1. Wprowadzenie
Statyczne trasy niestandardowe wpływają na domyślne zachowanie routingu w sieci VPC. Trasy niestandardowe IPv6 obsługują teraz nowe atrybuty następnego przeskoku: next-hop-gateway, next-hop-instance i next-hop-address. To ćwiczenie pokazuje, jak używać niestandardowych tras IPv6 z tymi nowymi opcjami następnego przeskoku przy użyciu 2 sieci VPC połączonych instancją maszyny wirtualnej z wieloma kartami sieciowymi. Pokażesz też, jak łączyć adresowanie ULA i GUA oraz jak zapewnić osiągalność sieci VPC ULA z internetu publicznego za pomocą nowej funkcji niestandardowych tras.
Czego się nauczysz
- Jak utworzyć niestandardową trasę IPv6 z następnym przeskokiem next-hop-ilb, podając nazwę wewnętrznego systemu równoważenia obciążenia
- Jak utworzyć niestandardową trasę IPv6 z następnym przeskokiem next-hop-ilb, określając adres IPv6 usługi ILB
Czego potrzebujesz
- Projekt Google Cloud
2. Zanim zaczniesz
Aktualizowanie projektu na potrzeby ćwiczenia
To ćwiczenie wykorzystuje $zmienne, aby ułatwić implementację konfiguracji gcloud w Cloud Shell.
W Cloud Shell wykonaj te czynności:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
export projectname=$(gcloud config list --format="value(core.project)")
Ogólna architektura modułu
Aby zademonstrować oba typy następnych przeskoków tras niestandardowych, utworzysz 2 sieci VPC: kliencką i serwerową, które używają adresowania ULA.
Aby klient VPC miał dostęp do serwera, użyjesz trasy niestandardowej z następną bramą next-hop-ilb wskazującą wewnętrzny system równoważenia obciążenia (za pomocą nazwy ILB) przed grupą instancji bramy z wieloma kartami NIC, które znajdują się między dwoma wewnętrznymi systemami równoważenia obciążenia. Aby zapewnić routing z powrotem do instancji klienta (po usunięciu domyślnej trasy ::/0), użyjesz trasy niestandardowej z następnym przeskokiem ilb (z adresem wewnętrznego systemu równoważenia obciążenia) wskazującej na wewnętrzny system równoważenia obciążenia.
3. Konfiguracja sieci VPC klienta
Tworzenie sieci VPC klienta
W Cloud Shell wykonaj te czynności:
gcloud compute networks create client-vpc \
--project=$projectname \
--subnet-mode=custom --mtu=1500 \
--bgp-routing-mode=regional \
--enable-ula-internal-ipv6
Tworzenie podsieci klienta
W Cloud Shell wykonaj te czynności:
gcloud compute networks subnets create client-subnet \
--network=client-vpc \
--project=$projectname \
--range=192.168.1.0/24 \
--stack-type=IPV4_IPV6 \
--ipv6-access-type=internal \
--region=us-central1
Zapisz przypisaną podsieć IPv6 w zmiennej środowiskowej za pomocą tego polecenia:
export client_subnet=$(gcloud compute networks subnets \
describe client-subnet \
--project $projectname \
--format="value(internalIpv6Prefix)" \
--region us-central1)
Uruchamianie instancji klienta
W Cloud Shell wykonaj te czynności:
gcloud compute instances create client-instance \
--subnet client-subnet \
--stack-type IPV4_IPV6 \
--zone us-central1-a \
--project=$projectname
Dodawanie reguły zapory sieciowej dla ruchu sieci VPC klienta
W Cloud Shell wykonaj te czynności:
gcloud compute firewall-rules create allow-gateway-client \
--direction=INGRESS --priority=1000 \
--network=client-vpc --action=ALLOW \
--rules=tcp --source-ranges=$client_subnet \
--project=$projectname
Dodawanie reguły zapory sieciowej zezwalającej na IAP w przypadku instancji klienta
W Cloud Shell wykonaj te czynności:
gcloud compute firewall-rules create allow-iap-client \
--direction=INGRESS --priority=1000 \
--network=client-vpc --action=ALLOW \
--rules=tcp:22 --source-ranges=35.235.240.0/20 \
--project=$projectname
Potwierdź dostęp do instancji klienta przez SSH
W Cloud Shell zaloguj się na instancję klienta:
gcloud compute ssh client-instance \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
Jeśli się powiedzie, zobaczysz okno terminala z instancji klienta. Aby kontynuować ćwiczenia, zakończ sesję SSH.
