דף זה תורגם על ידי Cloud Translation API.

שירותים מנוהלים של ממשק Connect לשירות פרטי

1. מבוא

ממשק Private Service Connect הוא משאב שמאפשר לרשת ענן וירטואלי פרטי (VPC) של מפיק ליזום חיבורים ליעדים שונים ברשת VPC לצרכנים. הרשתות של יצרני התוכן והצרכנים יכולות להיות חלק מפרויקטים ומארגונים שונים.

אם קובץ מצורף לרשת מקבל חיבור מממשק של Private Service Connect, Google Cloud מקצה לממשק כתובת IP מרשת משנה לצרכנים שמצוינת בקובץ המצורף לרשת. הרשתות של הצרכנים והפלטפורמות של המפיקה מחוברות, והן יכולות לתקשר באמצעות כתובות IP פנימיות.

חיבור בין קובץ מצורף לרשת לבין ממשק Private Service Connect דומה לחיבור בין נקודת קצה של Private Service Connect לקובץ מצורף של שירות, אבל יש לו שני הבדלים עיקריים:

קובץ מצורף לרשת מאפשר לרשת של היצרן ליזום חיבורים לרשת של צרכנים (תעבורת נתונים יוצאת (egress) של שירות מנוהל), בעוד שנקודת קצה מאפשרת לרשת של לקוח ליצור חיבורים לרשת של הבעלים (תעבורת נתונים נכנסת (ingress) של שירות מנוהל).
חיבור של ממשק Private Service Connect הוא טרנזיטיבי. המשמעות היא שרשת של בעלים יכולה לתקשר עם רשתות אחרות שמחוברות לרשת הצרכנים.

מה תפַתחו

ייווצרו חיבור psc-network אחד ב-VPC לצרכן, וכתוצאה מכך יופיעו שני ממשקי PSC כקצוות עורפיים למאזן העומסים הפנימי L4. מהמפיק VPC tiger ישלח קובץ curl אל cosmo בקצה העורפי vpc. ב-VPC של המפיק תיצור נתיב סטטי לתנועת היעד 192.168.20.0/28 בתור מאזן העומסים הפנימי שימנף את הקצה העורפי ואת ממשקי ה-PSC הבאים כדי לנתב את התנועה אל cosmo. לסקירה כללית, ראו איור 1.

אפשר להשתמש באותה גישה גם עם שירותים שמנוהלים על ידי Google, המקושרים ל-VPC של הלקוח כשמשתמשים בגישה לשירות פרטי.

איור 1

מה תלמדו

איך ליצור קובץ מצורף לרשת
איך מפיק יכול להשתמש בקובץ מצורף לרשת כדי ליצור ממשק PSC כקצוות עורפיים
איך ליצור תקשורת בין המפיק לצרכן באמצעות ILB כצעד הבא
איך מאפשרים גישה מהמכונה הווירטואלית של היצרן (tiger) למכונה הווירטואלית לצרכנים (cosmo) דרך קישור בין רשתות שכנות (peering) ב-VPC

מה צריך להכין

פרויקט ב-Google Cloud
הרשאות IAM
אדמין רשת של Compute (roles/compute.networkAdmin)
אדמין מכונות של Compute (roles/compute.instanceAdmin)
אדמין Security של Compute (roles/compute.securityAdmin)

2. לפני שמתחילים

צריך לעדכן את הפרויקט כך שיתמוך במדריך

המדריך הזה משתמש ב-$variables כדי לעזור בהטמעת ההגדרות של gcloud ב-Cloud Shell.

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. הגדרת הצרכן

יצירת ה-VPC לצרכן

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

יצירת רשת משנה של קבצים מצורפים מסוג Private Service Connect

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

יצירת ה-VPC בקצה העורפי

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom

יצירת רשתות המשנה של ה-VPC בקצה העורפי

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1

יצירת כללי חומת האש של הקצה העורפי vpc

ב-Cloud Shell, יוצרים כלל של תעבורת נתונים נכנסת (ingress) לתעבורת נתונים מרשת המשנה psc-network-attachment אל cosmo.

gcloud compute firewall-rules create allow-ingress-to-cosmo \
    --network=backend-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

הגדרת Cloud Router ו-NAT

נעשה שימוש ב-Cloud NAT במדריך להתקנת חבילת תוכנה כי למכונה הווירטואלית אין כתובת IP ציבורית. Cloud NAT מאפשר למכונות וירטואליות עם כתובות IP פרטיות לגשת לאינטרנט.

