利用專用IP和Cloudflare Tunnel提升負載平衡：實現(xiàn)高效流量分配的安全途徑

在不斷變化的現(xiàn)代應用世界中，高效的負載平衡在提供卓越的用戶體驗方面發(fā)揮著舉足輕重的作用?？蛻敉ǔ秘撦d平衡，使他們能夠以盡可能最好的方式高效地使用現(xiàn)有的基礎設施資源。不過，負載平衡并不是適合每個人的“通用型開箱即用”的解決方案。隨著您更深入了解流量調整需求的細節(jié)，以及隨著您的架構體系變得更加復雜，通常需要不同類型的負載平衡來實現(xiàn)諸如以下多維度的不同目標：引導數(shù)據(jù)中心之間的公共流量、為使用專用IP的關鍵內部服務創(chuàng)建高可用性、在單個數(shù)據(jù)中心的不同服務器之間應用引導等等?；谝陨锨闆r，我們非常高興地宣布，我們的負載平衡解決方案又添新成員：與Zero Trust深度集成的本地流量管理（LTM-Local Traffic Management）！

企業(yè)遇到的一個常見問題是，幾乎沒有一家供應商能滿足上訴所有的負載平衡需求，這導致管理不同數(shù)據(jù)源的供應商數(shù)量不斷增加-以便清楚地了解流量管道的情況，同時還需要投資購買極其昂貴的硬件，并且這些硬件的設置和維護都非常復雜。此外，在面臨問題時如果一家企業(yè)可以從單一來源追溯所有問題、僅需通過與單一供應商協(xié)作，則該類型的企業(yè)總是可以很快速的部署對應措施，有效解決問題。反之，如一家企業(yè)采用來自不同供應商的多種解決方案，需要同時與多家供應商對應逐一解決各種問題，則該類型企業(yè)將總會處于“隨時去救火”的被動狀態(tài)，同時也將被迫面對令人頭疼的功能/服務的速度極度放緩、收入減少、品牌信任度受損、采用率下降等，諸如此類的問題不勝枚舉！

八年來，我們?yōu)槿驍?shù)千名客戶提供了頂級的全球流量負載平衡（GTM）功能。與此同時，我們也不停地在挑戰(zhàn)自己：為什么我們所保證的智能引導、故障轉移和可靠性僅僅止步于指定的數(shù)據(jù)中心，且只在公共流量下運行呢？如往常一樣，我們認為應該做更進一步的提升與完善。因此我們計劃推出一系列新功能，這些新功能將允許在選擇數(shù)據(jù)中心后，在服務器之間進行流量引導、故障轉移、會話持續(xù)存在、SSL/TLS卸載等。隨著一系列新功能的推出，您將不用只依賴相對權重來確定應將流量發(fā)送到哪個服務器，您可以將相同的智能引導策略（例如最少未完成請求轉向或哈希引導）應用到您的眾多數(shù)據(jù)中心中的任何一個。這也意味著Cloudflare將作為有能力負責承載您所有負載平衡計劃的單一合作伙伴，同時也可為您提供一個為企業(yè)決策提供信息的單一管理平臺。此次Cloudflare最新推出的Cloudflare Tunnel和本地流量管理-支持專有IP負載平衡的強大組合，可為客戶提供一個集成了無與倫比的效率、安全性、靈活性和隱私性的解決方案。

什么是負載平衡器？

Cloudflare負載平衡器會將用戶的請求引導至數(shù)據(jù)中心內相應的源池

負載平衡——此功能在過去30年中一直存在，可幫助企業(yè)充分利用現(xiàn)有的基礎設施資源。負載平衡的工作原理是主動引導流量避開不健康的源服務器，并且對于更先進的解決方案，會根據(jù)不同的引導算法智能分配流量負載。這一過程可確保不會向最終用戶提供錯誤信息，并使企業(yè)能夠將企業(yè)的總體目標與其流量行為緊密結合起來。Cloudflare Load Balancing使您能夠更簡單、更輕松地跨越位于世界各地的多個數(shù)據(jù)中心安全可靠地管理流量。有了Cloudflare Load Balancing，無論流量規(guī)模有多大，也無論流量從哪里來，都能通過可定制的引導、親和性和故障轉移功能可靠地引導流量。這顯然比物理負載平衡器更有優(yōu)勢，因為它可以輕松配置，而且不必等到流量到達數(shù)據(jù)中心的某個位置后再路由到另一個位置，從而避免了單點故障和顯著的延遲。與其他全球流量管理負載平衡器相比，Cloudflare Load Balancing產品更易于設置，更易于理解，并且與Cloudflare平臺完全集成為單個產品，可滿足所有負載平衡需求。

Cloudflare Tunnel是什么？

各種類型的源和服務器都可以使用Cloudflare Tunnel連接到Cloudflare。用戶還可以使用WARP確保流量安全，從而允許通過Cloudflare確保流量安全并進行端到端管理。

在2018年，Cloudflare推出了Cloudflare Tunnel，它是您的數(shù)據(jù)中心與Cloudflare之間的專用安全連接。傳統(tǒng)上，從部署互聯(lián)網資產的那一刻起，開發(fā)人員就會花費大量時間和精力，通過訪問控制列表、輪換IP地址或更復雜的解決方案（如GRE隧道）來鎖定它。我們創(chuàng)建了Tunnel來幫助減輕這一負擔。有了Tunnel，用戶可以創(chuàng)建從他們的源服務器到Cloudflare的專用直接鏈接，因此您的服務不會直接向公共互聯(lián)網公開，也不會允許在您的數(shù)據(jù)中心的防火墻中使用傳入連接。這種專用連接是通過在您的數(shù)據(jù)中心中運行一個由Cloudflare支持的輕量級守護進程來建立的，它會創(chuàng)建一個只對外的安全連接。這意味著只有您已配置為可以通過Cloudflare的流量才能到達您的私有源。

通過Cloudflare Tunnel釋放Cloudflare Load Balancing的潛力

Cloudflare Load Balancing可以使用Cloudflare Tunnel輕松、安全地將用戶請求引導至您的私有數(shù)據(jù)中心或公共云中的特定源

將Cloudflare Tunnel與Cloudflare Load Balancing結合使用，可以從數(shù)據(jù)中心撤銷物理負載平衡器，讓Cloudflare負載平衡器直接通過專用IP地址連接到服務器，并提供運行狀況檢查、引導和當前可用的所有其他負載平衡功能。您無需配置本地負載平衡器來公開每項服務，然后再更新Cloudflare負載平衡器，而是可以在一個位置配置所有服務。這意味著，從最終用戶到處理請求的服務器，您的所有配置都可以在一個位置（即Cloudflare儀表板）中完成。此外，您還可以不用選擇價格高達數(shù)十萬美元的硬件設備，不用支付高得離譜的管理費用，也不用再另外投資購買交付價值有時限的解決方案了。

Load Balancing是在線服務的基礎部分，可確保在服務器或數(shù)據(jù)中心之間無縫分配流量。傳統(tǒng)的負載平衡技術通常需要使用數(shù)據(jù)中心的公共IP地址公開服務，這就迫使企業(yè)創(chuàng)建復雜的配置，也因此更容易造成安全風險和潛在的數(shù)據(jù)泄露。通過結合運用針對Load Balancing的專用IP支持的強大功能和Cloudflare Tunnel，Cloudflare正在徹底改變企業(yè)保護和優(yōu)化其應用程序的方式。通過簡明的步驟安裝Cloudflared代理，以通過Cloudflare Tunnel將您的專用網絡連接到Cloudflare的全球智能網絡，高效、便捷地直接將流量安全地路由到您的數(shù)據(jù)中心。

在私有數(shù)據(jù)中心中向公眾公開服務十分復雜

Web訪問者的請求會被全局流量管理（GTM）負載均衡器引導至數(shù)據(jù)中心，然后是防火墻，接著是局部流量管理（LTM）負載均衡器，最后是源點

私有數(shù)據(jù)中心中的負載平衡可能成本高昂且難以管理。既要保證安全第一，又要確保方便內部員工使用的靈活性，很難做到兩全其美。這不單是如何安全地公開內部服務的問題，還涉及到如何在您的專用網絡中單一位置的各服務器之間最妥善地平衡流量的問題！

