GSP975

總覽

Google 在自家遍布全球的網路邊緣服務點 (POP) 提供 Google Cloud HTTP(S) 負載平衡服務。導向 HTTP(S) 負載平衡器的使用者流量會進入離使用者最近的 POP，接著透過 Google 的全球網路進行負載平衡，再傳至有足夠容量且距離最近的後端。

您可以透過 Cloud Armor IP 許可清單/拒絕清單，在盡可能接近使用者和惡意流量的 Google Cloud 邊緣，允許或限制對方存取 HTTP(S) 負載平衡器。這有助於防止惡意使用者或流量消耗資源，或進入虛擬私有雲 (VPC) 網路。

在本實驗室，您會設定具有全域後端的 HTTP 負載平衡器 (如下圖所示)，然後對負載平衡器進行壓力測試，並新增 Cloud Armor 頻率限制政策，根據 IP 限制流量。

學習內容

在本實驗室中，您將瞭解如何執行下列工作：

• 建立 HTTP 和健康狀態檢查防火牆規則
• 設定兩個執行個體範本
• 建立兩個代管執行個體群組
• 設定支援 IPv4 和 IPv6 的 HTTP 負載平衡器
• 對 HTTP 負載平衡器進行壓力測試
• 新增 Cloud Armor 頻率限制政策，根據 IP 限制流量
• 確認從 VM 執行壓力測試時，流量會遭到封鎖

設定和需求

瞭解以下事項後，再點選「Start Lab」按鈕

請詳閱以下操作說明。實驗室活動會計時，且中途無法暫停。點選「Start Lab」後就會開始計時，顯示可使用 Google Cloud 資源的時間。

您將在真正的雲端環境完成實作實驗室活動，而不是模擬或示範環境。為此，我們會提供新的暫時憑證，供您在實驗室活動期間登入及存取 Google Cloud。

為了順利完成這個實驗室，請先確認：

• 可以使用標準的網際網路瀏覽器 (Chrome 瀏覽器為佳)。

注意事項：請使用無痕模式 (建議選項) 或私密瀏覽視窗執行此實驗室，這可以防止個人帳戶和學員帳戶之間的衝突，避免個人帳戶產生額外費用。

• 是時候完成實驗室活動了！別忘了，活動一旦開始將無法暫停。

注意事項：務必使用實驗室專用的學員帳戶。如果使用其他 Google Cloud 帳戶，可能會產生額外費用。

如何開始研究室及登入 Google Cloud 控制台

1. 點選「Start Lab」按鈕。如果實驗室會產生費用，畫面上會出現選擇付款方式的對話方塊。左側的「Lab Details」窗格會顯示下列項目：

   • 「Open Google Cloud console」按鈕
   • 剩餘時間
   • 必須在這個研究室中使用的臨時憑證
   • 完成這個實驗室所需的其他資訊 (如有)

2. 點選「Open Google Cloud console」；如果使用 Chrome 瀏覽器，也能按一下滑鼠右鍵，選取「在無痕視窗中開啟連結」。

   接著，實驗室會啟動相關資源，並開啟另一個分頁，顯示「登入」頁面。

   提示：您可以在不同的視窗中並排開啟分頁。

   注意：如果頁面中顯示「選擇帳戶」對話方塊，請點選「使用其他帳戶」。

3. 如有必要，請將下方的 Username 貼到「登入」對話方塊。

   {{{user_0.username | "Username"}}}

   您也可以在「Lab Details」窗格找到 Username。

4. 點選「下一步」。

5. 複製下方的 Password，並貼到「歡迎使用」對話方塊。

   {{{user_0.password | "Password"}}}

   您也可以在「Lab Details」窗格找到 Password。

6. 點選「下一步」。

   重要事項：請務必使用實驗室提供的憑證，而非自己的 Google Cloud 帳戶憑證。 注意：如果使用自己的 Google Cloud 帳戶來進行這個實驗室，可能會產生額外費用。

