本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 网关负载均衡器入门
<a name="getting-started"></a>

借助网关负载均衡器可以轻松部署、扩展和管理第三方虚拟设备，例如安全设备。

在本教程中，我们将使用一个网关负载均衡器和一个网关负载均衡器端点，实现一个检验系统。

**Topics**
+ [概览](#overview)
+ [先决条件](#prerequisites)
+ [第 1 步：创建网关负载均衡器](#create-register)
+ [第 2 步：创建网关负载均衡器端点服务](#create-endpoint-service)
+ [第 3 步：创建网关负载均衡器端点](#create-endpoint)
+ [第 4 步：配置路由](#configure-routing)

## 概览
<a name="overview"></a>

网关负载均衡器端点是在服务提供者 VPC 中的虚拟设备与服务使用者 VPC 中的应用程序服务器之间提供私有连接的 VPC 端点。网关负载均衡器将部署在与虚拟设备相同的 VPC 中。这些设备将会注册到网关负载均衡器的目标组。

应用程序服务器与服务使用者 VPC 在同一个子网（目的地子网）中运行，而网关负载均衡器端点位于另一个子网中。通过互联网网关进入服务使用者 VPC 的所有流量首先会路由到网关负载均衡器端点，然后再路由到目标子网。

同样，离开应用程序服务器（目的地子网）的所有流量会首先路由到网关负载均衡器端点，然后再路由回互联网。以下网络图形象地演示了如何使用网关负载均衡器访问端点服务。

![\[使用网关负载均衡器端点访问端点服务\]](http://docs.amazonaws.cn/elasticloadbalancing/latest/gateway/images/vpc-endpoint-service-gwlbe-new.png)


随后的编号项突出显示并解释了上面网络图中显示的元素。

**从互联网到应用程序的流量（蓝色箭头）：**

1. 流量通过互联网网关进入服务使用者 VPC。

1. 根据入口路由将流量发送到网关负载均衡器端点。

1. 将流量发送到网关负载均衡器，然后由后者将流量分配到其中的一个安全设备。

1. 安全设备完成检查后，将流量发送回网关负载均衡器端点。

1. 将流量发送到应用程序服务器（目的地子网）。

**从应用程序到互联网的流量（橙色箭头）：**

1. 根据应用程序服务器子网上配置的默认路由表，将流量发送到网关负载均衡器端点。

1. 将流量发送到网关负载均衡器，然后由后者将流量分配到其中的一个安全设备。

1.  安全设备完成检查后，将流量发送回网关负载均衡器端点。

1. 根据路由表配置，将流量发送到互联网网关。

1. 流量被路由回互联网。

### 路由
<a name="route-tables"></a>

互联网网关的路由表必须具有将发往应用程序服务器的流量路由到网关负载均衡器端点的条目。要指定网关负载均衡器端点，请使用 VPC 端点的 ID。以下示例显示了 dualstack 配置的路由。


| 目标位置 | 目标 | 
| --- | --- | 
| VPC IPv4 CIDR | 本地 | 
| VPC IPv6 CIDR | 本地 | 
| Subnet 1 IPv4 CIDR | vpc-endpoint-id | 
| Subnet 1 IPv6 CIDR | vpc-endpoint-id | 

应用程序服务器所在子网的路由表必须具有将来自应用程序服务器的所有流量路由到网关负载均衡器端点的条目。


| 目标位置 | 目标 | 
| --- | --- | 
| VPC IPv4 CIDR | 本地 | 
| VPC IPv6 CIDR | 本地 | 
| 0.0.0.0/0 | vpc-endpoint-id | 
| ::/0 | vpc-endpoint-id | 

网关负载均衡器端点所在子网的路由表必须将从检查返回的流量路由到最终目的地。对于来自互联网的流量，本地路由将确保其会到达应用程序服务器。对于来自应用程序服务器的流量，则添加会将所有流量路由到互联网网关的条目。


| 目标位置 | 目标 | 
| --- | --- | 
| VPC IPv4 CIDR | 本地 | 
| VPC IPv6 CIDR | 本地 | 
| 0.0.0.0/0 | internet-gateway-id | 
| ::/0 | internet-gateway-id | 

