Configuração das configurações de firewall corretas para o balanceador de carga HTTP do GCP

Question

EutenhoduasVMsexecutandoservidoresHTTPnaporta8545,conformemostradonafigura,ecolocadasemumgrupodeinstâncias.

EucrieiumbalanceadordecargaHTTPnoGCPparabalancearassolicitaçõesHTTPdosusuáriosfinais.Noentanto,comaconfiguraçãomostradanafiguraenasregrasdefirewall,asverificaçõesdeintegridadefalhameeutambémnãoconsigoacessaro link

Error: Server Error
The server encountered a temporary error and could not complete your request.
Please try again in 30 seconds.

No entanto, se eu adicionar uma regra de firewall, que permite tudo (0.0.0.0/0 on 8545) , as verificações de saúde são aprovadas e também posso acessar o link

Mas, não quero escrever essa regra de firewall que permita a todos no 8545. Qual é a maneira correta de configurar o firewall para que somente o balanceador de carga possa acessar o grupo de instâncias nessa porta?

    

Answer 1

Como a regra de encaminhamento global está configurada na porta 80, mas as instâncias de back-end estão atendendo ao tráfego na porta 8545, duas regras de firewall separadas precisam ser criadas para permitir o tráfego de 130.211.0.0/22 e 35.191.0.0/16 nessas portas . Esses são intervalos de endereços IP que o balanceador de carga usa para se conectar a instâncias de back-end. Essa regra permite o tráfego do balanceador de carga e do verificador de integridade.

Sugiro verificar as instâncias de back-end para verificar se estão escutando em todos os endereços (0.0.0.0/0) e não estão vinculados a nenhum IP específico. Além disso, executar o tcpdump nas instâncias de back-end seria útil para saber se o tráfego está atingindo as instâncias dos intervalos IP acima e continuar com a depuração.

Mais informações sobre as regras de firewall relacionadas ao Balanceamento de carga do Google HTTP (S) podem ser encontradas nesta central de ajuda artigo .