Moduł: usługa Site-to-site z użyciem urządzenia FlexiWAN SD-WAN NCC

1. Wprowadzenie

Omówienie

W tym module poznasz niektóre funkcje Network Connectivity Center.

Network Connectivity Center (NCC) to model platformy sterującej typu „centrum i promienie” do zarządzania połączeniami sieciowymi w Google Cloud. Zasób centrum zapewnia scentralizowany model zarządzania połączeniami, który umożliwia łączenie promieni. NCC obsługuje obecnie te zasoby sieciowe jako promienie:

• Przyłącza VLAN
• Routery (urządzenia)
• Sieć VPN o wysokiej dostępności

Ćwiczenia wymagają korzystania z rozwiązania SaaS flexiWAN SD-WAN, które upraszcza wdrażanie sieci WAN i zarządzanie nią. flexWAN to rozwiązanie SD-WAN i SASE typu open source.

Co utworzysz

W tym ćwiczeniu w Codelabs utworzysz topologię SD-WAN typu „gwiazda” (hub and spoke), aby symulować zdalne oddziały, które będą korzystać z sieci szkieletowej Google do komunikacji między lokalizacjami a chmurą oraz między lokalizacjami.

1. W sieci VPC typu hub wdrożysz parę maszyn wirtualnych GCE skonfigurowanych pod kątem agenta SD-WAN „flexiWAN”, które będą reprezentować punkty końcowe ruchu przychodzącego i wychodzącego do GCP.
2. Wdróż 2 zdalne routery flexiWAN SD-WAN, aby reprezentowały 2 różne sieci VPC w oddziałach.
3. W przypadku testowania ścieżki danych skonfigurujesz 3 maszyny wirtualne GCE, aby symulować klientów lokalnych i serwer hostowany w GCP.

Czego się nauczysz

• Łączenie zdalnych oddziałów za pomocą NCC przy użyciu rozwiązania SD-WAN typu open source
• Praktyczne doświadczenie z rozwiązaniem SD-WAN opartym na oprogramowaniu open source

Czego potrzebujesz

• znajomość sieci VPC GCP,
• Znajomość routera Cloud Router i routingu BGP
• Codelab wymaga 6 sieci VPC. Sprawdź limit:sieci i w razie potrzeby poproś o dodanie kolejnych sieci (zrzut ekranu poniżej):

2. Cele

• Konfigurowanie środowiska GCP
• Wdrażanie instancji flexiWAN Edge w GCP
• Utwórz centrum NCC i wirtualne urządzenie sieciowe flexiWAN Edge jako promień
• Konfigurowanie instancji flexiWAN i zarządzanie nimi za pomocą flexiManage
• Skonfiguruj wymianę tras BGP między siecią vpc-app-svcs a wirtualnym urządzeniem sieciowym flexiWAN.
• Utwórz witrynę zdalną symulującą zdalny oddział klienta lub centrum danych
• Nawiązywanie tunelu IPsec między witryną zdalną a wirtualnym urządzeniem sieciowym
• Sprawdź, czy urządzenia zostały wdrożone
• Weryfikowanie przesyłania danych z witryny do chmury
• Weryfikowanie przesyłania danych witryn między witrynami
• Zwalnianie miejsca używanych zasobów

Ten samouczek wymaga utworzenia bezpłatnego konta flexiManage w celu uwierzytelniania, wdrażania i zarządzania instancjami flexiEdge.

Zanim zaczniesz

Korzystanie z konsoli Google Cloud i Cloud Shell

Aby korzystać z GCP, w tym module będziemy używać zarówno konsoli Google Cloud, jak i Cloud Shell.

Google Cloud Console

Konsola Cloud jest dostępna pod adresem https://console.cloud.google.com.

Skonfiguruj w Google Cloud te elementy, aby ułatwić sobie konfigurowanie Network Connectivity Center:

W konsoli Google Cloud na stronie selektora projektów wybierz lub utwórz projekt w chmurze Google Cloud.

Uwaga: Jeśli nie planujesz zachować zasobów utworzonych w ramach tej procedury, utwórz projekt zamiast wybierać istniejący projekt. Po jej zakończeniu możesz usunąć projekt wraz ze wszystkimi zasobami, które są z nim powiązane.

Uruchom Cloud Shell. To ćwiczenie wykorzystuje $zmienne, aby ułatwić implementację konfiguracji gcloud w Cloud Shell.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Role uprawnień

Aby uzyskać dostęp do określonych interfejsów API, NCC wymaga ról uprawnień. W razie potrzeby skonfiguruj użytkownika z rolami IAM usługi NCC.

Nazwa roli	Opis	Uprawnienia
networkconnectivity.networkAdmin	Umożliwia administratorom sieci zarządzanie centrum i promieniami.	networkconnectivity.hubs.networkconnectivity.spokes.
networkconnectivity.networkSpokeManager	Umożliwia dodawanie i zarządzanie promieniami w centrum. Do użycia we współdzielonym środowisku VPC, w którym główny projekt jest właścicielem centrum, ale inni administratorzy w innych projektach mogą dodawać promienie do swoich połączeń z centrum.	networkconnectivity.spokes.**
networkconnectivity.networkUsernetworkconnectivity.networkViewer	Umożliwia użytkownikom sieci wyświetlanie różnych atrybutów centrum i promieni.	networkconnectivity.hubs.getnetworkconnectivity.hubs.listnetworkconnectivity.spokes.getnetworkconnectivity.spokes.listnetworkconnectivity.spokes.aggregatedList

3. Konfigurowanie środowiska laboratorium sieciowego

Omówienie

W tej sekcji wdrożymy sieci VPC i reguły zapory sieciowej.

Symulowanie sieci lokalnych oddziałów

Ta sieć VPC zawiera podsieci dla lokalnych instancji maszyn wirtualnych.

Utwórz sieci i podsieci witryny lokalnej:

gcloud compute networks create site1-vpc \
--subnet-mode custom

gcloud compute networks create site2-vpc \
--subnet-mode custom

gcloud compute networks create s1-inside-vpc \
--subnet-mode custom

gcloud compute networks create s2-inside-vpc \
--subnet-mode custom

gcloud compute networks subnets create site1-subnet \
--network site1-vpc \
--range 10.10.0.0/24 \
--region us-central1

gcloud compute networks subnets create site2-subnet \
--network site2-vpc \
--range 10.20.0.0/24 \
--region us-east4

gcloud compute networks subnets create s1-inside-subnet \
--network s1-inside-vpc \
--range 10.10.1.0/24 \
--region us-central1

gcloud compute networks subnets create s2-inside-subnet \
--network s2-inside-vpc \
--range 10.20.1.0/24 \
--region us-east4

Utwórz reguły zapory sieciowej site1-vpc, które zezwalają na:

• SSH, wewnętrzne, IAP
• ESP, UDP/500, UDP/4500
• Zakres 10.0.0.0/8
• zakres 192.168.0.0/16,

gcloud compute firewall-rules create site1-ssh \--network site1-vpc \
--allow tcp:22

gcloud compute firewall-rules create site1-internal \
--network site1-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create site1-cloud \
--network site1-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create site1-vpn \
--network site1-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create site1-iap \
--network site1-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Utwórz reguły zapory sieciowej site2-vpc, które zezwalają na:

• SSH, wewnętrzne, IAP
• Zakres 10.0.0.0/8
• zakres 192.168.0.0/16,

gcloud compute firewall-rules create site2-ssh \
--network site2-vpc \
--allow tcp:22

gcloud compute firewall-rules create site2-internal \
--network site2-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create site2-cloud \
--network site1-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create site2-vpn \
--network site1-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create site2-iap \
--network site2-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Utwórz reguły zapory sieciowej s1-inside-vpc, które zezwalają na:

• SSH, wewnętrzne, IAP
• Zakres 10.0.0.0/8
• zakres 192.168.0.0/16,

gcloud compute firewall-rules create s1-inside-ssh \
--network s1-inside-vpc \
--allow tcp:22

gcloud compute firewall-rules create s1-inside-internal \
--network s1-inside-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create s1-inside-cloud \
--network s1-inside-vpc  \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create s1-inside-iap \
--network site2-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Utwórz reguły zapory sieciowej s2-inside-vpc, które zezwalają na:

• SSH, wewnętrzne, IAP
• Zakres 10.0.0.0/8
• zakres 192.168.0.0/16,

gcloud compute firewall-rules create s2-inside-ssh \
--network s2-inside-vpc \
--allow tcp:22

gcloud compute firewall-rules create s2-inside-internal \
--network s2-inside-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create s2-inside-cloud \
--network s2-inside-vpc  \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create s2-inside-iap \
--network site2-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Na potrzeby testów utwórz instancje s1-inside-vm i s2-inside-vm.

gcloud compute instances create s1-vm \
--zone=us-central1-a \
--machine-type=e2-micro \
--network-interface subnet=s1-inside-subnet,private-network-ip=10.10.1.3,no-address

gcloud compute instances create s2-vm \
--zone=us-east4-b \
--machine-type=e2-micro \
--network-interface subnet=s2-inside-subnet,private-network-ip=10.20.1.3,no-address

Symulowanie środowiska sieciowego GCP Cloud

Aby włączyć ruch między regionami w sieci hub-vpc i jej odgałęzieniach, musisz włączyć routing globalny w sieci hub-vpc. Więcej informacji znajdziesz w artykule o wymianie tras w NCC.

1. Utwórz sieć hub-vpc i podsieci:

gcloud compute networks create hub-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create hub-subnet1 \
--network hub-vpc \
--range 10.1.0.0/24 \
--region us-central1

gcloud compute networks subnets create hub-subnet2 \
--network hub-vpc \
--range 10.2.0.0/24 \
--region us-east4

2. Utwórz sieć workload-vpc i podsieci:

gcloud compute networks create workload-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create workload-subnet1 \
--network workload-vpc \
--range 192.168.235.0/24 \
--region us-central1

gcloud compute networks subnets create workload-subnet2 \
--network workload-vpc \
--range 192.168.236.0/24 \
--region us-east4

3. Utwórz reguły zapory sieciowej sieci VPC koncentratora, aby zezwalać na:

• SSH
• ESP, UDP/500, UDP/4500
• wewnętrzny zakres 10.0.0.0/8 (który obejmuje port TCP 179 wymagany w przypadku sesji BGP z routera Cloud Router do urządzenia routera);

gcloud compute firewall-rules create hub-ssh \
--network hub-vpc \
--allow tcp:22

gcloud compute firewall-rules create hub-vpn \
--network hub-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create hub-internal \
--network hub-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create hub-iap \
--network hub-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

4. Utwórz reguły zapory sieciowej Workload-VPC, które zezwalają na:

• SSH
• wewnętrzny zakres 192.168.0.0/16 (który obejmuje port TCP 179 wymagany w przypadku sesji BGP z routera Cloud Router do urządzenia routera);

gcloud compute firewall-rules create workload-ssh \
--network workload-vpc \
--allow tcp:22

gcloud compute firewall-rules create workload-internal \
--network workload-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute --project=$projectname firewall-rules create allow-from-site-1-2 --direction=INGRESS --priority=1000 --network=workload-vpc --action=ALLOW --rules=all --source-ranges=10.10.1.0/24,10.20.1.0/24

gcloud compute firewall-rules create workload-onprem \
--network hub-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create workload-iap \
--network workload-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

5. Włącz Cloud NAT w sieci VPC zadań, aby umożliwić pobieranie pakietów przez maszynę wirtualną workload1-vm, tworząc router Cloud Router i bramę NAT.

gcloud compute routers create cloud-router-usc-central-1-nat \
    --network workload-vpc \
    --region us-central1

gcloud compute routers nats create cloudnat-us-central1 \
    --router=cloud-router-usc-central-1-nat \
    --auto-allocate-nat-external-ips \
    --nat-all-subnet-ip-ranges \
    --region us-central1

6. Utwórz hosta workload1-vm in "us-central1-a" in workload-VPC. Będzie on służyć do weryfikowania połączenia między witryną a chmurą.

gcloud compute instances create workload1-vm \
    --project=$projectname \
    --machine-type=e2-micro \
    --image-family debian-10 \
    --image-project debian-cloud \
    --zone us-central1-a \
    --private-network-ip 192.168.235.3 \
        --no-address \
    --subnet=workload-subnet1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to Workload VM1 !!' | tee /var/www/html/index.html
      EOF"

4. Konfigurowanie urządzeń lokalnych dla SD-WAN

Uwaga: jeśli utworzenie maszyny wirtualnej z zewnętrznym adresem IP jest niedozwolone z powodu zasady organizacji, zaktualizuj ograniczenia/compute.vmExternalIpAccess na ALLOW z następującą wartością:

projects/<yourprojectname>/zones/us-central1-a/instances/site1-nva

projects/<yourprojectname>/zones/us-east4-b/instances/site2-nva

projects/<yourprojectname>/zones/us-central1/instances/hub-r1

projects/<yourprojectname>/zones/us-east4-b/instances/hub-r2

Tworzenie lokalnej maszyny wirtualnej na potrzeby SD-WAN (urządzenia)

W kolejnej sekcji utworzymy urządzenia routera site1-nva i site2-nva, które będą pełnić funkcję routerów lokalnych.

Tworzenie instancji

Uwaga: rozwiązanie SD-WAN firmy flexiWAN obsługuje negocjacje BGP na interfejsie vNIC-1. Każdy dostawca SD-WAN ma własne szczegóły implementacji. Jeśli korzystasz z innego rozwiązania, zapytaj o szczegóły swojego dostawcę. flexiWAN obsługuje protokoły BGP i OSPF.

Utwórz urządzenie site1-router o nazwie site1-nva.

gcloud compute instances create site1-nva \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=site1-subnet \
--network-interface subnet=s1-inside-subnet,no-address \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any \
--can-ip-forward

Utwórz urządzenie site2-router o nazwie site2-nva.

gcloud compute instances create site2-nva \
--zone=us-east4-b \
--machine-type=e2-medium \
--network-interface subnet=site2-subnet \
--network-interface subnet=s2-inside-subnet,no-address \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-east4-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any \
--can-ip-forward 

5. Instalowanie flexiWAN w witrynie1-nva

Otwórz połączenie SSH z urządzeniem site1-nva. Jeśli przekroczono limit czasu, spróbuj ponownie.

gcloud compute ssh site1-nva --zone=us-central1-a

Instalowanie flexiWAN w witrynie1-nva

sudo su 

sudo curl -sL https://deb.flexiwan.com/setup | sudo bash -
apt install flexiwan-router -y

Przygotuj maszynę wirtualną do rejestracji platformy sterującej flexiWAN.

Po zakończeniu instalacji flexiWAN uruchom polecenie fwsystem_checker, aby sprawdzić konfigurację systemu. To polecenie sprawdza wymagania systemowe i pomaga naprawić błędy konfiguracji w systemie.

• Wybierz opcję 2, aby szybko i cicho skonfigurować urządzenie.
• następnie wyjdź z niej, wpisując 0.
• Nie zamykaj okna Cloud Shell.

root@site-1-nva-1:/home/user# fwsystem_checker
 
<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 2

<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 0
Please wait..
Done.
=== system checker ended ====

Nie zamykaj sesji, aby wykonać kolejne czynności.

6. Zarejestruj witrynę site1-nva w kontrolerze SD-WAN.

Te czynności są wymagane do ukończenia aprowizacji wirtualnego urządzenia sieciowego flexiWAN, którym zarządza się z konsoli flexiManage. Zanim przejdziesz dalej, upewnij się, że organizacja flexiWAN jest skonfigurowana.

Uwierzytelnij nowo wdrożoną wirtualną sieć flexiWAN za pomocą flexiManage, używając tokena zabezpieczającego. W tym celu zaloguj się na konto flexiManage. Ten sam token może być używany na wszystkich routerach.

Wybierz Zasoby reklamowe → Tokeny,utwórz token i kliknij „Kopiuj”.

Wróć do Cloud Shell (site1-nva) i wklej token do katalogu /etc/flexiwan/agent/token.txt, wykonując te czynności:

nano /etc/flexiwan/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Aktywuj routery witryn w konsoli flexiManage

Zaloguj się w konsoli flexiManage, aby aktywować witrynę1-nva na kontrolerze.

W panelu po lewej stronie wybierz Zasoby → Urządzenia, a następnie kliknij urządzenie „Nieznane”.

Wpisz nazwę hosta urządzenia site1-nva i zatwierdź urządzenie, przesuwając pokrętło w prawo.

Wybierz kartę Interfejsy.

Znajdź kolumnę „Przypisano”, kliknij „Nie” i zmień ustawienie na „Tak”.

Wybierz kartę Zapora sieciowa i kliknij znak „+”, aby dodać regułę zapory sieciowej ruchu przychodzącego.

Wybierz interfejs sieci WAN, do którego chcesz zastosować regułę SSH, zgodnie z opisem poniżej.

Kliknij Zaktualizuj urządzenie.

Uruchom sieć site1-nva z kontrolera flexiWAN. Wróć do Inventory → Devices → site1-nva (Inwentarz → Urządzenia → site1-nva) i kliknij ‘Start Device' (Uruchom urządzenie).

Stan – Synchronizuję

Stan – Zsynchronizowano

Wskaźnik ostrzegawczy jest widoczny w sekcji Rozwiązywanie problemów → Powiadomienia. Po wyświetleniu wszystkich wiadomości wybierz je i oznacz jako przeczytane.

