Menghubungkan ke layanan lokal melalui Jaringan Hybrid menggunakan Private Service Connect dan Proxy TCP NEG Hybrid

1. Pengantar

Load balancer proxy TCP regional internal dengan konektivitas hybrid memungkinkan Anda membuat layanan yang dihosting di lingkungan lokal atau cloud lain tersedia untuk klien di jaringan VPC Anda.

Jika ingin menyediakan layanan hybrid di jaringan VPC lain, Anda dapat menggunakan Private Service Connect untuk memublikasikan layanan. Dengan menempatkan lampiran layanan di depan load balancer proxy TCP regional internal, Anda dapat mengizinkan klien di jaringan VPC lain menjangkau layanan hybrid yang berjalan di lingkungan lokal atau cloud lainnya.

Yang akan Anda bangun

Dalam codelab ini, Anda akan membuat load balancer TCP Proxy internal dengan Konektivitas Hybrid ke layanan lokal menggunakan Grup Endpoint Jaringan. Dari VPC Konsumen akan dapat berkomunikasi dengan layanan lokal.

Catatan: Codelab menawarkan langkah-langkah konfigurasi dan validasi berdasarkan topologi yang diilustrasikan. Ubah prosedur sesuai kebutuhan untuk memenuhi persyaratan organisasi Anda. Izin IAM tidak termasuk dalam cakupan codelab.

Yang akan Anda pelajari

• Cara membuat ILB Proxy TCP dengan layanan backend NEG Hybrid
• Cara membuat Produsen Private Service Connect (Lampiran Layanan) dan Konsumen (Aturan Penerusan)
• Cara menguji dan memvalidasi komunikasi layanan konsumen ke produsen

Catatan: Codelab ini berfokus pada penerapan TCP Proxy ILB dengan PSC . Konfigurasi jaringan hybrid tidak didokumentasikan meskipun dokumentasi pendukung dan screenshot disediakan.

Yang Anda butuhkan

• Jaringan Hybrid yang sudah ada, misalnya VPN dengan ketersediaan tinggi (HA), Interconnect, SW-WAN
• Project Google Cloud

Buat konektivitas hybrid

Lingkungan Google Cloud dan lokal atau cloud lainnya harus terhubung melalui konektivitas hybrid, menggunakan lampiran VLAN Cloud Interconnect atau tunnel Cloud VPN dengan Cloud Router. Sebaiknya gunakan koneksi ketersediaan tinggi.

Cloud Router yang diaktifkan dengan Perutean dinamis global mempelajari endpoint tertentu melalui BGP dan memprogramnya ke jaringan VPC Google Cloud Anda. Perutean dinamis regional tidak didukung. Rute statis juga tidak didukung.

Jaringan VPC Google Cloud yang Anda gunakan untuk mengonfigurasi Cloud Interconnect atau Cloud VPN adalah jaringan yang sama dengan yang Anda gunakan untuk mengonfigurasi deployment load balancing hybrid. Pastikan rentang CIDR subnet jaringan VPC Anda tidak bertentangan dengan rentang CIDR jarak jauh Anda. Jika alamat IP tumpang-tindih, rute subnet diprioritaskan daripada konektivitas jarak jauh.

Untuk mengetahui petunjuknya, lihat:

• Dokumentasi Cloud VPN
• Dokumentasi Cloud Interconnect

Pemberitahuan Rute Kustom

Subnet di bawah memerlukan pemberitahuan kustom dari Cloud Router ke jaringan lokal, sehingga memastikan aturan firewall lokal diperbarui.

Subnet	Deskripsi
172.16.0.0/23	Subnet Proxy TCP yang digunakan untuk berkomunikasi langsung dengan layanan lokal
130.211.0.0/22, 35.191.0.0/16	Pemeriksaan Kondisi Google Cloud

2. Sebelum memulai

Perbarui project untuk mendukung codelab

Codelab ini menggunakan $variables untuk membantu penerapan konfigurasi gcloud di Cloud Shell.

