บริการที่มีการจัดการของอินเทอร์เฟซ Private Service Connect

1. บทนำ

อินเทอร์เฟซ Private Service Connect เป็นทรัพยากรที่ช่วยให้เครือข่าย Virtual Private Cloud (VPC) ของผู้ผลิตเริ่มการเชื่อมต่อกับปลายทางต่างๆ ในเครือข่าย VPC ของผู้ใช้บริการได้ เครือข่ายผู้ผลิตและผู้บริโภคสามารถอยู่ในโปรเจ็กต์และองค์กรที่แตกต่างกันได้

หากไฟล์แนบเครือข่ายยอมรับการเชื่อมต่อจากอินเทอร์เฟซ Private Service Connect ทาง Google Cloud จะจัดสรรที่อยู่ IP จากซับเน็ตของผู้ใช้ที่ไฟล์แนบเครือข่ายระบุไว้ให้กับอินเทอร์เฟซ เครือข่ายผู้บริโภคและเครือข่ายผู้ผลิตเชื่อมต่อกันและสื่อสารกันได้โดยใช้ที่อยู่ IP ภายใน

การเชื่อมต่อระหว่างไฟล์แนบเครือข่ายกับอินเทอร์เฟซ Private Service Connect จะคล้ายกับการเชื่อมต่อระหว่างปลายทาง Private Service Connect กับไฟล์แนบบริการ แต่มีความแตกต่างที่สำคัญ 2 ประการดังนี้

ไฟล์แนบเครือข่ายช่วยให้เครือข่ายผู้ผลิตเริ่มการเชื่อมต่อกับเครือข่ายผู้บริโภค (ขาออกของบริการที่มีการจัดการ) ในขณะที่ปลายทางช่วยให้เครือข่ายผู้บริโภคเริ่มการเชื่อมต่อกับเครือข่ายผู้ผลิต (ขาเข้าของบริการที่มีการจัดการ)
การเชื่อมต่ออินเทอร์เฟซ Private Service Connect จะเป็นแบบทรานซิทีฟ ซึ่งหมายความว่าเครือข่ายผู้ผลิตสามารถสื่อสารกับเครือข่ายอื่นๆ ที่เชื่อมต่อกับเครือข่ายผู้บริโภคได้

สิ่งที่คุณจะสร้าง

คุณจะสร้าง psc-network-attachment รายการเดียวใน VPC ของผู้ใช้ ซึ่งจะส่งผลให้มีอินเทอร์เฟซ PSC 2 รายการเป็นแบ็กเอนด์ของตัวจัดสรรภาระงานภายใน L4 จาก VPC ของผู้ผลิต tiger จะส่ง curl ไปยัง cosmo ใน backend-vpc ใน VPC ของผู้ผลิต คุณจะสร้างเส้นทางแบบคงที่ไปยังการรับส่งข้อมูลปลายทาง 192.168.20.0/28 ฮอปถัดไปเป็นตัวจัดสรรภาระงานภายในที่จะใช้ประโยชน์จากอินเทอร์เฟซ PSC แบ็กเอนด์และอินเทอร์เฟซ PSC ที่ตามมาเพื่อกำหนดเส้นทางการรับส่งข้อมูลไปยัง cosmo ดูภาพรวมได้ที่รูปที่ 1

คุณสามารถใช้วิธีเดียวกันนี้กับบริการที่จัดการโดย Google ซึ่งเพียร์ VPC กับ VPC ของลูกค้าเมื่อใช้การเข้าถึงบริการส่วนตัว

รูปที่ 1

สิ่งที่คุณจะได้เรียนรู้

วิธีสร้างการเชื่อมต่อเครือข่าย
วิธีที่โปรดิวเซอร์ใช้การเชื่อมต่อเครือข่ายเพื่อสร้างอินเทอร์เฟซ PSC เป็นแบ็กเอนด์
วิธีสร้างการสื่อสารจากผู้ผลิตไปยังผู้บริโภคโดยใช้ ILB เป็นฮอปถัดไป
วิธีอนุญาตการเข้าถึงจาก VM ของผู้ผลิต (tiger) ไปยัง VM ของผู้บริโภค (cosmo) ผ่านการ Peering ของ VPC