7. Instalowanie flexiWAN w witrynie2-nva

Otwórz nową kartę i utwórz sesję Cloud Shell. Zaktualizuj zmienne, aby ułatwić wdrożenie konfiguracji gcloud.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Otwórz połączenie SSH z urządzeniem site2-nva. Jeśli przekroczono limit czasu, spróbuj ponownie.

gcloud compute ssh site2-nva --zone=us-east4-b

Instalowanie flexiWAN w witrynie2-nva

sudo su 

sudo curl -sL https://deb.flexiwan.com/setup | sudo bash -
apt install flexiwan-router -y

Przygotuj maszynę wirtualną do rejestracji platformy sterującej flexiWAN.

Po zakończeniu instalacji flexiWAN uruchom polecenie fwsystem_checker, aby sprawdzić konfigurację systemu. To polecenie sprawdza wymagania systemowe i pomaga naprawić błędy konfiguracji w systemie.

• Wybierz opcję 2, aby szybko i cicho skonfigurować urządzenie.
• następnie wyjdź z niej, wpisując 0.
• Nie zamykaj okna Cloud Shell.

root@site2-nva:/home/user# fwsystem_checker
 
<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 2

<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 0
Please wait..
Done.
=== system checker ended ====

8. Rejestrowanie sieci site2-nva w kontrolerze SD-WAN

Te czynności są wymagane do ukończenia aprowizacji wirtualnego urządzenia sieciowego flexiWAN, którym zarządza się z konsoli flexiManage. Zanim przejdziesz dalej, upewnij się, że organizacja flexiWAN jest skonfigurowana.

Uwierzytelnij nowo wdrożoną wirtualną sieć flexiWAN za pomocą flexiManage, używając tokena zabezpieczającego. W tym celu zaloguj się na konto flexiManage. Ten sam token może być używany na wszystkich routerach.

Wybierz Zasoby reklamowe → Tokeny, utwórz token i kliknij Kopiuj.

Wróć do Cloud Shell (site2-nva) i wklej token do katalogu /etc/flexiwan/agent/token.txt, wykonując te czynności:

nano /etc/flexiwan/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Aktywowanie routerów witryn w konsoli flexiManage

Zaloguj się w konsoli flexiManage, aby aktywować site2-nva na kontrolerze.

W panelu po lewej stronie wybierz Zasoby → Urządzenia, a następnie kliknij urządzenie „Nieznane”.

Wpisz nazwę hosta urządzenia site2-nva i zatwierdź urządzenie, przesuwając pokrętło w prawo.

Wybierz kartę Interfejsy.

Znajdź kolumnę „Przypisano”, kliknij „Nie” i zmień ustawienie na „Tak”.

Wybierz kartę Zapora sieciowa i kliknij znak „+”, aby dodać regułę zapory sieciowej ruchu przychodzącego. Wybierz interfejs sieci WAN, do którego chcesz zastosować regułę SSH, zgodnie z opisem poniżej.

Kliknij Zaktualizuj urządzenie.

Uruchom witrynę site2-nva z kontrolera flexiWAN. Wróć do Inventory → Devices → site2-nva (Inwentarz → Urządzenia → site2-nva) i kliknij „Start Device” (Uruchom urządzenie).

Stan – Synchronizuję

Stan – Zsynchronizowano

Wskaźnik ostrzegawczy jest widoczny w sekcji Rozwiązywanie problemów → Powiadomienia. Po wyświetleniu wszystkich wiadomości wybierz je i oznacz jako przeczytane.

9. Konfigurowanie urządzeń SD-WAN w węźle

W następnej sekcji utworzysz i zarejestrujesz routery centrum (hub-r1 i hub-r2) w kontrolerze flexiWAN, tak jak wcześniej w przypadku tras witryny.

Otwórz nową kartę i utwórz sesję Cloud Shell. Zaktualizuj zmienne, aby ułatwić wdrożenie konfiguracji gcloud.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Tworzenie instancji wirtualnych urządzeń sieciowych w centrum

Utwórz urządzenie hub-r1:

gcloud compute instances create hub-r1 \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=hub-subnet1 \
--network-interface subnet=workload-subnet1,no-address \
--can-ip-forward \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any

Utwórz urządzenie hub-r2:

gcloud compute instances create hub-r2 \
--zone=us-east4-b \
--machine-type=e2-medium \
--network-interface subnet=hub-subnet2 \
--network-interface subnet=workload-subnet2,no-address \
--can-ip-forward \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-east4-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any

10. Instalowanie flexiWAN na instancjach Hub dla hub-r1

Otwórz połączenie SSH z węzłem hub-r1.

gcloud compute ssh hub-r1 --zone=us-central1-a

Zainstaluj agenta flexiWAN na obu urządzeniach hub-r1

sudo su
sudo curl -sL https://deb.flexiwan.com/setup | sudo bash -
apt install flexiwan-router -y

Przygotuj maszyny wirtualne hub-r1 do rejestracji w flexiWAN.

Po zakończeniu instalacji flexiWAN uruchom polecenie fwsystem_checker, aby sprawdzić konfigurację systemu. To polecenie sprawdza wymagania systemowe i pomaga naprawić błędy konfiguracji w systemie.

root@hub-r1:/home/user# fwsystem_checker

• Wybierz opcję 2, aby szybko i cicho skonfigurować urządzenie.
• następnie wyjdź z niej, wpisując 0.
• Nie zamykaj okna Cloud Shell.

11. Rejestrowanie maszyn wirtualnych hub-r1 na kontrolerze flexiManage

Uwierzytelnij nowo wdrożoną wirtualną sieć flexiWAN za pomocą flexiManage, używając tokena zabezpieczającego. W tym celu zaloguj się na konto flexiManage.

• Kliknij Zasoby reklamowe → Tokeny i skopiuj token.

