שירותים מנוהלים של ממשק Connect לשירות פרטי

1. מבוא

ממשק Private Service Connect הוא משאב שמאפשר לרשת ענן וירטואלי פרטי (VPC) של בעלים של שירות מנוהל ליזום חיבורים ליעדים שונים ברשת VPC של צרכן. רשתות ייצור ורשתות צרכן יכולות להיות בפרויקטים ובארגונים שונים.

אם קובץ מצורף עם רשת מקבל חיבור מממשק של Private Service Connect, ‏Google Cloud מקצה לממשק כתובת IP מרשת משנה של צרכן שצוינה בקובץ המצורף עם הרשת. הרשתות של הצרכן והבעלים מחוברות ויכולות לתקשר באמצעות כתובות IP פנימיות.

חיבור בין קובץ מצורף עם רשת לבין ממשק של Private Service Connect דומה לחיבור בין נקודת קצה של Private Service Connect לבין קובץ מצורף עם שירות, אבל יש ביניהם שני הבדלים עיקריים:

  • צירוף רשת מאפשר לרשת של בעל התוכן הדיגיטלי ליזום חיבורים לרשת של צרכן השירות (יציאה של שירות מנוהל), ואילו נקודת קצה מאפשרת לרשת של צרכן השירות ליזום חיבורים לרשת של בעל התוכן הדיגיטלי (כניסה של שירות מנוהל).
  • חיבור של ממשק Private Service Connect הוא טרנזיטיבי. המשמעות היא שרשת של יצרן יכולה לתקשר עם רשתות אחרות שמחוברות לרשת של הצרכן.

מה תפַתחו

יוצרים psc-network-attachment יחיד ב-VPC של הצרכן, וכתוצאה מכך נוצרים שני ממשקי PSC כקצוות עורפיים למאזן העומסים הפנימי ברמה L4. מה-VPC של המפיק, tiger ישלח קריאה ל-curl אל cosmo ב-backend-vpc. ב-VPC של הבעלים, יוצרים נתיב סטטי לתעבורת נתונים ליעד 192.168.20.0/28, כאשר הצעד הבא הוא מאזן העומסים הפנימי שישתמש בקצה העורפי ובממשקי ה-PSC הבאים כדי לנתב את התעבורה אל cosmo. סקירה כללית מוצגת באיור 1.

אפשר להשתמש באותה גישה עם שירותים מנוהלים של Google שמקושרים ל-VPC של הלקוח באמצעות Private Service Access.

איור 1

36dbc7f825a21cbd.png

מה תלמדו

  • איך יוצרים קובץ מצורף של רשת
  • איך יוצרים ממשק PSC כקצה עורפי באמצעות צירוף רשת של יוצרים
  • איך ליצור תקשורת מהמפיק לצרכן באמצעות ILB בתור הצעד הבא
  • איך מאפשרים גישה מהמכונה הווירטואלית של היצרן (tiger) למכונה הווירטואלית של הצרכן (cosmo) דרך קישוריות VPC

מה צריך להכין

2. לפני שמתחילים

עדכון הפרויקט כך שיתמוך במדריך

במדריך הזה נעשה שימוש במשתני $כדי לעזור בהטמעת ההגדרות של gcloud ב-Cloud Shell.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. הגדרת הצרכן

יצירת VPC של הצרכן

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

יצירת תת-הרשת של קובץ המצורף עם הרשת של Private Service Connect

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

יצירת VPC לקצה העורפי

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom

יצירת רשתות המשנה של VPC לקצה העורפי

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1

יצירת כללי חומת האש של backend-vpc

יוצרים ב-Cloud Shell כלל תעבורת נתונים נכנסת (ingress) לתעבורה מתת-הרשת psc-network-attachment אל cosmo

gcloud compute firewall-rules create allow-ingress-to-cosmo \
    --network=backend-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

הגדרת Cloud Router ו-NAT

במדריך הזה נעשה שימוש ב-Cloud NAT להתקנת חבילות תוכנה כי למכונה הווירטואלית אין כתובת IP ציבורית. Cloud NAT מאפשר למכונות וירטואליות עם כתובות IP פרטיות לגשת לאינטרנט.

