واجهة Private Service Connect

1. مقدمة

واجهة Private Service Connect هي مورد يتيح لشبكة السحابة الإلكترونية الخاصة الافتراضية (VPC) الخاصة بالمنتِج بدء الاتصالات بمختلف الوجهات في شبكة السحابة الإلكترونية الخاصة الافتراضية (VPC) الخاصة بالمستهلك. يمكن أن تكون شبكات المنتجين والمستهلكين في مشاريع ومؤسسات مختلفة.

إذا قبلت أداة ربط الشبكة اتصالاً من واجهة Private Service Connect، يخصّص Google Cloud للواجهة عنوان IP من شبكة فرعية للمستهلك تحدّدها أداة ربط الشبكة. ترتبط شبكات المستهلكين والمنتجين ويمكنها التواصل باستخدام عناوين IP الداخلية.

يشبه الاتصال بين مرفق الشبكة وواجهة Private Service Connect الاتصال بين نقطة نهاية Private Service Connect ومرفق الخدمة، ولكنّه يختلف عنه في نقطتَين أساسيتَين:

• تتيح مرفقات الشبكة لشبكة المنتج بدء الاتصالات بشبكة المستهلك (خروج الخدمة المُدارة)، بينما تتيح نقطة النهاية لشبكة المستهلك بدء الاتصالات بشبكة المنتج (دخول الخدمة المُدارة).
• اتصال واجهة Private Service Connect متعدٍّ. وهذا يعني أنّه يمكن لشبكة منتِجة التواصل مع شبكات أخرى مرتبطة بشبكة المستهلك.

ما ستنشئه

في هذا البرنامج التعليمي، ستنشئ بنية شاملة لواجهة Private Service Connect (PSC) تستخدم قواعد Cloud Firewall للسماح بالاتصال من مقدّم الخدمة إلى موارد الحوسبة لدى المستهلك ورفضه، كما هو موضّح في الشكل 1.

الشكل 1

ستنشئ مرفق شبكة واحدًا خاصًا بخدمة Private Service Connect في شبكة VPC الخاصة بالمستهلك، ما يؤدي إلى حالات الاستخدام التالية:

1. إنشاء قاعدة Cloud Firewall للسماح بالوصول من bear إلى lion
2. إنشاء قاعدة Cloud Firewall لمنع الوصول من bear إلى tiger
3. إنشاء قاعدة Cloud Firewall للسماح بالوصول من cosmo إلى bear

ملاحظة: يقدّم البرنامج التعليمي خطوات الإعداد والتحقّق استنادًا إلى المخطط الموضّح، ويمكنك تعديل الإجراء حسب الحاجة لتلبية متطلبات مؤسستك.

ما ستتعلمه

• كيفية إنشاء مرفق شبكة
• كيف يمكن للمنتج استخدام مرفق شبكة لإنشاء واجهة PSC؟
• كيفية إعداد قناة تواصل من المنتِج إلى المستهلك
• كيفية السماح بالوصول من الجهاز الافتراضي المنتج (الدب) إلى الجهاز الافتراضي المستهلك (الأسد)
• كيفية حظر الوصول من الجهاز الظاهري المنتج (الدب) إلى الجهاز الظاهري المستهلك (النمر)
• كيفية السماح بالوصول من الجهاز الافتراضي للمستهلك (cosmo) إلى الجهاز الافتراضي للمنتج (bear)

المتطلبات

• مشروع Google Cloud
• أذونات "إدارة الهوية وإمكانية الوصول"
• مشرف شبكة Cloud Compute (roles/compute.networkAdmin)
• مشرف مثيل Compute (roles/compute.instanceAdmin)
• مشرف أمان Compute (roles/compute.securityAdmin)

2. قبل البدء

تعديل المشروع ليتوافق مع البرنامج التعليمي

يستخدِم هذا البرنامج التعليمي $variables للمساعدة في تنفيذ عملية إعداد gcloud في Cloud Shell.