Wróć do Cloud Shell (hub-r1) i wklej token do katalogu /etc/flexiwan/agent/token.txt, wykonując te czynności:

nano /etc/flexiwan/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

12. Instalowanie flexiWAN na instancjach węzła dla węzła r2

Otwórz połączenie SSH z węzłem hub-r2.

gcloud compute ssh hub-r2 --zone=us-east4-b

Zainstaluj agenta flexiWAN na obu urządzeniach hub-r2

sudo su
sudo curl -sL https://deb.flexiwan.com/setup | sudo bash -
apt install flexiwan-router -y

Przygotuj maszyny wirtualne hub-r2 do rejestracji w flexiWAN.

Po zakończeniu instalacji flexiWAN uruchom polecenie fwsystem_checker, aby sprawdzić konfigurację systemu. To polecenie sprawdza wymagania systemowe i pomaga naprawić błędy konfiguracji w systemie.

root@hub-r2:/home/user# fwsystem_checker

• Wybierz opcję 2, aby szybko i cicho skonfigurować urządzenie.
• następnie wyjdź z niej, wpisując 0.
• Nie zamykaj okna Cloud Shell.

13. Rejestrowanie maszyn wirtualnych hub-r2 na kontrolerze flexiManage

Uwierzytelnij nowo wdrożoną wirtualną sieć flexiWAN za pomocą flexiManage, używając tokena zabezpieczającego. W tym celu zaloguj się na konto flexiManage.

• Kliknij Zasoby reklamowe → Tokeny i skopiuj token.

Wróć do Cloud Shell (hub-r2) i wklej token do katalogu /etc/flexiwan/agent/token.txt, wykonując te czynności:

nano /etc/flexiwan/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Aktywuj routery centralne hub-r1 w konsoli flexiManage

Logowanie się w konsoli flexiManage

• Kliknij Zasoby reklamowe → Urządzenia.
• Znajdź i zanotuj nazwy hostów hub-r1 i hub-r2. W obu przypadkach jest to „unknown”.

Wybierz nieokreślone urządzenie o nazwie hosta hub-r1.

• Wpisz nazwę hosta hub-r1.
• Zatwierdź urządzenie, przesuwając pokrętło w prawo.

Kliknij kartę Interfejsy.

• Znajdź kolumnę „Przypisano”.
• Obok wiersza interfejsu kliknij „Nie”, aby zmienić ustawienie na „Tak”.

Wybierz kartę Zapora sieciowa.

• Kliknij „+”, aby dodać regułę zapory sieciowej dla ruchu przychodzącego.
• Wybierz interfejs sieci WAN, który ma dziedziczyć regułę.
• Zezwalaj na port SSH 22 z protokołem TCP
• Kliknij Zaktualizuj urządzenie.

Uruchom urządzenie hub-r1 dla SD-WAN z kontrolera flexiWAN

• Wróć do sekcji Asortyment → Urządzenia → hub-r1.

Wybierz „Uruchom urządzenie”.

• Poczekaj na zakończenie synchronizacji i zwróć uwagę na stan „trwa”.

Aktywowanie routerów centralnych hub-r2 w konsoli flexiManage

Wybierz nieokreślone urządzenie o nazwie hosta hub-r2.

• Wpisz nazwę hosta hub-r2.
• Zatwierdź urządzenie, przesuwając pokrętło w prawo.

Wybierz kartę Interfejsy.

• Znajdź kolumnę „Przypisano”.
• Obok wiersza interfejsu kliknij „Nie”, aby zmienić ustawienie na „Tak”.

Wybierz kartę Zapora sieciowa.

• Kliknij „+”, aby dodać regułę zapory sieciowej dla ruchu przychodzącego.
• Wybierz interfejs sieci WAN, który ma dziedziczyć regułę.
• Zezwalanie na port SSH 22 z protokołem TCP
• Kliknij Dodaj regułę.
• Kliknij Zaktualizuj urządzenie.

Uruchom urządzenie hub-r2 dla SD-WAN z kontrolera flexiWAN

• Wróć do Spis → Urządzenia → hub-r2 i kliknij „Uruchom urządzenie”.
• Poczekaj na zakończenie synchronizacji i zwróć uwagę na stan „trwa”.

14. Network Connectivity Center w GCP Hub

Włączanie usług API

Włącz interfejs Network Connectivity API, jeśli nie jest jeszcze włączony:

gcloud services enable networkconnectivity.googleapis.com

Tworzenie centrum NCC

gcloud network-connectivity hubs create ncc-hub

Create request issued for: [ncc-hub]
Waiting for operation [projects/user-3p-dev/locations/global/operations/operation-1668793629598-5edc24b7ee3ce-dd4c765b-5ca79556] to complete...done.     
Created hub [ncc-hub]

Skonfiguruj oba urządzenia routera jako promień NCC

Znajdź identyfikator URI i adres IP obu routerów (hub-r1 i hub-r2) i zanotuj dane wyjściowe. Te informacje będą potrzebne w następnym kroku.

Zanotuj adres IP (192.168.x.x) instancji hub-r1 i hub-r2.

gcloud compute instances describe hub-r1 \
--zone=us-central1-a \
--format="value(selfLink.scope(projects))"

gcloud compute instances describe hub-r1 --zone=us-central1-a | grep "networkIP"

gcloud compute instances describe hub-r2 \
--zone=us-east4-b \
--format="value(selfLink.scope(projects))"

gcloud compute instances describe hub-r2 --zone=us-east4-b | grep "networkIP"

Dodaj interfejs sieciowy karty wirtualnej centrum-r1 networkIP (192.168.x.x) jako promień i włącz przesyłanie danych między lokalizacjami.

gcloud network-connectivity spokes linked-router-appliances create s2s-wrk-cr1 \
--hub=ncc-hub \
--router-appliance=instance="https://www.googleapis.com/compute/projects/$projectname/zones/us-central1-a/instances/hub-r1",ip=192.168.235.4 \
--region=us-central1 \
--site-to-site-data-transfer

Dodaj interfejs sieciowy centrum-r2 networkIP (192.168.x.x) jako promień i włącz przesyłanie danych między lokalizacjami.

gcloud network-connectivity spokes linked-router-appliances create s2s-wrk-cr2 \
--hub=ncc-hub \
--router-appliance=instance=/projects/$projectname/zones/us-east4-b/instances/hub-r2,ip=192.168.236.101 \
--region=us-east4 \
--site-to-site-data-transfer

Skonfiguruj router Cloud Router, aby ustanowić sesję BGP z routerem Hub-R1

W następnym kroku utwórz router Cloud Router i ogłoś podsieć VPC zadania 192.168.235.0/24.