יוצרים את Cloud Router ב-Cloud Shell.

gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1

יוצרים את שער ה-NAT ב-Cloud Shell.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. הפעלת IAP

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, יוצרים כלל של חומת אש שמאפשר:

  • רלוונטי לכל מכונות ה-VM שרוצים לגשת אליהן באמצעות IAP.
  • הכלל מאפשר תעבורת נתונים נכנסת (ingress) מטווח כתובות ה-IP 35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP ש-IAP משתמש בהן להעברת TCP.

יוצרים את כלל חומת האש של IAP ב-Cloud Shell.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network backend-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. יצירת מכונות וירטואליות של צרכנים

ב-Cloud Shell, יוצרים את המכונה הווירטואלית של הצרכן, cosmo

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
      EOF"

מקבלים ומאחסנים את כתובות ה-IP של המכונות:

ב-Cloud Shell, מריצים את הפקודה describe לגבי מכונות הווירטואליות של cosmo.

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. קובץ מצורף עם הרשת של Private Service Connect

קבצים מצורפים עם רשתות הם משאבים אזוריים שמייצגים את הצד של הצרכן בממשק Private Service Connect. משייכים תת-רשת אחת לקובץ מצורף של רשת, והבעלים מקצה כתובות IP לממשק Private Service Connect מתת-הרשת הזו. תת-הרשת צריכה להיות באותו אזור שבו נמצאת הצירוף לרשת. צירוף הרשת חייב להיות באותו אזור שבו נמצא שירות הבעלים.

יצירת הצירוף לרשת

יוצרים את הצירוף לרשת ב-Cloud Shell.

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

הצגת רשימת הקבצים המצורפים לרשת

ב-Cloud Shell, מציגים את רשימת הצירופים לרשת.

gcloud compute network-attachments list

תיאור הקבצים המצורפים לרשת

ב-Cloud Shell, מתארים את הקובץ המצורף של הרשת.

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

שימו לב למזהה ה-URI של psc-network-attachment שבו המפיק ישתמש כשיוצר את ממשקי Private Service Connect. דוגמה:

user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. יוצרים קישור בין רשתות VPC שכנות (peering) בין הצרכן לבין VPC בקצה העורפי

יוצרים קישור בין רשתות VPC שכנות (peering) בין הצרכן לבין VPC הקצה העורפי. כך Google יוצרת קישוריות לרשתות ה-VPC של הלקוחות לשירותים מנוהלים, בנוסף לקישור בין רשתות של ארגונים שונים לצורך קישוריות ברשת. צריך להגדיר את הקישור בין רשתות VPC מכל VPC.

קישור בין VPC של צרכן ל-VPC לקצה העורפי

יצירת חיבור VPC peering מהצרכן ל-VPC לקצה העורפי

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks peerings create consumer-to-backend-vpc \
    --network=consumer-vpc \
    --peer-project=$projectid \
    --peer-network=backend-vpc \
    --stack-type=IPV4_ONLY

יצירת חיבור VPC peering מהקצה העורפי ל-VPC של הצרכן

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks peerings create backend-to-consumer-vpc \
    --network=backend-vpc \
    --peer-project=$projectid \
    --peer-network=consumer-vpc \
    --stack-type=IPV4_ONLY

אימות פרטי המצב של קישורי VPC

ב-Cloud Shell, מוודאים שקישור ה-VPC נמצא בסטטוס 'פעיל' ו'מחובר'.

gcloud compute networks peerings list

דוגמה:

user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

8. הגדרת המפיק

יצירת VPC של הבעלים

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

יצירת רשתות המשנה של הבעלים

ב-Cloud Shell, יוצרים את תת-הרשת שתשמש את vNIC0 של ממשקי ה-PSC.

