Elastic Load Balancing 常见问题

应用程序负载均衡器支持使用 Amazon EC2 目前所支持的任何操作系统的目标。

应用程序负载均衡器支持对使用 HTTP 和 HTTPS (安全 HTTP) 协议的应用程序进行负载均衡。

符合。Application Load Balancer 内置 HTTP/2 支持。支持 HTTP/2 的客户端可以通过 TLS 连接到 Application Load Balancer。

您可以从为每个可用区的 PrivateLink 和静态 IP 地址提供支持的网络负载均衡器中将流量转发至您的应用程序负载均衡器。创建一个 Application Load Balancer 型目标组、将 Application Load Balancer 注册到该目标组并将网络负载均衡器配置为将流量转发至 Application Load Balancer 型目标组。

您可以对以下 TCP 端口执行负载均衡：1-65535

符合。应用程序负载均衡器内置 WebSocket 和 Secure WebSocket 支持，随时可用。

符合。您的 Application Load Balancer 上默认启用了请求跟踪。

虽然存在一些重叠，但两种类型的负载均衡器之间没有同等的功能。应用程序负载均衡器是我们面向未来推出的应用程序层负载均衡平台的基础。

符合。

符合。

不可以。应用程序负载均衡器需要一组新的应用程序编程接口（API）。

借助 ELB 控制台，您可以在同一界面中管理 Application Load Balancer 和 Classic Load Balancer。如果您使用命令行界面 (CLI) 或软件开发工具包 (SDK)，则将针对 Application Load Balancer 使用其他“服务”。例如，在 CLI 中，您可以使用“aws elb describe-load-balancers”描述 Classic 负载均衡器，使用“aws elbv2 describe-load-balancers”描述应用程序负载均衡器。

不可以，您不能将一种负载均衡器类型转换为另一种。

符合。您可以使用该文档中所列的方式之一从经典负载均衡器迁移到应用程序负载均衡器。

不可以。如果您需要第 4 层功能，则应使用网络负载均衡器。

可以。您可以将 HTTP 端口 80 和 HTTPS 端口 443 的侦听器添加到单个应用程序负载均衡器。

符合。要获取从您的账户发起的应用程序负载均衡器 API 调用的历史记录，请使用 AWS CloudTrail。

支持。您可以终止 Application Load Balancer 上的 HTTPS 连接。您必须在负载均衡器上安装安全套接字层 (SSL) 证书。负载均衡器先使用此证书终止连接，然后解密来自客户端的请求并将请求发送到目标。

您可以使用 AWS Certificate Manager 预置 SSL/TLS 证书，也可以从其他来源获取证书，具体方法如下：先创建证书请求、获取 CA 签名的证书请求，然后使用 AWS Certification Manager 或 AWS Identity and Access Management（IAM）服务上传证书。

Application Load Balancer 现已与 AWS Certificate Management (ACM) 集成。与 ACM 集成后，可以简化将证书绑定到负载均衡器的过程，从而精简整个 SSL 卸载过程。SSL/TLS 证书的购买、上传和续订是一个复杂且耗时的手动过程。应用程序负载均衡器与 ACM 集成后，整个过程便大大简化，只需请求受信任的 SSL/TLS 证书，然后选择 ACM 证书并使用负载均衡器对其进行预置即可。

不支持。应用程序负载均衡器仅支持后端加密。

当您将多个 TLS 证书与负载均衡器上的同一个安全侦听器关联时，系统会自动启用 SNI。同样，当您仅将一个证书与一个安全侦听器关联时，系统会自动禁用该安全侦听器的 SNI 模式。

可以，您可以将同一个域的多个证书关联到一个安全侦听器。例如，您可以指定：

• ECDSA 和 RSA 证书
• 密钥长度不同（例如 2K 和 4K）的 SSL/TLS 证书
• 单域型、多域型 (SAN) 和通配符证书

支持。Application Load Balancer 支持 IPv6。

您可以针对负载均衡器上的每个侦听器配置规则。规则包括条件以及条件满足时的相应操作。支持的条件为托管标头、路径、HTTP 标头、方法、查询参数和源 IP 无类域间路由 (CIDR)。支持的操作为重定向、固定响应、验证和转发。规则设置成功后，负载均衡器将使用这些规则来确定应路由哪个特定 HTTP 请求。您可以在一个规则中使用多个条件和操作，并可以在每个条件中就多个值指定一个匹配。

