Server Load Balancer:Penerusan dinamis

1. Buat instans ALB Extensible Edition

1. Masuk ke Konsol ALB, pilih wilayah China (Shanghai), lalu klik Create ALB.

2. Di halaman pembelian, lengkapi konfigurasi berikut lalu klik Create Now.

   • Region: Pilih China (Shanghai).

   • Instance Network Type: Pilih Internet.

   • VPC dan Zone: Pilih VPC1, pilih Shanghai Zone B dan Shanghai Zone F, lalu pilih VSW1 dan VSW2. Aktifkan Automatically Assign Public IP.

   • Protocol Version: Pilih IPv4.

   • Edition (Instance Fee): Pilih Extensible Edition.

3. Di halaman Confirm Order, konfirmasi detail konfigurasi instans lalu klik Activate Now.

2. Buat ekstensi layanan dan tambahkan komponen penerusan dinamis

1. Di Konsol Ekstensi Layanan, klik Create Service Extension. Di bagian Service Extension Configuration, masukkan Extension name seperti ext-dyn-fwd-plugin.

2. Extension Type secara default bernilai Plug-in. Untuk Component name, pilih Dynamic Forwarding dari daftar drop-down. Di bawah Quick Configuration (Select to Auto-Fill Current Rule Parameters), klik Common Headers untuk menggunakan templat sistem preset, lalu klik Create.

   • Extraction Source: Nilai default adalah Header, artinya alamat IP dan port target diekstraksi dari header permintaan HTTP.

   • Extraction Mode: Nilai default adalah Separated Mode, artinya alamat IP dan port target berada di dua bidang berbeda dan harus ditentukan secara terpisah.

   • Target Host Source: Nilai default adalah X-Target-Host. Komponen penerusan dinamis membaca alamat IP target dari header permintaan ini.

   • Target Port Source: Nilai default adalah X-Target-Port. Komponen penerusan dinamis membaca port target dari header permintaan ini.

   • Default Port: Nilai default adalah 80. Ini adalah port fallback yang digunakan ketika tidak ada port yang diekstraksi dari permintaan.

3. Siapkan server backend

1. Buat instans ECS dengan mengacu pada konfigurasi berikut. Grup keamanan instans ECS harus mengizinkan lalu lintas inbound dari blok CIDR VPC1.

   • Region: Pilih China (Shanghai).

   • Network and Zone: Pilih VPC1 dan VSW1, lalu pilih Specify Primary Private IP Address of Primary ENI. Dalam tutorial ini, VSW1 berkorespondensi dengan rentang alamat IP 172.16.10.0/24, dan alamat IP privat utama ENI primer ditentukan sebagai 172.16.10.100.

   • Image: Pilih Alibaba Cloud Linux 3.2104 LTS 64-bit.

2. Di Konsol ECS, temukan instans tersebut. Di kolom Actions, pilih Network and Security Group > Manage Secondary Private IP Address. Klik Increase, masukkan 172.16.10.101, lalu klik OK. Ikuti petunjuk di Enable the operating system to recognize a secondary private IP address untuk mengonfigurasi instans ECS agar mengenali alamat IP tersebut. Sambungkan ke instans ECS dan jalankan ip a. Anda dapat melihat bahwa instans ECS telah mengenali alamat IP privat sekunder.

     2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
         link/ether 00:16:3e:xx:xx:xx brd ff:ff:ff:ff:ff:ff
         altname enp3s0
         inet 172.16.10.100/24 brd 172.16.10.255 scope global noprefixroute eth0
            valid_lft forever preferred_lft forever
         inet 172.16.10.101/24 brd 172.16.10.255 scope global secondary noprefixroute eth0
            valid_lft forever preferred_lft forever
         inet6 fe80::xxxx:xxff:fexx:xxxx/64 scope link
            valid_lft forever preferred_lft forever   

3. Di instans ECS backend, instal Nginx dan deploy layanan echo yang mendengarkan di port 80 dan port 81. Untuk setiap permintaan, layanan ini mengembalikan IP:Port target aktual yang dicapai oleh permintaan tersebut, yang digunakan untuk memverifikasi titik pendaratan penerusan dinamis.

