立]。

gcloud

1. 建立自訂模式虛擬私有雲網路：

   gcloud compute networks create lb-network \
       --subnet-mode=custom
   

2. 在 lb-network 網路中，為 us-central1 地區的後端建立子網路。

   如要同時支援 IPv4 和 IPv6 流量，請使用下列指令建立雙重堆疊子網路：

   gcloud compute networks subnets create lb-subnet \
       --stack-type=IPV4_IPv6 \
       --ipv6-access-type=EXTERNAL \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-central1
   

   如要只測試 IPv4 流量，請使用下列指令：

   gcloud compute networks subnets create lb-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-central1
   

主控台

Google Cloud 控制台無法用於建立支援 IPv6 連線的雙堆疊執行個體群組。請改用 gcloud CLI 或 REST API。

建立執行個體範本

1. 前往 Google Cloud 控制台的「Instance Templates」(執行個體範本) 頁面。

   前往「Instance templates」(執行個體範本) 頁面

2. 點選「建立執行個體範本」。

3. 在「Name」(名稱) 中輸入 ig-us-template。

4. 在「Boot disk」(開機磁碟) 專區中，確認「Image」(映像檔) 已設為 Debian 映像檔，例如 Debian GNU/Linux 12 (bookworm)。這些操作說明使用僅在 Debian 上可用的指令，例如 apt-get。

5. 點選「進階選項」。

6. 點選「網路」。

   1. 在「網路標記」中輸入 lb-tag。
   2. 在「網路介面」部分，按一下「預設」介面，然後設定下列欄位：
      • Network (網路)：lb-network
      • Subnetwork (子網路)：lb-subnet
   3. 按一下 [完成]。

7. 按一下「Management」(管理)，然後將下列指令碼複製到「Startup script」(開機指令碼) 欄位。

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" 
   
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | 
   
     tee /var/www/html/index.html
     systemctl restart apache2
     

8. 按一下 [建立]。

建立代管執行個體群組

1. 前往 Google Cloud 控制台的「Instance groups」(執行個體群組) 頁面。

   前往「Instance groups」(執行個體群組)

2. 點選「建立執行個體群組」。

3. 選取「New managed instance group (stateless)」(新增代管執行個體群組 (無狀態))。詳情請參閱「無狀態或有狀態的 MIG」。

4. 在「Name」(名稱) 中輸入 ig-us-1。

5. 在「Instance template」(執行個體範本) 中選取 ig-us-template。

6. 在「Location」(位置) 中，選取「Single zone」(單一可用區)。

7. 在「Region」(區域) 中選取 us-central1。

8. 在「Zone」(可用區) 中選取 us-central1-a。

9. 指定要在群組中建立的執行個體數量。

   在本例中，請在「Autoscaling」(自動調度資源) 區段中指定下列選項：

   • 針對「Autoscaling mode」(自動調度資源模式)，選取 Off:do not autoscale。
   • 在「Maximum number of instances」(執行個體數量上限) 中輸入 2。

10. 按一下 [建立]。

重複執行上述步驟，在 us-central1-c 區域中建立第二個代管執行個體群組，並加入下列規格： * 名稱：ig-us-2 * 區域：us-central1-c * 執行個體範本：使用上一節建立的 ig-us-template 範本。

gcloud

本指南的 gcloud 操作說明假設您使用 Cloud Shell 或已安裝 bash 的其他環境。

1. 使用 gcloud compute instance-templates create 指令，建立含有 HTTP 伺服器的 VM 執行個體範本。

   如要同時處理 IPv4 和 IPv6 流量，請使用下列指令。

   只有在子網路中建立 VM 時，--ipv6-network-tier 才會設為 PREMIUM，且 ipv6-access-type 設為 EXTERNAL。如果子網路的 ipv6-access-type 是 INTERNAL，請省略標記。

     gcloud compute instance-templates create ig-us-template \
         --region=us-central1 \
         --network=lb-network \
         --subnet=lb-subnet \
         --ipv6-network-tier=PREMIUM \
         --stack-type=IPv4_IPv6 \
         --tags=lb-tag \
         --image-family=debian-12 \
         --image-project=debian-cloud \
         --metadata=startup-script='#! /bin/bash
         apt-get update
         apt-get install apache2 -y
         a2ensite default-ssl
         a2enmod ssl
         vm_hostname="$(curl -H "Metadata-Flavor:Google" \
         http://metadata.google.internal/computeMetadata/v1/instance/name)"
         echo "Page served from: $vm_hostname" | \
         tee /var/www/html/index.html
         systemctl restart apache2'
   

