Server Load Balancer:Quick security inspection for IPv4 traffic with GWLB

Escenario de ejemplo

Para mejorar la seguridad y la confiabilidad, una empresa enruta el tráfico IPv4 entrante desde internet hacia appliances virtuales de red (NVA) para su inspección de seguridad antes de que llegue a los servidores de aplicaciones. La empresa puede usar GWLB para gestionar las NVA y garantizar que todo el tráfico se someta a una inspección rigurosa antes de distribuirse a los servidores de aplicaciones. Este tema utiliza un ejemplo en el que una empresa usa una cuenta de Alibaba Cloud para crear una VPC de negocios y una VPC de seguridad en la región China (Ulanqab).

• La VPC de negocios aloja el sistema de aplicaciones y contiene una puerta de enlace IPv4 para enrutar el tráfico dirigido a internet hacia las NVA.

  En la VPC de negocios se crean un vSwitch para el servidor de aplicaciones y un vSwitch para el endpoint de GWLB. En el vSwitch del servidor de aplicaciones se crea una instancia de ECS que funciona como servidor de aplicaciones, y en dicha instancia se despliegan los servicios de aplicación. En el vSwitch del endpoint de GWLB se crea un endpoint de GWLB.

• La VPC de seguridad aloja las NVA.

  En la VPC de seguridad se crea una instancia de GWLB, y las NVA se agregan a su grupo de servidores de backend. También se crea un servicio de endpoint en la VPC de seguridad, y la instancia de GWLB se agrega como recurso de servicio.

Una vez conectados el endpoint de GWLB y el servicio de endpoint, el tráfico proveniente de internet puede enrutarse a las NVA para su inspección.

Limitaciones

• Debe haber como mínimo una NVA en ejecución.

• El security group de los servidores de backend debe permitir tráfico UDP en el puerto 6081.

• Al crear un servicio de endpoint, debe seleccionar una región y una zona de disponibilidad que admitan tanto PrivateLink como instancias de GWLB. Para obtener más información sobre las regiones compatibles con PrivateLink e instancias de GWLB, consulte Regions and availability zones that support PrivateLink y Regions and availability zones that support GWLB.

• Las zonas de disponibilidad del endpoint de GWLB deben ser un subconjunto de las zonas de disponibilidad del servicio de endpoint.

Requisitos previos

• Se han creado una VPC de negocios y una VPC de seguridad. En la zona de disponibilidad B de la VPC de negocios se crearon un vSwitch para el servidor de aplicaciones y un vSwitch para el endpoint de GWLB. En la zona de disponibilidad B de la VPC de seguridad se creó un vSwitch de GWLB. Para obtener más información, consulte Create a VPC and a vSwitch.

• Se ha creado una puerta de enlace IPv4, se ha activado y se ha asociado a la VPC de negocios. Para obtener más información, consulte Create and manage an IPv4 gateway.

• Se han creado tablas de rutas para la puerta de enlace IPv4, el vSwitch del servidor de aplicaciones y el vSwitch del endpoint de GWLB. Para obtener más información, consulte Create and manage a route table.

• Se ha creado una instancia de ECS para el servidor de aplicaciones en la VPC de negocios, y se han desplegado servicios de aplicación en dicha instancia. Si la instancia de ECS necesita comunicarse con internet, debe asignarle una dirección IP pública. En la zona de disponibilidad B de la VPC de seguridad se han creado las instancias de ECS denominadas ECS01 y ECS02, y en cada una se han desplegado imágenes de NVA. Asegúrese de que sus instancias ECS01 y ECS02 admitan tramas jumbo. La encapsulación Geneve agrega 68 bytes al paquete original, lo que puede provocar que el tamaño del paquete supere los 1500 bytes. Para obtener más información, consulte Maximum transmission unit (MTU).

  • Para obtener información sobre los tipos de instancia que admiten tramas jumbo, consulte Instance families that support jumbo frames.

  • Para obtener más información sobre cómo crear una instancia de ECS, consulte Create an instance by using the wizard.

  • Para obtener más información sobre cómo desplegar una imagen de NVA, consulte Create a custom image from an instance.

• Se han creado security groups para la instancia de ECS del servidor de aplicaciones, ECS01 y ECS02. Puede configurar reglas de security group según sus requisitos de negocio y seguridad. Para obtener más información, consulte Create a security group.

Procedimiento

Paso 1: Crear una instancia de GWLB

Una instancia es una entidad de servicio de balanceo de carga. Primero debe crear una instancia de GWLB.

