หน้านี้ได้รับการแปลโดย Cloud Translation API

บริการที่มีการจัดการของอินเทอร์เฟซ Private Service Connect

1. บทนำ

อินเทอร์เฟซ Private Service Connect เป็นทรัพยากรที่ช่วยให้เครือข่าย Virtual Private Cloud (VPC) ของผู้ผลิตเริ่มต้นการเชื่อมต่อกับปลายทางต่างๆ ในเครือข่าย VPC ของผู้บริโภค เครือข่ายผู้ผลิตและเครือข่ายผู้บริโภคอาจอยู่ในโปรเจ็กต์และองค์กรที่แตกต่างกัน

หากไฟล์แนบเครือข่ายยอมรับการเชื่อมต่อจากอินเทอร์เฟซ Private Service Connect ทาง Google Cloud จะจัดสรรที่อยู่ IP ให้กับอินเทอร์เฟซจากซับเน็ตของผู้บริโภคที่ไฟล์แนบเครือข่ายระบุ เครือข่ายของผู้บริโภคและผู้ผลิตเชื่อมต่อกันและสื่อสารกันได้โดยใช้ที่อยู่ IP ภายใน

การเชื่อมต่อระหว่างไฟล์แนบเครือข่ายและอินเทอร์เฟซ Private Service Connect คล้ายกับการเชื่อมต่อระหว่างปลายทาง Private Service Connect กับไฟล์แนบบริการ แต่มีความแตกต่าง 2 ประการดังนี้

ไฟล์แนบเครือข่ายช่วยให้เครือข่ายผู้ผลิตเริ่มต้นการเชื่อมต่อกับเครือข่ายผู้ใช้ทั่วไป (ข้อมูลขาออกของบริการที่มีการจัดการ) ได้ ขณะที่ปลายทางช่วยให้เครือข่ายผู้บริโภคเริ่มการเชื่อมต่อกับเครือข่ายผู้ผลิต (ข้อมูลขาเข้าของบริการที่มีการจัดการ) ได้
การเชื่อมต่ออินเทอร์เฟซ Private Service Connect เป็นแบบทรานซิทีฟ ซึ่งหมายความว่าเครือข่ายผู้ผลิตสามารถสื่อสารกับเครือข่ายอื่นๆ ที่เชื่อมต่อกับเครือข่ายผู้บริโภคได้

สิ่งที่คุณจะสร้าง

คุณจะต้องสร้าง psc-network-attachment รายการเดียวใน VPC ของผู้บริโภค ซึ่งจะทำให้มีอินเทอร์เฟซ PSC 2 รายการเป็นแบ็กเอนด์สำหรับตัวจัดสรรภาระงานภายใน L4 จาก VPC ของโปรดิวเซอร์ tiger จะส่ง curl ไปยัง cosmo ใน backend-vpc ใน VPC ของผู้ผลิต คุณจะสร้างเส้นทางแบบคงที่ไปยังการจราจรของข้อมูลปลายทาง 192.168.20.0/28 ฮอพถัดไปเป็นตัวจัดสรรภาระงานภายในที่จะใช้ประโยชน์จากแบ็กเอนด์และอินเทอร์เฟซ PSC ที่ตามมาเพื่อกำหนดเส้นทางการรับส่งข้อมูลไปยัง Cosmo ดูภาพรวมได้ที่รูปที่ 1

คุณใช้แนวทางเดียวกันกับบริการที่จัดการโดย Google ซึ่งมีการเพียร์ VPC กับ VPC ของลูกค้าได้เมื่อใช้การเข้าถึงบริการส่วนตัว

รูปที่ 1

สิ่งที่คุณจะได้เรียนรู้

วิธีการสร้างไฟล์แนบเครือข่าย
วิธีที่โปรดิวเซอร์สามารถใช้ไฟล์แนบเครือข่ายเพื่อสร้างอินเทอร์เฟซ PSC เป็นแบ็กเอนด์
วิธีสร้างการสื่อสารจากผู้ผลิตไปยังผู้บริโภคโดยใช้ ILB เป็นฮอปถัดไป
วิธีอนุญาตการเข้าถึงจาก Producer VM (Tiger) ไปยัง VM ของผู้บริโภค (cosmo) ผ่านการเพียร์ VPC

