Crea un VPC (Virtual Private Cloud)

1. Vai alla pagina Virtual private clouds e fai clic su Create.
2. Nella sezione Ubicazione, selezionare un' Area geografica e una Regione, ad esempio Europe e London.
3. Immetti vpc-region1 per il nome del tuo VPC, seleziona un Gruppo di risorse e, facoltativamente, aggiungi Tag per organizzare le tue risorse.
4. Deselezionare Consenti SSH e Consenti ping dal gruppo di sicurezza predefinito. L'accesso SSH verrà successivamente aggiunto a un gruppo di sicurezza di manutenzione. Il gruppo di sicurezza manutenzione viene aggiunto a un'istanza per consentire l'accesso SSH da un server bastione. L'accesso al ping non è necessario per questa esercitazione.
5. Lascia deselezionato Abilita accesso alle risorse classiche e Crea un prefisso predefinito per ogni zona.
6. In Sottoreti modificare il nome della sottorete della zona 1. Fare clic sull'icona a forma di matita:
   • Inserire vpc-region1-zone1-subnet come nome univoco della sottorete.
   • Seleziona lo stesso Gruppo di risorse del gruppo di risorse VPC.
   • Lasciare i valori predefiniti negli altri valori.
   • Fai clic su Save
7. In Subnets modificare il nome della sottorete della zona 2. Fare clic sull'icona a forma di matita:
   • Inserire vpc-region1-zone2-subnet come nome univoco della sottorete.
   • Seleziona lo stesso Gruppo di risorse del gruppo di risorse VPC.
   • Lasciare i valori predefiniti negli altri valori.
   • Fai clic su Save
8. In Subnets, elimina la sottorete nella zona 3. Fare clic sull'icona meno.
9. Fai clic su Create virtual private cloud per eseguire il provisioning dell'istanza.

Crea un gruppo di sicurezza per consentire il traffico in entrata alla tua applicazione

Abilitare le regole in entrata per le porte HTTP (80) e HTTPS (443) per l'applicazione definendo regole in un gruppo di sicurezza. Nei passi successivi, aggiungerai le VSI al gruppo di sicurezza.

1. Passare alla pagina Gruppi di protezione e fare clic su Crea.

2. Immetti vpc-region1-sg per il nome, seleziona lo stesso Gruppo di risorse del gruppo di risorse VPC.

3. Seleziona il VPC (Virtual Private Cloud) vpc-region1 creato in precedenza.

4. Aggiungere le stesse regole in entrata trovate nella tabella riportata di seguito e fare clic su Crea gruppo di protezione.

   Regole in entrata

   Protocollo	Tipo di origine	Origine	Valore
   TCP	Qualsiasi	0.0.0.0/0	Porte 80-80
   TCP	Qualsiasi	0.0.0.0/0	Porte 443-443

Provisioning delle istanze del server virtuale

1. Vai alla pagina Subnets.
2. Verificare che lo stato di tutte le sottoreti sia Disponibile.
3. Fai clic su vpc-region1-zone1-subnet seguito da Attached resources, quindi in Attached instances fai clic su Create.
   1. Inserire vpc-region1-zone1-vsi come nome univoco del server virtuale.
   2. Verifica o imposta i campi Virtual private cloud, Gruppo di risorse, Ubicazione e Zona.
4. Nella sezione Immagine e profilo, fare clic su Modifica immagine.
5. Nel campo Cerca elementi, immettere Ubuntu e selezionare qualsiasi versione dell'immagine e fare clic su Salva.
6. Nella sezione Profilo, fare clic su Modifica profilo.
7. Selezionare Calcola con 2 vCPUs e 4 GB RAM come profilo e fare clic su Salva.
8. Impostare le chiavi SSH sulla chiave SSH creata in precedenza.
9. In Collegamenti di rete con interfaccia di rete virtuale, fare clic sulla matita sulla riga per l'interfaccia eth0.
   • Fare clic su Avanti.
   • Controlla vpc-region1-sg e deseleziona il gruppo di sicurezza VPC default.
   • Fare clic su Avanti alcune volte e quindi su Salva.
10. Fare clic su Crea server virtuale.
11. Ripeti i passi sopra riportati per eseguire il provisioning di un server virtuale vpc-region1-zone2-vsi nella sottorete vpc-region1-zone2-subnet.

