GWLB répartit le trafic vers un groupe d'appliances réseau virtuelles, telles que des pare-feu, des systèmes de détection d'intrusion (IDS), des systèmes de mise en miroir du trafic et des systèmes d'inspection approfondie des paquets (DPI). Cette approche offre une inspection et une protection de sécurité avec une haute disponibilité. Un fournisseur de services crée un service de point de terminaison et spécifie une instance GWLB comme ressource de service. Un consommateur de services crée ensuite un point de terminaison GWLB (GWLBe) pour établir une connexion avec le service de point de terminaison.
Découpler les services de la sécurité : Déployez et gérez votre infrastructure de service réseau et de sécurité de manière indépendante, et connectez-les en privé à l'aide de PrivateLink.
Inspection de sécurité transparente : GWLB fonctionne comme une passerelle de couche 3. Les adresses IP source et destination du trafic restent inchangées lors de l'inspection de sécurité. Cela élimine la nécessité de modifier les configurations des clients ou des services backend.
Éliminer les points de défaillance uniques : Avec GWLB, vous pouvez déployer des appliances de sécurité dans une configuration haute disponibilité. Si une appliance tombe en panne, le trafic est automatiquement acheminé vers une appliance saine, empêchant ainsi les pannes d'appliance de perturber votre service.
Mise à l'échelle élastique : Ajoutez ou supprimez des appliances réseau virtuelles derrière une instance GWLB à tout moment pour adapter le volume de trafic, sans modifier l'architecture réseau de votre VPC de service.
Fonctionnement
Un fournisseur de services déploie une instance GWLB et des appliances réseau virtuelles backend dans un VPC de sécurité. Ensuite, le fournisseur de services crée un service de point de terminaison et spécifie l'instance GWLB comme ressource de service pour fournir une inspection de sécurité.
-
Un consommateur de services crée un GWLBe dans un VPC de service. Une fois le GWLBe connecté au service de point de terminaison, le consommateur de services configure les routes pour diriger le trafic entrant et sortant du VPC vers les appliances réseau virtuelles pour inspection de sécurité.
Le système crée une ENI de point de terminaison dans le vSwitch où se trouve le GWLBe.
Tout le trafic qui entre dans le VPC de service via une passerelle IPv4 est d'abord dirigé vers le GWLBe en fonction des routes de la table de routage de la passerelle. Le trafic est ensuite transféré via PrivateLink vers l'instance GWLB, qui distribue le trafic aux appliances réseau virtuelles backend pour inspection. Après l'inspection, le trafic est renvoyé vers le GWLBe, puis vers les serveurs d'application dans le VPC de service.
Trafic entrant IPv4 | Trafic sortant IPv4 |
1. Le trafic IPv4 entre dans le VPC de service via une passerelle IPv4. 2. La table de routage de la passerelle dirige le trafic vers le GWLBe. 3. Le GWLBe transfère le trafic vers l'instance GWLB, qui le transmet ensuite à une appliance de sécurité. 4. Après l'inspection, l'appliance de sécurité renvoie le trafic à l'instance GWLB, qui le transfère ensuite au GWLBe via PrivateLink. 5. La table de routage du vSwitch du GWLBe envoie ensuite le trafic aux serveurs de service. | 1. La table de routage du vSwitch du serveur de service envoie le trafic au GWLBe. 2. Le GWLBe envoie le trafic à l'instance GWLB, qui le transmet ensuite à une appliance de sécurité. 3. Après l'inspection, l'appliance de sécurité renvoie le trafic à l'instance GWLB, qui le transfère ensuite au GWLBe via PrivateLink. 4. La table de routage du vSwitch du GWLBe envoie ensuite le trafic à la passerelle IPv4. 5. La passerelle IPv4 achemine le trafic vers Internet. |
Prérequis
-
Un VPC et une instance GWLB sont créés :
L'instance GWLB dispose d'un écouteur et d'un groupe de serveurs backend configurés.
Le groupe de sécurité des serveurs backend (appliances réseau virtuelles) de l'instance GWLB doit autoriser le trafic sur le port UDP 6081 (port du protocole Geneve), ainsi que sur les ports et protocoles requis pour les contrôles d'état.