   如要處理 僅 IPv4 流量，請使用下列指令。

     gcloud compute instance-templates create ig-us-template \
         --region=us-central1 \
         --network=lb-network \
         --subnet=lb-subnet \
         --tags=lb-tag \
         --image-family=debian-12 \
         --image-project=debian-cloud \
         --metadata=startup-script='#! /bin/bash
         apt-get update
         apt-get install apache2 -y
         a2ensite default-ssl
         a2enmod ssl
         vm_hostname="$(curl -H "Metadata-Flavor:Google" \
         http://metadata.google.internal/computeMetadata/v1/instance/name)"
         echo "Page served from: $vm_hostname" | \
         tee /var/www/html/index.html
         systemctl restart apache2'
   

2. 使用 gcloud compute instance-groups managed create 指令，在區域中建立代管執行個體群組。

     gcloud compute instance-groups managed create ig-us-1 \
         --zone us-central1-a \
         --size 2 \
         --template ig-us-template
   

3. 在 us-central1-c 區域中建立第二個代管執行個體群組：

    gcloud compute instance-groups managed create ig-us-2 \
        --zone us-central1-c \
        --size 2 \
        --template ig-us-template
   

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」

如要允許 IPv4 流量，請執行下列步驟：

1. 點按「建立防火牆規則」。
2. 在「Name」(名稱) 中輸入 allow-network-lb-ipv4。
3. 在「Network」(網路) 清單中選取「lb-network」。
4. 在「Targets」(目標) 中選取 Specified target tags。
5. 在「Target tags」(目標標記) 欄位中輸入 lb-tag。
6. 在「Source filter」中選取「IPv4 ranges」。
7. 將「Source IPv4 ranges」(來源 IPv4 範圍) 設為 0.0.0.0/0。這可允許來自任何來源的 IPv4 流量。這也讓 Google 的健康狀態檢查探針可連線至後端執行個體。
8. 在「Specified protocols and ports」(指定的通訊協定和通訊埠) 中，選取「TCP」核取方塊，然後輸入 80。
9. 按一下「建立」，新的防火牆規則可能需要一些時間才會顯示在Google Cloud 主控台中，或者您可能需要按一下「Refresh」才能看到規則。

如要允許 IPv6 流量，請執行下列步驟：

1. 再次按一下「建立防火牆規則」。
2. 在「Name」(名稱) 中輸入 allow-network-lb-ipv6。
3. 在「Network」(網路) 清單中選取「lb-network」。
4. 在「Targets」(目標) 中選取 Specified target tags。
5. 在「Target tags」(目標標記) 欄位中輸入 lb-tag。
6. 在「Source filter」中選取「IPv6 範圍」。
7. 將「Source IPv6 ranges」(來源 IPv6 範圍) 設為 ::/0。這會允許來自任何來源的 IPv6 流量。這也讓 Google 的健康狀態檢查探針可連線至後端執行個體。
8. 在「Specified protocols and ports」(指定的通訊協定和通訊埠) 中，選取「TCP」TCP* 核取方塊，然後輸入 80。
9. 按一下「建立」，新的防火牆規則可能需要一些時間才會顯示在主控台中，或者您可能需要按一下「Refresh」才能看到規則。

gcloud

如要允許 IPv4 流量，請執行下列指令：

  gcloud compute firewall-rules create allow-network-lb-ipv4 \
      --network=lb-network \
      --target-tags=lb-tag \
      --allow=tcp:80 \
      --source-ranges=0.0.0.0/0

如要允許 IPv6 流量，請執行下列指令：

  gcloud compute firewall-rules create allow-network-lb-ipv6 \
      --network=lb-network \
      --target-tags=lb-tag \
      --allow=tcp:80 \
      --source-ranges=::/0

主控台

開始設定

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「負載平衡」

2. 點選「建立負載平衡器」。
3. 在「負載平衡器類型」部分，選取「網路負載平衡器 (TCP/UDP/SSL)」，然後點選「下一步」。
4. 在「直通或使用 Proxy」部分，選取「直通式負載平衡器」，然後點選「下一步」。
5. 在「公開或內部」部分，選取「公開 (外部)」，然後點選「下一步」。
6. 按一下 [設定]。

後端設定

1. 在「Create external passthrough Network Load Balancer」(建立外部直通式網路負載平衡器) 頁面中，輸入新負載平衡器的名稱 tcp-network-lb。
2. 在「Region」(區域) 中選取 us-central1。
3. 按一下「後端設定」。
4. 在「Backend configuration」(後端設定) 頁面中進行以下變更：
   1. 針對「New Backend」，選取「IP stack type」。如果您建立雙重堆疊後端來處理 IPv4 和 IPv6 流量，請選取「IPv4 和 IPv6 (雙重堆疊)」。如要只處理 IPv4 流量，請選取「IPv4(單一堆疊)」。
   2. 在「Instance group」清單中選取 ig-us-1，然後按一下「Done」。
   3. 按一下「Add backend」(新增後端)，然後重複執行這項步驟來新增 ig-us-2。
   4. 在「Health check」(健康狀態檢查) 部分，按一下「Create a health check」(建立健康狀態檢查) 或「Create another health check」(建立其他健康狀態檢查)，然後輸入下列資訊：
      • Name (名稱)：tcp-health-check
      • Protocol (通訊協定)：TCP
      • Port (通訊埠)：80
   5. 按一下 [儲存]。
5. 繼續操作之前，請先確認「後端設定」旁是否有藍色勾號。

