الاتصال بالخدمات المتوفرة في مقر المؤسسة من خلال الشبكات المختلطة باستخدام Private Service Connect واختصار NEG TCP Proxy

1. مقدمة

يتيح لك جهاز موازنة حمل خادم وكيل TCP الداخلي الإقليمي مع الاتصال المختلط إتاحة خدمة تتم استضافتها في بيئات داخل الشركة أو بيئات السحابة الإلكترونية الأخرى للعملاء في شبكة VPC.

إذا كنت تريد توفير الخدمة المختلطة في شبكات VPC الأخرى، يمكنك استخدام Private Service Connect لنشر الخدمة. يمكنك السماح للعملاء في شبكات VPC الأخرى بالوصول إلى الخدمات المختلطة التي تعمل في بيئات داخل الشركة أو بيئات السحابة الإلكترونية الأخرى من خلال وضع مرفق خدمة في جهاز موازنة حمل خادم وكيل TCP الداخلي.

ما الذي ستنشئه

في هذا الدرس التطبيقي حول الترميز، ستنشئ جهاز موازنة حمل خادم وكيل TCP الداخلي مع الاتصال المختلط بخدمة داخل المؤسسة باستخدام مجموعة نقاط نهاية للشبكة. من خلال شبكة VPC الخاصة بالمستهلك، ستتمكن من التواصل مع الخدمة داخل المؤسسة.

ملاحظة: يوفِّر الدرس التطبيقي حول الترميز خطوات تكوين والتحقّق من الصحة استنادًا إلى المخطط التوضيحي، ويمكنك تعديل الإجراء حسب الحاجة لتلبية متطلبات مؤسستك. لا تندرج أذونات "إدارة الهوية وإمكانية الوصول" في نطاق الدرس التطبيقي حول الترميز.

المعلومات التي ستطّلع عليها

• طريقة إنشاء خادم ILB لخادم وكيل TCP باستخدام خدمة خلفية NEG للدمج المختلط
• كيفية إنشاء أداة خاصة لـ Private Service Connect (مرفق الخدمة) والمستهلك (قاعدة إعادة التوجيه)
• كيفية اختبار اتصال خدمة المنتج بين المستهلك والمنتج

ملاحظة: يركّز هذا الدرس التطبيقي حول الترميز على تنفيذ خادم TCP Proxy ILB باستخدام PSC . لم يتم توثيق إعدادات الشبكة المختلطة على الرغم من تقديم المستندات الداعمة ولقطات الشاشة.

المتطلبات

• شبكة مختلطة راسخة، مثل شبكة VPN ذات التوفّر العالي الكثافة، وInterconnect، وSW-WAN
• مشروع Google Cloud

إنشاء اتصال مختلط

يجب أن تكون خدمة Google Cloud وبيئات مؤسستك أو بيئات السحابة الإلكترونية الأخرى متصلة من خلال الاتصال المختلط، باستخدام مرفقات Cloud Interconnect VLAN أو أنفاق الشبكة الافتراضية الخاصة على Cloud مع جهاز توجيه Cloud. ننصحك باستخدام اتصال مدى التوفّر العالي.

في جهاز Cloud Router الذي تم تفعيل التوجيه الديناميكي العالمي إليه، يتم التعرّف على نقطة النهاية المحدّدة من خلال بروتوكول BGP وبرامجها في شبكة Google Cloud VPC. لا يتوفّر التوجيه الديناميكي الإقليمي. ولا تتوفّر أيضًا المسارات الثابتة.

شبكة VPC في Google Cloud التي تستخدمها لضبط إما Cloud Interconnect أو Cloud VPN هي الشبكة نفسها التي تستخدمها لضبط نشر موازنة التحميل المختلط. تأكَّد من أنّ نطاقات CIDR للشبكة الفرعية لشبكة VPC لا تتعارض مع نطاقات CIDR البعيدة. عندما تتداخل عناوين IP، تُعطى الأولوية لمسارات الشبكة الفرعية على الاتصال عن بُعد.