สิ่งที่ต้องมี

โปรเจ็กต์ Google Cloud
สิทธิ์ IAM
ผู้ดูแลระบบเครือข่าย Compute (roles/compute.networkAdmin)
ผู้ดูแลระบบอินสแตนซ์ Compute (roles/compute.instanceAdmin)
ผู้ดูแลระบบความปลอดภัยของ Compute (roles/compute.securityAdmin)

2. ก่อนเริ่มต้น

อัปเดตโปรเจ็กต์ให้รองรับบทแนะนำ

บทแนะนำนี้ใช้ $variables เพื่อช่วยในการติดตั้งใช้งานการกำหนดค่า gcloud ใน Cloud Shell

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. การตั้งค่าผู้บริโภค

สร้าง VPC ของผู้บริโภค

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

สร้างซับเน็ตของไฟล์แนบเครือข่าย Private Service Connect

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

สร้าง VPC แบ็กเอนด์

ใน Cloud Shell ให้ทําดังนี้

gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom

สร้างซับเน็ต VPC แบ็กเอนด์

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1

สร้างกฎไฟร์วอลล์ VPC

ใน Cloud Shell ให้สร้างกฎขาเข้าสำหรับการรับส่งข้อมูลจากซับเน็ตของไฟล์แนบเครือข่าย psc ไปยัง cosmo

gcloud compute firewall-rules create allow-ingress-to-cosmo \
    --network=backend-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

การกำหนดค่า Cloud Router และ NAT

มีการใช้ Cloud NAT ในบทแนะนำสำหรับการติดตั้งแพ็กเกจซอฟต์แวร์เนื่องจากอินสแตนซ์ VM ไม่มีที่อยู่ IP สาธารณะ Cloud NAT ช่วยให้ VM ที่มีที่อยู่ IP ส่วนตัวเข้าถึงอินเทอร์เน็ตได้

สร้าง Cloud Router ใน Cloud Shell

gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1

สร้างเกตเวย์ NAT ภายใน Cloud Shell

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. เปิดใช้ IAP

หากต้องการอนุญาตให้ IAP เชื่อมต่อกับอินสแตนซ์ VM ให้สร้างกฎไฟร์วอลล์ที่มีลักษณะดังนี้

ใช้กับอินสแตนซ์ VM ทั้งหมดที่คุณต้องการให้เข้าถึงได้โดยใช้ IAP
อนุญาตการรับส่งข้อมูลขาเข้าจากช่วง IP 35.235.240.0/20 ช่วงนี้ประกอบด้วยที่อยู่ IP ทั้งหมดที่ IAP ใช้สำหรับการส่งต่อ TCP

สร้างกฎไฟร์วอลล์ IAP ใน Cloud Shell

gcloud compute firewall-rules create ssh-iap-consumer \
    --network backend-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. สร้างอินสแตนซ์ VM ของผู้บริโภค

สร้างอินสแตนซ์ VM ของผู้บริโภคชื่อ cosmo ใน Cloud Shell

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
      EOF"

รับและจัดเก็บที่อยู่ IP ของอินสแตนซ์ ดังนี้

ภายใน Cloud Shell ให้ดำเนินการอธิบายอินสแตนซ์ VM ของ Cosmo

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. ไฟล์แนบเครือข่าย Private Service Connect

ไฟล์แนบเครือข่ายคือทรัพยากรระดับภูมิภาคที่แสดงถึงฝั่งผู้บริโภคของอินเทอร์เฟซ Private Service Connect คุณเชื่อมโยงซับเน็ตรายการเดียวกับไฟล์แนบเครือข่าย และผู้ผลิตจะกำหนด IP ให้กับอินเทอร์เฟซ Private Service Connect จากซับเน็ตดังกล่าว ซับเน็ตต้องอยู่ในภูมิภาคเดียวกับไฟล์แนบเครือข่าย ไฟล์แนบเครือข่ายต้องอยู่ในภูมิภาคเดียวกับบริการของโปรดิวเซอร์

