GWLB mendistribusikan lalu lintas ke sekelompok perangkat virtual jaringan, seperti firewall, sistem pendeteksian intrusi (IDS), sistem pencerminan lalu lintas, dan sistem Deep Packet Inspection (DPI), sehingga menyediakan inspeksi dan perlindungan keamanan dengan ketersediaan tinggi. Penyedia layanan membuat layanan titik akhir dan menetapkan instans GWLB sebagai sumber daya layanan. Konsumen layanan kemudian membuat titik akhir GWLB (GWLBe) untuk membangun koneksi dengan layanan titik akhir tersebut.
Memisahkan layanan dari keamanan: Terapkan dan kelola jaringan layanan serta infrastruktur keamanan secara independen, lalu hubungkan keduanya secara privat menggunakan PrivateLink.
Inspeksi keamanan transparan: GWLB beroperasi sebagai gateway Lapisan 3. Alamat IP sumber dan tujuan lalu lintas tetap tidak berubah selama inspeksi keamanan, sehingga menghilangkan kebutuhan untuk memodifikasi konfigurasi klien atau layanan backend.
Menghilangkan single point of failure: Dengan GWLB, Anda dapat menerapkan perangkat keamanan dalam konfigurasi ketersediaan tinggi. Jika suatu perangkat gagal, lalu lintas akan secara otomatis diarahkan ke perangkat yang sehat, sehingga kegagalan perangkat tidak mengganggu layanan Anda.
Skalabilitas elastis: Anda dapat menambah atau menghapus perangkat virtual jaringan di belakang instans GWLB kapan saja sesuai volume lalu lintas, tanpa mengubah arsitektur jaringan VPC layanan Anda.
Cara kerja
Penyedia layanan menerapkan instans GWLB dan perangkat virtual jaringan backend di VPC keamanan. Kemudian, penyedia layanan membuat layanan titik akhir dan menetapkan instans GWLB sebagai sumber daya layanan untuk menyediakan inspeksi keamanan.
Konsumen layanan membuat GWLBe di VPC layanan. Setelah GWLBe terhubung ke layanan titik akhir, konsumen layanan mengonfigurasi rute untuk mengarahkan lalu lintas inbound dan outbound dari VPC ke perangkat virtual jaringan guna inspeksi keamanan.
Sistem membuat ENI titik akhir di vSwitch tempat GWLBe berada.
Semua lalu lintas yang masuk ke VPC layanan melalui gateway IPv4 pertama-tama diarahkan ke GWLBe berdasarkan rute di tabel rute gateway. Lalu lintas tersebut kemudian diteruskan melalui PrivateLink ke instans GWLB, yang mendistribusikannya ke perangkat virtual jaringan backend untuk inspeksi. Setelah inspeksi, lalu lintas dikembalikan ke GWLBe lalu ke server aplikasi di VPC layanan.
Traffic inbound IPv4 | Traffic outbound IPv4 |
1. Traffic IPv4 memasuki VPC layanan melalui gateway IPv4. 2. Tabel rute gateway mengarahkan traffic ke GWLBe. 3. GWLBe meneruskan traffic ke instans GWLB, yang kemudian meneruskan traffic ke perangkat keamanan. 4. Setelah inspeksi, perangkat keamanan mengembalikan traffic ke instans GWLB, yang kemudian meneruskannya ke GWLBe melalui PrivateLink. 5. Tabel rute vSwitch GWLBe kemudian mengirimkan traffic ke server layanan. | 1. Tabel rute vSwitch server layanan mengirimkan traffic ke GWLBe. 2. GWLBe mengirimkan traffic ke instans GWLB, yang kemudian meneruskan traffic ke perangkat keamanan. 3. Setelah inspeksi, perangkat keamanan mengembalikan traffic ke instans GWLB, yang kemudian meneruskannya ke GWLBe melalui PrivateLink. 4. Tabel rute vSwitch GWLBe kemudian mengirimkan traffic ke gateway IPv4. 5. Gateway IPv4 mengarahkan traffic ke internet. |
Prasyarat
VPC dan instans GWLB telah dibuat:
Instans GWLB telah dikonfigurasi dengan listener dan grup server backend.
