Связаться с намиПодключиться

Миграция сервисов с балансировщика NLB с целевыми ресурсами из группы виртуальных машин (Instance Groups) на L7-балансировщик ALB

Статья создана
Обновлена 13 декабря 2024 г.

В этом практическом руководстве рассмотрен вариант, когда используется интеграция балансировщика Yandex Network Load Balancer с группой виртуальных машин (ВМ). Эта группа ВМ отслеживает количество ВМ в группе и при необходимости изменяет состав целевой группы балансировщика. Группа ВМ может интегрироваться только с одним из балансировщиков — сетевым или L7-балансировщиком Yandex Application Load Balancer. Поэтому при миграции необходимо изменить для группы ВМ интеграцию с целевой группой: целевую группу сетевого балансировщика заменить на целевую группу L7-балансировщика.

Схема работы L7-балансировщика с подключенным профилем безопасности Yandex Smart Web Security:

Чтобы мигрировать сервис с сетевого балансировщика на L7-балансировщик:

  1. Ознакомьтесь с рекомендациями по миграции сервисов.
  2. Выполните подготовительные действия.
  3. Создайте профиль безопасности Yandex Smart Web Security.
  4. Создайте L7-балансировщик. На этом этапе вы подключите профиль безопасности Smart Web Security к виртуальному хосту L7-балансировщика.
  5. Мигрируйте пользовательскую нагрузку с сетевого балансировщика на L7-балансировщик.

Рекомендации по миграции сервисов

  1. Дополнительно к защите от DDoS-атак на уровне L7 модели OSI с помощью Yandex Smart Web Security рекомендуется подключить защиту от DDoS-атак на уровне L3-L4. Для этого заранее зарезервируйте статический публичный IP-адрес с защитой от DDoS-атак и используйте этот адрес для обработчика L7-балансировщика.

    Если у обработчика сетевого балансировщика уже используется публичный IP-адрес с защитой от DDoS, то вы сможете сохранить его и перенести в L7-балансировщик.

    Если у обработчика сетевого балансировщика используется публичный IP-адрес без защиты от DDoS, то для защиты от DDoS-атак на уровне L3-L4 миграция на L7-балансировщик возможна только со сменой публичного IP-адреса для вашего сервиса.

    При использовании защиты от DDoS-атак на уровне L3-L4 настройте порог для срабатывания механизмов защиты на уровне L3-L4, который будет соответствовать объему легитимного трафика на защищаемый ресурс. Для настройки такого порога обратитесь в техническую поддержку.

    Также задайте значение MTU равным 1450 на целевых ресурсах за балансировщиком. Подробнее см. в разделе Настроить MTU при включении защиты от DDoS-атак.

  2. Работы по миграции рекомендуется проводить в часы наименьшей пользовательской нагрузки. В процессе миграции для группы ВМ изменяется интеграция с целевой группой и происходит перенос публичного IP-адреса с сетевого балансировщика на L7-балансировщик. В это время ваш сервис будет недоступен. Время недоступности сервиса зависит от количества ВМ в группе, настроек политик развертывания и в штатном режиме может занимать от нескольких минут до нескольких десятков минут.

  3. При использовании L7-балансировщика запросы на бэкенды приходят с IP-адресом источника из диапазона внутренних IP-адресов подсетей, указанных при создании L7-балансировщика. Исходный IP-адрес источника запроса (пользователя) фигурирует в заголовке X-Forwarded-For. Если необходимо журналировать публичные IP-адреса пользователей на веб-сервере, измените его конфигурацию.

  4. Ознакомьтесь с автомасштабированием и ресурсными единицами в L7-балансировщике.

Перед началом работы

  1. Создайте подсети в трех зонах доступности. Эти подсети будут использоваться для L7-балансировщика.

  2. Создайте группы безопасности, которые разрешают L7-балансировщику получать входящий трафик и отправлять его на целевые ресурсы, а также разрешают целевым ресурсам получать входящий трафик от балансировщика.