Di dalam Cloud Shell, lakukan hal berikut

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
psclab=YOUR-PROJECT-NAME
echo $psclab

3. Penyiapan Produser

Buat VPC Produsen

Di dalam Cloud Shell, lakukan hal berikut

gcloud compute networks create producer-vpc --project=$psclab --subnet-mode=custom

Buat subnet Produser

Di dalam Cloud Shell, lakukan hal berikut

gcloud compute networks subnets create subnet-201 --project=$psclab --range=10.10.1.0/24 --network=producer-vpc --region=us-central1

Buat subnet TCP Proxy

Alokasi proxy berada di tingkat VPC, bukan tingkat load balancer. Anda harus membuat satu subnet khusus proxy di setiap region jaringan virtual (VPC) tempat Anda menggunakan load balancer berbasis Envoy. Jika Anda men-deploy beberapa load balancer di region yang sama dan jaringan VPC yang sama, load balancer tersebut akan menggunakan subnet khusus proxy yang sama untuk load balancing.

1. Klien membuat koneksi ke alamat IP dan port aturan penerusan load balancer.
2. Setiap proxy memproses alamat IP dan port yang ditentukan oleh aturan penerusan load balancer yang sesuai. Salah satu proxy menerima dan menghentikan koneksi jaringan klien.
3. Proxy membuat koneksi ke VM atau endpoint backend yang sesuai dalam NEG, seperti yang ditentukan oleh peta URL load balancer dan layanan backend.

Anda harus membuat subnet khusus proxy, terlepas dari apakah jaringan Anda adalah mode otomatis atau kustom. Subnet khusus proxy harus menyediakan 64 alamat IP atau lebih. Ini sesuai dengan panjang awalan /26 atau lebih pendek. Ukuran subnet yang direkomendasikan adalah /23 (512 alamat khusus proxy).

Catatan: Subnet Proxy memerlukan iklan BGP pelanggan ke lokal sehingga dapat dirutekan ke jaringan lokal Anda. Akses ke layanan dapat dilakukan melalui subnet proxy yang disediakan.

Di dalam Cloud Shell, lakukan hal berikut

gcloud compute networks subnets create proxy-subnet-us-central \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-central1 \
  --network=producer-vpc \
  --range=172.16.0.0/23

Buat subnet NAT Private Service Connect

Buat satu atau beberapa subnet khusus untuk digunakan dengan Private Service Connect. Jika menggunakan konsol Google Cloud untuk memublikasikan layanan, Anda dapat membuat subnet selama prosedur tersebut. Buat subnet di region yang sama dengan load balancer layanan. Anda tidak dapat mengonversi subnet reguler menjadi subnet Private Service Connect.

Di dalam Cloud Shell, lakukan hal berikut

gcloud compute networks subnets create psc-nat-subnet --network=producer-vpc --region=us-central1 --range=100.100.10.0/24 --purpose=private-service-connect

Buat Aturan Firewall Produsen

Konfigurasi aturan firewall untuk mengizinkan traffic antara endpoint Private Service Connect dan lampiran layanan. Dalam codelab, buat Aturan Firewall Ingress yang mengizinkan akses subnet NAT 100.100.10.0/24 ke Lampiran Layanan Private Service Connect (load balancer internal).

Di dalam Cloud Shell, lakukan hal berikut

gcloud compute --project=$psclab firewall-rules create allow-to-ingress-nat-subnet --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=100.100.10.0/24

Di dalam Cloud Shell, buat aturan fw-allow-health-check untuk mengizinkan health check Google Cloud menjangkau layanan on-premise (layanan backend) di port TCP 80

gcloud compute firewall-rules create fw-allow-health-check \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --rules=tcp:80

Buat aturan firewall ingress yang mengizinkan layanan lokal berkomunikasi dengan subnet proxy di port 80

gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=172.16.0.0/23 \
    --rules=tcp:80

Menyiapkan NEG konektivitas hybrid

Saat membuat NEG, gunakan ZONA yang meminimalkan jarak geografis antara Google Cloud dan lingkungan lokal atau cloud lainnya. Misalnya, jika Anda menghosting layanan di lingkungan lokal di Frankfurt, Jerman, Anda dapat menentukan zona Google Cloud europe-west3-a saat membuat NEG.

