如何为Google TCP负载均衡器在同一IP上配置80/443双端口？

核心方案 #

Google Cloud TCP负载均衡器支持同一个静态外部IP绑定多个前端端口，只是控制台的操作逻辑容易造成误解。你不需要切换到HTTP负载均衡器，完全可以通过TCP LB实现需求，同时保留VM上的证书处理逻辑。

具体操作步骤 #

1. 准备静态外部IP

   • 先在VPC网络的外部IP地址页面，创建一个静态外部IP（或选择已有的静态IP），确保类型为全局（对应TCP负载均衡的全局前端）。

2. 创建/编辑TCP负载均衡器的前端配置

   • 进入负载均衡器创建流程，选择TCP负载均衡类型后，到前端配置环节：
     • 第一个前端配置：选择你准备好的静态IP，端口设为80，协议保持TCP。
     • 点击添加前端按钮，新增第二个前端配置：再次选择同一个静态IP，端口设为443，协议保持TCP。
   • 注意：控制台每个前端条目对应一个端口，但允许多个条目共用同一个静态IP，这是关键操作。

3. 配置后端服务

   • 针对80端口的前端，创建或关联一个后端服务，将流量转发到VM的80端口。
   • 针对443端口的前端，创建或关联另一个后端服务（或复用同一个后端服务，只要VM监听443端口），将流量转发到VM的443端口。
   • 由于是TCP透传，LB不会处理任何证书逻辑，所有SSL/TLS握手直接在VM上完成，完全符合你的需求。

4. 验证配置

   • 配置完成后，在负载均衡器的详情页面，检查前端部分是否显示同一个IP下的80和443端口。
   • 测试访问：分别通过http://[你的IP]和https://[你的IP]验证流量是否正确转发到VM对应的端口。

关键注意事项 #

• 必须使用静态外部IP，临时IP无法绑定多个前端端口。
• 确保VM所在的防火墙规则允许来自Google LB的80、443端口流量，以及LB健康检查的端口（默认是TCP 80，可自定义）。
• 后端VM需要正确监听80和443端口，并配置好SSL证书（例如用Nginx、Apache或Let's Encrypt生成的证书）。

内容的提问来源于stack exchange，提问作者naoufal bardouni