7. 按過後續的所有頁面：

   • 接受條款及細則。
   • 由於這是臨時帳戶，請勿新增救援選項或雙重驗證機制。
   • 請勿申請免費試用。

Google Cloud 控制台稍後會在這個分頁開啟。

注意：如要使用 Google Cloud 產品和服務，請點選「導覽選單」，或在「搜尋」欄位輸入服務或產品名稱。

啟動 Cloud Shell

Cloud Shell 是搭載多項開發工具的虛擬機器，提供永久的 5 GB 主目錄，而且在 Google Cloud 中運作。Cloud Shell 提供指令列存取權，方便您使用 Google Cloud 資源。

1. 點按 Google Cloud 控制台頂端的「啟用 Cloud Shell」圖示 。

2. 系統顯示視窗時，請按照下列步驟操作：

   • 繼續操作 Cloud Shell 視窗。
   • 授權 Cloud Shell 使用您的憑證發出 Google Cloud API 呼叫。

連線建立完成即代表已通過驗證，而且專案已設為您的 Project_ID：。輸出內容中有一行文字，宣告本工作階段的 Project_ID：

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud 是 Google Cloud 的指令列工具，已預先安裝於 Cloud Shell，並支援 Tab 鍵自動完成功能。

3. (選用) 您可以執行下列指令來列出使用中的帳戶：

gcloud auth list

4. 點按「授權」。

輸出內容：

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. (選用) 您可以使用下列指令來列出專案 ID：

gcloud config list project

輸出內容：

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} 注意：如需 gcloud 的完整說明，請前往 Google Cloud 參閱 gcloud CLI 總覽指南。

工作 1：設定 HTTP 和健康狀態檢查防火牆規則

請設定防火牆規則，允許傳送至後端的 HTTP 流量，以及來自 Google Cloud 健康狀態檢查工具的 TCP 流量。

建立 HTTP 防火牆規則

請建立防火牆規則，允許 HTTP 流量傳送至後端。

1. 在 Cloud 控制台，依序點選「導覽選單」圖示 >「虛擬私有雲網路」>「防火牆」。

2. 留意現有的 ICMP、內部、RDP 和 SSH 防火牆規則。

   每項 Google Cloud 專案一開始就有 default 網路和這些防火牆規則。

3. 按一下「建立防火牆規則」。

4. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示輸入值或選取選項)
   名稱	default-allow-http
   網路	default
   目標	指定的目標標記
   目標標記	http-server
   來源篩選器	IPv4 範圍
   來源 IP 範圍	0.0.0.0/0
   通訊協定和通訊埠	指定的通訊協定和通訊埠：勾選「TCP」並輸入 80

   注意： 輸入來源 IP 範圍時，請勿省略 /0。/0 會指定所有網路。

5. 點選「建立」。

建立健康狀態檢查防火牆規則

健康狀態檢查會判斷負載平衡器的哪些執行個體能接收新連線。以 HTTP 負載平衡來說，對達到負載平衡的執行個體執行健康狀態檢查探測時，探測要求的來源位址範圍為 130.211.0.0/22 和 35.191.0.0/16。防火牆規則必須允許這類連線。

1. 一樣在「防火牆規則」頁面，點選「建立防火牆規則」。

2. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示輸入值或選取選項)
   名稱	default-allow-health-check
   網路	default
   目標	指定的目標標記
   目標標記	http-server
   來源篩選器	IPv4 範圍
   來源 IP 範圍	130.211.0.0/22 和 35.191.0.0/16
   通訊協定和通訊埠	指定的通訊協定和通訊埠：勾選「TCP」

   注意： 請務必逐一輸入兩個來源 IP 範圍，並在中間加入空格。

3. 點選「建立」。

點選「Check my progress」，確認目標已達成。 設定 HTTP 和健康狀態檢查防火牆規則

工作 2：設定執行個體範本及建立執行個體群組

代管執行個體群組會使用執行個體範本，建立一組相同的執行個體。請使用這些執行個體來建立 HTTP 負載平衡器的後端。

設定執行個體範本

執行個體範本是一種 API 資源，可用來建立 VM 執行個體和代管執行個體群組。執行個體範本會定義機型、開機磁碟映像檔、子網路、標籤和其他執行個體屬性。請分別為 和 建立一個執行個體範本。

