Gateway Load Balancer (GWLB) は、レイヤー 3 (ネットワーク層) のロードバランサーです。トラフィックをバックエンドサーバーに透過的に分散することで、ご利用のアプリケーションのセキュリティと可用性を向上させます。
インスタンスの状態
次の表は、GWLB インスタンスの状態と、各状態で許可される操作について説明しています。
インスタンスの状態 | 説明 | ロックタイプ | 削除の可否 | 構成の更新が許可されています |
実行中 | インスタンスが正常に動作しています。 | 該当なし | はい | はい |
作成中 | インスタンスを作成中です。 | 該当なし | いいえ | いいえ |
構成更新中 | インスタンスの構成を更新中です。 | 該当なし | いいえ | |
停止済み | インスタンスが停止しています。 | 支払い遅延ロック：支払いが遅延したため、インスタンスがロックされています。ロックを解除するには、未払い分の支払いを完了してください。 | いいえ |
IP バージョン
GWLB インスタンスは IPv4 プロトコルバージョンをサポートしており、GWLB は IPv4 トラフィックを受け入れることができます。
GWLB インスタンスは、サブネット内の非公開 IPv4 アドレスを使用してバックエンドサーバーと通信します。
ゾーン間転送
デフォルトでは、ゾーン間転送が有効になっています。GWLB インスタンスがクライアントトラフィックを受信すると、同一リージョン内のすべての有効なアベイラビリティーゾーンにわたってバックエンドサーバーにトラフィックを分散します。この機能は現時点で無効化できません。
最大転送単位
最大転送単位 (MTU) とは、ネットワーク上で送信可能な最大パケットサイズを定義するものです。MTU には IP ヘッダーとペイロードが含まれますが、イーサネットヘッダーは含まれません。
GWLB MTU 制限：
GWLB は最大 1,500 バイトのパケットサイズをサポートします。これより大きいパケットは破棄されます。
ネットワーク仮想アプライアンスの MTU 設定：
GWLB インスタンスは、IP トラフィックを Geneve ヘッダーでカプセル化し、ネットワーク仮想アプライアンス (NVA) に転送します。このカプセル化により、元のパケットに 68 バイトが追加されます。NVA が 1,500 バイトのクライアントパケットから生成されたカプセル化パケットを処理できるようにするために、以下の点を確認してください。
ジャンボフレームが NVA をデプロイしている ECS インスタンスで有効になっていること。
NVA インターフェイスの MTU が少なくとも 1,568 バイトに設定されていること。
この MTU 値は NVA イメージ内で設定する必要があります。詳細については、ご利用のアプライアンスの公式ドキュメントまたはベンダーガイドをご参照ください。
IP フラグメンテーション：
GWLB は IP フラグメンテーションをサポートしていません。
パス MTU ディスカバリ (PMTUD)：
GWLB は断片化が必要であることを示す ICMP メッセージを生成しないため、PMTUD をサポートしていません。
接続アイドルタイムアウト
接続アイドルタイムアウトとは、GWLB が接続を閉じるまでに接続をアイドル状態にしておける期間のことです。GWLB における接続アイドルタイムアウトの動作は、フロースケジューリングアルゴリズムおよびトラフィックタイプによって異なります。
TCP トラフィックの処理
フロースケジューリングアルゴリズムが 5 タプルハッシュの場合：
GWLB は TCP 接続の状態をアクティブに追跡します。接続アイドルタイムアウト期間中にデータが転送されない場合、現在の接続は閉じられます。GWLB インスタンスはその後、新しいトラフィックを新しいバックエンドサーバーにルーティングし、既存のトラフィックは破棄されます。次のリクエストが到着すると、新しい接続が再確立されます。
接続アイドルタイムアウトのデフォルト値は 350 秒です。また、リスナー設定でTCP 接続アイドルタイムアウトをカスタマイズすることもできます。設定可能な値の範囲は 60 ～ 6,000 秒です。
TCP 接続アイドルタイムアウトを設定することで、リソース管理および接続の有効性を最適化できます。
接続アイドルタイムアウトを長くする：金融トランザクション、データベースとのやり取り、ERP システムなど、長時間持続する接続が必要なシナリオに適しています。また、ファイアウォールなどのバックエンドネットワーク仮想アプライアンスのタイムアウト設定と一致させる必要がある場合もあります。これにより、GWLB が接続を早期に終了してサービス中断を引き起こすことを防げます。たとえば、バックエンドのファイアウォールの接続アイドルタイムアウトが 3,600 秒の場合、GWLB の接続アイドルタイムアウトを 3,700 秒など、やや大きな値に設定してください。
接続アイドルタイムアウトを短くする：短時間のトラフィックやリソースを迅速に解放する必要があるシナリオ（バーストリクエストやアクセス頻度の低いサービスなど）に適しています。短い接続アイドルタイムアウトにより、非アクティブな接続が即座に解放され、リソース消費を削減できます。
