1. บทนำ
อินเทอร์เฟซ Private Service Connect เป็นทรัพยากรที่ช่วยให้เครือข่าย Virtual Private Cloud (VPC) ของผู้ผลิตเริ่มต้นการเชื่อมต่อกับปลายทางต่างๆ ในเครือข่าย VPC ของผู้บริโภค เครือข่ายผู้ผลิตและผู้บริโภคอาจอยู่ในโปรเจ็กต์และองค์กรที่แตกต่างกันได้
หากไฟล์แนบเครือข่ายยอมรับการเชื่อมต่อจากอินเทอร์เฟซ Private Service Connect แล้ว Google Cloud จะจัดสรรที่อยู่ IP ให้กับอินเทอร์เฟซจากซับเน็ตของผู้ใช้ซึ่งระบุโดยไฟล์แนบเครือข่าย เครือข่ายของผู้บริโภคและผู้ผลิตเชื่อมต่อกันและสามารถสื่อสารโดยใช้ที่อยู่ IP ภายในได้
การเชื่อมต่อระหว่างไฟล์แนบเครือข่ายและอินเทอร์เฟซ Private Service Connect คล้ายกับการเชื่อมต่อระหว่างปลายทาง Private Service Connect กับไฟล์แนบบริการ แต่มีความแตกต่าง 2 ประการดังนี้
- ไฟล์แนบเครือข่ายช่วยให้เครือข่ายผู้ผลิตเริ่มต้นการเชื่อมต่อกับเครือข่ายผู้ใช้ทั่วไป (ข้อมูลขาออกของบริการที่มีการจัดการ) ได้ ในขณะที่ปลายทางช่วยให้เครือข่ายผู้บริโภคเริ่มการเชื่อมต่อกับเครือข่ายผู้ผลิต (ข้อมูลขาเข้าของบริการที่มีการจัดการ) ได้
- การเชื่อมต่ออินเทอร์เฟซ Private Service Connect เป็นแบบทรานซิที ซึ่งหมายความว่าเครือข่ายผู้ผลิตสามารถสื่อสารกับเครือข่ายอื่นๆ ที่เชื่อมต่อกับเครือข่ายของผู้บริโภคได้
สิ่งที่คุณจะสร้าง
คุณจะสร้างไฟล์แนบเครือข่าย PSC รายการเดียวใน VPC สำหรับผู้บริโภค ทำให้มีอินเทอร์เฟซ PSC 2 รายการเป็นแบ็กเอนด์ไปยังตัวจัดสรรภาระงานภายใน L4 จาก Tiger VPC ผู้ผลิตจะส่ง curl ไปยัง Cosmo ในแบ็กเอนด์ VPC ใน VPC ของผู้ผลิต คุณจะสร้างเส้นทางแบบคงที่ไปยังการจราจรของข้อมูลปลายทาง 192.168.20.0/28 ฮอพถัดไปเป็นตัวจัดสรรภาระงานภายในที่จะใช้ประโยชน์จากแบ็กเอนด์และอินเทอร์เฟซ PSC ที่ตามมาเพื่อกำหนดเส้นทางการรับส่งข้อมูลไปยัง Cosmo ดูภาพรวมในรูปที่ 1
แนวทางนี้ใช้กับบริการที่มีการจัดการของ Google ที่เพียร์ VPC กับ VPC ของลูกค้าได้เมื่อใช้การเข้าถึงบริการส่วนตัว
รูปที่ 1
สิ่งที่คุณจะได้เรียนรู้
- วิธีการสร้างไฟล์แนบเครือข่าย
- วิธีที่ผู้ผลิตสามารถใช้ไฟล์แนบเครือข่ายเพื่อสร้างอินเทอร์เฟซ PSC เป็นแบ็กเอนด์
- วิธีสร้างการสื่อสารจากผู้ผลิตไปยังผู้บริโภคโดยใช้ ILB เป็นฮอพถัดไป
- วิธีอนุญาตการเข้าถึงจาก Producer VM (Tiger) ไปยัง VM ของผู้บริโภค (cosmo) ผ่านการเพียร์ VPC
สิ่งที่คุณต้องมี
- โปรเจ็กต์ Google Cloud
- สิทธิ์ IAM
- ผู้ดูแลระบบเครือข่าย Compute (roles/compute.networkAdmin)
- ผู้ดูแลระบบอินสแตนซ์ Compute (roles/compute.instanceAdmin)
- ผู้ดูแลระบบความปลอดภัยของการประมวลผล (roles/compute.securityAdmin)
2. ก่อนเริ่มต้น
อัปเดตโปรเจ็กต์เพื่อรองรับบทแนะนำ
บทแนะนำนี้ใช้ $variables เพื่อช่วยในการติดตั้งใช้งานการกำหนดค่า gcloud ใน Cloud Shell
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
3. การตั้งค่าผู้บริโภค
สร้าง VPC ของผู้บริโภค
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom
สร้างซับเน็ตของไฟล์แนบเครือข่าย Private Service Connect
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1
สร้าง VPC แบ็กเอนด์
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom
สร้างซับเน็ต VPC แบ็กเอนด์
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1
สร้างกฎไฟร์วอลล์ VPC
ใน Cloud Shell ให้สร้างกฎขาเข้าสำหรับการรับส่งข้อมูลจากซับเน็ตของไฟล์แนบเครือข่าย psc ไปยัง cosmo
