腾讯云CLB负载均衡网站流量分发规则配置完全指南

1. 腾讯云CLB负载均衡概述

腾讯云负载均衡（Cloud Load Balancer，CLB）是腾讯云提供的一项高可用、高可靠的流量分发服务。CLB通过将访问流量自动分发到多台后端云服务器（CVM），扩展应用系统的服务能力，同时消除单点故障，提升应用系统的整体可用性。CLB采用分布式集群架构，支持公网和内网两种负载均衡类型，能够与CDN、WAF等产品无缝集成。

在网站流量分发场景中，CLB充当着'流量入口'的角色。当用户访问网站时，请求首先到达CLB实例，CLB根据预先配置的监听器、转发规则和调度算法，将请求分发到合适的后端服务器上处理。这一过程对用户完全透明，用户感知到的只是一个统一的访问入口（VIP或域名），而无需关心后端服务器的具体数量和状态。

腾讯云CLB支持四层负载均衡（TCP/UDP）和七层负载均衡（HTTP/HTTPS）两种模式。四层负载均衡基于IP地址和端口号进行流量转发，适用于对实时性要求高的场景，如数据库连接、视频流传输等。七层负载均衡则基于应用层信息（如域名、URL路径、HTTP头部等）进行精细化流量分发，适用于Web应用、API网关、微服务架构等场景。对于网站流量分发，七层负载均衡是主要选择，因为它能够根据请求的域名和URL路径将流量路由到不同的后端服务。

需要先登录腾讯云控制台，点击：腾讯云控制台，还没有账号，点击：注册后再关联，已有账号点击：登录后再关联

2. CLB核心概念与架构

在深入配置流量分发规则之前，有必要理解CLB的几个核心概念：

负载均衡实例（CLB Instance）是CLB服务的基本资源单位，每个实例拥有独立的VIP（虚拟IP地址）。实例分为公网类型和内网类型，公网CLB面向互联网用户提供服务，内网CLB则在腾讯云VPC内部进行流量分发。

监听器（Listener）是CLB实例中负责监听特定协议和端口的组件。监听器是流量进入CLB的入口，负责接收客户端请求并依据配置的转发策略将请求分发至后端服务器。一个CLB实例可以配置多个监听器，每个监听器绑定一个协议（TCP/UDP/HTTP/HTTPS）和一个端口。监听器端口在同一个CLB实例中必须唯一。

转发规则（Forwarding Rule）是七层监听器下的核心配置单元。每个七层监听器下可以有多个域名，每个域名下可以有多个转发路径。转发规则定义了域名、URL路径与后端服务器组的映射关系，是流量分发的核心依据。

后端服务器（Real Server）是实际处理业务请求的云服务器。CLB通过健康检查机制自动检测后端服务器的可用性，将请求仅分发给健康状态正常的服务器。

CLB的七层业务流程大致如下：客户端请求到达CLB实例的VIP，CLB根据请求的协议和端口匹配对应的监听器，监听器根据请求的域名和URL路径匹配转发规则，最终将请求转发到规则绑定的后端服务器组。当CLB实例中只配置了一条转发规则时，可以直接通过VIP加URL路径访问；当配置了多条转发规则时，必须通过具体的域名加URL路径访问。

3. 控制台配置流量分发规则

3.1 创建负载均衡实例

配置流量分发规则的第一步是创建CLB实例。在腾讯云控制台的负载均衡产品页面，点击'新建'按钮，根据业务需求选择实例类型（公网或内网）、地域、可用区、网络类型（VPC）和实例规格。公网CLB需要选择带宽计费模式（按带宽计费或按流量计费），内网CLB则无需计费带宽。创建完成后，CLB实例会获得一个唯一的实例ID和一个VIP地址（公网CLB获得公网IP，内网CLB获得内网IP）。