您的 AWS 账户存在以下关于应用程序负载均衡器的限制。

您可以将应用程序负载均衡器与 AWS Web Application Firewall（WAF）集成，后者是一种 Web 应用程序防火墙，让您能够配置基于 IP 地址、HTTP 报头和自定义统一资源标识符（URI）字符串的规则，帮助保护 Web 应用程序免受攻击。借助这些规则，AWS WAF 能够阻止、允许或监控 (统计) Web 应用程序的 Web 请求。要了解更多信息，请参阅 AWS WAF 开发人员指南。

您可以将负载均衡器 VPC CIDR 中的任意 IP 地址用于负载均衡器 VPC 内的目标，将 RFC 1918 范围（10.0.0.0/8、172.16.0.0/12，以及 192.168.0.0/16）或 RFC 6598 范围 (100.64.0.0/10) 中的任意 IP 地址用于负载均衡器 VPC 外的目标（例如，对等 VPC、Amazon EC2 Classic 和本地位置内可通过 AWS Direct Connect 或 VPN 连接进行访问的目标）。

有多种方法可实现混合负载均衡。如果应用程序在分布于 VPC 和本地位置之间的多个目标上运行，您可以使用这些目标的 IP 地址将其添加到同一目标组。要在不影响应用程序的情况下迁移到 AWS，请逐步向目标组添加 VPC 目标，并从目标组中删除本地目标。 

如果您有两个不同的应用程序，其中一个应用程序的目标位于 VPC 中，另一应用程序的目标位于本地位置，则您可以将 VPC 目标放入一个目标组，将本地目标放入另一个目标组，然后使用基于内容的路由将流量路由到每个目标组。您还可以分别针对 VPC 目标和本地目标使用不同的负载均衡器，并使用 DNS 加权在 VPC 和本地目标之间进行加权负载均衡。

将 EC2-Classic 实例的 ID 注册为目标时，您无法对其进行负载均衡。但如果您使用 ClassicLink 将这些 EC2-Classic 实例链接到负载均衡器的 VPC，并将这些 EC2-Classic 实例的私有 IP 用作目标，那么您就可以对 EC2-Classic 实例进行负载均衡。如果您目前使用的是带有 Classic Load Balancer 的 EC2 Classic 实例，则可以轻松迁移至 Application Load Balancer。

在 Application Load Balancer 中，跨区域负载均衡默认已启用。

如果存在以下情况，您应该使用 Amazon Cognito 验证身份：

• 您希望采用灵活方式验证用户身份：可以通过社交媒体身份（Google、Facebook 和 Amazon），可以通过企业身份 (SAML)，或者可以通过 Amazon Cognito 用户池为您提供的用户目录。
• 您管理多个身份提供程序（包括 OpenID Connect）并希望在 Application Load Balancer (ALB) 中创建一个身份验证规则，该规则可以使用 Amazon Cognito 联合您的多个身份提供程序。
• 您需要从一个集中位置使用一个或多个社交或 OpenID Connect 身份提供程序主动管理用户配置文件。例如，您可以将用户分组，并添加自定义属性来代表用户状态，控制付费用户的访问权限。

另外，如果您已经开发了自定义 IdP 解决方案并希望使用一个与 OpenID Connect 兼容的身份提供程序进行身份验证，那么您最好使用 Application Load Balancer 原生的 OIDC 解决方案。

支持以下三种类型的重定向。

HTTP 重定向到 HTTP
http://hostA 重定向到 http://hostB

HTTP 重定向到 HTTPS
http://hostA 重定向到 https://hostB
https://hostA:portA/pathA 重定向到 https://hostB:portB/pathB

HTTPS 重定向到 HTTPS
https://hostA 重定向到 https://hostB

支持以下内容类型：text/plain、text/css、text/html、application/javascript 和 application/json。

负载均衡器接收的 HTTP(S) 请求由基于内容的路由规则处理。如果请求内容与具有将 Lambda 函数作为目标转发到目标组的操作的规则匹配，则调用相应的 Lambda 函数。请求的内容（包括标题和正文）以 JavaScript 对象表示法 (JSON) 格式传递给 Lambda 函数。Lambda 函数的响应应采用 JSON 格式。Lambda 函数的响应转换为 HTTP 响应并发送到客户端。负载均衡器使用 AWS Lambda Invoke API 调用您的 Lambda 函数，并要求您将 Lambda 函数的调用权限提供给 Elastic Load Balancing 服务。

