1. Wprowadzenie
Omówienie
W tym laboratorium użytkownicy dowiedzą się, jak można używać Network Connectivity Center(NCC) do nawiązywania połączeń między sieciami VPC na dużą skalę dzięki obsłudze promieni sieci VPC. Gdy użytkownicy zdefiniują VPC jako promień VPC, mogą połączyć go z wieloma sieciami VPC za pomocą centrum NCC. NCC z konfiguracją sekcji VPC zmniejsza złożoność operacyjną zarządzania połączeniami między VPC za pomocą połączenia równorzędnego VPC, zamiast korzystania z scentralizowanego modelu zarządzania łącznością.
Pamiętaj, że Network Connectivity Center (NCC) to model platformy sterującej węzła i promieni do zarządzania połączeniami sieciowymi w Google Cloud. Zasób centrum zapewnia scentralizowany model zarządzania łącznością do łączenia promieni.
Co utworzysz
W tym ćwiczeniu z programowania utworzysz topologię z logicznym centrum i promieniście połączonymi sieciami z centrum NCC, która będzie implementować w pełni połączoną architekturę sieci VPC w trzech różnych sieciach VPC.
Czego się nauczysz
- Pełna sieć typu mesh VPC z NCC
- Prywatny NAT w VPC
Czego potrzebujesz
- znajomość sieci VPC GCP,
- Znajomość Cloud Router i routingu BGP
- 2 osobne projekty GCP
- To ćwiczenie Codelab wymaga 5 środowisk VPC. Jeden z tych środowisk VPC musi znajdować się w innym projekcie niż centrum NCC
- Sprawdź Limit:sieci i w razie potrzeby poproś o dodatkowe sieci. Zrzut ekranu poniżej:
Cele
- Konfigurowanie środowiska GCP
- Konfigurowanie Network Connectivity Center z siecią VPC jako promieniową
- Sprawdzanie ścieżki danych
- Poznaj funkcje obsługi NCC
- Czyszczenie używanych zasobów
Zanim zaczniesz
Google Cloud Console i Cloud Shell
W tym module będziemy korzystać z konsoli Google Cloud Platform i Cloud Shell.
Projekt NCC Hub Konsola Google Cloud
Konsolę Cloud Console można otworzyć na stronie https://console.cloud.google.com.
Aby ułatwić konfigurowanie Centrum łączności sieciowej, skonfiguruj w Google Cloud te elementy:
W konsoli Google Cloud na stronie selektora projektu wybierz lub utwórz projekt Google Cloud.
Uruchom Cloud Shell. Ten samouczek Codelab wykorzystuje zmienne $variables, aby ułatwić implementację konfiguracji gcloud w Cloud Shell.
gcloud auth list
gcloud config list project
gcloud config set project [HUB-PROJECT-NAME]
projectname=[HUB-PROJECT-NAME]
echo $projectname
gcloud config set compute/zone us-central1-a
gcloud config set compute/region us-central1
Role uprawnień
NCC wymaga ról uprawnień do uzyskiwania dostępu do określonych interfejsów API. Pamiętaj, aby skonfigurować użytkownika z wymaganymi rolami NCC w IAM.
Rola/opis | Uprawnienia |
networkconnectivity.networkAdmin – umożliwia administratorom sieci zarządzanie węzłami i ramieniem. | networkconnectivity.hubs.networkconnectivity.spokes. |
networkconnectivity.networkSpokeManager – umożliwia dodawanie promieni i zarządzanie nimi w centrum. Do korzystania w współdzielonym środowisku VPC, w którym projekt główny jest właścicielem centrum, ale inni administratorzy w innych projektach mogą dodawać do niego promienie dla swoich załączników. | networkconnectivity.spokes.** |
networkconnectivity.networkUsernetworkconnectivity.networkViewer – umożliwia użytkownikom sieci wyświetlanie różnych atrybutów osi i ramion. | networkconnectivity.hubs.getnetworkconnectivity.hubs.listnetworkconnectivity.spokes.getnetworkconnectivity.spokes.listnetworkconnectivity.spokes.aggregatedList |
2. Konfigurowanie środowiska sieciowego
Omówienie
W tej sekcji wdrożymy sieci VPC i reguły zapory sieciowej w jednym projekcie. Diagram logiczny przedstawia środowisko sieciowe, które zostanie skonfigurowane na tym etapie.
Aby zademonstrować obsługę osi w ramach różnych projektów, w następnym kroku wdrożymy sieć VPC i reguły zapory sieciowej w innym projekcie.
Tworzenie sieci VPC i podsieci
Sieć VPC zawiera podsieci, w których zainstalujesz maszynę wirtualną GCE na potrzeby weryfikacji ścieżki danych.
gcloud compute networks create vpc1-ncc --subnet-mode custom
gcloud compute networks create vpc2-ncc --subnet-mode custom
gcloud compute networks create vpc3-ncc --subnet-mode custom
gcloud compute networks create vpc4-ncc --subnet-mode custom
gcloud compute networks subnets create vpc1-ncc-subnet1 \
--network vpc1-ncc --range 10.1.1.0/24 --region us-central1
gcloud compute networks subnets create vpc1-ncc-subnet2 \
--network vpc1-ncc --range 10.1.2.0/25 --region us-central1
gcloud compute networks subnets create vpc1-ncc-subnet3 \
--network vpc1-ncc --range 10.1.2.128/25 --region us-central1
gcloud compute networks subnets create vpc2-ncc-subnet1 \
--network vpc2-ncc --range 10.2.2.0/24 --region us-central1
Zakresy podsieci obsługiwane przez VPC
NCC obsługuje wszystkie prawidłowe zakresy podsieci IPv4 z wyjątkiem używanych prywatnie publicznych adresów IP. W tym kroku utwórz w VPC4 prawidłowe zakresy adresów IP, które zostaną zaimportowane do tabeli tras centrum.
