Dịch vụ được quản lý trên giao diện kết nối dịch vụ riêng tư

1. Giới thiệu

Giao diện Private Service Connect là một tài nguyên cho phép mạng Đám mây riêng ảo (VPC) của nhà sản xuất bắt đầu kết nối với nhiều đích đến trong mạng VPC của người dùng. Mạng nhà sản xuất và mạng người tiêu dùng có thể nằm trong các dự án và tổ chức khác nhau.

Nếu một tệp đính kèm mạng chấp nhận kết nối từ một giao diện Kết nối dịch vụ riêng tư, thì Google Cloud sẽ phân bổ cho giao diện đó một địa chỉ IP từ mạng con của người dùng do tệp đính kèm mạng chỉ định. Các mạng lưới người tiêu dùng và nhà sản xuất được kết nối và có thể giao tiếp bằng cách sử dụng địa chỉ IP nội bộ.

Mối kết nối giữa một tệp đính kèm mạng và một giao diện Private Service Connect tương tự như mối kết nối giữa một điểm cuối Private Service Connect và một tệp đính kèm dịch vụ, nhưng có 2 điểm khác biệt chính:

Tệp đính kèm mạng cho phép mạng nhà sản xuất bắt đầu kết nối với mạng người tiêu dùng (dịch vụ được quản lý xuất), trong khi điểm cuối cho phép mạng người tiêu dùng bắt đầu kết nối với mạng nhà sản xuất (dịch vụ được quản lý nhập).
Kết nối giao diện Private Service Connect là kết nối bắc cầu. Điều này có nghĩa là mạng nhà sản xuất có thể giao tiếp với các mạng khác được kết nối với mạng người tiêu dùng.

Sản phẩm bạn sẽ tạo ra

Bạn sẽ tạo một psc-network-attachment duy nhất trong VPC của người dùng, dẫn đến 2 giao diện PSC làm các phần phụ trợ cho trình cân bằng tải nội bộ L4. Từ VPC tiger của nhà sản xuất, một lệnh curl sẽ được gửi đến cosmo trong backend-vpc. Trong VPC của nhà sản xuất, bạn sẽ tạo một tuyến tĩnh đến lưu lượng truy cập đích 192.168.20.0/28, bước tiếp theo là bộ cân bằng tải nội bộ sẽ tận dụng(các) giao diện phụ trợ và PSC tiếp theo để định tuyến lưu lượng truy cập đến cosmo. Xem Hình 1 để biết thông tin tổng quan.

Bạn có thể sử dụng phương pháp tương tự với các dịch vụ do Google quản lý được kết nối VPC ngang hàng với VPC của khách hàng khi sử dụng Private Service Access.

Hình 1

Kiến thức bạn sẽ học được

Cách tạo thiết bị lưu trữ mạng
Cách nhà sản xuất có thể sử dụng tệp đính kèm mạng để tạo giao diện PSC làm các phần phụ trợ
Cách thiết lập giao tiếp từ nhà sản xuất đến người tiêu dùng bằng cách sử dụng ILB làm bước nhảy tiếp theo
Cách cho phép truy cập từ máy ảo nhà sản xuất (tiger) đến máy ảo người dùng (cosmo) thông qua tính năng kết nối VPC

Bạn cần có

Dự án trên Google Cloud
Quyền IAM
Quản trị viên mạng máy tính (roles/compute.networkAdmin)
Quản trị viên phiên bản máy tính (roles/compute.instanceAdmin)
Quản trị viên bảo mật điện toán (roles/compute.securityAdmin)

2. Trước khi bắt đầu

Cập nhật dự án để hỗ trợ hướng dẫn

Hướng dẫn này sử dụng $variables để hỗ trợ việc triển khai cấu hình gcloud trong Cloud Shell.