สิ่งที่คุณต้องมี

โปรเจ็กต์ Google Cloud
สิทธิ์ IAM
ผู้ดูแลระบบเครือข่าย Compute (roles/compute.networkAdmin)
ผู้ดูแลระบบอินสแตนซ์ Compute (roles/compute.instanceAdmin)
ผู้ดูแลระบบความปลอดภัยของ Compute (roles/compute.securityAdmin)

2. ก่อนเริ่มต้น

อัปเดตโปรเจ็กต์เพื่อให้รองรับบทแนะนำ

บทแนะนำนี้ใช้ $variables เพื่อช่วยในการติดตั้งใช้งานการกำหนดค่า gcloud ใน Cloud Shell

ใน Cloud Shell ให้ทำดังนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. การตั้งค่าสำหรับผู้บริโภค

สร้าง VPC ของผู้ใช้บริการ

ใน Cloud Shell ให้ทำดังนี้

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

สร้างซับเน็ตไฟล์แนบเครือข่าย Private Service Connect

ใน Cloud Shell ให้ทำดังนี้

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

สร้าง VPC แบ็กเอนด์

ใน Cloud Shell ให้ทำดังนี้

gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom

สร้างซับเน็ต VPC ของแบ็กเอนด์

ใน Cloud Shell ให้ทำดังนี้

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1

สร้างกฎไฟร์วอลล์ backend-vpc

สร้างกฎขาเข้าสำหรับการรับส่งข้อมูลจากเครือข่ายย่อย psc-network-attachment ไปยัง cosmo ใน Cloud Shell

gcloud compute firewall-rules create allow-ingress-to-cosmo \
    --network=backend-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

การกำหนดค่า Cloud Router และ NAT

ในบทแนะนำนี้จะใช้ Cloud NAT สำหรับการติดตั้งแพ็กเกจซอฟต์แวร์เนื่องจากอินสแตนซ์ VM ไม่มีที่อยู่ IP สาธารณะ Cloud NAT ช่วยให้ VM ที่มีที่อยู่ IP ส่วนตัวเข้าถึงอินเทอร์เน็ตได้

สร้าง Cloud Router ภายใน Cloud Shell

gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1

สร้างเกตเวย์ NAT ภายใน Cloud Shell

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. เปิดใช้ IAP

หากต้องการอนุญาตให้ IAP เชื่อมต่อกับอินสแตนซ์ VM ให้สร้างกฎไฟร์วอลล์ที่มีลักษณะดังนี้

มีผลกับอินสแตนซ์ VM ทั้งหมดที่คุณต้องการให้เข้าถึงได้โดยใช้ IAP
อนุญาตการรับส่งข้อมูลขาเข้าจากช่วง IP 35.235.240.0/20 ช่วงนี้มีที่อยู่ IP ทั้งหมดที่ IAP ใช้สำหรับการส่งต่อ TCP

สร้างกฎไฟร์วอลล์ IAP ภายใน Cloud Shell

gcloud compute firewall-rules create ssh-iap-consumer \
    --network backend-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. สร้างอินสแตนซ์ VM สำหรับผู้บริโภค

สร้างอินสแตนซ์ VM ของผู้ใช้ cosmo ใน Cloud Shell

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
      EOF"

รับและจัดเก็บที่อยู่ IP ของอินสแตนซ์

ใน Cloud Shell ให้เรียกใช้คำสั่ง describe กับอินสแตนซ์ VM ของ cosmo

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. ไฟล์แนบเครือข่าย Private Service Connect

ไฟล์แนบเครือข่ายเป็นทรัพยากรระดับภูมิภาคที่แสดงฝั่งผู้บริโภคของอินเทอร์เฟซ Private Service Connect คุณเชื่อมโยงซับเน็ตเดียวกับการเชื่อมต่อเครือข่าย และผู้ผลิตจะกำหนด IP ให้กับอินเทอร์เฟซ Private Service Connect จากซับเน็ตนั้น ซับเน็ตต้องอยู่ในภูมิภาคเดียวกับการเชื่อมต่อเครือข่าย การเชื่อมต่อเครือข่ายต้องอยู่ในภูมิภาคเดียวกับบริการผู้ผลิต