للحصول على التعليمات، يُرجى الاطّلاع على:

• مستندات شبكة Cloud VPN
• مستندات Cloud Interconnect

إعلانات المسارات المخصّصة

تتطلب الشبكات الفرعية أدناه إعلانات مخصصة من Cloud Router إلى الشبكة داخل المؤسسة لضمان تحديث قواعد جدار الحماية داخل المؤسسة.

الشبكة الفرعية	الوصف
172.16.0.0/23	الشبكة الفرعية لخادم وكيل TCP المستخدمة للاتصال مباشرةً بالخدمة داخل المؤسسة
130.211.0.0/22، 35.191.0.0/16	التحقّق من Google Cloud Health

2. قبل البدء

تعديل المشروع لدعم الدرس التطبيقي حول الترميز

يستخدم هذا الدرس التطبيقي حول الترميز $variables للمساعدة في تنفيذ إعدادات gcloud في Cloud Shell.

يجري داخل Cloud Shell ما يلي

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
psclab=YOUR-PROJECT-NAME
echo $psclab

3- إعداد أداة الإنتاج

إنشاء VPC في أداة الإنتاج

يجري داخل Cloud Shell ما يلي

gcloud compute networks create producer-vpc --project=$psclab --subnet-mode=custom

إنشاء الشبكات الفرعية لـ "أداة نشر الأخبار"

يجري داخل Cloud Shell ما يلي

gcloud compute networks subnets create subnet-201 --project=$psclab --range=10.10.1.0/24 --network=producer-vpc --region=us-central1

إنشاء الشبكات الفرعية لخادم وكيل TCP

يتم تخصيص الخادم الوكيل على مستوى شبكة VPC، وليس على مستوى جهاز موازنة الحمل. عليك إنشاء شبكة فرعية واحدة للوكيل فقط في كل منطقة من الشبكة الافتراضية (VPC) التي تستخدم فيها أجهزة موازنة الحمل المستنِدة إلى Envoy. إذا نشرت العديد من أجهزة موازنة الحمل في المنطقة نفسها وشبكة VPC نفسها، ستتم مشاركة الشبكة الفرعية نفسها للخادم الوكيل فقط من أجل موازنة التحميل.

1. يجري العميل اتصالاً بعنوان IP ومنفذ قاعدة إعادة التوجيه لجهاز موازنة الحمل.
2. يرصد كل خادم وكيل عنوان IP والمنفذ المحدّدَين من خلال قاعدة إعادة التوجيه لجهاز موازنة الحمل المقابل. يتلقى أحد الأجهزة الوكيلة اتصال شبكة العميل وتنهيه.
3. يُنشئ الخادم الوكيل اتصالاً بالجهاز الافتراضي أو نقطة النهاية المناسبة في الخلفية في مجموعة نقاط نهاية الشبكة، وذلك على النحو الذي تحدّده عملية ربط عنوان URL في جهاز موازنة الحمل وخدمات الخلفية.

عليك إنشاء شبكات فرعية للخادم الوكيل فقط، بصرف النظر عمّا إذا كانت شبكتك في الوضع التلقائي أو مخصَّصة. يجب أن توفر الشبكة الفرعية للخادم الوكيل فقط 64 عنوان IP أو أكثر. ويتوافق هذا مع طول بادئة تبلغ /26 أو أقل. حجم الشبكة الفرعية الموصى به هو /23 (512 من عناوين الخادم الوكيل فقط).

ملاحظة: تتطلب الشبكة الفرعية للخادم الوكيل أن يكون إعلان BGP للعميل على الجهاز في المؤسسة، ولذلك يمكن توجيهه إلى شبكتك داخل المؤسسة، ويمكن الوصول إلى الخدمة من خلال الشبكة الفرعية للخادم الوكيل المتوفرة.

يجري داخل Cloud Shell ما يلي

gcloud compute networks subnets create proxy-subnet-us-central \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-central1 \
  --network=producer-vpc \
  --range=172.16.0.0/23

إنشاء الشبكات الفرعية الخاصة بـ Private Service Connect NAT

أنشِئ شبكة فرعية واحدة أو أكثر مخصّصة لاستخدامها مع Private Service Connect. إذا كنت تستخدم وحدة تحكُّم Google Cloud من أجل نشر خدمة، يمكنك إنشاء الشبكات الفرعية أثناء هذا الإجراء. أنشئ الشبكة الفرعية في المنطقة نفسها التي يوجد بها جهاز موازنة حمل الخدمة. لا يمكنك تحويل شبكة فرعية عادية إلى شبكة فرعية خاصة بـ Private Service Connect.

