1. Giới thiệu
Giao diện Private Service Connect là một tài nguyên cho phép mạng Đám mây riêng ảo (VPC) của nhà sản xuất bắt đầu kết nối với nhiều đích đến trong mạng VPC của người dùng. Mạng lưới nhà sản xuất và mạng người tiêu dùng có thể thuộc các dự án và tổ chức khác nhau.
Nếu một tệp đính kèm mạng chấp nhận kết nối từ giao diện Private Service Connect, Google Cloud sẽ phân bổ cho giao diện đó một địa chỉ IP từ một mạng con của người dùng được chỉ định theo tệp đính kèm mạng. Mạng của người tiêu dùng và nhà sản xuất được kết nối và có thể giao tiếp bằng cách sử dụng địa chỉ IP nội bộ.
Kết nối giữa tệp đính kèm mạng và giao diện Private Service Connect tương tự như kết nối giữa điểm cuối Private Service Connect và tệp đính kèm dịch vụ, nhưng có hai điểm khác biệt chính:
- Tệp đính kèm mạng cho phép mạng của nhà sản xuất bắt đầu kết nối với mạng của người tiêu dùng (vào đầu ra dịch vụ được quản lý), trong khi điểm cuối cho phép mạng tiêu dùng bắt đầu kết nối với mạng của nhà sản xuất (vào của dịch vụ được quản lý).
- Kết nối giao diện của Private Service Connect mang tính bắc cầu. Tức là một mạng của nhà sản xuất có thể giao tiếp với các mạng khác được kết nối với mạng của người tiêu dùng.
Sản phẩm bạn sẽ tạo ra
Bạn sẽ tạo một tệp đính kèm mạng psc trong VPC của người dùng, tạo ra 2 giao diện PSC làm phần phụ trợ cho trình cân bằng tải nội bộ L4. Từ nhà sản xuất VPC hổ (nhà sản xuất) sẽ gửi một curl đến cosmo trong phụ trợ-vpc. Trong VPC của nhà sản xuất, bạn sẽ tạo một tuyến tĩnh đến lưu lượng truy cập đích 192.168.20.0/28 next hop làm trình cân bằng tải nội bộ. Trình cân bằng tải này sẽ tận dụng phần phụ trợ và (các) giao diện PSC tiếp theo để định tuyến lưu lượng truy cập đến cosmo. Hãy xem Hình 1 để biết thông tin tổng quan.
Bạn có thể sử dụng phương pháp này cho các dịch vụ do Google quản lý được kết nối VPC ngang hàng với VPC của khách hàng khi sử dụng tính năng Quyền truy cập vào dịch vụ riêng tư.
Hình 1
Kiến thức bạn sẽ học được
- Cách tạo tệp đính kèm mạng
- Cách nhà sản xuất có thể sử dụng tệp đính kèm mạng để tạo giao diện PSC làm phần phụ trợ
- Cách thiết lập giao tiếp giữa nhà sản xuất với người tiêu dùng bằng cách sử dụng ILB làm bước tiếp theo
- Cách cho phép truy cập từ máy ảo nhà sản xuất (tiger) đến máy ảo người dùng (cosmo) qua tính năng liên kết VPC
Bạn cần có
- Dự án trên Google Cloud
- Quyền IAM
- Quản trị viên mạng điện toán (roles/compute.networkAdmin)
- Quản trị viên của phiên bản điện toán (roles/compute.instanceAdmin)
- Quản trị viên bảo mật Compute (roles/compute.securityAdmin)
2. Trước khi bắt đầu
Cập nhật dự án để hỗ trợ hướng dẫn
Hướng dẫn này sử dụng $variables để hỗ trợ triển khai cấu hình gcloud trong Cloud Shell.
