本頁面由 Cloud Translation API 翻譯而成。

Looker PSC 南向混合式 NEG 至地端

1. 簡介

在本程式碼研究室中，您將透過 H-VPN 執行南向連線，連線至內部部署的 postgres 資料庫，並使用內部 TCP Proxy 負載平衡器和從 Looker PSC 以服務消費者身分叫用的混合式網路端點群組。

Private Service Connect 是 Google Cloud 網路的功能，可讓消費者透過虛擬私有雲網路，以私密方式存取代管服務。同樣地，代管服務也可讓代管服務生產端在專屬的單獨虛擬私有雲網路中託管這些服務，並為消費者提供私人連線。例如，當您使用 Private Service Connect 存取 Looker 時，您是服務使用者，而 Google 就是服務供應商 (如圖 1 所示)。

圖 1.

南向存取權 (也稱為反向 PSC) 可讓消費者以供應者的身分建立已發布服務，讓 Looker 存取內部部署、虛擬私有雲中的端點、代管服務和混合型服務。無論 Looker PSC 的部署位置為何，外部連線皆可部署在任何地區，如圖 2 中強調的。

圖 2.

課程內容

網路需求
建立 Private Service Connect 生產端服務
在 Looker 中建立 Private Service Connect 端點
使用測試連線，從 Looker 連線至地端部署 Postgres 資料庫

軟硬體需求

具備擁有者權限的 Google Cloud 專案
現有的 Looker PSC 執行個體

2. 建構項目

您將建立名為 looker-psc-demo 的供應者網路，用來部署內部 TCP Proxy 負載平衡器，以及透過 Private Service Connect (PSC) 以服務形式發布的 Hybrid NEG。為了展示內部部署資料庫，您將部署一個使用 HA-VPN 連線至 looker-psc-demo 虛擬私有雲的 on-prem-demo 虛擬私有雲。

您將執行下列動作，驗證對內容供應者服務的存取權：

在 Looker 中建立與生產端服務連結相關聯的 PSC 端點
透過 Looker 控制台驗證地端部署 Postgres 資料庫的連線

3. 網路需求

以下是生產端網路的網路需求細目，本程式碼研究室中的消費者是 Looker PSC 執行個體。

元件	說明
虛擬私有雲 (looker-psc-demo)	自訂模式虛擬私有雲
虛擬私有雲 (on-prem-demo)	自訂模式虛擬私有雲
PSC NAT 子網路	來自消費者 VPC 網路的封包會使用來源 NAT (SNAT) 進行轉譯，將原始來源 IP 位址轉換為供應者 VPC 網路中 NAT 子網路的來源 IP 位址。
PSC 轉送規則子網路	用於為區域性內部 TCP Proxy 負載平衡器分配 IP 位址
PSC NEG 子網路	用於為網路端點群組分配 IP 位址
僅限 Proxy 子網路	系統會為每個負載平衡器的 Proxy 指派一個內部 IP 位址。從 Proxy 傳送至後端 VM 或端點的封包，具有來自僅限 Proxy 的子網路的來源 IP 位址。
混合式 NEG	內部部署環境和其他雲端服務會視為任何其他 Cloud Load Balancing 後端。主要差異在於您使用混合式連線 NEG 來設定這些後端的端點。端點必須是有效的 IP 和連接埠組合，負載平衡器可透過混合式連線產品 (例如 Cloud VPN 或 Cloud Interconnect) 存取這些端點。
後端服務	後端服務是負載平衡器與後端資源之間的橋樑。在本教學課程中，後端服務會與混合式 NEG 建立關聯。
Cloud Router	Cloud NAT 會使用 Cloud Router 提供控制平面功能，但不會用於 BGP 工作階段管理。針對 psc-looker-demo 和 on-prem-demo 虛擬私有雲之間建立高可用性 VPN 的 BGP，就會透過 Cloud Router 路由器建立 BGP。
HA-VPN	Google Cloud VPC 網路之間的高可用性 VPN。在這個拓撲中，您可以透過在每個網路中使用高可用性 VPN 閘道，將兩個 Google Cloud 虛擬私有雲網路互相連線。虛擬私有雲端網路可以位於同一個地區或多個地區。
Cloud NAT	供地端部署示範虛擬私有雲用於網際網路輸出

