백엔드 서비스 기반 리전 외부 패스 스루 네트워크 부하 분산기 개요

리전 외부 패스 스루 네트워크 부하 분산기는 부하 분산기와 동일한 리전에 있는 백엔드 (인스턴스 그룹 또는 네트워크 엔드포인트 그룹(NEG)) 간에 외부 트래픽을 분산하는 리전별 Layer 4 부하 분산기입니다. 이러한 백엔드는 리전 및 프로젝트가 동일해야 하지만 VPC 네트워크가 다를 수 있습니다. 이러한 부하 분산기는 Maglev 및 Andromeda 네트워크 가상화 스택에서 빌드됩니다.

리전 외부 패스 스루 네트워크 부하 분산기는 다음 항목에서 트래픽을 수신할 수 있습니다.

• 인터넷의 모든 클라이언트
• 외부 IP가 있는Google Cloud VM
• Cloud NAT 또는 인스턴스 기반 NAT를 통해 인터넷에 액세스할 수 있는Google Cloud VM

리전 외부 패스 스루 네트워크 부하 분산기는 프록시가 아닙니다. 부하 분산기 자체는 사용자 연결을 종료하지 않습니다. 부하 분산된 패킷은 소스 및 대상 IP 주소, 프로토콜, 포트(해당하는 경우)가 변경되지 않은 백엔드 VM에 전송됩니다. 그러면 백엔드 VM에서 사용자 연결을 종료합니다. 백엔드 VM의 응답은 부하 분산기를 통하지 않고 클라이언트에 직접 전달됩니다. 이 프로세스를 직접 서버 반환(DSR)이라고 합니다.

백엔드 서비스 기반 리전 외부 패스 스루 네트워크 부하 분산기는 다음 기능을 지원합니다.

• 관리형 및 비관리형 인스턴스 그룹 백엔드. 백엔드 서비스 기반 리전 외부 패스 스루 네트워크 부하 분산기는 관리형 및 비관리형 인스턴스 그룹을 모두 백엔드로 지원합니다. 관리형 인스턴스 그룹은 백엔드 관리의 특정 측면을 자동화하며 비관리형 인스턴스 그룹보다 우수한 확장성과 안정성을 제공합니다.
• 영역별 NEG 백엔드. 백엔드 서비스 기반 리전 외부 패스 스루 네트워크 부하 분산기는 GCE_VM_IP 엔드포인트가 있는 영역 NEG 사용을 지원합니다. 영역별 NEG GCE_VM_IP 엔드포인트를 사용하면 다음을 수행할 수 있습니다.
  • 패킷을 nic0뿐만 아니라 모든 네트워크 인터페이스에 전달합니다.
  • 여러 다른 백엔드 서비스에 연결된 2개 이상의 영역별 NEG에 동일한 GCE_VM_IP 엔드포인트를 배치합니다.
• 여러 프로토콜 지원. 백엔드 서비스 기반 리전 외부 패스 스루 네트워크 부하 분산기는 TCP, UDP, ESP, GRE, ICMP, ICMPv6 트래픽을 부하 분산할 수 있습니다.
• IPv6 연결 지원. 백엔드 서비스 기반 리전 외부 패스 스루 네트워크 부하 분산기는 IPv4 및 IPv6 트래픽을 모두 처리할 수 있습니다.
• 세밀한 트래픽 분산 제어. 백엔드 서비스는 구성된 세션 어피니티, 연결 추적 정책, 가중 부하 분산 설정에 따라 트래픽을 배포할 수 있게 합니다. 또한 백엔드 서비스에서 연결 드레이닝을 사용 설정하고 부하 분산기에 장애 조치 백엔드를 지정하도록 구성할 수 있습니다. 대부분의 설정에는 빠른 시작에 도움이 되는 기본값이 있습니다. 자세한 내용은 리전 외부 패스 스루 네트워크 부하 분산기의 트래픽 배포를 참고하세요.
• 레거시 이외의 리전 상태 점검 지원. 백엔드 서비스 기반 리전 외부 패스 스루 네트워크 부하 분산기는 지원되는 상태 점검 프로토콜을 사용할 수 있는 리전 상태 점검을 지원합니다.
• Google Cloud Armor 통합 Cloud Armor는 리전 외부 패스 스루 네트워크 부하 분산기에 고급 네트워크 DDoS 보호를 지원합니다. 자세한 내용은 고급 네트워크 DDoS 보호 구성을 참조하세요.

• GKE 통합. GKE에서 애플리케이션을 빌드할 때는 GKE 사용자를 대신해서Google Cloud 부하 분산기를 배포하는 기본 제공 GKE 서비스 컨트롤러를 사용하는 것이 좋습니다. 수명 주기가 GKE에 의해 완전히 자동화되고 제어된다는 점을 제외하면 이 페이지에 설명된 독립형 부하 분산 아키텍처와 동일합니다.

  관련 GKE 문서:

  • LoadBalancer 서비스 개념
  • 서비스를 사용하여 애플리케이션 노출

아키텍처

다음 다이어그램은 리전 외부 패스 스루 네트워크 부하 분산기의 구성요소를 보여줍니다.

부하 분산기는 여러 가지 구성요소로 이루어집니다. 부하 분산기 하나에는 다음이 포함될 수 있습니다.

• 리전 외부 IP 주소 한 개 이상
• 리전 외부 전달 규칙 한 개 이상
• 리전 외부 백엔드 서비스 한 개
• 하나 이상의 백엔드: 모든 인스턴스 그룹 또는 모든 영역별 NEG 백엔드(GCE_VM_IP 엔드포인트)
• 백엔드 서비스와 연결된 상태 확인

또한 부하 분산 트래픽 및 상태 확인 프로브가 백엔드 VM에 연결하도록 허용하는 방화벽 규칙을 만들어야 합니다.

IP 주소

리전별 외부 패스 스루 네트워크 부하 분산기에는 전달 규칙이 최소 한 개 이상 필요합니다. 전달 규칙은 인터넷 어디에서나 액세스할 수 있는 리전 외부 IP 주소를 참조합니다.

• IPv4 트래픽의 경우 전달 규칙은 단일 리전 외부 IPv4 주소를 참조합니다. 리전 외부 IPv4 주소는 각 Google Cloud 리전에 고유한 풀에서 가져옵니다. 예약된 외부 IP 주소를 지정하거나 Google Cloud 에서 임시 IPv4 주소를 자동으로 할당하도록 하여 IPv4 주소를 할당할 수 있습니다.

• IPv6 트래픽의 경우 전달 규칙이 이중 스택 또는 IPv6 전용 서브넷에서 IPv6 주소의 /96 범위를 참조합니다. 서브넷은 VPC 네트워크에 할당된 외부 IPv6 서브넷 범위가 있어야 합니다. 외부 IPv6 주소는 프리미엄 등급 및 스탠다드 등급 (미리보기)에서 사용할 수 있습니다.

  /96 IPv6 주소 범위는 예약된 외부 IPv6 주소를 지정하거나, 커스텀 임시 IPv6 주소를 지정하거나, Google Cloud가 임시 IPv6 주소를 자동으로 할당하도록 하여 할당할 수 있습니다.

