שירותים מנוהלים של ממשק Connect לשירות פרטי

1. מבוא

ממשק Private Service Connect הוא משאב שמאפשר לרשת של ענן וירטואלי פרטי (VPC) של בעל שירות ליזום חיבורים ליעדים שונים ברשת VPC של צרכן. רשתות של יצרנים וצרכנים יכולות להיות בפרויקטים ובארגונים שונים.

אם קובץ מצורף עם הרשת מקבל חיבור מממשק Private Service Connect, מערכת Google Cloud מקצה לממשק כתובת IP מרשת משנה של צרכן שצוינה על ידי הקובץ המצורף עם הרשת. הרשתות של הצרכנים והיצרנים מחוברות ויכולות לתקשר באמצעות כתובות IP פנימיות.

חיבור בין קובץ מצורף עם הרשת לבין ממשק Private Service Connect דומה לחיבור בין נקודת קצה של Private Service Connect לבין קובץ מצורף עם שירות, אבל יש שני הבדלים עיקריים:

צירוף רשת מאפשר לרשת של ספק ליזום חיבורים לרשת של צרכן (תעבורת נתונים יוצאת (egress) של שירות מנוהל), ואילו נקודת קצה (endpoint) מאפשרת לרשת של צרכן ליזום חיבורים לרשת של ספק (תעבורת נתונים נכנסת (ingress) של שירות מנוהל).
חיבור ממשק Private Service Connect הוא טרנזיטיבי. המשמעות היא שרשת יצרן יכולה לתקשר עם רשתות אחרות שמחוברות לרשת הצרכן.

מה תפַתחו

תיצרו קובץ יחיד של psc-network-attachment ב-VPC של הצרכן, וכתוצאה מכך יהיו שני ממשקי PSC בתור מערכות בק-אנד למאזן העומסים הפנימי בשכבה 4. מ-VPC tiger של המפיק, תתבצע שליחת curl אל cosmo ב-backend-vpc. ברשת ה-VPC של היצרן, תיצרו מסלול סטטי לתעבורת נתונים ליעד 192.168.20.0/28, כשהקפיצה הבאה היא מאזן העומסים הפנימי שישתמש בממשקי בק-אנד ובממשקי PSC עוקבים כדי לנתב את התעבורה אל cosmo. סקירה כללית מוצגת באיור 1.

אפשר להשתמש באותה גישה עם שירותים מנוהלים של Google שמקושרים באמצעות VPC ל-VPC של הלקוח כשמשתמשים ב-Private Service Access.

איור 1

מה תלמדו

איך יוצרים קובץ מצורף לרשת
איך יוצר יכול להשתמש בצירוף לרשת כדי ליצור ממשק PSC כקצה עורפי
איך יוצרים תקשורת מהמפיק לצרכן באמצעות ILB כנקודת הקפיצה הבאה
איך מאפשרים גישה ממכונת ה-VM של היצרן (tiger) למכונת ה-VM של הצרכן (cosmo) באמצעות קישור VPC

מה תצטרכו

פרויקט ב-Google Cloud
הרשאות IAM
אדמין של רשת מחשוב (roles/compute.networkAdmin)
אדמין מכונות של Compute (roles/compute.instanceAdmin)
אדמין לענייני אבטחה ב-Compute (roles/compute.securityAdmin)

‫2. לפני שמתחילים

עדכון הפרויקט כדי לתמוך במדריך

במדריך הזה נעשה שימוש ב-$variables כדי לעזור בהטמעה של הגדרות gcloud ב-Cloud Shell.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. הגדרת צרכן

יצירת רשת VPC של צרכן

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

יצירת תת-הרשת של צירוף הרשת של Private Service Connect

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

יצירת ה-VPC של הקצה העורפי

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom

יצירת רשתות משנה של VPC לעורף

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1

יצירת כללים לחומת האש של ה-VPC של ה-Backend

ב-Cloud Shell, יוצרים כלל תעבורת נתונים נכנסת (ingress) לתעבורה מתת-הרשת psc-network-attachment אל cosmo

gcloud compute firewall-rules create allow-ingress-to-cosmo \
    --network=backend-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

הגדרת Cloud Router ו-NAT

במדריך הזה נעשה שימוש ב-Cloud NAT להתקנת חבילת תוכנה, כי למכונה הווירטואלית אין כתובת IP ציבורית. שירות Cloud NAT מאפשר למכונות וירטואליות עם כתובות IP פרטיות לגשת לאינטרנט.