4. 程式碼研究室拓樸圖

5. 設定和需求

自修環境設定

登入 Google Cloud 控制台，建立新專案或重複使用現有專案。如果您還沒有 Gmail 或 Google Workspace 帳戶，請先建立帳戶。

「Project name」是這個專案參與者的顯示名稱。這是 Google API 未使用的字元字串。您隨時可以更新。
專案 ID 在所有 Google Cloud 專案中都是不重複的值，且無法變更 (設定後即無法變更)。Cloud 控制台會自動產生一個不重複的字串。但通常是在乎它何在在大部分的程式碼研究室中，您必須參照專案 ID (通常為 PROJECT_ID)。如果您對產生的 ID 不滿意，可以隨機產生一個 ID。或者，您也可以自行嘗試，看看是否可用。在這個步驟後，這個名稱即無法變更，而且在專案期間內仍會保持有效。
資訊中的第三個值是專案編號，部分 API 會使用這個編號。如要進一步瞭解這三個值，請參閱說明文件。

接下來，您需要在 Cloud 控制台中啟用帳單功能，才能使用 Cloud 資源/API。執行本程式碼研究室不會產生任何費用 (如果有的話)。如要關閉資源，以免產生本教學課程結束後產生的費用，您可以刪除自己建立的資源或刪除專案。新使用者符合 $300 美元免費試用計畫的資格。

啟動 Cloud Shell

雖然 Google Cloud 可以從筆記型電腦遠端操作，但在本程式碼研究室中，您將使用 Google Cloud Shell，這是一種在 Cloud 中執行的指令列環境。

在 Google Cloud 控制台，按一下右上方的工具列上的 Cloud Shell 圖示：

佈建並連線至環境的作業只需幾分鐘的時間。完成後，您應該會看到類似下方的內容：

這部虛擬機器都裝載了您需要的所有開發工具。提供永久的 5 GB 主目錄，而且在 Google Cloud 中運作，因此能大幅提升網路效能和驗證效率。本程式碼研究室的所有工作都可以在瀏覽器中完成。不必安裝任何程式。

6. 事前準備

啟用 API

在 Cloud Shell 中，確認專案 ID 已設定完成：

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=[YOUR-REGION]
zone=[YOUR-ZONE]
echo $project
echo $region

啟用所有必要服務：

gcloud services enable compute.googleapis.com

7. 建立供應商虛擬私有雲網路

虛擬私有雲網路

在 Cloud Shell 中執行以下操作：

gcloud compute networks create looker-psc-demo --subnet-mode custom

建立子網路

PSC 子網路會與 PSC 服務連結，以便進行網路位址轉譯。

在 Cloud Shell 中建立 PSC NAT 子網路：

gcloud compute networks subnets create producer-psc-nat-subnet --network looker-psc-demo --range 172.16.10.0/28 --region $region --purpose=PRIVATE_SERVICE_CONNECT

在 Cloud Shell 中建立生產者轉送規則子網路：

gcloud compute networks subnets create producer-psc-fr-subnet --network looker-psc-demo --range 172.16.20.0/28 --region $region --enable-private-ip-google-access

在 Cloud Shell 中，建立生產端區域性 Proxy 專屬子網路：

gcloud compute networks subnets create $region-proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=$region \
  --network=looker-psc-demo \
  --range=10.10.10.0/24

保留負載平衡器的 IP 位址

在 Cloud Shell 中，為負載平衡器保留內部 IP 位址：

gcloud compute addresses create hybrid-neg-lb-ip \
  --region=$region \
  --subnet=producer-psc-fr-subnet