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

ב-Cloud Shell, יוצרים את תת-הרשת שתשמש את המכונה tiger.

gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1

ב-Cloud Shell, יוצרים את תת-הרשת שתשמש את מאזן העומסים הפנימי.

gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

הגדרת Cloud Router ו-NAT

במדריך הזה נעשה שימוש ב-Cloud NAT להתקנת חבילות תוכנה כי למכונה הווירטואלית אין כתובת IP ציבורית. Cloud NAT מאפשר למכונות וירטואליות עם כתובות IP פרטיות לגשת לאינטרנט.

יוצרים את Cloud Router ב-Cloud Shell.

gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1

יוצרים את שער ה-NAT ב-Cloud Shell.

gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

הפעלת IAP

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, יוצרים כלל של חומת אש שמאפשר:

  • רלוונטי לכל מכונות ה-VM שרוצים לגשת אליהן באמצעות IAP.
  • הכלל מאפשר תעבורת נתונים נכנסת (ingress) מטווח כתובות ה-IP 35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP ש-IAP משתמש בהן להעברת TCP.

יוצרים את כלל חומת האש של IAP ב-Cloud Shell.

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

יצירת מכונות וירטואליות של גורם ייצור

יוצרים ב-Cloud Shell את המכונה הווירטואלית של הצרכן, tiger

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=prod-subnet-2 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump"

9. יצירת כללי חומת אש לבעלים של תוכן דיגיטלי

ב-VPC של הבעלים יוצרים כלל של חומת אש לתעבורת נתונים נכנסת (ingress) שמאפשר תקשורת מ-prod-subnet-2 לכל המכונות ב-producer-vpc.

יוצרים את כלל חומת האש של הבעלים ב-Cloud Shell.

gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging

10. יצירת ממשק Private Service Connect

ממשק Private Service Connect הוא משאב שמאפשר לרשת ענן וירטואלי פרטי (VPC) של בעלים של שירות מנוהל ליזום חיבורים ליעדים שונים ברשת VPC של צרכן. רשתות ייצור ורשתות צרכן יכולות להיות בפרויקטים ובארגונים שונים.

אם קובץ מצורף עם רשת מקבל חיבור מממשק של Private Service Connect, ‏Google Cloud מקצה לממשק כתובת IP מרשת משנה של צרכן שצוינה בקובץ המצורף עם הרשת. הרשתות של הצרכן והבעלים מחוברות ויכולות לתקשר באמצעות כתובות IP פנימיות.

במדריך תלמדו ליצור שתי מכונות עם קובץ מצורף עם הרשת של Private Service Connect, שיהיה הקצה העורפי של מאזן העומסים הפנימי.

ב-Cloud Shell, יוצרים את הממשק של Private Service Connect (rabbit) ומזינים את psc-network-attachment URI שזיהיתם קודם לכן, מהפלט של תיאור הקובץ המצורף עם הרשת.

gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

ב-Cloud Shell, יוצרים את הממשק של Private Service Connect ‏ (fox) ומזינים את psc-network-attachment URI שזיהיתם קודם לכן, מהפלט של תיאור הקובץ המצורף עם הרשת.

gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

אימות של כמה כתובות IP

מוודאים שממשק ה-PSC מוגדר עם כתובת ה-IP המתאימה. vNIC0 ישתמש בתת-הרשת prod-subnet של היצרן (10.20.1.0/28) ו-vNIC1 ישתמש בתת-הרשת intf-subnet של הצרכן (192.168.10.0/28).

gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:

gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:

דוגמה:

user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.3
  networkIP: 192.168.10.3

11. יצירת קבוצת מכונות לא מנוהלת והוספת rabbit ו-fox אליה

בקטע הבא תיצורו קבוצת מכונות לא מנוהלת שתכלול את מכונות הממשק של PSC, rabbit ו-fox.