4. Konfiguracja sieci VPC serwera
Tworzenie sieci VPC serwera
W Cloud Shell wykonaj te czynności:
gcloud compute networks create server-vpc \
--project=$projectname \
--subnet-mode=custom --mtu=1500 \
--bgp-routing-mode=regional \
--enable-ula-internal-ipv6
Tworzenie podsieci serwera
W Cloud Shell wykonaj te czynności:
gcloud compute networks subnets create server-subnet \
--network=server-vpc \
--project=$projectname \
--range=192.168.0.0/24 \
--stack-type=IPV4_IPV6 \
--ipv6-access-type=internal \
--region=us-central1
Zapisz przypisaną podsieć w zmiennej środowiskowej za pomocą tego polecenia:
export server_subnet=$(gcloud compute networks subnets \
describe server-subnet \
--project $projectname \
--format="value(internalIpv6Prefix)" \
--region us-central1)
Uruchamianie maszyny wirtualnej serwera
W Cloud Shell wykonaj te czynności:
gcloud compute instances create server-instance \
--subnet server-subnet \
--stack-type IPV4_IPV6 \
--zone us-central1-a \
--project=$projectname
Dodawanie reguły zapory sieciowej, aby zezwolić na dostęp do serwera z klienta
W Cloud Shell wykonaj te czynności:
gcloud compute firewall-rules create allow-client-server \
--direction=INGRESS --priority=1000 \
--network=server-vpc --action=ALLOW \
--rules=tcp --source-ranges=$client_subnet \
--project=$projectname
Dodawanie reguły zapory sieciowej zezwalającej na IAP
W Cloud Shell wykonaj te czynności:
gcloud compute firewall-rules create allow-iap-server \
--direction=INGRESS --priority=1000 \
--network=server-vpc --action=ALLOW \
--rules=tcp:22 \
--source-ranges=35.235.240.0/20 \
--project=$projectname
Instalowanie serwera Apache na instancji serwera ULA
W Cloud Shell zaloguj się na instancję klienta:
gcloud compute ssh server-instance \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
W powłoce maszyny wirtualnej serwera uruchom to polecenie:
sudo apt update && sudo apt -y install apache2
Sprawdzanie, czy serwer Apache działa
sudo systemctl status apache2
Zastępowanie domyślnej strony internetowej
echo '<!doctype html><html><body><h1>Hello World! From Server Instance!</h1></body></html>' | sudo tee /var/www/html/index.html
Aby kontynuować ćwiczenia, zakończ sesję SSH.
5. Tworzenie instancji bramy
Tworzenie szablonu instancji bramy z wieloma interfejsami sieciowymi
W Cloud Shell wykonaj te czynności:
gcloud compute instance-templates create gateway-instance-template \
--project=$projectname \
--instance-template-region=us-central1 \
--region=us-central1 \
--network-interface=stack-type=IPV4_IPV6,subnet=client-subnet,no-address \
--network-interface=stack-type=IPV4_IPV6,subnet=server-subnet,no-address \
--can-ip-forward \
--metadata=startup-script='#! /bin/bash
sudo sysctl -w net.ipv6.conf.ens4.accept_ra=2
sudo sysctl -w net.ipv6.conf.ens5.accept_ra=2
sudo sysctl -w net.ipv6.conf.ens4.accept_ra_defrtr=1
sudo sysctl -w net.ipv6.conf.all.forwarding=1'
Tworzenie grupy instancji bramy z wieloma kartami NIC
W Cloud Shell wykonaj te czynności:
gcloud compute instance-groups managed create gateway-instance-group \
--project=$projectname \
--base-instance-name=gateway-instance \
--template=projects/$projectname/regions/us-central1/instanceTemplates/gateway-instance-template \
--size=2 \
--zone=us-central1-a
Weryfikowanie instancji bramy
Aby mieć pewność, że nasz skrypt startowy został przekazany prawidłowo i że tabela routingu v6 jest poprawna. Nawiązywanie połączenia SSH z jedną z instancji bramy
W Cloud Shell wyświetl listę instancji bramy, uruchamiając to polecenie:
gcloud compute instances list \
--project=$projectname \
--zones=us-central1-a \
--filter name~gateway \
--format 'csv(name)'
Zanotuj jedną z nazw instancji i użyj jej w następnym poleceniu, aby nawiązać połączenie SSH z instancją.