สร้างไฟล์แนบเครือข่าย

สร้างไฟล์แนบเครือข่ายภายใน Cloud Shell

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

แสดงรายการไฟล์แนบของเครือข่าย

ใน Cloud Shell ให้แสดงรายการไฟล์แนบของเครือข่าย

gcloud compute network-attachments list

อธิบายไฟล์แนบของเครือข่าย

อธิบายไฟล์แนบเครือข่ายใน Cloud Shell

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

จด URI psc-network-attachment ที่ผู้ผลิตจะใช้เมื่อสร้างอินเทอร์เฟซ Private Service Connect ตัวอย่างด้านล่าง

user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. สร้างการเพียร์ VPC ระหว่าง VPC ของผู้บริโภคและ VPC แบ็กเอนด์

คุณจะสร้างการเชื่อมต่อการเพียร์ VPC ระหว่าง VPC ของผู้บริโภคและแบ็กเอนด์ ซึ่งจะจำลองวิธีที่ Google สร้างการเชื่อมต่อกับ VPC ของลูกค้าสำหรับบริการที่มีการจัดการ นอกเหนือจากการเพียร์ข้ามองค์กรเพื่อการเชื่อมต่อเครือข่าย ต้องกำหนดค่าการเพียร์ VPC จาก VPC แต่ละรายการ

VPC ของผู้บริโภคไปยังการเพียร์ VPC แบ็กเอนด์

สร้างการเชื่อมต่อการเพียร์ VPC จากผู้บริโภคไปยัง VPC แบ็กเอนด์

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud compute networks peerings create consumer-to-backend-vpc \
    --network=consumer-vpc \
    --peer-project=$projectid \
    --peer-network=backend-vpc \
    --stack-type=IPV4_ONLY

สร้างการเชื่อมต่อแบบเพียร์ VPC จากแบ็กเอนด์ไปยัง VPC ของผู้บริโภค

ใน Cloud Shell ให้ทําดังนี้

gcloud compute networks peerings create backend-to-consumer-vpc \
    --network=backend-vpc \
    --peer-project=$projectid \
    --peer-network=consumer-vpc \
    --stack-type=IPV4_ONLY

ตรวจสอบรายละเอียดสถานะการเพียร์ VPC

ใน Cloud Shell ให้ตรวจสอบว่าการกำหนดค่าการเพียร์ VPC อยู่ในสถานะ "ทำงานอยู่" และ "เชื่อมต่อแล้ว"

gcloud compute networks peerings list

ตัวอย่าง

user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

8. การตั้งค่า Producer

สร้าง VPC ของผู้ผลิต

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

สร้างซับเน็ตผู้ผลิต

ภายใน Cloud Shell ให้สร้างซับเน็ตที่ใช้สำหรับ vNIC0 ของอินเทอร์เฟซ psc

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

สร้างซับเน็ตที่ใช้สำหรับอินสแตนซ์ tiger ใน Cloud Shell

gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1

สร้างซับเน็ตที่ใช้สำหรับตัวจัดสรรภาระงานภายในภายใน Cloud Shell

gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

การกำหนดค่า Cloud Router และ NAT

สร้าง Cloud Router ใน Cloud Shell

gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1

สร้างเกตเวย์ NAT ภายใน Cloud Shell

gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

เปิดใช้ IAP

ใช้กับอินสแตนซ์ VM ทั้งหมดที่คุณต้องการให้เข้าถึงได้โดยใช้ IAP
อนุญาตการรับส่งข้อมูลขาเข้าจากช่วง IP 35.235.240.0/20 ช่วงนี้ประกอบด้วยที่อยู่ IP ทั้งหมดที่ IAP ใช้สำหรับการส่งต่อ TCP

สร้างกฎไฟร์วอลล์ IAP ใน Cloud Shell

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

สร้างอินสแตนซ์ VM ของผู้ผลิต

ใน Cloud Shell ให้สร้างอินสแตนซ์ VM ของผู้บริโภค เช่น Tiger

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=prod-subnet-2 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump"