gcloud compute firewall-rules create allow-ingress-to-cosmo \
--network=backend-vpc \
--action=ALLOW \
--rules=ALL \
--direction=INGRESS \
--priority=1000 \
--source-ranges="192.168.10.0/28" \
--destination-ranges="192.168.20.0/28" \
--enable-logging
การกำหนดค่า Cloud Router และ NAT
มีการใช้ Cloud NAT ในบทแนะนำสำหรับการติดตั้งแพ็กเกจซอฟต์แวร์เนื่องจากอินสแตนซ์ VM ไม่มีที่อยู่ IP สาธารณะ Cloud NAT ช่วยให้ VM ที่มีที่อยู่ IP ส่วนตัวเข้าถึงอินเทอร์เน็ตได้
สร้างเราเตอร์ระบบคลาวด์ใน Cloud Shell
gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1
สร้างเกตเวย์ NAT ภายใน Cloud Shell
gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
4. เปิดใช้ IAP
หากต้องการอนุญาตให้ IAP เชื่อมต่อกับอินสแตนซ์ VM ให้สร้างกฎของไฟร์วอลล์ที่มีลักษณะดังนี้
- ใช้กับอินสแตนซ์ VM ทั้งหมดที่คุณต้องการให้เข้าถึงได้โดยใช้ IAP
- อนุญาตการรับส่งข้อมูลขาเข้าจากช่วง IP 35.235.240.0/20 ช่วงนี้ประกอบด้วยที่อยู่ IP ทั้งหมดที่ IAP ใช้สำหรับการส่งต่อ TCP
สร้างกฎไฟร์วอลล์ IAP ใน Cloud Shell
gcloud compute firewall-rules create ssh-iap-consumer \
--network backend-vpc \
--allow tcp:22 \
--source-ranges=35.235.240.0/20
5. สร้างอินสแตนซ์ VM ของผู้บริโภค
ใน Cloud Shell ให้สร้างอินสแตนซ์ VM สำหรับผู้บริโภค, cosmo
gcloud compute instances create cosmo \
--project=$projectid \
--machine-type=e2-micro \
--image-family debian-11 \
--no-address \
--image-project debian-cloud \
--zone us-central1-a \
--subnet=cosmo-subnet-1 \
--metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart
echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
EOF"
รับและจัดเก็บที่อยู่ IP ของอินสแตนซ์:
ภายใน Cloud Shell ให้ดำเนินการอธิบายอินสแตนซ์ VM ของ Cosmo
gcloud compute instances describe cosmo --zone=us-central1-a | grep networkIP:
6. ไฟล์แนบเครือข่ายของ Private Service Connect
ไฟล์แนบของเครือข่ายเป็นทรัพยากรระดับภูมิภาคที่แสดงฝั่งผู้บริโภคของอินเทอร์เฟซ Private Service Connect คุณเชื่อมโยงซับเน็ตรายการเดียวกับไฟล์แนบเครือข่าย และผู้ผลิตจะกำหนด IP ให้กับอินเทอร์เฟซ Private Service Connect จากซับเน็ตดังกล่าว ซับเน็ตต้องอยู่ในภูมิภาคเดียวกับไฟล์แนบเครือข่าย ไฟล์แนบเครือข่ายต้องอยู่ในภูมิภาคเดียวกับบริการของผู้ผลิต
สร้างไฟล์แนบเครือข่าย
สร้างไฟล์แนบเครือข่ายภายใน Cloud Shell
gcloud compute network-attachments create psc-network-attachment \
--region=us-central1 \
--connection-preference=ACCEPT_MANUAL \
--producer-accept-list=$projectid \
--subnets=intf-subnet
แสดงรายการไฟล์แนบของเครือข่าย
แสดงรายการไฟล์แนบเครือข่ายใน Cloud Shell
gcloud compute network-attachments list
อธิบายไฟล์แนบของเครือข่าย
อธิบายไฟล์แนบของเครือข่ายใน Cloud Shell
gcloud compute network-attachments describe psc-network-attachment --region=us-central1
จดบันทึก URI ของ psc-network-attachment ที่ผู้ผลิตจะใช้เมื่อสร้างอินเทอร์เฟซ Private Service Connect ตัวอย่างด้านล่าง
user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet
7. สร้างการเพียร์ VPC ระหว่าง VPC ของผู้บริโภคและแบ็กเอนด์