gcloud compute networks subnets create benchmark-testing-rfc2544 \
--network vpc4-ncc --range 198.18.0.0/15 --region us-east1
gcloud compute networks subnets create class-e-rfc5735 \
--network vpc4-ncc --range 240.0.0.0/4 --region us-east1
gcloud compute networks subnets create ietf-protcol-assignment-rfc6890 \
--network vpc4-ncc --range 192.0.0.0/24 --region us-east1
gcloud compute networks subnets create ipv6-4-relay-rfc7526 \
--network vpc4-ncc --range 192.88.99.0/24 --region us-east1
gcloud compute networks subnets create pupi \
--network vpc4-ncc --range 50.50.50.0/24 --region us-east1
gcloud compute networks subnets create test-net-1-rfc5737 \
--network vpc4-ncc --range 192.0.2.0/24 --region us-east1
gcloud compute networks subnets create test-net-2-rfc5737 \
--network vpc4-ncc --range 198.51.100.0/24 --region us-east1
gcloud compute networks subnets create test-net-3-rfc5737 \
--network vpc4-ncc --range 203.0.113.0/24 --region us-east1
Tworzenie nakładających się zakresów podsieci
NCC nie będzie importować nakładających się zakresów adresów IP do tabeli tras huba. Użytkownicy obejdą to ograniczenie w późniejszym kroku. Na razie utwórz 2 nachodzące na siebie zakresy adresów IP dla VPC2 i VPC3.
gcloud compute networks subnets create overlapping-vpc2 \
--network vpc3-ncc --range 10.3.3.0/24 --region us-central1
gcloud compute networks subnets create overlapping-vpc3 \
--network vpc2-ncc --range 10.3.3.0/24 --region us-central1
Konfigurowanie reguł zapory sieciowej VPC
Skonfiguruj reguły zapory sieciowej w każdej sieci VPC, aby zezwolić na
- SSH
- Wewnętrzne zakupy w aplikacji
- Zakres 10.0.0.0/8
gcloud compute firewall-rules create ncc1-vpc-internal \
--network vpc1-ncc \
--allow all \
--source-ranges 10.0.0.0/8
gcloud compute firewall-rules create ncc2-vpc-internal \
--network vpc2-ncc \
--allow all \
--source-ranges 10.0.0.0/8
gcloud compute firewall-rules create ncc3-vpc-internal \
--network vpc3-ncc \
--allow all \
--source-ranges 10.0.0.0/8
gcloud compute firewall-rules create ncc4-vpc-internal \
--network vpc4-ncc \
--allow all \
--source-ranges 10.0.0.0/8
gcloud compute firewall-rules create ncc1-vpc-iap \
--network vpc1-ncc \
--allow all \
--source-ranges 35.235.240.0/20
gcloud compute firewall-rules create ncc2-vpc-iap \
--network vpc2-ncc \
--allow=tcp:22 \
--source-ranges 35.235.240.0/20
gcloud compute firewall-rules create ncc3-vpc-iap \
--network vpc3-ncc \
--allow=tcp:22 \
--source-ranges 35.235.240.0/20
gcloud compute firewall-rules create ncc4-vpc-iap \
--network vpc4-ncc \
--allow=tcp:22 \
--source-ranges 35.235.240.0/20
Konfigurowanie maszyny wirtualnej GCE w każdej sieci VPC
Aby zainstalować pakiety na „vm1-vpc1-ncc”, musisz tymczasowo uzyskać dostęp do internetu.
Utwórz 4 maszyny wirtualne. Każda z nich zostanie przypisana do jednej z wcześniej utworzonych sieci VPC.
gcloud compute instances create vm1-vpc1-ncc \
--subnet vpc1-ncc-subnet1 \
--metadata=startup-script='#!/bin/bash
apt-get update
apt-get install apache2 -y
apt-get install tcpdump -y
service apache2 restart
echo "
<h3>Web Server: www-vm1</h3>" | tee /var/www/html/index.html'
gcloud compute instances create vm2-vpc2-ncc \
--zone us-central1-a \
--subnet vpc2-ncc-subnet1 \
--no-address
gcloud compute instances create pnat-vm-vpc2 \
--zone us-central1-a \
--subnet overlapping-vpc3 \
--no-address
gcloud compute instances create vm1-vpc4-ncc \
--zone us-east1-b \
--subnet class-e-rfc5735 \
--no-address
3. Centrum Network Connectivity Center
Omówienie
W tej sekcji skonfigurujemy NCC Hub za pomocą poleceń gcloud. Centrum NCC będzie pełnić rolę platformy sterującej odpowiedzialnej za tworzenie konfiguracji routingu między każdym z węzłów VPC.
Włączanie usług interfejsu API
Włącz interfejs Network Connectivity API, jeśli nie jest jeszcze włączony:
gcloud services enable networkconnectivity.googleapis.com
Tworzenie centrum NCC
Tworzenie centrum NCC za pomocą polecenia gCloud
gcloud network-connectivity hubs create ncc-hub
Przykładowe dane wyjściowe
Create request issued for: [ncc-hub]
Waiting for operation [projects/user-3p-dev/locations/global/operations/operation-1668793629598-5edc24b7ee3ce-dd4c765b-5ca79556] to complete...done.
Created hub [ncc-hub]
Opisz nowo utworzone centrum NCC. Zanotuj nazwę i powiązaną ścieżkę.
gcloud network-connectivity hubs describe ncc-hub
gcloud network-connectivity hubs describe ncc-hub
createTime: '2023-11-02T02:28:34.890423230Z'
name: projects/user-3p-dev/locations/global/hubs/ncc-hub
routeTables:
- projects/user-3p-dev/locations/global/hubs/ncc-hub/routeTables/default
state: ACTIVE
uniqueId: de749c4c-0ef8-4888-8622-1ea2d67450f8
updateTime: '2023-11-02T02:28:48.613853463Z'
Centrum NCC wprowadziło tabelę routingu, która określa platformę sterującą do tworzenia połączeń danych. Znajdź nazwę tabeli routingu centrum NCC
gcloud network-connectivity hubs route-tables list --hub=ncc-hub
NAME: default
HUB: ncc-hub
DESCRIPTION:
Znajdź identyfikator URI tabeli domyślnych tras NCC.
gcloud network-connectivity hubs route-tables describe default --hub=ncc-hub
createTime: '2023-02-24T17:32:58.786269098Z'
name: projects/user-3p-dev/locations/global/hubs/ncc-hub/routeTables/default
state: ACTIVE
uid: eb1fdc35-2209-46f3-a8d6-ad7245bfae0b
updateTime: '2023-02-24T17:33:01.852456186Z'
Wymień zawartość domyślnej tabeli routingu centrum NCC. Uwaga* Tabela tras centrum NCC będzie pusta, dopóki nie zostaną utworzone spoke.
gcloud network-connectivity hubs route-tables routes list --hub=ncc-hub --route_table=default
Tabela tras centrum NCC powinna być pusta.