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. Thiết lập người tiêu dùng

Tạo VPC người tiêu dùng

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

Tạo mạng con Private Service Connect Network Attachment

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

Tạo VPC phụ trợ

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom

Tạo mạng con VPC phụ trợ

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1

Tạo các quy tắc tường lửa backend-vpc

Trong Cloud Shell, hãy tạo một quy tắc chuyển tiếp cho lưu lượng truy cập từ mạng con psc-network-attachment đến cosmo

gcloud compute firewall-rules create allow-ingress-to-cosmo \
    --network=backend-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

Cấu hình Cloud Router và NAT

Cloud NAT được dùng trong hướng dẫn cài đặt gói phần mềm vì phiên bản VM không có địa chỉ IP công khai. Cloud NAT cho phép các VM có địa chỉ IP riêng tư truy cập vào Internet.

Trong Cloud Shell, hãy tạo bộ định tuyến đám mây.

gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1

Trong Cloud Shell, hãy tạo cổng NAT.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. Bật IAP

Để cho phép IAP kết nối với các phiên bản máy ảo, hãy tạo một quy tắc tường lửa có:

Áp dụng cho tất cả các phiên bản máy ảo mà bạn muốn có thể truy cập bằng IAP.
Cho phép lưu lượng truy cập vào từ dải IP 35.235.240.0/20. Dải này chứa tất cả địa chỉ IP mà IAP sử dụng để chuyển tiếp TCP.

Trong Cloud Shell, hãy tạo quy tắc tường lửa IAP.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network backend-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. Tạo phiên bản máy ảo cho người tiêu dùng

Trong Cloud Shell, hãy tạo phiên bản vm người dùng, cosmo

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
      EOF"

Lấy và lưu trữ địa chỉ IP của các phiên bản:

Trong Cloud Shell, hãy thực hiện thao tác mô tả đối với các phiên bản máy ảo cosmo.

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. Tệp đính kèm mạng Private Service Connect

Tệp đính kèm mạng là tài nguyên theo khu vực, đại diện cho phía người dùng của một giao diện Private Service Connect. Bạn liên kết một mạng con duy nhất với một tệp đính kèm mạng và nhà sản xuất sẽ chỉ định IP cho giao diện Private Service Connect từ mạng con đó. Mạng con phải nằm trong cùng khu vực với thiết bị đính kèm mạng. Thiết bị đính kèm mạng phải ở cùng khu vực với dịch vụ nhà sản xuất.

Tạo tệp đính kèm mạng

Trong Cloud Shell, hãy tạo tệp đính kèm mạng.

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

Liệt kê các tệp đính kèm mạng

Trong Cloud Shell, hãy liệt kê các tệp đính kèm mạng.

gcloud compute network-attachments list

Mô tả các thiết bị đính kèm mạng

Trong Cloud Shell, hãy mô tả network attachment.

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

Ghi lại URI psc-network-attachment mà nhà sản xuất sẽ dùng khi tạo(các) Giao diện Kết nối dịch vụ riêng tư. Ví dụ bên dưới:

user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. Thiết lập tính năng kết nối VPC ngang hàng giữa VPC của người dùng và VPC phụ trợ

Bạn sẽ tạo một kết nối ngang hàng VPC giữa VPC người dùng và VPC phụ trợ. Điều này mô phỏng cách Google thiết lập kết nối đến các VPC của khách hàng cho các dịch vụ được quản lý, ngoài việc thiết lập mối quan hệ ngang hàng giữa các tổ chức để kết nối mạng. Bạn phải định cấu hình tính năng kết nối ngang hàng VPC từ mỗi VPC.

Kết nối ngang hàng từ VPC của người dùng đến VPC phụ trợ

Tạo kết nối ngang hàng VPC từ người dùng đến VPC phụ trợ

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud compute networks peerings create consumer-to-backend-vpc \
    --network=consumer-vpc \
    --peer-project=$projectid \
    --peer-network=backend-vpc \
    --stack-type=IPV4_ONLY

Tạo kết nối ngang hàng VPC từ phần phụ trợ đến VPC của người tiêu dùng

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud compute networks peerings create backend-to-consumer-vpc \
    --network=backend-vpc \
    --peer-project=$projectid \
    --peer-network=consumer-vpc \
    --stack-type=IPV4_ONLY

Xác thực thông tin chi tiết về trạng thái kết nối ngang hàng VPC

Trong Cloud Shell, hãy xác minh rằng tính năng kết nối ngang VPC đang ở trạng thái "Đang hoạt động" và "Đã kết nối".

gcloud compute networks peerings list

Ví dụ:

user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU: 
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.

