IBM Cloud VPC下使用负载均衡及如何启用SSL offloading

负载均衡是我们经常会使用的一种公有云服务，通过负载均衡服务，可以对多台云服务器进行均衡的流量分发调度，从而消除单点故障提升应用系统的可靠性与吞吐力。一般我们会在大并发流量业务，高弹性高可靠性业务，还有云原生应用等这些场景下使用负载均衡服务。

与传统的硬件型负载均衡自建方案相比，云厂商的负载均衡服务具备按量付费和弹性伸缩能力，无需一次性大额投入，便可轻松拥有大并发流量的分发处理能力。同时，与开源的负载均衡自建方案相比，云厂商的负载均衡服务稳定可靠，配备专业的运维团队，可提供7×24小时不间断技术支持服务，提升企业客户的运维效率。

在IBM Cloud的VPC架构下，提供两种负载均衡服务，分别是Application Load Balancer for VPC (ALB) 和Network Load Balancer for VPC (NLB)，其中ALB可以提供针对4层和7层的处理能力，可以处理TCP、HTTP和HTTPS等协议，而NLB仅提供针对4层的处理能力，处理TCP协议。这两种负载均衡服务的差异详见下图

我们这篇文章主要了解如何订购和使用VPC下的ALB，以及利用ALB的SSL offloading功能让负载均衡服务来负责HTTPS流量的加密与解密，而后端服务器仅需处理普通HTTP流量。这样可以极大的节省后端服务在数据加解密上的算力，有效控制后端服务器的规模与成本。

在IBM Cloud上，可以通过页面左侧的导航菜单，选择VPC基础架构—负载均衡器进入订购页面：

一般来说，我们需要执行以下几个步骤使得负载均衡器可以正常工作

1. 创建负载均衡器实例
2. 需要创建服务器组并添加后端服务器来接收转发请求。
3. 需要为实例配置监听器，这样负载均衡器可以根据转发策略进行流量分发。

以下是创建ALB负载均衡的过程

1. 上图中负载均衡器类型可以选择为公用或专用，公用是指客户可以通过外网访问这个负载均衡器，系统会自动为负载均衡器添加外网IP和访问域名，专用是指改负载均衡器无法通过外网来访问，只能在客户的内网环境中来进行访问
2. 为了提高应用访问的可靠性和可用性，创建负载均衡器时可以考虑选择多个不同zone的VPC子网

接下去就需要创建后端池，前端监听器，为负载均衡器指定安全组来保证访问安全性，在这里我们先不创建这些，在后续的配置修改页面也可以设置

创建完以后，我们就可以在列表页面看到该负载均衡器

点击负载均衡器名称，就可以进入到详细页面

接下来我们可以点击上图中的后端池和前端侦听器标签页来创建后端服务器组和侦听器

上图中我们需要指定负载均衡器跟后端服务器交互的协议，流量分发的策略以及服务器运行状况检查的路径和端口等这些信息，详见文档页面： https://cloud.ibm.com/docs/vpc?topic=vpc-load-balancer

接下来创建前端侦听器

创建前端侦听器的时候，我们需要指定监听协议，监听端口，以及对应的后端池，创建完成以后，我们可以配置更复杂的监听转发规则，设置ALB实例如何将请求路由到一个或多个后端池中的服务器

具体步骤详见文档页面中的Add Policy部分
https://cloud.ibm.com/docs/vpc?topic=vpc-load-balancer

在配置完后端池和前端侦听器以后，我们可能会发现负载均衡器页面的服务器运行状态为不适用

这通常表示负载均衡实例配置的健康检查存在问题，我们可以通过以下几条来逐步排查问题：

1. 确保后端服务器正常运行，健康检查所监听的端口已开启
2. 确保健康检查的相关配置正确，例如运行状况路径，运行状况协议，端口等
3. 确保后端服务器上没有针对ALB所加载的子网IP段进行任何形式的屏蔽，包括iptables, firewalld或其他任何第三方防火墙/安全策略软件
4. 确保后端服务器的安全组配置没有问题
5. 可以尝试在在后端服务器本地执行curl命令访问服务，例如： curl -I http://10.240.64.12，确保返回的是200状态码
6. 最重要的一点，一定要先配置过前端侦听器，要不然即使前面5项都没有问题，也会导致健康检查状态一直不对

前面简单介绍了IBM Cloud负载均衡服务，接下来我们来看一下如何配置SSL offloading功能，使得负载均衡服务来负责HTTPS流量的加密与解密，而后端服务器仅需处理普通HTTP流量。其具体过程如下图所示：

负载均衡支持两种类型的证书：

1. 在IBM Certificate Manager服务签发的证书，可实现证书到期提醒和一键续期
2. 第三方签发的证书

要实现这个功能，首先我们需要配置一个证书管理服务，并订购或者导入第三方签发的证书


导入证书以后，进入管理—访问权—授权页面，授权负载均衡可以访问该证书服务

接下来我们需要配置负载均衡的前端侦听器的侦听协议为https, 并选择以前导入的https证书

配置完前端侦听器的侦听协议为https后，我们还需要设置访问后端服务器组的协议为http，这样从负载均衡到后端服务器就是走http协议了

最后验证负载均衡运行正常，后端服务器可以正常接收访问请求。

本文参考文档：
https://cloud.ibm.com/docs/vpc?topic=vpc-nlb-vs-elb
https://cloud.ibm.com/docs/vpc?topic=vpc-load-balancers