Assurez-vous que le type d'instance des instances ECS utilisées pour les appliances réseau virtuelles prend en charge les trames Jumbo. L'encapsulation Geneve ajoute 68 octets au paquet de données d'origine, ce qui peut entraîner une taille de paquet supérieure à 1 500 octets.
Lorsque la ressource de service est une GWLB, consultez les régions et zones de disponibilité qui prennent en charge PrivateLink.
Accéder aux appliances réseau virtuelles à l'aide de PrivateLink
Le fournisseur de services crée un service de point de terminaison. Le consommateur de services crée un GWLBe et configure les routes pour diriger le trafic du VPC de service vers les appliances réseau virtuelles pour inspection de sécurité.
Console
Fournisseur : Créer un service de point de terminaison
-
Accédez à la page Créer un service de point de terminaison dans la console PrivateLink.
Region : Sélectionnez la région où les appliances réseau virtuelles sont déployées.
Service Resource Type : Sélectionnez GWLB. Pour une haute disponibilité, ajoutez des Service Resource dans plusieurs zones de disponibilité.
-
Automatically Accept Endpoint Connections : Spécifiez si vous souhaitez accepter automatiquement les demandes de connexion lorsqu'un consommateur de services crée un GWLBe pour accéder aux appliances réseau virtuelles. La modification de ce paramètre après la création du service de point de terminaison n'affecte pas les connexions existantes.
Yes : Lorsqu'un consommateur de services crée un GWLBe pour se connecter au service, la connexion est automatiquement établie.
No : Le fournisseur de services doit approuver manuellement les demandes de connexion.
IP Version : Seule l'IPv4 est prise en charge.
Service Payer : Sélectionnez la partie qui paie pour la connexion PrivateLink. Par défaut, le consommateur de services est le payeur. Ce paramètre ne peut pas être modifié après confirmation.
-
Après avoir créé un service de point de terminaison, configurez une liste d'autorisation de service pour permettre aux utilisateurs inter-comptes d'initier des demandes de connexion au service de point de terminaison.
Sur la page des détails du service de point de terminaison, cliquez sur l'onglet Service Whitelist. Cliquez ensuite sur Add to Whitelist pour spécifier les utilisateurs autorisés à accéder au service.
Saisissez
*: Tous les utilisateurs peuvent envoyer des demandes de connexion au service de point de terminaison.Saisissez les UID de compte : Seuls les utilisateurs spécifiés peuvent envoyer des demandes de connexion au service de point de terminaison.
Consommateur : Créer un GWLBe
Accédez à la page Endpoints - Create endpoint.
-
Configurez le GWLBe :
Region : Sélectionnez la région où vous souhaitez créer le GWLBe. Il doit s'agir de la même région que celle où se trouve le service de point de terminaison.
Type : Sélectionnez Other Endpoint Services et vérifiez le service de point de terminaison par son nom. Après une vérification réussie, vous pouvez accéder au service.
-
Network Settings :
La zone de disponibilité doit être sélectionnée parmi celles où le service de point de terminaison est disponible (qui doivent être les mêmes que les zones de disponibilité des ressources de service).
Vous pouvez spécifier une adresse IP du vSwitch pour l'interface réseau élastique dans la zone de disponibilité du point de terminaison. Si vous ne spécifiez pas d'adresse IP, le système en attribue une par défaut. Vous ne pouvez pas spécifier une adresse réservée par le système du vSwitch pour l'interface réseau élastique.
IP Version : Seule l'IPv4 est prise en charge.
Configurer les routes
Configurez les routes pour le VPC de service où le GWLBe est déployé afin de diriger le trafic entrant et sortant vers le GWLBe. Le trafic est ensuite transféré via PrivateLink vers les appliances réseau virtuelles pour inspection de sécurité.
Configurer une table de routage de passerelle
Créez une passerelle IPv4 et associez-y une table de routage de passerelle.
Accédez à la page Route Tables et cliquez sur l'ID de la table de routage de passerelle cible pour accéder à sa page de détails.