在私有數(shù)據(jù)中心中，即使是非常簡單的網站，在聯(lián)網和配置方面也可能相當復雜。我們來舉一個簡單例子：客戶設備連接到網站?？蛻粼O備執(zhí)行企業(yè)網站的DNS查找，并接收與客戶數(shù)據(jù)中心對應的IP地址。然后，客戶向該IP地址發(fā)出HTTPS請求，并通過服務器名稱指示（SNI）傳遞原始主機名。負載平衡器會將該請求轉發(fā)給相應的源服務器，并將響應返回給客戶設備。

這個示例沒有任何先進的功能，而且堆棧也很難配置：

·使用專用IP公開服務或服務器。

·配置數(shù)據(jù)中心的網絡，使用公共IP或IP范圍公開LB。

·配置負載平衡器，將對該主機名和/或公共IP的請求轉發(fā)到服務器的專用IP。

·為您的域名配置DNS記錄，使其指向負載平衡器的公共IP。

在大型企業(yè)中，每項配置變更都可能需要多個責任相關者的批準，并通過不同的存儲庫、網站和/或專用Web接口進行修改。負載平衡器和網絡配置通常以Terraform、Chef、Puppet、Ansible或類似基礎設施即代碼服務的復雜配置文件的形式進行維護?？赡軙@些配置文件進行語法檢查或測試，但很少在部署前進行徹底測試。每個部署環(huán)境通常都十分獨特，考慮到進行徹底測試所需的時間和硬件要求，往往并不可行。這意味著對這些文件的更改可能會對數(shù)據(jù)中心內的其他服務產生負面影響。此外，開放進入您的數(shù)據(jù)中心的入口會擴大各式各樣的安全風險（如DDoS攻擊或災難性數(shù)據(jù)泄露）的攻擊面。更糟糕的是，每個供應商都有不同的接口或API用于配置他們所提供的設備或服務。例如，一些注冊服務機構只有XML API，而另一些則有JSON REST API。每種設備配置可能都有不同的Terraform提供商或Ansible手冊。這就導致經過長期積累，配置越來越復雜，難以整合或標準化，從而不可避免地造成技術負累。

試想一下：我們需要添加更多源。對于我們服務的每一個附加源，我們都必須去設置和公開該源，并配置物理負載平衡器以使用我們的新源。之后，我們再添加一個數(shù)據(jù)中心。隨之而來的，我們需要另一種解決方案以在我們的數(shù)據(jù)中心之間進行分配。這就形成了獨立的全局流量管理系統(tǒng)和局部流量管理系統(tǒng)。過去，這些解決方案來自不同的供應商，而且必須以不同的方式進行配置，應該達到的目的都是相同的：負載平衡。這給Web流量管理帶來了不必要的困難。為什么必須得在兩個不同的負載平衡器中配置您的源？為什么不能在同一個位置管理一項服務的所有源的所有流量？

更簡單且更好：結合使用Cloudflare Load Balancing和Cloudflare Tunnel

Cloudflare Load Balancing可以在一個位置管理所有辦事處、數(shù)據(jù)中心、遠程用戶、公共云、私有云和混合云的流量

通過結合使用Cloudflare Load Balancing和Cloudflare Tunnel，您可以在一個位置（即Cloudflare儀表板）管理所有公共源和專用源。通過使用Cloudflare儀表板或Cloudflare API，可以輕松配置Cloudflare負載平衡器。無需使用SSH，也無需打開遠程桌面即可修改公共或專用服務器的負載平衡器配置。所有配置都可以通過儀表板用戶界面或Cloudflare API完成，兩者之間完全一致。

在您的數(shù)據(jù)中心設置并運行Cloudflare Tunnel后，一切都已準備就緒，隨時可以將您的源服務器連接到Cloudflare網絡和負載平衡器。您不需要為您的數(shù)據(jù)中心配置任何入口，因為Cloudflare Tunnel僅通過出站連接運行，并且可以安全地連接到您的數(shù)據(jù)中心內具有專用地址的服務。要向Cloudflare公開您的服務，您只需將您的專用IP范圍設置為通過該隧道路由即可。然后，您可以創(chuàng)建一個Cloudflare負載平衡器，并將相應的專用IP地址和虛擬網絡ID輸入到您的源池中。之后，Cloudflare會在您的私有服務器之間管理DNS和負載平衡?，F(xiàn)在，您的源服務器只通過Cloudflare Tunnel接收流量，將不再需要物理負載平衡器！