Utwórz router Cloud Router w regionie us-central1, który będzie komunikować się z protokołem BGP z routerem hub-r1.

gcloud compute routers create wrk-cr1 \
--region=us-central1 \
--network=workload-vpc \
--asn=65002 \
--set-advertisement-groups=all_subnets \
--advertisement-mode=custom

Skonfigurowanie urządzeń routera jako węzła NCC umożliwia routerowi Cloud Router negocjowanie protokołu BGP na interfejsach wirtualnych.

Utwórz 2 interfejsy na routerze Cloud Router, które będą wymieniać wiadomości BGP z routerem hub-r1.

Adresy IP są wybierane z podsieci zbioru zadań i w razie potrzeby można je zmienić.

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int0 \
--ip-address=192.168.235.101 

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int1 \
--ip-address=192.168.235.102 \
--redundant-interface=int0

Skonfiguruj interfejs routera Cloud Router, aby ustanowić sesję BGP z interfejsem vNIC-1 routera hub-r1, i zaktualizuj adres IP peera za pomocą adresu IP routera hub-r1 networkIP . Pamiętaj, że ten sam adres IP jest używany w przypadku interfejsów int0 i int1.

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-0 \
    --interface=int0 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-1 \
    --interface=int1 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

Sprawdź stan BGP. Na tym etapie laboratorium BGP jest w stanie „connect state”, ponieważ urządzenie routera sieciowego nie zostało skonfigurowane pod kątem BGP.

gcloud compute routers get-status wrk-cr1 --region=us-central1

Skonfiguruj Workload-cr2, aby ustanowić sesję BGP z Hub-R2

W następnym kroku utwórz router Cloud Router i ogłoś podsieć VPC zadania 192.168.236.0/24.

Utwórz router Cloud Router w regionie us-east4, który będzie komunikować się z BGP z routerem hub-r2.

gcloud compute routers create wrk-cr2 \
--region=us-east4 \
--network=workload-vpc \
--asn=65002 \
--set-advertisement-groups=all_subnets \
--advertisement-mode=custom

Utwórz parę interfejsów na routerze Cloud Router, które będą wymieniać wiadomości protokołu BGP z routerem hub-r2. Adresy IP są wybierane z podsieci obciążenia i w razie potrzeby można je zmienić.

gcloud compute routers add-interface wrk-cr2 \
--region=us-east4 \
--subnetwork=workload-subnet2 \
--interface-name=int0 \
--ip-address=192.168.236.5 


gcloud compute routers add-interface wrk-cr2 \
--region=us-east4 \
--subnetwork=workload-subnet2 \
--interface-name=int1 \
--ip-address=192.168.236.6 \
--redundant-interface=int0

Skonfiguruj interfejs routera Cloud Router, aby ustanowić sesję BGP z interfejsem vNIC-1 routera hub-r2, i zaktualizuj adres IP peera za pomocą adresu IP routera hub-r1 networkIP . Pamiętaj, że ten sam adres IP jest używany w przypadku interfejsów int0 i int1.

gcloud compute routers add-bgp-peer wrk-cr2 \
    --peer-name=hub-cr2-bgp-peer-0 \
    --interface=int0 \
    --peer-ip-address=192.168.236.101 \
    --peer-asn=64112 \
    --instance=hub-r2 \
    --instance-zone=us-east4-b \
    --region=us-east4

gcloud compute routers add-bgp-peer wrk-cr2 \
    --peer-name=hub-cr2-bgp-peer-1 \
    --interface=int1 \
    --peer-ip-address=192.168.236.101 \
    --peer-asn=64112 \
    --instance=hub-r2 \
    --instance-zone=us-east4-b \
    --region=us-east4

Sprawdź stan BGP. Na tym etapie laboratorium BGP jest w stanie „connect state”, ponieważ urządzenie routera sieciowego nie zostało skonfigurowane pod kątem BGP.

gcloud compute routers get-status wrk-cr2 --region=us-east4

15. Konfigurowanie urządzeń routera centrum pod kątem protokołu BGP

Konfigurowanie routera hub-r1 na potrzeby BGP

Zaloguj się w konsoli flexiManage.

Kliknij Zasoby reklamowe → Urządzenia → hub-r1 i wybierz urządzenie o nazwie HostName:hub-r1.

• Kliknij kartę „Routing”.
• Kliknij „Konfiguracja BGP”.
• Wyłącz „Redistribute OSPF Routes”
• Skonfiguruj hub-r1 dla BGP z tymi parametrami i kliknij „Zapisz”.

Wybierz kartę „Interfejsy”, znajdź interfejs LAN i kolumnę „Routing”.

• Kliknij „brak”, aby otworzyć menu i wybrać BGP jako protokół routingu.

• U góry strony kliknij „Zaktualizuj urządzenie”.

Skonfiguruj router hub-r2 pod kątem BGP

Zaloguj się w konsoli flexiManage.

Kliknij Zasoby reklamowe → Urządzenia → hub-r2 i wybierz urządzenie o nazwie HostName:hub-r2.

• Kliknij kartę „Routing”.
• Kliknij „Konfiguracja BGP”.
• Wyłącz „Redistribute OSPF Routes”
• Skonfiguruj hub-r2 dla BGP z tymi parametrami i kliknij „Zapisz”.

Kliknij kartę „Interfejsy”, znajdź interfejs LAN i kolumnę „Routing”.

• Kliknij „none” (brak), aby otworzyć menu, w którym możesz wybrać BGP jako protokół routingu.

• U góry strony kliknij „zaktualizuj urządzenie”.

