ALB ve NLB ve GLB: Hangisi Ne Zaman Kullanılır

Elastic Load Balancing (ELB), gelen uygulama trafiğini birden çok hedefe (EC2 bulut sunucuları, kapsayıcılar, Lambda işlevleri veya IP adresleri) otomatik olarak dağıtır. ELB, yönetilen bir hizmettir; yani AWS, yük dengeleyicinin kendisinin birden çok AZ genelinde tedarik edilmesini, ölçeklendirilmesini ve kullanılabilirliğini yönetir.

AWS, ELB çatısı altında üç tür yük dengeleyici sunar: Application Load Balancer (ALB), Network Load Balancer (NLB) ve Gateway Load Balancer (GWLB). Her biri OSI modelinin farklı bir katmanında çalışır ve farklı kullanım amaçları için optimize edilmiştir.

ALB, OSI modelinin 7. Katmanında (HTTP/HTTPS) çalışır. Akıllı yönlendirme kararları vermek için HTTP üst bilgilerini, yolları, sorgu dizelerini, ana bilgisayar adlarını ve çerezleri inceleyebilir. ALB; içerik tabanlı yönlendirmeye ihtiyaç duyan web uygulamaları, mikro hizmetler ve API uç noktaları için başvurulacak seçenektir.

ALB'nin temel özellikleri: yol tabanlı yönlendirme (/api/* bir hedef grubuna, /static/* başka bir hedef grubuna), ana bilgisayar tabanlı yönlendirme (farklı sanal ana bilgisayarları farklı arka uçlara yönlendirme), HTTP üst bilgisi ve sorgu dizesi yönlendirmesi, WebSocket desteği ve HTTP/2 desteğidir. ALB; EC2 bulut sunucularına, kapsayıcılara (ECS/EKS), Lambda işlevlerine ve IP adreslerine yönlendirme yapabilir.

NLB, 4. Katmanda (TCP/UDP/TLS) çalışır. Paketleri, uygulama içeriğini incelemeden IP protokolü verilerine göre yönlendirir. NLB, çok yüksek performans için tasarlanmıştır: son derece düşük gecikmeyle (genellikle 100 mikrosaniyenin altında) saniyede milyonlarca isteği işler.

NLB'nin temel özellikleri: AZ başına statik IP adresleri (alt ağ başına bir Elastic IP), TLS geçişi (şifrelenmiş trafiği şifresini çözmeden iletme), istemci IP adresini koruma ve UDP protokollerini desteklemedir (ör. DNS, RADIUS, oyun sunucuları). NLB içerik tabanlı yönlendirme yapamaz veya HTTP üst bilgilerini inceleyemez.

GWLB, 3. Katmanda (ağ katmanı) çalışır ve yalnızca üçüncü taraf sanal ağ cihazlarını (güvenlik duvarları, saldırı tespit ve önleme sistemleri (IDS/IPS) ve derin paket inceleme sistemleri) dağıtmak, ölçeklendirmek ve yönetmek için tasarlanmıştır.

GWLB, trafiği kapsüllemek ve cihaz filonuza göndermek için GENEVE protokolünü (6081 numaralı bağlantı noktası) kullanır. Cihaz paketi inceler ve aynı GWLB uç noktası üzerinden geri gönderir. Trafik, kaynak VPC'de yönlendirme değişiklikleri gerektirmeden şeffaf biçimde akar. Bu, AWS VPC trafik akışlarına merkezi güvenlik incelemesi eklemek için kullanılan standart modeldir.

Şu durumlarda ALB'yi seçin:

• HTTP/HTTPS içerik tabanlı yönlendirmeye (yol, ana bilgisayar, üst bilgi, sorgu dizesi) ihtiyacınız varsa
• Arka ucunuzda Lambda işlevleri veya ECS kapsayıcıları bulunuyorsa
• WebSocket veya HTTP/2 bağlantılarına ihtiyacınız varsa
• Yük dengeleyici katmanında web uygulaması güvenliği için AWS WAF ile tümleştirme yapmak istiyorsanız
• Farklı URL yollarında çok sayıda hizmet bulunan bir mikro hizmet mimarisi oluşturuyorsanız
• Yük dengeleyicide SSL/TLS sonlandırmasına ihtiyacınız varsa

SAA-C03 sınavındaki web uygulaması ve REST API yük dengeleme sorularının çoğunda doğru yanıt ALB'dir.

