Google Compute Engine 아키텍처 심화 및 실전 구축·운영 가이드

#!/usr/bin/env bash
# 메타데이터 서버에서 호스트 유지보수 예고(MIGRATE_ON_HOST_MAINTENANCE 또는 TERMINATE_ON_HOST_MAINTENANCE) 감지
EVENT=$(curl -s -H "Metadata-Flavor: Google" \
  "http://metadata.google.internal/computeMetadata/v1/instance/maintenance-event")

if [ "$EVENT" != "NONE" ]; then
  logger -t gce-maintenance "Host maintenance event detected: ${EVENT}. Starting graceful drain..."
  # 로컬 헬스체크 상태를 Unready로 전환하여 로드 밸런서 신규 유입 차단
  touch /tmp/unready
fi

[CI/CD: Cloud Build + HashiCorp Packer]
  Base OS Image (Debian/RHEL)
    + OS 보안 패치 및 커널 파라미터(sysctl) 튜닝
    + Google Cloud Ops Agent 사전 설치
    + 런타임(JDK/Node/Python) 및 애플리케이션 아티팩트 내장
    ===> Custom Golden Image 생성 및 Image Family (예: prod-was-family) 등록

[Runtime: Instance Template + MIG]
  Image Family 최신 이미지 참조하여 부팅 (외부 apt/yum/pip 패키지 다운로드 0건)
    + Startup Script: 메타데이터/환경변수 읽기 → 설정 파일 렌더링 → systemctl start (30초 내 기동 완료)
    + Shutdown Script: ACPI 종료 신호 수신 시 최대 90초 내 로컬 큐 드레이닝 및 로그 플러시

# VM 재부팅이나 마운트 해제 없이 피크 타임 전에 IOPS와 Throughput을 즉시 상향
gcloud compute disks update prod-db-data-disk \
  --zone=asia-northeast3-a \
  --provisioned-iops=15000 \
  --provisioned-throughput=600

[타 클라우드 VPC 모델]                               [Google Cloud Global VPC & Regional Subnet 모델]
VPC (Region 종속)                                    Global VPC (전 세계 단일 라우팅 평면, 28-bit VNID 격리)
 ├── Subnet A (AZ-a 전용: 10.0.1.0/24)                └── Regional Subnet (서울 리전: 10.10.0.0/20)
 ├── Subnet B (AZ-b 전용: 10.0.2.0/24)                     ├── Zone a VM (10.10.0.12) ─┐
 └── Subnet C (AZ-c 전용: 10.0.3.0/24)                     ├── Zone b VM (10.10.0.13) ─┼─ 동일 /20 대역에서
 (존마다 CIDR을 쪼개야 하며 AZ 간 이동 시 IP 변경 필요)       └── Zone c VM (10.10.0.14) ─┘  라우팅 테이블 없이 직결 통신

# 1. Google IAP TCP Forwarding 전용 대역(35.235.240.0/20)에 대해서만 SSH(22) 인바운드 허용
gcloud compute firewall-rules create allow-ssh-from-iap \
  --network=prod-vpc \
  --direction=INGRESS \
  --action=ALLOW \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20

# 2. 프로젝트 전체에 OS Login 및 2단계 인증(2FA) 강제 활성화
gcloud compute project-info add-metadata \
  --metadata enable-oslogin=TRUE,enable-oslogin-2fa=TRUE

# 3. 공인 IP가 없는 Private VM에 IAP 터널을 통해 안전하게 SSH 접속
gcloud compute ssh prod-was-vm-01 \
  --zone=asia-northeast3-a \
  --tunnel-through-iap

[단일 Regional MIG 내 Canary 배포 (다중 템플릿 버전 분할)]
  ├── versions[0] (Primary): instance-template-v1 (90% 트래픽 처리)
  └── versions[1] (Canary) : instance-template-v2 (targetSize: fixed=1 또는 percent=10%)
  * 별도의 카나리용 MIG를 추가 생성하거나 LB 설정을 건드릴 필요 없이 단일 MIG 내부에서 카나리 검증 완료!

[검증 완료 후 100% 무중단 Rolling Update (type = PROACTIVE, replacementMethod = SUBSTITUTE)]
  1. maxSurge=3 (존당 1대씩 신규 v2 VM 3대 선제 프로비저닝, 기존 v1 VM은 100% 정상 가동 유지)
  2. v2 VM 부팅 완료 → Load Balancer Health Check HEALTHY 판정
  3. minReadySec=60 (헬스체크 통과 후에도 JVM/애플리케이션 캐시 워밍업을 위해 60초간 추가 대기)
  4. maxUnavailable=0 원칙에 따라, 신규 v2 VM이 완전히 준비된 후에만 기존 v1 VM의 Connection Draining 시작

# 1단계: 기존 v1을 유지한 채 10% 인스턴스에만 v2 템플릿을 적용하는 Canary 업데이트 시작
gcloud compute instance-groups managed rolling-action start-update prod-was-rmig \
  --region=asia-northeast3 \
  --version=template=prod-was-tpl-v1 \
  --canary-version=template=prod-was-tpl-v2,target-size=10% \
  --type=proactive \
  --replacement-method=substitute \
  --max-surge=3 \
  --max-unavailable=0 \
  --min-ready=60s

# 2단계: 메트릭 및 에러율 정상 확인 후 전체 인스턴스를 v2로 100% 롤링 전환
gcloud compute instance-groups managed rolling-action start-update prod-was-rmig \
  --region=asia-northeast3 \
  --version=template=prod-was-tpl-v2 \
  --type=proactive \
  --replacement-method=substitute \
  --max-surge=3 \
  --max-unavailable=0 \
  --min-ready=60s

resource "google_compute_region_autoscaler" "was_autoscaler" {
  name   = "prod-was-autoscaler"
  region = "asia-northeast3"
  target = google_compute_region_instance_group_manager.was_rmig.id

  autoscaling_policy {
    min_replicas    = 6
    max_replicas    = 30
    cooldown_period = 90

    cpu_utilization {
      target            = 0.65
      predictive_method = "OPTIMIZE_AVAILABILITY"
    }

    # 급격한 축소 방지: 최근 10분(600초) 동안 피크 대수 대비 최대 20%까지만 축소 허용
    scale_in_control {
      time_window_sec = 600
      max_scaled_in_replicas {
        percent = 20
      }
    }
  }
}

                        [인터넷 클라이언트 트래픽]
                                  │
                     (단일 글로벌 Anycast VIP 진입)
                                  ▼
┌─────────────────────────────────────────────────────────────────────────┐
│ Google Edge PoP (전 세계 80+ 거점 상시 가동 인프라)                     │
│  • L4 External Passthrough NLB : Maglev (Consistent Hashing + 연결 추적)│
│  • L7 Global External ALB      : 1차 GFE 종료 + 분산 Envoy Proxy 계층   │
└─────────────────────────────────────────────────────────────────────────┘
                                  │
             (Google 전용 광케이블 백본 - Premium Tier 최단 진입)
                                  ▼
┌─────────────────────────────────────────────────────────────────────────┐
│ Google Cloud Region & Andromeda SDN (물리 호스트 하이퍼바이저 계층)     │
│  • Regional / Internal ALB     : 관리형 Envoy 프록시 풀 (Proxy Subnet)  │
│  • Internal Passthrough NLB    : 프록시 홉 없음! 호스트 가상 스위치 직결│
└─────────────────────────────────────────────────────────────────────────┘
                                  │
                                  ▼
                  [Backend Regional MIG VMs (gVNIC)]

# google-guest-agent가 리눅스 커널 local 라우팅 테이블에 자동 주입한 LB VIP(proto 66) 확인
ip route show table local proto 66

# [출력 예시]
# local 10.10.0.99 dev eth0 proto 66 scope host
# local 34.64.xxx.xxx dev eth0 proto 66 scope host

[L7 Application Load Balancer (Proxy 아키텍처)]
  Forwarding Rule (VIP + 수신 포트 + Global Access 설정)
    └──> Target HTTP(S) Proxy (TLS 종료, SSL 인증서 및 SSL Policy 매핑)
           └──> URL Map (Host/Path/Header 기반 라우팅, 가중치 기반 카나리 트래픽 스플리팅)
                  └──> Backend Service (Balancing Mode, Timeout, Cloud Armor, Session Affinity, Health Check)
                         ├──> Regional MIG (VM 그룹 단위 부하 분산)
                         └──> Network Endpoint Group (Zonal/Hybrid/Serverless NEG)

[L4 Passthrough Network Load Balancer (DSR 아키텍처)]
  Forwarding Rule (VIP + 프로토콜/포트 또는 --ports=ALL)
    └──> Backend Service (CONNECTION Balancing Mode, Health Check)  *Target Proxy 및 URL Map 없음!
           └──> Regional MIG / Zonal NEG

[L7 Application Load Balancer (GFE / Envoy)]             [Backend VM (Nginx / Tomcat / Node.js / Gunicorn)]
  * 백엔드 Keep-Alive 유휴 타임아웃 = 600초 고정!           * 기본 Keep-Alive 타임아웃 = 2초 ~ 65초 (LB보다 짧음!)
                 │                                                                     │
                 │ <══════════════ HTTP/1.1 Keep-Alive 유휴 소켓 유지 ═══════════════> │
                 │                                                                     │
   (유휴 만료 시점)│ ────────────── 1. 백엔드가 유휴 소켓 종료를 위해 TCP FIN 전송 ───── │ (예: 5초/60초 경과)
                 │ ───── 2. 같은 찰나에 LB가 해당 소켓으로 신규 HTTP POST 요청 전송 ─> │ (네트워크 비행 중 교차!)
                 │ <───────────── 3. 백엔드 커널이 이미 닫힌 소켓이므로 TCP RST 응답 ── │
                 ✕
   [클라이언트에게 502 Bad Gateway 반환!]
   Cloud Logging statusDetails: "backend_connection_closed_before_data_sent_to_client"

┌──────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│ [502 원천 차단 황금 공식]                                                                                │
│   Backend HTTP Keep-Alive Timeout (권장: 620초)  >  Load Balancer Keep-Alive Timeout (600초 고정)        │
│   * 언제나 백엔드 서버가 아닌 Load Balancer가 먼저 유휴 연결을 정리하도록 백엔드 타임아웃을 더 길게 설정!│
└──────────────────────────────────────────────────────────────────────────────────────────────────────────┘

resource "google_compute_instance_template" "was_tpl" {
  # 고정 name 대신 name_prefix를 사용하여 변경 시마다 고유한 이름의 새 템플릿 생성
  name_prefix  = "prod-was-tpl-"
  machine_type = "n4-standard-4"

  disk {
    source_image      = "projects/debian-cloud/global/images/family/debian-12"
    auto_delete       = true
    boot              = true
    disk_type         = "hyperdisk-balanced"
    disk_size_gb      = 50
    provisioned_iops  = 3600
  }

  network_interface {
    subnetwork = google_compute_subnetwork.was_subnet.id
    nic_type   = "GVNIC"
    # access_config 블록을 생략하여 공인 IP 원천 차단 (Private VM 베이스라인)
  }

  # 필수: 새 템플릿을 먼저 생성해 MIG에 연결한 뒤 기존 템플릿을 삭제하도록 강제
  lifecycle {
    create_before_destroy = true
  }
}