在 Cloud Shell 中查看預留的 IP 位址。

gcloud compute addresses describe hybrid-neg-lb-ip \
  --region=$region | grep -i address:

輸出內容範例：

gcloud compute addresses describe hybrid-neg-lb-ip   --region=$region | grep -i address:
address: 172.16.20.2

設定混合式 NEG

建立混合式 NEG，並將 –network-endpoint-type 設為 NON_GCP_PRIVATE_IP_PORT

在 Cloud Shell 中，建立用於存取地端部署資料庫的混合式 NEG：

gcloud compute network-endpoint-groups create on-prem-hybrid-neg \
    --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
    --network=looker-psc-demo \
    --zone=$zone

在 Cloud Shell 中，使用地端部署資料庫的 IP:通訊埠、192.168.10.4 和通訊埠 5432 (在本教學課程的後續步驟中產生)：

gcloud compute network-endpoint-groups update on-prem-hybrid-neg \
    --add-endpoint=ip=192.168.10.4,port=5432 \
    --zone=$zone

建立地區健康狀態檢查

在 Cloud Shell 中，建立探測地端部署資料庫通訊埠 5432 的健康狀態檢查：

gcloud compute health-checks create tcp on-prem-5432-healthcheck \
    --region=$region \
    --port=5432

建立網路防火牆政策和防火牆規則

在 Cloud Shell 中執行下列操作：

gcloud compute network-firewall-policies create looker-psc-demo-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy looker-psc-demo-policy --network looker-psc-demo --name looker-psc-demo --global-firewall-policy

下列防火牆規則允許從 PSC NAT 子網路範圍傳送至網路中所有執行個體的流量。

在 Cloud Shell 中執行下列操作：

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy looker-psc-demo-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges 172.16.10.0/28 --global-firewall-policy --layer4-configs=tcp

8. 建立生產端服務

建立負載平衡器元件

在 Cloud Shell 中，建立後端服務：

gcloud compute backend-services create producer-backend-svc --region=$region --load-balancing-scheme=INTERNAL_MANAGED --protocol=TCP --region=$region --health-checks=on-prem-5432-healthcheck --health-checks-region=$region

在 Cloud Shell 中，將混合 NEG 後端新增至後端服務：

gcloud compute backend-services add-backend producer-backend-svc --network-endpoint-group=on-prem-hybrid-neg --network-endpoint-group-zone=$zone --balancing-mode=CONNECTION --max-connections=100 --region=$region

在 Cloud Shell 中，建立目標 TCP Proxy，將要求轉送至後端服務：

gcloud compute target-tcp-proxies create producer-lb-tcp-proxy \
      --backend-service=producer-backend-svc  \
      --region=$region

使用下列語法，建立轉送規則 (內部 tcp Proxy 負載平衡器)。

在 Cloud Shell 中執行以下操作：

gcloud compute forwarding-rules create producer-hybrid-neg-fr \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network-tier=PREMIUM \
     --network=looker-psc-demo \
     --subnet=producer-psc-fr-subnet \
     --address=hybrid-neg-lb-ip \
     --target-tcp-proxy=producer-lb-tcp-proxy \
     --target-tcp-proxy-region=$region \
     --region=$region \
     --ports=5432

建立服務附件

在 Cloud Shell 中建立服務附件 onpremdatabase1-svc-attachment：

gcloud compute service-attachments create onpremdatabase1-svc-attachment --region=$region --producer-forwarding-rule=producer-hybrid-neg-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=producer-psc-nat-subnet

接著，請取得並記下自我連結 URI 中列出的服務連結 (開頭為專案)，以便在 Looker 中設定 PSC 端點。

selfLink：projects/<your-project-id>/regions/<your-region>/serviceAttachments/onpremdatabase1-svc-attachment