Selain itu, jika Anda menggunakan Cloud Interconnect, ZONE yang digunakan untuk membuat NEG harus berada di region yang sama dengan tempat konfigurasi lampiran Cloud Interconnect.

Untuk mengetahui region dan zona yang tersedia, lihat dokumentasi Compute Engine: Region dan zona yang tersedia.

Di dalam Cloud Shell, buat NEG konektivitas hybrid menggunakan perintah gcloud compute network-endpoint-groups create

gcloud compute network-endpoint-groups create on-prem-service-neg \
    --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
    --zone=us-central1-a \
    --network=producer-vpc

Di dalam Cloud Shell, tambahkan endpoint IP:Port lokal ke NEG hybrid.

gcloud compute network-endpoint-groups update on-prem-service-neg \
    --zone=us-central1-a \
    --add-endpoint="ip=192.168.1.5,port=80"

Mengonfigurasi load balancer

Pada langkah-langkah berikut, Anda akan mengonfigurasi load balancer (aturan penerusan) & mengaitkannya dengan grup endpoint jaringan

Di dalam Cloud Shell, buat health check regional yang diteruskan ke layanan lokal

gcloud compute health-checks create tcp on-prem-service-hc \
    --region=us-central1 \
    --use-serving-port

Di dalam Cloud Shell, buat layanan backend untuk backend lokal

gcloud compute backend-services create on-premise-service-backend \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --protocol=TCP \
   --region=us-central1 \
   --health-checks=on-prem-service-hc \
   --health-checks-region=us-central1

Di dalam Cloud Shell, tambahkan backend NEG hybrid ke layanan backend. Untuk MAX_CONNECTIONS, masukkan koneksi serentak maksimum yang harus ditangani backend.

gcloud compute backend-services add-backend on-premise-service-backend \
   --network-endpoint-group=on-prem-service-neg \
   --network-endpoint-group-zone=us-central1-a \
   --region=us-central1 \
   --balancing-mode=CONNECTION \
   --max-connections=100

Di dalam Cloud Shell, buat Proxy Target

gcloud compute target-tcp-proxies create on-premise-svc-tcpproxy \
   --backend-service=on-premise-service-backend \
   --region=us-central1

Di dalam Cloud Shell, buat aturan penerusan (ILB)

Buat aturan penerusan menggunakan perintah gcloud compute forwarding-rules create.

Ganti FWD_RULE_PORT dengan satu nomor port dari 1-65535. Aturan penerusan hanya meneruskan paket dengan port tujuan yang cocok.

gcloud compute forwarding-rules create tcp-ilb-psc \
   --load-balancing-scheme=INTERNAL_MANAGED \
   --network=producer-vpc \
   --subnet=subnet-201 \
   --ports=80 \
   --region=us-central1 \
   --target-tcp-proxy=on-premise-svc-tcpproxy \
   --target-tcp-proxy-region=us-central1

Mendapatkan Alamat IP load balancer internal

gcloud compute forwarding-rules describe tcp-ilb-psc --region=us-central1 | grep -i IPAddress:

Example output:
gcloud compute forwarding-rules describe tcp-ilb-psc --region=us-central1 | grep -i IPAddress:
IPAddress: 10.10.1.2

4. Memvalidasi load balancer

Dari Konsol Cloud, buka Network Services → Load Balancing → Load Balancers. Perhatikan, 1 NEG berwarna 'Hijau' yang menunjukkan pemeriksaan kondisi berhasil ke layanan lokal

Memilih ‘on-premise-service-backend' akan menghasilkan Alamat IP Front End

5. Melihat rute yang dipelajari dari lokal

Buka VPC Network → Routes. Perhatikan, subnet layanan lokal yang dipelajari adalah 192.168.1.0/27

6. Memvalidasi konektivitas ke layanan lokal

Dari VPC Produsen, kita akan membuat VM untuk menguji konektivitas ke layanan lokal, lalu Lampiran Layanan akan dikonfigurasi.