符合。Application Load Balancer 支持通过 HTTP 和 HTTPS 协议进行请求的 Lambda 调用。

在以下 AWS 区域，您可以将 Lambda 用作应用程序负载均衡器的目标：美国东部（弗吉尼亚州北部）、美国东部（俄亥俄州）、美国西部（北加利福尼亚）、美国西部（俄勒冈州）、亚太地区（孟买）、亚太地区（首尔）、亚太地区（新加坡）、亚太地区（悉尼）、亚太地区（东京）、加拿大（中部）、欧洲（法兰克福）、欧洲（爱尔兰）、欧洲（伦敦）、欧洲（巴黎）、南美洲（圣保罗）和 GovCloud（美国西部）。

是的，应用程序负载均衡器可以在洛杉矶本地区域中使用。在洛杉矶本地扩展区内，Application Load Balancer 将在单个子网中运行并自动扩展，以适应不同级别的应用程序负载，而无需人工干预。

您需要按应用程序负载均衡器的运行小时数 (不足 1 小时按 1 小时算) 和每小时使用的负载均衡器容量单位 (LCU) 数付费。

LCU 是一项新指标，用于确定您如何为 Application Load Balancer 付费。对于 Application Load Balancer 处理流量时涉及的各项指标（新连接数、活跃连接数、带宽和规则评估数），LCU 将确定哪项指标的资源使用量最大。

不会，传统负载均衡器将继续按带宽和每小时使用量计费。

我们通过 Amazon CloudWatch 公开构成 LCU 的所有四个指标的使用情况。

不需要。每小时所使用的 LCU 数量由组成 LCU 的四个指标中资源使用量最大的指标来决定。

符合。

符合。对于新 AWS 账户，针对 Application Load Balancer 提供包括 750 小时和 15 个 LCU 的免费套餐。此免费套餐仅面向新 AWS 客户提供，自 AWS 注册之日起 12 个月内有效。

符合。您可以同时使用 Classic Load Balancer 和 Application Load Balancer，二者的免费使用量分别为 15GB 和 15 个 LCU。传统负载均衡器和应用程序负载均衡器的免费使用时间共计 750 小时。

规则评估数是指处理的规则数量与每小时平均请求率的乘积。

证书密钥长度只影响 LCU 账单计算中每秒新建立的连接数。下表针对不同密钥长度的 RSA 和 ECDSA 证书列出了此指标的值。

RSA 证书
密钥长度： <=2K 
新建连接数/秒：25

密钥长度：<=4K 
新建连接数/秒：5

密钥长度：<=8K 
新建连接数/秒：1

密钥长度：>8K
新建连接数/秒：0.25

ECDSA 证书
密钥长度：<=256
新建连接数/秒：25

密钥长度：<=384
新建连接数/秒：5

密钥长度：<=521 
新建连接数/秒：1

密钥长度：>521 
新建连接数/秒：0.25

不需要。当您在 Application Load Balancer 中启用跨区域负载均衡时，您无需支付此类型的区域数据传输费用。

不需要。启用 Application Load Balancer 中的身份验证功能不需要单独付费。如果同时使用 Amazon Cognito 和应用程序负载均衡器，需要按 Amazon Cognito 定价付费。

通常，您需要按应用程序负载均衡器的运行小时数（不足 1 小时按 1 小时算）和每小时使用的负载均衡器容量单位（LCU）数付费。对于 Lambda 目标，每个 LCU 每小时处理 0.4 GB 字节，每秒处理 25 个新连接，每分钟处理 3000 个活动连接以及每秒处理 1000 个规则评估。对于已处理的字节维度，每个 LCU 每小时为 Lambda 目标提供 0.4GB，而对于所有其他目标类型（如 Amazon EC2 实例、容器和 IP 地址），每小时提供 1GB。请注意，通常的 AWS Lambda 费用适用于 Application Load Balancer 对 Lambda 的调用。

应用程序负载均衡器会发出两个新的 CloudWatch 指标。LambdaTargetProcessedBytes 指标指示 Lambda 目标处理的字节数，StandardProcessedBytes 指标指示由所有其他目标类型处理的字节数。

符合。网络负载均衡器支持 TCP、UDP 和 TCP+UDP（第 4 层）侦听器以及 TLS 侦听器。

网络负载均衡器提供 TCP 和 UDP（第 4 层）负载均衡功能。网络负载均衡器的设计目的在于处理每秒数百万请求、突变的流量模式以及提供超低延迟。此外，Network Load Balancer 还支持 TLS 终止，保存客户端的源 IP，提供稳定的 IP 支持和区域隔离，以及支持长时间运行的连接（此类连接对 WebSocket 型应用程序非常有用）。

符合。为此，您可以使用 TCP+UDP 侦听器。例如，对于同时使用 TCP 和 UDP 的 DNS 服务，您可以在端口 53 上创建 TCP+UDP 侦听器，然后负载均衡器将在该端口上处理 UDP 和 TCP 请求的流量。您必须将 TCP+UDP 侦听器与 TCP+UDP 目标组关联。

网络负载均衡器会保存客户端的源 IP，经典负载均衡器则不会。不过，客户可以使用配备 Classic Load Balancer 的代理协议获取源 IP。Network Load Balancer 会自动按可用区 (AZ) 向相应负载均衡器提供静态 IP，还支持按 AZ 向相应负载均衡器分配弹性 IP。Classic Load Balancer 不提供此项支持，

符合。您可以使用该文档中所列的方式之一从 Classic Load Balancer 迁移到 Network Load Balancer。

是的，有关详细信息，请参阅网络负载均衡器限制文档。

能，您可以使用 AWS 管理控制台、AWS CLI 或相应 API 创建网络负载均衡器。

不能。要创建 Classic Load Balancer，请使用 2012-06-01 API。要创建网络负载均衡器或应用程序负载均衡器，请使用 2015-12-01 API。

能，您可以在单个可用区内创建网络负载均衡器，方法是在创建负载均衡器时提供单个子网。

支持，您可以使用 Amazon Route 53 运行状况检查和 DNS 故障转移功能来增强在网络负载均衡器后方运行的应用程序的可用性。使用 Route 53 DNS 故障转移，您可以在多个 AWS 可用区运行应用程序并跨地区指定备用负载均衡器以进行故障转移。 

如果您的 Network Load Balancer 已针对多个可用区进行了配置，那么当该可用区内通过该负载均衡器注册的 Amazon EC2 实例运行状况不佳时，或者当指定可用区内的负载均衡器节点运行状况不佳时，Route 53 将故障转移至其他运行状况良好的可用区内的备用负载均衡器节点。

不能。网络负载均衡器的地址必须完全由您或 ELB 控制。这是为了确保当将弹性 IP 用于网络负载均衡器时，客户端常用的所有地址均不会改变。

不能。对于网络负载均衡器所在的每个关联子网，该网络负载均衡器仅支持单个公有/面向 Internet 的 IP 地址。

该负载均衡器关联的弹性 IP 地址将返回已分配的池，以供未来使用。

您可以将网络负载均衡器设置为面向 Internet 的负载均衡器或内部负载均衡器，可实现与应用程序负载均衡器和经典负载均衡器类似的功能。

不能。对于网络负载均衡器所在的每个关联子网，该网络负载均衡器只能支持一个私有 IP。

能，您可以配置 TCP 侦听器，用于将流量路由至实施 WebSockets 协议 (https://tools.ietf.org/html/rfc6455) 的目标。由于 WebSockets 是第 7 层协议，而网络负载均衡器在第 4 层运行，因此无需针对 WebSockets 或其他更高级别的协议特别处理网络负载均衡器。

符合。您可以将负载均衡器 VPC CIDR 中的任意 IP 地址用于负载均衡器 VPC 内的目标，将 RFC 1918 范围 (10.0.0.0/8、172.16.0.0/12，以及 192.168.0.0/16) 或 RFC 6598 范围 (100.64.0.0/10) 中的任意 IP 地址用于负载均衡器 VPC 外的目标 (可通过 AWS Direct Connect 进行访问的 EC2-Classic 和本地位置)。负载均衡到 IP 地址目标类型仅在 TCP 侦听器上受支持，目前在 UDP 侦听器上不受支持。

能，带有 TCP 和 TLS 侦听器的网络负载均衡器可以用来设置 AWS PrivateLink。您不能在网络负载均衡器上使用 UDP 侦听器设置 PrivateLink。

用户数据报协议（UDP）处于无连接状态，而负载均衡器基于 5 元组哈希维持 UDP 流状态，确保在相同环境中发送的数据包始终被转发到相同目标。只要流量在流动，流就被视为是活跃的，直到达到空闲超时。一旦达到超时阈值，负载均衡器就会忘记关联，传入的 UDP 数据包将被视为新流，并被负载均衡到新目标。

TCP 连接的网络负载均衡器空闲超时为 350 秒。UDP 流的空闲超时为 120 秒。

目前，实例上的每个容器都拥有自己的安全组，不需要与其他容器共享安全规则。您可以将安全组附加到 ENI，以便实例上的每个 ENI 都能拥有不同的安全组。您可以将容器映射到特定 ENI 的 IP 地址，以便关联每个容器的安全组。使用 IP 地址进行负载均衡时，还支持在一个实例上运行的多个容器使用同一端口 (比如说端口 80)。通过让多个容器使用同一端口，实例上的容器能够通过已知端口而非随机端口进行相互通信。

有多种方法可实现混合负载均衡。如果应用程序在分布于 VPC 和本地位置之间的多个目标上运行，您可以使用这些目标的 IP 地址将其添加到同一目标组。要在不影响应用程序的情况下迁移到 AWS，请逐步向目标组添加 VPC 目标，并从目标组中删除本地目标。您还可以分别针对 VPC 目标和本地目标使用不同的负载均衡器，并使用 DNS 加权在 VPC 和本地目标之间进行加权负载均衡。

将 EC2-Classic 实例的 ID 注册为目标时，您无法对其进行负载均衡。但如果您使用 ClassicLink 将这些 EC2-Classic 实例链接到负载均衡器的 VPC，并将这些 EC2-Classic 实例的私有 IP 用作目标，那么您就可以对 EC2-Classic 实例进行负载均衡。如果您目前使用的是带有 Classic Load Balancer 的 EC2 Classic 实例，则可以轻松迁移至 Network Load Balancer。

您只能在创建您的网络负载均衡器之后才可以启用跨区域负载均衡。您可以通过编辑负载均衡器属性，然后勾选跨区域负载均衡支持选框来实现。

是的。当网络负载均衡器中启用跨区域负载均衡时，将对可用区之间的区域数据传输进行计费。在 Amazon EC2 按需定价页面的数据传输部分中查看收费信息。

符合。Network Load Balancer 每个可用区目前支持 200 个目标。例如，如果您处于两个可用区内，您可以在 Network Load Balancer 最多注册 400 个目标。如果启用跨区域负载平衡，那么支持的最多目标数将从每个可用区 200 个减少至每个负载平衡器 200 个。因此，在上述例子中，当启用跨区域负载平衡时，即使您的负载平衡器处于两个可用区中，您能在负载平衡器中注册的目标数最多为 200 个。

是。您可以终止网络负载均衡器上的 TLS 连接。您必须在负载均衡器上安装 SSL 证书。负载均衡器先使用此证书终止连接，然后解密来自客户端的请求并将请求发送到目标。

即使您终止了网络负载均衡器上的 TLS，源 IP 地址也会继续保留。

您可以使用 AWS Certificate Manager 预置 SSL/TLS 证书，也可以从其他来源获取证书，具体方法如下：先创建证书请求、获取证书颁发机构（CA）签名的证书请求，然后使用 AWS Certification Manager（ACM）或 AWS Identity and Access Management（IAM）服务上传证书。

当您将多个 TLS 证书与负载均衡器上的同一个安全侦听器关联时，系统会自动启用 SNI。同样，当您仅将一个证书与一个安全侦听器关联时，系统会自动禁用该安全侦听器的 SNI 模式。

网络负载均衡器现已与 AWS Certificate Management（ACM）集成。与 ACM 集成后，可以很简单地将证书绑定到负载均衡器，从而使整个 SSL 卸载过程变得非常容易。SSL/TLS 证书的购买、上传和续订是一个非常耗时且复杂的手动过程。Network Load Balancer 与 ACM 集成后，整个过程便大大简化，只需请求受信任的 SSL/TLS 证书，然后选择 ACM 证书并使用负载均衡器对其进行预置即可。创建 Network Load Balancer 之后，您现在即可配置 TLS 侦听器，然后您便可以选择从 ACM 或 Identity Access Manager (IAM) 中选择证书。这种经验类似于 Application Load Balancer 或 Classic Load Balancer 提供的体验。

不支持。网络负载均衡器仅支持后端加密。

网络负载均衡器仅支持 2K 密钥大小的 RSA 证书。我们目前不支持在 Network Load Balancer 上使用密钥大小超过 2K 的 RSA 证书或 ECDSA 证书。

