Application Load Balancer (v2) HTTP Based Traffic

Application Load Balancer (v2) Target Groups

Trong hệ thống của Application Load Balancer (ALB) trên Amazon Web Services (AWS), Target Groups là một khái niệm quan trọng đóng vai trò trong việc định tuyến lưu lượng truy cập đến các mục tiêu cụ thể. Một Target Group là một nhóm các đích mục tiêu (targets) có thể là các EC2 instances, ECS tasks, Lambda functions hoặc các địa chỉ IP. ALB sử dụng Target Groups để quyết định cách định tuyến lưu lượng truy cập, dựa trên các nguyên tắc cấu hình được xác định cho từng Target Group.

Cụ thể, mỗi Target Group định nghĩa một tập hợp các mục tiêu mà ALB sẽ chuyển tiếp lưu lượng truy cập đến. Khi một yêu cầu đến, ALB sẽ kiểm tra các quy tắc định tuyến được cấu hình và chuyển hướng yêu cầu đó đến một trong các mục tiêu trong Target Group tương ứng.

1. EC2 instances (có thể được quản lý bởi một Auto Scaling Group) – HTTP:

   • Đây là một loại Target Group cho phép ALB chuyển tiếp lưu lượng truy cập HTTP đến các máy ảo EC2 trên AWS. Các EC2 instances có thể được quản lý tự động bởi một nhóm tự động mở rộng (Auto Scaling Group), giúp tự động điều chỉnh số lượng máy ảo EC2 dựa trên tải công việc.

2. ECS tasks (được quản lý bởi ECS chính mình) – HTTP:

   • Đây là một loại Target Group cho phép ALB chuyển tiếp lưu lượng truy cập HTTP đến các nhiệm vụ ECS (Elastic Container Service) trên AWS. Các nhiệm vụ ECS được quản lý bởi chính dịch vụ ECS, giúp tự động triển khai và quản lý các container dựa trên Docker.

3. Lambda functions – yêu cầu HTTP được chuyển đổi thành sự kiện JSON:

   • Đây là một loại Target Group cho phép ALB chuyển tiếp lưu lượng truy cập HTTP đến các hàm Lambda trên AWS. Trong trường hợp này, yêu cầu HTTP được chuyển đổi thành một sự kiện JSON trước khi được chuyển tiếp đến hàm Lambda tương ứng để xử lý.

4. IP Addresses – phải là địa chỉ IP riêng (private IPs):

   • Đây là một loại Target Group cho phép ALB chuyển tiếp lưu lượng truy cập đến các địa chỉ IP cụ thể. Tuy nhiên, các địa chỉ IP này phải là địa chỉ IP riêng tư, không được phép là địa chỉ IP công cộng.

5. ALB có thể định tuyến đến nhiều nhóm mục tiêu:

   • ALB cho phép định tuyến lưu lượng truy cập đến nhiều Target Groups khác nhau. Điều này cho phép bạn phân phối lưu lượng truy cập theo các nguồn và mục tiêu khác nhau dựa trên nhu cầu của ứng dụng hoặc hệ thống của bạn.

6. Check health ở mức nhóm mục tiêu:

   • ALB thực hiện Check health của các mục tiêu trong từng Target Group để đảm bảo rằng chỉ những mục tiêu lành mạnh mới nhận được lưu lượng truy cập. Điều này giúp đảm bảo tính sẵn sàng và hiệu suất của ứng dụng hoặc dịch vụ được chuyển tiếp bởi ALB.

export const handler = async (event) => {
    // Lấy thông tin từ yêu cầu HTTP
    const { httpMethod, queryStringParameters } = event;

    
    // Lấy giá trị từ query string
    const name = queryStringParameters && queryStringParameters.name ? queryStringParameters.name : "World";
    
    // Tạo nội dung phản hồi dựa trên giá trị từ query string
    const responseBody = `Hello, ${name}! This message is from Lambda.`;
    
    // Tạo phản hồi HTTP
    const response = {
        statusCode: 200,
        body: JSON.stringify(responseBody), // Chuyển đổi dữ liệu sang chuỗi JSON
        headers: {
            "Content-Type": "application/json",
        },
    };
    
    return response;
};

1. Fixed hostname (Tên miền cố định):

   • ALB cung cấp một tên miền cố định (Fixed hostname) cho việc truy cập. Điều này có nghĩa là bạn có thể sử dụng một tên miền cụ thể (XXX.region.elb.amazonaws.com) để truy cập đến ứng dụng hoặc dịch vụ của bạn, giúp đơn giản hóa quản lý và điều hướng lưu lượng truy cập.