   # 1. Install nginx
   sudo dnf install -y nginx
   
   # 2. Tulis konfigurasi echo
   sudo tee /etc/nginx/conf.d/echo.conf >/dev/null <<'EOF'
   server {
       listen 80 default_server;
       listen 81 default_server;
       server_name _;
       location / {
           default_type text/plain;
           return 200 "served: $server_addr:$server_port\n";
       }
   }
   EOF
   
   # 3. Hapus flag default_server dari situs default untuk menghindari konflik
   sudo sed -i 's/ default_server//g' /etc/nginx/nginx.conf
   
   # 4. Validasi konfigurasi, aktifkan autostart, dan mulai layanan
   sudo nginx -t
   sudo systemctl enable nginx
   sudo systemctl restart nginx
   
   # 5. Uji secara lokal
   curl 172.16.10.100:80
   curl 172.16.10.100:81
   curl 172.16.10.101:80
   curl 172.16.10.101:81

4. Buat kelompok server IP Address Range

Penerusan dinamis menentukan target penerusan berdasarkan konten permintaan. Tanpa batasan, permintaan yang dibuat secara khusus dapat mengarahkan traffic ke alamat yang tidak diotorisasi, menimbulkan risiko SSRF. Konfigurasikan kelompok server IP Address Range sebagai batas keamanan wajib: hanya permintaan yang alamat IP dan port targetnya sesuai dengan entri yang diizinkan yang akan diteruskan. Semua permintaan lain mengembalikan HTTP 403.

1. Di Konsol Kelompok Server, klik Create Server Group.

2. Konfigurasikan parameter berikut lalu klik Create:

   • Server Group Type: Pilih IP Address Range.

   • Server Group Name: Masukkan nama kustom seperti sgp-dyn-fwd.

   • Backend Protocol: Default-nya adalah HTTP.

   • Use Existing Service Extension dan pilih ekstensi layanan ext-dyn-fwd-plugin.

3. Setelah Server Group Created, klik Add Backend Servers. Di kotak dialog Add IP Address Segment, masukkan IP Address Range172.16.10.0/24 dan Port Range80-81, lalu klik OK.

5. Buat listener

1. Di Konsol ALB, klik ID instans target untuk membuka halaman Instance Details. Di tab Listener, klik Create Listener.

2. Di langkah Configure Listener, atur Listener Protocol ke HTTPS dan Listener Port ke 443, lalu klik Next.

3. Di langkah Configure SSL Certificate, pilih sertifikat server yang sesuai dengan nama domain kustom Anda, lalu klik Next.

4. Di langkah Select Server Group, pilih tipe IP Address Range dan kelompok server sgp-dyn-fwd, lalu klik Next.

   Catatan

   Tutorial ini menggunakan aturan pengalihan default untuk meneruskan traffic ke kelompok server IP Address Range. Untuk menambahkan kemampuan seperti otentikasi atau pembatasan laju, buat aturan pengalihan tambahan di bawah listener dan kaitkan dengan ekstensi layanan yang sesuai.

5. Di langkah Configuration Review, konfirmasi konfigurasi lalu klik Submit.

6. Konfigurasi resolusi DNS

Arahkan nama domain kustom Anda ke nama DNS instans ALB menggunakan rekaman CNAME. Klien mengakses ALB melalui nama domain kustom Anda.

Tutorial ini menggunakan Alibaba Cloud DNS sebagai contoh. Untuk nama domain yang tidak didaftarkan di Alibaba Cloud, Anda harus terlebih dahulu menambahkan domain ke konsol DNS.

1. Di Konsol ALB, salin Domain Name dari instans target.

2. Masuk ke Konsol DNS. Di kolom Actions domain target, klik Settings. Di halaman Settings, klik Add Record.

3. Tambahkan rekaman CNAME dengan informasi berikut lalu klik OK:

   • Record Type: Pilih CNAME.

   • Hostname: Masukkan awalan domain seperti test. Misalnya, jika domain root Anda adalah example.com, domain untuk mengakses ALB adalah test.example.com.