1. Inicie sesión en la consola de Gateway Load Balancer.

2. En la barra de navegación superior, seleccione la región donde desea crear la instancia de GWLB.

3. En la página Instances, haga clic en Create GWLB.

4. En la página de compra de Gateway Load Balancer, configure los siguientes parámetros.

   Esta sección describe únicamente los parámetros relevantes. Utilice los valores predeterminados para el resto de los parámetros. Para obtener más información sobre los parámetros, consulte Create and manage GWLB instances.

   Parámetro	Descripción
   Instance name	Introduzca un nombre para la instancia.
   VPC	Seleccione la VPC de seguridad a la que pertenece la instancia.
   Region and zone	Seleccione la región a la que pertenece la instancia. En este ejemplo, se selecciona China (Ulanqab).
   Zone	Seleccione como mínimo una zona de disponibilidad. En este ejemplo, se seleccionan Ulanqab Zone B y el vSwitch de GWLB correspondiente a esta zona.
   IP version	Seleccione la versión de IP de la instancia. En este ejemplo, se selecciona IPv4.
   Service-Linked Role	Cuando cree una instancia de GWLB por primera vez, haga clic en Create Service-Linked Role para crear un rol vinculado al servicio denominado AliyunServiceRoleForGwlb. Nota Este parámetro solo aparece cuando se crea una instancia de GWLB por primera vez.

5. Haga clic en Buy Now y siga las instrucciones en pantalla para completar el pago.

6. Regrese a la página Instances y seleccione la región para ver la nueva instancia.

Paso 2: Crear un grupo de servidores de backend

Debe crear un grupo de servidores y agregar servidores de backend para aceptar las solicitudes de clientes que reenvía GWLB.

1. En el panel de navegación izquierdo, elija GWLB > Server Group.

2. En la página Server Group, haga clic en Create Server Group.

3. En el cuadro de diálogo Create Server Group, configure los parámetros del grupo de servidores y haga clic en Create.

   Esta sección describe únicamente los parámetros relevantes. Para obtener más información, consulte Create and manage a server group.

   Parámetro	Descripción
   Server Group Type	Seleccione un tipo de grupo de servidores. En este ejemplo, se selecciona Server.
   Server Group Name	Introduzca un nombre para el grupo de servidores.
   VPC	En la lista desplegable de VPC, seleccione la VPC de seguridad donde se despliegan las instancias de ECS. Nota Asegúrese de que la VPC seleccionada sea la misma que eligió al crear la instancia de GWLB.
   Scheduling Algorithm	Seleccione un algoritmo de programación. En este ejemplo, se selecciona 5-tuple Hashing.
   Health Check Method	Seleccione un método de comprobación de estado o deshabilite las comprobaciones. En este ejemplo, se selecciona TCP.
   Health Check Port	Introduzca el puerto de comprobación de estado. En este ejemplo, se utiliza el puerto 80.

4. En el cuadro de diálogo The server group is created., haga clic en Add Backend Server.

5. En la pestaña Backend Servers, haga clic en Add Backend Server.

6. En el panel Add Backend Server, seleccione Server.

   En este ejemplo, el tipo de servidor se establece en ECS/ENI.

7. Seleccione las instancias ECS01 y ECS02 que creó y, a continuación, haga clic en OK.

   Nota

   • En este ejemplo, el tipo de servidor se establece en ECS/ENI.

   • Asegúrese de haber desplegado imágenes de NVA en los servidores de backend y de que estos puedan procesar tráfico Geneve.

Paso 3: Configurar un listener

Configure un listener para la instancia y asócielo con el grupo de servidores de backend para reenviar el tráfico de todos los puertos a los servidores de backend mediante el protocolo Geneve.

1. En el panel de navegación izquierdo, elija GWLB > Instances y, a continuación, haga clic en el ID de la instancia.

2. Haga clic en la pestaña Listeners y luego en Create IP Listener.

3. En la página de configuración Create IP Listener, seleccione un Server Group Type y, a continuación, seleccione el grupo de servidores que creó.

4. La lista de servidores agregados aparece en la página. Haga clic en OK.

Paso 4: Configurar un servicio de endpoint

Un proveedor de servicios necesita utilizar un servicio de endpoint para permitir que GWLB proporcione servicios externamente.

1. Inicie sesión en la consola de PrivateLink.

2. En la página Endpoint Service, haga clic en Create Endpoint Service.

3. En la página Create Endpoint Service, configure el servicio de endpoint con la siguiente información y, a continuación, haga clic en OK.

   Aquí solo se enumeran las configuraciones relevantes para este tema.