Wybierz kartę „routing”.

• Sprawdź, czy router hub-r2 nauczył się trasy BGP z routera wrk-cr2.

16. Wymiana tras protokołu BGP między routerami wirtualnymi

Ustanawianie lokalnego identyfikatora ASN dla witryn zdalnych

Skonfiguruj lokalny identyfikator ASN protokołu BGP dla sieci site1-nva i site2-nva. Po skonfigurowaniu ustanowimy tunel protokołów IPsec między witrynami zdalnymi a routerami węzłowymi.

Wybierz urządzenie z wartością HostName:site1-nva.

• Kliknij kartę „Routing”.
• Kliknij „Konfiguracja BGP”.
• Wyłącz „Redistribute OSPF Routes”
• Włączono BGP
• Lokalny ASN 7269 → Zapisz
• Zaktualizuj urządzenie
• Karta Interfejsy → LAN → Routing → BGP
• Zaktualizuj urządzenie

Wybierz urządzenie z wartością HostName:site2-nva.

• Kliknij kartę „Routing”.
• Kliknij „Konfiguracja BGP”.
• Wyłącz „Redistribute OSPF Routes”
• Włączono BGP
• Lokalny ASN 7270 → Zapisz
• Zaktualizuj urządzenie
• Karta Interfejsy → LAN → Routing → BGP
• Zaktualizuj urządzenie

Konfigurowanie tuneli VPN między urządzeniami w lokalizacji i urządzeniami w centrum

Zaloguj się w konsoli flexiManage.

• Kliknij Zasoby reklamowe → Urządzenia.
• Zaznacz pole obok nazwy hosta site1-nva i hub-r1, aby utworzyć tunel VPN między tą parą wirtualnych urządzeń sieciowych.
• Kliknij Działania → Utwórz tunele i skonfiguruj te ustawienia:

• Kliknij Utwórz tunele.
• Usuń zaznaczenie pól wyboru obok pozycji site1-nva i ub-r1.

Powtórz te kroki, aby utworzyć tunel między siecią site2-nva a siecią hub-r2, wybierając odpowiednie parametry.

Sprawdź, czy między każdą parą wirtualnych urządzeń sieciowych utworzono parę tuneli.

• W panelu po lewej stronie wybierz „Zasoby reklamowe”, a następnie kliknij „Tunele” i znajdź kolumnę stanu.

Sprawdź, czy „site1-nva” nauczył się tras do podsieci 192.168.235.0/24 i 192.168.236.0/24.

• Wybierz Asortyment → Urządzenia → site1-nva i kliknij kartę „Routing”.

W przykładzie poniżej flexiWAN automatycznie utworzył tunel przy użyciu adresu IP hosta 10.100.0.6.

17. Sprawdzanie łączności ścieżki danych

Sprawdzanie połączenia z witryny z chmurą z lokalnego środowiska

Zapoznaj się z diagramem. Sprawdź, czy ścieżka danych między s1-vm a workload1-vm

Konfigurowanie tras statycznych VPC dla połączenia z lokalizacji do chmury

Sieci lokalne Site1-VPC i Site2-VPC symulują sieć lokalnego centrum danych.

Oba urządzenia routera Site-1-nva i site-2-nva korzystają z połączenia VPN, aby uzyskać dostęp do sieci centralnej.

W przypadku scenariusza użycia typu sieć lokalna – chmura** utwórz trasy statyczne do miejsca docelowego 192.168.0.0/16, używając routera wirtualnego jako następnego przeskoku, aby dotrzeć do sieci w sieci chmury GCP.

Na instancji s1-inside-vpc utwórz trasę statyczną do miejsca docelowego w chmurze (192.168.0.0/16):

gcloud compute routes create site1-subnet-route  \
--network=s1-inside-vpc \
--destination-range=192.168.0.0/16  \
--next-hop-instance=site1-nva \
--next-hop-instance-zone=us-central1-a

Na instancji s2-inside-vpc utwórz trasę statyczną dla miejsca docelowego w chmurze (192.168.0.0/16):

gcloud compute routes create site2-subnet-route  \
--network=s2-inside-vpc \
--destination-range=192.168.0.0/16  \
--next-hop-instance=site2-nva \
--next-hop-instance-zone=us-east4-b

W Cloud Shell wyszukaj adres IP „workload1-vm”. Będzie Ci to potrzebne do przetestowania połączenia z instancji „s1-vm”.

gcloud compute instances describe workload1-vm --zone=us-central1-a | grep "networkIP"

Otwórz połączenie SSH z maszyną wirtualną s1-vm. Jeśli połączenie nie powiedzie się z powodu przekroczenia limitu czasu, spróbuj ponownie.

gcloud compute ssh s1-vm --zone=us-central1-a

Połącz się przez SSH z maszyną wirtualną s1-vm i użyj polecenia curl, aby nawiązać sesję TCP z adresem IP maszyny wirtualnej workload1-VM.

s1-vm:~$ curl 192.168.235.3 -vv
*   Trying 192.168.235.3:80...
* Connected to 192.168.235.3 (192.168.235.3) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.235.3
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Wed, 07 Dec 2022 15:12:08 GMT
< Server: Apache/2.4.54 (Debian)
< Last-Modified: Tue, 06 Dec 2022 00:57:46 GMT
< ETag: "1f-5ef1e4acfa1d9"
< Accept-Ranges: bytes
< Content-Length: 31
< Content-Type: text/html
< 
Page served from: workload1-vm
* Connection #0 to host 192.168.235.3 left intact

Weryfikowanie łączności między witrynami

Sprawdź diagram i upewnij się, że ścieżka danych między s1-vm a s2-vm

Konfigurowanie statycznych tras VPC dla połączenia typu sieć-sieć

Aby kierować ruch między witrynami 1 i 2 za pomocą globalnej sieci GCP, utwórz statyczne trasy do podsieci witryny zdalnej, używając urządzenia routera lokalnego jako następnej bramy.

