Nur-Proxy-Subnetze für Envoy-basierte Load-Balancer

Auf dieser Seite wird gezeigt, wie Sie Nur-Proxy-Subnetze verwenden, die von Envoy-basierten Load-Balancern verwendet werden. Ein Nur-Proxy-Subnetz bietet einen Pool von IP-Adressen, die ausschließlich für Envoy-Proxys reserviert sind, die von Google Cloud Load-Balancern verwendet werden. Es kann nicht für andere Zwecke verwendet werden.

Die Proxys beenden eingehende Verbindungen und entscheiden dann anhand der URL-Zuordnung, der Sitzungsaffinität des Backend-Dienstes, des Load-Balancing-Modus jeder Backend-Instanzgruppe oder NEG und anderer Faktoren, wohin eine Anfrage gesendet wird.

1. Ein Client stellt eine Verbindung zur IP-Adresse und zum Port der Weiterleitungsregel des Load-Balancers her.

2. Jeder Proxy überwacht die IP-Adresse und den Port, die in der Weiterleitungsregel des entsprechenden Load-Balancers angegeben sind. Einer der Proxys empfängt und beendet die Netzwerkverbindung des Clients.

3. Der Proxy stellt eine Verbindung zur entsprechenden Backend-VM oder zum entsprechenden Backend-Endpunkt einer Netzwerk-Endpunktgruppe her. Dies richtet sich nach der URL-Zuordnung und den Backend-Diensten des Load-Balancers.

Jedem Proxy des Load-Balancers wird eine interne IP-Adresse zugewiesen. Pakete, die von einem Proxy an eine Backend-VM oder einen Backend-Endpunkt gesendet wird, hat eine Quell-IP-Adresse aus dem Nur-Proxy-Subnetz.

Das Nur-Proxy-Subnetz kann nicht für andere Zwecke verwendet werden. Die IP-Adresse für die Weiterleitungsregel des Load Balancers stammt nicht aus dem Nur-Proxy-Subnetz. Auch die IP-Adressen der Backend-VMs und -Endpunkte kommen nicht aus dem Nur-Proxy-Subnetz.

Unterstützte Load Balancer und Produkte

Für Envoy-basiertes Cloud Load Balancing und Secure Web Proxy-Produkte sind Nur-Proxy-Subnetze erforderlich:

• Nur-Proxy-Subnetz mit dem Zweck GLOBAL_MANAGED_PROXY: In einem bestimmten VPC-Netzwerk und einer bestimmten Region kann zu einem bestimmten Zeitpunkt nur ein Nur-Proxy-Subnetz mit dem Zweck GLOBAL_MANAGED_PROXY aktiv sein. Das aktive Nur-Proxy-Subnetz unterstützt alle folgenden Produkte:

  • Regionsübergreifender interner Application Load Balancer
  • Regionsübergreifender interner Proxy-Network Load Balancer

• Nur-Proxy-Subnetz mit dem Zweck REGIONAL_MANAGED_PROXY: In einem bestimmten VPC-Netzwerk und einer bestimmten Region kann zu einem bestimmten Zeitpunkt nur ein Nur-Proxy-Subnetz mit dem Zweck REGIONAL_MANAGED_PROXY aktiv sein. Das aktive Nur-Proxy-Subnetz unterstützt alle folgenden Produkte:

  • Regionaler externer Application Load Balancer
  • Regionaler interner Application Load Balancer
  • Regionaler externer Proxy-Network Load Balancer
  • Regionaler interner Proxy-Network Load Balancer
  • Sicherer Web-Proxy

Nur-Proxy-Subnetze in der Load-Balancer-Architektur

Das folgende Diagramm zeigt die Google Cloud Ressourcen, die für einen regionalen internen Application Load Balancer erforderlich sind.

Wie in den Diagrammen dargestellt, sind für die Bereitstellung eines Envoy-basierten Load-Balancers mindestens zwei Subnetze erforderlich:

• Die Backend-VMs und Backend-Endpunkte des Load-Balancers verwenden ein einzelnes Subnetz mit dem primären IP-Adressbereich 10.1.2.0/24 (in diesem Beispiel). Dieses Subnetz ist nicht das Nur-Proxy-Subnetz. Sie können für Ihre Backend-VMs und -Endpunkte mehrere Subnetze verwenden. Die Subnetze müssen sich dazu in derselben Region wie der Load-Balancer befinden. Bei internen Application Load Balancern kann sich die IP-Adresse des Load-Balancers, der der Weiterleitungsregel zugeordnet ist, auch in diesem Subnetz befinden. Dies muss jedoch nicht sein.
• Das Nur-Proxy-Subnetz ist 10.129.0.0/23 (in diesem Beispiel).

Größe des Nur-Proxy-Subnetzes planen

Ein Nur-Proxy-Subnetz muss mindestens 64 IP-Adressen bereitstellen. Das entspricht einer Präfixlänge von maximal /26. Wir empfehlen, mit einem Nur-Proxy-Subnetz mit dem Präfix /23 (512 Nur-Proxy-Adressen) zu beginnen und die Größe zu ändern, wenn sich Ihr Traffic ändert.

Proxys werden auf VPC-Ebene und nicht auf Load-Balancer-Ebene zugewiesen. Sie müssen in jeder Region eines VPC-Netzwerks, in dem Sie Envoy-basierte Load-Balancer verwenden, ein Nur-Proxy-Subnetz anlegen. Wenn Sie mehrere Load-Balancer in derselben Region und im selben VPC-Netzwerk bereitstellen, nutzen sie dasselbe Nur-Proxy-Subnetz für das Load-Balancing. Envoy-basierte Load Balancer skalieren die Anzahl der verfügbaren Proxys automatisch, um Ihren Traffic bedarfsgerecht zu verwalten.