在以下 AWS 区域，您可以在网络负载均衡器上使用 TLS 终止：美国东部（弗吉尼亚州北部）、美国东部（俄亥俄州）、美国西部（北加利福尼亚）、美国西部（俄勒冈州）、亚太地区（孟买）、亚太地区（首尔）、亚太地区（新加坡）、亚太地区（悉尼）、亚太地区（东京）、加拿大（中部）、欧洲（法兰克福）、欧洲（爱尔兰）、欧洲（伦敦）、欧洲（巴黎）、南美洲（圣保罗）和 GovCloud（美国西部）。

您需要按网络负载均衡器的运行小时数 (不足 1 小时按 1 小时算) 和每小时使用的负载均衡器容量单位 (LCU) 数付费。

LCU 是一项新指标，用于确定您如何为网络负载均衡器付费。对于网络负载均衡器处理流量时涉及的各项指标（新连接/流数、活跃连接/流数和带宽），LCU 可确定哪项指标使用的资源最多。

TCP 流量的 LCU 指标如下：

• 每秒 800 个新 TCP 连接。
• 100000 个活跃 TCP 连接（每分钟取样）。
• 对于目标 Amazon EC2 实例、容器和 IP 地址，每小时 1GB。

UDP 流量的 LCU 指标如下：

• 每秒 400 个新流。
• 50000 个活跃 UDP 流（每分钟取样）。
• 对于目标 Amazon EC2 实例、容器和 IP 地址，每小时 1GB。

TLS 流量的 LCU 指标如下：

• 每秒 50 个新 TLS 连接。
• 3000 个活跃 TLS 连接（每分钟取样）。
• 对于目标 Amazon EC2 实例、容器和 IP 地址，每小时 1GB。

不是。对于每个协议，您只需按这三个指标中小时使用量最高的那个指标付费。

不相同。在一次连接中可以发送多个请求。

不会。经典负载均衡器将继续按带宽和小时费用计费。

我们会通过 Amazon CloudWatch 公布组成 LCU 的所有三个指标的使用情况。

不需要。每小时所使用的 LCU 数量由组成 LCU 的三个指标中资源使用量最大的指标来决定。

符合。

符合。对于新 AWS 账户，针对网络负载均衡器提供包括 750 小时和 15 个 LCU 的免费套餐。此免费套餐仅面向新 AWS 客户提供，自 AWS 注册之日起 12 个月内有效。

符合。您可以同时使用 Application Load Balancer 和网络负载均衡器（每个免费使用量均为 15 个 LCU）以及 Classic Load Balancer（分别为 15GB）。Application Load Balancer、网络负载均衡器和 Classic Load Balancer 的免费使用时间共计 750 小时。

您应该在部署网络流量目标不为网关负载均衡器本身的内联虚拟设备时使用网关负载均衡器。网关负载均衡器可以通过第三方虚拟设备以透明方式传递第 3 层的所有流量，并且对流量源和目的地不可见。有关如何比较这些负载均衡器的更多详细信息，请参阅功能比较页面。

网关负载均衡器在一个可用区内运行。

网关负载均衡器提供第 3 层网关和第 4 层负载均衡功能。它是一种透明的线内缓冲设备，不会改变数据包的任何部分。网络负载均衡器的设计目的在于处理每秒数百万请求、不稳定的流量模式以及带来超低延迟。请参阅此表中的网关负载均衡器功能。 

网关负载均衡器不执行 TLS 终止且不会维持任何应用程序状态。这些功能由第三方虚拟设备执行，而网关负载均衡器在其中发送和接收流量。

网关负载均衡器不维持应用程序状态，但它使用 5 元组（对于 TCP/UDP 流量）或 3 元组（对于非 TCP/UDP 流量）维持流量对特定设备的粘性。

默认情况下，网关负载均衡器将流量定义为由源 IP、目标 IP、IP 协议、源端口和目标端口组成的 5 元组的组合。网关负载均衡器使用默认的 5 元组哈希确保该流量的两个方向（即源到目标和目标到源）始终被转发到相同目标。只要流量在流动，流就被视为是活跃的，直到达到空闲超时。一旦达到超时阈值，负载均衡器就会忘记关联，传入的流量数据包将被视为新流，并可能被负载均衡到新目标。

默认的 5 元组（源 IP、目标 IP、IP 协议、源端口和目标端口）粘性为目标提供最佳的流量分配，适用于大多数基于 TCP 和 UDP 的应用程序，但有一些例外。默认的 5 元组粘性不适用于基于 TCP 或 UDP、为控件和数据使用单独的流式传输或端口号的应用程序，如 FTP、Microsoft RDP、Windows RPC 和 SSL VPN。此类应用程序的控制和数据流可能会落在不同的目标设备上，并可能导致流量中断。如果要支持此类协议，应该使用 3 元组（源 IP、目标 IP、IP 协议）或 2 元组（源 IP、目标 IP）启用 GWLB 流粘性。