יוצרים את הנתב Cloud Shell בתוך Cloud Shell.

gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1

יוצרים את שער NAT בתוך Cloud Shell.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. הפעלת IAP

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, יוצרים כלל של חומת אש:

המדיניות חלה על כל מכונות וירטואליות שרוצים לגשת אליהן באמצעות IAP.
תעבורת נתונים נכנסת (ingress) מטווח ה-IP 35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP שמשמשות להעברת TCP באמצעות IAP.

בתוך Cloud Shell, יוצרים את כלל חומת האש IAP.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network backend-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. יצירת מכונות וירטואליות לצרכנים

Inside Cloud Shell, יוצרים מכונת vm לצרכנים, cosmo

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
      EOF"

משיגים ומאחסנים את כתובות ה-IP של המכונות:

Inside Cloud Shell, עורכים תיאור של המכונות הווירטואליות cosmo.

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. קובץ מצורף לרשת של שירות פרטי

קבצים מצורפים לרשת הם משאבים אזוריים שמייצגים את הצד הצרכן של ממשק Private Service Connect. אתם משייכים רשת משנה יחידה לקובץ מצורף לרשת, והמפיק מקצה כתובות IP לממשק Private Service Connect מאותה רשת משנה. רשת המשנה חייבת להיות באותו אזור שבו נמצא הקובץ המצורף לרשת. קובץ מצורף של רשת חייב להיות באותו אזור שבו נמצא השירות של היצרן.

יצירת הקובץ המצורף לרשת

Inside Cloud Shell יוצרים את קובץ הרשת המצורף.

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

הצגת רשימה של הקבצים המצורפים לרשת

בתוך Cloud Shell, מציגים את רשימת הקבצים המצורפים של הרשת.

gcloud compute network-attachments list

תיאור הקבצים המצורפים לרשת

בתוך Cloud Shell, מתארים את הקובץ המצורף של הרשת.

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

יש לשים לב ל-URI psc-network-attachment שיהיה בשימוש על ידי המפיק במהלך יצירת הממשקים של חיבור לשירות פרטי. דוגמה:

user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. יצירת קישור בין רשתות שכנות (peering) של VPC בין הצרכן ל-vpc בקצה העורפי

ייווצר חיבור בין רשתות שכנות (peering) של VPC בין הצרכן לבין ה-VPC בקצה העורפי. מודל זה משקף את האופן שבו Google יוצרת קישוריות ל-VPC של לקוחות לשירותים מנוהלים, בנוסף לקישור בין רשתות שכנות (peering) בין ארגונים לצורך קישוריות רשת. צריך להגדיר קישור בין רשתות שכנות (peering) של VPC מכל VPC.

קישור VPC של לקוח לקצה העורפי של VPC שכנות (peering)

יצירת חיבור בין רשתות שכנות (peering) של VPC מהצרכן אל הקצה העורפי vpc

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud compute networks peerings create consumer-to-backend-vpc \
    --network=consumer-vpc \
    --peer-project=$projectid \
    --peer-network=backend-vpc \
    --stack-type=IPV4_ONLY

יצירת חיבור בין רשתות שכנות (peering) של VPC מהקצה העורפי ל-vpc לצרכנים

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud compute networks peerings create backend-to-consumer-vpc \
    --network=backend-vpc \
    --peer-project=$projectid \
    --peer-network=consumer-vpc \
    --stack-type=IPV4_ONLY

אימות הפרטים של מצב הקישור בין רשתות שכנות (peering) ב-VPC

בתוך Cloud Shell, מוודאים שהקישור בין רשתות שכנות (peering) של VPC נמצא בקטע Active (פעיל). ו- 'מחובר' .

gcloud compute networks peerings list

דוגמה:

user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

8. הגדרה של הכלי להפקת חדשות

יצירת ה-VPC המקורי

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

יצירת רשתות המשנה של המפיק

Inside Cloud Shell, יוצרים את רשת המשנה שמשמשת את vNIC0 של ממשקי ה-psc.

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

בתוך Cloud Shell, יוצרים את רשת המשנה שמשמשת את המכונה של טיגריס.

gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1

בתוך Cloud Shell, יוצרים את רשת המשנה שמשמשת למאזן העומסים הפנימי.

gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

הגדרת Cloud Router ו-NAT

יוצרים את הנתב Cloud Shell בתוך Cloud Shell.

gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1

יוצרים את שער NAT בתוך Cloud Shell.

gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

הפעלת IAP

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, יוצרים כלל של חומת אש:

המדיניות חלה על כל מכונות וירטואליות שרוצים לגשת אליהן באמצעות IAP.
תעבורת נתונים נכנסת (ingress) מטווח ה-IP 35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP שמשמשות להעברת TCP באמצעות IAP.

בתוך Cloud Shell, יוצרים את כלל חומת האש IAP.

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

יצירת מכונות VM של היצרן

Inside Cloud Shell, יוצרים מכונת vm לצרכנים, tiger

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=prod-subnet-2 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump"

9. יצירת כללי חומת אש של היצרן

ב-VPC של היצרן, יוצרים כלל של חומת אש לתעבורת נתונים נכנסת (ingress) שמאפשר תקשורת מ-prod-subnet-2 לכל המכונות ב-Producer-vpc.

בתוך Cloud Shell, יוצרים את כלל היצרן של חומת האש.

gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging

10. יצירת הממשק Private Service Connect

במדריך תיצור שתי מופעים עם הקובץ המצורף לרשת של שירות פרטי, שיהיו הקצה העורפי של מאזן העומסים הפנימי.

בתוך Cloud Shell, יוצרים את ממשק Private Service Connect (ארנב) ומוסיפים את ה-psc-network-attachment URI שצוין קודם לכן מהקובץ המצורף לרשת, שמתאר את הפלט.

gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

בתוך Cloud Shell, יוצרים את הממשק של Private Service Connect (fox) ומכניסים את ה-psc-network-attachment URI שצוין קודם לכן מהקובץ המצורף לרשת, שמתאר את הפלט.

gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

אימות ריבוי נקודות

בדיקה שממשק PSC מוגדר עם כתובת ה-IP המתאימה. vNIC0 תשתמש בתת-רשת המוצרים של היצרן (10.20.1.0/28) ו-vNIC1 תשתמש ב-intf-subnet לצרכנים (192.168.10.0/28).

gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:

gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:

דוגמה:

user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.3
  networkIP: 192.168.10.3

11. יצירה של ארנבים ושועל לקבוצת מכונות לא מנוהלת

בקטע הבא, יוצרים קבוצת מכונות לא מנוהלת שכוללת ארנב ושועל של מכונות ממשק PSC.

ב-Inside Cloud Shell, יוצרים את קבוצת המכונות הלא מנוהלות.

gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a

בתוך Cloud Shell מוסיפים לקבוצת המכונות 'שועל' וארנבות.

gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit

12. יצירת בדיקת תקינות של TCP, שירותים לקצה העורפי, כלל העברה חומת אש

יוצרים את בדיקת התקינות של הקצה העורפי ב-Inside Cloud Shell.

gcloud compute health-checks create http hc-http-80 --port=80

יצירת השירות לקצה העורפי Inside Cloud Shell

gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a

יצירת כלל ההעברה ב-Inside Cloud Shell

gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1

יצירת כלל של חומת אש ב-Cloud Shell כדי להפעיל בדיקות תקינות של הקצה העורפי

gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16

13. יצירת טבלאות IP של linux עבור ממשקי PSC – ארנב

ממכונת ממשק PSC, מגדירים טבלאות IP של Linux כדי לאפשר תקשורת של היצרן לרשתות המשנה של הצרכן.

איתור שם מערכת ההפעלה של האורח בממשק Private Service Connect

כדי להגדיר ניתוב, צריך לדעת מה שם ה-OS כאורח בממשק של Private Service Connect, והוא שונה משם הממשק ב-Google Cloud.

מתחברים ל-psc-interface vm, rabbit באמצעות IAP ב-Cloud Shell.

gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מקבלים את כתובת ה-IP של מכונת ה-psc-interface

ip a

דוגמה:

user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 59396sec preferred_lft 59396sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 66782sec preferred_lft 66782sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

איך מוצאים את כתובת ה-IP של השער בממשק ה-PSC

ברשימה של ממשקי הרשתות, מאתרים ומאחסנים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect. לדוגמה, ens5 (vNIC1)

כדי להגדיר ניתוב, צריך לדעת מה כתובת ה-IP של שער ברירת המחדל של ממשק Private Service Connect.