Crea un gruppo di sicurezza per consentire il traffico in entrata e in uscita tramite i programmi di bilanciamento del carico

Per consentire il traffico all'applicazione, è necessario abilitare le regole in entrata e in entrata per le porte HTTP (80) e HTTPS (443). Nelle fasi successive, quando si creano i bilanciatori di carico, li si aggiungerà al gruppo di sicurezza che definisce tali regole.

1. Passare alla pagina Gruppi di protezione e fare clic su Crea.

2. Seleziona il VPC (Virtual Private Cloud) vpc-region1 creato in precedenza.

3. Immetti vpc-lb-sg per il nome, seleziona lo stesso Gruppo di risorse del gruppo di risorse VPC.

4. Aggiungere le stesse regole in entrata trovate nella tabella di seguito.

   Regole in entrata

   Protocollo	Tipo di origine	Origine	Valore
   TCP	Qualsiasi	0.0.0.0/0	Porte 80-80
   TCP	Qualsiasi	0.0.0.0/0	Porte 443-443

5. Aggiungere le stesse Regole in uscita trovate nella tabella di seguito e fare clic su Crea gruppo di protezione.

   Regole in uscita

   Protocollo	Tipo di origine	Origine	Valore
   TCP	Qualsiasi	0.0.0.0/0	Porte 80-80
   TCP	Qualsiasi	0.0.0.0/0	Porte 443-443

6. Ripetere le operazioni sopra descritte nella regione 2.

Configura i programmi di bilanciamento del carico

1. Passa alla pagina Load balancer e fai clic su Crea.
2. Selezionare ALB (Application Load Balancer) come tipo di programma di bilanciamento del carico.
3. Nella sezione Ubicazione, seleziona la stessa Geografia e la Regione che hai utilizzato per il VPC (Virtual Private Cloud) vpc-region1 precedentemente creato.
4. Immetti vpc-lb-region1 per il nome, seleziona lo stesso Gruppo di risorse del gruppo di risorse VPC.
5. Seleziona il VPC (Virtual Private Cloud) vpc-region1 creato in precedenza.
6. Selezionare le Sottoreti di vpc-region1-zone1-subnet e vpc-region1-zone2-subnet.
7. Fare clic su Crea pool per creare un nuovo pool back-end di VSI che agisce come peer uguali per condividere il traffico instradato verso il pool. Impostare i parametri con i valori indicati di seguito e fare clic su Crea al termine.
   • Nome: region1-pool
   • Protocollo: HTTP
   • Appiccicosità della sessione: None
   • Protocollo proxy: Disabled
   • Metodo: Round robin
   • Percorso di controllo dello stato di salute: /
   • Protocollo sanitario: HTTP
   • Health port: lascia vuoto
   • Intervallo (sec): 15
   • Timeout (sec): 5
   • Tentativi massimi: 2
   • Fai clic su Create.
8. Fare clic su Allega server per aggiungere istanze di server al pool.
   • Dal menu a discesa Subnets, seleziona vpc-region1-zone1-subnet e vpc-region1-zone2-subnet.
   • Seleziona le istanze che hai creato e imposta 80 come port.
   • Fai clic su Attach per completare la creazione del pool di backend.
9. Fare clic su Crea ascoltatore per creare un nuovo ascoltatore front-end; un ascoltatore è un processo che controlla le richieste di connessione.
   • Piscina back-end: region1-pool
   • Protocollo: HTTP
   • Protocollo proxy: non selezionato
   • Porta: 80
   • Connessioni massime: Lasciare vuoto e fare clic su Crea.
10. In Gruppi di sicurezza selezionare vpc-lb-sg e deselezionare il gruppo di sicurezza predefinito.
11. Fare clic su Crea bilanciatore di carico per eseguire il provisioning del bilanciatore di carico.
12. Ripeti i passi precedenti nella regione 2, questa volta denominando il programma di bilanciamento del carico vpc-lb-region2 e il pool di backend region2-pool.

Verifica i programmi di bilanciamento del carico

1. Attendi fino a quando lo stato del programma di bilanciamento del carico non diventa Active.
2. Apri il nome host (Hostname) in un browser web.
3. Aggiorna la pagina più volte e nota che il programma di bilanciamento del carico restituisce i risultati da diverse zone o istanze del server virtuale ad ogni aggiornamento.
4. Salvare l'indirizzo per riferimenti futuri.

Potresti aver notato che le richieste non sono crittografate e supportano solo HTTP. Configurerai un certificato SSL e abiliterai HTTPS nella prossima sezione.

Aggiungi un dominio personalizzato a IBM Cloud Internet Services

Il primo passo consiste nel creare un'istanza di CIS e puntare il tuo dominio personalizzato ai server dei nomi CIS.

1. Se non si possiede un dominio, è possibile acquistarne uno da un registrar.

2. Passa a IBM Cloud Internet Services nel catalogo IBM Cloud.

3. Seleziona un piano, imposta il gruppo di risorse e il nome del servizio e fai clic su Crea per creare un'istanza del servizio.

4. Quando viene eseguito il provisioning dell'istanza del servizio, fai clic su Aggiungi dominio.

5. Immettere il proprio nome dominio e fare clic su Avanti.

6. L'impostazione dei record DNS è un passaggio facoltativo e può essere saltato per questa esercitazione. fare clic su Avanti.

7. Quando vengono assegnati i server dei nomi, configura il tuo registrar o il provider del nome del dominio in modo che utilizzi i server dei nomi elencati.

8. A questo punto puoi fare clic su Annulla per tornare alla pagina principale, dopo aver configurato il tuo registrar o il provider DNS, potrebbero essere necessarie fino a 24 ore per rendere effettive le modifiche.

   Quando lo stato del dominio nella pagina Panoramica passa da In attesa ad Attivo, si può usare il comando dig <your_domain_name> ns per verificare che i nuovi server dei nomi siano diventati effettivi.

Configura il controllo dell'integrità per il Global Load Balancer

Un controllo dell'integrità consente di acquisire informazioni dettagliate sulla disponibilità dei pool in modo che il traffico possa essere instradato solo ai pool integri. Questi controlli inviano periodicamente le richieste HTTP/HTTPS e monitorano le risposte.

1. Nel dashboard IBM Cloud Internet Services, passa a Reliability > Global Load Balancers.

2. Selezionare Controlli di integrità e fare clic su Crea.

3. Impostare il nome su nginx.

4. Selezionare HTTP per Tipo di monitoraggio.

5. Impostare Porta su 80.

6. Impostare il percorso su /.

7. Fai clic su Crea.

   Quando si costruiscono le proprie applicazioni, si può definire un endpoint dedicato alla salute, come /health, in cui riportare lo stato dell'applicazione.

Definisci i pool di origine

Un pool è un gruppo di VSI di origine o programmi di bilanciamento del carico a cui il traffico viene instradato in modo intelligente quando è collegato a un programma di bilanciamento del carico globale. Con i programmi di bilanciamento del carico VPC in due regioni, puoi definire pool basati sull'ubicazione e configurare CIS per reindirizzare gli utenti al programma di bilanciamento del carico VPC più vicino in base alla posizione geografica delle richieste utente.

Crea il Global Load Balancer

Con i pool di origine definiti, puoi completare la configurazione del programma di bilanciamento del carico.

1. Seleziona Load Balancers e fai clic su Create.

2. Mantenere i valori predefiniti di Abilita: On e Proxy: Off.

3. Immetti il nome del programma di bilanciamento del carico globale, lb, questo nome sarà i caratteri iniziali del dominio secondario per accedere all'applicazione. (http://lb.<your_domain_name>).

4. Fare clic su Aggiungi instradamento.

5. Select the Regione: Default.

6. Selezionare i pool di origini appena creati, ovvero region-1-pool e region-2-pool.

7. Fai clic su Aggiungi.

8. Espandi la sezione Geo routes, puoi distribuire il traffico in base alla regione di origine.

   Se lo si desidera, è possibile aggiungere altri percorsi in base alle aree geografiche e al traffico diretto al pool più vicino. Fare clic su Aggiungi instradamento, selezionare una regione del programma di bilanciamento del carico globale, ad esempio, Europa occidentale e selezionare il pool desiderato, ad esempio region-2-pool e fare clic su Aggiungi. Una richiesta non corrisponde a nessuno degli instradamenti definiti, verrà reindirizzata ai Pool di origine predefiniti, gli utenti nella regione del programma di bilanciamento del carico globale che hai definito verranno indirizzati ai VSI / sistemi di bilanciamento del carico più vicini.

