ALB vs NLB vs GLB: Kapan Menggunakan Masing-Masing

Elastic Load Balancing (ELB) secara otomatis mendistribusikan lalu lintas aplikasi yang masuk ke beberapa target—instance EC2, kontainer, fungsi Lambda, atau alamat IP. ELB adalah layanan terkelola, yang berarti AWS menangani penyediaan, penskalaan, dan ketersediaan load balancer itu sendiri di beberapa AZ.

AWS menawarkan tiga jenis load balancer dalam lingkup ELB: Application Load Balancer (ALB), Network Load Balancer (NLB), dan Gateway Load Balancer (GWLB). Masing-masing beroperasi pada lapisan berbeda dalam model OSI dan dioptimalkan untuk kasus penggunaan yang berbeda.

ALB beroperasi pada Lapisan 7 (HTTP/HTTPS) model OSI. ALB dapat memeriksa header HTTP, jalur, string kueri, nama host, dan cookie untuk membuat keputusan perutean yang cerdas. ALB merupakan pilihan utama untuk aplikasi web, layanan mikro, dan titik akhir API yang memerlukan perutean berbasis konten.

Fitur utama ALB: perutean berbasis jalur (/api/* ke satu grup target, /static/* ke grup lain), perutean berbasis host (host virtual yang berbeda ke backend yang berbeda), perutean berdasarkan header HTTP dan string kueri, dukungan WebSocket, serta dukungan HTTP/2. ALB dapat merutekan ke instance EC2, kontainer (ECS/EKS), fungsi Lambda, dan alamat IP.

NLB beroperasi pada Lapisan 4 (TCP/UDP/TLS). NLB merutekan paket berdasarkan data protokol IP tanpa memeriksa konten aplikasi. NLB dirancang untuk performa ekstrem: mampu menangani jutaan permintaan per detik dengan latensi sangat rendah (biasanya kurang dari 100 mikrodetik).

Fitur utama NLB: alamat IP statis per AZ (satu Elastic IP per subnet), penerusan TLS (meneruskan lalu lintas terenkripsi tanpa mendekripsinya), mempertahankan alamat IP klien, dan mendukung protokol UDP (misalnya DNS, RADIUS, serta server gim). NLB tidak dapat melakukan perutean berbasis konten atau memeriksa header HTTP.

GWLB beroperasi pada Lapisan 3 (lapisan jaringan) dan dirancang khusus untuk menerapkan, menskalakan, dan mengelola perangkat jaringan virtual pihak ketiga—firewall, sistem deteksi dan pencegahan penyusupan (IDS/IPS), serta sistem inspeksi paket mendalam.

GWLB menggunakan protokol GENEVE (port 6081) untuk merangkum lalu lintas dan mengirimkannya ke kumpulan perangkat Anda. Perangkat tersebut memeriksa paket dan mengembalikannya melalui titik akhir GWLB yang sama. Lalu lintas mengalir secara transparan tanpa memerlukan perubahan perutean di VPC sumber. Ini adalah pola standar untuk menyisipkan inspeksi keamanan terpusat ke dalam aliran lalu lintas VPC AWS.

Pilih ALB jika:

• Anda memerlukan perutean berbasis konten HTTP/HTTPS (jalur, host, header, string kueri)
• Backend Anda mencakup fungsi Lambda atau kontainer ECS
• Anda memerlukan koneksi WebSocket atau HTTP/2
• Anda ingin berintegrasi dengan AWS WAF untuk keamanan aplikasi web pada lapisan load balancer
• Anda sedang membangun arsitektur layanan mikro dengan banyak layanan pada jalur URL yang berbeda
• Anda memerlukan terminasi SSL/TLS pada load balancer

ALB adalah jawaban yang tepat untuk sebagian besar pertanyaan tentang penyeimbangan beban aplikasi web dan API REST pada ujian SAA-C03.

Pilih NLB jika:

• Anda memerlukan performa ekstrem (jutaan permintaan per detik, latensi kurang dari satu milidetik)
• Anda memerlukan alamat IP statis yang dapat dimasukkan ke daftar izin oleh mitra atau firewall
• Anda perlu menangani lalu lintas UDP (gim, DNS, RADIUS, IoT)
• Anda menginginkan penerusan TLS tanpa dekripsi pada load balancer (enkripsi menyeluruh hingga target)
• Anda perlu mempertahankan IP sumber klien secara bawaan pada tingkat TCP
• Anda menggunakan AWS PrivateLink untuk mengekspos layanan ke VPC atau akun lain (NLB diperlukan untuk PrivateLink)