9. สร้างกฎไฟร์วอลล์สำหรับผู้ผลิต

ใน VPC ผู้ผลิต ให้สร้างกฎไฟร์วอลล์ขาเข้าที่อนุญาตการสื่อสารจาก prod-subnet-2 ไปยังอินสแตนซ์ทั้งหมดใน Producer-vpc

สร้างกฎไฟร์วอลล์ผู้ผลิตใน Cloud Shell

gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging

10. สร้างอินเทอร์เฟซ Private Service Connect

อินเทอร์เฟซ Private Service Connect คือทรัพยากรที่ช่วยให้เครือข่าย Virtual Private Cloud (VPC) ของผู้ผลิตเริ่มการเชื่อมต่อกับปลายทางต่างๆ ในเครือข่าย VPC ของผู้บริโภคได้ เครือข่ายผู้ผลิตและผู้บริโภคอาจอยู่ในโปรเจ็กต์และองค์กรที่แตกต่างกันได้

ในบทแนะนำนี้ คุณจะได้สร้างอินสแตนซ์ 2 รายการที่มีไฟล์แนบเครือข่ายการเชื่อมต่อบริการส่วนตัว ซึ่งจะเป็นแบ็กเอนด์สำหรับตัวจัดสรรภาระงานภายใน

ภายใน Cloud Shell ให้สร้างอินเทอร์เฟซ Private Service Connect (rabbit) แล้วแทรก psc-network-attachment URI ที่ระบุก่อนหน้านี้จากเอาต์พุตอธิบายไฟล์แนบเครือข่าย

gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

ใน Cloud Shell ให้สร้างอินเทอร์เฟซ Private Service Connect (fox) และแทรก psc-network-attachment UR ที่ระบุไว้ก่อนหน้านี้จากเอาต์พุตอธิบายไฟล์แนบเครือข่าย

gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

การตรวจสอบความถูกต้องแบบหลายเทคนิค

ตรวจสอบความถูกต้องของอินเทอร์เฟซ PSC ที่กำหนดค่าด้วยที่อยู่ IP ที่เหมาะสม vNIC0 จะใช้ prod-subnet ของผู้สร้าง (10.20.1.0/28) และ vNIC1 จะใช้ intf-subnet ของผู้บริโภค (192.168.10.0/28)

gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:

gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:

ตัวอย่าง

user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.3
  networkIP: 192.168.10.3

11. สร้างและเพิ่มกระต่ายและสุนัขจิ้งจอกลงในกลุ่มอินสแตนซ์ที่ไม่มีการจัดการ

ในส่วนต่อไปนี้ คุณจะสร้างกลุ่มอินสแตนซ์ที่ไม่มีการจัดการซึ่งจะประกอบด้วยอินสแตนซ์อินเทอร์เฟซ PSC แบบ Rabbit และ Fox

สร้างอินสแตนซ์ที่ไม่มีการจัดการใน Cloud Shell

gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a

ใน Cloud Shell ให้เพิ่มอินสแตนซ์ fox และ rabbit ลงในกลุ่มอินสแตนซ์

gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit

12. สร้างการตรวจสอบประสิทธิภาพการทำงาน TCP, บริการแบ็กเอนด์, กฎการส่งต่อ และไฟร์วอลล์

สร้างการตรวจสอบประสิทธิภาพการทํางานของแบ็กเอนด์ใน Cloud Shell

gcloud compute health-checks create http hc-http-80 --port=80

สร้างบริการแบ็กเอนด์ใน Cloud Shell

gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a

สร้างกฎการส่งต่อใน Cloud Shell

gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1

จาก Cloud Shell ให้สร้างกฎไฟร์วอลล์เพื่อเปิดใช้การตรวจสอบประสิทธิภาพการทํางานของแบ็กเอนด์

gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16

13. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - rabbit

จากอินสแตนซ์อินเทอร์เฟซ PSC ให้กำหนดค่าตาราง IP ของ Linux เพื่ออนุญาตการสื่อสารของผู้ผลิตกับซับเน็ตของผู้บริโภค