  커스텀 임시 IPv6 주소를 지정하려면 gcloud CLI 또는 API를 사용해야 합니다. Google Cloud 콘솔은 전달 규칙에 맞춤 임시 IPv6 주소를 지정하는 것을 지원하지 않습니다.

  IPv6 지원에 대한 자세한 내용은 IPv6 서브넷 범위 및 IPv6 주소에 관한 VPC 문서를 참조하세요.

전달 규칙을 삭제한 후 다시 사용할 프로젝트와 연결된 주소를 유지해야 하거나 동일한 IP 주소를 참조하는 전달 규칙 여러 개가 필요하면 전달 규칙에 대해 예약된 IP 주소를 사용합니다.

리전 외부 패스 스루 네트워크 부하 분산기는 표준 등급과 프리미엄 등급의 리전 외부 IPv4 주소를 모두 지원합니다. IP 주소와 전달 규칙 모두 동일한 네트워크 등급을 사용해야 합니다. 리전별 외부 IPv6 주소는 프리미엄 등급과 표준 등급에서 모두 사용할 수 있습니다.

전달 규칙

리전 외부 전달 규칙은 부하 분산기가 트래픽을 허용하는 프로토콜과 포트를 지정합니다. 리전 외부 패스 스루 네트워크 부하 분산기는 프록시가 아니기 때문에 패킷에 포트 정보가 포함된 경우 동일한 프로토콜 및 포트에서 백엔드로 트래픽을 전달합니다. IP 주소와 결합된 전달 규칙이 부하 분산기의 프런트엔드를 형성합니다.

부하 분산기는 수신 패킷의 소스 IP 주소를 유지합니다. 수신 패킷의 대상 IP 주소는 부하 분산기의 전달 규칙과 연결된 IP 주소입니다.

수신 트래픽은 특정 IP 주소(IPv4 주소 또는 IPv6 주소 범위), 프로토콜, 프로토콜이 포트 기반인 경우 1개 포트, 포트 범위 또는 모든 포트의 조합인 전달 규칙과 일치합니다. 그런 다음 전달 규칙은 트래픽을 부하 분산기의 백엔드 서비스로 전달합니다.

• 전달 규칙이 IPv4 주소를 참조하는 경우 전달 규칙은 서브넷과 연결되지 않습니다. 즉, 해당 IP 주소는Google Cloud 서브넷 범위 밖에서 가져옵니다.

• 전달 규칙이 /96 IPv6 주소 범위를 참조하는 경우 이 /96 IPv6 주소 범위는 외부 IPv6 서브넷 범위 (--ipv6-access-type이 EXTERNAL로 설정됨)가 있는 이중 스택 또는 단일 스택 IPv6 서브넷에서 가져와야 합니다.

  전달 규칙이 참조하는 서브넷은 백엔드 인스턴스에서 사용하는 서브넷과 동일할 수 있습니다. 또는 백엔드 인스턴스가 전달 규칙과 동일한 리전에 있는 이중 스택 또는 단일 스택 IPv6 서브넷에 있을 수 있습니다. 예를 들어 백엔드에서 사용하는 서브넷에는 내부 IPv6 서브넷 범위 (--ipv6-access-type이 INTERNAL로 설정됨)가 있을 수 있습니다.

리전별 외부 패스 스루 네트워크 부하 분산기에는 전달 규칙이 최소 한 개 이상 필요합니다. 전달 규칙은 특정 범위의 소스 IP 주소에서 들어오는 트래픽을 특정 백엔드 서비스(또는 대상 인스턴스)로 전달하도록 구성할 수 있습니다. 자세한 내용은 트래픽 조정을 참조하세요. 여러 전달 규칙에 설명된 대로 동일한 부하 분산기에 전달 규칙을 여러 개 정의할 수 있습니다.

부하 분산기가 IPv4 트래픽과 IPv6 트래픽을 모두 처리하도록 하려면 전달 규칙을 두 개 만듭니다. 하나는 IPv4 또는 이중 스택 백엔드를 가리키는 IPv4 트래픽용 규칙이고, 다른 하나는 이중 스택 백엔드만 가리키는 IPv6 트래픽용 규칙입니다. IPv4 및 IPv6 전달 규칙이 동일한 백엔드 서비스를 참조할 수 있지만 백엔드 서비스는 이중 스택 백엔드를 참조해야 합니다.

전달 규칙 프로토콜

리전 외부 패스 스루 네트워크 부하 분산기는 각 전달 규칙에 TCP, UDP, L3_DEFAULT 프로토콜 옵션을 지원합니다.

TCP 및 UDP 옵션을 사용하여 TCP 또는 UDP 부하 분산을 구성합니다. L3_DEFAULT 프로토콜 옵션은 리전 외부 패스 스루 네트워크 부하 분산기가 TCP, UDP, ESP, GRE, ICMP, ICMPv6 트래픽을 부하 분산할 수 있게 해줍니다.

TCP 및 UDP 이외의 프로토콜을 지원하는 것 외에도 L3_DEFAULT는 단일 전달 규칙이 여러 프로토콜을 지원할 수 있게 해줍니다. 예를 들어 IPsec 서비스는 일반적으로 ESP 및 UDP 기반 IKE와 NAT-T 트래픽 조합을 처리합니다. L3_DEFAULT 옵션을 사용하면 이러한 모든 프로토콜을 처리하도록 단일 전달 규칙을 구성할 수 있습니다.

TCP 또는 UDP 프로토콜을 사용하는 전달 규칙은 해당 프로토콜이 UNSPECIFIED인 전달 규칙 또는 백엔드 서비스와 동일한 프로토콜을 사용하여 백엔드 서비스를 참조할 수 있습니다. L3_DEFAULT 전달 규칙은 UNSPECIFIED 프로토콜을 사용하는 백엔드 서비스만 참조할 수 있습니다.

L3_DEFAULT 프로토콜을 사용하는 경우 모든 포트에서 트래픽을 허용하도록 전달 규칙을 구성해야 합니다. 모든 포트를 구성하려면 Google Cloud CLI를 사용하여 --ports=ALL를 설정하거나 API를 사용하여 allPorts를 True로 설정합니다.

다음 표에서는 다양한 프로토콜에서 이러한 설정을 사용하는 방법을 요약합니다.

부하 분산되는 트래픽	전달 규칙 프로토콜	백엔드 서비스 프로토콜
TCP	TCP	TCP 또는 UNSPECIFIED
	L3_DEFAULT	UNSPECIFIED
UDP	UDP	UDP 또는 UNSPECIFIED
	L3_DEFAULT	UNSPECIFIED
ESP, GRE, ICMP/ICMPv6(에코 요청만)	L3_DEFAULT	UNSPECIFIED

여러 전달 규칙

여러 전달 규칙을 구성할 수 있으며, 전달 규칙에는 다음 두 가지 유형이 있습니다.

• 동일한 IP 주소에 대한 여러 전달 규칙 동일한 프로토콜 및 포트 조합을 사용하는 전달 규칙이 두 개 이상 없으면 동일한 IP 주소에 대해 여러 전달 규칙을 구성할 수 있습니다. 각 전달 규칙마다 각기 다른 백엔드 서비스가 있을 수 있으며 여러 전달 규칙이 동일한 백엔드 서비스를 가질 수 있습니다.