3.2 配置监听器

监听器是配置流量分发规则的第一步。在CLB实例的'监听器管理'页面，点击'新建'按钮创建监听器。创建监听器时需要配置以下核心参数：

监听协议与端口：对于网站流量分发，通常选择HTTP（端口80）或HTTPS（端口443）。监听协议决定了CLB处理请求的方式。选择HTTP时，CLB直接处理HTTP请求；选择HTTPS时，CLB需要配置SSL证书并完成SSL卸载，将解密后的HTTP请求转发给后端服务器。

均衡方式（调度算法）：CLB支持加权轮询（WRR）、加权最小连接数（WLC）和IP哈希（IP_HASH）三种调度算法。加权轮询根据后端服务器的权重依次分发请求，权重高的服务器被分配更多的请求。加权最小连接数根据服务器当前的活跃连接数动态调度，将请求分发给连接数最少的服务器。IP哈希根据客户端IP地址的哈希值将请求固定分配到同一台服务器，适用于需要会话保持的场景。

会话保持：开启会话保持后，来自同一客户端IP的请求会被分发到同一台后端服务器。会话保持对于需要维护用户会话状态的应用（如购物车、登录状态）非常重要。注意，选择加权最小连接数算法时，监听器不支持会话保持。

3.3 创建转发规则

对于七层监听器（HTTP/HTTPS），创建完监听器后需要在其下创建转发规则。转发规则定义了如何根据请求的域名和URL路径将流量分发到不同的后端服务器。

在监听器管理页面，点击监听器左侧的'+'号展开，然后点击'添加规则'。在创建转发规则对话框中配置以下参数：

域名：支持精准匹配、通配符匹配和正则匹配三种方式。精准匹配如www.example.com，精确匹配该域名。通配符匹配如*.example.com匹配所有以example.com结尾的域名，或www.example.*匹配所有以www.example开头的域名。正则匹配以~开头，如~^www\d+\.example\.com$。域名长度限制为1-80个字符，不能以下划线开头，暂不支持后缀为中文的域名。

URL路径：转发路径必须以'/'开头，长度限制为1-120个字符。URL路径支持精确匹配和前缀匹配。例如，配置路径为'/api'，则所有以/api开头的请求都会匹配该规则。如果希望精确匹配，可以在路径末尾加上通配符$。

均衡方式：转发规则级别的调度算法配置，可以覆盖监听器级别的均衡方式。

后端协议：CLB与后端服务器之间的转发协议，支持HTTP、HTTPS和GRPC。通常情况下，CLB到后端服务器走内网，建议使用HTTP以提高性能。

后端服务器绑定：选择该转发规则要分发到的后端服务器组。可以绑定云服务器（CVM）、容器实例（TKE Pod）或目标组（Target Group）。

3.4 域名匹配优先级

当同一个监听器下配置了多个域名和转发规则时，CLB按照特定的优先级顺序进行匹配。匹配优先级为：精确路径优先于前缀路径（非正则），前缀路径优先于正则路径。正则表达式之间没有优先级差异，如果同一个域名命中多个正则规则，具体的生效顺序和底层配置顺序有关。对于需要精确转发需求的场景，建议通过精确路径匹配和前缀匹配方式进行区分。

此外，CLB还支持默认域名（Default Server）策略。当客户端请求没有匹配到监听器的任何域名时，CLB会将请求转发给默认域名。每个监听器只能配置一个默认域名。

4. 调度算法详解与选型

4.1 加权轮询（WRR）

加权轮询是最常用的调度算法。CLB根据后端服务器的权重，依次将请求分发给不同的服务器。权重值高的服务器被轮询到的次数（概率）越高，相同权重的服务器处理相同数量的连接。加权轮询适用于后端服务器性能相对均衡、请求处理时间差异不大的场景。如果某台服务器的配置更高（如更强的CPU或更大的内存），可以为其设置更高的权重，使其承担更多的流量。