9. Fai clic su Crea.

Crea e autorizza un'istanza di Secrets Manager

1. Se hai un'istanza Secrets Manager esistente, puoi utilizzarla per questa esercitazione o crearne una nuova se necessario seguendo la procedura descritta in Creazione di un'istanza del servizio Secrets Manager.

2. Creare un'autorizzazione che dia al servizio VPC load balancer l'accesso all'istanza Secrets Manager che contiene il certificato SSL.

   • Passa a Identity and Access Authorizations.
   • Fai clic su Create e seleziona VPC Infrastructure Services come servizio di origine.
   • Seleziona Risorse specifiche, Tipo di risorsa e quindi Load Balancer per VPC.
   • Secrets Manager come Servizio di destinazione.
   • Assegna il ruolo di accesso al servizio Scrittore (Writer).
   • L'istanza del servizio di destinazione può essere Tutte le risorse o, se lo si desidera, l'istanza specifica Secrets Manager. Salva le Tutte le risorse selezionate per ora.
   • Fare clic su Autorizza.

3. Continuando nella pagina Gestione autorizzazioni, creare un'autorizzazione che dia al Secrets Manager l'accesso a CIS:

   • Fare clic su Crea e scegliere Secrets Manager come servizio di origine.
   • Scegliere Tutte le risorse o solo il Secrets Manager creato in precedenza.
   • Internet Services come servizio di destinazione.
   • Scegliere Tutte le risorse o solo il CIS creato in precedenza.
   • Assegna il ruolo di accesso al servizio Gestore (Manager).
   • Fare clic su Autorizza.

   Se la tua istanza CIS supporta più domini, puoi anche assegnare il ruolo Reader all'istanza CIS e Manager al dominio specifico che stai utilizzando per la tua soluzione. Consultare l'argomento Concessione dell'accesso al servizio a domini specifici.

IBM CIS supporta il proxy per i programmi di bilanciamento del carico globali. Quando viene eseguito il proxy di un programma di bilanciamento del carico, significa che il suo traffico viene eseguito direttamente tramite CIS. I programmi di bilanciamento del carico supportano entrambe le modalità proxy solo DNS e HTTP, considera quale delle seguenti due alternative corrisponde meglio al tuo caso di utilizzo prima di procedere poiché il comportamento di instradamento del traffico differisce come segue:

• Alternativa 1: il traffico che viene sottoposto a proxy attraverso CIS.
• Alternativa 2: il traffico non proxy (modalità solo DNS) fluisce direttamente dal client all'origine. In modalità solo DNS, nessuna delle funzioni di sicurezza, prestazioni e affidabilità CIS viene applicata.

Per ulteriori informazioni, leggi l'argomento Proxying DNS records and global load balancer.

Alternativa 1: proxy, il traffico passa attraverso CIS

Questa prima alternativa crea un certificato wildcard per il dominio personalizzato, quindi lo proxy nel IBM Cloud Internet ServicesCIS), consentendo di sfruttare le funzionalità di sicurezza, protezione e prestazioni leader del settore. Sostituisci example.com con il nome del tuo dominio personalizzato nei seguenti passi.

Attualmente ordinando i certificati utilizzando Let' s Encrypt, puoi seguire l'argomento Autorità di certificazione supportate per gli aggiornamenti. L'uso di Let' s Encrypt richiede un account ACME. Attieniti alla procedura descritta nell'argomento Connessione delle autorità di certificazione di terze parti per creare o registrare il tuo account. Inoltre, ti viene richiesto di aggiungere un provider DNS seguendo la procedura riportata nell'argomento Connessione dei provider DNS. Per questa esercitazione, devi aggiungere CIS come tuo provider DNS.