يجري داخل Cloud Shell ما يلي

gcloud compute networks subnets create psc-nat-subnet --network=producer-vpc --region=us-central1 --range=100.100.10.0/24 --purpose=private-service-connect

إنشاء قواعد جدار الحماية لـ منتج

يمكنك ضبط قواعد جدار الحماية للسماح بالزيارات بين نقاط نهاية Private Service Connect ومرفق الخدمة. في الدرس التطبيقي حول الترميز، تم إنشاء قاعدة جدار حماية Ingress للسماح للشبكة الفرعية NAT 100.100.10.0/24 بالوصول إلى مرفق خدمة Private Service Connect (جهاز موازنة التحميل الداخلي).

يجري داخل Cloud Shell ما يلي

gcloud compute --project=$psclab firewall-rules create allow-to-ingress-nat-subnet --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=100.100.10.0/24

داخل Cloud Shell يمكنك إنشاء قاعدة fw-allow-health-check للسماح لفحوصات الصحة في Google Cloud بالوصول إلى الخدمة داخل المؤسسة (خدمة الخلفية) على منفذ TCP رقم 80

gcloud compute firewall-rules create fw-allow-health-check \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --rules=tcp:80

إنشاء قاعدة جدار حماية دخول تسمح للخدمات داخل المؤسسة بالاتصال بالشبكة الفرعية للخادم الوكيل على المنفذ 80

gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=172.16.0.0/23 \
    --rules=tcp:80

إعداد مجموعة نقاط نهاية الشبكة للاتصال المختلط

عند إنشاء مجموعة نقاط نهاية الشبكة (NEG)، استخدِم منطقة تقلل من المسافة الجغرافية بين Google Cloud وبيئة مؤسستك أو بيئة سحابية أخرى. على سبيل المثال، إذا كنت تستضيف خدمة في بيئة داخل مقر الشركة في مدينة فرانكفورت بألمانيا، يمكنك تحديد منطقة europe-west3-a Google Cloud عند إنشاء مجموعة NEG.

علاوة على ذلك، إذا كنت تستخدم Cloud Interconnect، يجب أن تكون المنطقة المستخدَمة لإنشاء مجموعة نقاط الوصول (NEG) في المنطقة نفسها التي تم فيها ضبط مرفق Cloud Interconnect.

بالنسبة إلى المناطق والمناطق المتوفّرة، يُرجى الاطّلاع على مستندات Compute Engine: المناطق والمناطق المتوفّرة.

ينشئ داخل Cloud Shell مجموعة نقاط نهاية (NEG) للاتصال المختلط باستخدام الأمر gcloud compute network-endpoint-groups create.

gcloud compute network-endpoint-groups create on-prem-service-neg \
    --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
    --zone=us-central1-a \
    --network=producer-vpc

داخل Cloud Shell، أضِف عنوان IP:نقطة نهاية المنفذ إلى مجموعة نقاط نهاية الشبكة المختلطة.

gcloud compute network-endpoint-groups update on-prem-service-neg \
    --zone=us-central1-a \
    --add-endpoint="ip=192.168.1.5,port=80"

ضبط جهاز موازنة الحمل

في الخطوات التالية، سيتم ضبط جهاز موازنة الحمل (قاعدة إعادة التوجيه) & الربط بمجموعة نقاط نهاية الشبكة

تُنشئ أداة Inside Cloud Shell فحص الحالة الصحية الإقليمي الذي تم تمريره إلى الخدمة داخل المؤسسة.

gcloud compute health-checks create tcp on-prem-service-hc \
    --region=us-central1 \
    --use-serving-port

ينشئ Inside Cloud Shell خدمة الخلفية للواجهة الخلفية في المؤسسة

gcloud compute backend-services create on-premise-service-backend \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --protocol=TCP \
   --region=us-central1 \
   --health-checks=on-prem-service-hc \
   --health-checks-region=us-central1

أضِف واجهة NEG الخلفية المختلطة إلى الخدمة الخلفية من خلال Cloud Shell. بالنسبة إلى MAX_CONNECTIONS، أدخل الحد الأقصى للاتصالات المتزامنة التي يجب أن تعالجها الخلفية.

gcloud compute backend-services add-backend on-premise-service-backend \
   --network-endpoint-group=on-prem-service-neg \
   --network-endpoint-group-zone=us-central1-a \
   --region=us-central1 \
   --balancing-mode=CONNECTION \
   --max-connections=100

إنشاء الخادم الوكيل المستهدَف داخل Cloud Shell

gcloud compute target-tcp-proxies create on-premise-svc-tcpproxy \
   --backend-service=on-premise-service-backend \
   --region=us-central1

إنشاء قاعدة إعادة التوجيه (ILB) داخل Cloud Shell

أنشئ قاعدة إعادة التوجيه باستخدام الأمر gcloud compute conversion-rules create.

استبدل FWD_القواعد_المنفذة برقم منفذ واحد من 1-65535. لا تعمل قاعدة إعادة التوجيه إلا على إعادة توجيه الحزم التي تحتوي على منفذ وجهة مطابق.

gcloud compute forwarding-rules create tcp-ilb-psc \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --network=producer-vpc \
   --subnet=subnet-201 \
   --ports=80 \
   --region=us-central1 \
   --target-tcp-proxy=on-premise-svc-tcpproxy \
   --target-tcp-proxy-region=us-central1

الحصول على عنوان IP لجهاز موازنة الحمل الداخلي

gcloud compute forwarding-rules describe tcp-ilb-psc --region=us-central1 | grep -i IPAddress:

Example output:
gcloud compute forwarding-rules describe tcp-ilb-psc --region=us-central1 | grep -i IPAddress:
IPAddress: 10.10.1.2

4. التحقّق من جهاز موازنة الحمل

من Cloud Console، انتقِل إلى خدمات الشبكة ← موازنة الحمل ← أجهزة موازنة الحمل. يُرجى العلم أنّ مجموعة نقاط نهاية الشبكة الأولى هي "أخضر"، ما يشير إلى نجاح عملية التحقّق من الصحة في الخدمة داخل مقر المؤسسة.

يؤدي اختيار ‘on-premise-service-backend' إلى الحصول على عنوان IP للواجهة الأمامية.

5- عرض المسارات التي تم تعلمها من داخل الشركة

انتقِل إلى VPC Network ← Routes. ملاحظة: الشبكة الفرعية للخدمة داخل الشركة 192.168.1.0/27

6- التحقّق من الاتصال بالخدمة في المؤسسة

من سحابة VPC في أداة نشر الأخبار، سننشئ جهازًا افتراضي (VM) لاختبار الاتصال بالخدمة داخل المؤسسة بعد ذلك يكون مرفق الخدمة التالي لعملية الإعداد.

داخل Cloud Shell، تنشئ مثيل الاختبار في vpc المنتِج

gcloud compute instances create test-box-us-central1 \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=subnet-201 \
    --no-address

للسماح لعمليات الشراء داخل التطبيق بالاتصال بمثيلات الأجهزة الافتراضية، أنشِئ قاعدة جدار حماية تعمل على:

• ينطبق ذلك على جميع مثيلات الأجهزة الافتراضية التي تريد أن تتوفّر إمكانية الوصول إليها من خلال استخدام الشراء داخل التطبيق.
• يسمح بالزيارات الواردة من نطاق IP 35.235.240.0/20. يحتوي هذا النطاق على جميع عناوين IP التي يستخدمها بروتوكول IAP لإعادة توجيه بروتوكول التحكم بالنقل.

داخل Cloud Shell، تنشئ مثيل الاختبار في vpc المنتِج

gcloud compute firewall-rules create ssh-iap \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

سجِّل الدخول إلى test-box-us-central1 باستخدام ميزة "الشراء داخل التطبيق" في Cloud Shell من أجل التحقّق من الاتصال بالخدمة داخل المؤسسة من خلال إجراء ربط بالعكس لعنوان IP الخاص بتوازن التحميل. يُرجى إعادة المحاولة في حال انتهاء المهلة.

gcloud compute ssh test-box-us-central1 --project=$psclab --zone=us-central1-a --tunnel-through-iap

أجرِ عملية ربط للتحقّق من الاتصال بالخدمة في المؤسسة. بعد التحقق من الخروج من الجهاز الافتراضي (VM) والعودة إلى طلب Cloud Shell. استبدِل عنوان IP لجهاز موازنة الحمل الداخلي استنادًا إلى الناتج المحدّد في الخطوتين 3 و4.

deepakmichael@test-box-us-central1:~$ curl -v 10.10.1.2
* Expire in 0 ms for 6 (transfer 0x55b9a6b2f0f0)
*   Trying 10.10.1.2...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x55b9a6b2f0f0)
* Connected to 10.10.1.2 (10.10.1.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 10.10.1.2
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< Content-Type: text/html; charset=utf-8
< Accept-Ranges: bytes
< ETag: "3380914763"
< Last-Modified: Mon, 05 Dec 2022 15:10:56 GMT
< Expires: Mon, 05 Dec 2022 15:42:38 GMT
< Cache-Control: max-age=0
< Content-Length: 37
< Date: Mon, 05 Dec 2022 15:42:38 GMT
< Server: lighttpd/1.4.53
< 
Welcome to my on-premise service!!

7. إنشاء مرفق خدمة Private Service Connect

في الخطوات التالية، سننشئ "مرفق الخدمة"، بعد إقرانه مع إمكانية وصول "نقطة نهاية المستهلك" إلى الخدمة في المؤسسة بدون الحاجة إلى تبادل المعلومات بين الشبكات في "سحابة VPC".

إنشاء مرفق الخدمة

إنشاء مرفق الخدمة داخل Cloud Shell

gcloud compute service-attachments create service-1 --region=us-central1 --producer-forwarding-rule=tcp-ilb-psc --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=psc-nat-subnet

اختياري: في حال استخدام شبكة VPC مشترَكة، أنشئ مرفق الخدمة في "مشروع الخدمة".

gcloud compute service-attachments create service-1 --region=us-central1 --producer-forwarding-rule=tcp-ilb-psc --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=projects/<hostproject>/regions/<region>/subnetworks/<natsubnet>

التحقق من صحة مرفق خدمة TCP

gcloud compute service-attachments describe service-1 --region us-central1

8. اختياري: انتقِل إلى "خدمات الشبكة" ← Private Service Connect (ربط الخدمة الخاصة) للاطّلاع على "مرفق الخدمة" الذي تم إنشاؤه حديثًا.

يوفر اختيار Service-1 مزيدًا من التفاصيل، بما في ذلك معرّف الموارد المنتظم (URI) لمرفق الخدمة الذي يستخدمه المستهلك لإنشاء اتصال خدمة خاصة. دوِّن معرّف الموارد المنتظم (URI) لأنّه سيتم استخدامه في خطوة لاحقة.

تفاصيل مرفقات الخدمة: project/<projectname>/region/us-central1/service المصدرs/service-1

9. إعداد المستهلك

إنشاء VPC للمستهلك

يجري داخل Cloud Shell ما يلي

gcloud compute networks create consumer-vpc --project=$psclab --subnet-mode=custom

إنشاء الشبكات الفرعية للمستهلك

إنشاء شبكة GCE الفرعية من داخل Cloud Shell

gcloud compute networks subnets create subnet-101 --project=$psclab --range=10.100.1.0/24 --network=consumer-vpc --region=us-central1

إنشاء الشبكة الفرعية لنقاط النهاية للمستهلك من داخل Cloud Shell

gcloud compute networks subnets create subnet-102 --project=$psclab --range=10.100.2.0/24 --network=consumer-vpc --region=us-central1

إنشاء نقطة نهاية المستهلك (قاعدة إعادة التوجيه)

ينشئ داخل Cloud Shell عنوان IP الثابت الذي سيتم استخدامه كنقطة نهاية للمستهلك.

gcloud compute addresses create psc-consumer-ip-1 --region=us-central1 --subnet=subnet-102 --addresses 10.100.2.10

السماح باستخدام معرّف الموارد المنتظم (URI) لمرفق الخدمة الذي تم إنشاؤه مسبقًا لإنشاء "نقطة نهاية المستهلك"

إنشاء "نقطة نهاية المستهلك" من داخل Cloud Shell

gcloud compute forwarding-rules create psc-consumer-1 --region=us-central1 --network=consumer-vpc --address=psc-consumer-ip-1 --target-service-attachment=projects/$psclab/regions/us-central1/serviceAttachments/service-1

10. التحقّق من صحة ربط الخدمة الخاصة للمستهلك - VPC للمستهلك

من شبكة VPC الخاصة بالمستهلك، تأكَّد من نجاح اتصال الخدمة الخاصة من خلال الانتقال إلى خدمات الشبكة ← Private Service Connect ← نقاط النهاية المتصلة. دوِّن اتصال psc-consumer-1 الذي تم إنشاؤه وعنوان IP المقابل الذي أنشأناه سابقًا.

عند اختيار إضافة psc-consumer-1، يتم توفير تفاصيل إضافة، بما في ذلك معرّف الموارد المنتظم (URI) لمرفق الخدمة.

11. التحقّق من صحة ربط الخدمة الخاصة للمستهلك - سحابة VPC لمُنتِج

من سحابة VPC في أداسة، تحقَّق من نجاح اتصال الخدمة الخاصة من خلال الانتقال إلى Network Services (خدمات الشبكة) ← Private Service Connect (ربط الخدمة الخاصة)←الخدمة المنشورة. يُرجى العلم أنّ اتصال Service-1 المنشور الآن يشير إلى قاعدة إعادة توجيه واحدة (نقطة نهاية الاتصال).

12. إنشاء منطقة نظام أسماء نطاقات خاصة السجل A

يمكنك إنشاء منطقة نظام أسماء النطاقات الخاصة المرتبطة بنقطة نهاية اتصال PSC للسماح بالوصول السلس إلى أداة نشر الأخبار من أي مضيف داخل شبكة VPC.

ملاحظة: لا يمكن الوصول إلى نقطة نهاية المستهلك من خلال تبادل المعلومات بين شبكات VPC.

من Cloud Shell

gcloud dns --project=$psclab managed-zones create codelab-zone --description="" --dns-name="codelab.net." --visibility="private" --networks="consumer-vpc"

gcloud dns --project=$psclab record-sets create service1.codelab.net. --zone="codelab-zone" --type="A" --ttl="300" --rrdatas="10.100.2.10"

13. التحقّق من إذن وصول المستهلك إلى خدمة أداتَي الإنتاج باستخدام جهاز افتراضي (VM)

من سحابة VPC الخاصة بالمستهلكين، سننشئ جهازًا افتراضيًا لاختبار الاتصال بالخدمة في المؤسسة من خلال الوصول إلى نقطة النهاية الخاصة بالمستهلكين service1.codelabs.net

داخل Cloud Shell، تنشئ مثيل الاختبار في vpc للمستهلك

gcloud compute instances create consumer-vm \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=subnet-101 \
    --no-address

للسماح لعمليات الشراء داخل التطبيق بالاتصال بمثيلات الأجهزة الافتراضية، أنشِئ قاعدة جدار حماية تعمل على:

• ينطبق ذلك على جميع مثيلات الأجهزة الافتراضية التي تريد أن تتوفّر إمكانية الوصول إليها من خلال استخدام الشراء داخل التطبيق.
• يسمح بالزيارات الواردة من نطاق IP 35.235.240.0/20. يحتوي هذا النطاق على جميع عناوين IP التي يستخدمها بروتوكول IAP لإعادة توجيه بروتوكول التحكم بالنقل.

داخل Cloud Shell، تنشئ مثيل الاختبار في vpc للمستهلك

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

سجّل الدخول إلى جهاز Vm للمستهلك باستخدام ميزة IAP في Cloud Shell للتحقّق من الاتصال بالخدمة داخل المؤسسة من خلال إجراء ربط مقابل خدمة FQDN لنظام أسماء النطاقات service1.codelab.net. يُرجى إعادة المحاولة في حال انتهاء المهلة.

gcloud compute ssh consumer-vm --project=$psclab --zone=us-central1-a --tunnel-through-iap

أجرِ عملية ربط للتحقّق من الاتصال بالخدمة في المؤسسة. بعد التحقق من الخروج من الجهاز الافتراضي، والعودة إلى طلب Cloud Shell

داخل Cloud Shell، يتم لفّ عقدة.