ב-Cloud Shell, יוצרים את Cloud Router.

gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1

ב-Cloud Shell, יוצרים את שער ה-NAT.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. הפעלת רכישות מתוך האפליקציה

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, צריך ליצור כלל חומת אש ש:

רלוונטי לכל מכונות ה-VM שרוצים לגשת אליהן באמצעות IAP.
מאפשר תעבורת נתונים נכנסת (ingress) מטווח כתובות ה-IP‏ ‎35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP שמשמשות את IAP להעברת TCP.

ב-Cloud Shell, יוצרים את הכלל בחומת האש של IAP.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network backend-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. יצירת מכונות וירטואליות לצרכנים

ב-Cloud Shell, יוצרים את מכונת הצרכן הווירטואלית, cosmo

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
      EOF"

משיגים ושומרים את כתובות ה-IP של המופעים:

ב-Cloud Shell, מריצים פקודת describe על המכונות הווירטואליות של Cosmo.

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. קובץ מצורף עם הרשת של Private Service Connect

קבצים מצורפים עם הרשת הם משאבים אזוריים שמייצגים את הצד של הצרכן בממשק Private Service Connect. משייכים תת-רשת אחת לקובץ מצורף לרשת, והבעלים של השירות המנוהל מקצה כתובות IP לממשק Private Service Connect מתוך תת-הרשת הזו. רשת המשנה צריכה להיות באותו אזור שבו נמצאת ההצמדה לרשת. קובץ מצורף לרשת חייב להיות באותו אזור כמו שירות היצרן.

יצירת קובץ מצורף לרשת

ב-Cloud Shell, יוצרים את קובץ הרשת המצורף.

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

רשימת הקבצים המצורפים לרשת

ב-Cloud Shell, מציגים את רשימת קבצים מצורפים לרשת.

gcloud compute network-attachments list

תארו את הקבצים המצורפים לרשת

ב-Cloud Shell, מתארים את קובץ הרשת המצורף.

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

חשוב לשים לב ל-URI של psc-network-attachment שבו ישתמש הבעלים של השירות המנוהל כשיצור את הממשקים של Private Service Connect. דוגמה:

user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. יצירת קישור בין רשתות VPC שכנות (peering) בין ה-VPC של הצרכן לבין ה-VPC של הקצה העורפי

תצטרכו ליצור קישור בין רשתות VPC שכנות (peering) בין ה-VPC של הצרכן לבין ה-VPC של הקצה העורפי. התהליך הזה משחזר את האופן שבו Google יוצרת קישוריות לרשתות VPC של לקוחות עבור שירותים מנוהלים, בנוסף לקישור בין ארגונים לקישוריות רשת. צריך להגדיר קישור בין רשתות שכנות באמצעות VPC מכל רשת VPC.

קישור בין רשתות VPC שכנות (peering) מ-VPC של צרכן ל-VPC של קצה עורפי

יצירת חיבור VPC Peering מהצרכן אל ה-VPC של ה-Backend

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks peerings create consumer-to-backend-vpc \
    --network=consumer-vpc \
    --peer-project=$projectid \
    --peer-network=backend-vpc \
    --stack-type=IPV4_ONLY

יצירת חיבור של קישור בין רשתות VPC שכנות (peering) מהקצה העורפי אל צרכן ה-VPC

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks peerings create backend-to-consumer-vpc \
    --network=backend-vpc \
    --peer-project=$projectid \
    --peer-network=consumer-vpc \
    --stack-type=IPV4_ONLY

אימות פרטי הסטטוס של קישור VPC

ב-Cloud Shell, מוודאים שחיבור ה-VPC נמצא במצב Active (פעיל) ו-Connected (מחובר).

gcloud compute networks peerings list

דוגמה:

user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

8. הגדרת Producer

יצירת ה-VPC של היצרן

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

יצירת רשתות המשנה של המפיק

בתוך Cloud Shell, יוצרים את תת-הרשת שמשמשת ל-vNIC0 של ממשקי ה-PSC

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

ב-Cloud Shell, יוצרים את רשת המשנה שמשמשת את המכונה tiger.

gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1

ב-Cloud Shell, יוצרים את רשת המשנה שמשמשת למאזן העומסים הפנימי.

gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

הגדרת Cloud Router ו-NAT

ב-Cloud Shell, יוצרים את Cloud Router.

gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1

ב-Cloud Shell, יוצרים את שער ה-NAT.

gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

הפעלת רכישות מתוך האפליקציה

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, צריך ליצור כלל חומת אש ש:

רלוונטי לכל מכונות ה-VM שרוצים לגשת אליהן באמצעות IAP.
מאפשר תעבורת נתונים נכנסת (ingress) מטווח כתובות ה-IP‏ ‎35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP שמשמשות את IAP להעברת TCP.

