Trois briques rendent un service joignable chez Scaleway, et elles ne répondent pas à la même question. L'adresse IP flexible attache une adresse publique à une machine précise. La passerelle publique donne une sortie Internet à tout un réseau privé, et sait aussi y faire entrer du trafic. Le load balancer répartit les connexions entre plusieurs machines et termine le TLS. Choisir au hasard coûte de l'argent qui court à l'heure et produit des architectures qu'on ne peut plus corriger sans coupure. Cette page pose les critères, les prix relevés au catalogue public, et les zones où chaque brique existe réellement.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Décider entre les trois briques sur un critère explicite, pas par habitude.
- Nommer les trois objets qui composent un load balancer, et le test qui le fait vivre.
- Relever vous-même prix, gabarits et zones, sans faire confiance à un tutoriel.
- Repérer les décisions du volet qu'on ne peut plus reprendre après coup.
- Identifier les coûts qui continuent de courir après un test terminé.
IP flexible, passerelle ou load balancer : laquelle choisir ?
Section intitulée « IP flexible, passerelle ou load balancer : laquelle choisir ? »Le critère qui tranche n'est pas le trafic, c'est le nombre de machines concernées et le sens de la connexion. Une machine seule qui doit être jointe prend une adresse. Un parc de machines qui doit sortir prend une passerelle. Plusieurs machines qui rendent le même service prennent un load balancer.
Lisez le tableau de gauche à droite : partez de votre besoin, la dernière colonne dit ce que le choix vous coûte de renoncer.
| Besoin | Choix | Pourquoi | Ce que vous renoncez |
|---|---|---|---|
| Une machine doit être jointe depuis Internet | IP flexible | l'adresse suit la machine, se détache et se rattache | aucune répartition, aucun TLS terminé, la machine est exposée directement |
| Un parc de machines privées doit sortir (correctifs, API tierces) | Passerelle publique | une seule adresse publique pour tout le réseau privé | un point de défaillance unique pour la sortie et pour l'administration |
| Un service interne doit être joint ponctuellement | Passerelle + règle PAT | publie un port sans donner d'adresse à la machine | aucun contrôle d'état, aucune répartition |
| Plusieurs machines rendent le même service | Load balancer | répartition, contrôle d'état, terminaison TLS | un coût par nœud, et un produit de plus à exploiter |
| Des backends hors de Scaleway doivent entrer dans la répartition | Load balancer LB-GP-L ou XL | seuls ces deux gabarits acceptent des backends externes | le ticket d'entrée passe de 0,023 à 0,094 € par heure |
| Le service parle UDP | Passerelle + règle PAT | le load balancer ne gère que TCP | ni répartition, ni contrôle d'état, ni terminaison TLS |
La combinaison est la règle, pas l'exception. Une architecture ordinaire place un load balancer devant les machines qui servent le trafic entrant, et une passerelle derrière pour que ces mêmes machines aillent chercher leurs mises à jour sans jamais porter d'adresse publique.
Règle PAT ou load balancer : quand la solution simple cesse-t-elle de suffire ?
Section intitulée « Règle PAT ou load balancer : quand la solution simple cesse-t-elle de suffire ? »Une règle PAT publie un port, un load balancer publie un service, et la différence se voit le jour où une machine tombe. La règle PAT envoie le trafic vers une adresse privée fixe : si la machine derrière ne répond plus, le trafic continue d'y aller et le service est en panne, sans que rien ne le signale. Le load balancer, lui, interroge ses backends par un health check et retire de la rotation celui qui ne répond pas. Le second écart tient au chiffrement : une règle PAT transporte, elle ne déchiffre pas, donc le certificat TLS doit vivre sur la machine de destination et y être renouvelé, alors qu'un load balancer termine le TLS à l'entrée et centralise les certificats. Trois questions suffisent à décider. Y a-t-il plus d'une machine derrière ce port ? Le service doit-il rester joignable quand une machine tombe ? Si oui à l'une des deux, load balancer. S'agit-il d'un accès d'administration ponctuel, sur une machine unique, qu'on retirera ensuite ? Alors la règle PAT suffit, et elle ne coûte rien de plus puisque la passerelle est déjà là.
Que recouvre exactement le mot « load balancer » ?