Inizialmente HTTPS è configurato dall'utente solo per Secrets Manager.

1. Ordina un certificato in Secrets Manager
   • Apri il servizio Secrets Manager e seleziona Secrets sulla sinistra.
   • Fai clic su Aggiungi.
   • Se stai utilizzando una nuova istanza Secrets Manager, dovrai configurarla prima di ordinare il certificato. Segui la procedura descritta in Preparazione per ordinare i certificati pubblici.
   • Fare clic su Certificato pubblico e fare clic su Avanti.
   • Completa il modulo:
     • Nome- immettere un nome che è possibile ricordare.
     • Descrizione- immettere una descrizione a scelta.
     • Fare clic su Avanti.
     • In Autorità di certificazione selezionare il motore dell'autorità di certificazione Let' s Encrypt configurato.
     • In Algoritmo chiave, selezionare l'algoritmo preferito,
     • Certificati bundle- lascia fuori
     • Rotazione automatica dei certificati- lasciare disattivato
     • In Provider DNS selezionare la propria istanza del provider DNS configurata
     • Fare clic su Seleziona domini selezionare Seleziona con carattere jolly e lasciare il dominio deselezionato e fare clic su Fine.
   • Fai clic su Next.
   • Rivedere le selezioni e fare clic su Aggiungi.
   • Non è necessario attendere il completamento dell'attivazione per eseguire il passo successivo, ma è necessario attendere il completamento prima di verificare l'esito positivo.
2. Configura https dai browser web del client all'endpoint CIS. In CIS, configura la sicurezza TLS:
   • Apri il pannello Security e scegli TLS.
   • Per Mode, scegli Client-to-edge. Ciò terminerà le connessioni https sul Global Load Balancer e abiliterà le connessioni http al programma di bilanciamento del carico VPC.
3. In CIS, configura il Global Load Balancer per utilizzare TLS:
   • Aprire il pannello Affidabilità e scegliere Bilanciatori di carico globali.
   • Individuare il bilanciatore di carico globale creato in precedenza e attivare Proxy.
4. In un browser aprite https://lb.example.com per verificare il successo.

In seguito, configura https da CIS al programma di bilanciamento del carico VPC:

Aggiungi un listener HTTPS ai programmi di bilanciamento del carico VPC:

1. Spostarsi su VPC, quindi su Load balancer e fare clic su vpc-lb-region1.

2. Scegliere Ascoltatori front-end.

3. Fare clic su Crea ascoltatore.

4. Selezionare il Pool di backend predefinito: region1-pool o region2-pool.

5. Selezionare HTTPS e immettere per Porta il valore 443.

6. Seleziona l'istanza Secrets Manager che hai creato in precedenza, il menu a discesa del certificato SSL dovrebbe mostrare il certificato name che hai ordinato utilizzando la tua istanza Secrets Manager precedente da Let' s Encrypt. Fai clic su Create.

   Se nel menu a tendina del certificato SSL non c'è example.com, è possibile che si sia saltata la fase di autorizzazione precedente, che dà al bilanciatore di carico VPC l'accesso al servizio Secrets Manager. Verificare che il servizio Secrets Manager abbia un certificato per example.com.

7. Ripeti i passi precedenti per il programma di bilanciamento del carico vpc-lb-region2.

Il certificato wildcard creato consentirà l'accesso a nomi di dominio come vpc-lb-region1 .example.com. Aprire la scheda Panoramica del bilanciatore di carico VPC vpc-lb-region1 e notare che il nome host è xxxxxxx-REGION.lb.appdomain.cloud. Il certificato jolly non funzionerà. Risolvi il problema creando un alias e aggiorna quindi la configurazione.

1. È possibile creare un record DNS CNAME per consentire ai client di cercare vpc-lb-region1 .example.com e risolvere xxxxxxx-REGION.lb.appdomain.cloud.

   • Nel CIS, aprire il pannello Affidabilità e scegliere DNS.
   • Scorrere fino a Record DNS e creare un record di tipo: CNAME, Nome: vpc-lb-region1, TTL: Automatico e Nome dominio alias: VPC load balancer Nome host.
   • Aggiungere un record DNS CNAME per vpc-lb-region2.