Bên trong Cloud Shell, hãy thực hiện như sau:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
3. Thiết lập người dùng
Tạo VPC của người tiêu dùng
Bên trong Cloud Shell, hãy thực hiện như sau:
gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom
Tạo mạng con Tệp đính kèm mạng kết nối dịch vụ riêng tư
Bên trong Cloud Shell, hãy thực hiện như sau:
gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1
Tạo VPC phụ trợ
Bên trong Cloud Shell, hãy thực hiện như sau:
gcloud compute networks create backend-vpc --project=$projectid --subnet-mode=custom
Tạo mạng con VPC phụ trợ
Trong Cloud Shell, hãy thực hiện như sau:
gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=backend-vpc --region=us-central1
Tạo quy tắc tường lửa backend-vpc
Trong Cloud Shell, hãy tạo quy tắc truy cập cho lưu lượng truy cập từ mạng con psc-network-attachment đến cosmo
gcloud compute firewall-rules create allow-ingress-to-cosmo \
--network=backend-vpc \
--action=ALLOW \
--rules=ALL \
--direction=INGRESS \
--priority=1000 \
--source-ranges="192.168.10.0/28" \
--destination-ranges="192.168.20.0/28" \
--enable-logging
Cấu hình Cloud Router và NAT
Cloud NAT được dùng trong hướng dẫn cài đặt gói phần mềm vì thực thể máy ảo không có địa chỉ IP công khai. Cloud NAT cho phép các VM có địa chỉ IP riêng tư truy cập Internet.
Bên trong Cloud Shell, hãy tạo bộ định tuyến trên đám mây.
gcloud compute routers create cloud-router-for-nat --network backend-vpc --region us-central1
Bên trong Cloud Shell, hãy tạo cổng NAT.
gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
4. Bật IAP
Để cho phép IAP kết nối với các phiên bản máy ảo của bạn, hãy tạo một quy tắc tường lửa:
- Áp dụng cho tất cả các thực thể máy ảo mà bạn muốn truy cập được bằng cách sử dụng IAP.
- Cho phép lưu lượng truy cập vào từ dải IP 35.235.240.0/20. Dải ô này chứa tất cả địa chỉ IP mà IAP sử dụng để chuyển tiếp TCP.
Bên trong Cloud Shell, hãy tạo quy tắc tường lửa cho IAP.
gcloud compute firewall-rules create ssh-iap-consumer \
--network backend-vpc \
--allow tcp:22 \
--source-ranges=35.235.240.0/20
5. Tạo thực thể máy ảo của người dùng thông thường
Bên trong Cloud Shell, hãy tạo thực thể máy ảo người dùng, cosmo
gcloud compute instances create cosmo \
--project=$projectid \
--machine-type=e2-micro \
--image-family debian-11 \
--no-address \
--image-project debian-cloud \
--zone us-central1-a \
--subnet=cosmo-subnet-1 \
--metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart
echo 'Welcome to cosmo's backend server !!' | tee /var/www/html/index.html
EOF"
Lấy và lưu trữ Địa chỉ IP của các thực thể:
Bên trong Cloud Shell, hãy mô tả các phiên bản máy ảo cosmo.
gcloud compute instances describe cosmo --zone=us-central1-a | grep networkIP:
6. Tệp đính kèm mạng của Private Service Connect
Tệp đính kèm mạng là các tài nguyên theo khu vực đại diện cho phía người dùng của giao diện Private Service Connect. Bạn liên kết một mạng con với một tệp đính kèm mạng và nhà sản xuất sẽ chỉ định IP cho giao diện Private Service Connect từ mạng con đó. Mạng con phải ở cùng khu vực với tệp đính kèm mạng. Tệp đính kèm mạng phải ở cùng khu vực với dịch vụ nhà sản xuất.
Tạo tệp đính kèm mạng
Bên trong Cloud Shell, hãy tạo tệp đính kèm mạng.
gcloud compute network-attachments create psc-network-attachment \
--region=us-central1 \
--connection-preference=ACCEPT_MANUAL \
--producer-accept-list=$projectid \
--subnets=intf-subnet
Liệt kê các tệp đính kèm mạng
Bên trong Cloud Shell, hãy liệt kê tệp đính kèm mạng.
gcloud compute network-attachments list
Mô tả các tệp đính kèm mạng
Bên trong Cloud Shell, hãy mô tả tệp đính kèm mạng.
gcloud compute network-attachments describe psc-network-attachment --region=us-central1
Hãy ghi lại URI tệp đính kèm mạng psc-network mà nhà sản xuất sẽ sử dụng khi tạo(các) Giao diện kết nối dịch vụ riêng tư. Ví dụ bên dưới:
user$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-07T11:27:33.116-07:00'
fingerprint: 8SDsvG6TfYQ=
id: '5014253525248340730'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet
7. Thiết lập tính năng kết nối ngang hàng VPC giữa vpc của người dùng và vpc phụ trợ
Bạn sẽ tạo một kết nối ngang hàng VPC giữa VPC của người tiêu dùng và VPC phụ trợ. Điều này tái tạo cách Google thiết lập khả năng kết nối với các VPC của khách hàng cho các dịch vụ được quản lý, bên cạnh việc kết nối ngang hàng giữa các tổ chức để kết nối mạng. Bạn phải định cấu hình kết nối ngang hàng VPC từ mỗi VPC.