• 동일한 백엔드 서비스를 참조하는 여러 전달 규칙 동일한 백엔드 서비스에 대해 여러 전달 규칙을 구성할 수 있습니다. 첫 번째 항목에 명시된 조건을 충족하는 경우 두 개 이상의 전달 규칙이 동일한 IP 주소를 사용할 수 있으며, 각 전달 규칙이 고유한 IP 주소를 사용할 수도 있습니다.

전달 규칙 여러 개를 사용할 경우 백엔드 VM에서 실행 중인 애플리케이션이 부하 분산기 전달 규칙의 모든 외부 IP 주소에 바인딩되도록 구성해야 합니다.

여러 전달 규칙을 구성하면 다음과 같은 경우에 유용합니다.

• 동일한 백엔드 서비스에 외부 IP 주소를 두 개 이상 구성해야 합니다. 예를 들어 IPv4 주소용 전달 규칙 하나와 IPv6 주소용 전달 규칙 하나가 있습니다.
• 동일한 외부 IP 주소에 대해 서로 다른 프로토콜이나 겹치지 않는 포트 또는 포트 범위로 여러 전달 규칙을 구성해야 합니다. 전달 규칙은 동일한 백엔드 서비스를 사용하거나 서로 다른 백엔드 서비스를 사용할 수 있습니다.

여러 전달 규칙 프로토콜 및 포트 제약 조건

Google Cloud 는 수신 패킷을 처리하기 위해 최대 하나의 전달 규칙을 선택합니다. 다음 섹션에서 설명하는 조정 전달 규칙을 제외하고, 둘 이상의 전달 규칙이 동일한 리전 외부 IP 주소를 사용할 경우 다음 제약조건에 따라 규칙의 프로토콜과 포트 조합이 고유해야 합니다.

• 프로토콜의 모든 포트에 대해 전달 규칙을 구성한 경우 동일한 프로토콜 및 IP 주소를 사용하여 다른 전달 규칙을 만들 수 없습니다.

  TCP 또는 UDP 프로토콜을 사용하는 전달 규칙은 모든 포트를 사용하도록 구성하거나 특정 포트에 대해 구성할 수 있습니다. 예를 들어 IP 주소 198.51.100.1, TCP 프로토콜, 모든 포트를 사용하여 전달 규칙을 만든 경우 IP 주소 198.51.100.1 및 TCP 프로토콜을 사용하여 다른 전달 규칙을 만들 수 없습니다. 각각의 포트가 고유하거나 포트 범위가 겹치지 않는다면 IP 주소 198.51.100.1 및 TCP 프로토콜을 사용하는 전달 규칙을 두 개 만들 수 있습니다. 예를 들어 전달 규칙 중 하나의 포트가 80,443이고 다른 규칙은 포트 범위 81-442를 사용하는 경우 IP 주소 198.51.100.1 및 TCP 프로토콜을 사용하여 전달 규칙을 두 개 만들 수 있습니다.

• L3_DEFAULT 전달 규칙은 IP 주소당 하나만 만들 수 있습니다.

  이는 L3_DEFAULT 프로토콜은 모든 포트를 사용하도록 정의되어 있기 때문입니다. 이 컨텍스트에서 모든 포트라는 용어는 포트 정보가 없는 프로토콜을 포함합니다.

• 단일 L3_DEFAULT 전달 규칙은 특정 프로토콜 (TCP 또는 UDP) 및 동일한 IP 주소를 사용하는 다른 전달 규칙과 공존할 수 있습니다.

  IP 주소에 연결된 특정 TCP 또는 UDP 전달 규칙이 있는 경우 해당 IP 주소에 L3_DEFAULT 전달 규칙을 연결하여 특정 전달 규칙과 일치하지 않는 트래픽의 대체 역할을 할 수도 있습니다. L3_DEFAULT 전달 규칙은 패킷의 대상 IP 주소, 프로토콜, 대상 포트가 프로토콜별 전달 규칙과 일치하지 않는 경우에만 대상 IP 주소로 전송된 패킷을 처리합니다.
  

  이를 설명하기 위해 다음 두 시나리오를 가정해 보겠습니다. 두 시나리오의 전달 규칙은 동일한 IP 주소 198.51.100.1을 사용합니다.

  • 시나리오 1. 첫 번째 전달 규칙에는 L3_DEFAULT 프로토콜이 사용됩니다. 두 번째 전달 규칙에는 TCP 프로토콜 및 모든 포트가 사용됩니다. 198.51.100.1의 목적지 포트로 전송되는 TCP 패킷은 두 번째 전달 규칙에 의해 처리됩니다. 다른 프로토콜을 사용하는 패킷은 첫 번째 전달 규칙에 의해 처리됩니다.

  • 시나리오 2. 첫 번째 전달 규칙에는 L3_DEFAULT 프로토콜이 사용됩니다. 두 번째 전달 규칙에는 TCP 프로토콜 및 포트 8080이 사용됩니다. 198.51.100.1:8080으로 전송되는 TCP 패킷은 두 번째 전달 규칙에 의해 처리됩니다. 다른 대상 포트로 전송되는 TCP 패킷을 포함하여 다른 모든 패킷은 첫 번째 전달 규칙에 의해 처리됩니다.

전달 규칙 선택

Google Cloud 는 이 삭제 프로세스를 사용하여 패킷의 대상 IP 주소와 일치하는 전달 규칙 후보 집합부터 시작하여 1개 또는 0개의 전달 규칙을 선택합니다.

• L3_DEFAULT 전달 규칙을 제외하고, 프로토콜이 패킷의 프로토콜과 일치하지 않는 전달 규칙을 배제합니다. L3_DEFAULT는 모든 프로토콜과 일치하므로 L3_DEFAULT 프로토콜을 사용하는 전달 규칙은 이 단계에서 배제되지 않습니다. 예를 들어 패킷의 프로토콜이 TCP이면 UDP 프로토콜을 사용하는 전달 규칙만 배제됩니다.

• 포트가 패킷의 포트와 일치하지 않는 전달 규칙을 배제합니다. 모든 포트 전달 규칙은 모든 포트와 일치하므로 모든 포트에 구성된 전달 규칙은 이 단계에서 배제되지 않습니다.

• 나머지 전달 규칙 후보에 L3_DEFAULT 및 프로토콜별 전달 규칙이 모두 포함된 경우 L3_DEFAULT 전달 규칙을 제거합니다. 나머지 전달 규칙 후보가 모두 L3_DEFAULT 전달 규칙인 경우 이 단계에서 아무것도 제거되지 않습니다.

• 이때 나머지 전달 규칙 후보는 다음 카테고리 중 하나에 해당합니다.

  • 패킷의 대상 IP 주소, 프로토콜 및 포트와 일치하는 단일 전달 규칙이 유지되며 패킷을 라우팅하는 데 사용됩니다.

  • 패킷의 대상 IP 주소, 프로토콜, 포트와 일치하는 둘 이상의 전달 규칙 후보가 남겨집니다. 따라서 조정 전달 규칙도 남겨지는 전달 규칙 후보에 포함됩니다(다음 섹션에서 설명). 패킷의 소스 IP 주소를 포함하는 가장 구체적인(가장 긴 프리픽스 일치) CIDR이 소스 범위에 포함되는 조정 전달 규칙을 선택합니다. 패킷의 소스 IP 주소가 소스 범위에 포함되는 조정 전달 규칙이 없으면 상위 전달 규칙을 선택합니다.

