¿Por qué no puedo acceder a mis servidores backend con un balanceador de carga?

Síntoma

Esta sección de preguntas frecuentes proporciona una guía para que pueda solucionar los siguientes problemas:

• No se puede acceder a los servidores backend con un balanceador de carga.
• Puede acceder al balanceador de carga desde una dirección IP privada, pero no desde una dirección IP pública.
• Los servidores backend se consideran no saludables.

Antecedentes

Figura 1 muestra cómo los clientes acceden a los servidores backend con un balanceador de carga.

1. El balanceador de carga de red pública utiliza una EIP para recibir tráfico por Internet, mientras que el balanceador de carga de red privada recibe tráfico desde dentro de la VPC.
2. El balanceador de carga recibe tráfico entrante utilizando el protocolo frontend y el puerto configurado para el oyente.
3. El oyente comprueba el estado de los servidores backend. Solo los servidores backend sanos pueden recibir tráfico del oyente.
4. El oyente reenvía el tráfico a los servidores backend según sus ponderaciones y las reglas de escucha.

En general, el problema se debe probablemente a un problema de control de acceso (las partes en amarillo) o a una configuración de comprobación de estado (las partes verdes).

La solución de problemas debe comenzar con los servidores backend, luego pasar al balanceador de carga y, finalmente, a los clientes.

Figura 1 Cómo los clientes acceden a los servidores backend con un balanceador de carga

Proceso de solución de problemas

Figura 2 Proceso de solución de problemas

1. Compruebe si se puede acceder directamente al servidor backend. Utilice el cliente para acceder al servidor backend y verifique que la configuración del servidor backend y la configuración de la aplicación sean correctas.
2. Compruebe si la comprobación de estado está habilitada en la consola.
3. Compruebe si el resultado de la comprobación de estado del servidor backend en la consola. Si el servidor backend no está sano, el balanceador de carga no encaminará el tráfico hacia él.
4. Compruebe si la ponderación y el puerto del servidor backend están configurados correctamente en la consola.
5. Compruebe si el control de acceso está habilitado y la dirección IP del cliente puede acceder al oyente en la consola.

Paso 1: Comprobar si se puede acceder directamente al servidor backend

Utilice un cliente para acceder al servidor backend para determinar si el fallo es causado por el balanceador de carga o el servidor backend. Para ello, asegúrese de que las reglas de ACL de red permiten las comunicaciones entre el cliente y el servidor backend.

• Clientes en la red pública: Vincule una EIP al servidor backend. Una vez completada la verificación, libere la EIP.
• Clientes en la red privada: No se requiere la EIP. Si el cliente está en otra VPC, configure una interconexión de VPC.

Si el fallo persiste, vaya a Paso 2: Comprobar si la comprobación de estado está habilitada.

Paso 2: Comprobar si la comprobación de estado está habilitada

Si el cliente puede acceder directamente al servidor backend, compruebe si la comprobación de estado está habilitada. Si la comprobación de estado está habilitada pero el servidor backend se detecta mal, el balanceador de carga no encaminará el tráfico hacia él.

1. Inicie sesión en la consola de gestión.
2. En la esquina superior izquierda de la página, haga clic en y seleccione la región y el proyecto deseados.
3. Pase el ratón sobre en la esquina superior izquierda para mostrar Service List y elija Networking > Elastic Load Balance.
4. Haga clic en el nombre del balanceador de carga.
5. En la página de ficha Listeners, compruebe si la comprobación de estado está habilitada.
   • Si la comprobación de estado está activada, vaya a Paso 3: Comprobar si el servidor backend está sano.
   • Si la comprobación de estado no está habilitada:
     • Balanceadores de carga Compartidoes: Compruebe si las reglas de grupo de seguridad de los servidores backend y las reglas de ACL de red permiten el tráfico de 100.125.0.0/16.
     • Balanceadores de carga dedicados: Compruebe si las reglas del grupo de seguridad backend permiten el acceso desde el bloque CIDR de VPC donde funciona la subred backend de ELB.

     Este bloque CIDR es utilizado por ELB para acceder a servidores backend y no tiene riesgos de seguridad. Si se permite el tráfico pero el fallo persiste, vaya a Paso 4: Comprobar si la configuración del servidor backend es correcta.

   

   • Balanceadores de carga compartidos: Si Transfer Client IP Address está habilitada para un oyente de TCP o de UDP, no es necesario configurar reglas de grupo de seguridad y reglas de ACL de red para permitir el tráfico de 100.125.0.0/16 y direcciones IP del cliente a los servidores backend.
   • Balanceadores de carga dedicados: Si IP as a Backend no está habilitado para un balanceador de carga que tiene un oyente de TCP o de UDP, no hay necesidad de configurar reglas de grupo de seguridad y reglas de ACL de red para permitir el tráfico desde la subred backend donde el balanceador de carga se despliega en los servidores backend.

Paso 3: Comprobar si el servidor backend está sano

Si la comprobación de estado está habilitada pero el servidor backend se detecta mal, el balanceador de carga no encaminará el tráfico hacia él.

• Si el servidor backend no está sano, rectifique la falla consultando ¿Cómo soluciono problemas de un servidor backend insalubre?
• Si el servidor de backend está en buen estado, vaya a Paso 4: Comprobar si la configuración del servidor backend es correcta.

Si el fallo persiste, vaya a Paso 4: Comprobar si la configuración del servidor backend es correcta.

Paso 4: Comprobar si la configuración del servidor backend es correcta

1. Elija Backend Server Groups > Backend Servers para ver los parámetros del servidor backend:
   • Weight: Si la ponderación se establece en 0, el tráfico no se reenviará al servidor.
   • Backend port: Debe ser el mismo que el puerto utilizado por el servidor backend.
2. En la página de ficha Listeners, localice el oyente de TCP o de UDP y compruebe si Transfer Client IP Address está habilitado.
   • Si esta función está habilitada, el balanceador de carga utiliza la dirección IP del cliente para acceder al servidor backend. En este caso, configure las reglas de grupo de seguridad y de ACL de red para permitir el acceso desde esta dirección IP.

     Además, si esta función está habilitada, no se puede usar un servidor como cliente y servidor backend. Esto se debe a que el servidor backend determina que el paquete es enviado por un host local basado en la dirección IP de origen y no devolverá el paquete de respuesta al balanceador de carga.

   • Si esta función está deshabilitada, verifique que el grupo de seguridad permita el tráfico desde el intervalo de direcciones IP correspondiente al servidor backend.
     • Balanceadores de carga dedicados: asegúrese de que el grupo de seguridad permita el tráfico desde la subred backend donde reside el balanceador de carga dedicado al servidor backend.
     • Balanceadores de carga compartidos: asegúrese de que el grupo de seguridad permita el tráfico desde 100.125.0.0/16 al servidor backend.

Si el fallo persiste, vaya a Paso 5: Comprobar si el control de acceso está habilitado.

Paso 5: Comprobar si el control de acceso está habilitado

En la pestaña Summary del oyente, compruebe si el control de acceso está habilitado y si el cliente puede acceder al oyente.

Enviar un ticket de servicio

Si el problema persiste, envíe un ticket de servicio.