VPC của người tiêu dùng sang kết nối ngang hàng VPC phụ trợ
Tạo kết nối ngang hàng VPC từ người dùng đến vpc phụ trợ
Bên trong Cloud Shell, hãy thực hiện như sau:
gcloud compute networks peerings create consumer-to-backend-vpc \
--network=consumer-vpc \
--peer-project=$projectid \
--peer-network=backend-vpc \
--stack-type=IPV4_ONLY
Tạo kết nối ngang hàng VPC từ phần phụ trợ đến vpc của người dùng
Trong Cloud Shell, hãy thực hiện như sau:
gcloud compute networks peerings create backend-to-consumer-vpc \
--network=backend-vpc \
--peer-project=$projectid \
--peer-network=consumer-vpc \
--stack-type=IPV4_ONLY
Xác thực thông tin chi tiết về trạng thái kết nối ngang hàng VPC
Trong Cloud Shell, hãy xác minh rằng tính năng liên kết VPC đang ở trạng thái "Đang hoạt động" và "Đã kết nối".
gcloud compute networks peerings list
Ví dụ:
user@cloudshell$ gcloud compute networks peerings list
NAME: backend-to-consumer-vpc
NETWORK: backend-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: consumer-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU:
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.
NAME: consumer-to-backend-vpc
NETWORK: consumer-vpc
PEER_PROJECT: $projectid
PEER_NETWORK: backend-vpc
STACK_TYPE: IPV4_ONLY
PEER_MTU:
IMPORT_CUSTOM_ROUTES: False
EXPORT_CUSTOM_ROUTES: False
STATE: ACTIVE
STATE_DETAILS: [2023-06-07T11:42:27.634-07:00]: Connected.
8. Thiết lập Producer
Tạo VPC của nhà sản xuất
Trong Cloud Shell, hãy thực hiện như sau:
gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom
Tạo mạng con nhà sản xuất
Bên trong Cloud Shell, hãy tạo mạng con dùng cho vNIC0 của (các) giao diện psc
gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1
Bên trong Cloud Shell, hãy tạo mạng con dùng cho thực thể tiger.
gcloud compute networks subnets create prod-subnet-2 --project=$projectid --range=10.30.1.0/28 --network=producer-vpc --region=us-central1
Bên trong Cloud Shell, hãy tạo mạng con dùng cho trình cân bằng tải nội bộ.
gcloud compute networks subnets create prod-subnet-3 --project=$projectid --range=172.16.10.0/28 --network=producer-vpc --region=us-central1
Cấu hình Cloud Router và NAT
Cloud NAT được dùng trong hướng dẫn cài đặt gói phần mềm vì thực thể máy ảo không có địa chỉ IP công khai. Cloud NAT cho phép các VM có địa chỉ IP riêng tư truy cập Internet.
Bên trong Cloud Shell, hãy tạo bộ định tuyến trên đám mây.
gcloud compute routers create cloud-router-for-nat-producer --network producer-vpc --region us-central1
Bên trong Cloud Shell, hãy tạo cổng NAT.
gcloud compute routers nats create cloud-nat-us-central1-producer --router=cloud-router-for-nat-producer --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
Bật giao dịch mua hàng trong ứng dụng
Để cho phép IAP kết nối với các phiên bản máy ảo của bạn, hãy tạo một quy tắc tường lửa:
- Áp dụng cho tất cả các thực thể máy ảo mà bạn muốn truy cập được bằng cách sử dụng IAP.
- Cho phép lưu lượng truy cập vào từ dải IP 35.235.240.0/20. Dải ô này chứa tất cả địa chỉ IP mà IAP sử dụng để chuyển tiếp TCP.
