Este tópico responde a perguntas frequentes sobre o Network Load Balancer (NLB).
O NLB oferece tipos de instância específicos?
Não. O NLB não fornece tipos de instância específicos. Ao criar instâncias, não é necessário especificar um tipo.
O NLB oferece suporte a dimensionamento automático. Cada instância do NLB suporta até 100 milhões de conexões simultâneas e 100 Gbit/s de largura de banda. Além disso, o NLB proporciona desempenho de balanceamento de carga da camada 4 superior ao do Classic Load Balancer (CLB). Recomendamos o uso do NLB. Para obter mais informações sobre as diferenças entre o NLB e o CLB, consulte Functions and features.
Por que a regra de entrada configurada no grupo de segurança da minha instância NLB não entra em vigor?
Se uma instância do NLB for adicionada a um grupo de segurança sem regra de negação (Deny), a porta do listener da instância NLB permitirá todas as solicitações. Para permitir apenas solicitações de endereços IP específicos para sua instância NLB, adicione uma regra de negação ao grupo de segurança da instância. Certifique-se de que a regra de negação tenha prioridade menor do que as regras de permissão (Allow).
Para mais detalhes sobre como gerenciar grupos de segurança, consulte os seguintes tópicos:
Para saber como bloquear ou permitir solicitações de endereços IP específicos, consulte Use security groups as blacklists or whitelists.
Para obter informações sobre como ativar o controle de acesso para instâncias NLB com base em protocolos e portas, consulte Configure security groups for NLB instances
Por que o endereço IP virtual (VIP) da minha instância NLB falha ao encaminhar solicitações?
Execute as operações a seguir para solucionar erros:
Verifique se a opção Cross-Zone Distribution está desativada. Após ativar a Cross-Zone Distribution, as solicitações destinadas à instância NLB podem ser encaminhadas para servidores backend em outras zonas. Se você desativar a Cross-Zone Distribution e não houver servidores backend implantados na zona da instância NLB, o VIP dessa zona não poderá ser usado para encaminhar solicitações destinadas à instância NLB.
Confira se a zona foi removida do registro DNS. Caso a zona tenha sido removida do registro DNS, o VIP da zona também será removido do registro A da instância NLB. Consequentemente, o VIP deixará de resolver para o nome de domínio da instância NLB e não poderá ser utilizado para encaminhar solicitações destinadas a esse nome de domínio.
Valide se uma lista de controle de acesso (ACL) de rede está ativada para a instância NLB e se o bloco CIDR 100.64.0.0/10 não consta na lista de permissões. Se você configurar uma ACL para o vSwitch do VIP sem adicionar o bloco CIDR 100.64.0.0/10 à lista de permissões, o VIP falhará nas verificações de integridade, pois o intervalo 100.64.0.0/10 é utilizado para essas verificações entre zonas. Como resultado, o VIP da zona será removido do registro A da instância NLB, impossibilitando o encaminhamento de solicitações destinadas ao nome de domínio da instância.
Como configurar minha instância NLB para permitir que uma instância ECS no grupo de servidores atue como servidor backend e cliente simultaneamente?
Desative a opção Client IP Preservation no grupo de servidores associado à sua instância NLB. Dessa forma, uma instância do Elastic Compute Service (ECS) no grupo de servidores poderá funcionar tanto como servidor backend no processamento de solicitações quanto como cliente acessando sua instância NLB. Caso ainda precise recuperar os endereços IP dos clientes nesse cenário, ative o Proxy Protocol no listener associado. Para informações detalhadas, consulte as referências abaixo:
Para obter informações sobre como desativar a preservação de IP do cliente, consulte Edit basic information.
Para saber como ativar o Proxy Protocol em um listener TCP, consulte Add a TCP listener.
Para saber como ativar o Proxy Protocol em um listener UDP, consulte Add a UDP listener.
É possível associar um EIP por assinatura a uma instância NLB?
Não.
Os Elastic IP addresses (EIPs) associados a instâncias NLB devem atender aos seguintes requisitos:
Método de faturamento: pagamento conforme o uso
Método de medição de internet: pagamento por transferência de dados
Associação com instâncias de Internet Shared Bandwidth: não
Por que não consigo adicionar uma rota de host para o Local IP de uma instância NLB?
O NLB atribui um Local IP a partir do bloco CIDR do vSwitch correspondente em cada zona. Por exemplo, na zona H, o Local IP 10.0.0.86 pertence ao bloco CIDR do vSwitch 10.0.0.0/24; já na zona I, o Local IP 10.0.1.16 pertence ao bloco CIDR do vSwitch 10.0.1.0/24. A tabela de rotas da VPC inclui automaticamente rotas locais de sistema que abrangem cada bloco CIDR de vSwitch (por exemplo, 10.0.0.0/24→local e 10.0.1.0/24→local). Essas rotas de sistema já garantem que os Local IPs do NLB sejam acessíveis.
Se você tentar adicionar uma rota de host /32 para um Local IP (por exemplo, 10.0.0.86/32) chamando CreateRouteEntry, o sistema retornará um erro InvalidCidrBlock. Trata-se de uma restrição de design da VPC que impede a adição de rotas para endereços IP que já estão contidos em um bloco CIDR de rota local existente.
Não é necessário configurar manualmente rotas para os Local IPs do NLB. As rotas locais de sistema na tabela de rotas da VPC já garantem a acessibilidade do tráfego para instâncias NLB em cada zona.
O endereço IP de service de uma instância NLB pode mudar?