有些应用程序根本不使用 TCP 或 UDP 传输，而是使用 SCTP 和 GRE 等 IP 协议。利用 GWLB 默认的 5 元组粘性，来自这些协议的流量可能会落在不同的目标设备上，并可能导致中断。如果要支持此类协议，应该使用 3 元组（源 IP、目标 IP、IP 协议）或 2 元组（源 IP、目标 IP）启用 GWLB 流粘性。

请参阅流粘性文档以了解如何更改流粘性类型。

TCP 连接的网关负载均衡器空闲超时为 350 秒。非 TCP 流的空闲超时为 120 秒。这些超时为固定数值，不能更改。

作为透明的线内缓冲设备，GWLB 本身不会对数据包进行分段或重组。

GWLB 将 UDP 片段转发到设备/从目标设备转发。但是，GWLB 会丢弃 TCP 和 ICMP 分段，因为这些分段中不存在第 4 层标头。

此外，如果目标设备将原始传入数据包转换为片段并将新创建的片段发送回 GWLB，则 GWLB 会丢弃这些新创建的片段，因为它们不包含第 4 层标头。为防止在目标设备上发生分段，我们建议在您的目标设备上启用巨型帧或设置您的目标设备的网络接口以便使用最大所需 MTU，从而通过使原始数据包内容保持原样来实现透明的转发行为。 

当单个虚拟设备实例发生故障时，网关负载均衡器会将其从路由列表中删除并将流量重新路由至运行状况正常的设备实例中。

如果某个可用区的所有虚拟设备都发生故障，网关负载均衡器将删除网络流量。为获得更大的可用性，我们建议将网关负载均衡器部署在多个可用区中。如果一个可用区内的所有设备均发生故障，脚本可用于添加新设备，或将流量导向另一个可用区内的网关负载均衡器。

能，多个网关负载均衡器可以指向相同的虚拟设备集。

网关负载均衡器是一种透明的线内缓冲设备，可侦听所有类型的 IP 流量（包括 TCP、UDP、ICMP、GRE、ESP 等）。因此只能在网关负载均衡器上创建 IP 侦听器。

是的，有关详细信息，请参阅网关负载均衡器限制文档。

能，您可以使用 AWS 管理控制台、AWS CLI 或相应 API 创建网关负载均衡器。

能，您可以在单个可用区内创建网关负载均衡器，方法是在创建负载均衡器时提供单个子网。但是，我们建议使用多个可用区来提升可用性。创建网关负载均衡器后，您不能添加或删除可用区。

默认情况下禁用跨区负载均衡。您只能在创建您的网关负载均衡器之后才可以启用跨区域负载均衡。您可以通过编辑负载均衡器属性，然后勾选跨区域负载均衡支持选框来实现。

需要。当网关负载均衡器中启用跨区域负载均衡时，将对可用区之间的数据传输进行计费。在“Amazon EC2 按需定价”页面的数据传输部分中查看收费信息。

符合。网关负载均衡器每个可用区目前支持 300 个目标。例如，如果您在 3 个可用区内创建网关负载均衡器，则可以最多注册 900 个目标。如果启用跨区域负载平衡，那么支持的最多目标数将从每个可用区 300 个减少至每个网关负载均衡器 300 个。

您需要按网关负载均衡器的运行小时数（不足 1 小时按 1 小时算）和网关负载均衡器每小时使用的负载均衡器容量单位（LCU）数付费。

LCU 是一个弹性负载均衡指标，用于确定您如何为网关负载均衡器付费。对于网关负载均衡器处理流量时涉及的各项指标（新连接/流数、活跃连接/流数和带宽），LCU 可确定哪项指标使用的资源最多。

