GWLB mendistribusikan lalu lintas ke sekelompok network virtual appliance, seperti firewall, intrusion detection system (IDS), sistem traffic mirroring, dan sistem deep packet inspection (DPI). Hal ini menyediakan inspeksi dan perlindungan keamanan dengan high availability. Penyedia layanan membuat endpoint service dan menetapkan instance GWLB sebagai service resource. Konsumen layanan kemudian membuat GWLB endpoint (GWLBe) untuk membangun koneksi dengan endpoint service tersebut.
Memisahkan layanan dari keamanan: Deploy dan kelola jaringan layanan serta infrastruktur keamanan secara independen, lalu hubungkan secara privat menggunakan PrivateLink.
Inspeksi keamanan transparan: GWLB beroperasi sebagai gateway Lapisan 3. Alamat IP sumber dan tujuan lalu lintas tetap tidak berubah selama inspeksi keamanan. Hal ini menghilangkan kebutuhan untuk memodifikasi konfigurasi klien atau layanan backend.
Menghilangkan single point of failure: Dengan GWLB, Anda dapat menerapkan security appliance dalam konfigurasi high availability. Jika suatu appliance gagal, lalu lintas secara otomatis diarahkan ke appliance yang sehat, sehingga kegagalan appliance tidak mengganggu layanan Anda.
Elastic scaling: Anda dapat menambah atau menghapus network virtual appliance di belakang instance GWLB kapan saja untuk menyesuaikan volume lalu lintas, tanpa mengubah arsitektur jaringan VPC layanan Anda.
Cara kerja
Penyedia layanan menerapkan instance GWLB dan network virtual appliance backend di VPC keamanan. Kemudian, penyedia layanan membuat endpoint service dan menetapkan instance GWLB sebagai service resource untuk menyediakan inspeksi keamanan.
Konsumen layanan membuat GWLBe di VPC layanan. Setelah GWLBe terhubung ke endpoint service, konsumen layanan mengonfigurasi rute untuk mengarahkan lalu lintas inbound dan outbound dari VPC ke network virtual appliance guna inspeksi keamanan.
Sistem membuat endpoint ENI di vSwitch tempat GWLBe berada.
Semua lalu lintas yang masuk ke VPC layanan melalui gateway IPv4 pertama-tama diarahkan ke GWLBe berdasarkan rute di gateway route table. Lalu lintas tersebut kemudian diteruskan melalui PrivateLink ke instance GWLB, yang mendistribusikan lalu lintas ke network virtual appliance backend untuk inspeksi. Setelah inspeksi, lalu lintas diarahkan kembali ke GWLBe lalu ke server aplikasi di VPC layanan.
Traffic inbound IPv4 | lalu lintas keluar IPv4 |
1. Traffic IPv4 masuk ke VPC layanan melalui gateway IPv4. 2. Gateway route table mengarahkan traffic ke GWLBe. 3. GWLBe meneruskan traffic ke instance GWLB, yang kemudian meneruskan traffic ke security appliance. 4. Setelah inspeksi, security appliance mengembalikan traffic ke instance GWLB, yang kemudian meneruskannya ke GWLBe melalui PrivateLink. 5. Route table vSwitch GWLBe kemudian mengirim traffic ke server layanan. | 1. Route table vSwitch server layanan mengirim traffic ke GWLBe. 2. GWLBe mengirim traffic ke instance GWLB, yang kemudian meneruskan traffic ke security appliance. 3. Setelah inspeksi, security appliance mengembalikan traffic ke instance GWLB, yang kemudian meneruskannya ke GWLBe melalui PrivateLink. 4. Route table vSwitch GWLBe kemudian mengirim traffic ke gateway IPv4. 5. Gateway IPv4 mengarahkan traffic ke internet. |
Prasyarat
VPC dan instance GWLB telah dibuat:
Instance GWLB memiliki listener dan backend server group yang dikonfigurasi.