  • 전달 규칙 후보가 0개로 유지되며 패킷이 삭제됩니다.

트래픽 조정

리전 외부 패스 스루 네트워크 부하 분산기의 전달 규칙은 특정 소스 IP 주소 또는 IP 주소 범위에서 들어오는 트래픽을 특정 백엔드 서비스 (또는 대상 인스턴스)로 전달하도록 구성할 수 있습니다.

트래픽 조정은 문제 해결 및 고급 구성에 유용합니다. 트래픽 조정을 사용하면 특정 클라이언트를 다른 백엔드 집합, 다른 백엔드 서비스 구성 또는 둘 모두에 전달할 수 있습니다. 예를 들면 다음과 같습니다.

• 트래픽 조정을 사용하면 두 개의 백엔드 서비스를 통해 동일한 백엔드(인스턴스 그룹 또는 NEG)로 트래픽을 전달하는 두 개의 전달 규칙을 만들 수 있습니다. 두 개의 백엔드 서비스는 다른 상태 확인, 다른 세션 어피니티 또는 다른 트래픽 분산 제어 정책(연결 추적, 연결 드레이닝, 장애 조치)으로 구성할 수 있습니다.
• 트래픽 조정을 사용하면 저대역폭 백엔드 서비스에서 고대역폭 백엔드 서비스로 트래픽을 리디렉션하는 전달 규칙을 만들 수 있습니다. 두 백엔드 서비스 모두 동일한 백엔드 VM 또는 엔드포인트 집합을 포함하지만, 가중치가 적용된 부하 분산을 사용하여 서로 다른 가중치로 부하 분산됩니다.
• 트래픽 조정을 사용하면 서로 다른 백엔드(인스턴스 그룹 또는 NEG)와 함께 서로 다른 백엔드 서비스로 트래픽을 전달하는 두 가지 전달 규칙을 만들 수 있습니다. 예를 들어 특정 소스 IP 주소의 트래픽을 보다 잘 처리하기 위해 다양한 머신 유형을 사용하여 하나의 백엔드를 구성할 수 있습니다.

트래픽 조정은 sourceIPRanges라는 전달 규칙 API 매개변수로 구성됩니다. 소스 IP 범위가 하나 이상 구성된 전달 규칙을 조정 전달 규칙이라고 합니다.

조정 전달 규칙은 sourceIPRanges 매개변수를 사용하여 최대 64개의 소스 IP 주소 또는 IP 주소 범위의 쉼표로 구분된 목록을 지정할 수 있습니다. 언제든지 이 소스 IP 주소 범위 목록을 업데이트할 수 있습니다.

각 전달 규칙에서는 먼저 상위 전달 규칙을 만들어야 합니다. 상위 및 조정 전달 규칙은 동일한 리전 외부 IP 주소, IP 프로토콜, 포트 정보를 공유합니다. 그러나 상위 전달 규칙에는 소스 IP 주소 정보가 없습니다. 예를 들면 다음과 같습니다.

• 상위 전달 규칙: IP 주소: 198.51.100.1, IP 프로토콜: TCP, 포트: 80
• 조정 전달 규칙: IP 주소: 198.51.100.1, IP 프로토콜: TCP, 포트: 80, sourceIPRanges: 203.0.113.0/24

백엔드 서비스를 가리키는 상위 전달 규칙은 백엔드 서비스 또는 대상 인스턴스를 가리키는 조정 전달 규칙과 연결할 수 있습니다.

지정된 상위 전달 규칙의 경우 두 개 이상의 조정 전달 규칙은 소스 IP 주소 범위와 IP 주소가 겹칠 수 있지만 동일하지는 않습니다. 예를 들어 하나의 조정 전달 규칙은 소스 IP 범위 203.0.113.0/24를 가질 수 있고, 동일한 상위 항목에 대한 또 다른 조정 전달 규칙은 소스 IP 주소 203.0.113.0을 가질 수 있습니다.

종속 상위 전달 규칙을 삭제하려면 먼저 모든 조정 전달 규칙을 삭제해야 합니다.

조정 전달 규칙이 사용되는 경우 수신 패킷이 처리되는 방식을 알아보려면 전달 규칙 선택을 참조하세요.

조정 변경사항에서 세션 어피니티 동작

이 섹션에서는 조정 전달 규칙에 구성된 소스 IP 주소 범위가 업데이트될 때 세션 어피니티가 중단될 수 있는 조건을 설명합니다.

• 조정 전달 규칙의 소스 IP 범위를 변경한 후 기존 연결이 동일한 전달 규칙과 계속 일치하면 세션 어피니티가 중단되지 않습니다. 변경으로 인해 기존 연결이 다른 전달 규칙과 일치하는 경우:
• 세션 어피니티는 다음과 같은 상황에서 항상 중단됩니다.
  • 새로 일치하는 전달 규칙은 이전에 선택한 백엔드 VM을 참조하지 않는 백엔드 서비스(또는 대상 인스턴스)로 설정된 연결을 전달합니다.
  • 새로 일치하는 전달 규칙은 설정된 연결을 이전에 선택한 백엔드 VM을 참조하는 백엔드 서비스로 전달하지만, 백엔드 서비스는 백엔드가 비정상일 때 연결을 유지하도록 구성되어 있지 않으며, 백엔드 VM이 백엔드 서비스의 상태 확인에 실패합니다.
• 새로 일치하는 전달 규칙이 설정된 연결을 백엔드 서비스로 전달하고 백엔드 서비스가 이전에 선택한 VM을 참조하는 경우 세션 어피니티가 중단될 수 있지만, 백엔드 서비스의 세션 어피니티와 연결 추적 모드의 조합으로 인해 다른 연결 추적 해시가 발생합니다.

조정 변경사항에서 세션 어피니티 보존

이 섹션에서는 조정 전달 규칙의 소스 IP 범위가 업데이트될 때 세션 어피니티가 중단되는 것을 방지하는 방법을 설명합니다.

• 백엔드 서비스를 가리키는 조정 전달 규칙. 상위 요소 및 조정 전달 규칙이 모두 백엔드 서비스를 가리키는 경우 세션 어피티니 및 연결 추적 정책 설정이 동일한지 직접 확인해야 합니다.Google Cloud 는 이러한 설정이 동일하지 않을 때 구성을 자동으로 거부하지 않습니다.
• 대상 인스턴스를 가리키는 조정 전달 규칙. 백엔드 서비스를 가리키는 상위 전달 규칙은 대상 인스턴스를 가리키는 조정 전달 규칙과 연결할 수 있습니다. 이 경우 조정 전달 규칙은 상위 전달 규칙에서 세션 어피니티 및 연결 추적 정책 설정을 상속합니다.

트래픽 조정을 구성하는 방법은 트래픽 조정 구성을 참조하세요.