   • Query Source dan TTL: Pertahankan nilai default.

   • Record Value: Masukkan nama DNS instans ALB.

4. Di kotak dialog Change Resource Record Confirmation, konfirmasi informasi resolusi lalu klik OK.

7. Verifikasi konfigurasi

Permintaan harus memenuhi kondisi berikut agar menerima respons sukses:

• Komponen penerusan dinamis dapat mengekstraksi alamat IP dan port target dari permintaan (jika port tidak ditentukan secara eksplisit, Default Port digunakan sebagai fallback).

• Kombinasi alamat IP dan port berada dalam rentang yang diizinkan oleh kelompok server IP Address Range.

• Layanan backend sedang mendengarkan di alamat IP dan port tersebut serta mengembalikan respons.

curl -v \
  -H "X-Target-Host: 172.16.10.100" \
  -H "X-Target-Port: 80" \
  https://test.example.com/echo

curl -v \
  -H "X-Target-Host: 172.16.10.101" \
  -H "X-Target-Port: 80" \
  https://test.example.com/echo

curl -v \
  -H "X-Target-Host: 172.16.10.100" \
  -H "X-Target-Port: 81" \
  https://test.example.com/echo

curl -v \
  -H "X-Target-Host: 172.16.10.101" \
  https://test.example.com/echo

curl -v \
  https://test.example.com/echo

curl -v \
  -H "X-Target-Host: 10.99.99.99" \
  -H "X-Target-Port: 80" \
  https://test.example.com/echo

curl -v \
  -H "X-Target-Host: 172.16.10.100" \
  -H "X-Target-Port: 12345" \
  https://test.example.com/echo

Penagihan

• ALB Extensible Edition: Saat ini dalam pratinjau publik. Pengguna dapat mencobanya secara gratis. EIP yang dikaitkan dengan instans ALB Extensible Edition memiliki aturan penagihan tersendiri, dan biaya dikenakan berdasarkan EIP.

• Instans ECS: Untuk detailnya, lihat ECS billing overview. Jika Anda membuat instans ECS untuk tujuan pengujian, kami sarankan membuat instans berbayar sesuai penggunaan dengan spesifikasi rendah dan segera melepaskannya.

• Biaya nama domain dan resolusi DNS publik: Selain biaya nama domain dari penyedia domain Anda, konfigurasi resolusi DNS publik di Alibaba Cloud dikenai biaya resolusi DNS otoritatif publik.

• Biaya sertifikat: Pembelian atau pengunggahan sertifikat ke Alibaba Cloud dikenai biaya sertifikat server.

Batasan

• Protokol backend untuk penerusan dinamis saat ini hanya mendukung HTTP.

• Kelompok server IP Address Range tidak mendukung penambahan rentang alamat seperti 22.0.0.0/8, 33.0.0.0/8, 100.0.0.0/8, atau 127.0.0.0/8.

• Satu kelompok server IP Address Range mendukung maksimal 200 entri rentang IP secara default (setiap entri merupakan kombinasi rentang IP dan rentang port).

Wilayah yang mendukung ALB Extensible Edition

Praktik Terbaik

• Urutkan konfigurasi ekstraksi alamat target secara tepat: Saat beberapa konfigurasi ekstraksi alamat target ditentukan, sistem mencocokkannya berurutan dari nomor urut terkecil ke terbesar. Pencocokan pertama yang sesuai akan berlaku. Tempatkan konfigurasi yang paling sering cocok dan paling restriktif di awal.

• Pertahankan rentang target yang diizinkan tetap sempit: Sambil memastikan ketersediaan bisnis, batasi rentang alamat IP dan rentang port hanya ke backend yang benar-benar dibutuhkan oleh bisnis Anda. Hindari mengonfigurasi rentang yang terlalu luas.

• Gunakan aturan pengalihan secara fleksibel: Kelompok server IP Address Range dapat berfungsi sebagai target pengalihan dalam aturan pengalihan. Gabungkan dengan kondisi pengalihan, ekstensi layanan, dan aksi pengalihan untuk kebutuhan orkestrasi traffic yang kompleks.

FAQ