4.2 加权最小连接数（WLC）

加权最小连接数是一种动态调度算法，通过服务器当前活跃的连接数来评估服务器的负载情况。调度器需要记录各个服务器已建立的连接数，当请求被调度到某台服务器时，其连接数加1；当连接中止或超时时，连接数减1。加权最小连接数根据服务器负载和权重综合调度，当权重相同时，当前连接数越小的后端服务器被调度的概率越高。该算法适用于请求处理时间差异较大、后端服务器性能不均衡的场景。注意，选择加权最小连接数算法时，监听器不支持会话保持。

4.3 IP哈希（IP_HASH）

IP哈希算法根据客户端IP地址的哈希值将请求固定分配到同一台后端服务器。该算法天然支持会话保持，适用于需要将同一用户的请求始终路由到同一台服务器的场景，如带有本地缓存的应用。但IP哈希可能导致流量分配不够均匀，尤其当某些IP地址的访问量远大于其他IP时。

4.4 权重配置策略

后端服务器的权重配置直接影响流量分发的效果。权重值越高，服务器分配到的流量比例越大。在生产环境中，建议根据服务器的实际处理能力配置权重。例如，两台服务器配置分别为4核8GB和8核16GB，可以将权重分别设置为50和100，使高性能服务器承担双倍流量。当新加入一台服务器时，建议先使用最小连接数算法，让其快速承接流量、分担压力。

5. 健康检查配置

健康检查是CLB保证服务高可用的关键机制。CLB定期向后端服务器发送探测请求，根据响应结果判断服务器的健康状态，自动将不健康的服务器从分发列表中摘除。

5.1 健康检查参数

CLB健康检查的核心参数包括：

响应超时（Response Timeout）：健康检查响应的最大超时时间，取值范围2-60秒，默认2秒。如果后端服务器在该时间内没有正确响应，则视为健康检查异常。

检查间隔（Check Interval）：两次健康检查之间的时间间隔，取值范围2-300秒，默认5秒。

不健康阈值（Unhealthy Threshold）：连续n次健康检查失败后判定为不健康，取值范围2-10次，默认3次。

健康阈值（Health Threshold）：连续n次健康检查成功后判定为健康，取值范围2-10次，默认3次。

5.2 健康检查协议

CLB支持TCP、HTTP和HTTPS三种健康检查协议。TCP健康检查通过建立TCP连接来探测后端服务的可用性，适用于四层监听器。HTTP健康检查通过发送HTTP请求并检查响应状态码来探测，适用于七层监听器，可以指定检查路径和域名。对于Web应用，推荐使用HTTP健康检查，因为它能更准确地反映应用服务的实际状态。健康检查路径默认为'/'，建议配置为应用的健康检查接口（如/health）。

5.3 健康检查源IP

CLB健康检查的源IP地址默认为100.64.0.0/10网段。该网段是腾讯云的保留地址，其他用户无法分配到该网段内，不存在安全风险。使用该网段可以解决TKE场景中的容器回环问题。在配置后端服务器的安全组时，需要放行该网段的健康检查流量，否则健康检查将失败。

6. 高级流量分发功能

6.1 HTTP重定向配置

CLB七层监听器支持HTTP到HTTPS的自动重定向，这对于强制使用HTTPS访问的网站至关重要。CLB支持两种重定向方式：自动重定向和手动重定向。

自动重定向：系统自动为已存在的HTTPS:443监听器创建一个HTTP:80监听器进行转发。创建成功后，所有发送到HTTP:80的请求都会自动跳转到HTTPS:443。这种方式配置简单，只需一次操作即可完成。注意，被重定向的80监听器不需要绑定任何后端服务器，因为实际不提供服务，请求到达CLB网关后会被重定向到443监听器。

手动重定向：支持一对一的精细化重定向配置。例如，可以将监听器1/域名1/URL1重定向到监听器2/域名2/URL2。手动重定向适用于需要将特定URL临时重定向到其他页面的场景，如产品售罄、页面维护等。

重定向状态码支持301、302和307三种。301是永久重定向，搜索引擎会更新索引，有助于SEO。302是临时重定向，搜索引擎不会立即更新索引。307明确要求使用相同的请求方法重定向，适合处理POST等复杂请求。注意，301和302跳转后请求方法会变为GET，无法保留跳转前的请求方法。