Cliquez sur l'onglet . Recherchez la route système pour le bloc CIDR du vSwitch cible et cliquez sur Actions dans la colonne Edit. Modifiez le prochain saut pour le GWLBe. Après la modification, l'entrée de route apparaît dans l'onglet Custom Route.
Configurer les tables de routage des vSwitch
-
Procédure :
Accédez à la page Route Tables et cliquez sur l'ID de la table de routage du vSwitch cible pour accéder à sa page de détails.
Cliquez sur l'onglet . Cliquez sur Add Route Entry pour configurer le bloc CIDR de destination et le prochain saut.
-
Configuration des routes :
Table de routage
CIDR de destination
Prochain saut
La table de routage du vSwitch de l'instance ECS de service
0.0.0.0/0GWLBe
La table de routage du vSwitch du GWLBe
0.0.0.0/0Passerelle IPv4
API
Le fournisseur de services appelle l'opération CreateVpcEndpointService pour créer un service de point de terminaison. Définissez
ServiceResourceTypesurgwlb.Le consommateur de services appelle l'opération CreateVpcEndpoint pour créer un GWLBe. Définissez
EndpointTypesurGatewayLoadBalancer.Appelez l'opération UpdateGatewayRouteTableEntryAttribute pour modifier le type et l'ID du prochain saut dans la table de routage de la passerelle. Définissez
NextHopTypesurGatewayLoadBalancerEndpointetNextHopIdsur l'ID du GWLBe.-
Appelez l'opération CreateRouteEntry pour créer une entrée de route personnalisée pour une table de routage de vSwitch.
Pour la table de routage du vSwitch de l'instance ECS de service : définissez
NextHopTypesurGatewayLoadBalancerEndpointetNextHopIdsur l'ID du GWLBe.Pour la table de routage du vSwitch du GWLBe : définissez
NextHopTypesurIpv4GatewayetNextHopIdsur l'ID de la passerelle IPv4.
Garantir une haute disponibilité
Service de point de terminaison : L'instance GWLB et ses appliances réseau virtuelles backend peuvent être déployées dans plusieurs zones de disponibilité. Si les appliances réseau virtuelles d'une zone de disponibilité tombent en panne, le trafic est automatiquement distribué vers des appliances saines dans d'autres zones de disponibilité. Cela garantit la haute disponibilité du service d'inspection de sécurité.
Point de terminaison : Un GWLBe dirige le trafic en fonction du prochain saut dans une table de routage. Dans un déploiement multi-zones de disponibilité, configurez le sous-réseau de service dans chaque zone de disponibilité pour utiliser le GWLBe de la même zone de disponibilité comme prochain saut. Dans la table de routage de la passerelle IPv4, chaque sous-réseau de service doit également pointer vers le GWLBe de la zone de disponibilité correspondante. Cela garantit un acheminement précis du trafic tenant compte des zones.
Console
Fournisseur : Ressources de service multi-AZ
Lors de la création du service de point de terminaison, sélectionnez des instances GWLB dans plusieurs zones de disponibilité comme ressources de service.
Une fois le service de point de terminaison créé, cliquez sur son ID. Dans l'onglet Basic Information, cliquez sur Add Service Resource, puis sélectionnez une zone de disponibilité et l'instance GWLB correspondante.
Consommateur : Créer un GWLBe par AZ
Créez un GWLBe distinct pour chaque zone de disponibilité et sélectionnez un vSwitch au sein de cette zone de disponibilité.
Créez une table de routage distincte pour le vSwitch de service dans chaque zone de disponibilité, et dirigez la route
0.0.0.0/0vers le GWLBe de la même zone de disponibilité. Dans la table de routage de la passerelle IPv4, dirigez chaque sous-réseau de service vers le GWLBe de sa zone de disponibilité correspondante.
Un GWLBe dirige le trafic en fonction du prochain saut dans une table de routage. Chaque zone de disponibilité nécessite une instance GWLBe distincte. Vous ne pouvez pas ajouter une zone de disponibilité à un GWLBe existant.
API
Service de point de terminaison : Appelez l'opération AttachResourceToVpcEndpointService pour ajouter une ressource de service.