在 Cloud Shell 中執行以下操作：

gcloud compute service-attachments describe onpremdatabase1-svc-attachment --region=$region

預期的輸出內容示例：

connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-09-01T16:07:51.600-07:00'
description: ''
enableProxyProtocol: false
fingerprint: cFt9rERR1iE=
id: '2549689544315850024'
kind: compute#serviceAttachment
name: onpremdatabase1-svc-attachment
natSubnets:
- https://www.googleapis.com/compute/v1/projects/$project/regions/$region/subnetworks/producer-psc-nat-subnet
pscServiceAttachmentId:
  high: '19348441121424360'
  low: '2549689544315850024'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/$project/regions/$region
selfLink: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/serviceAttachments/onpremdatabase1-svc-attachment
targetService: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/forwardingRules/producer-hybrid-neg-fr

在 Cloud 控制台中，前往：

網路服務 → Private Service Connect → 已發布的服務

9. 在 Looker 中建立 PSC 端點連線

在下一節中，您將透過 Cloud Shell 中的 –psc-service-attachment 標記，針對單一網域將 Producers Service Attachment 與 Looker Core PSC 建立關聯。

在 Cloud Shell 中，更新下列參數以符合環境，建立 psc 關聯：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
網域_1：onprem.database1.com
SERVICE_ATTACHMENT_1：建立服務連結時擷取的 URI，onpremdatabase1-svc-attachment
REGION：Looker (Google Cloud Core) 執行個體所在的地區。

在 Cloud Shell 中執行下列操作：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--region=REGION

範例：

gcloud looker instances update looker-psc-instance --psc-service-attachment domain=onprem.database1.com,attachment=projects/$project/regions/$region/serviceAttachments/onpremdatabase1-svc-attachment --region=$region

在 Cloud Shell 中驗證 serviceAttachments 的 connectionStatus 是否為「ACCEPTED」，並更新為 Looker PSC 執行個體名稱：

gcloud looker instances describe [INSTANCE_NAME] --region=$region --format=json

範例：

gcloud looker instances describe looker-psc-instance --region=$region --format=json

範例：

{
  "adminSettings": {},
  "createTime": "2024-08-23T00:00:45.339063195Z",
  "customDomain": {
    "domain": "looker.cosmopup.com",
    "state": "AVAILABLE"
  },
  "encryptionConfig": {},
  "lookerVersion": "24.14.18",
  "name": "projects/$project/locations/$region/instances/looker-psc-instance",
  "platformEdition": "LOOKER_CORE_ENTERPRISE_ANNUAL",
  "pscConfig": {
    "allowedVpcs": [
      "projects/$project/global/networks/looker-psc-demo",
      "projects/$project/global/networks/looker-shared-vpc"
    ],
    "lookerServiceAttachmentUri": "projects/t7ec792caf2a609d1-tp/regions/$region/serviceAttachments/looker-psc-f51982e2-ac0d-48b1-91bb-88656971c183",
    "serviceAttachments": [
      {
        "connectionStatus": "ACCEPTED",
        "localFqdn": "onprem.database1.com",
        "targetServiceAttachmentUri": "projects/$project/regions/$region/serviceAttachments/onpremdatabase1-svc-attachment"
      }
    ]
  },
  "pscEnabled": true,
  "state": "ACTIVE",
  "updateTime": "2024-09-01T23:15:07.426372901Z"
}

在 Cloud 控制台中驗證 PSC 端點

您可以透過 Cloud 控制台驗證 PSC 連線

在 Cloud 控制台中，前往：

Looker → Looker 執行個體 → 詳細資料

建立內部虛擬私有雲網路

虛擬私人雲端網路

在 Cloud Shell 中執行下列操作：

gcloud compute networks create on-prem-demo --project=$project --subnet-mode=custom

建立 Postgresql 資料庫子網路

在 Cloud Shell 中執行以下操作：

gcloud compute networks subnets create database-subnet --project=$project --range=192.168.10.0/28 --network=on-prem-demo --region=$region