配置重定向时需避免回环：原访问路径和重定向路径不能相同，原路径不能已经配置了重定向策略，重定向路径不能是其他重定向策略的原路径。

6.2 HTTPS与证书配置

配置HTTPS监听器需要上传SSL证书。负载均衡支持PEM格式的证书。支持的证书类型包括国际标准证书（RSA/ECC）和国密标准证书（SM2）。HTTPS监听器的服务器证书支持配置双证书，即两种不同加密算法类型的证书。

CLB支持两种证书配置方式：

不启用SNI：在监听器维度配置证书，该监听器下所有域名都使用同一个证书。适用于单域名场景。

启用SNI：在域名维度配置证书，同一个HTTPS监听器下可以为不同的域名配置不同的证书。SNI（Server Name Indication）是为了解决一台服务器使用多个域名和证书的TLS扩展。启用SNI后，CLB根据客户端请求中的域名信息选择对应的证书进行SSL握手。这在多域名共用一个CLB实例的场景中非常实用。

6.3 固定响应与自定义错误页面

CLB支持配置固定响应，即直接返回指定的HTTP状态码和响应内容，而无需将请求转发到后端服务器。这一功能在以下场景中非常实用：当后端服务全部不可用时，返回友好的维护页面；对特定路径（如/robots.txt）直接返回固定内容；对爬虫请求返回特定的状态码。固定响应可以在转发规则级别配置，优先级高于后端服务器转发。

7. 代码化配置方案

7.1 使用CreateRule API创建转发规则

除了通过控制台配置，腾讯云CLB还提供了丰富的API接口，支持通过代码自动化配置转发规则。CreateRule接口用于在已存在的七层监听器下创建转发规则。该接口为异步接口，调用成功后需使用返回的RequestID调用DescribeTaskStatus接口查询任务是否成功。

以下是通过腾讯云Python SDK调用CreateRule API创建转发规则的示例代码：

# -*- coding: utf-8 -*-
import json
from tencentcloud.common import credential
from tencentcloud.common.profile.client_profile import ClientProfile
from tencentcloud.common.profile.http_profile import HttpProfile
from tencentcloud.clb.v20180317 import clb_client, models

def create_forwarding_rule(secret_id, secret_key, region, load_balancer_id, 
                           listener_id, domain, url, scheduler, backend_port):
    '''
    创建七层转发规则
    :param secret_id: 腾讯云SecretId
    :param secret_key: 腾讯云SecretKey
    :param region: 地域，如ap-guangzhou
    :param load_balancer_id: CLB实例ID，如lb-xxxxx
    :param listener_id: 监听器ID，如lbl-xxxxx
    :param domain: 域名，如www.example.com
    :param url: URL路径，如/api
    :param scheduler: 调度算法，WRR/LEAST_CONN/IP_HASH
    :param backend_port: 后端服务器端口
    '''
    cred = credential.Credential(secret_id, secret_key)
    http_profile = HttpProfile()
    http_profile.endpoint = 'clb.tencentcloudapi.com'
    client_profile = ClientProfile()
    client_profile.httpProfile = http_profile
    client = clb_client.ClbClient(cred, region, client_profile)
    
    req = models.CreateRuleRequest()
    params = {
        'LoadBalancerId': load_balancer_id,
        'ListenerId': listener_id,
        'Rules': [{
            'Domain': domain,
            'Url': url,
            'Scheduler': scheduler,
            'SessionExpireTime': 0,
            'HealthCheck': {
                'HealthSwitch': 1,
                'TimeOut': 2,
                'IntervalTime': 5,
                'HealthNum': 3,
                'UnHealthNum': 3,
                'HttpCode': 31,
                'HttpCheckPath': '/'
            },
            'ForwardType': 'HTTP'
        }]
    }
    req.from_json_string(json.dumps(params))
    
    resp = client.CreateRule(req)
    print(resp.to_json_string())
    return resp

# 调用示例
if __name__ == '__main__':
    create_forwarding_rule(
        secret_id='YOUR_SECRET_ID',
        secret_key='YOUR_SECRET_KEY',
        region='ap-guangzhou',
        load_balancer_id='lb-xxxxxxxx',
        listener_id='lbl-xxxxxxxx',
        domain='www.example.com',
        url='/api',
        scheduler='WRR',
        backend_port=80
    )