W późniejszym kroku sieć VPC zadania zostanie skonfigurowana za pomocą NCC, aby obsługiwać przenoszenie danych między lokalizacjami.

Na instancji s1-inside-vpc utwórz trasę statyczną,aby dotrzeć do podsieci site2-subnet (10.20.1.0/24):

gcloud compute routes create site1-sn1-route  \
--network=s1-inside-vpc \
--destination-range=10.20.1.0/24  \
--next-hop-instance=site1-nva \
--next-hop-instance-zone=us-central1-a

Na instancji s2-inside-vpc utwórz trasę statyczną,aby dotrzeć do podsieci site1-subnet (10.10.1.0/24):

gcloud compute routes create site2-sn1-route  \
--network=s2-inside-vpc \
--destination-range=10.10.1.0/24  \
--next-hop-instance=site2-nva \
--next-hop-instance-zone=us-east4-b

W Cloud Shell wyszukaj adres IP maszyny wirtualnej „s2-vm”. Będzie Ci to potrzebne do przetestowania połączenia z maszyny wirtualnej S1.

gcloud compute instances describe s2-vm --zone=us-east4-b | grep networkIP

Otwórz połączenie SSH z maszyną wirtualną s1-vm. Jeśli połączenie nie powiedzie się z powodu przekroczenia limitu czasu, spróbuj ponownie.

gcloud compute ssh s1-vm --zone=us-central1-a

Połącz się przez SSH z instancją „s1-vm” i wykonaj polecenie „ping” na adresie IP instancji „s2-vm”.

s1-vm:~$ ping 10.20.1.3
PING 10.20.1.3 (10.20.1.3) 56(84) bytes of data.
64 bytes from 10.20.1.3: icmp_seq=1 ttl=60 time=99.1 ms
64 bytes from 10.20.1.3: icmp_seq=2 ttl=60 time=94.3 ms
64 bytes from 10.20.1.3: icmp_seq=3 ttl=60 time=92.4 ms
64 bytes from 10.20.1.3: icmp_seq=4 ttl=60 time=90.9 ms
64 bytes from 10.20.1.3: icmp_seq=5 ttl=60 time=89.7 ms

18. Czyszczenie

Zaloguj się w Cloud Shell i usuń instancje maszyn wirtualnych w sieciach witryn centralnej i oddziału.

#on prem instances
gcloud compute instances delete s1-vm --zone=us-central1-a --quiet
gcloud compute instances delete s2-vm --zone=us-east4-b --quiet

#delete on prem firewall rules
gcloud compute firewall-rules delete site1-ssh --quiet
gcloud compute firewall-rules delete site1-internal --quiet
gcloud compute firewall-rules delete site1-cloud --quiet
gcloud compute firewall-rules delete site1-vpn  --quiet
gcloud compute firewall-rules delete site1-iap --quiet
gcloud compute firewall-rules delete site2-ssh --quiet
gcloud compute firewall-rules delete site2-internal --quiet
gcloud compute firewall-rules delete site2-cloud --quiet
gcloud compute firewall-rules delete site2-vpn  --quiet
gcloud compute firewall-rules delete site2-iap --quiet
gcloud compute firewall-rules delete allow-from-site-1-2 --quiet
gcloud compute firewall-rules delete s2-inside-cloud s2-inside-internal s2-inside-ssh --quiet
gcloud compute firewall-rules delete s1-inside-cloud s1-inside-iap s1-inside-internal s1-inside-ssh s2-inside-cloud s2-inside-iap s2-inside-internal s2-inside-ssh --quiet


#delete ncc spokes
gcloud network-connectivity spokes delete s2s-wrk-cr1 --region us-central1 --quiet
gcloud network-connectivity spokes delete s2s-wrk-cr2 --region us-east4 --quiet

#delete ncc hub
gcloud network-connectivity hubs delete ncc-hub --quiet

#delete the cloud router
gcloud compute routers delete wrk-cr1 --region=us-central1 --quiet
gcloud compute routers delete wrk-cr2 --region=us-east4 --quiet

#delete the instances

gcloud compute instances delete hub-r1 --zone=us-central1-a --quiet
gcloud compute instances delete hub-r2 --zone=us-east4-b --quiet
gcloud compute instances delete workload1-vm --zone=us-central1-a --quiet
gcloud compute instances delete site1-nva --zone=us-central1-a --quiet
gcloud compute instances delete site2-nva --zone=us-east4-b --quiet

#delete on prem subnets

gcloud compute networks subnets delete hub-subnet1 s1-inside-subnet site1-subnet workload-subnet1 --region=us-central1 --quiet

gcloud compute networks subnets delete hub-subnet2 s2-inside-subnet  site2-subnet workload-subnet2 --region=us-east4 --quiet 

#delete hub firewall rule
gcloud compute firewall-rules delete hub-ssh --quiet
gcloud compute firewall-rules delete hub-vpn --quiet
gcloud compute firewall-rules delete hub-internal --quiet
gcloud compute firewall-rules delete hub-iap --quiet

gcloud compute firewall-rules delete workload-ssh --quiet
gcloud compute firewall-rules delete workload-internal --quiet
gcloud compute firewall-rules delete workload-onprem --quiet
gcloud compute firewall-rules delete workload-iap --quiet

#delete on vpcs
gcloud compute networks delete hub-vpc s1-inside-vpc s2-inside-vpc site2-vpc workload-vpc --quiet 

19. Gratulacje!

Laboratorium Network Connectivity Center zostało ukończone.

Omówione kwestie

• Skonfigurowana integracja sieci SD-WAN dla połączenia lokalizacji NCC z chmurą
• Skonfigurowana integracja sieci SD-WAN dla połączenia NCC typu site-to-site

Następne kroki

• Omówienie Network Connectivity Center
• Dokumentacja Network Connectivity Center
• zasoby flexiWAN,
• Repozytorium flexiWAN GitLab

© Google LLC lub jej podmioty stowarzyszone. Wszelkie prawa zastrzeżone. Nie rozpowszechniać.