יוצרים את קבוצת המכונות הלא מנוהלת ב-Cloud Shell.

gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a

ב-Cloud Shell, מוסיפים את המכונות fox ו-rabbit לקבוצת המכונות.

gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit

12. יצירת בדיקת תקינות של TCP, שירותי קצה, כלל העברה וחומת אש

יוצרים את בדיקת התקינות של הקצה העורפי ב-Cloud Shell.

gcloud compute health-checks create http hc-http-80 --port=80

יוצרים את שירות הקצה העורפי ב-Cloud Shell

gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a

יוצרים את כלל ההעברה ב-Cloud Shell

gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1

יוצרים כלל של חומת אש ב-Cloud Shell כדי להפעיל בדיקות תקינות לקצה העורפי

gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16

13. יצירת טבלאות IP של Linux לממשקי PSC – rabbit

ממכונת הממשק של PSC, מגדירים את טבלאות ה-IP של Linux כדי לאפשר תקשורת של הבעלים לתחומי המשנה של הצרכנים.

איך מוצאים את שם מערכת ההפעלה של האורח בממשק Private Service Connect

כדי להגדיר את הניתוב, צריך לדעת את שם מערכת ההפעלה של האורח בממשק Private Service Connect. השם הזה שונה משם הממשק ב-Google Cloud.

מתחברים למכונה הווירטואלית psc-interface, ‏ rabbit, באמצעות IAP ב-Cloud Shell.

gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מקבלים את כתובת ה-IP של המכונה psc-interface

ip a

דוגמה:

user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 59396sec preferred_lft 59396sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 66782sec preferred_lft 66782sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

איך מוצאים את כתובת ה-IP של השער בממשק PSC

ברשימת ממשקי הרשת, מחפשים ומאחסנים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect – לדוגמה, ens5‏ (vNIC1)

כדי להגדיר את הניתוב, צריך לדעת מה כתובת ה-IP של שער ברירת המחדל של ממשק Private Service Connect.

ב-Cloud Shell נשתמש ב-1 כי ממשק ה-PSC משויך ל-vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

הדוגמה יוצרת את ברירת המחדל של gw‏ 192.168.10.1

user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

הוספת נתיב לתת-רשתות של צרכנים

צריך להוסיף מסלול לשער ברירת המחדל של ממשק Private Service Connect לכל תת-רשת של צרכן שמחוברת לממשק Private Service Connect. כך מוודאים שתעבורת הנתונים שמקושרת לרשת של הצרכן יוצאת מהממשק של Private Service Connect.

אימות של טבלת נתיב

מאמתים את המסלולים הנוכחיים ב-Cloud Shell.

ip route show

דוגמה:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

מוסיפים את המסלול ל-cosmo-subnet-1 ב-Cloud Shell

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

אימות של טבלת נתיב

מאמתים את המסלולים העדכניים שנוספו ב-Cloud Shell.

ip route show

דוגמה:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

יצירת כללים לטבלאות IP

מאמתים את טבלאות ה-IP הנוכחיות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

עדכון טבלאות ה-IP ב-Cloud Shell

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

מאמתים את טבלאות ה-IP המעודכנות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

14. יצירת טבלאות IP של Linux לממשקי PSC – fox

ממכונת הממשק של PSC, מגדירים את טבלאות ה-IP של Linux כדי לאפשר תקשורת של הבעלים לתחומי המשנה של הצרכנים.

איך מוצאים את שם מערכת ההפעלה של האורח בממשק Private Service Connect

כדי להגדיר את הניתוב, צריך לדעת את שם מערכת ההפעלה של האורח בממשק Private Service Connect. השם הזה שונה משם הממשק ב-Google Cloud.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

מתחברים למכונה הווירטואלית psc-interface, fox, באמצעות IAP ב-Cloud Shell.

gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מקבלים את כתובת ה-IP של המכונה psc-interface

ip a

דוגמה:

user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
       valid_lft 65601sec preferred_lft 65601sec
    inet6 fe80::4001:aff:fe14:103/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
       valid_lft 63910sec preferred_lft 63910sec
    inet6 fe80::4001:c0ff:fea8:a03/64 scope link 
       valid_lft forever preferred_lft forever

איך מוצאים את כתובת ה-IP של השער בממשק PSC

ברשימת ממשקי הרשת, מחפשים ומאחסנים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect – לדוגמה, ens5‏ (vNIC1)

כדי להגדיר את הניתוב, צריך לדעת מה כתובת ה-IP של שער ברירת המחדל של ממשק Private Service Connect.