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3- إعداد المستهلك

إنشاء شبكة VPC الخاصة بالمستهلك

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

إنشاء الشبكات الفرعية للمستهلك

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud compute networks subnets create lion-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=consumer-vpc --region=us-central1

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud compute networks subnets create tiger-subnet-1 --project=$projectid --range=192.168.30.0/28 --network=consumer-vpc --region=us-central1

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.40.0/28 --network=consumer-vpc --region=us-central1

إنشاء الشبكة الفرعية لـ Private Service Connect Network Attachment

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

إعداد Cloud Router وNAT

يتم استخدام Cloud NAT في البرنامج التعليمي لتثبيت حزمة البرامج لأنّ الجهاز الظاهري لا يتضمّن عنوان IP عامًا. تتيح خدمة Cloud NAT للأجهزة الافتراضية التي تستخدم عناوين IP خاصة الوصول إلى الإنترنت.

داخل Cloud Shell، أنشئ موجّه السحابة.

gcloud compute routers create cloud-router-for-nat --network consumer-vpc --region us-central1

داخل Cloud Shell، أنشئ بوابة NAT.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. تفعيل عمليات الشراء داخل التطبيق

للسماح لميزة "الوصول إلى الأجهزة الافتراضية عبر الإنترنت" بالاتصال بأجهزة VM الافتراضية، أنشئ قاعدة جدار حماية تتضمّن ما يلي:

• ينطبق على جميع مثيلات الأجهزة الافتراضية التي تريد إتاحتها باستخدام IAP.
• يسمح بحركة البيانات الواردة من نطاق عناوين IP ‏35.235.240.0/20. يحتوي هذا النطاق على جميع عناوين IP التي تستخدمها خدمة IAP لإعادة توجيه بروتوكول TCP.

داخل Cloud Shell، أنشئ قاعدة جدار حماية IAP.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5- إنشاء مثيلات أجهزة افتراضية للمستهلكين

داخل Cloud Shell، أنشئ مثيل الجهاز الافتراضي للمستهلك، lion.

gcloud compute instances create lion \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=lion-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the lion app server !!' | tee /var/www/html/index.html
      EOF"

داخل Cloud Shell، أنشئ مثيل الجهاز الافتراضي للمستهلك، tiger.

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=tiger-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the tiger app server !!' | tee /var/www/html/index.html
      EOF"

داخل Cloud Shell، أنشئ مثيل الجهاز الظاهري للمستهلك، cosmo.

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the cosmo app server !!' | tee /var/www/html/index.html
      EOF"

الحصول على عناوين IP الخاصة بالأجهزة الافتراضية وتخزينها:

داخل Cloud Shell، نفِّذ عملية وصف لمثيلات الأجهزة الافتراضية الخاصة بالأسد والنمر.

gcloud compute instances describe lion --zone=us-central1-a | grep  networkIP:

gcloud compute instances describe tiger --zone=us-central1-a | grep  networkIP:

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. مرفق شبكة Private Service Connect

مرفقات الشبكة هي موارد إقليمية تمثّل جهة المستهلك في واجهة Private Service Connect. يمكنك ربط شبكة فرعية واحدة بمرفق شبكة، ويخصّص مقدّم الخدمة عناوين IP لواجهة Private Service Connect من تلك الشبكة الفرعية. يجب أن تكون الشبكة الفرعية في المنطقة نفسها التي يتوفّر فيها ملحق الشبكة. يجب أن يكون مرفق الشبكة في المنطقة نفسها التي تتوفّر فيها خدمة المنتج.

إنشاء مرفق الشبكة

داخل Cloud Shell، أنشئ مرفق الشبكة.

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

إدراج مرفقات الشبكة

داخل Cloud Shell، أدرِج مرفق الشبكة.

gcloud compute network-attachments list

وصف مرفقات الشبكة

داخل Cloud Shell، صف مرفق الشبكة.

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

دوِّن معرّف الموارد المنتظم (URI) الخاص بـ psc-network-attachment الذي سيستخدمه مقدّم الخدمة عند إنشاء واجهة Private Service Connect. المثال التالي:

user@cloudshell$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1 
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-06T20:57:12.623-07:00'
fingerprint: 4Yq6xAfaRO0=
id: '3235195049527328503'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. إعداد Producer

إنشاء شبكة VPC الخاصة بالمنتج

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

إنشاء الشبكات الفرعية للمنتج

داخل Cloud Shell، أنشئ الشبكة الفرعية المستخدَمة في vNIC0 لواجهة psc.