ModifyRule接口用于修改已有转发规则的各项属性，包括转发路径、健康检查属性、转发策略等。该接口同样是异步接口。

7.2 使用TkeServiceConfig配置CLB

对于在腾讯云容器服务TKE中部署的应用，可以通过TkeServiceConfig CRD来配置CLB。TkeServiceConfig是腾讯云容器服务提供的自定义资源，能够帮助更灵活地配置LoadBalancer类型的Service和Ingress中的负载均衡参数。

以下是通过TkeServiceConfig配置七层监听器转发规则的YAML示例：

apiVersion: cloud.tencent.com/v1alpha1
kind: TkeServiceConfig
metadata:
  name: my-clb-config
  namespace: default
spec:
  loadBalancer:
    l7Listeners:
      - protocol: HTTP
        port: 80
        domains:
          - domain: www.example.com
            rules:
              - url: /api
                forwardType: HTTP
                scheduler: WRR
                healthCheck:
                  healthSwitch: 1
                  timeOut: 2
                  intervalTime: 5
                  healthNum: 3
                  unHealthNum: 3
                  httpCheckPath: /health
                  httpCode: 31
              - url: /web
                forwardType: HTTP
                scheduler: LEAST_CONN
          - domain: api.example.com
            rules:
              - url: /v1
                forwardType: HTTP
                scheduler: IP_HASH

通过Ingress注解引用TkeServiceConfig：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-ingress
  annotations:
    ingress.cloud.tencent.com/tke-service-config: 'my-clb-config'
spec:
  rules:
    - host: www.example.com
      http:
        paths:
          - path: /api
            pathType: Prefix
            backend:
              service:
                name: api-service
                port:
                  number: 80

也可以使用自动创建模式，设置注解ingress.cloud.tencent.com/tke-service-config-auto: 'true'，系统将自动创建TkeServiceConfig。TkeServiceConfig资源需要与Service/Ingress处于同一命名空间。

8. 生产环境最佳实践

8.1 高可用部署

建议将CLB实例的后端服务器部署在至少两个可用区（Availability Zone）中。当一个可用区发生故障时，CLB自动将流量切换到另一个可用区的健康服务器，保证服务的持续可用。同时，CLB实例本身也支持跨可用区容灾，腾讯云CLB采用分布式集群架构，单点故障不影响整体服务。

8.2 会话保持策略

对于需要维护用户会话状态的Web应用，建议开启会话保持功能。CLB基于客户端IP地址实现会话保持，来自同一IP的请求被分发到同一台后端服务器。会话保持时间可以配置，取值范围为0或30-86400秒。如果应用自身实现了分布式会话管理（如使用Redis存储Session），则可以不开启会话保持，以实现更好的负载均衡效果。

8.3 安全加固

HTTPS监听器应配置合理的SSL/TLS协议版本和加密套件，禁用不安全的旧版本协议（如SSLv3、TLSv1.0）。启用SNI后可以为不同域名配置不同证书，提高证书管理的灵活性。定期更新SSL证书，避免证书过期导致服务不可用。在后端服务器的安全组中，只放行CLB健康检查源IP（100.64.0.0/10）和CLB实例的VIP，限制不必要的入站流量。

8.4 监控与告警

建议配置CLB的监控告警，实时关注以下指标：后端服务器健康状态、请求量、连接数、响应时间、流量带宽等。当健康检查失败次数超过阈值时，及时触发告警通知运维人员。可以结合云监控CM和弹性伸缩AS实现自动化运维：当检测到后端服务器异常时，自动告警并触发弹性伸缩策略进行扩容。