Pilih GWLB jika Anda perlu:

• Menyisipkan perangkat firewall pihak ketiga (Palo Alto, Fortinet, Check Point) ke dalam aliran lalu lintas jaringan
• Melakukan inspeksi paket mendalam pada tingkat VPC untuk semua lalu lintas masuk atau keluar
• Menskalakan kumpulan perangkat IDS/IPS secara horizontal dengan penyeimbangan beban otomatis

Arsitektur: Lalu lintas mengalir dari VPC sumber → titik akhir GWLB → VPC perangkat (tempat GWLB mendistribusikan lalu lintas ke seluruh instance perangkat) → perangkat mengembalikan lalu lintas ke GWLB → GWLB meneruskan lalu lintas ke tujuan awal. Sumber dan tujuan tidak mengetahui adanya inspeksi di antara keduanya.

Penyeimbangan beban lintas zona mendistribusikan lalu lintas secara merata ke semua target terdaftar di semua AZ yang diaktifkan, terlepas dari AZ tempat node load balancer menerima permintaan. Tanpa penyeimbangan beban lintas zona, node setiap AZ hanya mendistribusikan lalu lintas ke target di AZ-nya sendiri.

ALB memiliki penyeimbangan beban lintas zona yang diaktifkan secara bawaan tanpa biaya tambahan. NLB memiliki penyeimbangan beban lintas zona yang dinonaktifkan secara bawaan—mengaktifkannya menimbulkan biaya transfer data antar-AZ. GWLB juga memiliki penyeimbangan beban lintas zona yang dinonaktifkan secara bawaan. Aktifkan penyeimbangan beban lintas zona ketika jumlah target tidak seimbang antar-AZ untuk menghindari titik yang terlalu terbebani.

Tabel perbandingan singkat untuk ujian:

• Lapisan OSI: ALB = 7 (HTTP), NLB = 4 (TCP/UDP), GWLB = 3 (IP)
• Protokol: ALB = HTTP, HTTPS, WebSocket; NLB = TCP, UDP, TLS; GWLB = semua protokol IP melalui GENEVE
• IP statis: ALB = Tidak (gunakan pola NLB + ALB); NLB = Ya (1 per AZ); GWLB = Tidak berlaku
• Integrasi WAF: ALB = Ya; NLB = Tidak; GWLB = Tidak
• Target Lambda: ALB = Ya; NLB = Tidak; GWLB = Tidak
• Pengurasan koneksi: ketiganya mendukung penundaan pembatalan pendaftaran

ALB terintegrasi secara bawaan dengan AWS WAF untuk perlindungan regional (berbeda dari WAF pada CloudFront untuk perlindungan edge global). Dengan memasang ACL Web WAF pada ALB, Anda dapat memfilter permintaan HTTP sebelum mencapai aplikasi—memblokir injeksi SQL, XSS, IP berbahaya yang telah diketahui, dan klien yang menyalahgunakan laju permintaan.

Gunakan ALB + WAF jika Anda menginginkan inspeksi keamanan pada lapisan load balancer (misalnya, untuk melindungi API yang tidak disajikan melalui CloudFront). ACL Web WAF yang dipasang pada ALB harus berada di Wilayah yang sama dengan ALB dan harus memiliki cakupan REGIONAL (berbeda dari WAF CloudFront yang memerlukan cakupan CLOUDFRONT di us-east-1).

AWS PrivateLink menggunakan NLB untuk mengekspos layanan dalam satu VPC kepada konsumen di VPC atau akun AWS lain tanpa memerlukan peering VPC, gateway internet, atau NAT. Penyedia layanan membuat NLB di depan layanan mereka dan membuat VPC Endpoint Service. Konsumen membuat Interface VPC Endpoint di VPC mereka yang mengarah ke layanan tersebut.

Lalu lintas mengalir melalui jaringan privat AWS dan tidak pernah melewati internet. PrivateLink adalah pola standar bagi penyedia SaaS di AWS dan untuk mengekspos layanan bersama (misalnya, layanan keamanan terpusat) ke beberapa akun AWS internal.

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: ALB merutekan pada Lapisan 7 (HTTP) dengan aturan berbasis konten, integrasi WAF, dan target Lambda, NLB merutekan pada Lapisan 4 (TCP/UDP) dengan IP statis dan throughput ekstrem, serta GWLB menerapkan perangkat jaringan virtual pada Lapisan 3 menggunakan GENEVE. Cocokkan load balancer dengan persyaratan protokol dan fiturnya. Selanjutnya kita akan membahas grup target dan pemeriksaan kesehatan.