คุณจะสร้างการเชื่อมต่อการเพียร์ VPC ระหว่าง VPC ของผู้บริโภคและแบ็กเอนด์ การดำเนินการนี้จะจำลองวิธีที่ Google สร้างการเชื่อมต่อกับ VPC ของลูกค้าสำหรับบริการที่มีการจัดการ นอกเหนือจากการเพียร์ข้ามองค์กรสำหรับการเชื่อมต่อเครือข่าย ต้องกำหนดค่าการเพียร์ VPC จาก VPC แต่ละรายการ
VPC ของผู้บริโภคไปยังการเพียร์ VPC แบ็กเอนด์
สร้างการเชื่อมต่อการเพียร์ VPC จากผู้บริโภคไปยัง VPC แบ็กเอนด์
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud compute networks peerings create consumer-to-backend-vpc \
--network=consumer-vpc \
--peer-project=$projectid \
--peer-network=backend-vpc \
--stack-type=IPV4_ONLY
สร้างการเชื่อมต่อการเพียร์ VPC จากแบ็กเอนด์ไปยัง VPC ของผู้บริโภค
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud compute networks peerings create backend-to-consumer-vpc \
--network=backend-vpc \
--peer-project=$projectid \
--peer-network=consumer-vpc \
--stack-type=IPV4_ONLY
ตรวจสอบรายละเอียดสถานะการเพียร์ VPC
ภายใน Cloud Shell ให้ยืนยันว่าการเพียร์ VPC อยู่ในสถานะ "ใช้งานอยู่" และ "เชื่อมต่อแล้ว"
gcloud compute networks peerings list
ตัวอย่าง
user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU:
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.
NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU:
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.
8. การตั้งค่าผู้ผลิต
สร้าง VPC ของผู้ผลิต
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom
สร้างซับเน็ตผู้ผลิต
ภายใน Cloud Shell ให้สร้างซับเน็ตที่ใช้สำหรับ vNIC0 ของอินเทอร์เฟซ psc
gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1
ภายใน Cloud Shell ให้สร้างซับเน็ตที่ใช้สำหรับ Tiger ของอินสแตนซ์
gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1
สร้างซับเน็ตที่ใช้สำหรับตัวจัดสรรภาระงานภายในภายใน Cloud Shell
gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1
การกำหนดค่า Cloud Router และ NAT
มีการใช้ Cloud NAT ในบทแนะนำสำหรับการติดตั้งแพ็กเกจซอฟต์แวร์เนื่องจากอินสแตนซ์ VM ไม่มีที่อยู่ IP สาธารณะ Cloud NAT ช่วยให้ VM ที่มีที่อยู่ IP ส่วนตัวเข้าถึงอินเทอร์เน็ตได้
สร้างเราเตอร์ระบบคลาวด์ใน Cloud Shell
gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1
สร้างเกตเวย์ NAT ภายใน Cloud Shell
gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
เปิดใช้ IAP
หากต้องการอนุญาตให้ IAP เชื่อมต่อกับอินสแตนซ์ VM ให้สร้างกฎของไฟร์วอลล์ที่มีลักษณะดังนี้
- ใช้กับอินสแตนซ์ VM ทั้งหมดที่คุณต้องการให้เข้าถึงได้โดยใช้ IAP
- อนุญาตการรับส่งข้อมูลขาเข้าจากช่วง IP 35.235.240.0/20 ช่วงนี้ประกอบด้วยที่อยู่ IP ทั้งหมดที่ IAP ใช้สำหรับการส่งต่อ TCP
สร้างกฎไฟร์วอลล์ IAP ใน Cloud Shell
gcloud compute firewall-rules create ssh-iap-producer \
--network producer-vpc \
--allow tcp:22 \
--source-ranges=35.235.240.0/20
สร้างอินสแตนซ์ VM ผู้ผลิต
ใน Cloud Shell ให้สร้างอินสแตนซ์ VM ของผู้บริโภค เช่น Tiger
gcloud compute instances create tiger \
--project=$projectid \
--machine-type=e2-micro \
--image-family debian-11 \
--no-address \
--image-project debian-cloud \
--zone us-central1-a \
--subnet=prod-subnet-2 \
--metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump"
9. สร้างกฎไฟร์วอลล์ผู้ผลิต