W Cloud Shell zaloguj się na jedną z instancji bramy.
gcloud compute ssh gateway-instance-<suffix> \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
W powłoce maszyny wirtualnej bramy uruchom to polecenie, aby sprawdzić przekazywanie IPv6:
sudo sysctl net.ipv6.conf.all.forwarding
Polecenie powinno zwrócić wartość „1”, co oznacza, że przekazywanie IPv6 jest włączone.
Sprawdź tabelę routingu IPv6 na instancji.
ip -6 route show
Przykładowe dane wyjściowe pokazujące trasy podsieci ULA i GUA, przy czym trasa domyślna wskazuje interfejs GUA.
::1 dev lo proto kernel metric 256 pref medium
2600:1900:4000:7a7f:0:1:: dev ens4 proto kernel metric 256 expires 83903sec pref medium
2600:1900:4000:7a7f::/65 via fe80::4001:c0ff:fea8:101 dev ens4 proto ra metric 1024 expires 88sec pref medium
fd20:3df:8d5c::1:0:0 dev ens5 proto kernel metric 256 expires 83904sec pref medium
fd20:3df:8d5c::/64 via fe80::4001:c0ff:fea8:1 dev ens5 proto ra metric 1024 expires 84sec pref medium
fe80::/64 dev ens5 proto kernel metric 256 pref medium
fe80::/64 dev ens4 proto kernel metric 256 pref medium
default via fe80::4001:c0ff:fea8:101 dev ens4 proto ra metric 1024 expires 88sec pref medium
Aby kontynuować ćwiczenia, zakończ sesję SSH.
6. Tworzenie komponentów systemu równoważenia obciążenia
Zanim utworzymy trasy w obu sieciach VPC, musimy utworzyć wewnętrzne przekazujące systemy równoważenia obciążenia po obu stronach instancji bramy, aby przekierowywać ruch.
Systemy równoważenia obciążenia utworzone w tym ćwiczeniu obejmują:
- Kontrola stanu: w tym ćwiczeniu utworzymy proste kontrole stanu, które będą kierowane na port 22. Pamiętaj, że kontrole stanu nie będą działać po wdrożeniu (wymaga to dodania reguł zapory sieciowej, które zezwalają na kontrole stanu, oraz utworzenia specjalnych tras na instancjach bramy). Ten przewodnik skupia się na przekazywaniu IPv6, więc w przypadku, gdy wszystkie backendy są w złym stanie, będziemy korzystać z domyślnego zachowania wewnętrznych przekazujących systemów równoważenia obciążenia w zakresie dystrybucji ruchu, czyli w ostateczności przekazywać ruch do wszystkich backendów.
- Usługa backendu: w przypadku usługi backendu użyjemy protokołu TCP. Ponieważ jednak systemy równoważenia obciążenia są tworzone na potrzeby routingu, wszystkie protokoły są przekazywane niezależnie od protokołu usługi backendu.
- Reguła przekierowania: tworzymy regułę przekierowania dla każdej sieci VPC .
- Wewnętrzny adres IPv6: w tym ćwiczeniu pozwolimy regule przekierowania automatycznie przydzielać adresy IPv6 z podsieci.