ב-Cloud Shell נשתמש בערך 1 כי ממשק PSC משויך ל-vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

הדוגמה יוצרת את ברירת המחדל של gw 192.168.10.1

user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

הוספת מסלולים לרשתות משנה לצרכנים

צריך להוסיף נתיב לשער ברירת המחדל של ממשק Private Service Connect עבור כל רשת משנה לצרכנים שמתחברת לממשק Private Service Connect. כך ניתן להבטיח שהתנועה עוברת לתעבורת נתונים יוצאת (egresss) ברשת לצרכנים מהממשק של Private Service Connect.

אימות טבלת המסלולים

מאמתים את המסלולים הנוכחיים ב-Cloud Shell.

ip route show

דוגמה:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ב-Cloud Shell, מוסיפים את המסלול אל cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

אימות טבלת המסלולים

מאמתים את המסלולים המעודכנים שנוספו ב-Cloud Shell.

ip route show

דוגמה:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

יצירת כללים לטבלאות של כתובות IP

מאמתים את טבלאות ה-IP הקיימות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

ב-Cloud Shell, עדכון טבלאות IP

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

מאמתים את טבלאות ה-IP המעודכנות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

14. יצירת טבלאות IP של linux לממשקי PSC – fox

ממכונת ממשק PSC, מגדירים טבלאות IP של Linux כדי לאפשר תקשורת של היצרן לרשתות המשנה של הצרכנים.

איתור שם מערכת ההפעלה של האורח בממשק Private Service Connect

כדי להגדיר ניתוב, צריך לדעת מה שם ה-OS כאורח בממשק של Private Service Connect, והוא שונה משם הממשק ב-Google Cloud.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

מתחברים ל-psc-interface vm, fox, באמצעות IAP ב-Cloud Shell.

gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מקבלים את כתובת ה-IP של מכונת ה-psc-interface

ip a

דוגמה:

user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
       valid_lft 65601sec preferred_lft 65601sec
    inet6 fe80::4001:aff:fe14:103/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
       valid_lft 63910sec preferred_lft 63910sec
    inet6 fe80::4001:c0ff:fea8:a03/64 scope link 
       valid_lft forever preferred_lft forever

איך מוצאים את כתובת ה-IP של השער בממשק ה-PSC

ברשימה של ממשקי הרשתות, מאתרים ומאחסנים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect. לדוגמה, ens5 (vNIC1)

כדי להגדיר ניתוב, צריך לדעת מה כתובת ה-IP של שער ברירת המחדל של ממשק Private Service Connect.

ב-Cloud Shell נשתמש בערך 1 כי ממשק PSC משויך ל-vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

הדוגמה יוצרת את ברירת המחדל של gw 192.168.10.1

user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

הוספת מסלולים לרשתות משנה לצרכנים

אימות טבלת המסלולים

מאמתים את המסלולים הנוכחיים ב-Cloud Shell.

ip route show

דוגמה:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ב-Cloud Shell, מוסיפים את המסלול אל cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

אימות טבלת המסלולים

מאמתים את המסלולים המעודכנים שנוספו ב-Cloud Shell.

ip route show

דוגמה:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

יצירת כללים לטבלאות של כתובות IP

מאמתים את טבלאות ה-IP הקיימות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

ב-Cloud Shell, עדכון IP Tables.

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

מאמתים את טבלאות ה-IP המעודכנות ב-Cloud Shell.

sudo iptables -t nat -L -n -v

דוגמה:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

15. עדכון טבלת המסלול

ב-Producer-vpc, יוצרים נתיב סטטי לרשת המשנה 192.168.20.0/28 של הצרכנים, וצעד הבא בתור מאזן העומסים הפנימי. לאחר יצירתה, כל חבילה (ב-Producer-vpc) ליעד 192.168.20.0/28 תופנה למאזן העומסים הפנימי.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

ב-Cloud Shell, מעדכנים את טבלת הנתיבים Producer-vpc עם נתיב סטטי.

gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1

16. אימות קישוריות מוצלחת מטיגריס לקוסמו

אימות Curl

בואו נוודא שמכונת ה-VM של היצרן, טיגריס, יכולה לתקשר עם המכונה של הצרכן קוסמו על ידי ביצוע curl.

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

Inside Cloud Shell מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

מתחברים למכונת הטיגריס באמצעות IAP ב-Cloud Shell.

gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap

מבצעים curl על כתובת ה-IP של cosmo שזוהתה קודם במדריך ממכונה של tiger.

curl -v <cosmo's IP Address>

דוגמה:

user@tiger:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
< 
Welcome to cosmo's backend server !!