説明GWLB がタイムアウトに達する前に TCP 接続がアクティブにクローズされたことを検出した場合、その接続の状態情報を直ちに削除します。
フロースケジューリングアルゴリズムが 2 タプル/3 タプルハッシュの場合：
GWLB は、2 タプル (ソース IP、送信先 IP) または 3 タプル (ソース IP、送信先 IP、プロトコル) ハッシュに基づいてフローを識別し、同じフローからのパケットが一貫して同じバックエンドサーバーに転送されるようにします。フローがタイムアウト期間を超えてアイドル状態になると、その状態はクリアされます。後続のパケットは新しいフローとして扱われ、別のバックエンドサーバーにルーティングされる可能性があります。
接続アイドルタイムアウトは 350 秒に固定されており、変更できません。
非 TCP トラフィックの処理
UDP トラフィックの場合、UDP はコネクションレス型プロトコルですが、GWLB はフロースケジューリングアルゴリズムに基づいてフローの状態を維持し、同じフローからのパケットが一貫して同じバックエンドサーバーに転送されるようにします。フローがタイムアウト期間を超えてアイドル状態になると、その状態はクリアされます。後続の UDP パケットは新しいフローとして扱われ、別のバックエンドサーバーにルーティングされる可能性があります。
非 TCP トラフィックの接続アイドルタイムアウトは 120 秒に固定されており、変更できません。
トラフィックモード
デフォルトでは、GWLB インスタンスは負荷分散モードで動作します。このモードでは、GWLB は GWLB エンドポイントから受信したトラフィックをバックエンドサーバーに転送して処理します。
ネットワーク緊急対応、トラブルシューティング、ネットワーク仮想アプライアンス (NVA) のメンテナンスなどのシナリオでは、GWLB インスタンスをバイパスモードに切り替えることができます。バイパスモードでは、GWLB は GWLB エンドポイントから受信したトラフィックをバックエンドサーバーに転送せずに、直接エンドポイントに返却します。これにより、サービストラフィックが中断されなくなります。
この機能はデフォルトで有効になっていません。この機能を使用するには、アカウントマネージャーにご連絡ください。
トラフィックモード | 負荷分散モード | バイパスモード |
GWLB の動作 | GWLB が GWLB エンドポイントからトラフィックを受信すると、そのトラフィックをバックエンドサーバーに転送して処理します。 | GWLB が GWLB エンドポイントからトラフィックを受信すると、そのトラフィックをバックエンドサーバーに転送せずに直接エンドポイントに返却します。 |
アーキテクチャ図 | ||
ユースケース | これはデフォルトモードであり、サードパーティ製ファイアウォールがビジネス上のトラフィックを期待どおりに処理します。 | このモードは主にネットワークおよびサードパーティ製ファイアウォールのメンテナンスに使用されます。
|
注意事項 | - |
|
コンソール
GWLB コンソールで、詳細情報ページに移動します。トラフィックモードの右側にある編集をクリックして、トラフィック処理モードを切り替えます。
API
UpdateLoadBalancerAttribute 操作を呼び出し、TrafficMode パラメーターを設定することで、トラフィック処理モードを切り替えることができます。
TrafficMode パラメーターでサポートされる値は次のとおりです。
LoadBalance (デフォルト)：負荷分散モード
ByPass：バイパスモード
GWLB インスタンスのトラフィック処理モードを照会するには、次の操作を呼び出します。
バイパスモードに切り替える際は、バックエンドサーバー上の NVA がトラフィックを処理しなくなるため、セキュリティリスクが発生する可能性があることにご注意ください。
負荷分散モードに切り替える際、トラフィックがステートフルプロトコルを使用している場合、NVA (ファイアウォールなど) は切り替えに対応できるように構成されている必要があります。そうでない場合、既存の接続が切断される可能性があります。
たとえば、TCP プロトコルの場合、ファイアウォールは初期 SYN パケットなしで TCP セッションを確立できるようにする必要があります。
仕組み：
TCP 3 ウェイハンドシェイク：TCP 接続は 3 ウェイハンドシェイクで確立されます。クライアントが SYN パケットを送信し、サーバーが SYN-ACK で応答し、クライアントが ACK で確認します。
バイパスモードから負荷分散モードに切り替えると、それまで GWLB が直接返却していたトラフィックがバックエンド NVA を経由するようになります。バックエンド NVA が初期 SYN パケットに依存して接続を確立または識別している場合、既存の接続のパケットを認識できず、接続が切断されます。新規接続は影響を受けません。既存の接続が中断されないようにするには、NVA を構成して、SYN パケットなしで開始される TCP セッションを受け入れられるようにする必要があります。
構成例：FortiGate ファイアウォールの場合、ファイアウォールポリシーで
tcp-session-without-synを有効化できます。詳細については、ご利用のファイアウォールベンダーの公式ドキュメントをご参照ください。