สร้างการเชื่อมต่อเครือข่าย

สร้างการเชื่อมต่อเครือข่ายภายใน Cloud Shell

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

แสดงรายการการเชื่อมต่อเครือข่าย

ใน Cloud Shell ให้แสดงรายการการเชื่อมต่อเครือข่าย

gcloud compute network-attachments list

อธิบายการเชื่อมต่อเครือข่าย

ใน Cloud Shell ให้ระบุรายละเอียดของ Network Attachment

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

จด URI ของ psc-network-attachment ที่ผู้ผลิตจะใช้เมื่อสร้างอินเทอร์เฟซ Private Service Connect ตัวอย่างด้านล่าง

user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. สร้างการเพียร์ VPC ระหว่าง VPC ของผู้ใช้และ VPC ของแบ็กเอนด์

คุณจะสร้างการเชื่อมต่อการเพียร์ VPC ระหว่าง VPC ของผู้บริโภคกับ VPC ของแบ็กเอนด์ ซึ่งจะจำลองวิธีที่ Google สร้างการเชื่อมต่อกับ VPC ของลูกค้าสำหรับบริการที่มีการจัดการ นอกเหนือจากการเพียร์ข้ามองค์กรสำหรับการเชื่อมต่อเครือข่าย ต้องกำหนดค่าการเพียร์ VPC จากแต่ละ VPC

การเพียร์ VPC ของผู้ใช้กับ VPC ของแบ็กเอนด์

สร้างการเชื่อมต่อเพียร์ VPC จากผู้บริโภคไปยัง VPC ของแบ็กเอนด์

ใน Cloud Shell ให้ทำดังนี้

gcloud compute networks peerings create consumer-to-backend-vpc \
    --network=consumer-vpc \
    --peer-project=$projectid \
    --peer-network=backend-vpc \
    --stack-type=IPV4_ONLY

สร้างการเชื่อมต่อเพียร์ริ่ง VPC จากแบ็กเอนด์ไปยัง VPC ของผู้บริโภค

ใน Cloud Shell ให้ทำดังนี้

gcloud compute networks peerings create backend-to-consumer-vpc \
    --network=backend-vpc \
    --peer-project=$projectid \
    --peer-network=consumer-vpc \
    --stack-type=IPV4_ONLY

ตรวจสอบรายละเอียดสถานะการเพียร์ VPC

ใน Cloud Shell ให้ตรวจสอบว่าการ Peering VPC อยู่ในสถานะ "ใช้งานอยู่" และ "เชื่อมต่อแล้ว"

gcloud compute networks peerings list

ตัวอย่าง

user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

8. การตั้งค่า Producer

สร้าง VPC ของผู้ผลิต

ใน Cloud Shell ให้ทำดังนี้

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

สร้างซับเน็ตของโปรดิวเซอร์

สร้างซับเน็ตที่ใช้สำหรับ vNIC0 ของอินเทอร์เฟซ PSC ภายใน Cloud Shell

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

สร้างซับเน็ตที่ใช้สำหรับอินสแตนซ์ tiger ภายใน Cloud Shell

gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1

สร้างซับเน็ตที่ใช้สำหรับตัวจัดสรรภาระงานภายในใน Cloud Shell

gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

การกำหนดค่า Cloud Router และ NAT

สร้าง Cloud Router ภายใน Cloud Shell

gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1

สร้างเกตเวย์ NAT ภายใน Cloud Shell

gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

เปิดใช้ IAP

มีผลกับอินสแตนซ์ VM ทั้งหมดที่คุณต้องการให้เข้าถึงได้โดยใช้ IAP
อนุญาตการรับส่งข้อมูลขาเข้าจากช่วง IP 35.235.240.0/20 ช่วงนี้มีที่อยู่ IP ทั้งหมดที่ IAP ใช้สำหรับการส่งต่อ TCP

