ALB berbanding NLB berbanding GLB: Bila Perlu Menggunakan Setiap Satu

Elastic Load Balancing (ELB) mengagihkan trafik aplikasi masuk secara automatik merentas berbilang sasaran—instance EC2, kontena, fungsi Lambda atau alamat IP. ELB ialah perkhidmatan terurus, yang bermaksud AWS mengendalikan penyediaan, penskalaan dan ketersediaan load balancer itu sendiri merentas berbilang AZ.

AWS menawarkan tiga jenis load balancer di bawah ELB: Application Load Balancer (ALB), Network Load Balancer (NLB) dan Gateway Load Balancer (GWLB). Setiap satunya beroperasi pada lapisan OSI yang berbeza dan dioptimumkan untuk kes penggunaan yang berbeza.

ALB beroperasi pada Lapisan 7 (HTTP/HTTPS) model OSI. Ia boleh memeriksa pengepala HTTP, laluan, rentetan pertanyaan, nama hos dan kuki untuk membuat keputusan penghalaan yang bijak. ALB ialah pilihan utama untuk aplikasi web, perkhidmatan mikro dan titik akhir API yang memerlukan penghalaan berasaskan kandungan.

Ciri utama ALB: penghalaan berasaskan laluan (/api/* ke satu kumpulan sasaran, /static/* ke kumpulan sasaran lain), penghalaan berasaskan hos (hos maya yang berbeza ke bahagian belakang yang berbeza), penghalaan berdasarkan pengepala HTTP dan rentetan pertanyaan, sokongan WebSocket serta sokongan HTTP/2. ALB boleh menghala ke instance EC2, kontena (ECS/EKS), fungsi Lambda dan alamat IP.

NLB beroperasi pada Lapisan 4 (TCP/UDP/TLS). Ia menghala paket berdasarkan data protokol IP tanpa memeriksa kandungan aplikasi. NLB direka untuk prestasi ekstrem: ia mengendalikan berjuta-juta permintaan sesaat dengan latensi ultra rendah (biasanya kurang daripada 100 mikrosaat).

Ciri utama NLB: alamat IP statik bagi setiap AZ (satu Elastic IP bagi setiap subnet), laluan terus TLS (memajukan trafik yang disulitkan tanpa menyahsulitkannya), pengekalan alamat IP klien dan sokongan untuk protokol UDP (contohnya DNS, RADIUS dan pelayan permainan). NLB tidak boleh melakukan penghalaan berasaskan kandungan atau memeriksa pengepala HTTP.

GWLB beroperasi pada Lapisan 3 (lapisan rangkaian) dan direka khusus untuk menggunakan, menskalakan dan mengurus peralatan rangkaian maya pihak ketiga—tembok api, sistem pengesanan dan pencegahan pencerobohan (IDS/IPS) serta sistem pemeriksaan paket mendalam.

GWLB menggunakan protokol GENEVE (port 6081) untuk merangkum trafik dan menghantarnya kepada kumpulan peralatan anda. Peralatan tersebut memeriksa paket dan mengembalikannya melalui titik akhir GWLB yang sama. Trafik mengalir secara telus tanpa memerlukan perubahan penghalaan dalam VPC sumber. Ini ialah corak standard untuk memasukkan pemeriksaan keselamatan berpusat ke dalam aliran trafik VPC AWS.

Pilih ALB apabila:

• Anda memerlukan penghalaan berasaskan kandungan HTTP/HTTPS (laluan, hos, pengepala, rentetan pertanyaan)
• Bahagian belakang anda merangkumi fungsi Lambda atau kontena ECS
• Anda memerlukan sambungan WebSocket atau HTTP/2
• Anda mahu berintegrasi dengan AWS WAF untuk keselamatan aplikasi web pada lapisan load balancer
• Anda sedang membina senibina perkhidmatan mikro dengan banyak perkhidmatan pada laluan URL yang berbeza
• Anda memerlukan penamatan SSL/TLS pada load balancer

ALB ialah jawapan yang betul untuk kebanyakan soalan pengimbangan beban aplikasi web dan API REST dalam peperiksaan SAA-C03.