ใน VPC ผู้ผลิต ให้สร้างกฎไฟร์วอลล์ขาเข้าที่อนุญาตการสื่อสารจาก prod-subnet-2 ไปยังอินสแตนซ์ทั้งหมดใน Producer-vpc
สร้างกฎไฟร์วอลล์ผู้ผลิตใน Cloud Shell
gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging
10. สร้างอินเทอร์เฟซ Private Service Connect
อินเทอร์เฟซ Private Service Connect เป็นทรัพยากรที่ช่วยให้เครือข่าย Virtual Private Cloud (VPC) ของผู้ผลิตเริ่มต้นการเชื่อมต่อกับปลายทางต่างๆ ในเครือข่าย VPC ของผู้บริโภค เครือข่ายผู้ผลิตและผู้บริโภคอาจอยู่ในโปรเจ็กต์และองค์กรที่แตกต่างกันได้
หากไฟล์แนบเครือข่ายยอมรับการเชื่อมต่อจากอินเทอร์เฟซ Private Service Connect แล้ว Google Cloud จะจัดสรรที่อยู่ IP ให้กับอินเทอร์เฟซจากซับเน็ตของผู้ใช้ซึ่งระบุโดยไฟล์แนบเครือข่าย เครือข่ายของผู้บริโภคและผู้ผลิตเชื่อมต่อกันและสามารถสื่อสารโดยใช้ที่อยู่ IP ภายในได้
ในบทแนะนำ คุณจะสร้างอินสแตนซ์ 2 รายการที่มีการแนบเครือข่ายสำหรับการเชื่อมต่อบริการส่วนตัวซึ่งเป็นแบ็กเอนด์ไปยังตัวจัดสรรภาระงานภายใน
ภายใน Cloud Shell ให้สร้างอินเทอร์เฟซ Private Service Connect (rabbit) แล้วแทรก psc-network-attachment URI ที่ระบุก่อนหน้านี้จากเอาต์พุตอธิบายไฟล์แนบเครือข่าย
gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart"
ภายใน Cloud Shell ให้สร้างอินเทอร์เฟซ Private Service Connect (fox) แล้วแทรก psc-network-attachment URI ที่ระบุก่อนหน้านี้จากเอาต์พุตอธิบายไฟล์แนบเครือข่าย
gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart"
การตรวจสอบความถูกต้องแบบหลายเทคนิค
ตรวจสอบความถูกต้องของอินเทอร์เฟซ PSC ที่กำหนดค่าด้วยที่อยู่ IP ที่เหมาะสม vNIC0 จะใช้ prod-subnet ของผู้สร้าง (10.20.1.0/28) และ vNIC1 จะใช้ intf-subnet ของผู้บริโภค (192.168.10.0/28)
gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
ตัวอย่าง
user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
networkIP: 10.20.1.2
networkIP: 192.168.10.2
user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
networkIP: 10.20.1.3
networkIP: 192.168.10.3
11. สร้างและเพิ่มกระต่ายและสุนัขจิ้งจอกในกลุ่มอินสแตนซ์ที่ไม่มีการจัดการ
ในส่วนต่อไปนี้ คุณจะสร้างกลุ่มอินสแตนซ์ที่ไม่มีการจัดการซึ่งจะประกอบด้วยอินสแตนซ์อินเทอร์เฟซ PSC แบบ Rabbit และ Fox
สร้างกลุ่มอินสแตนซ์ที่ไม่มีการจัดการใน Cloud Shell
gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a
ใน Cloud Shell ให้เพิ่มอินสแตนซ์ Fox และ Rabbit ไปยังอินสแตนซ์
gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit
12. สร้างการตรวจสอบประสิทธิภาพการทำงานของ TCP, บริการแบ็กเอนด์ กฎการส่งต่อ และ ไฟร์วอลล์
สร้างการตรวจสอบประสิทธิภาพแบ็กเอนด์ภายใน Cloud Shell
gcloud compute health-checks create http hc-http-80 --port=80
ภายใน Cloud Shell สร้างบริการแบ็กเอนด์
gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80
gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a
ภายใน Cloud Shell สร้างกฎการส่งต่อ
gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1
จาก Cloud Shell ให้สร้างกฎไฟร์วอลล์เพื่อเปิดใช้การตรวจสอบประสิทธิภาพแบ็กเอนด์
gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16
13. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - rabbit