Security group server backend (network virtual appliance) instance GWLB harus mengizinkan lalu lintas pada port UDP 6081 (port protokol Geneve), serta port dan protokol yang diperlukan untuk health check.
Pastikan bahwa tipe instans Instance ECS yang digunakan untuk network virtual appliance mendukung jumbo frame. Enkapsulasi Geneve menambahkan 68 byte ke paket data asli, yang dapat menyebabkan ukuran paket melebihi 1.500 byte.
Jika service resource adalah GWLB, lihat Wilayah dan zona ketersediaan yang mendukung PrivateLink.
Mengakses network virtual appliance menggunakan PrivateLink
Penyedia layanan membuat endpoint service. Konsumen layanan membuat GWLBe dan mengonfigurasi rute untuk mengarahkan lalu lintas dari VPC layanan ke network virtual appliance guna inspeksi keamanan.
Konsol
Penyedia: Membuat endpoint service
Buka halaman Create endpoint service di konsol PrivateLink.
Region: Pilih wilayah tempat network virtual appliance diterapkan.
Service Resource Type: Pilih GWLB. Untuk high availability, tambahkan Service Resource di beberapa zona ketersediaan.
Automatically Accept Endpoint Connections: Tentukan apakah permintaan koneksi otomatis diterima ketika konsumen layanan membuat GWLBe untuk mengakses network virtual appliance. Mengubah pengaturan ini setelah endpoint service dibuat tidak memengaruhi koneksi yang sudah ada.
Yes: Ketika konsumen layanan membuat GWLBe untuk terhubung ke layanan, koneksi otomatis dibuat.
No: Penyedia layanan harus menyetujui permintaan koneksi secara manual.
IP Version: Hanya IPv4 yang didukung.
Service Payer: Pilih pihak yang membayar koneksi PrivateLink. Secara default, konsumen layanan adalah pembayar. Pengaturan ini tidak dapat diubah setelah dikonfirmasi.
Setelah membuat endpoint service, Anda harus mengonfigurasi service whitelist untuk mengizinkan pengguna lintas akun mengirim permintaan koneksi ke endpoint service.
Di halaman detail endpoint service, klik tab Service Whitelist. Lalu, klik Add to Whitelist untuk menentukan pengguna yang dapat mengakses layanan.
Masukkan
*: Semua pengguna dapat mengirim permintaan koneksi ke endpoint service.Masukkan UID akun: Hanya pengguna yang ditentukan yang dapat mengirim permintaan koneksi ke endpoint service.
Konsumen: Membuat GWLBe
Buka halaman Endpoints - Create endpoint.
Konfigurasi GWLBe:
Region: Pilih wilayah tempat Anda ingin membuat GWLBe. Wilayah ini harus sama dengan wilayah tempat endpoint service berada.
Type: Pilih Other Endpoint Services dan verifikasi endpoint service berdasarkan namanya. Setelah verifikasi berhasil, Anda dapat mengakses layanan tersebut.
Network Settings:
Zona ketersediaan harus dipilih dari zona tempat endpoint service tersedia (yang harus sama dengan zona ketersediaan service resource).
Anda dapat menentukan alamat IP dari vSwitch untuk elastic network interface di zona ketersediaan endpoint. Jika tidak menentukan alamat IP, sistem akan menetapkannya secara default. Anda tidak dapat menentukan alamat yang dicadangkan sistem vSwitch untuk elastic network interface.
IP Version: Hanya IPv4 yang didukung.
Mengonfigurasi rute
Konfigurasikan rute untuk VPC layanan tempat GWLBe diterapkan agar mengarahkan lalu lintas inbound dan outbound ke GWLBe. Lalu lintas tersebut kemudian diteruskan melalui PrivateLink ke network virtual appliance untuk inspeksi keamanan.
Mengonfigurasi Tabel Rute Gateway
Buat gateway IPv4 dan asosiasikan gateway route table dengannya.