## 先决条件
<a name="prerequisites"></a>
+ 确保服务使用者 VPC 在包含应用程序服务器的每个可用区中至少有两个子网。其中一个子网用于网关负载均衡器端点，另一个用于应用程序服务器。
+ 网关负载均衡器和目标可以位于同一子网中。
+ 您不能使用其他账户共享的子网来部署网关负载均衡器。
+ 在服务提供者 VPC 的每个安全设备子网中启动至少一个安全设备实例。这些实例的安全组必须允许端口 6081 上的 UDP 流量。

## 第 1 步：创建网关负载均衡器
<a name="create-register"></a>

按照以下过程创建负载均衡器、侦听器和目标组。

**使用控制台创建负载均衡器、侦听器和目标组**

1. 打开 Amazon EC2 控制台，网址为[https://console.aws.amazon.com/ec2/](https://console.amazonaws.cn/ec2/)。

1. 在导航窗格中的**负载平衡**下，选择**负载均衡器**。

1. 选择**创建负载均衡器**。

1. 在**网关负载均衡器**下，选择**创建**。

1. **基本配置**

   1. 对于**Load balancer name**（负载均衡器名称），输入负载均衡器的名称。

   1. 对于 **IP 地址类型**，请选择**IPv4**仅支持 IPv4 地址，或者选择 **Dualstack** 以同时支持 IPv4 和 IPv6地址。

1. **网络映射**

   1. 对于 **VPC**，请选择服务提供者 VPC。

   1. 对于**映射**，请选择您启动了安全设备实例的所有可用区，然后为每个可用区选择一个子网。

1. **IP 侦听器路由**

   1. 对于**默认操作**，选择一个现有的目标组以用来接收流量。该目标组必须使用 GENEVE 协议。

      如果您没有目标组，请选择**创建目标组**，这时将在浏览器中打开一个新选项卡。选择一个目标组，输入目标组的名称，并保持选择 GENEVE 协议。选择您的安全设备实例所在的 VPC。根据需要修改运行状况检查设置，并添加需要的任何标签。选择**下一步**。您可以立即向目标组注册安全设备实例，也可以在完成此过程之后再注册。选择**创建目标组**，然后返回上一个浏览器选项卡。

   1. （可选）展开**侦听器标签**并添加所需的标签。

1. （可选）展开**负载均衡器标签**并添加所需的标签。

1. 选择**创建负载均衡器**。

## 第 2 步：创建网关负载均衡器端点服务
<a name="create-endpoint-service"></a>

按照以下过程创建将使用您的网关负载均衡器的端点服务。

**创建网关负载均衡器端点服务**

1. 打开位于 [https://console.aws.amazon.com/vpc/](https://console.amazonaws.cn/vpc/) 的 Amazon VPC 控制台。

1. 在导航窗格中，选择 **Endpoint services**（端点服务）。

1. 选择**创建端点服务**，然后执行以下操作：

   1. 在 **Load balancer type**（负载均衡器类型）选项中选择 **Gateway**（网关）。

   1. 对于 **Available load balancers**（可用负载均衡器），选择您的网关负载均衡器。

   1. 对于**需要接受以使用端点**，选择**需要接受**以手动接受对端点服务的连接请求。否则这些请求将被自动接受。

   1. 对于 **Supported IP address types**（支持的 IP 地址类型），执行以下任一操作：
      + 选择 **IPv4**-启用终端节点服务以接受 IPv4 请求。
      + 选择 **IPv6**-启用终端节点服务以接受 IPv6 请求。
      + 选择**IPv4**和 **IPv6**-使终端节点服务能够同时接受 IPv4 和 IPv6 请求。

   1. （可选）若要添加标签，请选择 **Add new tag**（添加新标签），然后输入标签键和标签值。

   1. 选择**创建**。记下服务名称；您在创建端点时将需要此名称。

1. 选择新的端点服务，然后选择**操作**、**允许主体**。输入允许 ARNs 为服务创建终端节点的服务使用者。服务使用者可以是用户、IAM 角色或 Amazon Web Services 账户。选择 **Allow principals（允许委托人）**。

## 第 3 步：创建网关负载均衡器端点
<a name="create-endpoint"></a>

按照以下过程，创建可连接到您的网关负载均衡器端点服务的网关负载均衡器端点。网关负载均衡器端点是基于可用区的。我们建议您在每个可用区中创建一个网关负载均衡器端点。有关更多信息，请参阅《Amazon PrivateLink 指南》中的 [通过 Amazon PrivateLink访问虚拟设备](https://docs.amazonaws.cn/vpc/latest/privatelink/vpce-gateway-load-balancer.html)**。

