Server Load Balancer：Gunakan instance GWLB untuk membuat sistem pemeriksaan keamanan untuk lalu lintas IPv4

Contoh skenario

Untuk meningkatkan keamanan dan keandalan bisnis, sebuah perusahaan ingin merutekan lalu lintas IPv4 melalui Internet ke NVAs untuk pemeriksaan keamanan sebelum meneruskan lalu lintas tersebut ke server aplikasi untuk diproses.

Perusahaan tersebut menggunakan GWLB untuk mengelola NVAs, yang memastikan bahwa lalu lintas diperiksa dan diproses secara ketat sebelum diteruskan ke server aplikasi. Gambar berikut menunjukkan skenario tersebut. Dalam contoh ini, perusahaan membuat VPC bisnis dan VPC keamanan menggunakan akun Alibaba Cloud di wilayah China (Ulanqab).

• VPC bisnis bertanggung jawab untuk menjalankan sistem aplikasi dan memiliki gateway IPv4 untuk merutekan lalu lintas melalui Internet ke NVAs.

  Di dalam VPC bisnis, subnet server aplikasi dan subnet endpoint GWLB diterapkan. Di dalam subnet server aplikasi, server aplikasi Elastic Compute Service (ECS) diterapkan dengan layanan aplikasi yang dapat diakses berjalan di atasnya. Di dalam subnet endpoint GWLB, sebuah endpoint GWLB dibuat.

• VPC keamanan bertanggung jawab untuk menjalankan NVAs.

  Di dalam VPC keamanan, sebuah instance GWLB dibuat. NVAs dipasang ke grup server backend yang terkait dengan instance GWLB. Sebuah layanan endpoint dibuat di dalam VPC keamanan dengan instance GWLB ditentukan sebagai sumber daya layanan dari layanan endpoint tersebut.

Koneksi dibuat antara endpoint GWLB dan layanan endpoint, yang berada dalam status Terhubung. Lalu lintas melalui Internet dapat dirutekan ke NVAs.

Batasan

• Satu atau lebih NVAs harus berjalan.

• Grup keamanan di grup server backend harus mengizinkan lalu lintas UDP pada port 6081.

• Sebuah layanan endpoint harus dibuat di wilayah dan zona tempat PrivateLink dan instance GWLB tersedia. Untuk informasi lebih lanjut tentang wilayah dan zona tempat PrivateLink dan instance GWLB tersedia, lihat Wilayah dan Zona yang Mendukung PrivateLink dan Wilayah dan Zona Tempat GWLB Tersedia.

• Zona tempat endpoint GWLB diterapkan harus merupakan subset dari zona tempat instance GWLB diterapkan.

Prasyarat

• VPC bisnis dan VPC keamanan telah dibuat. Subnet server aplikasi dan subnet endpoint GWLB dibuat di Zona B dari VPC bisnis, dan subnet GWLB dibuat di Zona B dari VPC keamanan. Untuk informasi lebih lanjut, lihat Buat dan Kelola VPC.

• Gateway IPv4 telah dibuat, diaktifkan, dan diasosiasikan dengan VPC bisnis. Untuk informasi lebih lanjut, lihat Buat dan Kelola Gateway IPv4.

• Tabel rute telah dibuat untuk gateway IPv4, subnet server aplikasi, dan subnet endpoint GWLB. Untuk informasi lebih lanjut, lihat Buat dan Kelola Tabel Rute.

• Server aplikasi ECS dibuat di VPC bisnis, dan layanan aplikasi diterapkan pada instance ECS. Alamat IP publik ditetapkan ke instance ECS jika perlu berkomunikasi melalui Internet. Instance ECS ECS01 dan ECS02 dibuat di Zona B dari VPC keamanan, dan gambar NVA diterapkan pada ECS01 dan ECS02, masing-masing. Baik ECS01 maupun ECS02 mendukung fitur Jumbo Frames, karena paket Geneve-encapsulated memiliki tambahan 68 byte data, yang dapat menyebabkan paket melebihi 1.500 byte. Untuk informasi lebih lanjut, lihat MTU Jaringan.

  • Untuk jenis instance ECS yang mendukung Jumbo Frames, lihat Jumbo Frames.

  • Untuk informasi lebih lanjut tentang pembuatan instance ECS, lihat Buat Instance pada Tab Peluncuran Kustom.

  • Untuk informasi lebih lanjut tentang penerapan gambar NVA, lihat Buat Gambar Kustom dari Instance.

• Grup keamanan dibuat untuk server aplikasi ECS, ECS01, dan ECS02, dengan aturan grup keamanan dikonfigurasi berdasarkan kebutuhan bisnis dan keamanan Anda. Untuk informasi lebih lanjut, lihat Buat Grup Keamanan.

Prosedur

Langkah 1: Buat instance GWLB

Instance GWLB adalah entitas yang berjalan yang menyediakan layanan GWLB. Untuk menggunakan layanan GWLB, Anda harus terlebih dahulu membuat instance GWLB.

1. Masuk ke Konsol GWLB.

2. Di bilah navigasi atas, pilih wilayah tempat instance GWLB diterapkan.

3. Di halaman Instances, klik Create GWLB.

4. Di Gateway Load Balancer - Situs Internasional Alibaba Cloud, konfigurasikan parameter-parameter tersebut.

   Tabel berikut hanya menjelaskan parameter-parameter utama. Gunakan nilai default untuk parameter lainnya. Untuk informasi lebih lanjut tentang parameter-parameter tersebut, lihat Buat dan Kelola Instance GWLB.

   Parameter	Deskripsi
   Instance Name	Tentukan nama instance.
   VPC	Pilih VPC keamanan.
   Region and Zone	Pilih wilayah tempat Anda ingin membuat instance GWLB. Dalam topik ini, China (Ulanqab) dipilih.
   Zone	Pilih satu atau lebih zona. Dalam contoh ini, Ulanqab Zone B dipilih, dan vSwitch dari subnet GWLB dipilih.
   IP version	Pilih versi IP. Dalam topik ini, IPv4 dipilih.
   Service-linked Role	Pertama kali Anda membuat instance GWLB, klik Create Service-linked Role untuk membuat role service-linked AliyunServiceRoleForGwlb. Catatan Parameter ini hanya ditampilkan pertama kali Anda membuat instance GWLB.

5. Klik Buy Now dan selesaikan pembayaran.

6. Kembali ke halaman Instances dan pilih wilayah tempat instance GWLB diterapkan untuk melihat instance GWLB.

Langkah 2: Buat grup server backend

Untuk memproses permintaan klien yang diteruskan oleh instance GWLB, Anda harus membuat grup server dan menambahkan server backend ke grup server tersebut.

1. Di panel navigasi sisi kiri, pilih GWLB > Server Groups.

2. Di halaman Server Groups, klik Create Server Group.

3. Di kotak dialog Create Server Group, konfigurasikan parameter-parameter dan klik Create.

   Tabel berikut hanya menjelaskan parameter-parameter utama. Gunakan nilai default untuk parameter lainnya. Untuk informasi lebih lanjut tentang parameter-parameter tersebut, lihat Buat dan Kelola Grup Server.

   Parameter	Deskripsi
   Server Group Type	Pilih tipe grup server. Dalam contoh ini, Server dipilih.
   Server Group Name	Tentukan nama grup server.
   VPC	Pilih VPC keamanan tempat instance ECS diterapkan. Catatan Pilih VPC tempat instance GWLB diterapkan.
   Scheduling Algorithm	Pilih algoritma penjadwalan. Dalam contoh ini, 5-tuple Hashing dipilih.
   Health Check Method	Pilih metode pemeriksaan kesehatan atau nonaktifkan pemeriksaan kesehatan. Dalam contoh ini, TCP dipilih.
   Health Check Port	Tentukan port pemeriksaan kesehatan. Dalam contoh ini, 80 ditentukan.