2. The application servers don’t see the IP of the client directly (Các máy chủ ứng dụng không thấy được địa chỉ IP của khách hàng trực tiếp):

   • Khi một yêu cầu đến từ một khách hàng, địa chỉ IP của khách hàng không được trực tiếp chuyển đến các máy chủ ứng dụng. Thay vào đó, địa chỉ IP thực sự của khách hàng được chèn vào tiêu đề "X-Forwarded-For" của yêu cầu. Điều này giúp bảo vệ sự riêng tư của khách hàng và cho phép các máy chủ ứng dụng xác định địa chỉ IP của khách hàng thông qua tiêu đề này.

3. We can also get Port (X-Forwarded-Port) and proto (X-Forwarded-Proto) (Chúng ta cũng có thể nhận được Port và Protocol):

   • Ngoài địa chỉ IP của khách hàng, ALB cũng chèn các thông tin khác như cổng (Port) và giao thức (Protocol) vào các tiêu đề tương ứng như "X-Forwarded-Port" và "X-Forwarded-Proto". Điều này giúp ứng dụng của bạn có thể biết được thông tin chi tiết về yêu cầu của khách hàng, bao gồm cả cổng và giao thức mà yêu cầu được gửi đến.

Thực Hành Application Load Balancer

Có thể bạn chưa biết?

Có ba thuật toán cơ bản được sử dụng trong load balancing:

1. Round Robin (Vòng tròn): Trong thuật toán này, các yêu cầu được chuyển hướng tuần tự qua các server theo một chu kỳ vòng tròn. Mỗi yêu cầu được gửi đến server tiếp theo trong danh sách, bắt đầu từ đầu danh sách sau khi đã chuyển hướng qua tất cả các server. Round Robin là một cách đơn giản và công bằng để phân phối tải, nhưng không hiệu quả nếu có sự khác biệt đáng kể về khả năng xử lý giữa các server.

2. Least Connections (Ít kết nối nhất): Thuật toán này chuyển hướng các yêu cầu đến server có số lượng kết nối ít nhất hiện tại. Ý tưởng là để phân phối tải một cách cân đối bằng cách chuyển hướng yêu cầu đến các server ít bận rộn hơn để giảm tải của chúng.

3. IP Hash (Băm địa chỉ IP): Trong thuật toán này, một hàm băm được sử dụng để chuyển đổi địa chỉ IP của người dùng thành một giá trị duy nhất. Giá trị này được sử dụng để xác định server mà yêu cầu sẽ được chuyển hướng đến. Nhược điểm của phương pháp này là nó có thể gây ra mất cân đối nếu có một số lượng lớn các địa chỉ IP chuyển đến cùng một server và ít hơn đến các server khác.

Slow start duration:

Slow start duration trong cấu hình Traffic của một Load Balancer (LB) đề cập đến khoảng thời gian mà LB sẽ dùng để tăng dần lưu lượng truy cập được chuyển tiếp đến các instance sau khi chúng đã trở lại hoạt động hoặc sau khi đã được thêm vào Target Group mới. Khi một instance mới được thêm vào hoặc một instance trở lại sau thời gian tạm ngừng hoạt động, Slow start duration sẽ đảm bảo rằng lưu lượng truy cập sẽ không được chuyển hướng đến nó ngay lập tức mà sẽ tăng dần trong khoảng thời gian được cấu hình.