Bên trong Cloud Shell, hãy tạo quy tắc tường lửa IAP.
gcloud compute firewall-rules create ssh-iap-producer \
--network producer-vpc \
--allow tcp:22 \
--source-ranges=35.235.240.0/20
Tạo thực thể máy ảo tạo
Bên trong Cloud Shell, hãy tạo thực thể máy ảo của người dùng, tiger
gcloud compute instances create tiger \
--project=$projectid \
--machine-type=e2-micro \
--image-family debian-11 \
--no-address \
--image-project debian-cloud \
--zone us-central1-a \
--subnet=prod-subnet-2 \
--metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump"
9. Tạo quy tắc tường lửa cho trình tạo
Trong VPC của nhà sản xuất, hãy tạo một quy tắc tường lửa cho phép giao tiếp từ prod-subnet-2 đến tất cả các thực thể trong producer-vpc.
Bên trong Cloud Shell, hãy tạo quy tắc tường lửa dành cho nhà sản xuất.
gcloud compute --project=$projectid firewall-rules create allow-tiger-ingress --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=10.30.1.0/28 --enable-logging
10. Tạo giao diện Kết nối dịch vụ riêng tư
Giao diện Private Service Connect là một tài nguyên cho phép mạng Đám mây riêng ảo (VPC) của nhà sản xuất bắt đầu kết nối với nhiều đích đến trong mạng VPC của người dùng. Mạng nhà sản xuất và mạng người dùng có thể nằm trong các dự án và tổ chức khác nhau.
Nếu một tệp đính kèm mạng chấp nhận kết nối từ giao diện Private Service Connect, Google Cloud sẽ phân bổ cho giao diện đó một địa chỉ IP từ một mạng con của người dùng được chỉ định theo tệp đính kèm mạng. Mạng của người tiêu dùng và nhà sản xuất được kết nối và có thể giao tiếp bằng cách sử dụng địa chỉ IP nội bộ.
Trong hướng dẫn này, bạn sẽ tạo hai thực thể có tệp đính kèm mạng kết nối dịch vụ riêng tư. Đây sẽ là phần phụ trợ cho bộ cân bằng tải nội bộ.
Bên trong Cloud Shell, hãy tạo giao diện Private Service Connect (rabbit) và chèn psc-network-attachment URI đã xác định trước đó từ đầu ra mô tả tệp đính kèm mạng.
gcloud compute instances create rabbit --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart"
Bên trong Cloud Shell, hãy tạo giao diện Kết nối dịch vụ riêng tư (con cáo) rồi chèn URI đã xác định trước đó từ tệp đính kèm mạng mô tả đầu ra.
gcloud compute instances create fox --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment --metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart"
Xác thực nhiều nic
Kiểm tra để đảm bảo rằng giao diện PSC đã được định cấu hình bằng Địa chỉ IP phù hợp. vnic0 sẽ sử dụng mạng con prod-subnet của nhà sản xuất (10.20.1.0/28) và v nữa sẽ sử dụng mạng con intf-subnet của người tiêu dùng (192.168.10.0/28).
gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
Ví dụ:
user$ gcloud compute instances describe rabbit --zone=us-central1-a | grep networkIP:
networkIP: 10.20.1.2
networkIP: 192.168.10.2
user$ gcloud compute instances describe fox --zone=us-central1-a | grep networkIP:
networkIP: 10.20.1.3
networkIP: 192.168.10.3
11. Tạo và thêm thỏ và cáo vào một nhóm thực thể không được quản lý
Trong phần sau, bạn sẽ tạo một nhóm thực thể không được quản lý, bao gồm các phiên bản giao diện PSC thỏ và cáo.
Bên trong Cloud Shell, hãy tạo nhóm thực thể không được quản lý.
gcloud compute instance-groups unmanaged create psc-interface-instances-ig --project=$projectid --zone=us-central1-a
Trong Cloud Shell, hãy thêm các thực thể fox và rabbit vào nhóm thực thể.
gcloud compute instance-groups unmanaged add-instances psc-interface-instances-ig --project=$projectid --zone=us-central1-a --instances=fox,rabbit
12. Tạo quy trình kiểm tra tình trạng TCP, các dịch vụ phụ trợ, quy tắc chuyển tiếp và tường lửa
Bên trong Cloud Shell, hãy tạo tính năng kiểm tra tình trạng phụ trợ.