4. NCC z promieniami VPC
Omówienie
W tej sekcji skonfigurujesz 3 sieci VPC jako węzły NCC za pomocą poleceń gCloud.
Konfigurowanie VPC jako kratownicy NCC
Skonfiguruj podane niżej sieci VPC jako węzły NCC w podanej kolejności
- VPC4
- VPC1
- VPC2
- VPC3
Skonfiguruj VPC4 jako promień NCC i przypisz go do utworzonego wcześniej centrum NCC. Wywołania interfejsu API NCC wymagają podania lokalizacji. Flaga „–global” upraszcza składnię gcloud, ponieważ pozwala użytkownikowi uniknąć konieczności podawania pełnej ścieżki identyfikatora URI podczas konfigurowania nowego koła NCC.
gcloud network-connectivity spokes linked-vpc-network create vpc4-spoke4 \
--hub=ncc-hub \
--vpc-network=vpc4-ncc \
--global
Skonfiguruj VPC1 jako promień NCC.
Administratorzy mogą wykluczyć eksportowanie tras podsieci z osi VPC do tabeli tras centrum NCC. W tej części tego ćwiczenia utwórz regułę wykluczania eksportu na podstawie prefiksu podsumowania, aby zapobiec eksportowaniu podsieci VPC1 do tabeli tras NCC Hub.
Użyj tego polecenia gcloud, aby wyświetlić listę wszystkich podsieci należących do VPC1.
gcloud config set accessibility/screen_reader false
gcloud compute networks subnets list --network=vpc1-ncc
Zwróć uwagę na parę podsieci /25 utworzonych wcześniej w sekcji konfiguracji.
NAME REGION NETWORK RANGE STACK_TYPE
vpc1-ncc-subnet1 us-central1 vpc1-ncc 10.1.1.0/24 IPV4_ONLY
vpc1-ncc-subnet2 us-central1 vpc1-ncc 10.1.2.0/25 IPV4_ONLY
vpc1-ncc-subnet3 us-central1 vpc1-ncc 10.1.2.128/25 IPV4_ONLY
Skonfiguruj VPC1 jako promień NCC i wyklucz parę podsieci /25 z importowania do tabeli routingu węzła, używając słowa kluczowego „export-exclude-ranges”, aby odfiltrować trasę podsumowującą /24 z tego konkretnego zakresu.
gcloud network-connectivity spokes linked-vpc-network create vpc1-spoke1 \
--hub=ncc-hub \
--vpc-network=vpc1-ncc \
--exclude-export-ranges=10.1.2.0/24 \
--global
Uwaga*. Użytkownicy mogą filtrować do 16 unikalnych zakresów adresów IP na 1 węzeł NCC.
Wymień zawartość domyślnej tabeli routingu centrum NCC. Co się stało z parą podsieci /25 w tabeli routingu centrum NCC?
gcloud network-connectivity hubs route-tables routes list --hub=ncc-hub --route-table=default --filter="NEXT_HOP:vpc1-ncc"
IP_CIDR_RANGE STATE TYPE NEXT_HOP HUB ROUTE_TABLE
10.1.1.0/24 ACTIVE VPC_PRIMARY_SUBNET vpc1-ncc ncc-hub default
Konfigurowanie VPC2 jako promienia NCC
gcloud network-connectivity spokes linked-vpc-network create vpc2-spoke2 \
--hub=ncc-hub \
--vpc-network=vpc2-ncc \
--global
Skonfiguruj VPC3 jako promień NCC i przypisz go do utworzonego wcześniej centrum NCC.
gcloud network-connectivity spokes linked-vpc-network create vpc3-spoke3 \
--hub=ncc-hub \
--vpc-network=vpc3-ncc \
--global
Co się stało?
ERROR: (gcloud.network-connectivity.spokes.linked-vpc-network.create) Invalid resource state for "https://www.googleapis.com/compute/v1/projects/xxxxxxxx/global/networks/vpc3-ncc": 10.3.3.0/24 (SUBNETWORK) overlaps with 10.3.3.0/24 (SUBNETWORK) from "projects/user-3p-dev/global/networks/vpc2-ncc" (peer)
Centrum NCC wykryło nakładanie się zakresu adresów IP z VPC2. Pamiętaj, że VPC2 i VPC3 zostały skonfigurowane z tą samą podsiecią IP 10.3.3.0/24.
Filtrowanie nakładających się zakresów adresów IP za pomocą eksportu z wykluczeniem
W momencie pisania tego ćwiczenia z poziomu Codelab jest znany problem, w którym użytkownicy muszą usunąć i ponownie utworzyć koła NCC, aby wprowadzić zmiany konfiguracji w filtrze eksportu.
gcloud network-connectivity spokes delete vpc2-spoke2 --global --quiet
Uwaga: usunięcie promienia VPC powiązanego z określonym środowiskiem VPC wymaga 10-minutowego okresu oczekiwania, aby można było utworzyć nowy promień odwołujący się do tego samego środowiska VPC.
gcloud network-connectivity spokes linked-vpc-network create vpc2-spoke2 \
--hub=ncc-hub \
--vpc-network=vpc2-ncc \
--exclude-export-ranges=10.3.3.0/24 \
--global
Skonfiguruj VPC3 jako promień NCC i przypisz go do utworzonego wcześniej centrum NCC. Ta próba dodania VPC3 jako promienia do NCC powinna się powieść.
gcloud network-connectivity spokes linked-vpc-network create vpc3-spoke3 \
--hub=ncc-hub \
--vpc-network=vpc3-ncc \
--exclude-export-ranges=10.3.3.0/24 \
--global
Wypisz zawartość domyślnej tabeli routingu centrum NCC i sprawdź dane wyjściowe.
gcloud network-connectivity hubs route-tables routes list --hub=ncc-hub --route_table=default
Wykluczone są nakładające się zakresy adresów IP z VPC2 i VPC3. Tabela routingu NCC Hub obsługuje wszystkie prawidłowe typy zakresów IPv4 z wyjątkiem zakresów publicznych adresów IP używanych prywatnie (PUPI).
5. NCC z ramionami międzyprojektowymi
Omówienie
Do tej pory skonfigurowałeś promienie NCC, które należą do tego samego projektu co centrum. W tej sekcji skonfigurujesz VPC jako ucho NCC w osobnym projekcie innym niż węzeł NCC, używając poleceń gCloud.