  3. При использовании протокола HTTPS добавьте TLS-сертификат вашего сервиса в Yandex Certificate Manager.

  4. Зарезервируйте публичный статический IP-адрес с защитой от DDoS на уровне L3-L4 для L7-балансировщика. См. рекомендации по миграции сервисов.

Создайте профиль безопасности Smart Web Security

Создайте профиль безопасности Smart Web Security, выбрав вариант создания По преднастроенному шаблону.

При создании профиля задайте настройки:

  • В поле Действие для базового правила по умолчанию выберите Разрешить.
  • Для правила Smart Protection включите опцию Только логирование (dry run).

С этими настройками будет выполняться только логирование информации о трафике без применения к нему каких-либо действий. Это позволит снизить риск отключения пользователей из-за проблем в настройке профиля. Постепенно вы сможете отключить опцию Только логирование (dry run) и настроить правила с запрещающими действиями в профиле безопасности для вашего сценария.

Создайте L7-балансировщик

  1. Создайте целевую группу L7-балансировщика. В блоке Целевые ресурсы выберите виртуальные машины из целевой группы вашего сетевого балансировщика нагрузки.

  2. Создайте группу бэкендов со следующими параметрами:

    1. Выберите тип группы бэкендов HTTP.

    2. Если для вашего сервиса требуется, чтобы запросы в рамках одной пользовательской сессии обрабатывал один и тот же ресурс бэкенда, включите для группы бэкендов привязку сессий (session affinity).

    3. В блоке Бэкенды нажмите кнопку Добавить и задайте настройки бэкенда:

      • Тип — Целевая группа.
      • Целевые группы — созданная ранее целевая группа.
      • Порт — TCP-порт вашего сервиса, на котором виртуальные машины принимают входящий трафик.
      • В блоке Настройки протокола укажите настройки соединения L7-балансировщика с бэкендом. В зависимости от типа протокола на вашем бэкенде выберите протокол HTTP или HTTPS.
      • В блоке HTTP проверка состояния настройте проверку состояния в соответствии с рекомендациями.
      • (Опционально) Задайте прочие настройки в соответствии с инструкцией.

  3. Создайте HTTP-роутер. В блоке Виртуальные хосты нажмите кнопку Добавить виртуальный хост и задайте настройки виртуального хоста:

    • Authority — имя домена вашего сервиса.

    • Профиль безопасности — созданный ранее профиль безопасности Smart Web Security.

      Важно

      Привязка профиля безопасности к виртуальному хосту L7-балансировщика является ключевым шагом для подключения сервиса Smart Web Security.

    • Нажмите кнопку Добавить маршрут и задайте настройки маршрута:

      • Путь — Начинается с /.
      • Действие — Маршрутизация.
      • Группа бэкендов — созданная ранее группа бэкендов.

  4. Создайте L7-балансировщик, выбрав способ создания Вручную:

    • Укажите группу безопасности, созданную ранее.

    • В блоке Размещение выберите для узлов балансировщика подсети в трех зонах доступности. Включите прием трафика в этих подсетях.

    • В блоке Настройки автомасштабирования укажите минимальное количество ресурсных единиц в каждой зоне в соответствии с ожидаемой нагрузкой на ваш сервис.

      Количество ресурсных единиц рекомендуется выбрать на основе нагрузки на ваш сервис в следующих величинах:

      • количество запросов в секунду (RPS);
      • количество одновременных активных соединений;
      • количество новых соединений в секунду;
      • объем трафика в секунду.

    • В блоке Обработчики нажмите кнопку Добавить обработчик и задайте настройки обработчика:

      • В блоке Публичный IP-адрес укажите:

        • Порт — TCP-порт вашего сервиса, на котором виртуальные машины принимают входящий трафик.
        • Тип — Список. Выберите из списка публичный IP-адрес с защитой от DDoS на уровне L3-L4. Подробнее см. рекомендации по миграции сервисов.