Di dalam Cloud Shell, buat instance pengujian di VPC produsen

gcloud compute instances create test-box-us-central1 \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=subnet-201 \
    --no-address

Untuk mengizinkan IAP terhubung ke instance VM Anda, buat aturan firewall yang:

• Berlaku untuk semua instance VM yang ingin Anda akses menggunakan IAP.
• Mengizinkan traffic masuk dari rentang IP 35.235.240.0/20. Rentang ini berisi semua alamat IP yang digunakan IAP untuk penerusan TCP.

Di dalam Cloud Shell, buat instance pengujian di VPC produsen

gcloud compute firewall-rules create ssh-iap \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

Login ke test-box-us-central1 menggunakan IAP di Cloud Shell untuk memvalidasi konektivitas ke layanan lokal dengan melakukan curl terhadap Alamat IP load balancer. Coba lagi jika terjadi waktu tunggu habis.

gcloud compute ssh test-box-us-central1 --project=$psclab --zone=us-central1-a --tunnel-through-iap

Lakukan curl yang memvalidasi konektivitas ke layanan lokal. Setelah divalidasi, keluar dari VM dan kembali ke perintah Cloud Shell. Ganti IP Load Balancer Internal berdasarkan output yang diidentifikasi pada langkah 3 dan 4.

deepakmichael@test-box-us-central1:~$ curl -v 10.10.1.2
* Expire in 0 ms for 6 (transfer 0x55b9a6b2f0f0)
*   Trying 10.10.1.2...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x55b9a6b2f0f0)
* Connected to 10.10.1.2 (10.10.1.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 10.10.1.2
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< Content-Type: text/html; charset=utf-8
< Accept-Ranges: bytes
< ETag: "3380914763"
< Last-Modified: Mon, 05 Dec 2022 15:10:56 GMT
< Expires: Mon, 05 Dec 2022 15:42:38 GMT
< Cache-Control: max-age=0
< Content-Length: 37
< Date: Mon, 05 Dec 2022 15:42:38 GMT
< Server: lighttpd/1.4.53
< 
Welcome to my on-premise service!!

7. Membuat Lampiran Layanan Private Service Connect

Pada langkah-langkah berikut, kita akan membuat Lampiran Layanan. Setelah dipasangkan dengan Endpoint Konsumen, akses ke layanan lokal akan tercapai tanpa perlu peering VPC.

Membuat Lampiran Layanan

Di dalam Cloud Shell, buat Lampiran Layanan

gcloud compute service-attachments create service-1 --region=us-central1 --producer-forwarding-rule=tcp-ilb-psc --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=psc-nat-subnet

Opsional: Jika menggunakan VPC bersama, buat Lampiran Layanan di Project Layanan

gcloud compute service-attachments create service-1 --region=us-central1 --producer-forwarding-rule=tcp-ilb-psc --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=projects/<hostproject>/regions/<region>/subnetworks/<natsubnet>

Memvalidasi lampiran layanan TCP

gcloud compute service-attachments describe service-1 --region us-central1

8. Opsional: Buka Network Services → Private Service Connect untuk melihat Lampiran Layanan yang baru dibuat

Memilih Service-1 akan memberikan detail yang lebih besar, termasuk URI Lampiran Layanan yang digunakan oleh konsumen untuk membuat Koneksi Layanan Pribadi. Catat URI karena akan digunakan pada langkah berikutnya.

Detail Lampiran Layanan: projects/<projectname>/regions/us-central1/serviceAttachments/service-1

9. Penyiapan Konsumen

Buat VPC Konsumen

Di dalam Cloud Shell, lakukan hal berikut

gcloud compute networks create consumer-vpc --project=$psclab --subnet-mode=custom

Buat subnet Konsumen

Di dalam Cloud Shell, buat subnet GCE

gcloud compute networks subnets create subnet-101 --project=$psclab --range=10.100.1.0/24 --network=consumer-vpc --region=us-central1

Di dalam Cloud Shell, buat Subnet Endpoint Konsumen

gcloud compute networks subnets create subnet-102 --project=$psclab --range=10.100.2.0/24 --network=consumer-vpc --region=us-central1

Membuat Endpoint Konsumen (aturan penerusan)

Di dalam Cloud Shell, buat Alamat IP statis yang akan digunakan sebagai Endpoint Konsumen

gcloud compute addresses create psc-consumer-ip-1 --region=us-central1 --subnet=subnet-102 --addresses 10.100.2.10

Mari gunakan URI Lampiran Layanan yang dibuat sebelumnya untuk membuat Endpoint Konsumen

Di dalam Cloud Shell, buat Endpoint Konsumen

gcloud compute forwarding-rules create psc-consumer-1 --region=us-central1 --network=consumer-vpc --address=psc-consumer-ip-1 --target-service-attachment=projects/$psclab/regions/us-central1/serviceAttachments/service-1

10. Validasi Private Service Connect Konsumen - VPC Konsumen

Dari VPC Konsumen, verifikasi keberhasilan Koneksi Layanan Pribadi dengan membuka Network Services → Private Service Connect→ Connected Endpoints. Perhatikan koneksi psc-consumer-1 yang sudah dibuat dan Alamat IP yang sesuai yang kita buat sebelumnya.

Saat memilih psc-consumer-1, detail tambahan akan diberikan, termasuk URI Lampiran Layanan

11. Memvalidasi Private Service Connect Konsumen - VPC Produsen

Dari VPC Produsen, verifikasi keberhasilan Private Service Connection dengan membuka Network Services → Private Service Connect→Published Service. Perhatikan bahwa koneksi published service-1 kini menunjukkan 1 aturan penerusan (endpoint koneksi).

12. Membuat Zona DNS Pribadi & Data A

Buat Zona DNS Pribadi yang dipetakan ke Endpoint Koneksi PSC yang memungkinkan akses lancar ke Produsen dari host mana pun dalam VPC.

Catatan: Akses ke endpoint konsumen melalui peering VPC tidak didukung

Dari Cloud Shell

gcloud dns --project=$psclab managed-zones create codelab-zone --description="" --dns-name="codelab.net." --visibility="private" --networks="consumer-vpc"

gcloud dns --project=$psclab record-sets create service1.codelab.net. --zone="codelab-zone" --type="A" --ttl="300" --rrdatas="10.100.2.10"

13. Memvalidasi akses Konsumen ke layanan Produsen menggunakan VM

Dari VPC Konsumen, kita akan membuat VM untuk menguji konektivitas ke layanan lokal dengan mengakses layanan endpoint konsumen service1.codelabs.net

Di dalam Cloud Shell, buat instance pengujian di VPC konsumen

gcloud compute instances create consumer-vm \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=subnet-101 \
    --no-address

Untuk mengizinkan IAP terhubung ke instance VM Anda, buat aturan firewall yang:

• Berlaku untuk semua instance VM yang ingin Anda akses menggunakan IAP.
• Mengizinkan traffic masuk dari rentang IP 35.235.240.0/20. Rentang ini berisi semua alamat IP yang digunakan IAP untuk penerusan TCP.

Di dalam Cloud Shell, buat instance pengujian di VPC konsumen

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

Login ke consumer-vm menggunakan IAP di Cloud Shell untuk memvalidasi konektivitas ke layanan lokal dengan melakukan curl terhadap FQDN DNS service1.codelab.net. Coba lagi jika terjadi waktu tunggu.

gcloud compute ssh consumer-vm --project=$psclab --zone=us-central1-a --tunnel-through-iap

Lakukan curl yang memvalidasi konektivitas ke layanan lokal. Setelah divalidasi, keluar dari VM dan kembali ke perintah Cloud Shell

Di dalam Cloud Shell, lakukan curl

$ curl -v service1.codelab.net
*   Trying 10.100.2.10...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x5650fc3390f0)
* Connected to service1.codelab.net (10.100.2.10) port 80 (#0)
> GET / HTTP/1.1
> Host: service1.codelab.net
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< Content-Type: text/html; charset=utf-8
< Accept-Ranges: bytes
< ETag: "3380914763"
< Last-Modified: Mon, 05 Dec 2022 15:10:56 GMT
< Expires: Mon, 05 Dec 2022 15:15:41 GMT
< Cache-Control: max-age=0
< Content-Length: 37
< Date: Mon, 05 Dec 2022 15:15:41 GMT
< Server: lighttpd/1.4.53
< 
Welcome to my on-premise service!!

Di bawah ini adalah contoh pengambilan dari layanan lokal, perhatikan Alamat IP Sumber 172.16.0.2 berasal dari rentang Subnet TCP Proxy 172.16.0.0/23

14. Pembersihan Produsen

Menghapus komponen Producer

Di dalam Cloud Shell, hapus komponen produser

gcloud compute instances delete test-box-us-central1 --zone=us-central1-a --quiet

gcloud compute service-attachments delete service-1 --region=us-central1 --quiet 

gcloud compute forwarding-rules delete tcp-ilb-psc --region=us-central1 --quiet

gcloud compute target-tcp-proxies delete on-premise-svc-tcpproxy --region=us-central1 --quiet

gcloud compute backend-services delete on-premise-service-backend --region=us-central1 --quiet

gcloud compute network-endpoint-groups delete on-prem-service-neg --zone=us-central1-a --quiet

gcloud compute networks subnets delete psc-nat-subnet subnet-201 proxy-subnet-us-central --region=us-central1 --quiet

gcloud compute firewall-rules delete ssh-iap fw-allow-proxy-only-subnet allow-to-ingress-nat-subnet fw-allow-health-check --quiet

gcloud compute health-checks delete on-prem-service-hc --region=us-central1 --quiet

gcloud compute networks delete producer-vpc --quiet

15. Pembersihan Konsumen

Menghapus komponen Konsumen

Di dalam Cloud Shell, hapus komponen konsumen

gcloud compute instances delete consumer-vm --zone=us-central1-a --quiet

gcloud compute forwarding-rules delete psc-consumer-1 --region=us-central1 --quiet

gcloud compute addresses delete psc-consumer-ip-1 --region=us-central1 --quiet

gcloud compute networks subnets delete subnet-101 subnet-102 --region=us-central1 --quiet

gcloud compute firewall-rules delete ssh-iap-consumer --quiet

gcloud dns record-sets delete service1.codelab.net --type=A --zone=codelab-zone --quiet

gcloud dns managed-zones delete codelab-zone --quiet 

gcloud compute networks delete consumer-vpc --quiet 

16. Selamat

Selamat, Anda telah berhasil mengonfigurasi dan memvalidasi Private Service Connect dengan TCP Proxy.

Anda telah membuat infrastruktur produsen, dan menambahkan lampiran layanan di VPC produsen yang mengarah ke layanan lokal. Anda telah mempelajari cara membuat endpoint konsumen di VPC Konsumen yang memungkinkan konektivitas ke layanan lokal.

Apa selanjutnya?

Lihat beberapa codelab ini...

• Menggunakan Private Service Connect untuk memublikasikan dan menggunakan layanan dengan GKE
• Menggunakan Private Service Connect untuk memublikasikan dan menggunakan layanan

Bacaan lebih lanjut & Video

• Ringkasan Private Service Connect
• Apa itu Private Service Connect?

Dokumen referensi

• Proxy TCP Internal
• Ringkasan Health Check
• Cara memublikasikan layanan