1. 在 Cloud 控制台，依序點選「導覽選單」圖示 >「Compute Engine」>「執行個體範本」>「建立執行個體範本」。
2. 在「名稱」部分，輸入 -template。
3. 在「位置」部分，選取「全域」。
4. 在「系列」部分，選取「E2」。
5. 點選「網路、磁碟、安全性、管理、單一租戶」。

6. 點選「網路」，然後在「網路標記」部分輸入 http-server。

7. 在「網路介面」部分，展開 default 網路的設定，然後設定下列值。

   屬性	值 (按照指示輸入值或選取選項)
   網路	default
   子網路	default ()

注意：網路標記 http-server 可確保這些執行個體套用 HTTP 和健康狀態檢查防火牆規則。

8. 點選「管理」分頁標籤。

9. 在「中繼資料」下方，點選「+ 新增項目」並指定下列設定：

   鍵	值
   startup-script-url	gs://spls/gsp975/startup.sh

注意：startup-script-url 能指定執行個體啟動時執行的指令碼。這個指令碼會安裝 Apache 並變更歡迎頁面，在頁面中納入用戶端 IP，以及 VM 執行個體的名稱、區域和可用區。歡迎查看指令碼內容。

10. 點選「建立」。
11. 等待執行個體範本建立完畢。

接下來，請複製 -template，為 subnet-b 建立另一個執行個體範本：

1. 依序點選「-template」和頂端的「複製」選項。
2. 在「名稱」部分，輸入 -template。
3. 在「位置」部分，選取「全域」。
4. 點選「進階選項」。
5. 依序點選「網路」>「網路介面」，然後展開 default 網路。
6. 在「子網路」部分，選取「default ()」。
7. 點選「建立」。

建立代管執行個體群組

在 和 分別建立一個代管執行個體群組。

1. 按一下「導覽選單」圖示 ，然後在左選單依序點選「Compute Engine」>「執行個體群組」。

2. 點選「建立執行個體群組」。

3. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示輸入值或選取選項)
   名稱	-mig
   執行個體範本	-template
   位置	多可用區
   區域
   執行個體數量下限	1
   執行個體數量上限	5
   「自動調度資源」>「自動調度資源信號」(點選下拉式選單圖示來編輯) >「信號類型」	CPU 使用率
   目標 CPU 使用率	80
   初始化期間	45

   注意：代管執行個體群組提供自動調度資源功能，可根據負載的增減，在代管執行個體群組中自動新增或移除執行個體。這項功能可協助應用程式妥善處理增加的流量，並在資源需求降低時節省成本。只要定義自動調度資源政策，自動配置器就會依據測得的負載量，自動調整資源配置。

4. 點選「建立」。

接著執行相同程序，在 建立名為-mig 的第二個執行個體群組：

1. 點選「建立執行個體群組」。

2. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示輸入值或選取選項)
   名稱	-mig
   執行個體範本	-template
   位置	多可用區
   區域
   執行個體數量下限	1
   執行個體數量上限	5
   「自動調度資源」>「自動調度資源信號」(點選下拉式選單圖示來編輯) >「信號類型」	CPU 使用率
   目標 CPU 使用率	80
   初始化期間	45

3. 點選「建立」。

點選「Check my progress」，確認目標已達成。 設定執行個體範本和執行個體群組

驗證後端

請確認兩個區域皆已建立 VM 執行個體，而且都能存取 HTTP 網站。

1. 一樣在「Compute Engine」頁面，點選左選單中的「VM 執行個體」。

2. 留意開頭為 -mig 和 -mig 的執行個體。

   這些執行個體屬於代管執行個體群組。

3. 點選 -mig 執行個體的「外部 IP」。

   畫面上會顯示「用戶端 IP」(您的 IP 位址)、「主機名稱」(開頭為 -mig)，以及「伺服器位置」 ( 內的可用區)。

4. 點選 -mig 執行個體的「外部 IP」。

   畫面上會顯示「用戶端 IP」(您的 IP 位址)、「主機名稱」(開頭為 -mig)，以及「伺服器位置」 ( 內的可用區)。

注意：「主機名稱」和「伺服器位置」會指出 HTTP 負載平衡器傳送流量的位置。

工作 3：設定 HTTP 負載平衡器

請設定 HTTP 負載平衡器，在 的 -mig 和 的 -mig 這兩個後端之間平均分配流量，如下方網路圖表所示：

開始設定

1. 在 Cloud 控制台，依序點選「導覽選單」圖示 >「查看所有產品」>「網路」專區下的「網路服務」>「負載平衡」>「建立負載平衡器」。
2. 在「Application Load Balancer (HTTP/S)」下方，點選「下一步」。
3. 在「公開或內部」下方，選取「公開 (外部)」，然後點選「下一步」。
4. 在「全域或單一區域部署」下方，選取「最適合全域工作負載」，然後點選「下一步」。
5. 在「負載平衡器代別」下方，選取「全域外部應用程式負載平衡器」，然後點選「下一步」。
6. 點選「設定」。
7. 在「負載平衡器名稱」部分，輸入 http-lb。

設定後端

後端服務會將傳入流量導向一或多個連接的後端。每個後端都有執行個體群組，以及其他負載能力中繼資料。

1. 點選「後端設定」。

2. 按一下「後端服務和後端 bucket」下拉式選單，然後點選「建立後端服務」。

3. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示選取選項)
   名稱	http-backend
   執行個體群組	-mig
   通訊埠編號	80
   平衡模式	頻率
   每秒要求數上限	50
   容量	100

   注意： 這項設定表示負載平衡器會試著將每個 -mig 執行個體的每秒要求數 (RPS)，保持在 50 以下。

4. 點選「完成」。

5. 點選「新增後端」。

6. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示選取選項)
   執行個體群組	-mig
   通訊埠編號	80
   平衡模式	使用率
   後端使用率上限	80
   容量	100

   注意：這項設定表示負載平衡器會試著將每個 -mig 執行個體的 CPU 使用率，保持在 80% 以下。

7. 點選「完成」。

8. 在「健康狀態檢查」部分，選取「建立健康狀態檢查」。

9. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示選取選項)
   名稱	http-health-check
   通訊協定	TCP
   通訊埠	80

   注意：健康狀態檢查會判斷哪些執行個體能接收新連線。這項 HTTP 健康狀態檢查會每 5 秒輪詢執行個體一次，並等待最多 5 秒，看看執行個體是否有回應。如果成功兩次，就會判定為健康狀態良好；如果失敗兩次，則會判定為狀態不良。

10. 點選「建立」。

11. 勾選「啟用記錄功能」方塊。

12. 將「取樣率」設為 1：

13. 點選「建立」來建立後端服務，然後按一下「確定」。

設定前端

主機與路徑規則會決定流量的導向方式。舉例來說，您可以將影片流量導向其中一個後端，並將靜態內容流量導向另一個後端。不過，本實驗室無須設定「主機與路徑規則」。

1. 點選「前端設定」。

2. 指定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示輸入值或選取選項)
   通訊協定	HTTP
   IP 版本	IPv4
   IP 位址	臨時
   通訊埠	80

3. 點選「完成」。

4. 點選「新增前端 IP 和通訊埠」。

5. 指定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示輸入值或選取選項)
   通訊協定	HTTP
   IP 版本	IPv6
   IP 位址	自動分配
   通訊埠	80

6. 點選「完成」。

注意：HTTP(S) 負載平衡服務支援透過 IPv4 或 IPv6 位址傳輸用戶端流量。用戶端的 IPv6 要求會在全域負載平衡層終止，接著透過 IPv4 進行 Proxy 處理後，再傳送至後端。