在 Cloud Shell 中，為 onprem.database1.com 預留內部 IPv4 位址 192.168.10.4：

gcloud compute addresses create on-prem-database1-ip --region=$region --subnet=database-subnet --addresses 192.168.10.4

為 on-prem-demo 虛擬私有雲建立 Cloud Router

Cloud NAT 會用於軟體套件安裝教學課程，因為 VM 執行個體沒有外部 IP 位址。

在 Cloud Shell 中，建立搭配 Cloud NAT 和高可用性 VPN：

gcloud compute routers create on-prem-cr \
   --region=$region \
   --network=on-prem-demo \
   --asn=65002

在 Cloud Shell 中建立 NAT 閘道：

gcloud compute routers nats create on-prem-nat --router=on-prem-cr --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region $region

建立資料庫測試例項

建立 postgres-database 執行個體，將用於測試及驗證 Looker 連線能力。

在 Cloud Shell 中建立執行個體：

gcloud compute instances create postgres-database \
    --project=$project \
    --zone=$zone \
    --machine-type=e2-medium \
    --subnet=database-subnet \
    --no-address \
    --private-network-ip 192.168.10.4 \
    --image-family debian-12 \
    --image-project debian-cloud  \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt -y install postgresql postgresql-client postgresql-contrib -y"

建立網路防火牆政策和防火牆規則

在 Cloud Shell 中執行以下操作：

gcloud compute network-firewall-policies create on-prem-demo-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy on-prem-demo-policy --network on-prem-demo --name on-prem-demo --global-firewall-policy

如要允許 IAP 連線至您的 VM 執行個體，請根據以下條件建立防火牆規則：

套用至所有您希望能透過 IAP 存取的 VM 執行個體。
允許來自 IP 範圍 35.235.240.0/20 的輸入流量。這個範圍包含 IAP 用於 TCP 轉送的所有 IP 位址。

在 Cloud Shell 中執行下列操作：

gcloud compute network-firewall-policies rules create 1000 --action ALLOW --firewall-policy on-prem-demo-policy --description "SSH with IAP" --direction INGRESS --src-ip-ranges 35.235.240.0/20 --layer4-configs tcp:22  --global-firewall-policy

下列防火牆規則允許從 Proxy 專用子網路範圍的流量，到網路中的所有執行個體。

在 Cloud Shell 中執行以下操作：

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy on-prem-demo-policy --description "allow traffic from proxy only subnet" --direction INGRESS --src-ip-ranges 10.10.10.0/24 --global-firewall-policy --layer4-configs=tcp

10. 混合式連線

在下一個部分，您將建立 Cloud Router，以便使用邊界閘道通訊協定 (BGP)，在虛擬私有雲 (VPC) 和對等互連網路之間動態交換路徑。

Cloud Router 可以透過 Cloud VPN 通道設定 BGP 工作階段，以連線至您的網路。它會自動取得新的子網路 IP 位址範圍，並宣告至您的對等網路。

在下列步驟中，您會在 looker-psc-demo VPC 和 on-prem-demo VPC 之間部署 HA VPN，以示範 Hybrid NEG 與 onprem.database1.com 的連線。

為 looker-psc-demo 建立高可用性 VPN GW

建立每個閘道時，系統會自動分配兩個外部 IPv4 位址 (每個閘道介面各一個)。

在 Cloud Shell 中建立高可用性 VPN GW：

gcloud compute vpn-gateways create looker-psc-demo-vpn-gw \
   --network=looker-psc-demo \
   --region=$region

為 on-prem-demo 建立高可用性 VPN GW

建立每個閘道時，系統會自動分配兩個外部 IPv4 位址 (每個閘道介面各一個)。

在 Cloud Shell 中建立高可用性 VPN GW：

gcloud compute vpn-gateways create on-prem-vpn-gw \
   --network=on-prem-demo\
   --region=$region