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

8. تفعيل عمليات الشراء داخل التطبيق

للسماح لميزة "الوصول إلى الأجهزة الافتراضية عبر الإنترنت" بالاتصال بأجهزة VM الافتراضية، أنشئ قاعدة جدار حماية تتضمّن ما يلي:

• ينطبق على جميع مثيلات الأجهزة الافتراضية التي تريد إتاحتها باستخدام IAP.
• يسمح بحركة البيانات الواردة من نطاق عناوين IP ‏35.235.240.0/20. يحتوي هذا النطاق على جميع عناوين IP التي تستخدمها خدمة IAP لإعادة توجيه بروتوكول TCP.

داخل Cloud Shell، أنشئ قاعدة جدار حماية IAP.

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

9- إنشاء واجهة Private Service Connect

واجهة Private Service Connect هي مورد يتيح لشبكة السحابة الإلكترونية الخاصة الافتراضية (VPC) الخاصة بالمنتِج بدء الاتصالات بمختلف الوجهات في شبكة السحابة الإلكترونية الخاصة الافتراضية (VPC) الخاصة بالمستهلك. يمكن أن تكون شبكات المنتجين والمستهلكين في مشاريع ومؤسسات مختلفة.

إذا قبلت أداة ربط الشبكة اتصالاً من واجهة Private Service Connect، يخصّص Google Cloud للواجهة عنوان IP من شبكة فرعية للمستهلك تحدّدها أداة ربط الشبكة. ترتبط شبكات المستهلكين والمنتجين ويمكنها التواصل باستخدام عناوين IP الداخلية.

في Cloud Shell، أنشئ واجهة Private Service Connect (bear) وأدرِج psc-network-attachment URI الذي تم تحديده سابقًا من ناتج وصف ربط الشبكة.

gcloud compute instances create bear --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment

التحقّق من صحة بطاقات الشبكة المتعددة

تأكَّد من ضبط واجهة PSC باستخدام عنوان IP المناسب. ستستخدم vNIC0 شبكة prod-subnet الخاصة بالمنتج (10.20.1.0/28)، وستستخدم vNIC1 شبكة intf-subnet الخاصة بالمستهلك (192.168.10.0/28).

gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:

مثال:

user$ gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

10. تعديل قواعد جدار الحماية للمستهلكين

إنشاء قاعدة Cloud Firewall للسماح بالوصول من bear إلى lion

في Cloud Shell، أنشئ قاعدة ذات أولوية أعلى تسمح بالخروج من نطاق عناوين IP الخاص بالشبكة الفرعية للمرفقات (intf-subnet) إلى الوجهات في نطاق عناوين lion-subnet-1.

gcloud compute firewall-rules create allow-limited-egress-to-lion \
    --network=consumer-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=EGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

في Cloud Shell، أنشئ قاعدة تتيح الدخول تتجاوز قاعدة الدخول الضمنية التي تحظر الزيارات من الشبكة الفرعية psc-network-attachment.

gcloud compute firewall-rules create allow-ingress \
--network=consumer-vpc \
--action=ALLOW \
--rules=ALL \
--direction=INGRESS \
--priority=1000 \
--source-ranges="192.168.10.0/28" \
--enable-logging

إنشاء قاعدة Cloud Firewall تمنع الوصول من bear إلى جميع النطاقات (بما في ذلك tiger)

في Cloud Shell، أنشئ قاعدة منخفضة الأولوية ترفض جميع حركة البيانات الخارجة من نطاق عناوين IP للشبكة الفرعية المرفقة بالشبكة، intf-subnet.

gcloud compute firewall-rules create deny-all-egress \
    --network=consumer-vpc \
    --action=DENY \
    --rules=ALL \
    --direction=EGRESS \
    --priority=65534 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="0.0.0.0/0" \
    --enable-logging

إنشاء قاعدة Cloud Firewall للسماح بالوصول من cosmo إلى bear

في Cloud Shell، أنشئ قاعدة تتيح الدخول تتجاوز قاعدة الدخول الضمنية التي تحظر الزيارات من الشبكة الفرعية psc-network-attachment.

gcloud compute firewall-rules create vm-subnet-allow-ingress \
    --network=consumer-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.40.0/28" \
    --destination-ranges="192.168.10.0/28" \
    --enable-logging

11. إنشاء مسارات Linux لواجهة PSC

من مثيل واجهة PSC، اضبط مسارات Linux للسماح بتواصل المنتِج مع الشبكات الفرعية للمستهلك.