Quando uma instância NLB é criada, o sistema atribui a ela um endereço IP privado ou um EIP para atender ao tráfego. Esse endereço IP de service não se altera espontaneamente após a criação. No entanto, o endereço IP de service pode mudar nos seguintes cenários:
Zone changes: Ao atualizar as zonas de uma instância, endereços IP podem ser adicionados ou removidos. Para instâncias voltadas para a internet, EIPs serão adicionados ou removidos. Já para instâncias internas, endereços IP privados serão adicionados ou removidos.
Network type changes: Alteração de interna para voltada para a internet: um novo EIP ou Anycast EIP será atribuído à instância. Alteração de voltada para a internet para interna: todos os endereços IP públicos serão desassociados da instância.
Posso desativar o Ping para o VIP de uma instância NLB?
Sim. O NLB permite gerenciar o tráfego de entrada por meio de grupos de segurança. Para desativar o Ping, adicione uma regra de entrada ao grupo de segurança associado à instância que negue todo o tráfego ICMP.
Por que não consigo acessar diretamente o nome de domínio padrão de uma instância NLB?
O nome de domínio DNS atribuído a uma instância NLB (por exemplo, nlb-xxx.cn-shanghai.nlb.aliyuncsslb.com) não possui licenciamento ICP e não pode ser acessado diretamente em um navegador. Para acessar sua instância NLB, utilize seu próprio nome de domínio com licenciamento ICP concluído e adicione um registro CNAME que aponte para o nome de domínio DNS da instância NLB.
Como consultar os endereços IP vinculados a uma instância NLB?
Faça login no console NLB. No painel de navegação à esquerda, clique em Instances.
Na página Instances, clique no ID da instância NLB desejada.
Na página de detalhes da instância, na seção Zones, visualize o endereço IP virtual (VIP) de cada zona.
Caso sua instância NLB seja voltada para a internet, você também poderá visualizar o Elastic IP address (EIP) vinculado à instância.
Para uma instância NLB interna, apenas os VIPs são exibidos. Para uma instância NLB voltada para a internet, tanto EIPs quanto VIPs são exibidos.
Conexão de Rede Privada e Recuperação de Desastres
Como instâncias ECS na mesma VPC podem se conectar a services backend através do NLB?
Instâncias ECS na mesma VPC podem usar diretamente o endereço IP virtual (VIP) do NLB para se conectar a services backend. Por exemplo, instâncias ECS podem se conectar a um broker MQTT na porta 1883 tendo o VIP do NLB como destino. O VIP é um endereço IP privado estático atribuído durante a criação da instância NLB e não sofre alterações posteriores.
O NLB suporta listeners dos protocolos TCP e UDP em qualquer número de porta, incluindo a porta 1883 para MQTT. Configure um listener para o protocolo e a porta necessários ao configurar a instância NLB.
Qual é a diferença entre conexão direta via VIP e conexão via nome de domínio CNAME?
O NLB oferece duas formas de conexão a services backend dentro de uma VPC: uso direto do VIP estático ou utilização do nome de domínio CNAME do NLB. A tabela a seguir compara as duas opções:
|
Item de comparação |
Conexão direta via VIP |
Nome de domínio CNAME |
|
Tipo de IP |
Endereço IP privado estático |
Endereço IP privado resolvido via DNS |
|
Failover de AZ em caso de falha na zona |
Não suportado — o tráfego permanece fixo no VIP da zona |
Suportado — zonas não saudáveis são removidas automaticamente do DNS |
|
Caso de uso recomendado |
Testes temporários ou implantações em zona única |
Ambientes de produção ou cenários de alta disponibilidade |
Recomendamos o uso do nome de domínio CNAME privado da sua instância NLB para conectar-se aos services backend. Isso habilita a recuperação de desastres no nível de AZ. Utilize o CNAME do NLB diretamente ou configure o PrivateZone para resolver um nome de domínio privado personalizado para o CNAME do NLB.
Posso usar o CNAME de uma instância NLB pública para acesso interno na VPC?
Não. O CNAME de uma instância NLB pública resolve para Elastic IP addresses (EIPs). Quando o tráfego interno da VPC tem como destino um EIP, ele sai da VPC e é roteado através do limite de internet da Alibaba Cloud, onde é bloqueado.
Para acesso interno na VPC, utilize o CNAME de uma instância NLB interna (rede privada) ou configure o PrivateZone com o CNAME de uma instância NLB privada.
Como configurar a recuperação de desastres multi-AZ para o NLB?
A configuração ponta a ponta a seguir habilita o failover automático no nível de AZ:
Crie ou confirme que a instância NLB abrange pelo menos duas zonas de disponibilidade. Cada zona recebe um VIP estático dedicado (por exemplo, Zona H: 10.0.0.86, Zona I: 10.0.1.16).
Ative o encaminhamento entre zonas. Na página de detalhes da instância NLB, na seção Zones, confirme se a opção Cross-Zone Forwarding está ativada. Com esse recurso, o NLB encaminha o tráfego para servidores backend em outras zonas quando uma zona fica indisponível.
Adicione servidores backend de múltiplas zonas. Inclua instâncias ECS de cada zona de disponibilidade no grupo de servidores para garantir redundância no backend.
Utilize o nome de domínio CNAME do NLB — e não um VIP — para se conectar à instância NLB. Quando uma zona falha, o NLB remove automaticamente o VIP dessa zona de seus registros DNS (remoção de DNS). O tráfego é roteado automaticamente para as zonas saudáveis.
Com a Cross-Zone Forwarding ativada e o nome de domínio CNAME em uso, o NLB fornece failover automático no nível de AZ e suporta recuperação de desastres no nível de zona.