จากอินสแตนซ์อินเทอร์เฟซ PSC ให้กำหนดค่าตาราง IP ของ Linux เพื่ออนุญาตการสื่อสารของผู้ผลิตกับซับเน็ตของผู้บริโภค
ค้นหาชื่อระบบปฏิบัติการของผู้เข้าร่วมของอินเทอร์เฟซ Private Service Connect
หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบชื่อระบบปฏิบัติการของผู้เข้าร่วมของอินเทอร์เฟซ Private Service Connect ซึ่งแตกต่างจากชื่ออินเทอร์เฟซใน Google Cloud
เข้าสู่ระบบ VM อินเทอร์เฟซ PSC โดยใช้ IAP ใน Cloud Shell
gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap
รับที่อยู่ IP ของอินสแตนซ์อินเทอร์เฟซ psc ใน Cloud Shell
ip a
ตัวอย่าง
user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
altname enp0s4
inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
valid_lft 59396sec preferred_lft 59396sec
inet6 fe80::4001:aff:fe14:102/64 scope link
valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
altname enp0s5
inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
valid_lft 66782sec preferred_lft 66782sec
inet6 fe80::4001:c0ff:fea8:a02/64 scope link
valid_lft forever preferred_lft forever
ค้นหา IP เกตเวย์ของอินเทอร์เฟซ PSC
ในรายการอินเทอร์เฟซเครือข่าย ให้ค้นหาและจัดเก็บชื่ออินเทอร์เฟซที่เชื่อมโยงกับที่อยู่ IP ของอินเทอร์เฟซ Private Service Connect เช่น ens5 (vNIC1)
หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบที่อยู่ IP ของเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect
ใน Cloud Shell เราจะใช้ 1 เนื่องจากอินเทอร์เฟซ PSC เชื่อมโยงกับ vNIC1
curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
ตัวอย่างเช่น สร้าง gw 192.168.10.1 เริ่มต้น
user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1
เพิ่มเส้นทางสำหรับซับเน็ตของผู้บริโภค
คุณต้องเพิ่มเส้นทางไปยังเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect สำหรับซับเน็ตของผู้บริโภคแต่ละรายที่เชื่อมต่อกับอินเทอร์เฟซ Private Service Connect วิธีนี้ช่วยให้มั่นใจว่าการรับส่งข้อมูลที่มีผลผูกพันสำหรับเครือข่ายผู้ใช้ทั่วไปจะออกจากอินเทอร์เฟซ Private Service Connect
ตรวจสอบตารางเส้นทาง
ใน Cloud Shell ให้ตรวจสอบเส้นทางปัจจุบัน
ip route show
ตัวอย่างเช่น
user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
ใน Cloud Shell ให้เพิ่มเส้นทางไปยัง cosmo-subnet-1
sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
ตรวจสอบตารางเส้นทาง
ใน Cloud Shell ให้ตรวจสอบเส้นทางที่เพิ่มซึ่งอัปเดตแล้ว
ip route show
ตัวอย่างเช่น
user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
192.168.20.0/28 via 192.168.10.1 dev ens5
สร้างกฎของตาราง IP
ใน Cloud Shell ให้ตรวจสอบตาราง IP ปัจจุบัน
sudo iptables -t nat -L -n -v
ตัวอย่าง
user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
ในตาราง IP ของการอัปเดต Cloud Shell
sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1
ใน Cloud Shell ให้ตรวจสอบตาราง IP ที่อัปเดตแล้ว
sudo iptables -t nat -L -n -v
ตัวอย่าง
user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 MASQUERADE all -- * ens5 0.0.0.0/0 0.0.0.0/0
14. สร้างตาราง IP ของ Linux สำหรับอินเทอร์เฟซ PSC - Fox
จากอินสแตนซ์อินเทอร์เฟซ PSC ให้กำหนดค่าตาราง IP ของ Linux เพื่ออนุญาตการสื่อสารของผู้ผลิตกับซับเน็ตของผู้บริโภค