TCP 流量的 LCU 指标如下：

• 每秒 600 个新流（或连接）。
• 6 万个活跃流（连接）（每分钟取样）。
• 对于目标 EC2 实例、容器和 IP 地址，每小时 1GB。

不是。您只需按这三个指标中小时使用量最高的那个指标付费。

不相同。在一次连接中可以发送多个请求。

您可以通过 Amazon CloudWatch 跟踪 LCU 所有三个指标的使用情况。

符合。

为了具有价值，虚拟设备需要尽量少带来额外延迟，且进出虚拟设备的流量必须遵循安全连接。网关负载均衡器终端节点会创建满足这些要求所需的安全低延迟连接。

使用网关负载均衡器终端节点，设备可以驻留在不同的 AWS 账户和 VPC 中。这样一来，设备可以集中在一个位置，从而更加便于管理和减少运营开销。

网关负载均衡器终端节点是采用 PrivateLink 技术的一种新的 VPC 终端节点类型。当网络流量从一个来源（互联网网关、VPC 等）流向网关负载均衡器，然后返回时，网关负载均衡器终端节点可确保这两者之间的私有连接。所有流量均通过 AWS 网络，且数据永远不会公开到互联网上，从而提高安全性和性能。

PrivateLink 接口终端节点与 Network Load Balancer (NLB) 配对，以分发目标为 Web 应用程序的 TCP 和 UDP 流量。相比之下，网关负载均衡器终端节点可网关负载均衡器结合使用，以连接流量的来源和目的地。流量通过虚拟设备从网关负载均衡器端点流向网关负载均衡器中，然后再通过安全的 PrivateLink 连接返回目的地中。

网关负载均衡器端点是一个 VPC 端点，对于可以连接到使用网关负载均衡器的服务的 VPC 端点数量没有限制。但是，我们建议每个网关负载均衡器连接不超过 50 个网关负载均衡器端点，以降低在服务失效时产生更广泛影响的风险。

传统负载均衡器支持 Amazon EC2 实例使用 Amazon EC2 服务目前支持的所有操作系统。

Classic 负载均衡器支持对使用 HTTP、HTTPS（安全 HTTP）、SSL（安全 TCP）和 TCP 协议的应用程序执行负载均衡。

您可以为下列 TCP 端口执行负载均衡：

• [EC2-VPC] 1-65535
• [EC2-Classic] 25、80、443、465、587、1024-65535

符合。每个 Classic Load Balancer 都关联一个 IPv4、一个 IPv6 和一个双栈（同时支持 IPv4 和 IPv6）DNS 名称。VPC 中不支持 IPv6。您可以在 VPC 中使用应用程序负载均衡器提供原生 IPv6 支持。

符合。

如果您使用的是 Amazon Virtual Private Cloud，则可以为经典负载均衡器的前端配置安全组。

可以。您可以将 HTTP 端口 80 和 HTTPS 端口 443 映射到单个 Classic 负载均衡器。

对于其可以尝试与已执行负载均衡的 Amazon EC2 实例建立的连接数，Classic Load Balancer 并不设置上限。随着 HTTP、HTTPS 或 SSL 并发请求数或 Classic 负载均衡器所接收的并发 TCP 连接数的增多，此数值亦会提高。

对于通过从 AWS Marketplace 购买的付费 AMI 启动的 Amazon EC2 实例，您可以对其执行负载均衡。但是，经典负载均衡器不支持使用 Amazon DevPay 网站上的付费 AMI 启动的实例。

符合。请参阅弹性负载均衡网页。

符合。要获取从您的账户发起的 Classic 负载均衡器 API 调用的历史记录，只需在 AWS 管理控制台打开 CloudTrail 即可。

支持。您可以终止经典负载均衡器上的 SSL 连接。您必须在每个负载均衡器上安装 SSL 证书。负载均衡器先使用此证书终止连接，然后解密来自客户端的请求并将请求发送到后端实例。

答：您可以使用 AWS Certificate Manager 预配置 SSL/TLS 证书，也可以从其他来源获取证书，具体方法如下：先创建证书请求、获取 CA 签名的证书请求，然后使用 AWS Identity and Access Management（IAM）服务上传证书。

Classic Load Balancer 现已与 AWS Certificate Management (ACM) 集成。与 ACM 集成后，可以很简单地将证书绑定到每个负载均衡器，从而使整个 SSL 卸载过程变得非常容易。SSL/TLS 证书的购买、上传和续订通常是一个非常耗时且复杂的手动过程。Classic 负载均衡器与 ACM 集成后，整个过程便大大简化，只需请求受信任的 SSL/TLS 证书，然后选择 ACM 证书并使用负载均衡器对其进行预置即可。

答：您可以使用控制台、AWS CLI 或 AWS SDK 启用跨区负载均衡。有关更多详细信息，请参阅跨区负载均衡文档。

不需要。当您在经典负载均衡器中启用跨区域负载均衡时，您无需为可用区之间的区域数据传输付费。