前端設定

1. 按一下「前端設定」。
2. 在「Name」(名稱) 中輸入 network-lb-forwarding-rule。
3. 如要處理 IPv4 流量，請按照下列步驟操作：
   1. 在「IP 版本」部分，選取「IPv4」。
   2. 在「Internal IP purpose」(內部 IP 用途) 區段的「IP address」(IP 位址) 清單中，選取「Create IP address」(建立 IP 位址)。
      1. 在「Reserve a new static IP address」頁面中，輸入「Name」的值 network-lb-ipv4。
      2. 按一下「保留」。
   3. 在「Ports」(通訊埠) 部分，選擇「Single」(單一)。在「Port number」(通訊埠編號) 中輸入 80。
   4. 按一下 [完成]。

4. 如要處理 IPv6 流量，請按照下列步驟操作：

   1. 在「IP 版本」中，選取「IPv6」。
   2. 在「Subnetwork」(子網路) 中，選取「lb-subnet」。
   3. 在「IPv6 range」(IPv6 範圍) 清單中，選取「Create IP address」(建立 IP 位址)。
      1. 在「Reserve a new static IP address」頁面中，輸入「Name」的值 network-lb-ipv6。
      2. 按一下「保留」。
   4. 在「Ports」(通訊埠) 部分，選取「Single」(單一)。在「Port number」(通訊埠編號) 中輸入 80。
   5. 按一下 [完成]。

   繼續操作之前，請先確認「Frontend configuration」(前端設定) 左邊有無藍色勾號圓圈，以驗證設定是否成功。

檢閱設定

1. 按一下「檢查並完成」。
2. 查看負載平衡器設定。
3. 選用：按一下「等效程式碼」，查看用於建立負載平衡器的 REST API 要求。

4. 按一下 [建立]。

   在負載平衡頁面的新負載平衡器的「Backend」欄中，確認有綠色勾號，表示新負載平衡器健康狀態良好。

gcloud

1. 保留靜態外部 IP 位址。

   適用於 IPv4 流量

   為負載平衡器建立靜態外部 IPv4 位址。

    gcloud compute addresses create network-lb-ipv4 \
        --region us-central1
   

   針對 IPv6 流量

   為負載平衡器建立靜態外部 IPv6 位址範圍。使用的子網路必須是具有外部 IPv6 範圍的雙重堆疊子網路。

    gcloud compute addresses create network-lb-ipv6 \
        --region us-central1 \
        --subnet lb-subnet \
        --ip-version IPV6 \
        --endpoint-type NETLB
   

2. 建立 TCP 健康狀態檢查。

   gcloud compute health-checks create tcp tcp-health-check \
       --region us-central1 \
       --port 80
   

3. 建立後端服務。

   gcloud compute backend-services create network-lb-backend-service \
       --protocol TCP \
       --health-checks tcp-health-check \
       --health-checks-region us-central1 \
       --region us-central1
   

4. 將執行個體群組新增至後端服務。

   gcloud compute backend-services add-backend network-lb-backend-service \
       --instance-group ig-us-1 \
       --instance-group-zone us-central1-a \
       --region us-central1
   

   gcloud compute backend-services add-backend network-lb-backend-service \
       --instance-group ig-us-2 \
       --instance-group-zone us-central1-c \
       --region us-central1
   

5. 請根據要處理的 IPv4 流量或 IPv6 流量建立轉送規則。建立這兩種轉送規則，以便處理這兩種流量。

   1. 適用於 IPv4 流量

      建立轉送規則，將傳入的 TCP 流量轉送至後端服務。使用步驟 1 中保留的 IPv4 位址，做為負載平衡器的靜態外部 IP 位址。

       gcloud compute forwarding-rules create network-lb-forwarding-rule-ipv4 \
           --load-balancing-scheme EXTERNAL \
           --region us-central1 \
           --ports 80 \
           --address network-lb-ipv4 \
           --backend-service network-lb-backend-service
      

   2. 針對 IPv6 流量

      建立轉送規則來處理 IPv6 流量。使用步驟 1 中保留的 IPv6 位址範圍，做為負載平衡器的靜態外部 IP 位址。使用的子網路必須是具有外部 IPv6 子網路範圍的雙重堆疊子網路。

       gcloud compute forwarding-rules create network-lb-forwarding-rule-ipv6 \
           --load-balancing-scheme EXTERNAL \
           --region us-central1 \
           --network-tier PREMIUM \
           --ip-version IPV6 \
           --subnet lb-subnet \
           --address network-lb-ipv6 \
           --ports 80 \
           --backend-service network-lb-backend-service
      