Utwórz kontrolę stanu
W Cloud Shell wykonaj te czynności:
gcloud compute health-checks create tcp tcp-hc-22 \
--project=$projectname \
--region=us-central1 \
--port=22
Tworzenie usług backendu
W Cloud Shell wykonaj te czynności:
gcloud compute backend-services create bes-ilb-clientvpc \
--project=$projectname \
--load-balancing-scheme=internal \
--protocol=tcp \
--network=client-vpc \
--region=us-central1 \
--health-checks=tcp-hc-22 \
--health-checks-region=us-central1
gcloud compute backend-services create bes-ilb-servervpc \
--project=$projectname \
--load-balancing-scheme=internal \
--protocol=tcp \
--network=server-vpc \
--region=us-central1 \
--health-checks=tcp-hc-22 \
--health-checks-region=us-central1
Dodawanie grupy instancji do usługi backendu
W Cloud Shell wykonaj te czynności:
gcloud compute backend-services add-backend bes-ilb-clientvpc \
--project=$projectname \
--region=us-central1 \
--instance-group=gateway-instance-group \
--instance-group-zone=us-central1-a
gcloud compute backend-services add-backend bes-ilb-servervpc \
--project=$projectname \
--region=us-central1 \
--instance-group=gateway-instance-group \
--instance-group-zone=us-central1-a
Tworzenie reguł przekierowania
W Cloud Shell wykonaj te czynności:
gcloud compute forwarding-rules create fr-ilb-clientvpc \
--project=$projectname \
--region=us-central1 \
--load-balancing-scheme=internal \
--network=client-vpc \
--subnet=client-subnet \
--ip-protocol=TCP \
--ip-version=IPV6 \
--ports=ALL \
--backend-service=bes-ilb-clientvpc \
--backend-service-region=us-central1
gcloud compute forwarding-rules create fr-ilb-servervpc \
--project=$projectname \
--region=us-central1 \
--load-balancing-scheme=internal \
--network=server-vpc \
--subnet=server-subnet \
--ip-protocol=TCP \
--ip-version=IPV6 \
--ports=ALL \
--backend-service=bes-ilb-servervpc \
--backend-service-region=us-central1
Zapisz adresy IPv6 obu reguł przekierowania, wydając w Cloud Shell te polecenia:
export fraddress_client=$(gcloud compute forwarding-rules \
describe fr-ilb-clientvpc \
--project $projectname \
--format="value(IPAddress)" \
--region us-central1)
export fraddress_server=$(gcloud compute forwarding-rules \
describe fr-ilb-servervpc \
--project $projectname \
--format="value(IPAddress)" \
--region us-central1)
7. Tworzenie i testowanie tras do systemów równoważenia obciążenia (przy użyciu adresu systemu równoważenia obciążenia)
W tej sekcji dodasz trasy do sieci VPC klienta i serwera, używając adresów IPv6 systemów równoważenia obciążenia jako następnych przeskoków.
Zapisz adresy serwerów.
W Cloud Shell wykonaj te czynności:
gcloud compute instances list \
--project $projectname \
--zones us-central1-a \
--filter="name~server-instance" \
--format='value[separator=","](name,networkInterfaces[0].ipv6Address)'
Powinny zostać wyświetlone nazwy instancji serwera i ich prefiksy IPv6. Przykładowe dane wyjściowe
server-instance,fd20:3df:8d5c:0:0:0:0:0
Zapisz adres serwera, ponieważ będziesz go później używać w poleceniach curl z instancji klienta. Niestety zmiennych środowiskowych nie można łatwo używać do przechowywania tych informacji, ponieważ nie są one przenoszone w sesjach SSH.
Uruchamianie polecenia curl na kliencie w celu połączenia się z instancją serwera ULA
Aby zobaczyć, jak działało to przed dodaniem nowych tras. Uruchom polecenie curl na instancji klienta w kierunku instancji serwera 1.
W Cloud Shell zaloguj się na instancję klienta:
gcloud compute ssh client-instance \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
W instancji klienta wykonaj polecenie curl, używając adresu IPv6 ULA instancji server1 (polecenie ustawia krótki limit czasu 5 s, aby uniknąć zbyt długiego oczekiwania na odpowiedź):
curl -m 5.0 -g -6 'http://[ULA-ipv6-address-of-server1]:80/'
To polecenie curl powinno przekroczyć limit czasu, ponieważ sieć VPC klienta nie ma jeszcze trasy do sieci VPC serwera.
Spróbujmy to naprawić. Zakończ na razie sesję SSH.
Dodawanie trasy niestandardowej w sieci VPC klienta
Sieć VPC klienta nie ma trasy do prefiksu ULA. Dodajmy go teraz, tworząc trasę, która wskazuje adres ILB po stronie klienta.