Security group server backend (perangkat virtual jaringan) instans GWLB harus mengizinkan lalu lintas pada port UDP 6081 (port protokol Geneve), serta port dan protokol yang diperlukan untuk pemeriksaan kesehatan.
Pastikan bahwa tipe instans Instance ECS yang digunakan untuk perangkat virtual jaringan mendukung frame jumbo. Enkapsulasi Geneve menambahkan 68 byte ke paket data asli, yang dapat menyebabkan ukuran paket melebihi 1.500 byte.
Jika sumber daya layanan adalah GWLB, lihat Wilayah dan zona ketersediaan yang mendukung PrivateLink.
Mengakses perangkat virtual jaringan menggunakan PrivateLink
Penyedia layanan membuat layanan titik akhir. Konsumen layanan membuat GWLBe dan mengonfigurasi rute untuk mengarahkan lalu lintas dari VPC layanan ke perangkat virtual jaringan guna inspeksi keamanan.
Konsol
Penyedia: Membuat layanan titik akhir
Buka halaman Create endpoint service di konsol PrivateLink.
Region: Pilih wilayah tempat perangkat virtual jaringan diterapkan.
Service Resource Type: Pilih GWLB. Untuk ketersediaan tinggi, tambahkan Service Resource di beberapa zona ketersediaan.
Automatically Accept Endpoint Connections: Tentukan apakah permintaan koneksi akan diterima secara otomatis ketika konsumen layanan membuat GWLBe untuk mengakses perangkat virtual jaringan. Mengubah pengaturan ini setelah layanan titik akhir dibuat tidak memengaruhi koneksi yang sudah ada.
Yes: Ketika konsumen layanan membuat GWLBe untuk terhubung ke layanan, koneksi akan langsung terbentuk.
No: Penyedia layanan harus menyetujui permintaan koneksi secara manual.
IP Version: Hanya IPv4 yang didukung.
Service Payer: Pilih pihak yang membayar koneksi PrivateLink. Secara default, konsumen layanan adalah pihak yang membayar. Pengaturan ini tidak dapat diubah setelah dikonfirmasi.
Setelah membuat layanan titik akhir, Anda harus mengonfigurasi daftar putih layanan untuk mengizinkan pengguna lintas akun mengirim permintaan koneksi ke layanan titik akhir.
Di halaman detail layanan titik akhir, klik tab Service Whitelist. Lalu, klik Add to Whitelist untuk menentukan pengguna yang dapat mengakses layanan.
Masukkan
*: Semua pengguna dapat mengirim permintaan koneksi ke layanan titik akhir.Masukkan UID akun: Hanya pengguna yang ditentukan yang dapat mengirim permintaan koneksi ke layanan titik akhir.
Konsumen: Membuat GWLBe
Buka halaman Endpoints - Create endpoint.
Konfigurasi GWLBe:
Region: Pilih wilayah tempat Anda ingin membuat GWLBe. Wilayah ini harus sama dengan wilayah tempat layanan titik akhir berada.
Type: Pilih Other Endpoint Services dan verifikasi layanan titik akhir berdasarkan namanya. Setelah verifikasi berhasil, Anda dapat mengakses layanan tersebut.
Network Settings:
Zona ketersediaan harus dipilih dari zona tempat layanan titik akhir tersedia (yang harus sama dengan zona ketersediaan sumber daya layanan).
Anda dapat menentukan alamat IP dari vSwitch untuk antarmuka jaringan elastis di zona ketersediaan titik akhir. Jika Anda tidak menentukan alamat IP, sistem akan menetapkannya secara default. Anda tidak dapat menentukan alamat yang dicadangkan sistem vSwitch untuk antarmuka jaringan elastis.
IP Version: Hanya IPv4 yang didukung.
Mengonfigurasi rute
Konfigurasikan rute untuk VPC layanan tempat GWLBe diterapkan agar mengarahkan lalu lintas inbound dan outbound ke GWLBe. Lalu lintas tersebut kemudian diteruskan melalui PrivateLink ke perangkat virtual jaringan untuk inspeksi keamanan.
Konfigurasi tabel rute gateway
Buat gateway IPv4 dan asosiasikan tabel rute gateway dengannya.
Buka halaman Route Tables lalu klik ID tabel rute gateway target untuk membuka halaman detailnya.