8. Thiết lập Producer

Tạo VPC của nhà sản xuất

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

Tạo mạng con của nhà sản xuất

Trong Cloud Shell, hãy tạo mạng con dùng cho vNIC0 của(các) giao diện psc

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

Trong Cloud Shell, hãy tạo mạng con dùng cho tiger phiên bản.

gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1

Trong Cloud Shell, hãy tạo mạng con dùng cho trình cân bằng tải nội bộ.

gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

Cấu hình Cloud Router và NAT

Trong Cloud Shell, hãy tạo bộ định tuyến đám mây.

gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1

Trong Cloud Shell, hãy tạo cổng NAT.

gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

Bật IAP

Để cho phép IAP kết nối với các phiên bản máy ảo, hãy tạo một quy tắc tường lửa có:

Áp dụng cho tất cả các phiên bản máy ảo mà bạn muốn có thể truy cập bằng IAP.
Cho phép lưu lượng truy cập vào từ dải IP 35.235.240.0/20. Dải này chứa tất cả địa chỉ IP mà IAP sử dụng để chuyển tiếp TCP.

Trong Cloud Shell, hãy tạo quy tắc tường lửa IAP.

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

Tạo phiên bản máy ảo của nhà sản xuất

Trong Cloud Shell, hãy tạo phiên bản vm người dùng, tiger

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=prod-subnet-2 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump"

9. Tạo quy tắc tường lửa cho nhà sản xuất

Trong VPC của nhà sản xuất, hãy tạo một quy tắc tường lửa cho phép lưu lượng truy cập vào, trong đó cho phép giao tiếp từ prod-subnet-2 đến tất cả các phiên bản trong producer-vpc.

Trong Cloud Shell, hãy tạo quy tắc tường lửa của nhà sản xuất.

gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging

10. Tạo giao diện Private Service Connect

Trong hướng dẫn này, bạn sẽ tạo 2 phiên bản có tệp đính kèm mạng Private Service Connect. Đây sẽ là phần phụ trợ cho trình cân bằng tải nội bộ.

Trong Cloud Shell, hãy tạo giao diện Kết nối dịch vụ riêng tư (rabbit) và chèn psc-network-attachment URI đã xác định trước đó từ đầu ra mô tả tệp đính kèm mạng.

gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

Trong Cloud Shell, hãy tạo giao diện Kết nối dịch vụ riêng tư (fox) và chèn URI psc-network-attachment đã xác định trước đó từ đầu ra mô tả tệp đính kèm mạng.

gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart"

Xác thực nhiều NIC

Xác thực rằng giao diện PSC được định cấu hình bằng Địa chỉ IP thích hợp. vNIC0 sẽ sử dụng mạng con của nhà sản xuất prod-subnet (10.20.1.0/28) và vNIC1 sẽ sử dụng mạng con của người tiêu dùng intf-subnet (192.168.10.0/28).

gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:

gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:

Ví dụ:

user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.3
  networkIP: 192.168.10.3

11. Tạo và thêm thỏ và cáo vào một nhóm phiên bản không được quản lý

Trong phần sau, bạn sẽ tạo một nhóm phiên bản không được quản lý bao gồm các phiên bản giao diện PSC là rabbit và fox.