Uwaga: wewnętrznym przekazującym systemom równoważenia obciążenia IPv6 przypisywane są adresy /96. Przed przekazaniem adresu do następnego polecenia należy usunąć maskę /96. (poniżej użyto podstawienia w miejscu w bashu)
W Cloud Shell wykonaj te czynności:
gcloud compute routes create client-to-server-route \
--project=$projectname \
--destination-range=$server_subnet \
--network=client-vpc \
--next-hop-ilb=${fraddress_client//\/96}
Połącz się z instancją klienta przez SSH:
gcloud compute ssh client-instance \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
W instancji klienta spróbuj ponownie wysłać polecenie curl do instancji serwera. (polecenie ustawia krótki limit czasu 5 s, aby uniknąć zbyt długiego oczekiwania na odpowiedź)
curl -m 5.0 -g -6 'http://[ULA-ipv6-address-of-server1]:80/'
To polecenie curl nadal przekracza limit czasu, ponieważ sieć VPC serwera nie ma jeszcze trasy powrotnej do sieci VPC klienta przez instancję bramy.
Aby kontynuować ćwiczenia, zakończ sesję SSH.
Dodawanie trasy niestandardowej w sieci VPC serwera
W Cloud Shell wykonaj te czynności:
gcloud compute routes create server-to-client-route \
--project=$projectname \
--destination-range=$client_subnet \
--network=server-vpc \
--next-hop-ilb=${fraddress_server//\/96}
Połącz się z instancją klienta przez SSH:
gcloud compute ssh client-instance \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
W instancji klienta spróbuj jeszcze raz wysłać polecenie curl do instancji serwera.
curl -m 5.0 -g -6 'http://[ULA-ipv6-address-of-server1]:80/'
To polecenie curl zakończy się teraz powodzeniem, co oznacza, że masz pełną łączność z instancji klienta z instancją serwera ULA. To połączenie jest obecnie możliwe tylko dzięki użyciu tras niestandardowych IPv6 z następnym przeskokiem ilb jako następnym przeskokiem.
Przykładowe dane wyjściowe
<user id>@client-instance:~$ curl -m 5.0 -g -6 'http://[fd20:3df:8d5c:0:0:0:0:0]:80/'
<!doctype html><html><body><h1>Hello World! From Server Instance!</h1></body></html>
Aby kontynuować ćwiczenia, zakończ sesję SSH.
8. Tworzenie i testowanie tras do systemów równoważenia obciążenia (przy użyciu nazwy systemu równoważenia obciążenia)
Alternatywnie next-hop-ilb może odwoływać się do nazwy systemu równoważenia obciążenia zamiast do jego adresu IPv6. W tej sekcji opisujemy procedurę, która umożliwia sprawdzenie, czy połączenie między klientem a serwerem nadal jest nawiązane.
Usuwanie poprzednich tras
Przywróćmy środowisko do stanu sprzed dodania niestandardowych tras, usuwając niestandardowe trasy, które używają nazwy instancji.
W Cloud Shell wykonaj te czynności:
gcloud compute routes delete client-to-server-route --quiet --project=$projectname
gcloud compute routes delete server-to-client-route --quiet --project=$projectname
Uruchamianie polecenia curl na kliencie w celu połączenia się z instancją serwera ULA
Aby potwierdzić, że poprzednie trasy zostały usunięte, uruchom polecenie curl z instancji klienta w kierunku instancji serwera 1.
W Cloud Shell zaloguj się na instancję klienta:
gcloud compute ssh client-instance \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
W instancji klienta wykonaj polecenie curl, używając adresu IPv6 ULA instancji server1 (polecenie ustawia krótki limit czasu 5 s, aby uniknąć zbyt długiego oczekiwania na odpowiedź):
curl -m 5.0 -g -6 'http://[ULA-ipv6-address-of-server1]:80/'
To polecenie curl powinno przekroczyć limit czasu, ponieważ sieć VPC klienta nie ma już trasy do sieci VPC serwera.
Dodawanie niestandardowych tras w sieciach VPC klienta i serwera
Ponownie dodajmy trasy niestandardowe w sieciach VPC klienta i serwera, ale zamiast adresu usługi ILB użyjemy w poleceniu nazwy i regionu usługi ILB.
