网关型负载均衡 GWLB 是什么
GWLB 是给安全设备集群用的负载均衡：它把需要检测或过滤的流量分发给一组防火墙、入侵检测或流量分析设备，设备处理完再把流量回注到原路径。与传统负载均衡面向业务后端不同，GWLB 面向的是「流量必须经过的中间层」，让原本只能串接的第三方安全设备变成可横向扩容、可高可用的集群。代价是它改变了流量路径，任何一段配错都表现为业务中断。
基本信息
| 定位 | 安全设备集群的流量分发入口 |
|---|---|
| 典型链路 | 流量 → GWLB → 安全设备集群 → 回注业务路径 |
| 价值 | 安全设备可横向扩容与高可用，避免单台成为瓶颈 |
| 流量特征 | 通常按流（flow）分发，同一会话需落到同一设备 |
| 落地前提 | 路由与网络路径配合，属于进阶架构 |
| 验证顺序 | 路由可达 → GWLB 端点状态 → 设备健康 → 回注路径 |
典型使用场景
- 把第三方防火墙纳入云内流量管控，实现南北向统一过滤
- 东西向流量检测：把 VPC 内部互访流量引到检测集群
- 安全设备需要横向扩容，单台性能无法承接全量流量
- 合规要求流量必须经过指定检测设备并留存日志
- 灰度验证新检测策略：只把部分业务流量引入集群
部署与排查检查点
| 环节 | 检查内容 | 异常表现 |
|---|---|---|
| 路由 | 流量是否被引导到 GWLB 端点 | 流量绕过检测设备，业务正常但防护失效 |
| 端点状态 | GWLB 端点与后端设备注册状态 | 端点异常时流量直接不通 |
| 设备健康 | 安全设备自身健康检查结果 | 设备异常被摘除，流量可能中断或绕过 |
| 会话一致性 | 同一会话是否固定落到同一设备 | 有状态设备会话错乱，出现随机失败 |
| 回注路径 | 处理后流量是否正确回到原路径 | 单向通，或响应包被丢弃 |
部署前梳理排查顺序
部署前梳理排查顺序
# 排查顺序（任一步不通都会表现为业务流量中断）
# 1) 路由可达性：业务子网能否到达 GWLB 端点
# 2) GWLB 端点与目标组状态：注册是否正常、健康检查是否通过
# 3) 安全设备健康：设备自身探测与日志
# 4) 回注路径：处理后的流量是否回到正确下一跳
# 5) 会话一致性：同一连接的往返是否经同一设备GWLB 会改变流量路径，先以单个业务验证回注链路再考虑全量铺开：一旦全量切换，回滚需要同时改路由与设备配置，代价远高于灰度发布。
有状态设备（防火墙）对会话一致性敏感：分发策略要保证同一会话的往返流量落到同一台设备，否则连接建立后会被判为非法流量而丢弃。