Die Anzahl der Ihrem Load Balancer zugewiesenen Proxys wird auf der Grundlage der gemessenen Kapazität berechnet, die erforderlich ist, um Ihren Traffic über einen Zeitraum von zehn Minuten zu verwalten. Während dieses Zeitraums wird der größere der folgenden Faktoren ermittelt:

• Die Anzahl der für die Bandbreitenanforderungen Ihres Traffics erforderlichen Proxys. Jede Proxy-Instanz kann pro Sekunde 18 MB verarbeiten. Die insgesamt erforderliche Bandbreite wird ermittelt und der Gesamtwert durch die Bandbreite geteilt, die eine Proxy-Instanz unterstützen kann.

• Die zur Verwaltung von Verbindungen und Anfragen erforderliche Anzahl von Proxys. Die folgenden Ressourcen werden gezählt und jeder Wert durch die Menge geteilt, die eine Proxy-Instanz unterstützen kann:

  • 600 (HTTP) oder 150 (HTTPS) neue Verbindungen pro Sekunde
  • 3.000 aktive Verbindungen

  • 1.400 Anfragen pro Sekunde

    Eine Proxy-Instanz kann 1.400 Anfragen pro Sekunde verarbeiten,wenn Cloud Logging deaktiviert ist. Wenn Sie Logging aktivieren, kann eine Proxy-Instanz weniger Anfragen pro Sekunde verarbeiten. Wenn z. B. 100% der Anfragen geloggt werden, nimmt die Kapazität eines Proxys für die Verwaltung von Anfragen auf 700 Anfragen pro Sekunde ab. Sie können Logging so konfigurieren, dass ein kleinerer Prozentsatz des Traffics erfasst wird. So können Sie Ihre Anforderungen an die Beobachtbarkeit erfüllen und gleichzeitig die Kosten steuern.

Für jeden zusätzlichen Proxy fällt eine zusätzliche Stundengebühr an. Informationen zur Abrechnung von Nur-Proxy-Subnetzen finden Sie in der Dokumentation zu Cloud Load Balancing im Abschnitt Gebühren für Proxy-Instanzen.

Envoy-basierte Load Balancer und Secure Web Proxy-Envoy-Proxys

Wenn Sie sowohl einen Envoy-basierten Load Balancer als auch Secure Web Proxy in derselben VPC konfigurieren, ist Folgendes zu beachten:

• Sowohl der Envoy-basierte Load Balancer als auch der Secure Web Proxy verwenden IP-Adressen aus demselben Nur-Proxy-Subnetz.

• Um die IP-Adressanforderungen für beide Dienste zu erfüllen, sollten Sie ein größeres Nur-Proxy-Subnetz verwenden, z. B. ein /22-Subnetz. So wird sichergestellt, dass für beide Konfigurationen genügend Adressraum vorhanden ist.

• Wir empfehlen, die Proxykapazität im Blick zu behalten, um den Verbrauch von IP-Adressen nachzuvollziehen. So wird verhindert, dass das Nur-Proxy-Subnetz erschöpft ist, was zu Dienstunterbrechungen führen kann.

Nur-Proxy-Subnetze erstellen

Je nach Load Balancer und Back-End-Anforderungen können Sie das Nur-Proxy-Subnetz entweder als Einzel-Stack (IPV4_ONLY) oder als Dual-Stack (IPV4_IPV6) erstellen.

• IPV4_ONLY: Sie müssen ein Proxy-Only-Subnetz mit Einzelstack verwenden, wenn Ihr Load Balancer IPv4-Traffic beenden muss.
• IPV4_IPV6: Sie müssen ein Dual-Stack-Proxy-only-Subnetz verwenden, wenn Ihr Load Balancer IPv4- oder IPv6-Traffic beenden muss. Damit eine IPv6-Weiterleitungsregel unterstützt werden kann, muss das Nur-Proxy-Subnetz ein Dual-Stack-Subnetz sein.

Nur-Proxy-Subnetze für Envoy-basierte Load Balancer müssen unabhängig davon erstellt werden, ob Ihr Netzwerk im automatischen oder im benutzerdefinierten Modus arbeitet. Das Erstellen eines Nur-Proxy-Subnetzes erfolgt im Wesentlichen wie beim Erstellen eines Subnetzes, mit dem einzigen Unterschied, dass einige Flags hinzugefügt werden.

Bei einem Nur-Proxy-Subnetz muss --purpose entweder auf REGIONAL_MANAGED_PROXY oder GLOBAL_MANAGED_PROXY festgelegt sein, je nach Load Balancer.

Sie können ein vorhandenes Subnetz nicht als Nur-Proxy-Subnetz wiederverwenden. In jeder Region, die einen Envoy-basierten Load-Balancer hat, müssen Sie ein neues Subnetz erstellen. Das liegt zum Teil daran, dass mit dem Befehl subnets update das Feld --purpose eines Subnetzes nicht geändert werden kann.

Damit Sie Weiterleitungsregeln für Ihre regionalen Load-Balancer erstellen können, müssen Sie vorher für die Proxys der Load-Balancer ein Nur-Proxy-Subnetz einrichten. Wenn Sie versuchen, einen Load-Balancer zu konfigurieren, ohne zuvor ein Nur-Proxy-Subnetz für die Region erstellt zu haben, schlägt das Erstellen des Load-Balancers fehl.

Nur-Proxy-Subnetz für IPV4-ONLY erstellen

So konfigurieren Sie ein IPV4-ONLY-Nur-Proxy-Subnetz: