Gateway Load Balancer (GWLB) は、レイヤー 3 の負荷分散サービスです。IP リスナーを使用して、すべてのポートからのトラフィックをネットワーク仮想アプライアンス (NVA) のサーバーグループに分散します。これにより、ファイアウォール、侵入検知システム、トラフィックミラーリング、ディープパケットインスペクション (DPI) システムなど、さまざまな NVA の高可用性デプロイメントが可能になります。
コンポーネント
|
コンポーネント |
説明 |
|
インスタンス |
GWLB は、オープンシステム間相互接続 (OSI) モデルのレイヤー 3 (ネットワーク層) で動作します。トラフィックをバックエンドサーバーに透過的にルーティングすることで、アプリケーションのセキュリティと可用性を向上させます。 |
|
リスナー |
GWLB は IP リスナーを使用して、GENEVE プロトコルですべてのポートからのトラフィックをバックエンドサーバーグループに転送します。各 GWLB インスタンスは、1 つのリスナーのみをサポートします。 |
|
[サーバーグループ] |
サーバーグループは、GENEVE プロトコルをサポートするバックエンドサーバーの論理的なコレクションです。各サーバーグループは、GWLB からのトラフィックを 1 つ以上のバックエンドサーバーにルーティングします。 GWLB では、サーバーグループは GWLB から独立して存在します。同じサーバーグループを異なる GWLB にアタッチできますが、1 つの GWLB インスタンスは 1 つのサーバーグループのみをサポートします。 GWLB サーバーグループは、Elastic Compute Service (ECS)、Elastic Container Instance (ECI)、Elastic Network Interface (ENI)、および IP タイプのバックエンドサーバーをサポートします。ただし、1 つのサーバーグループには 1 種類のバックエンドサーバーしか含めることができません。 GWLB はヘルスチェックを使用して、バックエンドサーバーの可用性を判断します。GWLB は、サーバーグループ内の異常なサーバーを検出し、それらへの新しいリクエストのルーティングを停止します。GWLB は、プロトコル、ポート、およびさまざまな閾値を含む、柔軟なヘルスチェック設定をサポートします。 |
仕組み
GWLB は、PrivateLink が提供するサービスである GWLB エンドポイント (GWLBe) と一緒に使用する必要があります。GWLBe は、ビジネス VPC とセキュリティ VPC の間にプライベート接続を確立する特別なタイプの VPC エンドポイントです。トラフィックは PrivateLink を経由して、処理のためにセキュリティ VPC 内の GWLB インスタンスにルーティングされます。
ルートテーブルは、GWLBe との間で送受信されるトラフィックを管理します。インバウンドトラフィックは GWLBe を経由して GWLB インスタンスにルーティングされます。バックエンドの NVA による検査とフィルタリングの後、トラフィックは同じ GWLBe にルーティングされ、アプリケーションに転送されます。
GWLB は、すべてのポートに対して IP リスナーを使用し、関連付けられたバックエンドサーバーグループにトラフィックを透過的に転送します。セッション維持を確保するため、GWLB は 5 タプル (送信元 IP、宛先 IP、プロトコル、送信元ポート、宛先ポート)、3 タプル (送信元 IP、宛先 IP、プロトコル)、または 2 タプル (送信元 IP、宛先 IP) に基づく一貫性ハッシュアルゴリズムを使用します。これにより、同じフローからのトラフィックが常に同じバックエンド NVA にルーティングされることが保証されます。
ネットワーク仮想アプライアンスプロバイダー
Alibaba Cloud GWLB を使用すると、さまざまなサードパーティ製のネットワーク仮想アプライアンスをサーバーグループに統合して、トラフィックの検査とフィルタリングを行うことができます。
利用シーン
GWLB を使用したインターネット境界ファイアウォールのデプロイ
ネットワークの脅威が高度化するにつれて、防御のためには高可用性ファイアウォールクラスターのデプロイが不可欠です。GWLB を使用して、すべてのイングレスおよびエグレストラフィックをファイアウォールクラスターに転送し、詳細な検査とフィルタリングを行うことで、トラフィック管理を一元化できます。また、GWLB は複数のアベイラビリティゾーンにわたるファイアウォールの高可用性を確保し、単一障害点がビジネスに影響を与えるのを防ぎます。
GWLB を使用した NAT 境界ファイアウォールのデプロイ
NAT Gateway は、多くの場合、クラウドリソースのインターネット出口として機能します。複雑なセキュリティの課題に対処するために、GWLB を使用して NAT Gateway を通過するすべてのトラフィックを一元管理できます。これにより、すべてのインターネット向けリクエストがファイアウォールによって検査されることが保証され、トラフィックを包括的に制御できます。
GWLB を使用した VPC 境界ファイアウォールのデプロイ
同一リージョン内の複数の VPC にあるクラウドリソースが通信する必要がある場合、Transit Router (TR) を使用してトラフィックを GWLB に転送できます。その後、GWLB はトラフィックをフィルタリングのためにバックエンドのセキュリティアプライアンスに分散します。この設定により、検査されたトラフィックのみが通過できるようになり、ネットワークセキュリティが強化されます。
Gateway Load Balancer の作成
[Gateway Load Balancer の作成] をクリックして、GWLB 製品購入ページに移動します。
GWLB のデプロイと管理
Alibaba Cloud アカウントを登録した後、以下の方法で GWLB をデプロイおよび管理できます：
-
GWLB コンソール：Web ベースの管理インターフェイスです。コンソールを使用して GWLB インスタンスを作成および管理できます。詳細については、「GWLB インスタンスの作成と管理」をご参照ください。
-
Alibaba Cloud SDK：Java、Go、Python など、複数のプログラミング言語用の SDK。
-
OpenAPI Portal：API オペレーションを呼び出し、SDK サンプルコードを動的に生成できるポータルです。