Mitä eroa on L4- ja L7-kuormantasauksella, ja forward- vs reverse-proxyllä?

Question

IT Interview Practice · Accepted Answer

**Kuormantasaaja (load balancer)** jakaa saapuvan liikenteen taustapalvelinjoukon kesken, jotta yksikään ei ylikuormitu ja järjestelmä pysyy saatavilla vaikka palvelin kuolisi. Ydinerottelu on *kerros*, jolla se toimii:

```text
        L4 (Transport)                        L7 (Application)
  routes by IP + port only            reads HTTP: path, headers, cookies, host
  ┌──────────────┐                    ┌──────────────┐
  │ balancer     │──▶ server A        │ balancer     │  /api/*   ──▶ API pool
  │ (TCP/UDP)    │──▶ server B        │ (HTTP-aware) │  /img/*   ──▶ static pool
  └──────────────┘──▶ server C        └──────────────┘  cookie=X ──▶ sticky backend
  fast, opaque, protocol-agnostic     smart routing, TLS termination, can inspect
```

**L4-kuormantasaus** toimii Transport-kerroksella: se välittää TCP/UDP-yhteyksiä pelkän IP:n ja portin perusteella katsomatta pakettien sisään. Se on nopea ja halpa ja toimii millä tahansa protokollalla, mutta se ei voi tehdä sisältöön perustuvia päätöksiä. **L7-kuormantasaus** toimii Application-kerroksella: se lopettaa yhteyden, jäsentää HTTP:n ja voi reitittää URL-polun, hostin, otsakkeiden tai evästeiden mukaan — mahdollistaen polkupohjaisen reitityksen (`/api` vs `/static`), sticky-istunnot, TLS-terminaation, pakkauksen ja pyyntökohtaiset uudelleenyritykset. Hintana on enemmän käsittelyä pyyntöä kohti.

**Proxy** on välittäjä, ja suunta määrittää tyypin:

```text
FORWARD proxy: sits in front of CLIENTS, acts on their behalf (outbound)
   clients ──▶ [forward proxy] ──▶ internet    (corp filtering, caching, anonymity)

REVERSE proxy: sits in front of SERVERS, acts on their behalf (inbound)
   internet ──▶ [reverse proxy] ──▶ backend servers  (LB, TLS, cache, WAF)
```

**Forward-proxy** edustaa *asiakasta* — se sijaitsee käyttäjien ja internetin välissä suodatusta, välimuistitusta tai asiakkaan identiteetin piilottamista varten (yritysproxyt, VPN-tyyppinen egress). **Reverse-proxy** edustaa *palvelinta* — asiakkaat luulevat puhuvansa sen kanssa, kun se peittää taustapalvelinjoukon (nginx, Envoy, CDN-edge). L7-kuormantasaaja *on* erikoistunut reverse-proxy; se hoitaa myös luontevasti TLS-terminaation, välimuistituksen, rate limitingin ja WAF:n roolin.

## Miksi se on tärkeää

Kuormantasaajat ja reverse-proxyt ovat käytännössä jokaisen skaalautuvan järjestelmän sisääntulopiste, joten senior-insinöörien odotetaan päättelevän niistä sujuvasti. L4-vs-L7-kompromissi on todellinen suunnittelupäätös — raaka läpäisy ja protokollariippumattomuus vastaan sisältötietoinen reititys ja ominaisuudet — ja väärin valitseminen tarkoittaa joko tyhmää tasaajaa siellä missä tarvitsit reititystä, tai L7-yleisrasitteen maksamista siellä missä L4 olisi riittänyt. Forward-vs-reverse-erottelu selkeyttää arkkitehtuurikeskusteluja ja esiintyy jatkuvasti system design -haastatteluissa, joissa TLS:n terminointi, välimuistin lisääminen, terveystarkistusten teko ja nollakatkoiset julkaisut riippuvat kaikki tämän kerroksen oikein saamisesta.

Miksi se on tärkeää

Aiheeseen liittyvät kysymykset