Dzięki temu właściciele projektów, którzy zarządzają własnymi sieciami VPC, mogą korzystać z łączności sieciowej z centrum NCC.
Projekty: konsola Google Cloud i Cloud Shell
W tym module będziemy korzystać z konsoli Google Cloud Platform i Cloud Shell.
Cross Project Spoke w Google Cloud Console
Konsolę Cloud Console można otworzyć na stronie https://console.cloud.google.com.
Aby ułatwić konfigurowanie Centrum łączności sieciowej, skonfiguruj w Google Cloud te elementy:
W konsoli Google Cloud na stronie selektora projektu wybierz lub utwórz projekt Google Cloud.
Uruchom Cloud Shell. Ten samouczek Codelab wykorzystuje zmienne $variables, aby ułatwić implementację konfiguracji gcloud w Cloud Shell.
gcloud auth list
gcloud config list project
gcloud config set project [YOUR-CROSSPROJECT-NAME]
xprojname=[YOUR-CROSSPROJECT-NAME]
echo $xprojname
gcloud config set compute/zone us-central1-a
gcloud config set compute/region us-central1
Role uprawnień
NCC wymaga ról uprawnień do uzyskiwania dostępu do określonych interfejsów API. Pamiętaj, aby skonfigurować użytkownika z wymaganymi rolami IAM NCC.
Administratorowi osi w wielu projektach musi być przypisana co najmniej rola uprawnień „networkconnectivity.networkSpokeManager”. ”
W tabeli poniżej znajdziesz listę ról IAM wymaganych przez administratora NCC Hub i Spoke.
Rola/opis | Uprawnienia |
networkconnectivity.networkAdmin – umożliwia administratorom sieci zarządzanie węzłami i ramieniem. | networkconnectivity.hubs.networkconnectivity.spokes. |
networkconnectivity.networkSpokeManager – umożliwia dodawanie promieni i zarządzanie nimi w centrum. Do korzystania w współdzielonym środowisku VPC, w którym projekt główny jest właścicielem centrum, ale inni administratorzy w innych projektach mogą dodawać do niego promienie dla swoich załączników. | networkconnectivity.spokes.** |
networkconnectivity.networkUsernetworkconnectivity.networkViewer – umożliwia użytkownikom sieci wyświetlanie różnych atrybutów osi i ramion. | networkconnectivity.hubs.getnetworkconnectivity.hubs.listnetworkconnectivity.spokes.getnetworkconnectivity.spokes.listnetworkconnectivity.spokes.aggregatedList |
Tworzenie środowisk VPC i podsieci w ramach projektu wspólnego
Sieć VPC zawiera podsieci, w których zainstalujesz maszynę wirtualną GCE na potrzeby weryfikacji ścieżki danych.
gcloud compute networks create xproject-vpc \
--subnet-mode custom
gcloud compute networks subnets create xprj-net-1 \
--network xproject-vpc \
--range 10.100.1.0/24 \
--region us-central1
gcloud compute networks subnets create xprj-net-2 \
--network xproject-vpc \
--range 10.100.2.0/24 \
--region us-central1
Identyfikator URI projektu w centrum NCC
Aby znaleźć identyfikator URI NCC Hub, użyj tego polecenia gcloud. W następnym kroku ścieżka URI będzie Ci potrzebna do skonfigurowania usługi NCC w ramach wielu projektów.
gcloud network-connectivity hubs describe ncc-hub
VPC Spoke w ramach projektu
Zaloguj się w innym projekcie, w którym środowisko VPC NIE JEST częścią projektu NCC Hub. W Cloud Shell użyj tego polecenia, aby skonfigurować sieć VPC jako ucho NCC.
- Wartość HUB_URI powinna być identyfikatorem URI huba w innym projekcie.
- Wartość VPC_URI powinna być w tym samym projekcie co promień.
- VPC-network określa, że VPC w tym projekcie krzyżującym się połączy się z centrum NCC w innym projekcie.
gcloud network-connectivity spokes linked-vpc-network create xproj-spoke \
--hub=projects/[YOUR-PROJECT-NAME]/locations/global/hubs/ncc-hub \
--global \
--vpc-network=xproject-vpc
.
Create request issued for: [xproj-spoke]
Waiting for operation [projects/xproject/locations/global/operations/operation-1689790411247-600dafd351158-2b862329-19b747f1] to complete...done.
Created spoke [xproj-spoke].
createTime: '2023-07-19T18:13:31.388500663Z'
hub: projects/[YOUR-PROJECT-NAME]/locations/global/hubs/ncc-hub
linkedVpcNetwork:
uri: https://www.googleapis.com/compute/v1/projects/xproject/global/networks/xproject-vpc
name: projects/xproject/locations/global/spokes/xproj-spoke
reasons:
- code: PENDING_REVIEW
message: Spoke is Pending Review
spokeType: VPC_NETWORK
state: INACTIVE
uniqueId: 46b4d091-89e2-4760-a15d-c244dcb7ad69
updateTime: '2023-07-19T18:13:38.652800902Z'
Jaki jest stan NCC w przypadku projektu międzyprojektowego? Dlaczego?
6. Odrzucanie i akceptowanie sekcji obejmującej kilka projektów
Omówienie
Administratorzy centrum NCC muszą wyraźnie zaakceptować łączenie z hubem. Zapobiega to dołączaniu przez właścicieli projektów do globalnej tabeli routingu NCC nieuprawnionych promień NCC. Po zaakceptowaniu lub odrzuceniu sekcji można ją odrzucić lub zaakceptować dowolną liczbę razy, wykonując podane powyżej polecenia.
Wróć do projektu, w którym znajduje się centrum NCC, logując się w Cloud Shell.