$ curl -v service1.codelab.net
*   Trying 10.100.2.10...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x5650fc3390f0)
* Connected to service1.codelab.net (10.100.2.10) port 80 (#0)
> GET / HTTP/1.1
> Host: service1.codelab.net
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< Content-Type: text/html; charset=utf-8
< Accept-Ranges: bytes
< ETag: "3380914763"
< Last-Modified: Mon, 05 Dec 2022 15:10:56 GMT
< Expires: Mon, 05 Dec 2022 15:15:41 GMT
< Cache-Control: max-age=0
< Content-Length: 37
< Date: Mon, 05 Dec 2022 15:15:41 GMT
< Server: lighttpd/1.4.53
< 
Welcome to my on-premise service!!

في ما يلي مثال لالتقاط صورة من الخدمة داخل المؤسسة، تجدر الإشارة إلى أنّ عنوان IP المصدر 172.16.0.2 يقع من نطاق الشبكة الفرعية لخادم وكيل TCP رقم 172.16.0.0/23.

14. تنظيف حساب المنتج

حذف مكوّنات أداة نشر الأخبار

حذف مكونات المنتج ضمن Cloud Shell

gcloud compute instances delete test-box-us-central1 --zone=us-central1-a --quiet

gcloud compute service-attachments delete service-1 --region=us-central1 --quiet 

gcloud compute forwarding-rules delete tcp-ilb-psc --region=us-central1 --quiet

gcloud compute target-tcp-proxies delete on-premise-svc-tcpproxy --region=us-central1 --quiet

gcloud compute backend-services delete on-premise-service-backend --region=us-central1 --quiet

gcloud compute network-endpoint-groups delete on-prem-service-neg --zone=us-central1-a --quiet

gcloud compute networks subnets delete psc-nat-subnet subnet-201 proxy-subnet-us-central --region=us-central1 --quiet

gcloud compute firewall-rules delete ssh-iap fw-allow-proxy-only-subnet allow-to-ingress-nat-subnet fw-allow-health-check --quiet

gcloud compute health-checks delete on-prem-service-hc --region=us-central1 --quiet

gcloud compute networks delete producer-vpc --quiet

15. تنظيف المستهلك

حذف مكونات المستهلك

حذف مكونات المستهلك داخل Cloud Shell

gcloud compute instances delete consumer-vm --zone=us-central1-a --quiet

gcloud compute forwarding-rules delete psc-consumer-1 --region=us-central1 --quiet

gcloud compute addresses delete psc-consumer-ip-1 --region=us-central1 --quiet

gcloud compute networks subnets delete subnet-101 subnet-102 --region=us-central1 --quiet

gcloud compute firewall-rules delete ssh-iap-consumer --quiet

gcloud dns record-sets delete service1.codelab.net --type=A --zone=codelab-zone --quiet

gcloud dns managed-zones delete codelab-zone --quiet 

gcloud compute networks delete consumer-vpc --quiet 

16. تهانينا

تهانينا، لقد نجحت في إعداد والتحقّق من صحة ربط الخدمة الخاصة باستخدام خادم وكيل TCP.

أنشأتَ البنية الأساسية للمُنتِج، وأضفت مرفق خدمة في سحابة VPC الخاصة بالمُنتِج للإشارة إلى خدمة داخل الشركة. لقد تعرَّفت على كيفية إنشاء نقطة نهاية للمستهلك في شبكة VPC الخاصة بالمستهلكين والتي أتاحت الاتصال بالخدمة في المؤسسة.

الخطوات التالية

اطّلع على بعض هذه الدروس التطبيقية حول الترميز...

• استخدام خدمة خاصة لنشر الخدمات واستهلاكها من خلال GKE
• استخدام Private Service Connect لنشر الخدمات واستخدامها

تعزيز القراءة الفيديوهات

• نظرة عامة حول Private Service Connect
• ما هو Private Service Connect؟

المستندات المرجعية

• خادم وكيل TCP الداخلي
• نظرة عامة على الفحوصات الصحية
• كيفية نشر خدمة