Şu durumlarda NLB'yi seçin:

• Çok yüksek performansa (saniyede milyonlarca istek, milisaniyenin altında gecikme) ihtiyacınız varsa
• İş ortaklarının veya güvenlik duvarlarının izin listesine alabileceği statik IP adresleri gerekiyorsa
• UDP trafiğini (oyun, DNS, RADIUS, IoT) işlemeniz gerekiyorsa
• Yük dengeleyicide şifre çözme yapmadan TLS geçişi (hedefe uçtan uca şifreleme) istiyorsanız
• TCP düzeyinde istemcinin kaynak IP'sini yerel olarak korumanız gerekiyorsa
• Hizmetleri diğer VPC'lere veya hesaplara sunmak için AWS PrivateLink kullanıyorsanız (PrivateLink için NLB gereklidir)

Şu durumlarda GWLB'yi seçin:

• Üçüncü taraf güvenlik duvarı cihazlarını (Palo Alto, Fortinet, Check Point) ağ trafiği akışınıza eklemeniz gerekiyorsa
• Tüm gelen veya giden trafik için VPC düzeyinde derin paket incelemesi yapmanız gerekiyorsa
• IDS/IPS cihazlarından oluşan bir filoyu otomatik yük dengeleme ile yatay olarak ölçeklendirmeniz gerekiyorsa

Mimari: Trafik kaynak VPC'den → GWLB uç noktasına → cihaz VPC'sine (GWLB'nin trafiği cihaz bulut sunucularına dağıttığı yer) akar → cihaz trafiği GWLB'ye geri gönderir → GWLB özgün hedefe iletir. Kaynak ve hedef, aradaki incelemeden haberdar değildir.

Bölgeler arası yük dengeleme, yük dengeleyici düğümünün isteği aldığı AZ'den bağımsız olarak, trafiği etkinleştirilmiş tüm AZ'lerdeki kayıtlı hedeflere eşit biçimde dağıtır. Bölgeler arası yük dengeleme olmadan her AZ'nin düğümü trafiği yalnızca kendi AZ'sindeki hedeflere dağıtır.

ALB'de bölgeler arası yük dengeleme, ek ücret olmadan varsayılan olarak etkindir. NLB'de bölgeler arası yük dengeleme varsayılan olarak devre dışıdır; etkinleştirilmesi AZ'ler arası veri aktarım ücretlerine neden olur. GWLB'de de bölgeler arası yük dengeleme varsayılan olarak devre dışıdır. Hedef sayıları AZ'ler arasında eşit olmadığında yoğunlaşma noktalarını önlemek için bölgeler arası LB'yi etkinleştirin.

Sınav için hızlı karşılaştırma tablosu:

• OSI Katmanı: ALB = 7 (HTTP), NLB = 4 (TCP/UDP), GWLB = 3 (IP)
• Protokoller: ALB = HTTP, HTTPS, WebSocket; NLB = TCP, UDP, TLS; GWLB = GENEVE üzerinden tüm IP protokolleri
• Statik IP: ALB = Hayır (NLB + ALB modeli kullanılır); NLB = Evet (AZ başına 1); GWLB = Uygulanamaz
• WAF tümleştirmesi: ALB = Evet; NLB = Hayır; GWLB = Hayır
• Lambda hedefi: ALB = Evet; NLB = Hayır; GWLB = Hayır
• Bağlantı boşaltma: üçünün de kayıt silme gecikmesi desteği vardır

ALB, bölgesel koruma için AWS WAF ile yerel olarak tümleşir (küresel kenar koruması için CloudFront üzerindeki WAF'ın aksine). Bir WAF Web ACL'sini ALB'ye ekleyerek HTTP isteklerini uygulamanıza ulaşmadan önce filtreleyebilir; SQL enjeksiyonunu, XSS'yi, bilinen kötü amaçlı IP'leri ve aşırı istek gönderen istemcileri engelleyebilirsiniz.

Yük dengeleyici katmanında güvenlik incelemesi istediğinizde ALB + WAF kullanın (ör. CloudFront üzerinden sunulmayan API'leri korumak için). ALB'lere eklenen WAF Web ACL'leri ALB ile aynı Bölgede olmalı ve REGIONAL kapsamına sahip olmalıdır (us-east-1'de CLOUDFRONT kapsamı gerektiren CloudFront WAF'ın aksine).

AWS PrivateLink, VPC eşlemesi, internet ağ geçidi veya NAT gerektirmeden bir VPC'deki hizmetleri diğer VPC'lerdeki veya AWS hesaplarındaki tüketicilere sunmak için NLB'yi kullanır. Hizmet sağlayıcı, hizmetinin önünde bir NLB oluşturur ve bir VPC Endpoint Service oluşturur. Tüketiciler, kendi VPC'lerinde hizmete yönlendiren bir Interface VPC Endpoint oluşturur.

Trafik AWS'nin özel ağı üzerinden akar ve hiçbir zaman internete çıkmaz. PrivateLink, AWS üzerindeki SaaS sağlayıcıları ve paylaşılan hizmetleri (ör. merkezi bir güvenlik hizmetini) birden çok dahili AWS hesabına sunmak için kullanılan standart modeldir.

Bu dersteki AWS Çözüm Mimarı (SAA-C03) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: ALB, içerik tabanlı kurallarla, WAF tümleştirmesiyle ve Lambda hedefleriyle 7. Katmanda (HTTP) yönlendirme yapar; NLB, statik IP'lerle ve çok yüksek aktarım hızıyla 4. Katmanda (TCP/UDP) yönlendirme yapar; GWLB, GENEVE kullanarak 3. Katmanda sanal ağ cihazları dağıtır. Yük dengeleyiciyi protokol ve özellik gereksinimleriyle eşleştirin. Sırada hedef gruplarını ve sistem durumu denetimlerini inceliyoruz.