Server Load Balancer:FAQ sur NLB

NLB propose-t-il des types d'instance spécifiques ?

Non. NLB ne propose pas de types d'instance spécifiques. Lors de la création d'instances, vous n'avez pas besoin de spécifier un type d'instance.

NLB prend en charge la mise à l'échelle automatique. Chaque instance NLB prend en charge jusqu'à 100 millions de connexions simultanées et une bande passante de 100 Gbit/s. NLB offre des performances d'équilibrage de charge de couche 4 supérieures à celles de Classic Load Balancer (CLB). Nous vous recommandons d'utiliser NLB. Pour plus d'informations sur les différences entre NLB et CLB, consultez la section Fonctions et fonctionnalités.

Pourquoi la règle entrante configurée pour le groupe de sécurité de mon instance NLB ne prend-elle pas effet ?

Si une instance NLB est ajoutée à un groupe de sécurité qui ne contient aucune règle de refus (Deny), le port d'écoute de l'instance NLB autorise toutes les requêtes. Pour autoriser les requêtes uniquement depuis des adresses IP spécifiques vers votre instance NLB, ajoutez une règle de refus (Deny) au groupe de sécurité de votre instance NLB. Assurez-vous que la règle de refus possède une priorité inférieure à celle des règles d'autorisation (Allow).

Pour plus d'informations sur la gestion des groupes de sécurité, consultez les rubriques suivantes :

• Ajouter une instance NLB à un groupe de sécurité

• Pour savoir comment bloquer ou autoriser les requêtes provenant d'adresses IP spécifiques, consultez la section Utiliser des groupes de sécurité comme listes noires ou listes blanches.

• Pour en savoir plus sur l'activation du contrôle d'accès pour les instances NLB en fonction des protocoles et des ports, consultez la section Configurer des groupes de sécurité pour les instances NLB

Pourquoi l'adresse IP virtuelle (VIP) de mon instance NLB ne parvient-elle pas à transférer les requêtes ?

Effectuez les opérations suivantes pour résoudre les erreurs :

• Vérifiez si l'option Cross-Zone Distribution est désactivée. Lorsque vous activez l'option Cross-Zone Distribution, les requêtes destinées à l'instance NLB peuvent être transférées vers les serveurs backend situés dans d'autres zones. Si vous désactivez l'option Cross-Zone Distribution et qu'aucun serveur backend n'est déployé dans la zone de l'instance NLB, la VIP de la zone ne peut pas être utilisée pour transférer les requêtes destinées à l'instance NLB.

• Vérifiez si la zone a été supprimée de l'enregistrement DNS. Si la zone est supprimée de l'enregistrement DNS, la VIP de la zone est retirée de l'enregistrement A de l'instance NLB. La VIP n'est plus résolue vers le nom de domaine de l'instance NLB. Par conséquent, la VIP de la zone ne peut pas être utilisée pour transférer les requêtes destinées au nom de domaine de l'instance NLB.

• Vérifiez si une liste de contrôle d'accès réseau (ACL) est activée pour l'instance NLB et si le bloc CIDR 100.64.0.0/10 ne figure pas dans la liste d'autorisation. Si vous configurez une ACL pour le vSwitch de la VIP sans ajouter le bloc CIDR 100.64.0.0/10 à la liste d'autorisation, la VIP échoue aux tests de santé, car 100.64.0.0/10 est utilisé pour les tests de santé des zones. En conséquence, la VIP de la zone est supprimée de l'enregistrement A de l'instance NLB et ne peut pas être utilisée pour transférer les requêtes destinées au nom de domaine de l'instance NLB.

Comment configurer mon instance NLB pour permettre à une instance ECS du groupe de serveurs de fonctionner à la fois comme serveur backend et comme client ?

Désactivez l'option Client IP Preservation pour le groupe de serveurs associé à votre instance NLB. Ainsi, une instance Elastic Compute Service (ECS) du groupe de serveurs peut fonctionner à la fois comme serveur backend traitant les requêtes et comme client accédant à votre instance NLB. Si vous souhaitez tout de même récupérer les adresses IP des clients dans ce cas de figure, activez le protocole Proxy pour l'écouteur associé. Pour plus de détails, consultez les références suivantes :

• Pour savoir comment désactiver la conservation de l'adresse IP du client, consultez la section Modifier les informations de base.

• Pour savoir comment activer le protocole Proxy pour un écouteur TCP, consultez la section Ajouter un écouteur TCP.

• Pour savoir comment activer le protocole Proxy pour un écouteur UDP, consultez la section Ajouter un écouteur UDP.

Une adresse EIP sous abonnement peut-elle être associée à une instance NLB ?

Non, ce n'est pas possible.