W Cloud Shell wykonaj te czynności:
gcloud compute routes create client-to-server-route \
--project=$projectname \
--destination-range=$server_subnet \
--network=client-vpc \
--next-hop-ilb=fr-ilb-clientvpc \
--next-hop-ilb-region=us-central1
gcloud compute routes create server-to-client-route \
--project=$projectname \
--destination-range=$client_subnet \
--network=server-vpc \
--next-hop-ilb=fr-ilb-servervpc \
--next-hop-ilb-region=us-central1
Połącz się z instancją klienta przez SSH:
gcloud compute ssh client-instance \
--project=$projectname \
--zone=us-central1-a \
--tunnel-through-iap
W instancji klienta spróbuj ponownie wysłać polecenie curl do instancji serwera. (polecenie ustawia krótki limit czasu 5 s, aby uniknąć zbyt długiego oczekiwania na odpowiedź)
curl -m 5.0 -g -6 'http://[ULA-ipv6-address-of-server1]:80/'
To polecenie curl zakończy się teraz powodzeniem, co oznacza, że masz pełną łączność z instancji klienta z instancją serwera ULA.
9. Czyszczenie danych
Usuwanie tras niestandardowych
W Cloud Shell wykonaj te czynności:
gcloud compute routes delete client-to-server-route --quiet --project=$projectname
gcloud compute routes delete server-to-client-route --quiet --project=$projectname
Zwalnianie miejsca w komponentach LB
W Cloud Shell wykonaj te czynności:
gcloud compute forwarding-rules delete fr-ilb-clientvpc --region us-central1 --quiet --project=$projectname
gcloud compute forwarding-rules delete fr-ilb-servervpc --region us-central1 --quiet --project=$projectname
gcloud compute backend-services delete bes-ilb-clientvpc --region us-central1 --quiet --project=$projectname
gcloud compute backend-services delete bes-ilb-servervpc --region us-central1 --quiet --project=$projectname
gcloud compute health-checks delete tcp-hc-22 --region us-central1 --quiet --project=$projectname
Zwalnianie miejsca przez instancje i szablony instancji
W Cloud Shell wykonaj te czynności:
gcloud compute instances delete client-instance --zone us-central1-a --quiet --project=$projectname
gcloud compute instances delete server-instance --zone us-central1-a --quiet --project=$projectname
gcloud compute instance-groups managed delete gateway-instance-group --zone us-central1-a --quiet --project=$projectname
gcloud compute instance-templates delete gateway-instance-template --region us-central1 --quiet --project=$projectname
Usuwanie podsieci
W Cloud Shell wykonaj te czynności:
gcloud compute networks subnets delete client-subnet --region=us-central1 --quiet --project=$projectname
gcloud compute networks subnets delete server-subnet --region=us-central1 --quiet --project=$projectname
Czyszczenie reguł zapory sieciowej
W Cloud Shell wykonaj te czynności:
gcloud compute firewall-rules delete allow-iap-client --quiet --project=$projectname
gcloud compute firewall-rules delete allow-iap-server --quiet --project=$projectname
gcloud compute firewall-rules delete allow-gateway-client --quiet --project=$projectname
gcloud compute firewall-rules delete allow-client-server --quiet --project=$projectname
Zwalnianie miejsca w sieciach VPC
W Cloud Shell wykonaj te czynności:
gcloud compute networks delete client-vpc --quiet --project=$projectname
gcloud compute networks delete server-vpc --quiet --project=$projectname
10. Gratulacje
Udało Ci się użyć statycznych niestandardowych tras IPv6 z następnymi przeskokami ustawionymi na next-hop-ilb. Sprawdzono też pełne szyfrowanie komunikacji IPv6 przy użyciu tych tras.
Co dalej?
Sprawdź te ćwiczenia z programowania:
- Dostęp do interfejsów API Google z hostów lokalnych z użyciem adresów IPv6
- Opcje adresowania IP – protkoły IPv4 i IPv6
- Używanie instancji następnego przeskoku tras statycznych IPv6 oraz adresu i bramy następnego przeskoku