檢查並建立 HTTP 負載平衡器

1. 點選「檢查並完成」。

   

2. 檢查「後端服務」和「前端」。

   

3. 點選「建立」。

4. 等待負載平衡器建立完畢。

5. 點選負載平衡器的名稱 (http-lb)。

6. 記下負載平衡器的 IPv4 和 IPv6 位址，下一個工作會用到。這兩個 IP 位址分別為 [LB_IP_v4] 和 [LB_IP_v6]。

注意：IPv6 位址採用十六進制格式。

點選「Check my progress」，確認目標已達成。 設定 HTTP 負載平衡器

工作 4：測試 HTTP 負載平衡器

為後端建立 HTTP 負載平衡器後，接著要確認流量是否會轉送至後端服務。

存取 HTTP 負載平衡器

• 在瀏覽器開啟新分頁並前往 http://[LB_IP_v4]，測試能否透過 IPv4 存取 HTTP 負載平衡器。請務必將 [LB_IP_v4] 改成負載平衡器的 IPv4 位址。

注意：最多可能需要 5 分鐘，才能存取 HTTP 負載平衡器。順利存取前，可能會出現 404 或 502 錯誤。請持續嘗試，直到看見其中一個後端頁面。 注意：視您與 和 的距離而定，流量會轉送至 -mig 或 -mig 執行個體。

如果您有本機 IPv6 位址，可以前往 http://[LB_IP_v6]，測試能否透過 IPv6 位址存取 HTTP 負載平衡器。請務必將 [LB_IP_v6] 改成負載平衡器的 IPv6 位址。

對 HTTP 負載平衡器進行壓力測試

請建立新的 VM，使用 siege 模擬 HTTP 負載平衡器上的負載，然後在負載偏高時，判斷兩個後端的流量是否達到平衡。

1. 依序點選控制台中的「導覽選單」圖示 >「Compute Engine」>「VM 執行個體」。

2. 點選「建立執行個體」。

3. 設定下方的值，其他屬性均保留預設值：

   屬性	值 (按照指示輸入值或選取選項)
   名稱	siege-vm
   區域
   可用區
   系列	E2

注意： 離 較近，離 較遠，因此除非負載過高，否則流量應只會轉送至 -mig。

4. 點選「建立」。
5. 等待 siege-vm 執行個體建立完畢。
6. 在「siege-vm」部分，點選「SSH」來啟動終端機並連線。
7. 執行下列指令來安裝 siege：

sudo apt-get -y install siege

點選「Check my progress」，確認目標已達成。 測試 HTTP 負載平衡器

8. 執行下列指令，並將 [LB_IP_v4] 改成 IPv4 位址，在環境變數中儲存 HTTP 負載平衡器的 IPv4 位址：

export LB_IP=[LB_IP_v4]

9. 執行下列指令來模擬負載：

siege -c 250 http://$LB_IP

輸出內容應如下所示：

New configuration template added to /home/cloudcurriculumdeveloper/.siege Run siege -C to view the current settings in that file

10. 在 Cloud 控制台，依序點選「導覽選單」圖示 >「查看所有產品」>「網路」專區下的「網路服務」>「負載平衡」。
11. 點選「後端」。
12. 點選「http-backend」。
13. 前往「http-lb」。
14. 點選「監控」分頁標籤。
15. 在「Frontend Location (Total inbound traffic)」中，花 2 至 3 分鐘監控北美區域和兩個後端之間的流量。

流量一開始應該只會導向 -mig，但隨著 RPS 增加，流量也會導向 -mig。

這證明流量預設只會轉送至距離最近的後端，但如果負載過高，流量也可能會分配至其他後端。

16. 返回 siege-vm 的 SSH 終端機。
17. 按下 Ctrl + C 鍵即可停止執行 siege。

工作 5：建立 Cloud Armor 頻率限制政策

在本節中，您將使用 Cloud Armor 設定頻率限制政策，將 siege-vm 加入拒絕清單，禁止該執行個體存取 HTTP 負載平衡器。

1. 在 Cloud Shell 透過 gcloud 建立安全性政策：

gcloud compute security-policies create rate-limit-siege \ --description "policy for rate limiting"