   Parámetro	Descripción
   Region	En este ejemplo, se selecciona China (Ulanqab).
   Service Resource Type	Tipo de recurso de servicio para el servicio de endpoint. En este ejemplo, se selecciona GWLB.
   Select Service Resource	Seleccione la zona de disponibilidad del recurso de servicio y el recurso de servicio dentro de esa zona. En este ejemplo, la zona de disponibilidad se establece en Ulanqab Zone B. El recurso de servicio para la Zona B es la instancia de GWLB creada en Step 1.
   IP Version	En este ejemplo, se selecciona IPv4.
   Automatically Accept Endpoint Connections	Seleccione si desea aceptar automáticamente las solicitudes de conexión de los endpoints. En este ejemplo, se selecciona Yes. Nota Si habilita esta función, el servicio de endpoint acepta automáticamente las solicitudes de conexión después de crear un endpoint.
   Service Payer	En este ejemplo, se selecciona Service Consumer.

Paso 5: Configurar un endpoint de GWLB

Como consumidor del servicio, cree un endpoint de GWLB para conectarse al servicio de endpoint.

1. Inicie sesión en la consola de PrivateLink.

2. En la página Endpoints, haga clic en la pestaña Interface Endpoint y, a continuación, en Create Endpoint.

3. En la página Create Endpoint, configure el endpoint con la siguiente información y, a continuación, haga clic en OK.

   Aquí solo se enumeran las configuraciones altamente relevantes para este tema.

   Parámetro	Descripción
   Region	En este ejemplo, se selecciona China (Ulanqab).
   Endpoint Name	Introduzca un nombre personalizado para el endpoint.
   Endpoint Type	Seleccione el tipo de endpoint. En este ejemplo, se selecciona GWLB Endpoint.
   Endpoint Service	En este ejemplo, primero haga clic en Select Service y, a continuación, seleccione el servicio de endpoint creado en Step 4.
   VPC	Seleccione la VPC a la que pertenece el endpoint. En este ejemplo, se selecciona el ID de la VPC de negocios.
   Zones and vSwitches	Seleccione la zona de disponibilidad correspondiente al servicio de endpoint y, a continuación, seleccione un vSwitch dentro de esa zona. El sistema crea automáticamente una interfaz de red elástica (ENI) de endpoint en el vSwitch. En este ejemplo, la zona de disponibilidad se establece en Ulanqab Zone B y se selecciona el ID del vSwitch del endpoint de GWLB en la Zona B.
   IP Version	En este ejemplo, se selecciona IPv4.

   Nota

   Asegúrese de que el estado de conexión del endpoint sea Connected.

Paso 6: Configurar rutas

Como consumidor del servicio, configure rutas para dirigir el tráfico al endpoint de GWLB.

1. Inicie sesión en la consola de VPC.

2. En el panel de navegación izquierdo, haga clic en Route Tables.

3. En la barra de navegación superior, seleccione la región donde se encuentran las tablas de rutas.

4. En la página Route Tables, haga clic en el ID de la tabla de rutas de destino.

   Nota

   Las tablas de rutas de destino incluyen la tabla de rutas de la puerta de enlace IPv4, la tabla de rutas del vSwitch del servidor de aplicaciones y la tabla de rutas del vSwitch del endpoint de GWLB. Configúrelas una por una.

5. En la página de detalles de la tabla de rutas, haga clic en la pestaña Route Entry List, luego en System Route y consulte las entradas de ruta del sistema.

   El sistema agrega automáticamente la siguiente ruta del sistema a una tabla de rutas personalizada:

   Una entrada de ruta con un bloque CIDR de destino que coincide con el bloque CIDR de un vSwitch en la VPC a la que pertenece la tabla de rutas. Esta ruta se utiliza para la comunicación entre recursos en la nube dentro del vSwitch.

6. Para modificar una entrada de ruta del sistema en la tabla de rutas de la puerta de enlace IPv4, busque la entrada de ruta del sistema de destino en la pestaña Route Entry List > System Route. En la columna Actions, haga clic en Modify. En el cuadro de diálogo Modify Route Entry, configure los siguientes parámetros y, a continuación, haga clic en OK. La entrada de ruta aparecerá entonces como una entrada de ruta personalizada.

   Parámetro	Descripción
   Destination CIDR Block	Bloque CIDR de destino para el reenvío de tráfico. El Destination CIDR Block no se puede modificar. En este ejemplo, el bloque CIDR de destino es 192.168.2.0/24.
   Name	Modifique el nombre de la entrada de ruta.
   Next Hop Type	Seleccione un tipo de siguiente salto. En este ejemplo, se selecciona Gateway Load Balancer endpoint.
   GWLB Endpoint	Seleccione el GWLB Endpoint creado en Step 5.