สร้างกฎไฟร์วอลล์ IAP ภายใน Cloud Shell

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

สร้างอินสแตนซ์ VM ของผู้ผลิต

สร้างอินสแตนซ์ VM ของผู้บริโภคชื่อ tiger ใน Cloud Shell

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=prod-subnet-2 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump"

9. สร้างกฎไฟร์วอลล์ของผู้ผลิต

ใน VPC ของผู้ผลิต ให้สร้างกฎไฟร์วอลล์ขาเข้าที่อนุญาตการสื่อสารจาก prod-subnet-2 ไปยังอินสแตนซ์ทั้งหมดใน producer-vpc

สร้างกฎไฟร์วอลล์ของผู้ผลิตภายใน Cloud Shell

gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging

10. สร้างอินเทอร์เฟซ Private Service Connect

ในบทแนะนำนี้ คุณจะสร้างอินสแตนซ์ 2 รายการที่มีไฟล์แนบเครือข่าย Private Service Connect ซึ่งจะเป็นแบ็กเอนด์ของตัวจัดสรรภาระงานภายใน

ใน Cloud Shell ให้สร้างอินเทอร์เฟซ Private Service Connect (rabbit) และแทรก URI ของ psc-network-attachment ที่ระบุไว้ก่อนหน้านี้จากเอาต์พุตของคำสั่ง network-attachment describe

gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

ใน Cloud Shell ให้สร้างอินเทอร์เฟซ Private Service Connect (fox) แล้วแทรก URI ของ psc-network-attachment ที่ระบุไว้ก่อนหน้านี้จากเอาต์พุตของคำอธิบายการแนบเครือข่าย

gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

การตรวจสอบ NIC หลายรายการ

ตรวจสอบว่าอินเทอร์เฟซ PSC ได้รับการกำหนดค่าด้วยที่อยู่ IP ที่เหมาะสม vNIC0 จะใช้ prod-subnet ของผู้ผลิต (10.20.1.0/28) และ vNIC1 จะใช้ intf-subnet ของผู้บริโภค (192.168.10.0/28)

gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:

gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:

ตัวอย่าง

user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.3
  networkIP: 192.168.10.3

11. สร้างและเพิ่มกระต่ายและสุนัขจิ้งจอกลงในกลุ่มอินสแตนซ์ที่ไม่มีการจัดการ

ในส่วนต่อไปนี้ คุณจะสร้างกลุ่มอินสแตนซ์ที่ไม่มีการจัดการซึ่งประกอบด้วยอินสแตนซ์อินเทอร์เฟซ PSC ชื่อ rabbit และ fox

สร้างกลุ่มอินสแตนซ์ที่ไม่มีการจัดการภายใน Cloud Shell

gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a

ใน Cloud Shell ให้เพิ่มอินสแตนซ์ fox และ rabbit ลงในกลุ่มอินสแตนซ์

gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit

12. สร้างการตรวจสอบประสิทธิภาพการทำงานของ TCP, บริการแบ็กเอนด์, กฎการส่งต่อ และไฟร์วอลล์

สร้างการตรวจสอบประสิทธิภาพการทำงานของแบ็กเอนด์ภายใน Cloud Shell

gcloud compute health-checks create http hc-http-80 --port=80

สร้างบริการแบ็กเอนด์ภายใน Cloud Shell

gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a

สร้างกฎการส่งต่อภายใน Cloud Shell

gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1

สร้างกฎไฟร์วอลล์จาก Cloud Shell เพื่อเปิดใช้การตรวจสอบประสิทธิภาพการทำงานของแบ็กเอนด์

gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16

13. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - rabbit

จากอินเทอร์เฟซของอินสแตนซ์ PSC ให้กำหนดค่าตาราง IP ของ Linux เพื่ออนุญาตให้ผู้ผลิตสื่อสารกับเครือข่ายย่อยของผู้บริโภค

