ALB مقابل NLB مقابل GLB: متى تستخدمون كلًا منها

توزّع Elastic Load Balancing (ELB) حركة مرور التطبيقات الواردة تلقائيًا عبر أهداف متعددة—مثل مثيلات EC2 والحاويات ودوال Lambda وعناوين IP. وELB خدمة مُدارة، ما يعني أن AWS تتولى توفير موازن التحميل نفسه وتوسيع نطاقه وضمان توافره عبر مناطق توافر متعددة.

تقدم AWS ثلاثة أنواع من موازنات التحميل ضمن منظومة ELB: Application Load Balancer (ALB) وNetwork Load Balancer (NLB) وGateway Load Balancer (GWLB). يعمل كل نوع في طبقة مختلفة من نموذج OSI، وهو محسّن لحالات استخدام مختلفة.

يعمل ALB في الطبقة 7 (HTTP/HTTPS) من نموذج OSI. ويمكنه فحص ترويسات HTTP والمسارات وسلاسل الاستعلام وأسماء المضيفين وملفات تعريف الارتباط لاتخاذ قرارات توجيه ذكية. ويُعد ALB الخيار الأساسي لتطبيقات الويب والخدمات المصغرة ونقاط نهاية API التي تحتاج إلى توجيه قائم على المحتوى.

تشمل الميزات الأساسية لـ ALB: التوجيه القائم على المسار (/api/* إلى مجموعة أهداف، و/static/* إلى مجموعة أخرى)، والتوجيه القائم على المضيف (توجيه المضيفات الافتراضية المختلفة إلى خلفيات مختلفة)، والتوجيه باستخدام ترويسات HTTP وسلاسل الاستعلام، ودعم WebSocket، ودعم HTTP/2. ويمكن لـ ALB التوجيه إلى مثيلات EC2 والحاويات (ECS/EKS) ودوال Lambda وعناوين IP.

يعمل NLB في الطبقة 4 (TCP/UDP/TLS). ويوجّه الحزم استنادًا إلى بيانات بروتوكول IP دون فحص محتوى التطبيق. صُمم NLB لتحقيق أداء فائق؛ إذ يتعامل مع ملايين الطلبات في الثانية مع زمن استجابة منخفض للغاية (عادةً أقل من 100 ميكروثانية).

تشمل الميزات الأساسية لـ NLB: عناوين IP ثابتة لكل منطقة توافر (عنوان Elastic IP واحد لكل شبكة فرعية)، والتمرير المباشر لـ TLS (تمرير حركة المرور المشفرة دون فك تشفيرها)، والحفاظ على عنوان IP الخاص بالعميل، ودعم بروتوكولات UDP (مثل DNS وRADIUS وخوادم الألعاب). ولا يستطيع NLB تنفيذ التوجيه القائم على المحتوى أو فحص ترويسات HTTP.

يعمل GWLB في الطبقة 3 (طبقة الشبكة)، وهو مصمم حصريًا لنشر أجهزة الشبكة الافتراضية التابعة لجهات خارجية وتوسيع نطاقها وإدارتها—مثل جدران الحماية وأنظمة كشف ومنع التطفل (IDS/IPS) وأنظمة الفحص العميق للحزم.

يستخدم GWLB بروتوكول GENEVE (المنفذ 6081) لتغليف حركة المرور وإرسالها إلى مجموعة أجهزتك. يفحص الجهاز الحزمة ثم يعيدها عبر نقطة نهاية GWLB نفسها. وتتدفق حركة المرور بشفافية دون الحاجة إلى إجراء تغييرات على التوجيه في VPC المصدر. وهذا هو النمط القياسي لإدراج فحص أمني مركزي ضمن تدفقات حركة المرور في AWS VPC.

اختر ALB عندما:

• تحتاج إلى توجيه قائم على محتوى HTTP/HTTPS (المسار والمضيف والترويسة وسلسلة الاستعلام)
• تتضمن الواجهة الخلفية دوال Lambda أو حاويات ECS
• تحتاج إلى اتصالات WebSocket أو HTTP/2
• تريد التكامل مع AWS WAF لتوفير أمان تطبيقات الويب على مستوى موازن التحميل
• تبني بنية خدمات مصغرة تضم العديد من الخدمات على مسارات URL مختلفة
• تحتاج إلى إنهاء SSL/TLS عند موازن التحميل

يُعد ALB الإجابة الصحيحة لمعظم أسئلة موازنة تحميل تطبيقات الويب وواجهات REST API في اختبار SAA-C03.