Section intitulée « Que recouvre exactement le mot « load balancer » ? »Trois objets distincts, et le mot n'en désigne qu'un seul. C'est la première surprise de la mise en pratique : créer le load balancer ne suffit pas, il ne répond à rien tant que les deux autres n'existent pas.
| Objet | Ce qu'il porte |
|---|---|
| Load Balancer | la machine managée et son adresse |
| Backend | le groupe de serveurs, l'algorithme de répartition et le health check |
| Frontend | le port d'écoute, et le backend vers lequel il envoie par défaut |
Le health check est le cœur du produit, et c'est lui qui justifie son prix face à une simple règle PAT. Il s'agit d'un test répété, à intervalle fixe, qui décide si une machine mérite encore de recevoir du trafic. Une machine qui échoue un nombre configuré de fois est retirée de la rotation, et y revient seule quand elle répond de nouveau. Sans lui, répartir ne sert à rien : le trafic continuerait d'aller vers une machine morte.
Quel gabarit de load balancer accepte des backends externes ?
Section intitulée « Quel gabarit de load balancer accepte des backends externes ? »Seuls lb-gp-l et lb-gp-xl, et ce n'est pas une option de configuration mais
une propriété du gabarit. Une architecture qui doit répartir vers une machine
hébergée ailleurs, chez un autre fournisseur ou dans vos propres murs, est donc
contrainte dès le choix du type, et le changer ensuite multiplie le prix horaire
par quatre.
La réponse ne se devine pas, elle se lit dans un champ machine :
scw lb lb-types list zone=fr-par-1 -o jsonLa sortie doit afficher quatre entrées, chacune portant un booléen
multicloud. Relevé le 10 septembre 2026 avec scw 2.62.0 : false pour lb-s
et lb-gp-m, true pour lb-gp-l et lb-gp-xl.
Comment relever un prix sans faire confiance à un tutoriel ?
Section intitulée « Comment relever un prix sans faire confiance à un tutoriel ? »Par le catalogue public, qui répond sans authentification et que vous pouvez rejouer aujourd'hui. C'est la seule méthode qui reste juste quand les grilles changent.
curl -s 'https://api.scaleway.com/product-catalog/v2alpha1/public-catalog/products?page_size=1000' \ | python3 -m json.tool | head -40La sortie doit afficher des entrées portant un sku, un objet price et un
status. Le prix vit sous price.retail_price, en units et nanos, et
non directement sous price : c'est l'erreur de lecture qui fait afficher zéro
partout. La grille complète des briques réseau est sur la carte du
volet ; trois
lectures méritent d'être retenues ici, parce qu'elles vont contre l'intuition.
Le prix d'un load balancer s'entend par nœud. Une configuration redondante
en aligne deux, donc un lb-gp-l redondant coûte 0,188 € par heure et non
0,094 €. Le catalogue affiche l'unitaire, jamais le total.
Le trafic traversant la passerelle est à zéro : les quatre références
rx-int, rx-ext, tx-int et tx-ext sont relevées à 0,000 € par gigaoctet le
10 septembre 2026. Le coût d'une passerelle est celui de son gabarit et de son
adresse, pas de ce qui la traverse.
L'adresse IPv6 est gratuite, et l'IPv4 régionale coûte 60 % de plus que la zonale, 0,008 € contre 0,005 € par heure. Sur un parc de cent machines, ce seul détail représente quelques centaines d'euros par an.
Quelles décisions ne pourrez-vous plus reprendre ?
Section intitulée « Quelles décisions ne pourrez-vous plus reprendre ? »Certaines valeurs se figent à la création, et les changer imposera une coupure de service. Les connaître avant de taper la première commande évite de reconstruire un mois plus tard.
| Décision | Reprise possible ? | Ce qu'il en coûte |
|---|---|---|
| Zone d'une passerelle ou d'un load balancer | non | recréer ailleurs, donc une nouvelle adresse publique et un changement DNS |
| Accessibilité publique ou privée d'un load balancer | non | elle se fige à la création ; un load balancer privé n'a pas d'adresse publique, perd Let's Encrypt et les backends externes |
| Gabarit de passerelle ou de load balancer | oui | changement de type, sans recréer la ressource |
Choix d'un gabarit sans backends externes (LB-S, LB-GP-M) | oui, par changement de gabarit | passer en LB-GP-L coûte quatre fois plus cher par heure |
| Adresse publique attribuée automatiquement | oui, en la réservant d'avance | sans réservation préalable, l'adresse change à la recréation |
| Plan d'adressage du réseau privé | non, en pratique | tout ce qui référence les adresses privées est à reprendre |
La ligne la plus coûteuse est la première. Une adresse publique est attachée à sa zone : déménager un service, c'est changer d'adresse, donc attendre la propagation DNS et prévoir la bascule.