Trong Cloud Shell, hãy tạo nhóm phiên bản không được quản lý.

gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a

Trong Cloud Shell, hãy thêm các phiên bản fox và rabbit vào nhóm phiên bản.

gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit

12. Tạo dịch vụ kiểm tra tình trạng TCP, dịch vụ phụ trợ, quy tắc chuyển tiếp và tường lửa

Trong Cloud Shell, hãy tạo chế độ kiểm tra tình trạng sức khoẻ của phần phụ trợ.

gcloud compute health-checks create http hc-http-80 --port=80

Tạo dịch vụ phụ trợ trong Cloud Shell

gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a

Tạo quy tắc chuyển tiếp trong Cloud Shell

gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1

Tạo quy tắc tường lửa từ Cloud Shell để bật tính năng kiểm tra tình trạng của phần phụ trợ

gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16

13. Tạo bảng IP Linux cho(các) giao diện PSC – rabbit

Từ phiên bản giao diện PSC, hãy định cấu hình bảng IP Linux để cho phép giao tiếp giữa nhà sản xuất và các mạng con của người tiêu dùng.

Tìm tên hệ điều hành khách của giao diện Private Service Connect

Để định cấu hình định tuyến, bạn cần biết tên hệ điều hành khách của giao diện Kết nối dịch vụ riêng tư. Tên này khác với tên của giao diện trong Google Cloud.

Đăng nhập vào psc-interface vm, rabbit bằng IAP trong Cloud Shell.

gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap

Trong Cloud Shell, hãy lấy địa chỉ IP của phiên bản psc-interface

ip a

Ví dụ:

user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 59396sec preferred_lft 59396sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 66782sec preferred_lft 66782sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

Tìm địa chỉ IP cổng của giao diện PSC

Trong danh sách giao diện mạng, hãy tìm và lưu trữ tên giao diện được liên kết với địa chỉ IP của giao diện Private Service Connect, ví dụ: ens5 (vNIC1)

Để định cấu hình định tuyến, bạn cần biết địa chỉ IP của cổng mặc định trong giao diện Private Service Connect

Trong Cloud Shell, chúng ta sẽ sử dụng 1 vì giao diện PSC được liên kết với vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

Ví dụ này tạo ra gw mặc định là 192.168.10.1

user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

Thêm các tuyến đường cho mạng con của người tiêu dùng

Bạn phải thêm một tuyến đến cổng mặc định của giao diện Private Service Connect cho mỗi mạng con của người dùng kết nối với giao diện Private Service Connect. Điều này đảm bảo rằng lưu lượng truy cập được liên kết với mạng người tiêu dùng sẽ thoát ra khỏi giao diện Private Service Connect.

Xác thực bảng định tuyến

Trong Cloud Shell, hãy xác thực các tuyến đường hiện tại.

ip route show

Ví dụ:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

Trong Cloud Shell, hãy thêm tuyến đường vào cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

Xác thực bảng định tuyến

Trong Cloud Shell, hãy xác thực các tuyến đường đã thêm được cập nhật.

ip route show

Ví dụ:

user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

Tạo quy tắc cho bảng IP

Trong Cloud Shell, hãy xác thực Bảng IP hiện tại.

sudo iptables -t nat -L -n -v

Ví dụ:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Cập nhật bảng IP trong Cloud Shell

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

Trong Cloud Shell, hãy xác thực Bảng IP đã cập nhật.

sudo iptables -t nat -L -n -v

Ví dụ:

user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

14. Tạo bảng IP Linux cho(các) giao diện PSC – fox

Từ phiên bản giao diện PSC, hãy định cấu hình bảng IP Linux để cho phép giao tiếp giữa nhà sản xuất và các mạng con của người tiêu dùng.

Tìm tên hệ điều hành khách của giao diện Private Service Connect

Mở một thẻ Cloud Shell mới rồi cập nhật chế độ cài đặt dự án.