ב-Cloud Shell, יוצרים את הכלל בחומת האש של IAP.

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

יצירת מכונות וירטואליות של יצרנים

בתוך Cloud Shell, יוצרים את מופע המכונה הווירטואלית של הלקוח, tiger

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=prod-subnet-2 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump"

9. יצירת כללים לחומת האש של היוצר

ברשת ה-VPC של הספק, יוצרים כלל חומת אש לתעבורת נתונים נכנסת (ingress) שמאפשר תקשורת מ-prod-subnet-2 לכל המופעים ב-producer-vpc.

ב-Cloud Shell, יוצרים את כלל חומת האש של הפרודוסר.

gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging

10. יצירת ממשק Private Service Connect

במדריך הזה תיצרו שני מופעים עם קובץ מצורף עם הרשת של Private Service Connect, שישמש כקצה עורפי למאזן העומסים הפנימי.

ב-Cloud Shell, יוצרים את הממשק Private Service Connect ‏ (rabbit) ומזינים את מזהה ה-URI של קובץ מצורף עם הרשת של PSC שזוהה קודם מתוך הפלט של התיאור של קובץ מצורף עם הרשת.

gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

ב-Cloud Shell, יוצרים את הממשק של Private Service Connect ‏ (fox) ומזינים את מזהה ה-URI של קובץ מצורף עם הרשת של PSC שזוהה קודם מתוך הפלט של תיאור קובץ מצורף עם הרשת.

gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

אימות של מספר כרטיסי רשת

מוודאים שממשק ה-PSC מוגדר עם כתובת ה-IP המתאימה. vNIC0 ישתמש בתת-הרשת של היצרן prod-subnet‏ (10.20.1.0/28) ו-vNIC1 ישתמש בתת-הרשת של הצרכן intf-subnet‏ (192.168.10.0/28).

gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:

gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:

דוגמה:

user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.3
  networkIP: 192.168.10.3

11. יצירה והוספה של ארנב ושועל לקבוצה של מופעי מכונה לא מנוהלים

בקטע הבא תיצרו קבוצה של מופעי מכונה לא מנוהלים שתכלול את מופעי הממשק של PSC, ‏ rabbit ו-fox.

ב-Cloud Shell, יוצרים את קבוצת המכונות הלא מנוהלת.

gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a

ב-Cloud Shell, מוסיפים את המכונות fox ו-rabbit לקבוצת המכונות.

gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit

12. יצירת בדיקת תקינות TCP, שירותי קצה עורפיים, כלל העברה וחומת אש

ב-Cloud Shell, יוצרים את בדיקת תקינות השרת העורפי.

gcloud compute health-checks create http hc-http-80 --port=80

יוצרים את שירות ה-Backend ב-Cloud Shell

gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a

יוצרים את כלל ההעברה ב-Cloud Shell

gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1

מ-Cloud Shell יוצרים כלל לחומת האש כדי להפעיל בדיקות תקינות של קצה עורפי

gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16

13. יצירת טבלאות IP של Linux לממשקי PSC – rabbit

ממופע ממשק ה-PSC, מגדירים טבלאות IP של Linux כדי לאפשר תקשורת של היצרן עם רשתות המשנה של הצרכן.

איך מאתרים את שם מערכת ההפעלה של האורח בממשק Private Service Connect

כדי להגדיר ניתוב, צריך לדעת את שם מערכת ההפעלה של האורח בממשק Private Service Connect, שהוא שונה מהשם של הממשק ב-Google Cloud.

מתחברים למכונה הווירטואלית psc-interface, rabbit, באמצעות IAP ב-Cloud Shell.

gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מקבלים את כתובת ה-IP של מכונת psc-interface.

ip a

דוגמה:

user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 59396sec preferred_lft 59396sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 66782sec preferred_lft 66782sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

מציאת כתובת ה-IP של השער של ממשק ה-PSC

ברשימת ממשקי הרשת, מוצאים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect ושומרים אותו – לדוגמה, ens5 (vNIC1).

כדי להגדיר ניתוב, צריך לדעת את כתובת ה-IP של שער ברירת המחדל של הממשק של Private Service Connect

ב-Cloud Shell נשתמש ב-1 כי ממשק ה-PSC משויך ל-vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

הדוגמה יוצרת את שער ברירת המחדל 192.168.10.1

user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

הוספת נתיבים לתת-רשתות של משתמשים

צריך להוסיף נתיב לשער ברירת המחדל של ממשק Private Service Connect לכל רשת משנה של צרכן שמתחברת לממשק Private Service Connect. כך מוודאים שתעבורת נתונים שמיועדת לרשת הצרכנים יוצאת מממשק Private Service Connect.