8.5 成本优化

CLB的计费主要包括实例费、带宽费（公网CLB）和流量费。为优化成本，建议：按需选择实例规格，避免过度配置；使用内网CLB进行VPC内部的流量分发，避免额外带宽费用；合理配置健康检查间隔，过于频繁的检查会增加CLB和后端服务器的负担；对于访问量较低的测试环境，可以使用共享型实例降低费用。

9. 常见问题与故障排查

9.1 健康检查失败

健康检查失败是CLB配置中最常见的问题。排查思路：检查后端服务器是否正常运行并监听正确的端口；检查安全组是否放行了健康检查源IP（100.64.0.0/10）；检查健康检查路径是否正确，后端服务是否在该路径下返回2xx或3xx状态码；检查健康检查超时时间是否设置过短。

9.2 转发规则不生效

当配置了多条转发规则时，必须通过具体的域名加URL路径访问，直接使用VIP加URL路径不能确保访问到正确的规则。检查域名解析是否正确指向CLB的VIP或CNAME记录。检查域名的匹配方式是否正确，通配符域名和正则域名需要符合格式要求。

9.3 HTTPS访问异常

HTTPS访问异常的常见原因：SSL证书未上传或证书与域名不匹配；证书已过期；HTTPS监听器未正确配置SSL解析方式；后端服务器未正确部署HTTP服务（CLB到后端默认使用HTTP协议，后端需部署HTTP服务）。

10. 总结

腾讯云CLB负载均衡提供了灵活、强大的网站流量分发能力。通过合理配置监听器、转发规则、调度算法和健康检查，可以实现基于域名和URL路径的精细化流量分发。高级功能如HTTP重定向、SNI多证书绑定进一步扩展了CLB的应用场景。通过API和TkeServiceConfig等代码化配置方案，可以实现基础设施即代码（IaC）的自动化运维。在生产环境中，应结合高可用部署、安全加固、监控告警和成本优化等最佳实践，构建稳定、高效、安全的流量分发体系。

常见问题问答

问1：腾讯云CLB的四层负载均衡和七层负载均衡有什么区别？
答：四层负载均衡（TCP/UDP）基于IP地址和端口号进行流量转发，适用于对实时性要求高的场景如数据库连接、视频流传输。七层负载均衡（HTTP/HTTPS）基于应用层信息如域名、URL路径进行精细化流量分发，适用于Web应用、API网关等场景。

问2：如何在同一个CLB实例中为不同域名配置不同的SSL证书？
答：在创建HTTPS监听器时启用SNI（Server Name Indication）功能，然后在创建转发规则时为每个域名分别选择对应的SSL证书。SNI允许同一个HTTPS监听器下为不同域名配置不同的证书。

问3：CLB支持哪些调度算法？如何选择？
答：CLB支持加权轮询（WRR）、加权最小连接数（WLC）和IP哈希（IP_HASH）三种算法。WRR适用于后端服务器性能均衡的场景，WLC适用于请求处理时间差异较大的场景，IP_HASH适用于需要会话保持的场景。

问4：如何配置HTTP强制跳转HTTPS？
答：在CLB控制台中，为HTTPS:443监听器配置自动重定向策略，系统会自动创建HTTP:80监听器并配置重定向关系。所有发送到HTTP:80的请求会自动跳转到HTTPS:443。重定向状态码可选择301、302或307。

问5：CLB健康检查的源IP是什么？配置安全组时需要注意什么？
答：CLB健康检查的源IP默认为100.64.0.0/10网段。在配置后端服务器的安全组时，需要放行该网段的健康检查流量，否则健康检查将失败。

问6：如何通过代码自动化创建CLB转发规则？
答：可以通过腾讯云API的CreateRule接口创建转发规则。使用Python SDK等编程语言调用该接口，传入LoadBalancerId、ListenerId、Domain、Url、Scheduler等参数即可。在TKE环境中，也可以通过TkeServiceConfig CRD进行声明式配置。