這種突破性的集成使企業(yè)能夠在部署負載平衡器的同時，讓其應用程序保持與公共互聯(lián)網安全隔離。客戶的流量通過Cloudflare數(shù)據(jù)中心傳輸，使客戶能夠繼續(xù)充分利用Cloudflare高性能的安全服務。此外，通過利用Cloudflare Tunnel，Cloudflare和客戶源之間的流量在可信網絡內保持隔離，從而增強了私密性和安全性，使客戶高枕無憂。

通過Cloudflare Tunnel使用專用IP支持的優(yōu)勢

Cloudflare Load Balancing與Cloudflare提供的所有安全和隱私產品配合使用，包括DDoS防護、Web應用程序防火墻和機器人管理

全局和局部流量管理相結合：應用于全局流量管理的Cloudflare Load Balancing中的所有功能和易用性同樣也在局部流量管理（LTM-Local Traffic Management）中提供。您可以在同一儀表板中配置公共源和私有源，無需使用多個服務和供應商?，F(xiàn)在，您所有的私有源都可以受益于Cloudflare Load Balancing的功能特性：即時故障轉移、數(shù)據(jù)中心之間可自定義的引導、易用性、自定義規(guī)則以及只需幾秒鐘就可以完成的配置更新。此外，也還將受益于我們新推出的功能，包括最少連接引導、最少未完成請求引導和按報頭劃分的會話親和性。這只是Load Balancing廣泛功能中的一小部分。有關該產品的更多功能和詳細信息，請參閱我們的開發(fā)文檔。

增強的安全性：通過結合使用專用IP支持與Cloudflare Tunnels，企業(yè)可以強化其安全態(tài)勢并保護敏感數(shù)據(jù)。借助專用IP地址和通過Cloudflare Tunnel建立的加密連接，未經授權的訪問和遭受潛在攻擊的風險顯著降低——流量保留在受信任的網絡中。您還可以配置Cloudflare Access，為您的應用程序添加單點登錄支持，并將您的應用程序限制為授權用戶的子集。此外，您仍可受益于防火墻規(guī)則、速率限制規(guī)則、機器人管理、DDoS保護以及目前提供的所有其他Cloudflare產品支持，讓您可以進行全面的安全配置。

無懈可擊的隱私保護：隨著數(shù)據(jù)隱私問題持續(xù)受到重視，企業(yè)必須確保用戶信息的保密性。Cloudflare的專用IP支持和Cloudflare Tunnel使企業(yè)能夠隔離應用，并將敏感數(shù)據(jù)保留在其私有網絡邊界內。自定義規(guī)則也允許您將特定設備的流量引導到特定的數(shù)據(jù)中心。例如，您可以使用自定義規(guī)則將來自東歐和西歐的流量引導到您的歐洲數(shù)據(jù)中心，這樣您就可以輕松地將這些用戶的數(shù)據(jù)保存在歐洲境內。這樣一來，就可以最大限度地減少數(shù)據(jù)向外部實體公開，從而保護了用戶隱私，并遵守不同地區(qū)的嚴格的隱私法規(guī)。

靈活性和可靠性：擴展和適應性是企業(yè)高效運營的基礎。僅實施符合企業(yè)當前需求的解決方案是遠遠不夠的?？蛻舯仨氄业侥軌驖M足未來三年或更長時間內需求的解決方案。在我們的Zero Trust解決方案中，結合了Load Balancing與Cloudflare Tunnel，完美詮釋了何謂靈活性和可靠性！對負載平衡器配置的更改可在數(shù)秒內傳遍全球，因此負載平衡器是應對突發(fā)事件的有效方法。此外，即時故障轉移、運行狀況監(jiān)控和引導策略全都有助于讓應用程序保持高可用性，因此提供的可靠性可以達到用戶期望。除此之外，還有業(yè)內領先的Zero Trust功能，例如（但不限于以下功能）：安全Web網關（SWG）、遠程瀏覽器隔離、網絡日志、數(shù)據(jù)丟失防護。