ค้นหาชื่อระบบปฏิบัติการของผู้มาเยือนของอินเทอร์เฟซ Private Service Connect

หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบชื่อระบบปฏิบัติการของผู้ใช้ชั่วคราวของอินเทอร์เฟซ Private Service Connect ซึ่งแตกต่างจากชื่ออินเทอร์เฟซใน Google Cloud

เข้าสู่ระบบ VM psc-interface ชื่อ rabbit โดยใช้ IAP ใน Cloud Shell

gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap

ใน Cloud Shell ให้รับที่อยู่ IP ของอินสแตนซ์ psc-interface

ip a

ตัวอย่าง

user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 59396sec preferred_lft 59396sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 66782sec preferred_lft 66782sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

ค้นหา IP เกตเวย์ของอินเทอร์เฟซ PSC

ในรายการอินเทอร์เฟซเครือข่าย ให้ค้นหาและจัดเก็บชื่ออินเทอร์เฟซที่เชื่อมโยงกับที่อยู่ IP ของอินเทอร์เฟซ Private Service Connect เช่น ens5 (vNIC1)

หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบที่อยู่ IP ของเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect

ใน Cloud Shell เราจะใช้ 1 เนื่องจากอินเทอร์เฟซ PSC เชื่อมโยงกับ vNIC1

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

ตัวอย่างเช่น สร้าง gw 192.168.10.1 เริ่มต้น

user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

เพิ่มเส้นทางสำหรับซับเน็ตของผู้บริโภค

คุณต้องเพิ่มเส้นทางไปยังเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect สำหรับซับเน็ตของผู้บริโภคแต่ละรายที่เชื่อมต่อกับอินเทอร์เฟซ Private Service Connect วิธีนี้ช่วยให้มั่นใจว่าการรับส่งข้อมูลที่มีผลผูกพันสำหรับเครือข่ายผู้ใช้ทั่วไปจะออกจากอินเทอร์เฟซ Private Service Connect

ตรวจสอบตารางเส้นทาง

ใน Cloud Shell ให้ตรวจสอบเส้นทางปัจจุบัน

ip route show

ตัวอย่างเช่น

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ใน Cloud Shell ให้เพิ่มเส้นทางไปยัง cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

ตรวจสอบตารางเส้นทาง

ใน Cloud Shell ให้ตรวจสอบเส้นทางที่เพิ่มซึ่งอัปเดตแล้ว

ip route show

ตัวอย่างเช่น

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

สร้างกฎตาราง IP

ใน Cloud Shell ให้ตรวจสอบตาราง IP ปัจจุบัน

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

อัปเดตตาราง IP ใน Cloud Shell

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

ใน Cloud Shell ให้ตรวจสอบตาราง IP ที่อัปเดต

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

14. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - Fox

ค้นหาชื่อระบบปฏิบัติการของผู้มาเยือนของอินเทอร์เฟซ Private Service Connect

หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบชื่อระบบปฏิบัติการของผู้เข้าร่วมของอินเทอร์เฟซ Private Service Connect ซึ่งแตกต่างจากชื่ออินเทอร์เฟซใน Google Cloud

เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์

ใน Cloud Shell ให้ทําดังนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

เข้าสู่ระบบ VM psc-interface ชื่อ fox โดยใช้ IAP ใน Cloud Shell

gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap

ใน Cloud Shell ให้รับที่อยู่ IP ของอินสแตนซ์ psc-interface

ip a

ตัวอย่าง

user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
       valid_lft 65601sec preferred_lft 65601sec
    inet6 fe80::4001:aff:fe14:103/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
       valid_lft 63910sec preferred_lft 63910sec
    inet6 fe80::4001:c0ff:fea8:a03/64 scope link 
       valid_lft forever preferred_lft forever