      • В блоке Приём и обработка трафика укажите:

        • Тип обработчика — HTTP.
        • Протокол — в зависимости от вашего сервиса выберите протокол HTTP или HTTPS.
        • Если выбран протокол HTTPS, в поле Сертификаты укажите ваш TLS-сертификат, добавленный ранее в Certificate Manager.
        • HTTP-роутер — созданный ранее HTTP-роутер.

  5. Дождитесь, когда L7-балансировщик перейдет в статус Active.

  6. Перейдите в созданный L7-балансировщик и слева выберите Проверки состояния. Убедитесь, что все проверки состояния L7-балансировщика показывают состояние HEALTHY.

  7. Протестируйте запрос к сервису через L7-балансировщик. Например, одним из способов:

    • В файле hosts на рабочей станции добавьте запись <публичный_IP-адрес_L7-балансировщика> <имя_домена_сервиса>. Удалите запись после тестирования.

    • Выполните запрос с помощью cURL в зависимости от типа протокола:

      curl http://<имя_домена_сервиса> \
    --resolve <имя_домена_сервиса>:<порт_сервиса>:<публичный_IP-адрес_L7-балансировщика>

      curl https://<имя_домена_сервиса> \
    --resolve <имя_домена_сервиса>:<порт_сервиса>:<публичный_IP-адрес_L7-балансировщика>

Мигрируйте пользовательскую нагрузку с сетевого балансировщика на L7-балансировщик

Важно

В процессе миграции будут пересозданы ВМ бэкенда.

  1. Измените для группы ВМ интеграцию с целевой группой:

    1. В консоли управления перейдите в каталог, в котором находится группа ВМ.
    2. Выберите сервис Compute Cloud.
    3. На панели слева выберите Группы виртуальных машин.
    4. Выберите группу, которую хотите изменить.
    5. В правом верхнем углу страницы нажмите Редактировать.
    6. В блоке Интеграция с Application Load Balancer включите опцию Создать целевую группу.
    7. Укажите имя целевой группы L7-балансировщика и опционально другие настройки целевой группы.
    8. Нажмите Сохранить.

    При изменении группы ВМ:

    • Автоматически пересоздаются ВМ в группе.
    • Удаляются целевые ресурсы из целевой группы сетевого балансировщика, на оставшиеся целевые ресурсы распределяется пользовательская нагрузка. У пользователей в это время наблюдается частичная недоступность сервиса через сетевой балансировщик.
    • После удаления всех целевых ресурсов удаляется целевая группа. Сервис становится недоступным через сетевой балансировщик.

    Перейдите к следующему шагу, не дожидаясь, пока завершится изменение группы ВМ.

  2. В группе бэкендов L7-балансировщика измените у бэкенда целевую группу. Укажите только целевую группу, созданную на предыдущем шаге.

    В процессе выполнения операции, указанной на предыдущем шаге, в целевую группу L7-балансировщика автоматически будут добавляться ВМ из группы ВМ.

  3. Выберите один из вариантов дальнейшей миграции пользовательской нагрузки с сетевого балансировщика на L7-балансировщик в зависимости от наличия у обработчика сетевого балансировщика публичного IP-адреса с защитой или без защиты от DDoS:

Обработчик сетевого балансировщика использует публичный IP-адрес с защитой от DDoS

  1. Наблюдайте за состоянием целевых ресурсов сетевого балансировщика. Дождитесь автоматического удаления целевых ресурсов из целевой группы.

  2. Удалите обработчик в сетевом балансировщике для освобождения статического публичного IP-адреса.

  3. В L7-балансировщике назначьте обработчику публичный IP-адрес, который ранее был у сетевого балансировщика:

    Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

    По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

    Чтобы изменить публичный IP-адрес, выполните команду:

    yc application-load-balancer load-balancer update-listener <имя_балансировщика> \
   --listener-name <имя_обработчика> \
   --external-ipv4-endpoint address=<публичный_IP-адрес_сервиса>,port=<порт_сервиса>

    Где address — это публичный IP-адрес, который ранее был у сетевого балансировщика.