ค้นหาชื่อระบบปฏิบัติการของผู้เข้าร่วมของอินเทอร์เฟซ Private Service Connect
หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบชื่อระบบปฏิบัติการของผู้เข้าร่วมของอินเทอร์เฟซ Private Service Connect ซึ่งแตกต่างจากชื่ออินเทอร์เฟซใน Google Cloud
เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
เข้าสู่ระบบ VM อินเทอร์เฟซ PSC โดยใช้ IAP ใน Cloud Shell
gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap
รับที่อยู่ IP ของอินสแตนซ์อินเทอร์เฟซ psc ใน Cloud Shell
ip a
ตัวอย่าง
user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
altname enp0s4
inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
valid_lft 65601sec preferred_lft 65601sec
inet6 fe80::4001:aff:fe14:103/64 scope link
valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
altname enp0s5
inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
valid_lft 63910sec preferred_lft 63910sec
inet6 fe80::4001:c0ff:fea8:a03/64 scope link
valid_lft forever preferred_lft forever
ค้นหา IP เกตเวย์ของอินเทอร์เฟซ PSC
ในรายการอินเทอร์เฟซเครือข่าย ให้ค้นหาและจัดเก็บชื่ออินเทอร์เฟซที่เชื่อมโยงกับที่อยู่ IP ของอินเทอร์เฟซ Private Service Connect เช่น ens5 (vNIC1)
หากต้องการกำหนดค่าการกำหนดเส้นทาง คุณต้องทราบที่อยู่ IP ของเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect
ใน Cloud Shell เราจะใช้ 1 เนื่องจากอินเทอร์เฟซ PSC เชื่อมโยงกับ vNIC1
curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
ตัวอย่างเช่น สร้าง gw 192.168.10.1 เริ่มต้น
user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1
เพิ่มเส้นทางสำหรับซับเน็ตของผู้บริโภค
คุณต้องเพิ่มเส้นทางไปยังเกตเวย์เริ่มต้นของอินเทอร์เฟซ Private Service Connect สำหรับซับเน็ตของผู้บริโภคแต่ละรายที่เชื่อมต่อกับอินเทอร์เฟซ Private Service Connect วิธีนี้ช่วยให้มั่นใจว่าการรับส่งข้อมูลที่มีผลผูกพันสำหรับเครือข่ายผู้ใช้ทั่วไปจะออกจากอินเทอร์เฟซ Private Service Connect
ตรวจสอบตารางเส้นทาง
ใน Cloud Shell ให้ตรวจสอบเส้นทางปัจจุบัน
ip route show
ตัวอย่างเช่น
user@fox:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
ใน Cloud Shell ให้เพิ่มเส้นทางไปยัง cosmo-subnet-1
sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
ตรวจสอบตารางเส้นทาง
ใน Cloud Shell ให้ตรวจสอบเส้นทางที่เพิ่มซึ่งอัปเดตแล้ว
ip route show
ตัวอย่างเช่น
user@fox:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
192.168.20.0/28 via 192.168.10.1 dev ens5
สร้างกฎของตาราง IP
ใน Cloud Shell ให้ตรวจสอบตาราง IP ปัจจุบัน
sudo iptables -t nat -L -n -v
ตัวอย่าง
user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
อัปเดตตาราง IP ใน Cloud Shell
sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1
ใน Cloud Shell ให้ตรวจสอบตาราง IP ที่อัปเดตแล้ว
sudo iptables -t nat -L -n -v
ตัวอย่าง
user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 MASQUERADE all -- * ens5 0.0.0.0/0 0.0.0.0/0
15. อัปเดตตารางเส้นทาง
ใน Producer-Vpc ให้สร้างเส้นทางแบบคงที่ไปยังซับเน็ต 192.168.20.0/28 ของผู้บริโภค และ Hop ถัดไปเป็นตัวจัดสรรภาระงานภายใน เมื่อสร้างแล้ว ระบบจะส่งแพ็กเกตทั้งหมด (ภายใน Producer-vpc) ไปยังปลายทาง 192.168.20.0/28 ไปยังตัวจัดสรรภาระงานภายใน
เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
ใน Cloud Shell ให้อัปเดตตารางเส้นทาง Producer-vpc ด้วยเส้นทางแบบคงที่
gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1
16. ตรวจสอบการเชื่อมต่อที่สำเร็จจาก Tiger ไปจนถึง Cosmo
การตรวจสอบ Curl
มายืนยันว่าอินสแตนซ์ VM ของผู้ผลิตอย่าง tiger สามารถสื่อสารกับอินสแตนซ์ของผู้ใช้ cosmo ด้วยการใช้ curl
เปิดแท็บ Cloud Shell ใหม่และอัปเดตการตั้งค่าโปรเจ็กต์
ภายใน Cloud Shell ให้ดำเนินการต่อไปนี้
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
เข้าสู่ระบบอินสแตนซ์ Tiger โดยใช้ IAP ใน Cloud Shell
gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap
ทำการ Curl กับที่อยู่ IP ของ Cosmo ที่ระบุก่อนหน้านี้ในบทแนะนำจากอินสแตนซ์ Tiger
curl -v <cosmo's IP Address>
ตัวอย่าง
user@tiger:~$ curl -v 192.168.20.2
* Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
>
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
<
Welcome to cosmo's backend server !!
ยินดีด้วย คุณตรวจสอบการเชื่อมต่อจาก manufacturers-vpc ไปยังแบ็กเอนด์-vpc เรียบร้อยแล้วด้วยการเรียกใช้คำสั่ง curl
17. ล้างข้อมูล
ลบคอมโพเนนต์บทแนะนำจาก Cloud Shell
gcloud compute instances delete cosmo --zone=us-central1-a --quiet
gcloud compute instances delete rabbit --zone=us-central1-a --quiet
gcloud compute instances delete fox --zone=us-central1-a --quiet
gcloud compute instances delete tiger --zone=us-central1-a --quiet
gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet
gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer ssh-iap-producer --quiet
gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet
gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet
gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet
gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet
gcloud compute health-checks delete hc-http-80 --quiet
gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet
gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet
gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet
gcloud compute networks delete consumer-vpc --quiet
gcloud compute networks delete producer-vpc --quiet
gcloud compute networks delete backend-vpc --quiet
18. ขอแสดงความยินดี
ยินดีด้วย คุณกำหนดค่าและตรวจสอบอินเทอร์เฟซ Private Service Connect และตรวจสอบการเชื่อมต่อของผู้บริโภคและผู้ผลิตผ่านการเพียร์ VPC เรียบร้อยแล้ว
คุณสร้างโครงสร้างพื้นฐานของผู้บริโภค และเพิ่มไฟล์แนบเครือข่ายที่อนุญาตให้ผู้ผลิตสร้าง VM แบบมัลตินิกเพื่อเชื่อมการสื่อสารระหว่างผู้บริโภคและผู้ผลิต คุณได้เรียนรู้วิธีใช้อินเทอร์เฟซ PSC เพื่อสื่อสารกับบริการของบุคคลที่หนึ่ง/3P ผ่านการเพียร์ VPC โดยใช้ตัวจัดสรรภาระงานภายในและเส้นทางแบบคงที่ใน VPC ของผู้ผลิต
Cosmopup คิดว่าบทแนะนำยอดเยี่ยม!!
สิ่งที่ต้องทำต่อไป
ดูบทแนะนำบางส่วนเหล่านี้...
- การใช้ Private Service Connect เพื่อเผยแพร่และใช้บริการด้วย GKE
- การใช้ Private Service Connect เพื่อเผยแพร่และใช้บริการ
- เชื่อมต่อกับบริการภายในองค์กรผ่านเครือข่ายแบบผสมโดยใช้ Private Service Connect และตัวจัดสรรภาระงานพร็อกซี TCP ภายใน