ב-Cloud Shell נשתמש ב-1 כי ממשק ה-PSC משויך ל-vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

הדוגמה יוצרת את ברירת המחדל של gw‏ 192.168.10.1

user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

הוספת נתיב לתת-רשתות של צרכנים

צריך להוסיף מסלול לשער ברירת המחדל של ממשק Private Service Connect לכל תת-רשת של צרכן שמחוברת לממשק Private Service Connect. כך מוודאים שתעבורת הנתונים שמקושרת לרשת של הצרכן יוצאת מהממשק של Private Service Connect.

אימות של טבלת נתיב

מאמתים את המסלולים הנוכחיים ב-Cloud Shell.

ip route show

דוגמה:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

מוסיפים את המסלול ל-cosmo-subnet-1 ב-Cloud Shell

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

אימות של טבלת נתיב

מאמתים את המסלולים העדכניים שנוספו ב-Cloud Shell.

ip route show

דוגמה:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

יצירת כללים לטבלאות IP

מאמתים את טבלאות ה-IP הנוכחיות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

מעדכנים את טבלאות ה-IP ב-Cloud Shell.

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

מאמתים את טבלאות ה-IP המעודכנות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

15. עדכון טבלת המסלולים

ב-producer-vpc יוצרים מסלול סטטי לתת-הרשת של הצרכנים 192.168.20.0/28, והקפיצה הבאה היא מאזן העומסים הפנימי. לאחר היצירה, כל חבילה (ב-VPC של הבעלים) ליעד 192.168.20.0/28 תועבר למאזן העומסים הפנימי.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

ב-Cloud Shell, מעדכנים את טבלת המסלולים של producer-vpc במסלול סטטי.

gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1

16. אימות קישוריות תקינה מ-tiger אל cosmo

אימות באמצעות curl

כדי לוודא שמכונה וירטואלית של המפיק, tiger, יכולה לתקשר עם המכונה של הצרכן, cosmo, נבצע הפעלה של curl.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

נכנסים למכונה tiger באמצעות IAP ב-Cloud Shell.

gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap

מבצעים פעולת curl נגד כתובת ה-IP של cosmo שזוהתה קודם במדריך, מהמכונה tiger.

curl -v <cosmo's IP Address>

דוגמה:

user@tiger:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
< 
Welcome to cosmo's backend server !!

מזל טוב!! ביצעתם פקודה של curl כדי לאמת את הקישוריות מ-producer-vpc אל backend-vpc.

17. הסרת המשאבים

מוחקים את הרכיבים של המדריך מ-Cloud Shell.

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute instances delete rabbit --zone=us-central1-a --quiet

gcloud compute instances delete fox --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer   ssh-iap-producer --quiet

gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet 

gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet

gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet

gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet

gcloud compute health-checks delete hc-http-80 --quiet

gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

gcloud compute networks delete backend-vpc --quiet

18. מזל טוב

סיימתם להגדיר ולאמת ממשק Private Service Connect, ואת הקישוריות של צרכן השירות ושל הבעלים של שירות ה-Cloud דרך קישור בין רשתות VPC שכנות (peering).

יצרתם את התשתית של הצרכן והוספתם קובץ מצורף של רשת שמאפשר ליוצר ליצור מכונה וירטואלית עם כמה כרטיסי NIC כדי ליצור גשרים לתקשורת בין הצרכן ליוצר. למדתם איך אפשר להשתמש בממשק PSC כדי לתקשר עם שירותים של צד ראשון/שלישי דרך קישור בין רשתות שכנות (VPC peering) באמצעות מאזן עומסים פנימי ומסלול סטטי ב-VPC של היוצר.

Cosmopup חושב שסרטוני הדרכה הם מדהימים!!

e6d3675ca7c6911f.jpeg

מה השלב הבא?

כדאי לעיין במדריכים הבאים...

קריאה נוספת וסרטונים

מסמכי עזרה