2. Ora regolate il bilanciatore di carico globale per utilizzare i nuovi record CNAME.

   • Aprire il pannello Affidabilità e scegliere Bilanciatori di carico globali.
   • Trovate e modificate il punto Piscine di origine per cambiare il Indirizzo di origine Le origini in vpc-lb-region1.example.com.
   • Ripetere i passi precedenti per vpc-lb-region2.example.com.

3. Attivare la sicurezza end - to - end.

   • Apri il pannello Security e scegli TLS.
   • Per Mode, scegli End-to-end CA signed. Si utilizzeranno connessioni HTTPS al bilanciatore di carico globale e connessioni HTTPS al bilanciatore di carico VPC.

In un browser aprire https://lb.example.com per verificare il successo

Alternativa 2: modalità solo DNS, il traffico scorre direttamente dal client ai sistemi di bilanciamento del carico VPC

In questa alternativa si ordinerà un certificato SSL per lb.example.com da Let's Encrypt attraverso Secrets Manager e si configurerà il bilanciatore di carico globale.

Non è al momento possibile ordinare un certificato direttamente per un CIS Global Load Balancer ma è possibile ordinarne uno per un record CNAME. Quindi creiamo un CNAME per ordinare il certificato.

1. Apri il servizio CIS creato in precedenza, puoi trovarlo in Resource list

2. Vai a Global Load Balancers in Reliability e fai clic su DNS.

3. Scorri fino alla sezione Record DNS e crea un nuovo record:

   • Tipo: CNAME
   • Nome: lb
   • TTL: default (Automatic)
   • Nome di dominio alias: zzz.example.com
   • Fare clic su Aggiungi record

4. Ordina un certificato in Secrets Manager

   • Apri il servizio Secrets Manager e seleziona Secrets sulla sinistra.
   • Fai clic su Add e quindi su Public certificate. Fare clic su Avanti.
   • Completa il modulo:
     • Nome- lb-alias.
     • Descrizione- immettere una descrizione a scelta.
     • Fare clic su Avanti.
     • In Autorità di certificazione selezionare il motore dell'autorità di certificazione Let' s Encrypt configurato.
     • In Algoritmo chiave selezionare RSA4096
     • Certificati bundle- lascia fuori
     • Rotazione automatica dei certificati- lasciare disattivato
     • In Provider DNS selezionare la propria istanza del provider DNS configurata
     • Fare clic su Seleziona domini
     • Espandere il dominio elencato per visualizzare l'elenco di domini secondari e selezionare la casella di spunta accanto a lb.example.com e fare clic su Fine.
   • Fai clic su Next.
   • Rivedere le selezioni e fare clic su Aggiungi.

Crea un listener HTTPS:

1. Andare alla pagina Bilanciatori di carico VPC.

2. Seleziona vpc-lb-region1

3. In Listener front-end, fare clic su Crea

   • Protocol: HTTPS
   • Port: 443
   • Back-end pool: POOL nella stessa regione
   • Scegli la regione corrente come tua regione SSL
   • Scegliete il nome dell'ordine del certificato SSL appena creato per lb.example.com

4. Fai clic su Save per configurare un listener HTTPS

Ripetere i passaggi precedenti nel bilanciatore di carico della regione 2.

In un browser aprire lb.example.com per verificare il successo

Test di failover

A questo punto, dovresti aver visto che la maggior parte delle volte stai accedendo ai server nella regione 1 poiché gli è stato assegnato un peso maggiore rispetto ai server nella regione 2. Introduciamo un malfunzionamento del controllo di integrità nel pool di origine regione 1,

1. Vai all'elenco di istanze del server virtuale.

2. Fare clic sui tre punti (...) accanto ai server in esecuzione nella zona 1 dell'area 1 e fare clic su Stop.

3. Ripetere l'operazione per i server in esecuzione nella zona 2 dell'area 1.

4. Ritorna al GLB nel servizio CIS e attendi fino a quando lo stato dell'integrità non diventa Critical.

5. Ora, quando aggiorni l'url del tuo dominio, dovresti sempre provare a raggiungere i server nella regione 2.

   Non dimenticare di avviare i server della zona 1 e della zona 2 della regione 1.