Điều này giúp tránh tình trạng quá tải ngay khi các instance mới được triển khai hoặc khi chúng trở lại hoạt động sau một thời gian tạm ngừng. Bằng cách này, Slow start duration giúp giảm thiểu tác động tiêu tốn tài nguyên và giúp LB điều chỉnh một cách dần dần để đảm bảo sự ổn định của hệ thống.

Packet handling

X-Forwarded-For header

1. X-Forwarded-For header:

   • Append: Thêm địa chỉ IP của client vào header X-Forwarded-For nếu header này đã tồn tại.
   • Preserve: Giữ nguyên giá trị của header X-Forwarded-For nếu đã tồn tại.
   • Remove: Xóa header X-Forwarded-For đi trước khi thêm địa chỉ IP mới của client.

2. Client port preservation:

   • Preserve: Giữ nguyên port nguồn mà client đã sử dụng để kết nối tới load balancer.

3. Preserve host header:

   • Preserve: Giữ nguyên giá trị của header Host trong yêu cầu gốc khi chuyển tiếp nó tới các instance đích.

Desync mitigation mode

1. Defensive (Phòng thủ - được khuyến nghị): Load balancer sẽ xử lý các yêu cầu một cách an toàn và phòng thủ để ngăn chặn các cuộc tấn công desynchronization (desync) giữa các phần của yêu cầu HTTP.
2. Strictest (Nghiêm ngặt nhất): Các biện pháp phòng thủ sẽ được thực hiện một cách nghiêm ngặt hơn, có thể gây ra ảnh hưởng đến hiệu suất nhưng đảm bảo tính an toàn hơn.
3. Monitor (Theo dõi): Load balancer sẽ chỉ theo dõi các yêu cầu mà nó nghi ngờ có thể gây ra desynchronization, nhưng không thực hiện các biện pháp phòng thủ cụ thể.

Connection idle timeout

Thuộc tính "Connection idle timeout" xác định khoảng thời gian mà một kết nối có thể ở trạng thái không hoạt động (idle) trước khi bị đóng bởi load balancer. Khi một kết nối không có hoạt động, điều này có thể xảy ra khi một client không gửi yêu cầu mới trong khoảng thời gian quy định.

Ví dụ, nếu bạn đặt "Connection idle timeout" là 60 giây, điều này có nghĩa là nếu không có hoạt động nào trên một kết nối trong vòng 60 giây, kết nối đó sẽ bị đóng bởi load balancer.

Việc đóng các kết nối idle có thể giúp giải phóng tài nguyên và tăng khả năng mở rộng cho hệ thống của bạn. Tuy nhiên, việc chọn khoảng thời gian phù hợp cho "Connection idle timeout" là quan trọng để đảm bảo rằng các kết nối không bị đóng quá sớm và cũng không tiêu tốn quá nhiều tài nguyên cho các kết nối không hoạt động.

TLS version and cipher headers

Thuộc tính "TLS version and cipher headers" cho phép bạn xác định phiên bản TLS và thuật toán mã hóa (cipher) sẽ được load balancer sử dụng khi thiết lập kết nối an toàn với clients. Bằng cách cấu hình các giá trị cho thuộc tính này, bạn có thể kiểm soát cách mà load balancer và client thiết lập kết nối bảo mật.

Một số giá trị phổ biến cho thuộc tính này bao gồm:

• TLS version: Cho phép bạn chọn phiên bản TLS được hỗ trợ, chẳng hạn như TLS 1.2 hoặc TLS 1.3.
• Cipher suite: Xác định thuật toán mã hóa và phương thức xác thực sẽ được sử dụng trong quá trình trao đổi mã khóa. Mỗi cipher suite định nghĩa một tập hợp các thuật toán mã hóa và phương pháp xác thực khác nhau.

Bằng cách cấu hình TLS version và cipher headers, bạn có thể cải thiện bảo mật của ứng dụng bằng cách chỉ định các phiên bản TLS và thuật toán mã hóa mạnh mẽ nhất mà load balancer sẽ sử dụng khi thiết lập kết nối với clients.