ค้นหาชื่อระบบปฏิบัติการของผู้เข้าพักของอินเทอร์เฟซ Private Service Connect

หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบชื่อระบบปฏิบัติการของผู้มาเยือนของอินเทอร์เฟซ Private Service Connect ซึ่งแตกต่างจากชื่ออินเทอร์เฟซใน Google Cloud

เข้าสู่ระบบ VM ของ psc-interface, rabbit โดยใช้ IAP ใน Cloud Shell

gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap

ใน Cloud Shell ให้รับที่อยู่ IP ของอินสแตนซ์ psc-interface

ip a

ตัวอย่าง

user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 59396sec preferred_lft 59396sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 66782sec preferred_lft 66782sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

ค้นหา IP ของเกตเวย์ของอินเทอร์เฟซ PSC

ในรายการอินเทอร์เฟซเครือข่าย ให้ค้นหาและจัดเก็บชื่ออินเทอร์เฟซที่เชื่อมโยงกับที่อยู่ IP ของอินเทอร์เฟซ Private Service Connect เช่น ens5 (vNIC1)

หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบที่อยู่ IP ของเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect

ใน Cloud Shell เราจะใช้ 1 เนื่องจากอินเทอร์เฟซ PSC เชื่อมโยงกับ vNIC1

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

ตัวอย่างจะสร้างเกตเวย์เริ่มต้น 192.168.10.1

user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

เพิ่มเส้นทางสำหรับซับเน็ตของบัญชีทั่วไป

คุณต้องเพิ่มเส้นทางไปยังเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect สำหรับแต่ละเครือข่ายย่อยของผู้ใช้ที่เชื่อมต่อกับอินเทอร์เฟซ Private Service Connect ซึ่งจะช่วยให้มั่นใจได้ว่าการรับส่งข้อมูลที่มุ่งหน้าไปยังเครือข่ายผู้บริโภคจะออกจากอินเทอร์เฟซ Private Service Connect

ตรวจสอบตารางเส้นทาง

ตรวจสอบเส้นทางปัจจุบันใน Cloud Shell

ip route show

ตัวอย่างเช่น

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ใน Cloud Shell ให้เพิ่มเส้นทางไปยัง cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

ตรวจสอบตารางเส้นทาง

ใน Cloud Shell ให้ตรวจสอบเส้นทางที่เพิ่มและอัปเดต

ip route show

ตัวอย่างเช่น

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

สร้างกฎตาราง IP

ตรวจสอบตาราง IP ปัจจุบันใน Cloud Shell

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

อัปเดตตาราง IP ใน Cloud Shell

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

ใน Cloud Shell ให้ตรวจสอบตาราง IP ที่อัปเดตแล้ว

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

14. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - fox

ค้นหาชื่อระบบปฏิบัติการของผู้เข้าพักของอินเทอร์เฟซ Private Service Connect

เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์

ใน Cloud Shell ให้ทำดังนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

เข้าสู่ระบบ VM ของอินเทอร์เฟซ PSC, fox โดยใช้ IAP ใน Cloud Shell

gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap

ใน Cloud Shell ให้รับที่อยู่ IP ของอินสแตนซ์ psc-interface

ip a

ตัวอย่าง

user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
       valid_lft 65601sec preferred_lft 65601sec
    inet6 fe80::4001:aff:fe14:103/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
       valid_lft 63910sec preferred_lft 63910sec
    inet6 fe80::4001:c0ff:fea8:a03/64 scope link 
       valid_lft forever preferred_lft forever

ค้นหา IP ของเกตเวย์ของอินเทอร์เฟซ PSC

ในรายการอินเทอร์เฟซเครือข่าย ให้ค้นหาและจัดเก็บชื่ออินเทอร์เฟซที่เชื่อมโยงกับที่อยู่ IP ของอินเทอร์เฟซ Private Service Connect เช่น ens5 (vNIC1)