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

Đăng nhập vào vm psc-interface, fox, bằng IAP trong Cloud Shell.

gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap

Trong Cloud Shell, hãy lấy địa chỉ IP của phiên bản psc-interface

ip a

Ví dụ:

user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
       valid_lft 65601sec preferred_lft 65601sec
    inet6 fe80::4001:aff:fe14:103/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
       valid_lft 63910sec preferred_lft 63910sec
    inet6 fe80::4001:c0ff:fea8:a03/64 scope link 
       valid_lft forever preferred_lft forever

Tìm địa chỉ IP cổng của giao diện PSC

Trong danh sách giao diện mạng, hãy tìm và lưu trữ tên giao diện được liên kết với địa chỉ IP của giao diện Private Service Connect, ví dụ: ens5 (vNIC1)

Để định cấu hình định tuyến, bạn cần biết địa chỉ IP của cổng mặc định trong giao diện Private Service Connect

Trong Cloud Shell, chúng ta sẽ sử dụng 1 vì giao diện PSC được liên kết với vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

Ví dụ này tạo ra gw mặc định là 192.168.10.1

user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

Thêm các tuyến đường cho mạng con của người tiêu dùng

Xác thực bảng định tuyến

Trong Cloud Shell, hãy xác thực các tuyến đường hiện tại.

ip route show

Ví dụ:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link

Trong Cloud Shell, hãy thêm tuyến đường vào cosmo-subnet-1

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5

Xác thực bảng định tuyến

Trong Cloud Shell, hãy xác thực các tuyến đường đã thêm được cập nhật.

ip route show

Ví dụ:

user@fox:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5

Tạo quy tắc cho bảng IP

Trong Cloud Shell, hãy xác thực Bảng IP hiện tại.

sudo iptables -t nat -L -n -v

Ví dụ:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Cập nhật Bảng IP trong Cloud Shell.

sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1

Trong Cloud Shell, hãy xác thực Bảng IP đã cập nhật.

sudo iptables -t nat -L -n -v

Ví dụ:

user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      ens5    0.0.0.0/0            0.0.0.0/0

15. Cập nhật bảng định tuyến

Trong producer-vpc, hãy tạo một tuyến tĩnh đến mạng con của người dùng 192.168.20.0/28, hop tiếp theo là trình cân bằng tải nội bộ. Sau khi được tạo, mọi gói (trong producer-vpc) đến đích đến 192.168.20.0/28 sẽ được chuyển đến trình cân bằng tải nội bộ.

Mở một thẻ Cloud Shell mới rồi cập nhật chế độ cài đặt dự án.

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

Trong Cloud Shell, hãy cập nhật bảng định tuyến producer-vpc bằng một tuyến tĩnh.

gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1

16. Xác thực khả năng kết nối thành công từ tiger đến cosmo

Xác thực Curl

Hãy xác nhận rằng phiên bản VM của nhà sản xuất (tiger) có thể giao tiếp với phiên bản của người tiêu dùng (cosmo) bằng cách thực hiện một lệnh curl.

Mở một thẻ Cloud Shell mới rồi cập nhật chế độ cài đặt dự án.

Trong Cloud Shell, hãy thực hiện các bước sau:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

Đăng nhập vào phiên bản tiger bằng IAP trong Cloud Shell.

gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap

Thực hiện một lệnh curl đối với Địa chỉ IP của cosmo mà bạn đã xác định trước đó trong hướng dẫn từ phiên bản tiger.

curl -v <cosmo's IP Address>

Ví dụ:

user@tiger:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
< 
Welcome to cosmo's backend server !!

Xin chúc mừng!! Bạn đã xác thực thành công khả năng kết nối từ producer-vpc đến backend-vpc bằng cách thực hiện lệnh curl.

17. Dọn dẹp

Trong Cloud Shell, hãy xoá các thành phần hướng dẫn.

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute instances delete rabbit --zone=us-central1-a --quiet

gcloud compute instances delete fox --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer   ssh-iap-producer --quiet

gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet 

gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet

gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet

gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet

gcloud compute health-checks delete hc-http-80 --quiet

gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

gcloud compute networks delete backend-vpc --quiet

18. Xin chúc mừng

Xin chúc mừng! Bạn đã định cấu hình và xác thực thành công một Giao diện Private Service Connect, đồng thời xác thực khả năng kết nối của người dùng và nhà sản xuất thông qua tính năng kết nối ngang hàng VPC.