Identyfikowanie osób, które mogą sprawdzać projekty na poziomie interfejsu API
gcloud network-connectivity hubs list-spokes ncc-hub \
--filter="reason:PENDING_REVIEW"
Akceptowanie koła
gcloud network-connectivity hubs accept-spoke ncc-hub --spoke=xproj-spoke
Opcjonalnie: odrzucanie koła
gcloud network-connectivity spokes reject-spoke ncc-hub --spoke=xproj-spoke
--details="some reason to reject"
Wyświetlanie aktywnych kół w Hub
gcloud network-connectivity hubs list-spokes ncc-hub \
--filter="state:ACTIVE"
NAME PROJECT LOCATION TYPE STATE STATE REASON
Xproj-spoke xproj global VPC_NETWORK ACTIVE
vpc4-spoke4 user-3p-dev global VPC_NETWORK ACTIVE
vpc1-spoke1 user-3p-dev global VPC_NETWORK ACTIVE
vpc2-spoke2 user-3p-dev global VPC_NETWORK ACTIVE
vpc3-spoke3 user-3p-dev global VPC_NETWORK ACTIVE
Wyświetlanie listy tras podsieci na urządzeniu Hub
Czy w wyjściu widać trasy podsieci z promieniem między sieciami VPC?
gcloud network-connectivity hubs route-tables routes list \
--route_table=default \
--hub=ncc-hub \
--filter="NEXT_HOP:xprj-vpc"
IP_CIDR_RANGE STATE TYPE NEXT_HOP HUB ROUTE_TABLE
10.100.1.0/24 ACTIVE VPC_PRIMARY_SUBNET xprj-vpc ncc-hub default
Aktualizowanie VPC promieniowego w ramach projektu obejmującego wiele projektów za pomocą filtra „Uwzględnij eksport”
Zaloguj się w projekcie, w którym VPC NIE jest częścią projektu NCC Hub. W Cloud Shell użyj tego polecenia, aby skonfigurować sieć VPC jako ucho NCC.
- Wartość HUB_URI powinna być identyfikatorem URI huba w innym projekcie.
- Wartość VPC_URI powinna być w tym samym projekcie co promień.
- VPC-network określa, że VPC w tym projekcie krzyżującym się połączy się z centrum NCC w innym projekcie.
- Do tabeli tras centrum NCC zaimportuj tylko zakres podsieci 10.100.2.0/24
- Zanotuj wartość „ETAG” z wyjścia. Ta wartość jest generowana przez NCC i musisz ją podać administratorowi centrum NCC. Administrator centrum NCC będzie musiał podać tę wartość podczas akceptowania prośby sekcji w wielu projektach o dołączenie do centrum.
gcloud network-connectivity spokes linked-vpc-network update xproj-spoke \
--hub=projects/[YOUR-PROJECT-NAME]/locations/global/hubs/ncc-hub \
--global \
--include-export-ranges=10.100.2.0/24
Update request issued for: [xprj-vpc]
Waiting for operation [projects]/xproject/locations/global/operations/operation-1742936388803-6313100521cae-020ac5d2-58
52fbba] to complete...done.
Updated spoke [xprj-vpc].
createTime: '2025-02-14T14:25:41.996129250Z'
etag: '4'
fieldPathsPendingUpdate:
- linked_vpc_network.include_export_ranges
group: projects/xxxxxxxx/locations/global/hubs/ncc-hub/groups/default
hub: projects/xxxxxxxx/locations/global/hubs/ncc-hub
linkedVpcNetwork:
includeExportRanges:
- 10.100.2.0/24
uri: https://www.googleapis.com/compute/v1/projects/xproject/global/networks/vpc1-spoke
name: projects/xproject/locations/global/spokes/xprj-vpc
reasons:
- code: UPDATE_PENDING_REVIEW
message: Spoke update is Pending Review
spokeType: VPC_NETWORK
state: ACTIVE
uniqueId: 182e0f8f-91cf-481c-a081-ea6f7e40fb0a
updateTime: '2025-03-25T20:59:51.995734879Z'
Znajdź zaktualizowane informacje na temat interfejsów Spokes to Review w ramach interfejsów międzyprojektowych
Zaloguj się w projekcie, który hostuje centrum NCC. W Cloud Shell użyj tego polecenia, aby sprawdzić stan aktualizacji osi VPC w wielu projektach.
- Co to jest wartość ETAG? Ta wartość powinna być zgodna z wynikiem zaktualizowania szyny VPC.
gcloud network-connectivity hubs list-spokes ncc-hub \
--filter="reasons:UPDATE_PENDING_REVIEW" \
--format=yaml
Zaakceptuj zaktualizowane zmiany w osi międzyprojektowej
Użyj tego polecenia, aby zaakceptować prośbę osi międzyprojektowej o dołączenie do centrum NCC
gcloud network-connectivity hubs accept-spoke-update ncc-hub \
--spoke=https://www.googleapis.com/networkconnectivity/v1/projects/xproject/locations/global/spokes/xproj-spoke \
--spoke-etag={etag value}
Opcjonalnie odrzuć zaktualizowane zmiany z osi między projektami
Użyj polecenia, aby odrzucić prośbę o dołączenie do centrum NCC przez spoke w innym projekcie
gcloud network-connectivity hubs reject-spoke-update ncc-hub \
--spoke=https://www.googleapis.com/networkconnectivity/v1/projects/xproject/locations/global/spokes/xproj-spoke \
--details="not today" \
--spoke-etag={etag value}
Sprawdzanie, czy promień między projektami dołączył do centrum NCC
gcloud network-connectivity hubs list-spokes ncc-hub \ --filter="name:xproj-spoke"
7. Prywatny NAT między VPC
Omówienie
W tej sekcji skonfigurujesz prywatny NAT dla nakładających się zakresów podsieci między dwoma VPC. Pamiętaj, że prywatny NAT między VPC wymaga NCC.
W poprzedniej sekcji VPC2 i VPC3 są skonfigurowane z nakładającymi się zakresami podsieci „10.3.3.0/24”. Obie sieci VPC są skonfigurowane jako promień NCC, aby wykluczyć możliwość umieszczenia narosłej podsieci w tabeli tras centrum NCC. Oznacza to, że nie ma ścieżki danych na poziomie 3, która umożliwiałaby dotarcie do hostów znajdujących się w tej podsieci.
Użyj tych poleceń w projekcie centrum NCC, aby znaleźć nakładające się zakresy podsieci.
gcloud compute networks subnets list --network vpc2-ncc
gcloud compute networks subnets list --network vpc3-ncc
Jaka jest nazwa podsieci w vpc2-ncc, która zawiera nakładający się zakres adresów IP?
*Zanotuj i zapisz gdzieś nazwę podsieci. W tym zakresie skonfigurujesz źródłowy NAT.