אימות של טבלת ניתוב

ב-Cloud Shell, מאמתים את המסלולים הנוכחיים.

ip route show

דוגמה:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ב-Cloud Shell, מוסיפים את המסלול ל-cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

אימות של טבלת ניתוב

ב-Cloud Shell, מאמתים את המסלולים המעודכנים שנוספו.

ip route show

דוגמה:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

יצירת כללים בטבלאות של כתובות IP

ב-Cloud Shell, מאמתים את טבלאות ה-IP הנוכחיות.

sudo iptables -t nat -L -n -v

דוגמה:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

ב-Cloud Shell, מעדכנים את טבלאות כתובות ה-IP

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

ב-Cloud Shell, מאמתים את טבלאות ה-IP המעודכנות.

sudo iptables -t nat -L -n -v

דוגמה:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

14. יצירת טבלאות IP של Linux לממשקי PSC – fox

ממופע ממשק ה-PSC, מגדירים טבלאות IP של Linux כדי לאפשר תקשורת של היצרן עם רשתות המשנה של הצרכן.

איך מאתרים את שם מערכת ההפעלה של האורח בממשק Private Service Connect

כדי להגדיר ניתוב, צריך לדעת את שם מערכת ההפעלה של האורח בממשק Private Service Connect, שהוא שונה מהשם של הממשק ב-Google Cloud.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

מתחברים למכונה הווירטואלית psc-interface, ‏ fox, באמצעות IAP ב-Cloud Shell.

gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מקבלים את כתובת ה-IP של מכונת psc-interface.

ip a

דוגמה:

user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
       valid_lft 65601sec preferred_lft 65601sec
    inet6 fe80::4001:aff:fe14:103/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
       valid_lft 63910sec preferred_lft 63910sec
    inet6 fe80::4001:c0ff:fea8:a03/64 scope link 
       valid_lft forever preferred_lft forever

מציאת כתובת ה-IP של השער של ממשק ה-PSC

ברשימת ממשקי הרשת, מוצאים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect ושומרים אותו – לדוגמה, ens5 (vNIC1).

כדי להגדיר ניתוב, צריך לדעת את כתובת ה-IP של שער ברירת המחדל של הממשק של Private Service Connect

ב-Cloud Shell נשתמש ב-1 כי ממשק ה-PSC משויך ל-vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

הדוגמה יוצרת את שער ברירת המחדל 192.168.10.1

user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

הוספת נתיבים לתת-רשתות של משתמשים

אימות של טבלת ניתוב

ב-Cloud Shell, מאמתים את המסלולים הנוכחיים.

ip route show

דוגמה:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ב-Cloud Shell, מוסיפים את המסלול ל-cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

אימות של טבלת ניתוב

ב-Cloud Shell, מאמתים את המסלולים המעודכנים שנוספו.

ip route show

דוגמה:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

יצירת כללים בטבלאות של כתובות IP

ב-Cloud Shell, מאמתים את טבלאות ה-IP הנוכחיות.

sudo iptables -t nat -L -n -v

דוגמה:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

ב-Cloud Shell, מעדכנים את טבלאות ה-IP.

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

ב-Cloud Shell, מאמתים את טבלאות ה-IP המעודכנות.

sudo iptables -t nat -L -n -v

דוגמה:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

15. עדכון טבלת ניתוב

ברשת VPC של היצרן, יוצרים מסלול סטטי לרשת המשנה של הצרכן 192.168.20.0/28, וקובעים את מאזן העומסים הפנימי כצעד הבא. אחרי שיוצרים את מאזן העומסים, כל מנה (ב-VPC של היצרן) שמיועדת ליעד 192.168.20.0/28 תופנה למאזן העומסים הפנימי.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

ב-Cloud Shell, מעדכנים את טבלת הניתוב של ה-VPC של הספק עם נתיב סטטי.

gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1

16. אימות של קישוריות מוצלחת מ-tiger ל-cosmo

אימות באמצעות curl

כדי לוודא שמופע ה-VM של היצרן, tiger, יכול לתקשר עם מופע הצרכן, cosmo, נבצע curl.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

מתחברים למכונת tiger באמצעות IAP ב-Cloud Shell.

gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap

מבצעים curl מול כתובת ה-IP של cosmo שזוהתה קודם במדריך, מתוך המכונה tiger.

curl -v <cosmo's IP Address>

דוגמה:

user@tiger:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
< 
Welcome to cosmo's backend server !!