Klik tab . Temukan rute sistem untuk blok CIDR vSwitch target lalu klik Actions di kolom Edit. Ubah lompatan berikutnya menjadi GWLBe. Setelah modifikasi, entri rute tersebut akan muncul di tab Custom Route.
Konfigurasi tabel rute vSwitch
Prosedur:
Buka halaman Route Tables lalu klik ID tabel rute vSwitch target untuk membuka halaman detailnya.
Klik tab . Klik Add Route Entry untuk mengonfigurasi blok CIDR tujuan dan lompatan berikutnya.
Konfigurasi rute:
Tabel rute
Destination CIDR
Next hop
Tabel rute vSwitch Instance ECS layanan
0.0.0.0/0GWLBe
Tabel rute vSwitch GWLBe
0.0.0.0/0IPv4 gateway
API
Penyedia layanan memanggil operasi CreateVpcEndpointService untuk membuat layanan titik akhir. Atur
ServiceResourceTypemenjadigwlb.Konsumen layanan memanggil operasi CreateVpcEndpoint untuk membuat GWLBe. Atur
EndpointTypemenjadiGatewayLoadBalancer.Panggil operasi UpdateGatewayRouteTableEntryAttribute untuk memodifikasi tipe dan ID lompatan berikutnya di tabel rute gateway. Atur
NextHopTypemenjadiGatewayLoadBalancerEndpointdanNextHopIdmenjadi ID GWLBe.Panggil operasi CreateRouteEntry untuk membuat entri rute kustom untuk tabel rute vSwitch.
Untuk tabel rute vSwitch Instance ECS layanan: atur
NextHopTypemenjadiGatewayLoadBalancerEndpointdanNextHopIdmenjadi ID GWLBe.Untuk tabel rute vSwitch GWLBe: atur
NextHopTypemenjadiIpv4GatewaydanNextHopIdmenjadi ID gateway IPv4.
Menjamin ketersediaan tinggi
Layanan titik akhir: Instans GWLB dan perangkat virtual jaringan backend-nya dapat diterapkan di beberapa zona ketersediaan. Jika perangkat virtual jaringan di satu zona ketersediaan gagal, lalu lintas akan secara otomatis didistribusikan ke perangkat yang sehat di zona ketersediaan lain. Hal ini menjamin ketersediaan tinggi layanan inspeksi keamanan.
Titik akhir: GWLBe mengarahkan lalu lintas berdasarkan lompatan berikutnya di tabel rute. Dalam penerapan multi-zona ketersediaan, konfigurasikan subnet layanan di setiap zona ketersediaan untuk menggunakan GWLBe di zona ketersediaan yang sama sebagai lompatan berikutnya. Di tabel rute gateway IPv4, setiap subnet layanan juga harus mengarah ke GWLBe di zona ketersediaan yang sesuai. Hal ini menjamin pengarahan lalu lintas yang tepat dan sadar zona.
Konsol
Penyedia: Sumber daya layanan multi-AZ
Saat membuat layanan titik akhir, pilih instans GWLB di beberapa zona ketersediaan sebagai sumber daya layanan.
Setelah layanan titik akhir dibuat, klik ID-nya. Di tab Basic Information, klik Add Service Resource, lalu pilih zona ketersediaan dan instans GWLB yang sesuai.
Konsumen: Membuat GWLBe per AZ
Buat GWLBe terpisah untuk setiap zona ketersediaan dan pilih vSwitch di dalam zona ketersediaan tersebut.
Buat tabel rute terpisah untuk vSwitch layanan di setiap zona ketersediaan, lalu arahkan rute
0.0.0.0/0ke GWLBe di zona ketersediaan yang sama. Di tabel rute gateway IPv4, arahkan setiap subnet layanan ke GWLBe di zona ketersediaan yang sesuai.
GWLBe mengarahkan lalu lintas berdasarkan lompatan berikutnya di tabel rute. Setiap zona ketersediaan memerlukan instans GWLBe terpisah. Anda tidak dapat menambahkan zona ketersediaan ke GWLBe yang sudah ada.
API
Layanan titik akhir: Panggil operasi AttachResourceToVpcEndpointService untuk menambahkan sumber daya layanan.