主控台

1. 前往 Google Cloud 控制台的「負載平衡元件」負載平衡頁面。

   前往「負載平衡元件」

2. 在「Forwarding Rules」分頁中，找出負載平衡器使用的轉送規則。

3. 在「外部 IP 位址」欄中，請注意列出的外部 IP 位址。

gcloud：IPv4

輸入下列指令，查看負載平衡器所用 network-lb-forwarding-rule 轉送規則的外部 IPv4 位址。

gcloud compute forwarding-rules describe network-lb-forwarding-rule-ipv4 \
    --region us-central1

gcloud：IPv6

輸入下列指令，查看負載平衡器所用 network-lb-forwarding-rule 轉送規則的外部 IPv6 位址。

gcloud compute forwarding-rules describe network-lb-forwarding-rule-ipv6 \
    --region us-central1

主控台

1. 前往 Google Cloud 控制台的「Load balancing」(負載平衡)頁面。

   前往「負載平衡」

2. 在「負載平衡器」分頁中，按一下後端服務的名稱，然後點選「編輯」。

3. 在「Edit external passthrough Network Load Balancer」(編輯外部直通式網路負載平衡器) 頁面上，按一下「Backend configuration」(後端設定)。

4. 從「工作階段相依性」清單中選取所需選項。

5. 按一下 [Update]。

gcloud

使用下列 gcloud 指令更新後端服務的工作階段相依性：

gcloud compute backend-services update BACKEND_SERVICE \
    --region=REGION \
    --session-affinity=SESSION_AFFINITY_OPTION

將預留位置替換為有效值：

• BACKEND_SERVICE：您要更新的後端服務

• SESSION_AFFINITY_OPTION：您要設定的工作階段相依性選項

  如需外部直通式網路負載平衡器支援的值清單，請參閱工作階段親和力選項。

gcloud

使用下列 gcloud compute backend-services 指令更新後端服務的連線追蹤政策：

gcloud compute backend-services update BACKEND_SERVICE \
    --region=REGION \
    --tracking-mode=TRACKING_MODE \
    --connection-persistence-on-unhealthy-backends=CONNECTION_PERSISTENCE_BEHAVIOR

將預留位置替換為有效值：

• BACKEND_SERVICE：您要更新的後端服務
• TRACKING_MODE：用於處理傳入封包的連線追蹤模式。如需支援的值清單，請參閱「追蹤模式」。
• CONNECTION_PERSISTENCE_BEHAVIOR：後端健康狀態不佳時的連線持續性行為。如需支援的值清單，請參閱「持續連線至健康狀態不良的後端」。

gcloud

使用下列指令建立指向後端服務的轉送規則：

gcloud compute forwarding-rules create STEERING_FORWARDING_RULE_BS \
    --load-balancing-scheme=EXTERNAL \
    --backend-service=BACKEND_SERVICE \
    --address=LOAD_BALANCER_VIP \
    --ip-protocol=IP_PROTOCOL \
    --ports=PORTS \
    --region=REGION \
    --source-ip-ranges=SOURCE_IP_ADDRESS_RANGES

使用下列指令建立指向目標執行個體的轉向轉送規則：

gcloud compute forwarding-rules create STEERING_FORWARDING_RULE_TI \
    --load-balancing-scheme=EXTERNAL \
    --target-instance=TARGET_INSTANCE \
    --address=LOAD_BALANCER_VIP \
    --ip-protocol=IP_PROTOCOL \
    --ports=PORTS \
    --region=REGION \
    --source-ip-ranges=SOURCE_IP_ADDRESS_RANGES

將預留位置替換為有效值：

• STEERING_FORWARDING_RULE_BS 或 STEERING_FORWARDING_RULE_TI：要建立的轉送規則名稱。
• BACKEND_SERVICE 或 TARGET_INSTANCE：這個轉向轉送規則會將流量傳送至的後端服務或目標執行個體名稱。即使父項轉送規則指向後端服務，您還是可以建立指向目標執行個體的轉送規則。
• LOAD_BALANCER_VIP、IP_PROTOCOL、PORTS：分別為您建立的轉向轉送規則的 IP 位址、IP 通訊協定和通訊埠。這些設定必須與現有的基礎轉送規則相符。
• REGION：您要建立的轉送規則所在的區域。
• SOURCE_IP_ADDRESS_RANGES：以半形逗號分隔的 IP 位址或 IP 位址範圍清單。只有在傳入封包的來源 IP 位址落在此處設定的 IP 範圍之一時，此轉送規則才會轉送流量。