العثور على اسم نظام التشغيل الضيف لواجهة Private Service Connect

لضبط التوجيه، عليك معرفة اسم نظام التشغيل الضيف لواجهة Private Service Connect، وهو يختلف عن اسم الواجهة في Google Cloud.

في Cloud Shell، افتح علامة تبويب جديدة ونفِّذ ما يلي:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

سجِّل الدخول إلى الجهاز الظاهري psc-interface، bear، باستخدام IAP في Cloud Shell.

gcloud compute ssh bear --project=$projectid --zone=us-central1-a --tunnel-through-iap

في Cloud Shell، احصل على عنوان IP الخاص بمثيل psc-interface.

ip a

مثال:

user@bear:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 85991sec preferred_lft 85991sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 85991sec preferred_lft 85991sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

العثور على عنوان IP الخاص ببوابة واجهة PSC

في قائمة واجهات الشبكة، ابحث عن اسم الواجهة المرتبط بعنوان IP الخاص بواجهة Private Service Connect وخزِّنه، مثل ens5 (vNIC1).

لضبط التوجيه، يجب معرفة عنوان IP للبوّابة التلقائية لواجهة Private Service Connect.

في Cloud Shell، سنستخدم 1 لأنّ واجهة PSC مرتبطة بـ vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

ينتج المثال بوابة تلقائية 192.168.10.1

user@bear:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

إضافة مسارات للشبكات الفرعية للمستهلكين

يجب إضافة مسار إلى البوابة التلقائية لواجهة Private Service Connect لكل شبكة فرعية للمستهلك تتصل بواجهة Private Service Connect. يضمن ذلك خروج الزيارات المتّجهة إلى شبكة المستهلك من واجهة Private Service Connect.

في مثيل Bear، أضِف المسارات إلى الشبكات الفرعية للمستهلكين.

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.30.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.40.0/28 via 192.168.10.1 dev ens5

التحقّق من صحة جدول التوجيه

في Cloud Shell، تحقّق من صحة المسارات التي تمت إضافتها حديثًا.

ip route show

على سبيل المثال،

user@bear:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5 
192.168.30.0/28 via 192.168.10.1 dev ens5 
192.168.40.0/28 via 192.168.10.1 dev ens5 

12. التحقّق من نجاح ربط الدب بالأسد

لنؤكّد أنّ مثيل الجهاز الافتراضي الخاص بالمنتج، bear، يمكنه التواصل مع مثيل المستهلك، lion، من خلال تنفيذ curl.

من مثيل الدب، نفِّذ طلب curl على عنوان IP الخاص بالأسد الذي تم تحديده سابقًا في البرنامج التعليمي من مثيل الدب.

curl -v <lions IP Address>

مثال:

user@bear:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Tue, 06 Jun 2023 03:53:08 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Mon, 05 Jun 2023 19:41:26 GMT
< ETag: "1e-5fd6716a1e11b"
< Accept-Ranges: bytes
< Content-Length: 30
< Content-Type: text/html
< 
Welcome to lion app server !!
* Connection #0 to host 192.168.20.2 left intact

13. التأكّد من حظر الاتصال بين الدب والنمر

لنؤكّد أنّ قاعدة جدار الحماية للخروج تحظر الوصول من bear إلى tiger من خلال عرض سجلّات جدار الحماية.

من جلسة جديدة في Cloud Console، انتقِل إلى Logging ← مستكشف السجلّات ← اختَر "عرض طلب البحث".