-
GWLBe :
Vous devez appeler l'opération CreateVpcEndpoint pour chaque zone de disponibilité afin de créer un GWLBe distinct.
Appelez l'opération UpdateGatewayRouteTableEntryAttribute pour modifier le type et l'ID du prochain saut dans la table de routage de la passerelle.
Appelez l'opération CreateRouteEntry pour créer une entrée de route personnalisée pour une table de routage de vSwitch.
Gérer les ressources de service
Une fois un service de point de terminaison créé, vous pouvez ajouter ou supprimer des ressources de service (instances GWLB) pour adapter la disponibilité de votre service d'inspection de sécurité entre les zones de disponibilité selon vos besoins.
Console
Ajouter une ressource de service
Accédez à la page de liste Endpoint Services et cliquez sur l'ID du service de point de terminaison cible pour accéder à sa page de détails.
Dans l'onglet Basic Information, dans la section Service Resource, cliquez sur Add Service Resource. Sélectionnez une zone de disponibilité et l'instance GWLB correspondante.
Supprimer une ressource de service
Dans l'onglet Basic Information du service de point de terminaison cible, dans la section Service Resource, recherchez la ressource de service cible et cliquez sur Actions dans la colonne Delete. Cette action supprime la ressource du service de point de terminaison, mais ne supprime pas l'instance de ressource elle-même.
Si une ressource de service est associée à une zone de disponibilité de point de terminaison, vous ne pouvez pas la supprimer directement. Vous devez d'abord déconnecter la connexion de point de terminaison.
API
Appelez l'opération AttachResourceToVpcEndpointService pour ajouter une ressource de service à un service de point de terminaison.
Appelez l'opération DetachResourceFromVpcEndpointService pour supprimer une ressource de service d'un service de point de terminaison.
Arrêter l'accès aux appliances réseau virtuelles
Si vous n'avez plus besoin de diriger le trafic vers les appliances réseau virtuelles via un GWLBe, libérez les ressources dans l'ordre suivant pour éviter les trous noirs de routage qui pourraient interrompre vos services.
Console
Rétablissez les configurations de route : Accédez à la page Route Tables et supprimez les entrées de route personnalisées dans les tables de routage de la passerelle et du vSwitch qui pointent vers le GWLBe ou la passerelle IPv4.
Supprimez le GWLBe : Accédez à la page de liste Endpoints, recherchez le GWLBe cible et cliquez sur Actions dans la colonne Delete.
Supprimez le service de point de terminaison : Accédez à la page de liste Endpoint Services, recherchez le service de point de terminaison cible et cliquez sur Actions dans la colonne Delete.
API
Appelez l'opération DeleteRouteEntry pour supprimer les entrées de route personnalisées.
Appelez l'opération DeleteVpcEndpoint pour supprimer le GWLBe.
Appelez l'opération DeleteVpcEndpointService pour supprimer le service de point de terminaison.
Informations complémentaires
Configurer les appliances réseau virtuelles
GWLB fonctionne de manière transparente au niveau de la couche 3 du modèle OSI. L'appliance réseau virtuelle backend doit être capable de gérer le trafic de service encapsulé avec le protocole Geneve.
Alibaba Cloud GWLB prend en charge l'intégration avec diverses appliances réseau virtuelles tierces, telles que celles de Fortinet. Pour les étapes de configuration spécifiques, reportez-vous à la documentation fournie par le fournisseur de l'appliance.
Configuration de référence pour utiliser iptables afin de simuler une appliance réseau virtuelle.
Recommandations de déploiement
Lors du déploiement d'une instance GWLB, nous vous recommandons d'activer les fonctionnalités suivantes :
Contrôle d'état GWLB : Détecte automatiquement la disponibilité des appliances réseau virtuelles backend. Si une appliance devient indisponible, les requêtes sont automatiquement acheminées vers des appliances saines.
Drainage de connexion : Gère en douceur les connexions existantes lorsqu'une appliance réseau virtuelle backend est supprimée.
Rééquilibrage du flux : Réachemine les flux de trafic existants vers des appliances backend saines lorsqu'une appliance réseau virtuelle backend tombe en panne ou est supprimée.