7. Para agregar una entrada de ruta personalizada al configurar las tablas de rutas del vSwitch del servidor de aplicaciones y del vSwitch del endpoint de GWLB, haga clic en Custom Route, introduzca el bloque CIDR de destino y el tipo de siguiente salto, y luego haga clic en OK.

   • Al configurar la tabla de rutas del vSwitch del servidor de aplicaciones, cree una entrada de ruta personalizada con el bloque CIDR de destino establecido en 0.0.0.0/0 y el tipo de siguiente salto establecido en Gateway Load Balancer endpoint.

   • Al configurar la tabla de rutas del vSwitch del endpoint de GWLB, cree una entrada de ruta personalizada con el bloque CIDR de destino establecido en 0.0.0.0/0 y el tipo de siguiente salto establecido en IPv4 Gateway.

Paso 7: Verificar la configuración

Probar la conectividad

Inicie sesión en la instancia de ECS del servidor de aplicaciones y ejecute el siguiente comando para probar su conectividad a internet:

ping www.aliyun.com

Un flujo continuo de respuestas indica que la prueba de conectividad fue exitosa.

El siguiente código proporciona un ejemplo de salida:

[xxx@xxx ~]# ping www.aliyun.com
PING www.aliyun.com.w.cdngslb.com (180.213.xxx.xxx) 56(84) bytes of data.
64 bytes from 180.213.xxx.xxx (180.213.xxx.xxx): icmp_seq=1 ttl=53 time=15.4 ms
64 bytes from 180.213.xxx.xxx (180.213.xxx.xxx): icmp_seq=2 ttl=53 time=13.5 ms
64 bytes from 180.213.xxx.xxx (180.213.xxx.xxx): icmp_seq=3 ttl=53 time=13.5 ms
64 bytes from 180.213.xxx.xxx (180.213.xxx.xxx): icmp_seq=4 ttl=53 time=13.5 ms
64 bytes from 180.213.xxx.xxx (180.213.xxx.xxx): icmp_seq=5 ttl=53 time=13.7 ms
64 bytes from 180.213.xxx.xxx (180.213.xxx.xxx): icmp_seq=6 ttl=53 time=13.5 ms

Probar la inspección de seguridad

Inicie sesión en ECS01 o ECS02 y ejecute el siguiente comando para capturar todos los paquetes en el puerto 6081:

tcpdump -i any port 6081

Si la salida del comando muestra datos de solicitud y respuesta de la instancia de ECS del servidor de aplicaciones, esto confirma que GWLB ha enrutado correctamente el tráfico a la NVA para su inspección de seguridad.

El siguiente código proporciona un ejemplo de salida:

[root@xxx ~]# tcpdump -i any port 6081
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes
15:15:49.578469 IP 10.0.10.16.57480 > xxx.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP 192.168.2.123.ssh > wan.adventz.com.43200: Flags [S.], seq 980244545, ack 540151794, win 29200, options [mss 1460], length 0
15:15:49.578482 IP xxx.57480 > 10.0.10.16.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP 192.168.2.123.ssh > wan.adventz.com.43200: Flags [S.], seq 980244545, ack 540151794, win 29200, options [mss 1460], length 0
15:15:49.610110 IP 10.0.10.16.55139 > xxx.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP 192.168.2.123 > 180.213.xxx.xxx: ICMP echo request, id 16612, seq 17, length 64
15:15:49.610116 IP xxx.55139 > 10.0.10.16.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP 192.168.2.123 > 180.213.xxx.xxx: ICMP echo request, id 16612, seq 17, length 64
15:15:49.625531 IP 10.0.10.16.55139 > iz0jl8dnd7ratzjksyin3z.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP 180.213.xxx.xxx > 192.168.2.123: ICMP echo reply, id 16612, seq 17, length 64
15:15:49.625535 IP xxx.55139 > 10.0.10.16.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP 180.213.xxx > 192.168.2.123: ICMP echo reply, id 16612, seq 17, length 64
15:15:49.797614 IP 10.0.10.16.60600 > iz0jl8dnd7ratzjksyin3z.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP ptr.default.58593 > 192.168.2.123.tproxy: Flags [S], seq 1189139317, win 65535, length 0
15:15:49.797625 IP xxx.60600 > 10.0.10.16.6081: Geneve, Flags [C], vni 0x0, options [32 bytes]: IP ptr.default.58593 > 192.168.2.123.tproxy: Flags [S], seq 1189139317, win 65535, length 0

Referencias

• Descripción general:

  What is Gateway Load Balancer?

• Operaciones en la consola:

  • Create and manage GWLB instances

  • Add and manage IP listeners

  • Create and manage server groups