الصِق سلسلة طلب البحث أدناه في حقل البحث، ثم انقر على بث.

jsonPayload.rule_details.reference="network:consumer-vpc/firewall:deny-all-egress"

من مثيل الدب، نفِّذ طلب curl على عنوان IP الخاص بالنمر الذي تم تحديده سابقًا في البرنامج التعليمي من مثيل الدب. سينتهي وقت curl في النهاية.

curl -v <tiger's IP Address>

مثال:

user@bear:~$ curl -v 192.168.30.2 
*   Trying 192.168.30.2:80...
* connect to 192.168.30.2 port 80 failed: Connection timed out
* Failed to connect to 192.168.30.2 port 80: Connection timed out
* Closing connection 0
curl: (28) Failed to connect to 192.168.30.2 port 80: Connection timed out

تأكَّد من أنّ "مستكشف السجلّ" قد سجّل سجلّات جدار الحماية التي تم رفضها. اختَر إدخالاً في السجلّ ووسِّع الحقول المتداخلة لعرض البيانات الوصفية.

14. التأكّد من نجاح عملية ربط Cosmo Bear

افتح علامة تبويب جديدة في Cloud Shell وعدِّل إعدادات مشروعك.

داخل Cloud Shell، اتّبِع الخطوات التالية:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

سجِّل الدخول إلى مثيل cosmo باستخدام IAP في Cloud Shell.

gcloud compute ssh cosmo --project=$projectid --zone=us-central1-a --tunnel-through-iap

في Cloud Shell، نفِّذ عملية ping على عنوان IP الخاص بـ bear's IP vNIV1 الذي تم تحديده سابقًا في البرنامج التعليمي

ping <bears vNIC1 IP Address>

مثال:

user@cosmo:~$ ping 192.168.10.2 -c 5
PING 192.168.10.2 (192.168.10.2) 56(84) bytes of data.
64 bytes from 192.168.10.2: icmp_seq=1 ttl=64 time=0.277 ms
64 bytes from 192.168.10.2: icmp_seq=2 ttl=64 time=0.288 ms
64 bytes from 192.168.10.2: icmp_seq=3 ttl=64 time=0.265 ms
64 bytes from 192.168.10.2: icmp_seq=4 ttl=64 time=0.264 ms
64 bytes from 192.168.10.2: icmp_seq=5 ttl=64 time=0.366 ms

15. تَنظيم

من Cloud Shell، احذف مكوّنات البرنامج التعليمي.

gcloud compute instances delete bear --zone=us-central1-a --quiet

gcloud compute instances delete lion --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress allow-limited-egress-to-lion deny-all-egress ssh-iap-consumer ssh-iap-producer vm-subnet-allow-ingress --quiet

gcloud compute networks subnets delete cosmo-subnet-1 intf-subnet lion-subnet-1 prod-subnet tiger-subnet-1 --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet 

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

16. تهانينا

تهانينا، لقد نجحت في إعداد واجهة Private Service Connect والتحقّق من صحتها، بالإضافة إلى إعداد اتصال بين المستهلك والمنتج من خلال تنفيذ قواعد جدار الحماية.

لقد أنشأت البنية الأساسية للمستهلك، وأضفت مرفق شبكة سمح للمنتج بإنشاء جهاز افتراضي متعدد بطاقات واجهة شبكة (NIC) لربط الاتصال بين المستهلك والمنتج. تعرّفت على كيفية إنشاء قواعد جدار الحماية في شبكة VPC الخاصة بالمستهلك التي سمحت بالاتصال بالأجهزة الافتراضية في شبكة VPC الخاصة بالمستهلك والمنتج.

تعتقد Cosmopup أنّ الفيديوهات التعليمية رائعة!!

ما هي الخطوات التالية؟

يمكنك الاطّلاع على بعض هذه البرامج التعليمية...

• استخدام Private Service Connect لنشر الخدمات واستهلاكها مع GKE
• استخدام Private Service Connect لنشر الخدمات واستهلاكها
• الاتصال بالخدمات المحلية عبر شبكة مختلطة باستخدام خدمة Private Service Connect وجهاز موازنة الحمل الداخلي الذي يستخدم وكيل TCP

مزيد من المعلومات والفيديوهات

• نظرة عامة على Private Service Connect
• ما هي خدمة Private Service Connect؟
• أنواع موازنات الحمل المتوافقة

المستندات المرجعية

• نظرة عامة على جهاز موازنة حمل HTTP(S) الداخلي
• نظرة عامة على عمليات التحقّق من الصحة
• كيفية نشر خدمة باستخدام Private Service Connect
• ‫Private Service Connect - نظام أسماء النطاقات التلقائي