**要创建网关负载均衡器终端节点**

1. 打开位于 [https://console.aws.amazon.com/vpc/](https://console.amazonaws.cn/vpc/) 的 Amazon VPC 控制台。

1. 在导航窗格中，选择**端点**。

1. 选择**创建端点**，然后执行以下操作：

   1. 在 **Service category**（服务类别）选项中，选择 **Other endpoint services**（其他端点服务）。

   1. 对于**服务名称**，输入您之前记下的服务名称，然后选择**验证服务**。

   1. 对于 **VPC**，请选择服务使用者 VPC。

   1. 对于**子网**，选择网关负载均衡器端点的子网。

      **注意：**创建 Gateway Load Balancer 终端节点时，您只能在每个可用区域内选择一个子网。

   1. 对于 **IP address type**（IP 地址类型），可从以下选项中进行选择：
      + **IPv4**— 为您的端点网络接口分配 IPv4 地址。仅当所有选定的子网都有 IPv4 地址范围时，才支持此选项。
      + **IPv6**— 为您的端点网络接口分配 IPv6 地址。仅当所有选定的子网仅为子网时， IPv6才支持此选项。
      + **Dualstack** — 将 IPv4 和 IPv6 地址分配给您的端点网络接口。仅当所有选定的子网同时具有 IPv4 和 IPv6 地址范围时，才支持此选项。

   1. （可选）若要添加标签，请选择 **Add new tag**（添加新标签），然后输入标签键和标签值。

   1. 选择**创建端点**。初始状态为 `pending acceptance`。

要接受端点连接请求，请按以下过程操作。

1. 在导航窗格中，选择 **Endpoint services**（端点服务）。

1. 选择端点服务。

1. 从 **Endpoint connections**（端点连接）选项卡中，选择端点连接。

1. 要接受连接请求，依次选择 **Actions**（操作）、**Accept endpoint connection request**（接受端点连接请求）。提示进行确认时，输入 **accept**，然后选择 **Accept**（接受）。

## 第 4 步：配置路由
<a name="configure-routing"></a>

按如下说明为服务使用者 VPC 配置路由表。这将使安全设备能够对发往应用程序服务器的入站流量执行安全检查。

**配置路由**

1. 打开位于 [https://console.aws.amazon.com/vpc/](https://console.amazonaws.cn/vpc/) 的 Amazon VPC 控制台。

1. 在导航窗格中，选择 **Route tables**（路由表）。

1. 为互联网网关选择路由表，并执行以下操作：

   1. 依次选择 **Actions**（操作）、**Edit routes**（编辑路由）。

   1. 选择 **Add route**（添加路由）。在**目标**中，输入应用程序服务器的子网的 IPv4 CIDR 块。在 **Target**（目标）选项中，选择 VPC 端点。

   1. 如果您支持 IPv6，请选择**添加路由**。在**目标**中，输入应用程序服务器的子网的 IPv6 CIDR 块。在 **Target**（目标）选项中，选择 VPC 端点。

   1. 选择**保存更改**。

1. 为包含应用程序服务器的子网选择路由表，并执行以下操作：

   1. 依次选择 **Actions**（操作）、**Edit routes**（编辑路由）。

   1. 选择 **Add route**（添加路由）。在 **Destination**（目标位置）字段，输入 **0.0.0.0/0**。在 **Target**（目标）选项中，选择 VPC 端点。

   1. 如果您支持 IPv6，请选择**添加路由**。在 **Destination**（目标位置）字段，输入 **::/0**。在 **Target**（目标）选项中，选择 VPC 端点。

   1. 选择**保存更改**。

1. 为包含网关负载均衡器端点的子网选择路由表，并执行以下操作：

   1. 依次选择 **Actions**（操作）、**Edit routes**（编辑路由）。

   1. 选择 **Add route**（添加路由）。在 **Destination**（目标位置）字段，输入 **0.0.0.0/0**。在 **Target**（目标）选项中，选择互联网网关。

   1. 如果您支持 IPv6，请选择**添加路由**。在**目标位置**字段，输入 **::/0**。在 **Target**（目标）选项中，选择互联网网关。

   1. 选择**保存更改**。