gcloud compute health-checks create http hc-http-80 --port=80
Tạo dịch vụ phụ trợ bên trong Cloud Shell
gcloud compute backend-services create psc-interface-backend --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80
gcloud compute backend-services add-backend psc-interface-backend --region=us-central1 --instance-group=psc-interface-instances-ig --instance-group-zone=us-central1-a
Bên trong Cloud Shell, hãy tạo quy tắc chuyển tiếp
gcloud compute forwarding-rules create psc-ilb --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=prod-subnet-3 --address=172.16.10.10 --ip-protocol=TCP --ports=all --backend-service=psc-interface-backend --backend-service-region=us-central1
Từ Cloud Shell, tạo một quy tắc tường lửa để bật tính năng kiểm tra tình trạng phụ trợ
gcloud compute firewall-rules create ilb-health-checks --allow tcp:80,tcp:443 --network producer-vpc --source-ranges 130.211.0.0/22,35.191.0.0/16
13. Tạo bảng IP Linux cho (các) giao diện PSC – rabbit
Từ thực thể giao diện PSC, hãy định cấu hình bảng IP Linux để cho phép nhà sản xuất giao tiếp với các mạng con của người tiêu dùng.
Tìm tên hệ điều hành khách của giao diện Private Service Connect
Để định cấu hình việc định tuyến, bạn cần biết tên hệ điều hành khách trên giao diện Private Service Connect của mình, tên này khác với tên giao diện trong Google Cloud.
Đăng nhập vào vm giao diện psc, thỏ, sử dụng IAP trong Cloud Shell.
gcloud compute ssh rabbit --project=$projectid --zone=us-central1-a --tunnel-through-iap
Trong Cloud Shell, hãy lấy địa chỉ IP của thực thể giao diện psc
ip a
Ví dụ:
user@rabbit:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
altname enp0s4
inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
valid_lft 59396sec preferred_lft 59396sec
inet6 fe80::4001:aff:fe14:102/64 scope link
valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
altname enp0s5
inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
valid_lft 66782sec preferred_lft 66782sec
inet6 fe80::4001:c0ff:fea8:a02/64 scope link
valid_lft forever preferred_lft forever
Tìm địa chỉ IP của cổng giao diện PSC
Trong danh sách giao diện mạng, hãy tìm và lưu trữ tên giao diện được liên kết với địa chỉ IP của giao diện Private Service Connect (Kết nối dịch vụ riêng tư) – ví dụ: ens5 (vNIC1)
Để định cấu hình định tuyến, bạn cần biết địa chỉ IP của cổng mặc định của giao diện Private Service Connect
Trong Cloud Shell, chúng ta sẽ sử dụng 1 vì giao diện PSC được liên kết với vNI1.
curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
Ví dụ tạo gw mặc định 192.168.10.1
user@rabbit:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1
Thêm tuyến đường cho mạng con của người dùng
Bạn phải thêm một tuyến đến cổng mặc định của giao diện Private Service Connect cho mỗi mạng con của người dùng thông thường kết nối với giao diện Private Service Connect của bạn. Điều này đảm bảo rằng lưu lượng truy cập được liên kết với mạng của người dùng sẽ thoát khỏi giao diện Private Service Connect.
Xác thực bảng tuyến
Trong Cloud Shell, xác thực các tuyến hiện tại.
ip route show
Ví dụ:
user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
Trong Cloud Shell, hãy thêm tuyến đường đến cosmo-subnet-1
sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
Xác thực bảng tuyến
Trong Cloud Shell, xác thực các tuyến đã thêm mới.
ip route show
Ví dụ:
user@rabbit:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
192.168.20.0/28 via 192.168.10.1 dev ens5
Tạo quy tắc cho bảng IP
Trong Cloud Shell, hãy xác thực các Bảng IP hiện tại.
sudo iptables -t nat -L -n -v
Ví dụ:
user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Trong Bảng cập nhật IP trong Cloud Shell
sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1
Trong Cloud Shell, hãy xác thực Bảng IP đã cập nhật.
sudo iptables -t nat -L -n -v
Ví dụ:
user@rabbit:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 MASQUERADE all -- * ens5 0.0.0.0/0 0.0.0.0/0
14. Tạo bảng IP linux cho(các) giao diện PSC – fox
Từ thực thể giao diện PSC, hãy định cấu hình bảng IP Linux để cho phép nhà sản xuất giao tiếp với các mạng con của người tiêu dùng.
Tìm tên hệ điều hành khách của giao diện Private Service Connect
Để định cấu hình việc định tuyến, bạn cần biết tên hệ điều hành khách trên giao diện Private Service Connect của mình, tên này khác với tên giao diện trong Google Cloud.