اختر NLB عندما:

• تحتاج إلى أداء فائق (ملايين الطلبات في الثانية، وزمن استجابة أقل من ميلي ثانية)
• تحتاج إلى عناوين IP ثابتة يمكن للشركاء أو جدران الحماية إضافتها إلى قوائم السماح
• تحتاج إلى التعامل مع حركة مرور UDP (الألعاب وDNS وRADIUS وإنترنت الأشياء)
• تريد التمرير المباشر لـ TLS دون فك التشفير عند موازن التحميل (تشفير شامل حتى الهدف)
• تحتاج إلى الحفاظ على عنوان IP المصدر الخاص بالعميل أصليًا على مستوى TCP
• تستخدم AWS PrivateLink لإتاحة الخدمات أمام VPCs أو حسابات أخرى (يتطلب PrivateLink استخدام NLB)

اختر GWLB عندما تحتاج إلى:

• إدراج أجهزة جدار حماية تابعة لجهات خارجية (Palo Alto وFortinet وCheck Point) ضمن مسار حركة مرور الشبكة
• إجراء فحص عميق للحزم على مستوى VPC لجميع حركة المرور الواردة أو الصادرة
• توسيع نطاق مجموعة أجهزة IDS/IPS أفقيًا مع موازنة تحميل تلقائية

البنية: تتدفق حركة المرور من VPC المصدر → نقطة نهاية GWLB → VPC الأجهزة (حيث يوزّع GWLB حركة المرور عبر مثيلات الأجهزة) → يعيد الجهاز حركة المرور إلى GWLB → يمرّر GWLB الحركة إلى الوجهة الأصلية. ولا يعرف المصدر والوجهة بعملية الفحص التي حدثت بينهما.

توزّع موازنة التحميل عبر المناطق حركة المرور بالتساوي على جميع الأهداف المسجلة في جميع مناطق التوافر المفعّلة، بغض النظر عن منطقة التوافر التي تلقّت فيها عقدة موازن التحميل الطلب. ومن دون موازنة التحميل عبر المناطق، توزّع عقدة كل منطقة توافر حركة المرور على الأهداف الموجودة في منطقتها فقط.

تكون موازنة التحميل عبر المناطق في ALB مفعّلة افتراضيًا دون تكلفة إضافية. أما في NLB فتكون معطّلة افتراضيًا، ويؤدي تفعيلها إلى فرض رسوم نقل بيانات بين مناطق التوافر. وتكون موازنة التحميل عبر المناطق في GWLB معطّلة افتراضيًا. فعّل موازنة التحميل عبر المناطق عندما تكون أعداد الأهداف غير متساوية بين مناطق التوافر لتجنب النقاط الساخنة.

جدول مقارنة سريع للاختبار:

• طبقة OSI: ALB = 7 (HTTP)، NLB = 4 (TCP/UDP)، GWLB = 3 (IP)
• البروتوكولات: ALB = HTTP وHTTPS وWebSocket؛ NLB = TCP وUDP وTLS؛ GWLB = جميع بروتوكولات IP عبر GENEVE
• IP ثابت: ALB = لا (استخدم نمط NLB + ALB)؛ NLB = نعم (واحد لكل منطقة توافر)؛ GWLB = غير منطبق
• تكامل WAF: ALB = نعم؛ NLB = لا؛ GWLB = لا
• هدف Lambda: ALB = نعم؛ NLB = لا؛ GWLB = لا
• تصريف الاتصالات: تدعم الأنواع الثلاثة تأخير إلغاء التسجيل

يتكامل ALB أصليًا مع AWS WAF لتوفير الحماية الإقليمية (مقابل استخدام WAF على CloudFront لتوفير الحماية الطرفية العالمية). ومن خلال إرفاق Web ACL من WAF بـ ALB، يمكنك تصفية طلبات HTTP قبل وصولها إلى تطبيقك—وحظر حقن SQL وXSS وعناوين IP الخبيثة المعروفة والعملاء الذين يفرطون في استخدام معدل الطلبات.

استخدم ALB + WAF عندما تريد إجراء الفحص الأمني على مستوى موازن التحميل (مثل حماية واجهات API التي لا تُخدَّم عبر CloudFront). يجب أن تكون قوائم Web ACL الخاصة بـ WAF المرفقة بـ ALB في المنطقة نفسها التي يوجد فيها ALB، وأن يكون نطاقها REGIONAL (بخلاف WAF الخاص بـ CloudFront الذي يتطلب النطاق CLOUDFRONT في us-east-1).

يستخدم AWS PrivateLink NLB لإتاحة الخدمات الموجودة في VPC واحدة للمستهلكين في VPCs أو حسابات AWS أخرى، دون الحاجة إلى تناظر VPC أو بوابة إنترنت أو NAT. ينشئ مقدم الخدمة NLB أمام خدمته، ثم ينشئ VPC Endpoint Service. وينشئ المستهلكون Interface VPC Endpoint في VPC الخاصة بهم، ويشيرون به إلى الخدمة.

تتدفق حركة المرور عبر شبكة AWS الخاصة ولا تمر عبر الإنترنت مطلقًا. ويُعد PrivateLink النمط القياسي لموفري SaaS على AWS ولإتاحة الخدمات المشتركة (مثل خدمة أمان مركزية) لعدة حسابات AWS داخلية.

تعلّمت في هذا الدرس أن ALB يوجّه حركة المرور في الطبقة 7 (HTTP) باستخدام قواعد قائمة على المحتوى، وتكامل WAF، وأهداف Lambda، وأن NLB يوجّه حركة المرور في الطبقة 4 (TCP/UDP) باستخدام عناوين IP ثابتة وإنتاجية فائقة، وأن GWLB ينشر أجهزة الشبكة الافتراضية في الطبقة 3 باستخدام GENEVE. طابق موازن التحميل مع متطلبات البروتوكول والميزات. بعد ذلك سنستكشف مجموعات الأهداف وفحوصات السلامة.