ค้นหา IP เกตเวย์ของอินเทอร์เฟซ PSC

ในรายการอินเทอร์เฟซเครือข่าย ให้ค้นหาและจัดเก็บชื่ออินเทอร์เฟซที่เชื่อมโยงกับที่อยู่ IP ของอินเทอร์เฟซ Private Service Connect เช่น ens5 (vNIC1)

ใน Cloud Shell เราจะใช้ 1 เนื่องจากอินเทอร์เฟซ PSC เชื่อมโยงกับ vNIC1

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

ตัวอย่างเช่น สร้าง gw 192.168.10.1 เริ่มต้น

user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

เพิ่มเส้นทางสำหรับซับเน็ตของผู้บริโภค

ตรวจสอบตารางเส้นทาง

ใน Cloud Shell ให้ตรวจสอบเส้นทางปัจจุบัน

ip route show

ตัวอย่างเช่น

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ใน Cloud Shell ให้เพิ่มเส้นทางไปยัง cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

ตรวจสอบตารางเส้นทาง

ใน Cloud Shell ให้ตรวจสอบเส้นทางที่เพิ่มซึ่งอัปเดตแล้ว

ip route show

ตัวอย่างเช่น

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

สร้างกฎตาราง IP

ใน Cloud Shell ให้ตรวจสอบตาราง IP ปัจจุบัน

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

อัปเดตตาราง IP ใน Cloud Shell

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

ใน Cloud Shell ให้ตรวจสอบตาราง IP ที่อัปเดตแล้ว

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

15. อัปเดตตารางเส้นทาง

ใน producer-vpc ให้สร้างเส้นทางแบบคงที่ไปยังซับเน็ตของผู้บริโภค 192.168.20.0/28 โดยกำหนดฮอปถัดไปเป็นตัวจัดสรรภาระงานภายใน เมื่อสร้างแล้ว ระบบจะส่งแพ็กเกตทั้งหมด (ภายใน Producer-vpc) ไปยังปลายทาง 192.168.20.0/28 ไปยังตัวจัดสรรภาระงานภายใน

เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

ใน Cloud Shell ให้อัปเดตตารางเส้นทาง Producer-vpc ด้วยเส้นทางแบบคงที่

gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1

16. ตรวจสอบการเชื่อมต่อจาก Tiger ไปยัง Cosmo สำเร็จ

การตรวจสอบความถูกต้องของ Curl

มายืนยันว่าอินสแตนซ์ VM ของผู้ผลิตอย่าง tiger สามารถสื่อสารกับอินสแตนซ์ของผู้ใช้ cosmo ด้วยการใช้ curl

เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์

ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

เข้าสู่ระบบอินสแตนซ์ Tiger โดยใช้ IAP ใน Cloud Shell

gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap

เรียกใช้ curl กับที่อยู่ IP ของ cosmo ที่ระบุไว้ก่อนหน้านี้ในบทแนะนำจากอินสแตนซ์ tiger

curl -v <cosmo's IP Address>

ตัวอย่าง

user@tiger:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
< 
Welcome to cosmo's backend server !!

ยินดีด้วย คุณได้ตรวจสอบการเชื่อมต่อจาก producer-vpc ไปยัง backend-vpc โดยใช้คําสั่ง curl เรียบร้อยแล้ว

17. ล้างข้อมูล

ลบคอมโพเนนต์บทแนะนำจาก Cloud Shell

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute instances delete rabbit --zone=us-central1-a --quiet

gcloud compute instances delete fox --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer   ssh-iap-producer --quiet

gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet 

gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet

gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet

gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet

gcloud compute health-checks delete hc-http-80 --quiet

gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

gcloud compute networks delete backend-vpc --quiet

18. ขอแสดงความยินดี

ยินดีด้วย คุณกำหนดค่าและตรวจสอบอินเทอร์เฟซ Private Service Connect และตรวจสอบการเชื่อมต่อของผู้บริโภคและผู้ผลิตผ่านการเพียร์ VPC เรียบร้อยแล้ว