Konfigurowanie prywatnego NAT
Przypisz przeszukiwalny zakres podsieci do ruchu źródłowego NAT z podsieci nakładającej się na VPC2. Konfigurując nienakładający się zakres podsieci za pomocą flagi „–purpose=PRIVATE_NAT”.
gcloud beta compute networks subnets create ncc2-spoke-nat \
--network=vpc2-ncc \
--region=us-central1 \
--range=10.10.10.0/29 \
--purpose=PRIVATE_NAT
Utwórz dedykowany router chmurowy, aby wykonać prywatny NAT
gcloud compute routers create private-nat-cr \
--network vpc2-ncc \
--region us-central1
Skonfiguruj router w chmurze tak, aby przekierowywał ruch do źródła NAT w zakresie 10.3.3.0/24 z sieci vpc2-ncc. W przykładowej konfiguracji poniżej „overlapping-vpc3” to nazwa nakładającej się podsieci. Słowo kluczowe „WSZYSTKIE” wskazuje, że wszystkie zakresy adresów IP w podsieci będą miały źródłowy adres NAT.
gcloud beta compute routers nats create ncc2-nat \
--router=private-nat-cr \
--type=PRIVATE \
--nat-custom-subnet-ip-ranges=overlapping-vpc3:ALL \
--router-region=us-central1
W poprzednich krokach utworzono pulę zakresów adresów IP NAT i określony podsieć, która zostanie przetłumaczona. Na tym etapie utwórz regułę NAT „1”, która przekształca pakiety sieciowe pasujące do ruchu pochodzącego z nakładającego się zakresu podsieci, jeśli sieć docelowa korzysta z ścieżki z tabeli routingu centrum NCC.
gcloud beta compute routers nats rules create 1 \
--router=private-nat-cr \
--region=us-central1 \
--match='nexthop.hub == "//networkconnectivity.googleapis.com/projects/$projectname/locations/global/hubs/ncc-hub"' \
--source-nat-active-ranges=ncc2-spoke-nat \
--nat=ncc2-nat
Sprawdzanie ścieżki danych dla prywatnego NAT
gcloud beta compute routers nats describe ncc2-nat --router=private-nat-cr
Przykładowe dane wyjściowe
enableDynamicPortAllocation: true
enableEndpointIndependentMapping: false
endpointTypes:
- ENDPOINT_TYPE_VM
name: ncc2-nat
rules:
- action:
sourceNatActiveRanges:
- https://www.googleapis.com/compute/beta/projects/xxxxxxxx/regions/us-central1/subnetworks/ncc2-spoke-nat
match: nexthop.hub == "//networkconnectivity.googleapis.com/projects/xxxxxxxx/locations/global/hubs/ncc-hub"
ruleNumber: 1
sourceSubnetworkIpRangesToNat: LIST_OF_SUBNETWORKS
subnetworks:
- name: https://www.googleapis.com/compute/beta/projects/xxxxxxxx/regions/us-central1/subnetworks/overlapping-vpc3
sourceIpRangesToNat:
- ALL_IP_RANGES
type: PRIVATE
Opcjonalnie:
- Przełącz się na konsolę internetową
- Otwórz „Usługi sieciowe > Cloud NAT > ncc2-nat”.
Sprawdź, czy dynamiczne przydzielanie portów jest domyślnie włączone.
Następnie zweryfikuj ścieżkę danych, która korzysta z prywatnej ścieżki NAT skonfigurowanej dla VPC2.
Otwórz sesję SSH do instancji vm1-vpc1-ncc i użyj polecenia tcpdump, aby przechwycić pakiety pochodzące z zakresu puli NAT "10.10.10.0/29".
vm1-vpc1-ncc
sudo tcpdump -i any net 10.10.10.0/29 -n
W chwili tworzenia tego laboratorium kodowego prywatny NAT nie obsługuje pakietów ICMP. Sesja SSH do „pNat-vm-vpc2” i użycie polecenia curl, jak pokazano poniżej, aby połączyć się z „vm1-vpc1-ncc” na porcie TCP 80.
pnat-vm-vpc2
curl 10.1.1.2 -v
Sprawdź dane wyjściowe tcpdump na hoście "vm1-vpc1-ncc." Jaki jest źródłowy adres IP, z którego pochodzi sesja TCP do naszego serwera WWW na "vm1-vpc1-ncc."
tcpdump: data link type LINUX_SLL2
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on any, link-type LINUX_SLL2 (Linux cooked v2), snapshot length 262144 bytes
19:05:27.504761 ens4 In IP 10.10.10.2.1024 > 10.1.1.2:80: Flags [S], seq 2386228656, win 65320, options [mss 1420,sackOK,TS val 3955849029 ecr 0,nop,wscale 7], length 0
19:05:27.504805 ens4 Out IP 10.1.1.2:80 > 10.10.10.2.1024: Flags [S.], seq 48316785, ack 2386228657, win 64768, options [mss 1420,sackOK,TS val 1815983704 ecr 3955849029,nop,wscale 7], length 0
<output snipped>
8. Obsługa NCC dla podsieci IPv6
Centrum łączności sieciowej obsługuje wymianę podsieci IPv6 i wymianę tras dynamicznych między wiązkami VPC NCC i wiązkami hybrydowymi. W tej sekcji skonfiguruj NCC, aby obsługiwał tryb wymiany trasy podsieci IPv6 i IPv6 w stosie podwójnym.
Utwórz nową sieć VPC dla IPv6, która będzie połączona z NCC-Hub jako wiązka VPC.
gcloud compute networks create vpc5-ncc \
--subnet-mode custom \
--enable-ula-internal-ipv6
gcloud compute networks subnets create vpc4-ipv4-subnet1 \
--network vpc5-ncc \
--range 10.5.5.0/24 \
--region us-central1
Użyj tego polecenia, aby skonfigurować VPC5 jako prom NCC i wykluczyć trasę podsieci IPv4 z eksportowania do tabeli tras centrum. Wyeksportuj sieć ULA IPv6 do tabeli tras centrum NCC.
gcloud network-connectivity spokes linked-vpc-network create vpc5-spoke5 \
--hub=ncc-hub \
--vpc-network=vpc5-ncc \
--include-export-ranges=ALL_IPV6_RANGES
--exclude-export-ranges=10.5.5.0/24
--global
Włącz VPC1 i VPC4 na potrzeby prywatnych unikalnych adresów lokalnych IPv6 (ULA). GCP automatycznie przypisze wszystkie adresy ULA z zakresu fd20::/20.