리전 백엔드 서비스

각 리전 외부 패스 스루 네트워크 부하 분산기에는 부하 분산기 동작과 트래픽이 백엔드에 배포되는 방식을 정의하는 리전 백엔드 서비스 하나가 포함됩니다. 백엔드 서비스 이름은 Google Cloud 콘솔에 표시된 리전별 외부 패스 스루 네트워크 부하 분산기의 이름입니다.

각 백엔드 서비스는 다음과 같은 백엔드 매개변수를 정의합니다.

• 프로토콜. 백엔드 서비스는 하나 이상의 리전 외부 전달 규칙에 지정된 IP 주소 및 포트(구성된 경우)에서 트래픽을 허용합니다. 백엔드 서비스는 패킷의 소스 및 대상 IP 주소, 프로토콜, 프로토콜이 포트 기반인 경우 소스 및 대상 포트를 보존하면서 백엔드 VM에 패킷을 전달합니다.

  리전 외부 패스 스루 네트워크 부하 분산기에 사용되는 백엔드 서비스는 TCP, UDP, UNSPECIFIED 프로토콜 옵션을 지원합니다.

  UNSPECIFIED 프로토콜의 백엔드 서비스는 전달 규칙 프로토콜에 관계없이 모든 전달 규칙에 사용될 수 있습니다. 특정 프로토콜(TCP 또는 UDP)의 백엔드 서비스는 같은 프로토콜(TCP 또는 UDP)의 전달 규칙으로만 참조될 수 있습니다. L3_DEFAULT 프로토콜의 전달 규칙은 UNSPECIFIED 프로토콜의 백엔드 서비스만 참조할 수 있습니다.

  전달 규칙과 백엔드 서비스 프로토콜의 가능한 조합이 나와 있는 표는 전달 규칙 프로토콜 사양을 참조하세요.

• 트래픽 분산. 백엔드 서비스는 구성된 세션 어피니티, 연결 추적 정책, 가중 부하 분산 설정에 따라 트래픽을 배포할 수 있게 합니다. 또한 백엔드 서비스에서 연결 드레이닝을 사용 설정하고 부하 분산기에 장애 조치 백엔드를 지정하도록 구성할 수 있습니다. 대부분의 설정에는 빠른 시작에 도움이 되는 기본값이 있습니다. 자세한 내용은 리전 외부 패스 스루 네트워크 부하 분산기의 트래픽 배포를 참고하세요.

• 상태 점검. 백엔드 서비스에는 연결된 리전 상태 확인이 있어야 합니다.

• 백엔드. 각 백엔드 서비스는 단일 리전에서 작동하며 동일 리전의 인스턴스 그룹 또는 영역별 NEG로 트래픽을 배포합니다. 인스턴스 그룹 또는 영역 NEG는 리전 외부 패스 스루 네트워크 부하 분산기의 백엔드로 사용할 수 있지만 이 둘의 조합은 사용할 수 없습니다.

  • 인스턴스 그룹을 선택할 경우 비관리형 인스턴스 그룹, 영역 관리형 인스턴스 그룹, 리전 관리형 인스턴스 그룹, 인스턴스 그룹 유형의 조합을 사용할 수 있습니다.
  • 영역별 NEG를 선택하는 경우 GCE_VM_IP 영역별 NEG를 사용해야 합니다.

  해당 인스턴스 그룹 또는 NEG가 백엔드 서비스에 아직 연결되지 않았어도 각 인스턴스 그룹 또는 NEG 백엔드에는 연관된 VPC 네트워크가 있습니다. 네트워크가 각 백엔드 유형과 연결되는 방식에 대한 자세한 내용은 인스턴스 그룹 백엔드 및 네트워크 인터페이스 및 영역 NEG 백엔드 및 네트워크 인터페이스를 참조하세요.

인스턴스 그룹

리전 외부 패스 스루 네트워크 부하 분산기는 관리형 또는 비관리형 인스턴스 그룹 내에 포함된 백엔드 VM 간에 연결을 분산합니다. 인스턴스 그룹은 범위 내 리전이나 영역일 수 있습니다.

해당 인스턴스 그룹이 백엔드 서비스에 아직 연결되지 않았어도 각 인스턴스 그룹에는 연관된 VPC 네트워크가 있습니다. 네트워크가 인스턴스 그룹과 연결되는 방식에 대한 자세한 내용은 인스턴스 그룹 백엔드 및 네트워크 인터페이스를 참조하세요.

리전 외부 패스 스루 네트워크 부하 분산기는 고가용성을 우선으로 설계되었습니다. 메커니즘이 단일 기기 또는 VM 인스턴스에 의존하지 않으므로 부하 분산기의 가용성을 높이기 위해 필요한 특별한 단계는 없습니다. 부하 분산기가 특정 영역에서 잠재적인 문제를 해결할 수 있도록 백엔드 VM 인스턴스가 여러 영역에 배포되었는지만 확인하면 됩니다.

• 리전 관리형 인스턴스 그룹. 인스턴스 템플릿을 사용하여 소프트웨어를 배포할 수 있으면 리전 관리형 인스턴스 그룹을 사용합니다. 리전 관리형 인스턴스 그룹은 여러 영역 간에 트래픽을 자동으로 분산하므로 특정 영역에서 발생할 수 있는 문제를 방지하는 최고의 방법입니다.

  리전 관리형 인스턴스 그룹을 사용한 배포 예시는 다음과 같습니다. 인스턴스 그룹에는 인스턴스를 프로비저닝하는 방법을 정의하는 인스턴스 템플릿이 있으며 각 그룹은 us-central1 리전의 영역 세 개 내에 인스턴스를 배포합니다.

  

• 영역 관리형 또는 비관리형 인스턴스 그룹. 같은 리전 내 다른 영역에 있는 영역 인스턴스 그룹을 사용하여 특정 영역에서 문제가 발생하지 않도록 보호할 수 있습니다.

  영역 인스턴스 그룹을 사용한 배포 예시는 다음과 같습니다. 이 부하 분산기는 두 영역 간에 가용성을 제공합니다.

  

영역별 NEG

리전 외부 패스 스루 네트워크 부하 분산기는 영역별 네트워크 엔드포인트 그룹 내에 연결된 GCE_VM_IP 엔드포인트 간에 연결을 배포합니다. 이러한 엔드포인트는 부하 분산기와 동일한 리전에 있어야 합니다. 몇 가지 권장되는 영역별 NEG 사용 사례에 대해서는 영역별 네트워크 엔드포인트 그룹 개요를 참조하세요.

영역별 NEG는 IPv4 및 이중 스택(IPv4 및 IPv6) VM을 모두 지원합니다. IPv4 및 이중 스택 VM 모두 NEG에 엔드포인트를 연결할 때 VM 인스턴스만 지정해도 충분합니다. 엔드포인트의 IP 주소를 지정할 필요가 없습니다. VM 인스턴스는 NEG와 동일한 영역에 있어야 합니다.

해당 영역별 NEG가 아직 백엔드 서비스에 연결되지 않은 경우에도 각 영역별 NEG에는 연결된 VPC 네트워크와 서브넷이 포함됩니다. 네트워크가 영역별 NEG와 연결되는 방식에 대한 자세한 내용은 영역별 NEG 백엔드 및 네트워크 인터페이스를 참조하세요.