Mở một thẻ Cloud Shell mới và cập nhật chế độ cài đặt dự án.
Trong Cloud Shell, hãy thực hiện như sau:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
Đăng nhập vào máy ảo psc-interface, fox, bằng IAP trong Cloud Shell.
gcloud compute ssh fox --project=$projectid --zone=us-central1-a --tunnel-through-iap
Trong Cloud Shell, hãy lấy địa chỉ IP của thực thể giao diện psc
ip a
Ví dụ:
user@fox:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:0a:14:01:03 brd ff:ff:ff:ff:ff:ff
altname enp0s4
inet 10.20.1.3/32 brd 10.20.1.3 scope global dynamic ens4
valid_lft 65601sec preferred_lft 65601sec
inet6 fe80::4001:aff:fe14:103/64 scope link
valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:c0:a8:0a:03 brd ff:ff:ff:ff:ff:ff
altname enp0s5
inet 192.168.10.3/32 brd 192.168.10.3 scope global dynamic ens5
valid_lft 63910sec preferred_lft 63910sec
inet6 fe80::4001:c0ff:fea8:a03/64 scope link
valid_lft forever preferred_lft forever
Tìm địa chỉ IP của cổng giao diện PSC
Trong danh sách giao diện mạng, hãy tìm và lưu trữ tên giao diện được liên kết với địa chỉ IP của giao diện Private Service Connect (Kết nối dịch vụ riêng tư) – ví dụ: ens5 (vNIC1)
Để định cấu hình định tuyến, bạn cần biết địa chỉ IP của cổng mặc định của giao diện Private Service Connect
Trong Cloud Shell, chúng ta sẽ sử dụng 1 vì giao diện PSC được liên kết với vNI1.
curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
Ví dụ tạo gw mặc định 192.168.10.1
user@fox:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1
Thêm tuyến đường cho mạng con của người dùng
Bạn phải thêm một tuyến đến cổng mặc định của giao diện Private Service Connect cho mỗi mạng con của người dùng thông thường kết nối với giao diện Private Service Connect của bạn. Điều này đảm bảo rằng lưu lượng truy cập được liên kết với mạng của người dùng sẽ thoát khỏi giao diện Private Service Connect.
Xác thực bảng tuyến
Trong Cloud Shell, xác thực các tuyến hiện tại.
ip route show
Ví dụ:
user@fox:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
Trong Cloud Shell, hãy thêm tuyến đường đến cosmo-subnet-1
sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
Xác thực bảng tuyến
Trong Cloud Shell, xác thực các tuyến đã thêm mới.
ip route show
Ví dụ:
user@fox:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
192.168.20.0/28 via 192.168.10.1 dev ens5
Tạo quy tắc cho bảng IP
Trong Cloud Shell, hãy xác thực các Bảng IP hiện tại.
sudo iptables -t nat -L -n -v
Ví dụ:
user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Trong Cloud Shell, hãy cập nhật Bảng IP.
sudo iptables -t nat -A POSTROUTING -o ens5 -j MASQUERADE
sudo sysctl net.ipv4.ip_forward=1
Trong Cloud Shell, hãy xác thực các Bảng IP đã cập nhật.
sudo iptables -t nat -L -n -v
Ví dụ:
user@fox:~$ sudo iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 MASQUERADE all -- * ens5 0.0.0.0/0 0.0.0.0/0
15. Cập nhật bảng tuyến đường
Trong nhà sản xuất-vpc, tạo một tuyến tĩnh đến mạng con người tiêu dùng 192.168.20.0/28, hop tiếp theo là trình cân bằng tải nội bộ. Sau khi được tạo, bất kỳ gói nào (trong nhà sản xuất-vpc) tới đích 192.168.20.0/28 sẽ được chuyển hướng đến trình cân bằng tải nội bộ.
Mở một thẻ Cloud Shell mới và cập nhật các chế độ cài đặt dự án.
Trong Cloud Shell, hãy thực hiện như sau:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
Trong Cloud Shell, hãy cập nhật bảng định tuyến producer-vpc bằng một tuyến tĩnh.
gcloud beta compute routes create producer-to-cosmo-subnet-1 --project=$projectid --network=producer-vpc --priority=1000 --destination-range=192.168.20.0/28 --next-hop-ilb=psc-ilb --next-hop-ilb-region=us-central1
16. Xác thực kết nối thành công từ tiger đến cosmo
Xác thực Curl
Hãy xác nhận rằng thực thể máy ảo nhà sản xuất, tiger, có thể giao tiếp với thực thể người dùng, cosmo bằng cách thực hiện một lệnh curl.