    1. Откройте актуальный конфигурационный файл Terraform с планом инфраструктуры.

      Как создать такой файл, см. в разделе Создать L7-балансировщик.

      Более подробную информацию о параметрах ресурса yandex_alb_load_balancer в Terraform см. в документации провайдера.

    2. Измените в описании балансировщика значение параметра address в блоке listener.endpoint.address.external_ipv4_address:

      resource "yandex_alb_load_balancer" "<имя_балансировщика>" {
  ...
  listener {
    ...
    endpoint {
      address {
        external_ipv4_address {
          address = <публичный_IP-адрес_сервиса>
        }
      }
      ports = [ <порт_сервиса> ]
    }
  }
}

      Где address — это публичный IP-адрес, который ранее был у сетевого балансировщика.

    3. Примените изменения:

      1. В терминале перейдите в папку, где вы отредактировали конфигурационный файл.

      2. Проверьте корректность конфигурационного файла с помощью команды:

        terraform validate

        Если конфигурация является корректной, появится сообщение:

        Success! The configuration is valid.

      3. Выполните команду:

        terraform plan

        В терминале будет выведен список ресурсов с параметрами. На этом этапе изменения не будут внесены. Если в конфигурации есть ошибки, Terraform на них укажет.

      4. Примените изменения конфигурации:

        terraform apply

      5. Подтвердите изменения: введите в терминале слово yes и нажмите Enter.

  4. После изменения IP-адреса восстановится доступность вашего сервиса через L7-балансировщик. Наблюдайте за пользовательской нагрузкой, поступающей на L7-балансировщик, на графиках статистики работы балансировщика.

  5. Удалите освободившийся статический публичный IP-адрес, который был выбран при создании L7-балансировщика.

  6. (Опционально) После переноса пользовательской нагрузки на L7-балансировщик удалите сетевой балансировщик.

Обработчик сетевого балансировщика использует публичный IP-адрес без защиты от DDoS

  1. Запомните текущие настройки проверок состояния для целевой группы в сетевом балансировщике.

  2. Наблюдайте за состоянием целевых ресурсов сетевого балансировщика. Дождитесь автоматического удаления целевых ресурсов из целевой группы.

  3. Создайте целевую группу сетевого балансировщика. Добавьте ВМ, которые были созданы при изменении группы ВМ.

  4. В сетевом балансировщике подключите целевую группу, созданную на предыдущем шаге. При подключении целевой группы настройте проверки состояния, которые были у исходной целевой группы.

  5. Дождитесь перехода проверок состояния ВМ в целевой группе сетевого балансировщика в статус Healthy. После этого восстановится доступность вашего сервиса через сетевой балансировщик.

  6. Чтобы мигрировать пользовательскую нагрузку с сетевого балансировщика на L7-балансировщик, в DNS-сервисе, обслуживающем публичную зону вашего домена, измените значение А-записи для доменного имени сервиса на публичный IP-адрес L7-балансировщика. Если публичная зона домена была создана в Yandex Cloud DNS, то измените запись по инструкции.

    Примечание

    Распространение изменений в записи DNS зависит от значения времени жизни записи (TTL) и количества звеньев цепочки DNS-запросов. Это может занять продолжительное время.

  7. По мере распространения изменений в записи DNS наблюдайте за ростом запросов, поступающих на L7-балансировщик, на графиках статистики работы балансировщика.

  8. Наблюдайте за снижением нагрузки на сетевой балансировщик с помощью метрик балансировщика processed_bytes и processed_packets. Для визуализации этих метрик можно создать дашборд. Отсутствие нагрузки на сетевом балансировщике в течение продолжительного времени свидетельствует о том, что перенос пользовательской нагрузки на L7-балансировщик завершен.

  9. (Опционально) После переноса пользовательской нагрузки на L7-балансировщик удалите сетевой балансировщик.

Предыдущая
Балансировщик NLB с целевыми ресурсами из виртуальных машин
Следующая
Балансировщик NLB с целевыми ресурсами из кластера Managed Service for Kubernetes