4. Di pesan The server group is created, klik Add Backend Server.

5. Di tab Backend Servers dari halaman yang muncul, klik Add Backend Server.

6. Di panel Add Backend Server, atur Server Type. Dalam contoh ini, pilih ECS/ENI sebagai nilai untuk Server Type.

7. Pilih ECS01 dan ECS02 dan klik Next.

   Catatan

   • Dalam contoh ini, atur Server Type menjadi ECS/ENI.

   • Pastikan bahwa gambar NVA diterapkan pada server backend dan bahwa server backend menggunakan protokol Geneve.

Langkah 3: Konfigurasikan listener

Untuk meneruskan paket di semua port ke server backend menggunakan protokol Geneve, Anda harus mengonfigurasi listener untuk instance GWLB dan mengasosiasikan listener dengan grup server backend.

1. Di panel navigasi sisi kiri, pilih GWLB > Instances, dan klik ID instance.

2. Klik tab Listeners dan klik Create IP Listener.

3. Di langkah Select Server Group, atur Server Group Type dan pilih grup server yang telah dibuat.

4. Halaman menampilkan daftar server backend. Klik OK.

Langkah 4: Konfigurasikan layanan endpoint

Untuk memungkinkan instance GWLB memberikan layanan, Anda harus membuat layanan endpoint.

1. Masuk ke Konsol VPC.

2. Di halaman Endpoint Service, klik Create Endpoint Service.

3. Di halaman Create Endpoint Service, konfigurasikan parameter-parameter dan klik OK.

   Tabel berikut hanya menjelaskan parameter-parameter yang relevan dengan topik ini.

   Parameter	Deskripsi
   Region	Dalam contoh ini, China (Ulanqab) dipilih.
   Service Resource Type	Pilih tipe sumber daya layanan yang ingin Anda tambahkan ke layanan endpoint. Dalam contoh ini, GWLB dipilih.
   Select Service Resource	Pilih zona tempat sumber daya layanan tersedia dan pilih sumber daya layanan tersebut. Dalam contoh ini, Ulanqab Zone B dipilih, dan instance GWLB yang dibuat di Langkah 1: Buat instance GWLB dipilih.
   Network Type	Dalam contoh ini, IPv4 dipilih.
   Automatically Accept Endpoint Connections	Tentukan apakah layanan endpoint secara otomatis menerima permintaan koneksi dari endpoint. Dalam contoh ini, Yes dipilih. Catatan Jika Anda memilih Yes, setelah endpoint dibuat, layanan endpoint secara otomatis menerima permintaan koneksi dari endpoint tersebut.
   Service Payer	Dalam contoh ini, Service Consumer dipilih.

Langkah 5: Konfigurasikan endpoint GWLB

Untuk memungkinkan instance GWLB berkomunikasi dengan layanan endpoint, Anda harus membuat endpoint GWLB.

1. Masuk ke Konsol Endpoint.

2. Pada tab Interface Endpoint di halaman Endpoints, klik Create Endpoint.

3. Di halaman Create Endpoint, konfigurasikan parameter-parameter dan klik OK.

   Tabel berikut hanya menjelaskan parameter-parameter yang relevan dengan topik ini:

   Parameter	Deskripsi
   Region	Dalam contoh ini, China (Ulanqab) dipilih.
   Endpoint Name	Tentukan nama endpoint.
   Endpoint Type	Pilih tipe endpoint. Dalam contoh ini, Gateway Endpoint dipilih.
   Endpoint Service	Dalam contoh ini, Select Service dipilih dan layanan endpoint, seperti yang dibuat di Langkah 4: Konfigurasikan layanan endpoint, dipilih.
   VPC	Pilih VPC tempat endpoint diterapkan. Dalam contoh ini, VPC bisnis dipilih.
   Zone and vSwitch	Pilih zona tempat sumber daya layanan dari layanan endpoint diterapkan dan pilih vSwitch di zona ini. Sistem secara otomatis membuat antarmuka jaringan elastis (ENI) endpoint di dalam vSwitch. Dalam contoh ini, Ulanqab Zone B dipilih, dan vSwitch dari subnet endpoint GWLB dipilih.
   Network Type	Dalam contoh ini, IPv4 dipilih.