Limites, quotas et plafonds
Section intitulée « Limites, quotas et plafonds »Ces valeurs bornent ce que vous pouvez construire dans ce volet. Chacune porte sa source : relevé CLI daté, page de documentation avec sa date de validation, ou FAQ produit.
| Limite | Valeur | Source |
|---|---|---|
| Réseaux privés par passerelle | 8 | FAQ officielle Public Gateway |
| Passerelles par Organisation | 50 | FAQ officielle Public Gateway |
| Débit d'une passerelle | de 100 Mbit/s à 10 Gbit/s | scw vpc-gw gateway-type list, 2.62.0 |
| Débit d'un load balancer | de 200 Mbit/s (LB-S) à 4 Gbit/s (LB-XL) | page des limitations, validée le 2026-05-06 |
| Connexions simultanées d'un load balancer | de 20 000 (LB-S) à 3 000 000 (LB-XL) | page des limitations, validée le 2026-05-06 |
| Frontends, backends et ACL par load balancer | 300 de chaque, plus 200 certificats | page des limitations, validée le 2026-05-06 |
| Backends externes | réservés aux gabarits LB-GP-L et LB-GP-XL | champ multicloud de lb-types list |
| Protocoles acceptés par une règle PAT | tcp, udp ou both | scw vpc-gw pat-rule create -h, 2.62.0 |
| Port du bastion SSH | entre 1024 et 59999, défaut 61000 | documentation du bastion |
Vérifiez les deux premières lignes de débit vous-même, c'est une manipulation de lecture qui ne crée rien :
scw vpc-gw gateway-type list zone=fr-par-1 -o jsonscw lb lb-types list zone=fr-par-1 -o jsonLa sortie doit afficher quatre entrées dans chaque cas, avec un champ
bandwidth en bits par seconde pour la passerelle, et une description qui
mentionne MultiCloud pour les deux plus gros gabarits de load balancer.
L'exposition sous l'angle Well-Architected
Section intitulée « L'exposition sous l'angle Well-Architected »Cost Optimization : qui paie l'adresse que personne n'utilise ?
Section intitulée « Cost Optimization : qui paie l'adresse que personne n'utilise ? »La question clé : combien d'adresses réservées votre compte détient-il sans qu'aucune machine ne s'en serve ?
Une adresse IP se facture même détachée, à 0,005 € par heure, soit environ
44 € par an chacune. Un load balancer supprimé sans release-ip=true laisse la
sienne derrière lui, et personne ne la retrouve.
La discipline : supprimer en libérant l'adresse, puis relister les adresses de chaque famille avant de clore une session. Une adresse orpheline ne déclenche aucune alerte, elle se contente de courir.
Security : combien de portes votre architecture ouvre-t-elle ?
Section intitulée « Security : combien de portes votre architecture ouvre-t-elle ? »La question clé : chaque adresse publique de votre compte correspond-elle à un service qui doit vraiment être joignable depuis Internet ?
Distribuer une adresse à chaque machine est la solution la plus rapide, et c'est aussi celle qui multiplie les surfaces d'attaque. La passerelle et le load balancer existent pour ramener ce nombre à un par ensemble de machines.
La discipline : aucune adresse publique par défaut sur une machine, et une justification écrite pour chaque exception.
Reliability : que se passe-t-il si cette zone tombe ?
Section intitulée « Reliability : que se passe-t-il si cette zone tombe ? »La question clé : votre porte d'entrée est-elle dans la même zone que tout ce qu'elle dessert ?
Passerelle, load balancer et adresse zonale sont zonaux : ils tombent avec leur zone. Une architecture qui répartit ses machines sur deux zones mais garde une seule porte d'entrée n'a pas gagné en disponibilité, elle a seulement déplacé le point de rupture.
La discipline : identifier la ressource zonale qui commande tout le reste, et décider en connaissance de cause si elle mérite un doublon dans une seconde zone.
Pièges courants
Section intitulée « Pièges courants »Tous ces messages ont été obtenus le 10 septembre 2026 avec scw 2.62.0.
| Symptôme | Cause | Solution |
|---|---|---|
Resource already exists à la création d'une règle PAT | le port public est déjà pris par une autre règle | choisir un autre port public, ou supprimer la règle existante |
Gateway has no private network with address 10.99.99.99 | la règle PAT vise une adresse hors des réseaux rattachés | rattacher le réseau, ou corriger l'adresse privée visée |
unknown argument 'gateway-id' | l'argument attendu est au pluriel et indexé | utiliser gateway-ids.0=<id> |
| Un load balancer apparaît sous un nom inattendu | sans name=, le CLI en génère un, du type cli-lb-amazing-chebyshev | nommer explicitement chaque ressource créée |
| Une commande de test crée une ressource facturée | create n'a pas de mode à blanc | lire l'aide avec -h, qui n'appelle rien |
| Une zone refusée par l'aide fonctionne quand même | les listes de l'aide sont figées dans le binaire | se fier à l'API et au catalogue, pas à l'aide |
Antipatterns à éviter
Section intitulée « Antipatterns à éviter »Ces cinq erreurs ont un point commun : elles font confiance à une source qui ne sait pas, l'habitude, un tutoriel ou l'aide d'un binaire ancien, au lieu d'interroger le produit lui-même.