驗證高可用性 VPN GW 建立作業

在控制台中前往「混合式連線」→「VPN」→「Cloud VPN 閘道」。

為 Looker-psc-demo 建立 Cloud Router

在 Cloud Shell 中，建立 Cloud Router：

gcloud compute routers create looker-psc-demo-cr \
   --region=$region \
   --network=looker-psc-demo\
   --asn=65001

為 Looker-psc-demo 建立 VPN 通道

您會在各個高可用性 VPN 閘道中建立兩個 VPN 通道。

建立 VPN 通道

在 Cloud Shell 中建立 tunnel0：

gcloud compute vpn-tunnels create looker-psc-demo-tunnel0 \
    --peer-gcp-gateway on-prem-vpn-gw \
    --region $region \
    --ike-version 2 \
    --shared-secret [ZzTLxKL8fmRykwNDfCvEFIjmlYLhMucH] \
    --router looker-psc-demo-cr \
    --vpn-gateway looker-psc-demo-vpn-gw \
    --interface 0

建立 VPN 通道 1

在 Cloud Shell 中建立 tunnel1：

gcloud compute vpn-tunnels create looker-psc-demo-tunnel1 \
    --peer-gcp-gateway on-prem-vpn-gw \
    --region $region \
    --ike-version 2 \
    --shared-secret [bcyPaboPl8fSkXRmvONGJzWTrc6tRqY5] \
    --router looker-psc-demo-cr \
    --vpn-gateway looker-psc-demo-vpn-gw \
    --interface 1

建立地端部署示範的 VPN 通道

您會在各個高可用性 VPN 閘道中建立兩個 VPN 通道。

建立 VPN 通道

在 Cloud Shell 中建立 tunnel0：

gcloud compute vpn-tunnels create on-prem-tunnel0 \
    --peer-gcp-gateway looker-psc-demo-vpn-gw \
    --region $region \
    --ike-version 2 \
    --shared-secret [ZzTLxKL8fmRykwNDfCvEFIjmlYLhMucH] \
    --router on-prem-cr \
    --vpn-gateway on-prem-vpn-gw \

   --interface 0

建立 VPN 通道 1

在 Cloud Shell 中建立 tunnel1：

gcloud compute vpn-tunnels create on-prem-tunnel1 \
    --peer-gcp-gateway looker-psc-demo-vpn-gw \
    --region $region \
    --ike-version 2 \
    --shared-secret [bcyPaboPl8fSkXRmvONGJzWTrc6tRqY5] \
    --router on-prem-cr \
    --vpn-gateway on-prem-vpn-gw \
    --interface 1

驗證 VPN 通道建立作業

使用控制台前往「HYBRID CONNECTIVITY」→「VPN」→「Cloud VPN TUNNELS」。

11. 建立相鄰 BGP

為 Looker-psc-demo 建立 BGP 介面和對等互連

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface looker-psc-demo-cr \
    --interface-name if-tunnel0-to-onprem \
    --ip-address 169.254.1.1 \
    --mask-length 30 \
    --vpn-tunnel looker-psc-demo-tunnel0 \
    --region $region

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer looker-psc-demo-cr \
    --peer-name bgp-on-premises-tunnel0 \
    --interface if-tunnel1-to-onprem \
    --peer-ip-address 169.254.1.2 \
    --peer-asn 65002 \
    --region $region

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface looker-psc-demo-cr \
    --interface-name if-tunnel1-to-onprem \
    --ip-address 169.254.2.1 \
    --mask-length 30 \
    --vpn-tunnel looker-psc-demo-tunnel1 \
    --region $region

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer looker-psc-demo-cr \
    --peer-name bgp-on-premises-tunnel1 \
    --interface if-tunnel2-to-onprem \
    --peer-ip-address 169.254.2.2 \
    --peer-asn 65002 \
    --region $region