Mở một thẻ Cloud Shell mới và cập nhật chế độ cài đặt dự án.
Bên trong Cloud Shell, hãy thực hiện như sau:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
Đăng nhập vào phiên bản hổ bằng cách sử dụng IAP trong Cloud Shell.
gcloud compute ssh tiger --project=$projectid --zone=us-central1-a --tunnel-through-iap
Thực hiện cuộn tròn dựa trên Địa chỉ IP của cosmo đã xác định trước đó trong hướng dẫn từ phiên bản con hổ.
curl -v <cosmo's IP Address>
Ví dụ:
user@tiger:~$ curl -v 192.168.20.2
* Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
>
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Fri, 09 Jun 2023 03:49:42 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Fri, 09 Jun 2023 03:28:37 GMT
< ETag: "27-5fda9f6ea060e"
< Accept-Ranges: bytes
< Content-Length: 39
< Content-Type: text/html
<
Welcome to cosmo's backend server !!
Xin chúc mừng!! Bạn đã xác thực thành công khả năng kết nối từ production-vpc đến phụ trợ-vpc bằng cách thực hiện lệnh curl.
17. Dọn dẹp
Trên Cloud Shell, hãy xoá các thành phần hướng dẫn.
gcloud compute instances delete cosmo --zone=us-central1-a --quiet
gcloud compute instances delete rabbit --zone=us-central1-a --quiet
gcloud compute instances delete fox --zone=us-central1-a --quiet
gcloud compute instances delete tiger --zone=us-central1-a --quiet
gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet
gcloud compute firewall-rules delete allow-ingress-to-cosmo allow-tiger-ingress ilb-health-checks ssh-iap-consumer ssh-iap-producer --quiet
gcloud beta compute routes delete producer-to-cosmo-subnet-1 --quiet
gcloud compute forwarding-rules delete psc-ilb --region=us-central1 --quiet
gcloud compute backend-services delete psc-interface-backend --region=us-central1 --quiet
gcloud compute instance-groups unmanaged delete psc-interface-instances-ig --zone=us-central1-a --quiet
gcloud compute health-checks delete hc-http-80 --quiet
gcloud compute networks subnets delete cosmo-subnet-1 prod-subnet prod-subnet-2 prod-subnet-3 intf-subnet --region=us-central1 --quiet
gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet
gcloud compute routers delete cloud-router-for-nat-producer --region=us-central1 --quiet
gcloud compute networks delete consumer-vpc --quiet
gcloud compute networks delete producer-vpc --quiet
gcloud compute networks delete backend-vpc --quiet
18. Xin chúc mừng
Xin chúc mừng! Bạn đã định cấu hình và xác thực thành công Giao diện kết nối dịch vụ riêng tư, cũng như xác thực kết nối giữa người tiêu dùng và nhà sản xuất qua kết nối ngang hàng VPC.
Bạn đã tạo cơ sở hạ tầng của người dùng và thêm một tệp đính kèm mạng cho phép nhà sản xuất tạo một máy ảo nhiều nic để kết nối người dùng và nhà sản xuất. Bạn đã tìm hiểu cách sử dụng giao diện PSC để giao tiếp với các dịch vụ 1P/3P qua kết nối ngang hàng VPC bằng cách sử dụng trình cân bằng tải nội bộ và một tuyến tĩnh trong vpc của nhà sản xuất.
Cosmopup cho rằng các hướng dẫn này rất tuyệt vời!!
Tiếp theo là gì?
Hãy xem một số hướng dẫn trong số này...
- Sử dụng Private Service Connect để xuất bản và sử dụng các dịch vụ bằng GKE
- Sử dụng Private Service Connect để phát hành và sử dụng dịch vụ
- Kết nối với các dịch vụ tại chỗ thông qua Mạng kết hợp bằng Private Service Connect và bộ cân bằng tải Proxy TCP nội bộ
Tài liệu đọc thêm và video
- Tổng quan về Private Service Connect
- Kết nối dịch vụ riêng tư (PSC) là gì?
- Các loại trình cân bằng tải được hỗ trợ