gcloud compute networks update vpc-ncc4 \
--enable-ula-internal-ipv6
gcloud compute networks update vpc-ncc1 \
--enable-ula-internal-ipv6
Utwórz w VPC1 natywną podsieć IPv6 i podsieć IPv4_v6 o podwójnym stosie
gcloud compute networks subnets create vpc1-ipv6-sn1 \
--network=vpc-ncc1 \
--stack-type=IPV6_ONLY \
--ipv6-access-type=INTERNAL \
--region=us-central1
gcloud compute networks subnets create vpc1-ipv64-sn2 \
--network=vpc-ncc1 \
--range=10.10.10.0/24 \
--stack-type=IPV4_IPV6 \
--ipv6-access-type=INTERNAL \
--region=us-east1
Tworzenie natywnej podsieci IPv6 i podsieci IPv4_v6 o podwójnym stosie w VPC4
gcloud compute networks subnets create vpc4-ipv6-sn1 \
--network=vpc-ncc4 \
--stack-type=IPV6_ONLY \
--ipv6-access-type=INTERNAL \
--region=us-central1
gcloud compute networks subnets create vpc4-ipv64-sn2 \
--network=vpc-ncc4 \
--range=10.40.40.0/24 \
--stack-type=IPV4_IPV6 \
--ipv6-access-type=INTERNAL \
--region=us-east1
W VPC1 utwórz regułę zapory sieciowej VPC IPv6, aby zezwolić na ruch pochodzący z zakresu adresów IPv6 ULA.
gcloud compute firewall-rules create allow-icmpv6-ula-ncc1 \
--network=vpc-ncc1 \
--action=allow \
--direction=ingress \
--rules=all \
--source-ranges=fd20::/20
W VPC4 utwórz regułę zapory sieciowej VPC IPv6, aby zezwolić na ruch pochodzący z zakresu adresów IP ULA IPv6.
gcloud compute firewall-rules create allow-icmpv6-ula-ncc4 \
--network=vpc-ncc4 \
--action=allow \
--direction=ingress \
--rules=all \
--source-ranges=fd20::/20
Utwórz 3 instancji GCE IPv6, aby w następnej sekcji sprawdzić łączność ścieżki danych
gcloud compute instances create vpc4-ipv6-vm \
--zone us-central1-a \
--subnet=vpc4-ipv6-sn1 \
--stack-type=IPV6_ONLY
gcloud compute instances create vpc1-ipv6-vm \
--zone us-central1-a \
--subnet=vpc1-ipv6-sn1 \
--stack-type=IPV6_ONLY
gcloud compute instances create vpc1-dual-stack-vm \
--zone us-east1-b \
--network=vpc-ncc1 \
--subnet=vpc2-ipv64-sn2 \
--stack-type=IPV4_IPV6
Sprawdzanie NCC Hub pod kątem podsieci IPv6
Sprawdź tabelę tras centrum NCC pod kątem podsieci ULA IPv6.
gcloud network-connectivity hubs route-tables routes list --route_table=default \
--hub=ncc-hub \
--filter="IP_CIDR_RANGE:fd20"
Pamiętaj, że polecenie nie wyświetla podsieci IPv6. Domyślnie podsieci IPv6 z promieni VPC NIE są uwzględniane w eksporcie do tabeli tras centrum NCC.
Listed 0 items.
Użyj poniższych poleceń gcloud, aby zaktualizować głośniki VPC1 i VPC4, aby eksportować podsieci IPv6 do tabeli tras huba NCC.
gcloud network-connectivity spokes linked-vpc-network update vpc1-spoke1 \
--global \
--include-export-ranges=ALL_IPV6_RANGES
gcloud network-connectivity spokes linked-vpc-network update vpc4-spoke4 \
--global \
--include-export-ranges=ALL_IPV6_RANGES
Ponownie sprawdź tabelę tras centrum NCC pod kątem podsieci ULA IPv6.
gcloud network-connectivity hubs route-tables routes list --route_table=default \
--hub=ncc-hub \
--filter="IP_CIDR_RANGE:fd20"
Przykładowe dane wyjściowe
IP_CIDR_RANGE PRIORITY LOCATION STATE TYPE SITE_TO_SITE NEXT_HOP HUB ROUTE_TABLE
fd20:c95:95d2:1:0:0:0:0/64 us-central1 ACTIVE VPC_PRIMARY_SUBNET N/A vpc-ncc4 ncc-hub default
fd20:90:6768:1000:0:0:0:0/64 us-east1 ACTIVE VPC_PRIMARY_SUBNET N/A vpc-ncc1 ncc-hub default
fd20:c95:95d2:1000:0:0:0:0/64 us-east1 ACTIVE VPC_PRIMARY_SUBNET N/A vpc-ncc4 ncc-hub default
fd20:90:6768:0:0:0:0:0/64 us-central1 ACTIVE VPC_PRIMARY_SUBNET N/A vpc-ncc1 ncc-hub default
9. Sprawdzanie połączenia ścieżki danych
Połączenie z ścieżką danych IPv4
Na diagramie sprawdź ścieżkę danych IPv4 między poszczególnymi maszynami wirtualnymi.
Nawiązuj połączenie SSH z instancją „vm1-vpc1-ncc” i uruchom zrzut TCP, aby prześledzić pakiety ICMP z instancji „vm2-vpc2-ncc”. Przypominamy, że ta maszyna wirtualna znajduje się w VPC2.
vm1-vpc1-ncc
sudo tcpdump -i any icmp -v -e -n
Utwórz sesję SSH do instancji vm1-vpc2-ncc i przeprowadź test ping do adresu IP instancji vm1-vpc1-ncc.
vm1-vpc2-ncc
ping 10.1.1.2
Utwórz połączenie SSH z maszyną „vm1-vpc2-ncc” i wyślij pakiet „ping” do adresu IP maszyny „vm1-vpc4-ncc”.
vm1-vpc2-ncc
ping 240.0.0.2
Łączność na ścieżce danych IPv6
Na diagramie sprawdź ścieżkę danych IP64 między każdą maszyną wirtualną.