ใน Cloud Shell เราจะใช้ 1 เนื่องจากอินเทอร์เฟซ PSC เชื่อมโยงกับ vNIC1

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

ตัวอย่างจะสร้างเกตเวย์เริ่มต้น 192.168.10.1

user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

เพิ่มเส้นทางสำหรับซับเน็ตของบัญชีทั่วไป

ตรวจสอบตารางเส้นทาง

ตรวจสอบเส้นทางปัจจุบันใน Cloud Shell

ip route show

ตัวอย่างเช่น

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

ใน Cloud Shell ให้เพิ่มเส้นทางไปยัง cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

ตรวจสอบตารางเส้นทาง

ใน Cloud Shell ให้ตรวจสอบเส้นทางที่เพิ่มและอัปเดต

ip route show

ตัวอย่างเช่น

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

สร้างกฎตาราง IP

ตรวจสอบตาราง IP ปัจจุบันใน Cloud Shell

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

อัปเดตตาราง IP ใน Cloud Shell

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

ตรวจสอบตาราง IP ที่อัปเดตแล้วใน Cloud Shell

sudo iptables -t nat -L -n -v

ตัวอย่าง

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

15. อัปเดตตารางเส้นทาง

ใน producer-vpc ให้สร้างเส้นทางแบบคงที่ไปยังซับเน็ตของผู้ใช้ 192.168.20.0/28 โดยมีตัวจัดสรรภาระงานภายในเป็นฮอปถัดไป เมื่อสร้างแล้ว ระบบจะนำแพ็กเก็ตใดก็ตาม (ภายใน producer-vpc) ไปยังปลายทาง 192.168.20.0/28 ไปยังตัวจัดสรรภาระงานภายใน

เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์

ใน Cloud Shell ให้ทำดังนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

ใน Cloud Shell ให้อัปเดตตารางเส้นทางของ producer-vpc ด้วยเส้นทางแบบคงที่

gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1

16. ตรวจสอบการเชื่อมต่อจาก Tiger ไปยัง Cosmo ที่สำเร็จ

การตรวจสอบความถูกต้องของ Curl

มาตรวจสอบกันว่าอินสแตนซ์ VM ของผู้ผลิตที่ชื่อ tiger สามารถสื่อสารกับอินสแตนซ์ของผู้บริโภคที่ชื่อ cosmo ได้โดยใช้คำสั่ง curl

เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์

ใน Cloud Shell ให้ทำดังนี้

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

เข้าสู่ระบบอินสแตนซ์ tiger โดยใช้ IAP ใน Cloud Shell

gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap

เรียกใช้ curl กับที่อยู่ IP ของ cosmo ที่ระบุไว้ก่อนหน้านี้ในบทแนะนำจากอินสแตนซ์ tiger

curl -v <cosmo's IP Address>

ตัวอย่าง

user@tiger:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
< 
Welcome to cosmo's backend server !!

ขอแสดงความยินดี คุณได้ตรวจสอบการเชื่อมต่อจาก producer-vpc ไปยัง backend-vpc เรียบร้อยแล้วโดยใช้คำสั่ง curl

17. ล้างข้อมูล

ลบคอมโพเนนต์ของบทแนะนำจาก Cloud Shell

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute instances delete rabbit --zone=us-central1-a --quiet

gcloud compute instances delete fox --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer   ssh-iap-producer --quiet

gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet 

gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet

gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet

gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet

gcloud compute health-checks delete hc-http-80 --quiet

gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

gcloud compute networks delete backend-vpc --quiet

18. ขอแสดงความยินดี

ขอแสดงความยินดี คุณได้กำหนดค่าและตรวจสอบอินเทอร์เฟซ Private Service Connect รวมถึงตรวจสอบการเชื่อมต่อของผู้บริโภคและผู้ผลิตผ่านการเพียร์ VPC เรียบร้อยแล้ว

คุณสร้างโครงสร้างพื้นฐานของผู้บริโภค และเพิ่มไฟล์แนบเครือข่ายที่อนุญาตให้ผู้ผลิตสร้าง VM แบบหลาย NIC เพื่อเชื่อมต่อการสื่อสารระหว่างผู้บริโภคและผู้ผลิต คุณได้เรียนรู้วิธีใช้อินเทอร์เฟซ PSC เพื่อสื่อสารกับบริการ 1P/3P ผ่านการเพียร์ VPC โดยใช้ตัวจัดสรรภาระงานภายในและเส้นทางแบบคงที่ใน VPC ของผู้ผลิต

Cosmopup คิดว่าบทแนะนำนั้นยอดเยี่ยมมาก!!