כל הכבוד! ביצעת אימות של הקישוריות מה-Producer-vpc ל-vpc בקצה העורפי, על ידי ביצוע פקודת curl.

17. הסרת המשאבים

מוחקים את רכיבי המדריך מ-Cloud Shell.

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute instances delete rabbit --zone=us-central1-a --quiet

gcloud compute instances delete fox --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer   ssh-iap-producer --quiet

gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet 

gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet

gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet

gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet

gcloud compute health-checks delete hc-http-80 --quiet

gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

gcloud compute networks delete backend-vpc --quiet

18. מזל טוב

מזל טוב! הגדרתם ואימתתם בהצלחה את Private Service Connect Interface, ואימתתם את הקישוריות של הצרכן והמפיק בקישור VPC.

יצרתם את התשתית לצרכן, והוספתם קובץ מצורף לרשת שאפשר ליצרן ליצור VM רב-מצבי כדי לגשר בין התקשורת לצרכנים לבין נציגי הייצור. למדתם איך אפשר להשתמש בממשק PSC כדי לתקשר עם שירותי צד שלישי דרך קישור בין רשתות שכנות (peering) של VPC באמצעות מאזן עומסים פנימי ונתיב סטטי ב-vpc של היצרן.

שירותים מנוהלים של ממשק Connect לשירות פרטי

1. מבוא

מה תפַתחו

מה תלמדו

מה צריך להכין

2. לפני שמתחילים

צריך לעדכן את הפרויקט כך שיתמוך במדריך

3. הגדרת הצרכן

יצירת ה-VPC לצרכן

יצירת רשת משנה של קבצים מצורפים מסוג Private Service Connect

יצירת ה-VPC בקצה העורפי

יצירת רשתות המשנה של ה-VPC בקצה העורפי

יצירת כללי חומת האש של הקצה העורפי vpc

הגדרת Cloud Router ו-NAT

4. הפעלת IAP

5. יצירת מכונות וירטואליות לצרכנים

6. קובץ מצורף לרשת של שירות פרטי

יצירת הקובץ המצורף לרשת

הצגת רשימה של הקבצים המצורפים לרשת

תיאור הקבצים המצורפים לרשת

7. יצירת קישור בין רשתות שכנות (peering) של VPC בין הצרכן ל-vpc בקצה העורפי

קישור VPC של לקוח לקצה העורפי של VPC שכנות (peering)

אימות הפרטים של מצב הקישור בין רשתות שכנות (peering) ב-VPC

8. הגדרה של הכלי להפקת חדשות

יצירת ה-VPC המקורי

יצירת רשתות המשנה של המפיק

הגדרת Cloud Router ו-NAT

הפעלת IAP

יצירת מכונות VM של היצרן

9. יצירת כללי חומת אש של היצרן

10. יצירת הממשק Private Service Connect

אימות ריבוי נקודות

11. יצירה של ארנבים ושועל לקבוצת מכונות לא מנוהלת

12. יצירת בדיקת תקינות של TCP, שירותים לקצה העורפי, כלל העברה חומת אש

13. יצירת טבלאות IP של linux עבור ממשקי PSC – ארנב

איתור שם מערכת ההפעלה של האורח בממשק Private Service Connect

איך מוצאים את כתובת ה-IP של השער בממשק ה-PSC

ברשימה של ממשקי הרשתות, מאתרים ומאחסנים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect. לדוגמה, ens5 (vNIC1)

הוספת מסלולים לרשתות משנה לצרכנים

אימות טבלת המסלולים

אימות טבלת המסלולים

יצירת כללים לטבלאות של כתובות IP

14. יצירת טבלאות IP של linux לממשקי PSC – fox

איתור שם מערכת ההפעלה של האורח בממשק Private Service Connect

איך מוצאים את כתובת ה-IP של השער בממשק ה-PSC

ברשימה של ממשקי הרשתות, מאתרים ומאחסנים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect. לדוגמה, ens5 (vNIC1)

הוספת מסלולים לרשתות משנה לצרכנים

אימות טבלת המסלולים

אימות טבלת המסלולים

יצירת כללים לטבלאות של כתובות IP

15. עדכון טבלת המסלול

16. אימות קישוריות מוצלחת מטיגריס לקוסמו

אימות Curl

17. הסרת המשאבים

18. מזל טוב

מה השלב הבא?

המשך קריאה סרטונים

מסמכי עזר