簡化的基礎設施：企業(yè)可以整合其網絡架構，并在分布式環(huán)境中建立安全的連接。這種統(tǒng)一減少了復雜性，降低了運營開銷，促進了有效的資源分配。無論您是需要應用全局流量管理器來在私有網絡內的數(shù)據(jù)中心之間智能引導流量，還是需要在數(shù)據(jù)中心選擇完成后在特定服務器之間引導流量，現(xiàn)在都有了一個清晰的單一視角來管理全局和局部流量，無論流量的來源或目的地是公共網絡還是私有網絡。架構和配置的復雜性一直以來都是各業(yè)務部門想要實現(xiàn)高效協(xié)作的一大障礙。整合到一個提供安全性、可靠性和可觀察性的單一提供商（如Cloudflare）不僅可以節(jié)省大量成本，還可以讓您的團隊更快地行動起來，專注于發(fā)展業(yè)務、強化關鍵服務和開發(fā)更多出色的功能，而不是將幾年后就可能無法使用的基礎設施湊合在一起。將繁重的工作交給我們，讓我們?yōu)槟湍膱F隊助力，讓你們可以專注于為您的員工和最終用戶創(chuàng)造令人驚嘆的體驗。

用于局部流量管理的硬件設備缺乏敏捷性、靈活性和精益運營，采購成本也十分高昂，而且還有管理CPU、內存、電源、冷卻等方面的龐大開銷。取而代之的，我們希望通過幫助企業(yè)將這一系列相關架構及部署轉移到云中以釋放不必要的巨額開銷，讓團隊有更多精力及資源專注于他們最擅長的工作，打造令人驚嘆的體驗，讓Cloudflare來負責為您提供保護、加速和搭建更高的可靠性。請繼續(xù)關注有關Cloudflare局部流量管理器的更多更新，以及它如何在降低架構復雜性的同時，為您的團隊帶來更多洞察力、安全性和控制力。同時，歡迎查看我們最新的白皮書！

展望未來

作為Zero Trust解決方案的一部分，Load Balancing的專用IP支持與Cloudflare Tunnel相結合形成的極具影響力的Cloudflare解決方案再次證明了我們提供著眼于安全性、隱私性和性能的尖端工具的承諾。通過利用專用IP地址和安全隧道，Cloudflare使企業(yè)能夠加強其網絡基礎設施，同時確保符合監(jiān)管要求。借助增強的安全性、無懈可擊的隱私保護和精簡的基礎設施，負載平衡成為高效、安全的公共或私有服務的強大驅動力。

隨著企業(yè)發(fā)展壯大及其系統(tǒng)規(guī)模擴大，企業(yè)將會越來越需要類似Cloudflare Load Balancing的一些出眾功能：運行狀況監(jiān)控、引導和故障轉移。隨著最終用戶的需求和標準不斷增長，可用性需求不斷增加，客戶可以添加運行狀況檢查，從而在不正常的服務器開始出現(xiàn)故障時，能夠自動故障轉移到正常的服務器。當企業(yè)開始接收來自世界各地的更多流量時，他們可以為不同地區(qū)創(chuàng)建新的池，并使用動態(tài)引導來減少用戶和服務器之間的延遲。對于密集型或長時間運行的請求，如復雜的數(shù)據(jù)存儲查詢，客戶可以利用最少未完成請求引導來減少每臺服務器的并發(fā)請求數(shù)。以前，這一切都通過可公開尋址的IP來實現(xiàn)，但現(xiàn)在可用于具有公共IP的池和專用服務器。專用IP負載平衡和局部流量管理已上線并可立即使用！請查看我們的開發(fā)文檔，了解如何開始使用。

敬請期待我們的下一個新增功能：結合使用Cloudflare Tunnel和專用IP，為您的第4層流量添加針對Spectrum和WARP的新Load Balancing入口支持，使我們能夠在您的私有數(shù)據(jù)中心支持TCP和UDP應用程序！

我們保護整個企業(yè)網絡，幫助客戶高效構建互聯(lián)網規(guī)模應用，加速任何網站或互聯(lián)網應用，抵御DDoS攻擊，阻止黑客，并為您的Zero Trust之旅提供協(xié)助。