คุณสร้างโครงสร้างพื้นฐานของผู้บริโภค และเพิ่มไฟล์แนบเครือข่ายที่อนุญาตให้ผู้ผลิตสร้าง VM แบบมัลตินิกเพื่อเชื่อมการสื่อสารระหว่างผู้บริโภคและผู้ผลิต คุณได้ทราบวิธีใช้อินเทอร์เฟซ PSC เพื่อสื่อสารกับบริการของบุคคลที่หนึ่ง/บุคคลที่สามผ่านการเพียร์ VPC โดยใช้ตัวจัดสรรภาระงานภายในและเส้นทางแบบคงที่ใน VPC ของผู้ผลิต

บริการที่มีการจัดการของอินเทอร์เฟซ Private Service Connect

1. บทนำ

สิ่งที่คุณจะสร้าง

สิ่งที่คุณจะได้เรียนรู้

สิ่งที่ต้องมี

2. ก่อนเริ่มต้น

อัปเดตโปรเจ็กต์ให้รองรับบทแนะนำ

3. การตั้งค่าผู้บริโภค

สร้าง VPC ของผู้บริโภค

สร้างซับเน็ตของไฟล์แนบเครือข่าย Private Service Connect

สร้าง VPC แบ็กเอนด์

สร้างซับเน็ต VPC แบ็กเอนด์

สร้างกฎไฟร์วอลล์ VPC

การกำหนดค่า Cloud Router และ NAT

4. เปิดใช้ IAP

5. สร้างอินสแตนซ์ VM ของผู้บริโภค

6. ไฟล์แนบเครือข่าย Private Service Connect

สร้างไฟล์แนบเครือข่าย

แสดงรายการไฟล์แนบของเครือข่าย

อธิบายไฟล์แนบของเครือข่าย

7. สร้างการเพียร์ VPC ระหว่าง VPC ของผู้บริโภคและ VPC แบ็กเอนด์

VPC ของผู้บริโภคไปยังการเพียร์ VPC แบ็กเอนด์

ตรวจสอบรายละเอียดสถานะการเพียร์ VPC

8. การตั้งค่า Producer

สร้าง VPC ของผู้ผลิต

สร้างซับเน็ตผู้ผลิต

การกำหนดค่า Cloud Router และ NAT

เปิดใช้ IAP

สร้างอินสแตนซ์ VM ของผู้ผลิต

9. สร้างกฎไฟร์วอลล์สำหรับผู้ผลิต

10. สร้างอินเทอร์เฟซ Private Service Connect

การตรวจสอบความถูกต้องแบบหลายเทคนิค

11. สร้างและเพิ่มกระต่ายและสุนัขจิ้งจอกลงในกลุ่มอินสแตนซ์ที่ไม่มีการจัดการ

12. สร้างการตรวจสอบประสิทธิภาพการทำงาน TCP, บริการแบ็กเอนด์, กฎการส่งต่อ และไฟร์วอลล์

13. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - rabbit

ค้นหาชื่อระบบปฏิบัติการของผู้มาเยือนของอินเทอร์เฟซ Private Service Connect

ค้นหา IP เกตเวย์ของอินเทอร์เฟซ PSC

เพิ่มเส้นทางสำหรับซับเน็ตของผู้บริโภค

ตรวจสอบตารางเส้นทาง

ตรวจสอบตารางเส้นทาง

สร้างกฎตาราง IP

14. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - Fox

ค้นหาชื่อระบบปฏิบัติการของผู้มาเยือนของอินเทอร์เฟซ Private Service Connect

ค้นหา IP เกตเวย์ของอินเทอร์เฟซ PSC

เพิ่มเส้นทางสำหรับซับเน็ตของผู้บริโภค

ตรวจสอบตารางเส้นทาง

ตรวจสอบตารางเส้นทาง

สร้างกฎตาราง IP

15. อัปเดตตารางเส้นทาง

16. ตรวจสอบการเชื่อมต่อจาก Tiger ไปยัง Cosmo สำเร็จ

การตรวจสอบความถูกต้องของ Curl

17. ล้างข้อมูล

18. ขอแสดงความยินดี

ขั้นตอนถัดไป

การอ่านเพิ่มเติมและวิดีโอ

เอกสารอ้างอิง