GWLBe:
Anda harus memanggil operasi CreateVpcEndpoint untuk setiap zona ketersediaan guna membuat GWLBe terpisah.
Panggil operasi UpdateGatewayRouteTableEntryAttribute untuk memodifikasi tipe dan ID lompatan berikutnya di tabel rute gateway.
Panggil operasi CreateRouteEntry untuk membuat entri rute kustom untuk tabel rute vSwitch.
Mengelola sumber daya layanan
Setelah layanan titik akhir dibuat, Anda dapat menambah atau menghapus sumber daya layanan (instans GWLB) untuk menskalakan ketersediaan layanan inspeksi keamanan Anda di berbagai zona ketersediaan sesuai kebutuhan.
Konsol
Menambahkan sumber daya layanan
Buka halaman daftar Endpoint Services lalu klik ID layanan titik akhir target untuk membuka halaman detailnya.
Di tab Basic Information, pada bagian Service Resource, klik Add Service Resource. Pilih zona ketersediaan dan instans GWLB yang sesuai.
Menghapus sumber daya layanan
Di tab Basic Information layanan titik akhir target, pada bagian Service Resource, temukan sumber daya layanan target lalu klik Actions di kolom Delete. Tindakan ini menghapus sumber daya dari layanan titik akhir tetapi tidak menghapus instans sumber daya itu sendiri.
Jika sumber daya layanan dikaitkan dengan zona ketersediaan titik akhir, Anda tidak dapat langsung menghapusnya. Anda harus memutus koneksi titik akhir terlebih dahulu.
API
Panggil operasi AttachResourceToVpcEndpointService untuk menambahkan sumber daya layanan ke layanan titik akhir.
Panggil operasi DetachResourceFromVpcEndpointService untuk menghapus sumber daya layanan dari layanan titik akhir.
Berhenti mengakses perangkat virtual jaringan
Jika Anda tidak lagi perlu mengarahkan lalu lintas ke perangkat virtual jaringan melalui GWLBe, Anda harus melepaskan sumber daya dalam urutan berikut untuk mencegah black hole routing yang dapat mengganggu layanan Anda.
Konsol
Kembalikan konfigurasi rute: Buka halaman Route Tables lalu hapus entri rute kustom di tabel rute gateway dan vSwitch yang mengarah ke GWLBe atau gateway IPv4.
Hapus GWLBe: Buka halaman daftar Endpoints, temukan GWLBe target, lalu klik Actions di kolom Delete.
Hapus layanan titik akhir: Buka halaman daftar Endpoint Services, temukan layanan titik akhir target, lalu klik Actions di kolom Delete.
API
Panggil operasi DeleteRouteEntry untuk menghapus entri rute kustom.
Panggil operasi DeleteVpcEndpoint untuk menghapus GWLBe.
Panggil operasi DeleteVpcEndpointService untuk menghapus layanan titik akhir.
Informasi lebih lanjut
Mengonfigurasi perangkat virtual jaringan
GWLB beroperasi secara transparan pada Lapisan 3 Model OSI. Perangkat virtual jaringan backend harus mampu menangani lalu lintas layanan yang dienkapsulasi dengan protokol Geneve.
GWLB Alibaba Cloud mendukung integrasi dengan berbagai perangkat virtual jaringan pihak ketiga, seperti produk dari Fortinet. Untuk langkah-langkah konfigurasi spesifik, merujuklah pada dokumentasi yang disediakan oleh vendor perangkat.
Konfigurasi referensi untuk menggunakan iptables guna mensimulasikan perangkat virtual jaringan.
Rekomendasi penerapan
Saat menerapkan instans GWLB, kami merekomendasikan agar Anda mengaktifkan fitur-fitur berikut:
Pemeriksaan kesehatan GWLB: Mendeteksi ketersediaan perangkat virtual jaringan backend secara otomatis. Jika suatu perangkat tidak sehat, permintaan akan secara otomatis diarahkan ke perangkat yang sehat.
Connection draining: Menangani koneksi yang sedang berlangsung secara mulus saat perangkat virtual jaringan backend dihapus.
Flow rebalancing: Mengalihkan ulang aliran lalu lintas yang sedang berlangsung ke perangkat backend yang sehat saat perangkat virtual jaringan backend gagal atau dihapus.