สิ่งต่อไปที่ควรทำ

ดูบทแนะนำเหล่านี้

บริการที่มีการจัดการของอินเทอร์เฟซ Private Service Connect

1. บทนำ

สิ่งที่คุณจะสร้าง

สิ่งที่คุณจะได้เรียนรู้

สิ่งที่คุณต้องมี

2. ก่อนเริ่มต้น

อัปเดตโปรเจ็กต์เพื่อให้รองรับบทแนะนำ

3. การตั้งค่าสำหรับผู้บริโภค

สร้าง VPC ของผู้ใช้บริการ

สร้างซับเน็ตไฟล์แนบเครือข่าย Private Service Connect

สร้าง VPC แบ็กเอนด์

สร้างซับเน็ต VPC ของแบ็กเอนด์

สร้างกฎไฟร์วอลล์ backend-vpc

การกำหนดค่า Cloud Router และ NAT

4. เปิดใช้ IAP

5. สร้างอินสแตนซ์ VM สำหรับผู้บริโภค

6. ไฟล์แนบเครือข่าย Private Service Connect

สร้างการเชื่อมต่อเครือข่าย

แสดงรายการการเชื่อมต่อเครือข่าย

อธิบายการเชื่อมต่อเครือข่าย

7. สร้างการเพียร์ VPC ระหว่าง VPC ของผู้ใช้และ VPC ของแบ็กเอนด์

การเพียร์ VPC ของผู้ใช้กับ VPC ของแบ็กเอนด์

ตรวจสอบรายละเอียดสถานะการเพียร์ VPC

8. การตั้งค่า Producer

สร้าง VPC ของผู้ผลิต

สร้างซับเน็ตของโปรดิวเซอร์

การกำหนดค่า Cloud Router และ NAT

เปิดใช้ IAP

สร้างอินสแตนซ์ VM ของผู้ผลิต

9. สร้างกฎไฟร์วอลล์ของผู้ผลิต

10. สร้างอินเทอร์เฟซ Private Service Connect

การตรวจสอบ NIC หลายรายการ

11. สร้างและเพิ่มกระต่ายและสุนัขจิ้งจอกลงในกลุ่มอินสแตนซ์ที่ไม่มีการจัดการ

12. สร้างการตรวจสอบประสิทธิภาพการทำงานของ TCP, บริการแบ็กเอนด์, กฎการส่งต่อ และไฟร์วอลล์

13. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - rabbit

ค้นหาชื่อระบบปฏิบัติการของผู้เข้าพักของอินเทอร์เฟซ Private Service Connect

ค้นหา IP ของเกตเวย์ของอินเทอร์เฟซ PSC

เพิ่มเส้นทางสำหรับซับเน็ตของบัญชีทั่วไป

ตรวจสอบตารางเส้นทาง

ตรวจสอบตารางเส้นทาง

สร้างกฎตาราง IP

14. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - fox

ค้นหาชื่อระบบปฏิบัติการของผู้เข้าพักของอินเทอร์เฟซ Private Service Connect

ค้นหา IP ของเกตเวย์ของอินเทอร์เฟซ PSC

เพิ่มเส้นทางสำหรับซับเน็ตของบัญชีทั่วไป

ตรวจสอบตารางเส้นทาง

ตรวจสอบตารางเส้นทาง

สร้างกฎตาราง IP

15. อัปเดตตารางเส้นทาง

16. ตรวจสอบการเชื่อมต่อจาก Tiger ไปยัง Cosmo ที่สำเร็จ

การตรวจสอบความถูกต้องของ Curl

17. ล้างข้อมูล

18. ขอแสดงความยินดี

สิ่งต่อไปที่ควรทำ

อ่านเพิ่มเติมและวิดีโอ

เอกสารอ้างอิง