מזל טוב!! ביצעתם פקודת curl כדי לאמת את הקישוריות מ-producer-vpc ל-backend-vpc.

17. הסרת המשאבים

ב-Cloud Shell, מוחקים את רכיבי ההדרכה.

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute instances delete rabbit --zone=us-central1-a --quiet

gcloud compute instances delete fox --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer   ssh-iap-producer --quiet

gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet 

gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet

gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet

gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet

gcloud compute health-checks delete hc-http-80 --quiet

gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

gcloud compute networks delete backend-vpc --quiet

18. מזל טוב

סיימתם להגדיר ולאמת ממשק Private Service Connect, ולאמת את הקישוריות של הצרכן והספק באמצעות קישור בין רשתות VPC שכנות (peering).

יצרתם את התשתית של הצרכן והוספתם קובץ מצורף לרשת שמאפשר ליצרן ליצור מכונת VM עם כמה כרטיסי NIC כדי לגשר על התקשורת בין הצרכן ליצרן. למדתם איך אפשר להשתמש בממשק PSC כדי לתקשר עם שירותי צד ראשון (1P) או צד שלישי (3P) באמצעות קישור בין רשתות שכנות (peering) של VPC, על ידי שימוש במאזן עומסים פנימי ובנתיב סטטי ב-VPC של הספק.

שירותים מנוהלים של ממשק Connect לשירות פרטי

1. מבוא

מה תפַתחו

מה תלמדו

מה תצטרכו

‫2. לפני שמתחילים

עדכון הפרויקט כדי לתמוך במדריך

3. הגדרת צרכן

יצירת רשת VPC של צרכן

יצירת תת-הרשת של צירוף הרשת של Private Service Connect

יצירת ה-VPC של הקצה העורפי

יצירת רשתות משנה של VPC לעורף

יצירת כללים לחומת האש של ה-VPC של ה-Backend

הגדרת Cloud Router ו-NAT

4. הפעלת רכישות מתוך האפליקציה

5. יצירת מכונות וירטואליות לצרכנים

6. קובץ מצורף עם הרשת של Private Service Connect

יצירת קובץ מצורף לרשת

רשימת הקבצים המצורפים לרשת

תארו את הקבצים המצורפים לרשת

7. יצירת קישור בין רשתות VPC שכנות (peering) בין ה-VPC של הצרכן לבין ה-VPC של הקצה העורפי

קישור בין רשתות VPC שכנות (peering) מ-VPC של צרכן ל-VPC של קצה עורפי

אימות פרטי הסטטוס של קישור VPC

8. הגדרת Producer

יצירת ה-VPC של היצרן

יצירת רשתות המשנה של המפיק

הגדרת Cloud Router ו-NAT

הפעלת רכישות מתוך האפליקציה

יצירת מכונות וירטואליות של יצרנים

9. יצירת כללים לחומת האש של היוצר

10. יצירת ממשק Private Service Connect

אימות של מספר כרטיסי רשת

11. יצירה והוספה של ארנב ושועל לקבוצה של מופעי מכונה לא מנוהלים

12. יצירת בדיקת תקינות TCP, שירותי קצה עורפיים, כלל העברה וחומת אש

13. יצירת טבלאות IP של Linux לממשקי PSC – rabbit

איך מאתרים את שם מערכת ההפעלה של האורח בממשק Private Service Connect

מציאת כתובת ה-IP של השער של ממשק ה-PSC

ברשימת ממשקי הרשת, מוצאים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect ושומרים אותו – לדוגמה, ens5 (vNIC1).

הוספת נתיבים לתת-רשתות של משתמשים

אימות של טבלת ניתוב

אימות של טבלת ניתוב

יצירת כללים בטבלאות של כתובות IP

14. יצירת טבלאות IP של Linux לממשקי PSC – fox

איך מאתרים את שם מערכת ההפעלה של האורח בממשק Private Service Connect

מציאת כתובת ה-IP של השער של ממשק ה-PSC

ברשימת ממשקי הרשת, מוצאים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect ושומרים אותו – לדוגמה, ens5 (vNIC1).

הוספת נתיבים לתת-רשתות של משתמשים

אימות של טבלת ניתוב

אימות של טבלת ניתוב

יצירת כללים בטבלאות של כתובות IP

15. עדכון טבלת ניתוב

16. אימות של קישוריות מוצלחת מ-tiger ל-cosmo

אימות באמצעות curl

17. הסרת המשאבים

18. מזל טוב

מה השלב הבא?

קריאה נוספת וסרטונים

מאמרי עזרה