인스턴스 그룹 백엔드 및 네트워크 인터페이스

인스턴스 그룹과 연결된 VPC 네트워크 및 서브넷은 인스턴스 그룹 백엔드 및 네트워크 인터페이스에 설명된 대로 암시적으로 설정됩니다.

부하 분산된 트래픽을 nic0가 아닌 부하 분산기 타겟 인터페이스에 분산하려면 인스턴스 그룹 백엔드를 사용할 수 없습니다. 대신 GCE_VM_IP 엔드포인트를 사용하여 영역별 NEG를 사용하세요. 자세한 내용은 백엔드 서비스 및 VPC 네트워크를 참고하세요.

영역 NEG 백엔드 및 네트워크 인터페이스

GCE_VM_IP 엔드포인트가 있는 영역 NEG와 연결된 VPC 네트워크 및 서브넷은 NEG가 생성될 때 설정됩니다. 엔드포인트에 관한 자세한 내용과 규칙은 GCE_VM_IP 영역별 NEG 백엔드 및 네트워크 인터페이스를 참고하세요.

백엔드 서비스 및 VPC 네트워크

백엔드 서비스는 VPC 네트워크와 연결되지 않지만 앞에서 설명한 것처럼 각 백엔드 인스턴스 그룹 또는 영역별 NEG가 VPC 네트워크와 연결됩니다. 모든 백엔드가 동일한 리전 및 프로젝트에 있고, 모든 백엔드의 유형 (인스턴스 그룹 또는 영역별 NEG)이 동일하기만 하면 부하 분산기와 백엔드가 동일하거나 서로 다른 VPC 네트워크에 있어도 됩니다.

nic0가 아닌 인터페이스에 패킷을 배포하려면 다음 요구사항을 모두 충족해야 합니다.

• 인스턴스 그룹이 아닌 영역 NEG (GCE_VM_IP 엔드포인트 포함)를 사용해야 합니다.

• nic0이 아닌 인터페이스는 부하 분산기 타겟 인터페이스여야 합니다. 자세한 내용은 GCE_VM_IP 영역별 NEG 백엔드 및 네트워크 인터페이스를 참고하세요.

이중 스택 백엔드(IPv4 및 IPv6)

부하 분산기가 IPv4 및 IPv6 트래픽을 모두 처리하는 이중 스택 백엔드를 사용하도록 하려면 다음 요구사항을 확인하세요.

• 백엔드는 부하 분산기의 IPv6 전달 규칙과 동일한 리전에 있는 이중 스택 서브넷에 구성되어야 합니다. 백엔드의 경우 ipv6-access-type이 EXTERNAL 또는 INTERNAL로 설정된 서브넷을 사용할 수 있습니다. 백엔드 서브넷의 ipv6-access-type이 INTERNAL로 설정된 경우 부하 분산기의 외부 전달 규칙에 대해 ipv6-access-type이 EXTERNAL로 설정된 다른 IPv6 전용 서브넷 또는 이중 스택 서브넷을 사용해야 합니다.
• 백엔드를 stack-type이 IPV4_IPV6로 설정된 이중 스택으로 구성해야 합니다. 백엔드 서브넷의 ipv6-access-type이 EXTERNAL로 설정된 경우 --ipv6-network-tier도 PREMIUM 또는 STANDARD(미리보기)로 설정해야 합니다. 자세한 내용은 IPv6 주소로 인스턴스 템플릿 만들기를 참고하세요.

IPv6 전용 백엔드

부하 분산기가 IPv6 전용 백엔드를 사용하도록 하려면 다음 요구사항을 확인하세요.

• IPv6 전용 인스턴스는 관리형 및 비관리형 인스턴스 그룹에서 지원됩니다. 다른 백엔드 유형은 지원되지 않습니다.
• 백엔드는 부하 분산기의 IPv6 전달 규칙과 동일한 리전에 있는 이중 스택 또는 IPv6 전용 서브넷에 구성해야 합니다. 백엔드의 경우 ipv6-access-type이 INTERNAL 또는 EXTERNAL로 설정된 서브넷을 사용할 수 있습니다. 백엔드 서브넷의 ipv6-access-type이 INTERNAL로 설정된 경우 부하 분산기의 외부 전달 규칙에 대해 ipv6-access-type이 EXTERNAL로 설정된 다른 IPv6 전용 서브넷을 사용해야 합니다.
• 백엔드를 VM stack-type이 IPV6_ONLY로 설정된 IPv6 전용으로 구성해야 합니다. 백엔드 서브넷의 ipv6-access-type이 EXTERNAL로 설정된 경우 --ipv6-network-tier은 VM이 속한 서브넷의 IPv6 네트워크 등급과 일치해야 합니다. 자세한 내용은 IPv6 주소로 인스턴스 템플릿 만들기를 참고하세요.

IPv6 전용 VM은 이중 스택 및 IPv6 전용 서브넷 모두에서 만들 수 있지만 이중 스택 VM은 IPv6 전용 서브넷에서 만들 수 없습니다.

상태 점검

상태 점검 정보는 새 연결에 적합한 백엔드를 결정하고 비정상 백엔드에서 기존 연결이 유지되는지 여부를 제어하는 데 사용됩니다.

상태 점검 유형, 프로토콜, 포트

부하 분산기의 백엔드 서비스는 지원되는 상태 점검 프로토콜과 포트를 사용하여 리전 상태 점검을 참조해야 합니다. 상태 점검 프로토콜 및 포트 세부정보는 전달 규칙 프로토콜 및 포트 정보와 일치하지 않아도 됩니다.

지원되는 모든 상태 점검 프로토콜은 TCP를 사용하므로(UDP 상태 점검은 지원되지 않음) 리전 외부 패스 스루 네트워크 부하 분산기를 사용하여 다른 프로토콜의 연결과 트래픽을 분산하는 경우 백엔드 VM은 상태 점검 프로브에 응답하기 위해 TCP 기반 서버를 실행해야 합니다. 예를 들어 각 백엔드 VM에서 HTTP 서버를 실행하는 것과 함께 HTTP 상태 점검을 사용할 수 있습니다. 이 예시에서는 부하 분산 연결을 수신하는 소프트웨어가 작동하는 경우에만 상태 200를 반환하도록 HTTP 서버를 구성하는 것은 스크립트 또는 소프트웨어의 책임입니다.

지원되는 상태 점검 프로토콜 및 포트에 대한 자세한 내용은 상태 점검 카테고리, 프로토콜, 포트 및 상태 점검 작동 방식을 참고하세요.

상태 점검 패킷

인스턴스 그룹 백엔드의 경우 상태 점검 프로버가 각 백엔드 VM의 nic0 네트워크 인터페이스로 패킷을 전송합니다. GCE_VM_IP 영역 NEG 백엔드의 경우 상태 점검 프로버가 NEG의 VPC 서브네트워크에 있는 네트워크 인터페이스로 패킷을 전송합니다. 상태 점검 패킷에는 다음과 같은 특징이 있습니다.

• 관련 상태 점검 프로브 IP 범위의 소스 IP 주소입니다.

• 리전 외부 패스 스루 네트워크 부하 분산기 백엔드 서비스를 참조하는 전달 규칙의 각 IP 주소와 일치하는 대상 IP 주소

• 상태 점검에 지정한 포트 번호와 일치하는 대상 포트입니다.