Les adresses IP élastiques (EIP) pouvant être associées aux instances NLB doivent répondre aux exigences suivantes :

• Méthode de facturation : paiement à l'utilisation

• Méthode de mesure Internet : paiement par transfert de données

• Association avec des instances Internet Shared Bandwidth : non

Pourquoi ne puis-je pas ajouter une route hôte pour l'adresse IP locale d'une instance NLB ?

NLB attribue une adresse IP locale à partir du bloc CIDR du vSwitch correspondant dans chaque zone. Par exemple, dans la zone H, l'adresse IP locale 10.0.0.86 appartient au bloc CIDR 10.0.0.0/24 du vSwitch, et dans la zone I, l'adresse IP locale 10.0.1.16 appartient au bloc CIDR 10.0.1.0/24 du vSwitch. La table de routage VPC inclut automatiquement des routes locales système couvrant chaque bloc CIDR de vSwitch (par exemple, 10.0.0.0/24→local et 10.0.1.0/24→local). Ces routes système garantissent déjà l'accessibilité des adresses IP locales NLB.

Si vous tentez d'ajouter une route hôte /32 pour une adresse IP locale (par exemple, 10.0.0.86/32) en appelant CreateRouteEntry, le système renvoie une erreur InvalidCidrBlock. Il s'agit d'une restriction de conception VPC qui vous empêche d'ajouter des routes pour des adresses IP déjà incluses dans un bloc CIDR de route locale existant.

Vous n'avez pas besoin de configurer manuellement des routes pour les adresses IP locales NLB. Les routes locales système de la table de routage VPC garantissent déjà l'accessibilité du trafic pour les instances NLB dans chaque zone.

Puis-je désactiver le Ping pour la VIP d'une instance NLB ?

Oui. NLB vous permet de gérer le trafic entrant à l'aide de groupes de sécurité. Pour désactiver le Ping, ajoutez une règle entrante au groupe de sécurité associé à l'instance qui refuse tout le trafic ICMP.

Le nom de domaine par défaut d'une instance NLB prend-il en charge l'accès direct ?

Le nom DNS attribué à une instance NLB ne peut pas être accédé directement. Vous devez pointer votre nom de domaine personnalisé vers le nom DNS de l'instance NLB en ajoutant un enregistrement CNAME chez votre fournisseur DNS, puis utiliser le nom de domaine personnalisé pour accéder à l'instance NLB.

Comment interroger les adresses IP liées à une instance NLB ?

1. Connectez-vous à la console NLB. Dans le volet de navigation de gauche, choisissez Instances.

2. Sur la page Instances, cliquez sur l'ID de l'instance NLB cible.

3. Sur la page des détails de l'instance, dans la section Zone, vous pouvez consulter la VIP (adresse IP de service privée). Si l'instance NLB est orientée Internet, vous pouvez également consulter l'EIP.

Pourquoi obtiens-je une erreur de connexion refusée lorsque j'accède à un service via une instance NLB ?

Lorsque vous accédez à un service via une instance NLB, si curl renvoie une erreur Connection refused, cela est généralement dû au fait que le port backend configuré pour le groupe de serveurs diffère du port sur lequel le service backend écoute réellement. Par conséquent, NLB ne peut pas transférer le trafic vers le backend.

Pour résoudre ce problème, effectuez les vérifications suivantes :

1. Vérifiez la cohérence des ports : dans la console NLB, vérifiez le port backend configuré pour le groupe de serveurs. Connectez-vous au serveur backend et exécutez ss -tlnp pour vérifier le port sur lequel le service backend écoute réellement. Les deux ports doivent être identiques.

2. Vérifiez les groupes de sécurité : assurez-vous que le groupe de sécurité de l'instance NLB et le groupe de sécurité de l'instance ECS backend autorisent tous deux le trafic entrant sur le port d'écoute.

3. Vérifiez l'état de santé : dans la console NLB, vérifiez l'état de santé de l'écouteur pour confirmer que le serveur backend est sain.

Quelles sont les différences entre l'utilisation d'une VIP et l'utilisation d'un CNAME pour se connecter à une instance NLB interne ?

Dans les scénarios d'accès au réseau privé, par exemple lorsqu'une instance Elastic Compute Service (ECS) située dans le même cloud privé virtuel (VPC) accède à l'instance NLB, nous vous recommandons d'utiliser PrivateZone pour résoudre un nom de domaine privé personnalisé vers le nom DNS de l'instance NLB. Ainsi, les ressources du VPC peuvent accéder à l'instance NLB en utilisant le nom de domaine personnalisé.

Le nom DNS d'une instance NLB orientée Internet peut-il être utilisé pour un accès interne ?

Non, ce n'est pas possible. Le nom DNS d'une instance NLB orientée Internet résout vers l'adresse IP élastique (EIP) de l'instance et ne peut pas être utilisé pour l'accès via des réseaux privés. Nous vous recommandons d'utiliser une instance NLB interne et d'y accéder via sa VIP, ou de résoudre un nom de domaine privé personnalisé vers le nom DNS de l'instance.