Aby wyświetlić adresy IP każdej instancji z włączonym IPv6, użyj polecenia gcloud.
gcloud compute instances list --filter="INTERNAL_IP:fd20"
Przykładowe dane wyjściowe
NAME ZONE MACHINE_TYPE PREEMPTIBLE INTERNAL_IP EXTERNAL_IP STATUS
vpc1-ipv6-vm us-central1-a n1-standard-1 fd20:90:6768:0:0:1:0:0/96 RUNNING
vpc4-ipv6-vm us-central1-a n1-standard-1 fd20:c95:95d2:1:0:1:0:0/96 RUNNING
vpc1-dual-stack-vm us-east1-b n1-standard-1 10.10.10.3 XXX.196.137.107 RUNNING
fd20:90:6768:1000:0:1:0:0/96
Nawiązywanie sesji SSH do maszyny wirtualnej vpc1-dualstack-vm i sprawdzanie połączenia IPv6 w globalnej sieci VPC za pomocą polecenia ping adresu IPv6 maszyny wirtualnej vpc1-ipv6-vm
ping fd20:90:6768:1000:0:1::
Nawiązuj sesję SSH do „vpc1-dualstack-vm” i „ping” adresu IPv6 „vpc4-ipv6-vm”, aby sprawdzić połączenie IPv6 przez połączenie NCC.
ping fd20:c95:95d2:1:0:1::
10. Czyszczenie
Zaloguj się w Cloud Shell i usuń instancje maszyn wirtualnych w sieciach huba i witryn podrzędnych.
Usuwanie prywatnych konfiguracji NAT w VPC
gcloud beta compute routers nats rules delete 1 \
--nat=ncc2-nat \
--router=private-nat-cr \
--region=us-central1 \
--quiet
gcloud beta compute routers nats delete ncc2-nat \
--router=private-nat-cr \
--router-region=us-central1 \
--quiet
gcloud compute routers delete private-nat-cr \
--region=us-central1 \
--quiet
Usuwanie promieni ncc
gcloud network-connectivity spokes delete vpc1-spoke1 --global --quiet
gcloud network-connectivity spokes delete vpc2-spoke2 --global --quiet
gcloud network-connectivity spokes delete vpc3-spoke3 --global --quiet
gcloud network-connectivity spokes delete vpc4-spoke4 --global --quiet
Odrzucenie promienia w ramach projektu
Odrzuć promień VPC w projekcie z centrum NCC.
gcloud network-connectivity spokes reject projects/$xprojname/locations/global/spokes/xproj-spoke \--details="cleanup" \
--global
Usuwanie centrum NCC
gcloud network-connectivity hubs delete ncc-hub --quiet
Usuwanie reguł zapory sieciowej
gcloud compute firewall-rules delete ncc1-vpc-internal --quiet
gcloud compute firewall-rules delete ncc2-vpc-internal --quiet
gcloud compute firewall-rules delete ncc3-vpc-internal --quiet
gcloud compute firewall-rules delete ncc4-vpc-internal --quiet
gcloud compute firewall-rules delete ncc1-vpc-iap --quiet
gcloud compute firewall-rules delete ncc2-vpc-iap --quiet
gcloud compute firewall-rules delete ncc3-vpc-iap --quiet
gcloud compute firewall-rules delete ncc4-vpc-iap --quiet
gcloud compute firewall-rules delete allow-icmpv6-ula-ncc1
gcloud compute firewall-rules delete allow-icmpv6-ula-ncc4
Usuwanie instancji GCE
gcloud compute instances delete vm1-vpc1-ncc --zone=us-central1-a --quiet
gcloud compute instances delete vm2-vpc2-ncc --zone=us-central1-a --quiet
gcloud compute instances delete pnat-vm-vpc2 --zone=us-central1-a --quiet
gcloud compute instances delete vm1-vpc4-ncc --zone=us-east1-b --quiet
gcloud compute instances delete vpc4-ipv6-vm --zone us-central1-a --quiet
gcloud compute instances delete vpc2-dual-stack-vm --zone us-east1-b --quiet
gcloud compute instances delete vpc2-ipv6-vm --zone us-central1-a --quiet
Usuwanie podsieci VPC
gcloud compute networks subnets delete ncc2-spoke-nat --region us-central1 --quiet
gcloud compute networks subnets delete vpc1-ncc-subnet1 --region us-central1 --quiet
gcloud compute networks subnets delete vpc1-ncc-subnet2 --region us-central1 --quiet
gcloud compute networks subnets delete vpc1-ncc-subnet3 --region us-central1 --quiet
gcloud compute networks subnets delete vpc2-ncc-subnet1 --region us-central1 --quiet
gcloud compute networks subnets delete overlapping-vpc2 --region us-central1 --quiet
gcloud compute networks subnets delete overlapping-vpc3 --region us-central1 --quiet
gcloud compute networks subnets delete benchmark-testing-rfc2544 --region us-east1 --quiet
gcloud compute networks subnets delete class-e-rfc5735 --region us-east1 --quiet
gcloud compute networks subnets delete ietf-protcol-assignment-rfc6890 --region us-east1 --quiet
gcloud compute networks subnets delete ipv6-4-relay-rfc7526 --region us-east1 --quiet
gcloud compute networks subnets delete pupi --region us-east1 --quiet
gcloud compute networks subnets delete test-net-1-rfc5737 --region us-east1 --quiet
gcloud compute networks subnets delete test-net-2-rfc5737 --region us-east1 --quiet
gcloud compute networks subnets delete test-net-3-rfc5737 --region us-east1 --quiet
gcloud compute networks subnets delete vpc1-ipv64-sn2 --region=us-east1 --quiet
gcloud compute networks subnets delete vpc1-ipv6-sn1 --region=us-central1 --quiet
gcloud compute networks subnets delete vpc4-ipv64-sn2 --region=us-east1 --quiet
gcloud compute networks subnets delete vpc4-ipv6-sn1 --region=us-central1 --quiet
Usuwanie sieci VPC
gcloud compute networks delete vpc1-ncc vpc2-ncc vpc3-ncc vpc4-ncc
--quiet
11. Gratulacje!
Moduł Network Connectivity Center został ukończony.
Omówione zagadnienia
- Konfiguracja sieci VPC z pełnym połączeniem równorzędnym z centrum NCC
- Filtr wykluczenia promieni NCC
- Pomoc dotycząca usługi Spoke w wielu projektach
- Prywatny NAT między VPC
Następne kroki
©Google, LLC lub jej podmioty stowarzyszone. Wszelkie prawa zastrzeżone. Nie rozpowszechniaj.