Buka halaman Route Tables lalu klik ID gateway route table target untuk membuka halaman detailnya.
Klik tab . Temukan rute sistem untuk blok CIDR vSwitch target lalu klik Actions di kolom Edit. Ubah next hop menjadi GWLBe. Setelah modifikasi, entri rute tersebut muncul di tab Custom Route.
Konfigurasi route table vSwitch
Prosedur:
Buka halaman Route Tables lalu klik ID route table vSwitch target untuk membuka halaman detailnya.
Klik tab . Klik Add Route Entry untuk mengonfigurasi blok CIDR tujuan dan next hop.
Konfigurasi rute:
Route table
Destination CIDR
Next hop
Route table untuk vSwitch Instance ECS layanan
0.0.0.0/0GWLBe
Route table untuk vSwitch GWLBe
0.0.0.0/0gateway IPv4
API
Penyedia layanan memanggil operasi CreateVpcEndpointService untuk membuat endpoint service. Atur
ServiceResourceTypemenjadigwlb.Konsumen layanan memanggil operasi CreateVpcEndpoint untuk membuat GWLBe. Atur
EndpointTypemenjadiGatewayLoadBalancer.Panggil operasi UpdateGatewayRouteTableEntryAttribute untuk memodifikasi tipe dan ID next hop di gateway route table. Atur
NextHopTypemenjadiGatewayLoadBalancerEndpointdanNextHopIdmenjadi ID GWLBe.Panggil operasi CreateRouteEntry untuk membuat entri rute kustom untuk route table vSwitch.
Untuk route table vSwitch Instance ECS layanan: atur
NextHopTypemenjadiGatewayLoadBalancerEndpointdanNextHopIdmenjadi ID GWLBe.Untuk route table vSwitch GWLBe: atur
NextHopTypemenjadiIpv4GatewaydanNextHopIdmenjadi ID gateway IPv4.
Menjamin high availability
Endpoint service: Instance GWLB dan network virtual appliance backend-nya dapat diterapkan di beberapa zona ketersediaan. Jika network virtual appliance di satu zona ketersediaan gagal, lalu lintas secara otomatis didistribusikan ke appliance sehat di zona ketersediaan lain. Hal ini menjamin high availability layanan inspeksi keamanan.
Endpoint: GWLBe mengarahkan lalu lintas berdasarkan next hop di route table. Dalam penerapan multi-zona ketersediaan, konfigurasikan subnet layanan di setiap zona ketersediaan untuk menggunakan GWLBe di zona ketersediaan yang sama sebagai next hop. Di route table gateway IPv4, setiap subnet layanan juga harus mengarah ke GWLBe di zona ketersediaan yang sesuai. Hal ini menjamin pengarahan lalu lintas yang tepat dan sadar zona.
Konsol
Penyedia: Service resource multi-AZ
Saat membuat endpoint service, pilih instance GWLB di beberapa zona ketersediaan sebagai service resource.
Setelah endpoint service dibuat, klik ID-nya. Di tab Basic Information, klik Add Service Resource, lalu pilih zona ketersediaan dan instance GWLB yang sesuai.
Konsumen: Membuat GWLBe per AZ
Buat GWLBe terpisah untuk setiap zona ketersediaan dan pilih vSwitch di dalam zona ketersediaan tersebut.
Buat route table terpisah untuk vSwitch layanan di setiap zona ketersediaan, lalu arahkan rute
0.0.0.0/0ke GWLBe di zona ketersediaan yang sama. Di route table gateway IPv4, arahkan setiap subnet layanan ke GWLBe di zona ketersediaan yang sesuai.
GWLBe mengarahkan lalu lintas berdasarkan next hop di route table. Setiap zona ketersediaan memerlukan instance GWLBe terpisah. Anda tidak dapat menambahkan zona ketersediaan ke GWLBe yang sudah ada.
API
Endpoint service: Panggil operasi AttachResourceToVpcEndpointService untuk menambahkan service resource.