백엔드 VM에서 실행되는 애플리케이션은 관련 IP 주소 및 포트 조합에 바인딩하고 이를 수신해야 합니다. 이렇게 하려면 VM의 IP 주소 (0.0.0.0 또는 ::/0) 중 하나의 관련 포트에 바인딩하고 수신 대기하도록 애플리케이션을 구성합니다. 자세한 내용은 프로브 패킷 대상을 참고하세요.

방화벽 규칙

리전 외부 패스 스루 네트워크 부하 분산기는 프록시가 아니기 때문에 프로토콜에 포트 정보가 포함된 경우 소스 및 대상 IP 주소, 프로토콜, 포트를 수정하지 않고 백엔드 VM으로 트래픽을 전달합니다. 따라서 인그레스 허용 방화벽 규칙 또는 인그레스 허용 계층식 방화벽 정책을 만들어 부하 분산기의 백엔드 VM에 대한 액세스를 제어해야 합니다. 특히 상태 점검 및 부하 분산을 수행하는 트래픽을 허용해야 합니다. 그렇지 않으면 내재된 인그레스 거부 방화벽 규칙이 모든 외부 소스 IP 주소에서 수신되는 패킷을 차단합니다.

전달 규칙 및 인그레스는 방화벽 규칙 또는 계층적 방화벽 정책이 다음 방식으로 함께 작동하도록 허용합니다. 여기에서 전달 규칙은 대상 IP 주소, 프로토콜을 지정하고, 정의된 경우 백엔드 VM에 전달되기 위해 패킷이 충족시켜야 하는 포트 요구 사항을 지정합니다. 인그레스 허용 방화벽 규칙은 방화벽이 전달된 패킷을 VM에 전달하는지 아니면 삭제하는지 제어합니다. Google Cloud 기본 VPC 네트워크에는 자동 입력된 인그레스 허용 방화벽 규칙이 일부 제한적으로 포함되어 있습니다.

• 인터넷의 모든 IP 주소로부터 트래픽을 허용하려면 0.0.0.0/0 또는 ::/0 소스 범위로 인그레스 허용 방화벽 규칙을 만들어야 합니다. 특정 IP 주소 범위의 트래픽만 허용하려면 더 제한적인 소스 범위를 사용합니다.

• 보안 권장사항에 따라 인그레스 허용 방화벽 규칙은 필요한 IP 프로토콜 및 포트만 허용해야 합니다. 프로토콜(및 가능한 경우 포트) 구성을 제한하는 것은 해당 프로토콜이 L3_DEFAULT로 설정된 전달 규칙을 사용할 때 특히 중요합니다. L3_DEFAULT 전달 규칙은(프로토콜과 패킷에 포트 정보가 포함된 경우에는 모든 포트에서) 지원되는 모든 IP 프로토콜의 패킷을 전달합니다.

• 리전 외부 패스 스루 네트워크 부하 분산기는 Google Cloud 상태 점검을 사용합니다. 따라서 항상 상태 확인 IP 주소 범위의 트래픽을 허용해야 합니다. 부하 분산기 상태 점검의 프로토콜과 포트에 따라 이러한 인그레스 허용 방화벽 규칙을 구성할 수 있습니다.

요청 및 반환 패킷의 IP 주소

백엔드 VM이 클라이언트에서 부하 분산된 패킷을 수신하면 패킷의 소스 및 대상은 다음과 같습니다.

• 소스: 클라이언트, Google Cloud VM 또는 인터넷에 있는 시스템과 연결된 외부 IP 주소입니다.
• 대상: 부하 분산기의 전달 규칙의 IP 주소입니다.

부하 분산기는 프록시가 아닌 패스스루 부하 분산기이므로 패킷은 부하 분산기 전달 규칙의 IP 주소를 갖습니다.

게스트 환경은 VM의 운영체제가 부하 분산기의 IP 주소로 향하는 트래픽을 수락하도록 로컬 경로를 자동으로 구성하지만, 애플리케이션이 VM에 할당된 내부 IP 주소에서만 리슨하도록 구성된 경우 운영체제는 이러한 패킷을 애플리케이션에 전달할 수 없습니다.

운영체제가 패킷을 애플리케이션에 전달하도록 하려면 백엔드 VM에서 실행되는 애플리케이션이 다음을 수행하도록 구성하세요.

• 부하 분산기의 전달 규칙 IP 주소 또는 모든 IP 주소(0.0.0.0 또는 ::)에 리슨(결합)

• 부하 분산기 전달 규칙의 프로토콜이 포트를 지원하는 경우 부하 분산기의 전달 규칙에 포함된 포트를 리슨(바인딩)

반환 패킷은 부하 분산기의 백엔드 VM에서 클라이언트로 직접 전송됩니다. 반환 패킷의 소스 IP 주소는 프로토콜에 따라 달라집니다.

• TCP는 연결 지향적이므로 클라이언트가 적절한 TCP 연결로 응답 패킷을 연결할 수 있도록 백엔드 VM은 소스 IP 주소가 요청 패킷의 대상 IP 주소와 일치하는 패킷으로 응답해야 합니다.
• UDP, ESP, GRE, ICMP, ICMPv6는 연결 지향적이지 않습니다. 백엔드 VM은 소스 IP 주소가 전달 규칙의 IP 주소와 일치하거나 VM에 할당된 외부 IP 주소와 일치하는 응답 패킷을 보낼 수 있습니다. 사실상 대부분의 클라이언트는 패킷을 전송한 IP 주소와 동일한 IP주소에서 응답을 받아야 합니다.

다음 표에는 응답 패킷의 소스 및 대상 IP 주소가 요약되어 있습니다.

트래픽 유형	소스	대상
TCP	요청 패킷의 대상	요청 패킷의 소스
UDP, ESP, GRE, ICMP, ICMPv6	대부분의 사용 사례에서 요청 패킷의 대상1	요청 패킷의 소스

반환 경로

리전 외부 패스 스루 네트워크 부하 분산기는 VPC 네트워크 외부의 특수 경로를 사용하여 들어오는 요청과 상태 확인 프로브를 각 백엔드 VM에 전달합니다.

부하 분산기는 패킷의 소스 IP 주소를 유지합니다. 백엔드 VM의 응답은 부하 분산기를 통하지 않고 클라이언트에 직접 전달됩니다. 업계에서는 이를 직접 서버 반환이라 합니다.

백엔드의 아웃바운드 인터넷 연결

리전 외부 패스 스루 네트워크 부하 분산기의 백엔드 엔드포인트로 구성된 VM 인스턴스는 부하 분산기의 전달 규칙 IP 주소를 아웃바운드 연결의 소스 IP 주소로 사용하여 인터넷 연결을 시작할 수 있습니다.

일반적으로 VM 인스턴스는 항상 자체 외부 IP 주소 또는 Cloud NAT를 사용하여 연결을 시작합니다. 전달 규칙 IP 주소는 VM 인스턴스가 동일한 외부 IP 주소에서 연결을 시작하고 수신해야 하는 경우와 같이 특수한 시나리오에서만 백엔드 엔드포인트에서 연결을 시작하는 데 사용하며, 인바운드 연결에 리전 외부 패스 스루 네트워크 부하 분산기에서 제공하는 백엔드 중복도 필요합니다.