| Antipattern | Conséquence | Discipline |
|---|---|---|
| Donner une adresse publique à chaque machine | autant de surfaces d'attaque que de machines, et autant de lignes de facture | une porte par ensemble de machines, jamais une par machine |
| Recopier un prix lu dans un tutoriel | les grilles changent, la page vieillit sans prévenir | relever au catalogue public, qui est interrogeable sans compte |
| Conclure d'une zone absente de l'aide qu'elle n'existe pas | architecture éclatée sur plusieurs régions sans raison | vérifier auprès de l'API avant de renoncer à une zone |
| Supprimer un load balancer sans libérer son adresse | l'adresse reste réservée et facturée, sans alerte | ajouter release-ip=true, puis relister les adresses |
| Compter un load balancer redondant au prix d'un seul nœud | budget dépassé de 100 % sur cette ligne | multiplier par le nombre de nœuds, le prix du catalogue est unitaire |
Contrôle de connaissances
Section intitulée « Contrôle de connaissances »Vérifiez que l'essentiel de ce guide est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.
Contrôle de connaissances
Validez vos connaissances avec ce quiz interactif
Informations
- Le chronomètre démarre au clic sur Démarrer
- Questions à choix multiples, vrai/faux et réponses courtes
- Vous pouvez naviguer entre les questions
- Les résultats détaillés sont affichés à la fin
Lance le quiz et démarre le chronomètre
Vérification
(0/0)Profil de compétences
Quoi faire maintenant
Ressources pour progresser
Des indices pour retenter votre chance ?
Nouveau quiz complet avec des questions aléatoires
Retravailler uniquement les questions ratées
Retour à la liste des certifications
À retenir
Section intitulée « À retenir »- Le critère de choix est le nombre de machines et le sens de la connexion : une machine jointe prend une adresse, un parc qui sort prend une passerelle, plusieurs machines qui servent prennent un load balancer.
- Le prix ne sépare pas passerelle et load balancer : 0,026 € contre 0,023 € par heure en entrée de gamme, relevé le 10 septembre 2026 en
fr-par-1. - Le prix du load balancer est unitaire : une configuration à deux nœuds coûte le double du chiffre affiché au catalogue.
- L'IPv6 est gratuite et l'IPv4 zonale coûte 0,005 € par heure, contre 0,008 € pour une adresse régionale.
- Seuls
lb-gp-letlb-gp-xlacceptent des backends hors Scaleway, ce que dit le booléenmulticlouddescw lb lb-types list. Méfiez-vous de sadescription, qui annonce 100 Mbit/s pourlb-squand le champbandwidthet la documentation officielle disent tous deux 200 Mbit/s. - Trois questions tranchent entre PAT et load balancer : plus d'une machine derrière le port, besoin de survivre à la panne d'une machine, ou simple accès d'administration ponctuel.
- Le load balancer ne gère que TCP : pour de l'UDP, la seule porte est une règle PAT sur la passerelle, qui accepte
tcp,udpouboth. - Une règle PAT transporte mais ne déchiffre pas : le certificat TLS reste sur la machine de destination, alors qu'un load balancer le centralise à l'entrée.
createn'a pas de mode à blanc : une commande lancée pour tester un argument crée une ressource facturée, à supprimer avecrelease-ip=true.- La zone d'une passerelle ou d'un load balancer ne se change pas : la reprendre impose une nouvelle adresse publique et une bascule DNS.
Pour aller plus loin
Section intitulée « Pour aller plus loin »- Sécurité et identité Scaleway : la carte avant de construire : ouvrir une porte est un droit qui se donne, et c'est IAM qui décide qui peut créer une passerelle ou un load balancer.
- IAM : donner le droit minimal à une CI, et le prouver : restreindre la création de ressources exposées à une politique limitée, plutôt que de compter sur la vigilance.
Ressources externes
Section intitulée « Ressources externes »- Catalogue public des produits : l'API qui sert de source aux prix et aux zones de cette page, interrogeable sans compte.
- Documentation Public Gateway : les gabarits, les quotas et la configuration du bastion.
- Documentation Load Balancer : les gabarits, les backends externes et la terminaison TLS.
- Documentation IPAM : la différence entre adresse zonale et régionale, et la réservation préalable.