ALB vs NLB vs GLB: quale usare e quando

Elastic Load Balancing (ELB) distribuisce automaticamente il traffico applicativo in ingresso tra più destinazioni: istanze EC2, container, funzioni Lambda o indirizzi IP. ELB è un servizio gestito, ovvero AWS si occupa del provisioning, del dimensionamento e della disponibilità del load balancer stesso tra più AZ.

AWS offre tre tipi di load balancer nell'ambito di ELB: Application Load Balancer (ALB), Network Load Balancer (NLB) e Gateway Load Balancer (GWLB). Ognuno opera a un livello diverso del modello OSI ed è ottimizzato per casi d'uso differenti.

ALB opera al livello 7 (HTTP/HTTPS) del modello OSI. Può esaminare gli header HTTP, i percorsi, le stringhe di query, i nomi host e i cookie per prendere decisioni di routing intelligenti. ALB è la scelta principale per applicazioni web, microservizi ed endpoint API che richiedono il routing basato sul contenuto.

Funzionalità principali di ALB: routing basato sul percorso (/api/* verso un target group, /static/* verso un altro), routing basato sull'host (host virtuali diversi verso backend diversi), routing basato su header HTTP e stringhe di query, supporto per WebSocket e supporto per HTTP/2. ALB può eseguire il routing verso istanze EC2, container (ECS/EKS), funzioni Lambda e indirizzi IP.

NLB opera al livello 4 (TCP/UDP/TLS). Esegue il routing dei pacchetti in base ai dati del protocollo IP senza esaminare il contenuto dell'applicazione. NLB è progettato per prestazioni estreme: gestisce milioni di richieste al secondo con latenza estremamente bassa (in genere inferiore a 100 microsecondi).

Funzionalità principali di NLB: indirizzi IP statici per ogni AZ (un indirizzo IP elastico per subnet), TLS pass-through (inoltro del traffico crittografato senza decrittografia), conservazione dell'indirizzo IP del client e supporto per i protocolli UDP (ad esempio DNS, RADIUS e server di gioco). NLB non può eseguire il routing basato sul contenuto né esaminare gli header HTTP.

GWLB opera al livello 3 (livello di rete) ed è progettato esclusivamente per il deployment, il dimensionamento e la gestione di appliance di rete virtuali di terze parti: firewall, sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS) e sistemi di ispezione approfondita dei pacchetti.

GWLB utilizza il protocollo GENEVE (porta 6081) per incapsulare il traffico e inviarlo al Suo parco di appliance. L'appliance esamina il pacchetto e lo restituisce attraverso lo stesso endpoint GWLB. Il traffico fluisce in modo trasparente senza richiedere modifiche al routing nella VPC di origine. Questo è il pattern standard per inserire l'ispezione di sicurezza centralizzata nei flussi di traffico delle VPC AWS.

Scelga ALB quando:

• Ha bisogno del routing basato sul contenuto HTTP/HTTPS (percorso, host, header, stringa di query)
• Il Suo backend include funzioni Lambda o container ECS
• Ha bisogno di connessioni WebSocket o HTTP/2
• Desidera integrarsi con AWS WAF per la sicurezza delle applicazioni web a livello di load balancer
• Sta realizzando un'architettura a microservizi con molti servizi su percorsi URL diversi
• Ha bisogno della terminazione SSL/TLS a livello di load balancer

ALB è la risposta corretta per la maggior parte delle domande d'esame SAA-C03 sul bilanciamento del carico di applicazioni web e API REST.

Scelga NLB quando:

• Ha bisogno di prestazioni estreme (milioni di richieste al secondo, latenza inferiore al millisecondo)
• Richiede indirizzi IP statici che i partner o i firewall possano inserire nelle allowlist
• Deve gestire traffico UDP (gaming, DNS, RADIUS, IoT)
• Desidera il TLS pass-through senza decrittografia nel load balancer (crittografia end-to-end fino alla destinazione)
• Ha bisogno di conservare nativamente l'IP di origine del client a livello TCP
• Utilizza AWS PrivateLink per esporre servizi ad altre VPC o account (NLB è obbligatorio per PrivateLink)

Scelga GWLB quando deve:

• Inserire appliance firewall di terze parti (Palo Alto, Fortinet, Check Point) nel flusso del traffico di rete
• Eseguire l'ispezione approfondita dei pacchetti a livello di VPC per tutto il traffico in ingresso o in uscita
• Dimensionare orizzontalmente un parco di appliance IDS/IPS con bilanciamento del carico automatico

Architettura: il traffico fluisce dalla VPC di origine → endpoint GWLB → VPC delle appliance (dove GWLB distribuisce il traffico tra le istanze delle appliance) → l'appliance restituisce il traffico a GWLB → GWLB inoltra il traffico alla destinazione originale. L'origine e la destinazione non sono consapevoli dell'ispezione intermedia.

Il bilanciamento del carico tra le zone distribuisce il traffico in modo uniforme tra tutte le destinazioni registrate in tutte le AZ abilitate, indipendentemente dall'AZ in cui il nodo del load balancer ha ricevuto la richiesta. Senza il bilanciamento del carico tra le zone, il nodo di ogni AZ distribuisce il traffico solo alle destinazioni nella propria AZ.

ALB ha il bilanciamento del carico tra le zone abilitato per impostazione predefinita senza costi aggiuntivi. NLB ha il bilanciamento del carico tra le zone disabilitato per impostazione predefinita: abilitarlo comporta costi di trasferimento dati tra AZ. Anche GWLB ha il bilanciamento del carico tra le zone disabilitato per impostazione predefinita. Abiliti il bilanciamento del carico tra le zone quando il numero di destinazioni è sbilanciato tra le AZ, per evitare punti congestionati.

Tabella di confronto rapido per l'esame:

• Livello OSI: ALB = 7 (HTTP), NLB = 4 (TCP/UDP), GWLB = 3 (IP)
• Protocolli: ALB = HTTP, HTTPS, WebSocket; NLB = TCP, UDP, TLS; GWLB = tutti i protocolli IP tramite GENEVE
• IP statico: ALB = No (utilizzi il pattern NLB + ALB); NLB = Sì (1 per AZ); GWLB = N/A
• Integrazione WAF: ALB = Sì; NLB = No; GWLB = No
• Destinazione Lambda: ALB = Sì; NLB = No; GWLB = No
• Connection draining: tutti e tre supportano il ritardo di deregistrazione

ALB si integra nativamente con AWS WAF per la protezione regionale (a differenza di WAF su CloudFront, che offre protezione globale all'edge). Collegando una Web ACL WAF a un ALB, può filtrare le richieste HTTP prima che raggiungano l'applicazione, bloccando SQL injection, XSS, indirizzi IP malevoli noti e client che abusano della frequenza.

Utilizzi ALB + WAF quando desidera eseguire l'ispezione di sicurezza a livello di load balancer (ad esempio per proteggere API che non vengono servite tramite CloudFront). Le Web ACL WAF collegate agli ALB devono trovarsi nella stessa Regione dell'ALB e devono avere ambito REGIONAL (a differenza di WAF per CloudFront, che richiede l'ambito CLOUDFRONT in us-east-1).

AWS PrivateLink utilizza NLB per esporre servizi presenti in una VPC ai consumer di altre VPC o account AWS senza richiedere peering VPC, un internet gateway o NAT. Il provider del servizio crea un NLB davanti al proprio servizio e crea un VPC Endpoint Service. I consumer creano un Interface VPC Endpoint nella propria VPC che punta al servizio.

Il traffico fluisce sulla rete privata di AWS e non attraversa mai Internet. PrivateLink è il pattern standard per i provider SaaS su AWS e per esporre servizi condivisi (ad esempio un servizio di sicurezza centralizzato) a più account AWS interni.

Verifichi la Sua comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha appreso che: ALB esegue il routing al livello 7 (HTTP) con regole basate sul contenuto, integrazione con WAF e destinazioni Lambda, NLB esegue il routing al livello 4 (TCP/UDP) con IP statici e throughput estremo e GWLB implementa appliance di rete virtuali al livello 3 utilizzando GENEVE. Abbini il load balancer ai requisiti di protocolli e funzionalità. Ora esamineremo i target group e i controlli dello stato.