GWLBe:
Anda harus memanggil operasi CreateVpcEndpoint untuk setiap zona ketersediaan guna membuat GWLBe terpisah.
Panggil operasi UpdateGatewayRouteTableEntryAttribute untuk memodifikasi tipe dan ID next hop di gateway route table.
Panggil operasi CreateRouteEntry untuk membuat entri rute kustom untuk route table vSwitch.
Mengelola Sumber daya layanan
Setelah endpoint service dibuat, Anda dapat menambah atau menghapus service resource (instance GWLB) untuk menskalakan ketersediaan layanan inspeksi keamanan Anda di berbagai zona ketersediaan sesuai kebutuhan.
Konsol
Menambahkan service resource
Buka halaman daftar Endpoint Services lalu klik ID endpoint service target untuk membuka halaman detailnya.
Di tab Basic Information, pada bagian Service Resource, klik Add Service Resource. Pilih zona ketersediaan dan instance GWLB yang sesuai.
Menghapus Sumber daya layanan
Di tab Basic Information endpoint service target, pada bagian Service Resource, temukan service resource target lalu klik Actions di kolom Delete. Tindakan ini menghapus resource dari endpoint service tetapi tidak menghapus instance resource itu sendiri.
Jika service resource terkait dengan zona ketersediaan endpoint, Anda tidak dapat langsung menghapusnya. Anda harus terlebih dahulu memutus koneksi endpoint.
API
Panggil operasi AttachResourceToVpcEndpointService untuk menambahkan service resource ke endpoint service.
Panggil operasi DetachResourceFromVpcEndpointService untuk menghapus service resource dari endpoint service.
Berhenti mengakses network virtual appliance
Jika Anda tidak lagi perlu mengarahkan lalu lintas ke network virtual appliance melalui GWLBe, Anda harus melepas resource dalam urutan berikut untuk mencegah routing black hole yang dapat mengganggu layanan Anda.
Konsol
Kembalikan konfigurasi rute: Buka halaman Route Tables lalu hapus entri rute kustom di gateway dan route table vSwitch yang mengarah ke GWLBe atau gateway IPv4.
Hapus GWLBe: Buka halaman daftar Endpoints, temukan GWLBe target, lalu klik Actions di kolom Delete.
Hapus endpoint service: Buka halaman daftar Endpoint Services, temukan endpoint service target, lalu klik Actions di kolom Delete.
API
Panggil operasi DeleteRouteEntry untuk menghapus entri rute kustom.
Panggil operasi DeleteVpcEndpoint untuk menghapus GWLBe.
Panggil operasi DeleteVpcEndpointService untuk menghapus endpoint service.
Informasi lebih lanjut
Mengonfigurasi network virtual appliance
GWLB beroperasi secara transparan pada Lapisan 3 Model OSI. network virtual appliance backend harus mampu menangani lalu lintas layanan yang dienkapsulasi dengan protokol Geneve.
GWLB Alibaba Cloud mendukung integrasi dengan berbagai network virtual appliance pihak ketiga, seperti produk dari Fortinet. Untuk langkah-langkah konfigurasi spesifik, rujuk dokumentasi yang disediakan oleh vendor appliance.
Konfigurasi referensi penggunaan iptables untuk mensimulasikan network virtual appliance.
Rekomendasi penerapan
Saat Anda menerapkan instance GWLB, kami merekomendasikan agar Anda mengaktifkan fitur-fitur berikut:
Health check GWLB: Mendeteksi secara otomatis ketersediaan network virtual appliance backend. Jika suatu appliance tidak sehat, permintaan secara otomatis diarahkan ke appliance yang sehat.
Connection draining: Menangani koneksi yang ada secara lancar saat network virtual appliance backend dihapus.
Flow rebalancing: Mengarahkan ulang aliran lalu lintas yang ada ke appliance backend yang sehat saat network virtual appliance backend gagal atau dihapus.