2. 接著新增頻率限制規則：

gcloud beta compute security-policies rules create 100 \ --security-policy=rate-limit-siege \ --expression="true" \ --action=rate-based-ban \ --rate-limit-threshold-count=50 \ --rate-limit-threshold-interval-sec=120 \ --ban-duration-sec=300 \ --conform-action=allow \ --exceed-action=deny-404 \ --enforce-on-key=IP

3. 將安全性政策附加至後端服務 http-backend：

gcloud compute backend-services update http-backend \ --security-policy rate-limit-siege --global

4. 在 Cloud 控制台，依序點選「導覽選單」圖示 >「查看所有產品」>「網路」專區下的「網路安全性」>「Cloud Armor 政策」。

5. 點選「rate-limit-siege」。政策內容應如下所示：

點選「Check my progress」，確認目標已達成。 建立 Cloud Armor 頻率限制政策

工作 6：驗證安全性政策

1. 返回 siege-vm 的 SSH 終端機。

2. 對負載平衡器 IP 執行 curl，確認仍可連線至該負載平衡器。您應該會收到 200 回應：

curl http://$LB_IP

3. 在 siege-vm 的 SSH 終端機，執行下列指令來模擬負載：

siege -c 250 http://$LB_IP

這個指令不會產生任何輸出內容。

4. 查看安全性政策記錄，確認這個流量是否也遭到封鎖。

5. 在 Cloud 控制台，依序點選「導覽選單」圖示 >「查看所有產品」>「網路」專區下的「網路安全性」>「Cloud Armor 政策」。

6. 點選「rate-limit-siege」。

7. 點選「記錄」。

8. 點選「查看政策記錄檔」。

9. 在「Logging」頁面上，務必將「查詢預覽」內的文字全部清除。

10. 依序點選「應用程式負載平衡器」>「http-lb-forwarding-rule」>「http-lb」來選取資源，然後按一下「套用」。

11. 接著點選「執行查詢」。

12. 展開「查詢結果」中的記錄項目。

    

13. 展開「httpRequest」。

這個要求應該來自 siege-vm IP 位址。如果不是，請展開另一個記錄項目。

14. 展開「jsonPayload」。

15. 展開「enforcedSecurityPolicy」。

    

請注意，configuredAction 的設定值為 DENY，名稱為 rate-limit-siege。

注意：您可以查看 Cloud Armor 安全性政策建立的記錄，判斷流量來源，以及系統允許或拒絕流量的時間點。

恭喜！

您設定了後端位於 和 的 HTTP 負載平衡器，接著運用 VM 對負載平衡器進行壓力測試，並透過 Cloud Armor 設定頻率限制，將 IP 位址加入拒絕清單。另外，您也順利查看安全性政策記錄，找出流量遭封鎖的原因。

後續步驟/瞭解詳情

如要瞭解 Cloud Armor 的基本概念，請參閱 Cloud Armor 說明文件。

如要進一步瞭解負載平衡，請參閱 Load Balancing 說明文件。

Google Cloud 教育訓練與認證

協助您瞭解如何充分運用 Google Cloud 的技術。我們的課程會介紹專業技能和最佳做法，讓您可以快速掌握要領並持續進修。我們提供從基本到進階等級的訓練課程，並有隨選、線上和虛擬課程等選項，方便您抽空參加。認證可協助您驗證及證明自己在 Google Cloud 技術方面的技能和專業知識。

使用手冊上次更新日期：2025 年 9 月 8 日

實驗室上次測試日期：2025 年 9 月 8 日

Copyright 2026 Google LLC 保留所有權利。Google 和 Google 標誌是 Google LLC 的商標，其他公司和產品名稱則有可能是其關聯公司的商標。