   Catatan

   Pastikan bahwa koneksi endpoint dari layanan endpoint berada dalam status Terhubung.

Langkah 6: Konfigurasikan rute

Untuk merutekan lalu lintas jaringan ke endpoint GWLB, Anda harus mengonfigurasi rute.

1. Masuk ke Konsol VPC.

2. Di panel navigasi sisi kiri, klik Route Tables.

3. Di bilah navigasi atas, pilih wilayah tempat tabel rute tersebut berada.

4. Di halaman Route Tables, klik ID tabel rute yang ingin dimodifikasi.

   Catatan

   Tabel rute yang harus dimodifikasi mencakup tabel rute gateway IPv4, tabel rute untuk subnet server aplikasi, dan tabel rute untuk subnet endpoint GWLB. Modifikasi satu per satu.

5. Di tab Route Entry List pada halaman Route Table Details, klik tab System Route dan lihat rute-rute yang dibuat oleh sistem.

   Rute yang ditujukan untuk blok CIDR dari vSwitch VPC tempat tabel rute tersebut berada secara otomatis ditambahkan oleh sistem ke tabel rute kustom. Rute-rute ini digunakan untuk komunikasi antar sumber daya cloud di dalam vSwitch.

6. Modifikasi rute sistem: Untuk gateway IPv4, di tab Route Entry List > System Route, temukan rute sistem yang ingin Anda modifikasi dan klik Modify di kolom Actions. Di kotak dialog Modify Route Entry, konfigurasikan parameter-parameter dan klik OK. Kemudian rute ini muncul di tab Custom Route. Parameter-parameter tersebut dijelaskan di bawah ini.

   Parameter	Deskripsi
   Destination CIDR Block	Menampilkan blok CIDR tujuan lalu lintas. Destination CIDR Block tidak dapat dimodifikasi. Dalam contoh ini, 192.168.2.0/24 ditampilkan.
   Name	Tentukan nama rute baru.
   Next Hop	Pilih tipe hop berikutnya. Dalam contoh ini, GWLB Endpoint dipilih.
   GWLB Endpoint	Endpoint GWLB, seperti yang dibuat di Langkah 5: Konfigurasikan endpoint GWLB, dipilih.

7. Tambahkan rute kustom: Untuk tabel rute untuk subnet server aplikasi dan subnet endpoint GWLB, klik tab Custom Route, klik Add Route Entry, atur Destination CIDR Bock dan Next Hop, dan klik OK. Atur parameter-parameter sebagai berikut:

   • Untuk tabel rute untuk subnet server aplikasi, Destination CIDR Block diatur ke 0.0.0.0/0, dan Next Hop diatur ke GWLB Endpoint.

   • Untuk tabel rute untuk subnet endpoint GWLB, Destination CIDR Block diatur ke 0.0.0.0/0, dan Next Hop diatur ke IPv4 Gateway.

Langkah 7: Verifikasi hasil

Uji Konektivitas Server

Masuk ke server aplikasi ECS dan uji aksesnya ke Internet dengan menjalankan perintah berikut:

ping www.aliyun.com

Jika output berisi informasi tentang lalu lintas dari server aplikasi ke Internet dan lalu lintas terus bertambah selama periode waktu tertentu, server aplikasi terhubung ke Internet dan pengujian berhasil.

Outputnya adalah sebagai berikut:

Uji Lalu Lintas melalui Pemeriksaan Keamanan

Masuk ke ECS01 atau ECS02 dan tangkap semua paket pada port 6081 dengan menjalankan perintah berikut:

tcpdump -i any port 6081

Jika output berisi informasi tentang permintaan dan respons dari server aplikasi ECS, GWLB telah merutekan lalu lintas ke NVAs untuk pemeriksaan keamanan dan pengujian berhasil.

Outputnya adalah sebagai berikut:

Referensi

• Ikhtisar Produk

  Apa itu GWLB?

• Panduan Pengguna

  • Buat dan Kelola Instance GWLB

  • Tambah dan Kelola Listener IP

  • Buat dan Kelola Grup Server