Pilih NLB apabila:

• Anda memerlukan prestasi ekstrem (berjuta-juta permintaan sesaat, latensi submilisaat)
• Anda memerlukan alamat IP statik yang boleh disenaraikan benarkan oleh rakan kongsi atau tembok api
• Anda perlu mengendalikan trafik UDP (permainan, DNS, RADIUS, IoT)
• Anda mahu laluan terus TLS tanpa penyahsulitan pada load balancer (penyulitan hujung ke hujung ke sasaran)
• Anda perlu mengekalkan IP sumber klien secara natif pada peringkat TCP
• Anda menggunakan AWS PrivateLink untuk mendedahkan perkhidmatan kepada VPC atau akaun lain (NLB diperlukan untuk PrivateLink)

Pilih GWLB apabila anda perlu:

• Memasukkan peralatan tembok api pihak ketiga (Palo Alto, Fortinet, Check Point) ke dalam aliran trafik rangkaian anda
• Melakukan pemeriksaan paket mendalam pada peringkat VPC untuk semua trafik masuk atau keluar
• Menskalakan kumpulan peralatan IDS/IPS secara mendatar dengan pengimbangan beban automatik

Senibina: Trafik mengalir dari VPC sumber → titik akhir GWLB → VPC peralatan (tempat GWLB mengagihkan trafik merentas instance peralatan) → peralatan mengembalikan trafik ke GWLB → GWLB memajukannya ke destinasi asal. Sumber dan destinasi tidak menyedari pemeriksaan yang berlaku di antaranya.

Pengimbangan beban merentas zon mengagihkan trafik secara sama rata merentas semua sasaran berdaftar dalam semua AZ yang didayakan, tanpa mengira AZ tempat nod load balancer menerima permintaan. Tanpa pengimbangan beban merentas zon, nod setiap AZ hanya mengagihkan trafik kepada sasaran dalam AZ sendiri.

ALB mempunyai pengimbangan beban merentas zon yang didayakan secara lalai tanpa kos tambahan. NLB mempunyai pengimbangan beban merentas zon yang dilumpuhkan secara lalai—mendayakannya akan dikenakan caj pemindahan data antara AZ. GWLB juga mempunyai pengimbangan beban merentas zon yang dilumpuhkan secara lalai. Dayakan pengimbangan merentas zon apabila bilangan sasaran tidak seimbang antara AZ untuk mengelakkan titik panas.

Jadual perbandingan ringkas untuk peperiksaan:

• Lapisan OSI: ALB = 7 (HTTP), NLB = 4 (TCP/UDP), GWLB = 3 (IP)
• Protokol: ALB = HTTP, HTTPS, WebSocket; NLB = TCP, UDP, TLS; GWLB = semua protokol IP melalui GENEVE
• IP statik: ALB = Tidak (gunakan corak NLB + ALB); NLB = Ya (1 bagi setiap AZ); GWLB = Tidak berkenaan
• Integrasi WAF: ALB = Ya; NLB = Tidak; GWLB = Tidak
• Sasaran Lambda: ALB = Ya; NLB = Tidak; GWLB = Tidak
• Pengosongan sambungan: ketiga-tiganya menyokong kelewatan pembatalan pendaftaran

ALB berintegrasi secara natif dengan AWS WAF untuk perlindungan serantau (berbeza daripada WAF pada CloudFront untuk perlindungan edge global). Dengan melampirkan ACL Web WAF pada ALB, anda boleh menapis permintaan HTTP sebelum sampai kepada aplikasi—menyekat suntikan SQL, XSS, IP berniat jahat yang diketahui dan klien yang menyalahgunakan kadar.

Gunakan ALB + WAF apabila anda mahu pemeriksaan keselamatan pada lapisan load balancer (contohnya, untuk melindungi API yang tidak disediakan melalui CloudFront). ACL Web WAF yang dilampirkan pada ALB mesti berada dalam Wilayah yang sama dengan ALB dan mesti mempunyai skop REGIONAL (berbeza daripada WAF CloudFront yang memerlukan skop CLOUDFRONT dalam us-east-1).

AWS PrivateLink menggunakan NLB untuk mendedahkan perkhidmatan dalam satu VPC kepada pengguna dalam VPC atau akaun AWS lain tanpa memerlukan peering VPC, get laluan internet atau NAT. Penyedia perkhidmatan mencipta NLB di hadapan perkhidmatan mereka dan mencipta Perkhidmatan Titik Akhir VPC. Pengguna mencipta Titik Akhir VPC Antara Muka dalam VPC mereka yang menunjuk kepada perkhidmatan tersebut.

Trafik mengalir melalui rangkaian peribadi AWS dan tidak pernah merentasi internet. PrivateLink ialah corak standard untuk penyedia SaaS di AWS dan untuk mendedahkan perkhidmatan dikongsi (contohnya, perkhidmatan keselamatan berpusat) kepada berbilang akaun AWS dalaman.

Dalam pelajaran ini, anda telah mempelajari bahawa: ALB menghala pada Lapisan 7 (HTTP) dengan peraturan berasaskan kandungan, integrasi WAF dan sasaran Lambda, NLB menghala pada Lapisan 4 (TCP/UDP) dengan IP statik dan daya pemprosesan ekstrem, manakala GWLB menggunakan peralatan rangkaian maya pada Lapisan 3 menggunakan GENEVE. Padankan load balancer dengan keperluan protokol dan cirinya. Seterusnya, kita akan meneroka kumpulan sasaran dan pemeriksaan kesihatan.