백엔드 VM에서 인터넷으로 직접 전송되는 아웃바운드 패킷은 트래픽 프로토콜 및 포트에 대한 제한이 없습니다. 아웃바운드 패킷에 전달 규칙의 IP 주소가 소스로 사용되더라도 패킷의 프로토콜 및 소스 포트가 전달 규칙의 프로토콜 및 포트 사양과 일치할 필요가 없습니다. 하지만 인바운드 응답 패킷은 전달 규칙의 전달 규칙 IP 주소, 프로토콜, 목적지 포트와 일치해야 합니다. 자세한 내용은 리전 외부 패스 스루 네트워크 부하 분산기 및 외부 프로토콜 전달의 경로를 참고하세요.

또한 VM의 아웃바운드 연결에 대한 응답 트래픽도 외부에서 부하 분산기로 들어오는 다른 인바운드 패킷과 마찬가지로 부하 분산 처리됩니다. 즉, 응답이 인터넷 연결을 시작한 동일한 백엔드 VM에 도착하지 않을 수 있습니다. 아웃바운드 연결과 부하 분산된 인바운드 연결이 공통 프로토콜과 포트를 공유할 경우 다음 제안 방법 중 하나를 시도해볼 수 있습니다.

• 연결을 시작한 것과 다른 백엔드 VM에 응답이 도착할 경우에도 연결을 제공할 수 있도록 백엔드 VM 간에 아웃바운드 연결 상태를 동기화합니다.

• 단일 기본 VM과 단일 백업 VM이 있는 장애 조치 구성을 사용합니다. 그러면 아웃바운드 연결을 시작하는 활성 백엔드 VM에 항상 응답 패킷이 수신됩니다.

리전별 외부 패스 스루 네트워크 부하 분산기의 백엔드에서 인터넷에 연결하는 이 경로는 Google Cloud의 암시적 방화벽 규칙에 따른 의도된 기본 동작입니다. 하지만 이 경로를 열어 두는 것과 관련된 보안 우려가 있으면 대상별 이그레스 방화벽 규칙을 사용하여 인터넷에 대해 요청되지 않은 아웃바운드 트래픽을 차단할 수 있습니다.

공유 VPC 아키텍처

리전 외부 패스 스루 네트워크 부하 분산기의 공유 VPC 아키텍처와 관련하여 다음 사항에 유의하세요.

• IP 주소 리소스를 제외한 리전 외부 패스 스루 네트워크 부하 분산기와 연결된 다른 모든 리소스(전달 규칙, 백엔드 서비스, 상태 점검, 백엔드 그룹(인스턴스 그룹 또는 NEG))는 동일한 프로젝트에 있어야 하며 이 프로젝트는 호스트 프로젝트 또는 서비스 프로젝트일 수 있습니다.

• 부하 분산 리소스가 호스트 프로젝트에 있는 경우 IP 주소 리소스도 호스트 프로젝트에 있어야 합니다.

• 부하 분산 리소스가 서비스 프로젝트에 있는 경우 IP 주소 리소스는 동일한 서비스 프로젝트 또는 호스트 프로젝트에 있을 수 있습니다.

다음 표에는 공유 VPC 아키텍처에서 리전 외부 패스 스루 네트워크 부하 분산기의 다양한 구성요소가 있는 위치가 간략하게 설명되어 있습니다.

부하 분산 리소스의 위치1	IP 주소 리소스의 필수 위치
호스트 프로젝트	호스트 프로젝트
서비스 프로젝트	서비스 프로젝트또는 호스트 프로젝트

트래픽 분산

리전 외부 패스 스루 네트워크 부하 분산기는 세션 어피니티, 연결 추적, 가중 부하 분산, 장애 조치를 비롯한 다양한 트래픽 분산 맞춤설정 옵션을 지원합니다. 리전 외부 패스 스루 네트워크 부하 분산기가 트래픽을 배포하는 방법과 이러한 옵션이 서로 상호작용하는 방식에 대한 자세한 내용은 리전 외부 패스 스루 네트워크 부하 분산기의 트래픽 분산을 참고하세요.

제한사항

• Google Cloud 콘솔을 사용해서는 다음 태스크를 수행할 수 없습니다.

  • 전달 규칙에 L3_DEFAULT 프로토콜이 사용되는 리전 외부 패스스루 네트워크 부하 분산기를 만들거나 수정합니다.
  • 백엔드 서비스 프로토콜이 UNSPECIFIED로 설정된 리전별 외부 패스 스루 네트워크 부하 분산기를 만들거나 수정합니다.
  • 연결 추적 정책을 구성하는 리전 외부 패스 스루 네트워크 부하 분산기를 만들거나 수정합니다.
  • 전달 규칙의 소스 IP 기반 트래픽 조정을 만들거나 수정합니다.

  대신 Google Cloud CLI 또는 REST API를 사용하세요.

• 리전 외부 패스 스루 네트워크 부하 분산기는 VPC 네트워크 피어링을 지원하지 않습니다.

• 동적 NIC의 경우 별칭 IP 범위, 프로토콜 전달 또는 패스 스루 네트워크 부하 분산기와 함께 동적 NIC를 사용할 때 패킷이 삭제됨이라는 알려진 문제에 설명된 대로 전달 규칙 IP 주소의 로컬 경로를 수동으로 추가해야 합니다.

가격 책정

가격 정보는 네트워크 가격 책정: Cloud Load Balancing을 참고하세요.

다음 단계

• TCP 또는 UDP 트래픽용 백엔드 서비스 (IPv4 및 IPv6 트래픽 지원)로 리전별 외부 패스 스루 네트워크 부하 분산기를 구성하려면 백엔드 서비스를 사용하여 리전별 외부 패스 스루 네트워크 부하 분산기 설정을 참고하세요.
• 여러 IP 프로토콜 (IPv4 및 IPv6 트래픽 지원)에 대해 리전 외부 패스 스루 네트워크 부하 분산기를 구성하려면 여러 IP 프로토콜용 리전 외부 패스 스루 네트워크 부하 분산기 설정을 참고하세요.
• 영역별 NEG 백엔드를 사용하여 리전 외부 패스 스루 네트워크 부하 분산기를 구성하려면 영역별 NEG를 사용하여 리전 외부 패스 스루 네트워크 부하 분산기 설정을 참고하세요.
• 대상 풀을 사용하여 리전 외부 패스 스루 네트워크 부하 분산기를 구성하려면 대상 풀로 리전 외부 패스 스루 네트워크 부하 분산기 설정을 참고하세요.
• 리전 외부 패스 스루 네트워크 부하 분산기를 대상 풀 백엔드에서 리전 백엔드 서비스로 전환하는 방법은 리전 외부 패스 스루 네트워크 부하 분산기를 대상 풀에서 백엔드 서비스로 전환을 참고하세요.
• 사전 빌드된 Terraform 템플릿을 사용하여 Google Cloud의 네트워킹 인프라 설정 및 관리를 간소화하려면 간소화된 Cloud 네트워킹 구성 솔루션 GitHub 저장소를 살펴보세요.