Bạn đã tạo cơ sở hạ tầng người dùng và thêm một tệp đính kèm mạng cho phép nhà sản xuất tạo một máy ảo có nhiều NIC để kết nối thông tin liên lạc giữa người dùng và nhà sản xuất. Bạn đã tìm hiểu cách sử dụng giao diện PSC để giao tiếp với các dịch vụ 1P/3P qua tính năng kết nối ngang hàng VPC bằng cách sử dụng một trình cân bằng tải nội bộ và một tuyến tĩnh trong vpc của nhà sản xuất.

Dịch vụ được quản lý trên giao diện kết nối dịch vụ riêng tư

1. Giới thiệu

Sản phẩm bạn sẽ tạo ra

Kiến thức bạn sẽ học được

Bạn cần có

2. Trước khi bắt đầu

Cập nhật dự án để hỗ trợ hướng dẫn

3. Thiết lập người tiêu dùng

Tạo VPC người tiêu dùng

Tạo mạng con Private Service Connect Network Attachment

Tạo VPC phụ trợ

Tạo mạng con VPC phụ trợ

Tạo các quy tắc tường lửa backend-vpc

Cấu hình Cloud Router và NAT

4. Bật IAP

5. Tạo phiên bản máy ảo cho người tiêu dùng

6. Tệp đính kèm mạng Private Service Connect

Tạo tệp đính kèm mạng

Liệt kê các tệp đính kèm mạng

Mô tả các thiết bị đính kèm mạng

7. Thiết lập tính năng kết nối VPC ngang hàng giữa VPC của người dùng và VPC phụ trợ

Kết nối ngang hàng từ VPC của người dùng đến VPC phụ trợ

Xác thực thông tin chi tiết về trạng thái kết nối ngang hàng VPC

8. Thiết lập Producer

Tạo VPC của nhà sản xuất

Tạo mạng con của nhà sản xuất

Cấu hình Cloud Router và NAT

Bật IAP

Tạo phiên bản máy ảo của nhà sản xuất

9. Tạo quy tắc tường lửa cho nhà sản xuất

10. Tạo giao diện Private Service Connect

Xác thực nhiều NIC

11. Tạo và thêm thỏ và cáo vào một nhóm phiên bản không được quản lý

12. Tạo dịch vụ kiểm tra tình trạng TCP, dịch vụ phụ trợ, quy tắc chuyển tiếp và tường lửa

13. Tạo bảng IP Linux cho(các) giao diện PSC – rabbit

Tìm tên hệ điều hành khách của giao diện Private Service Connect

Tìm địa chỉ IP cổng của giao diện PSC

Trong danh sách giao diện mạng, hãy tìm và lưu trữ tên giao diện được liên kết với địa chỉ IP của giao diện Private Service Connect, ví dụ: ens5 (vNIC1)

Thêm các tuyến đường cho mạng con của người tiêu dùng

Xác thực bảng định tuyến

Xác thực bảng định tuyến

Tạo quy tắc cho bảng IP

14. Tạo bảng IP Linux cho(các) giao diện PSC – fox

Tìm tên hệ điều hành khách của giao diện Private Service Connect

Tìm địa chỉ IP cổng của giao diện PSC

Trong danh sách giao diện mạng, hãy tìm và lưu trữ tên giao diện được liên kết với địa chỉ IP của giao diện Private Service Connect, ví dụ: ens5 (vNIC1)

Thêm các tuyến đường cho mạng con của người tiêu dùng

Xác thực bảng định tuyến

Xác thực bảng định tuyến

Tạo quy tắc cho bảng IP

15. Cập nhật bảng định tuyến

16. Xác thực khả năng kết nối thành công từ tiger đến cosmo

Xác thực Curl

17. Dọn dẹp

18. Xin chúc mừng

Tiếp theo là gì?

Tài liệu đọc thêm và video

Tài liệu tham khảo