為 on-prem-demo 建立 BGP 介面和對等點

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface on-prem-cr \
    --interface-name if-tunnel0-to-looker-psc-demo \
    --ip-address 169.254.1.2 \
    --mask-length 30 \
    --vpn-tunnel on-prem-tunnel0 \
    --region $region

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer on-prem-cr \
    --peer-name bgp-looker-psc-demo-tunnel0 \
    --interface if-tunnel1-to-looker-psc-demo \
    --peer-ip-address 169.254.1.1 \
    --peer-asn 65001 \
    --region $region

在 Cloud Shell 中建立 BGP 介面：

gcloud compute routers add-interface on-prem-cr \
    --interface-name if-tunnel1-to-looker-psc-demo \
    --ip-address 169.254.2.2 \
    --mask-length 30 \
    --vpn-tunnel on-prem-tunnel1 \
    --region $region

在 Cloud Shell 中建立 BGP 對等點：

gcloud compute routers add-bgp-peer on-prem-cr \
    --peer-name bgp-looker-psc-demo-tunnel1\
    --interface if-tunnel2-to-looker-psc-demo \
    --peer-ip-address 169.254.2.1 \
    --peer-asn 65001 \
    --region $region

如要查看 VPN 通道的詳細資料，請前往「混合式連線」→「VPN」。

透過高可用性 VPN 驗證 looker-psc-demo 學習的路徑

高可用性 VPN 通道和 BGP 工作階段已建立，Cloud Router 的預設行為是宣傳子網路路徑。查看 Looker-psc-demo 已知路徑。

透過控制台依序前往「VPC network」→「虛擬私有雲網路」→「looker-psc-demo」→「ROUTES」→「REGION」→「VIEW」

觀察 looker-psc-demo 已從 on-prem-demo VPC 學習資料庫子網路 192.168.10.0/28。

驗證地端部署示範虛擬私有雲透過高可用性 VPN 取得的路徑

由於 Cloud Router 的預設行為是通告所有子網路，因此只有代理程式專用子網路會透過 BGP 通告。與「onprem.database1.com」伺服器通訊時，混合式 NEG 只會使用 Proxy 的子網路做為來源位址。

Observe on-prem-demo 已從 Looker-psc-demo 取得 Proxy 專用子網路 10.10.10.0/24 的相關資訊。

使用控制台前往「虛擬私有雲網路」→「虛擬私有雲網路」→「on-prem-demo」→「路由」→「地區」→「檢視」

12. Looker 建立 Postgres 資料庫

在下一節中，您將使用 Cloud Shell 透過 SSH 連線至 postgres-database VM。

在 Cloud Shell 中執行 SSH 到 postgres-database 執行個體**：**

 gcloud compute ssh --zone "$zone" "postgres-database" --project "$project"

在 OS 中，找出並記下 postgres 資料庫執行個體的 IP 位址 (ens4)：

ip a

範例：

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc mq state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:04 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 192.168.10.4/32 metric 100 scope global dynamic ens4
       valid_lft 66779sec preferred_lft 66779sec
    inet6 fe80::4001:c0ff:fea8:a04/64 scope link 
       valid_lft forever preferred_lft forever

在作業系統中登入 postgresql：

sudo -u postgres psql postgres

在作業系統中輸入密碼提示：

\password postgres

在 OS 中，將密碼設為 postgres (輸入相同的密碼兩次)：

postgres

範例：

user@postgres-database:~$ sudo -u postgres psql postgres
\password postgres
psql (13.11 (Debian 13.11-0+deb11u1))
Type "help" for help.

postgres=# \password postgres
Enter new password for user "postgres": 
Enter it again:

在 OS 中，結束 postgres：

\q

範例：

postgres=# \q
user@postgres-database:~$

在下一節中，您將在 IPv4 本機連線下的 pg_hba.conf 檔案中，插入 postgres-database 執行個體 IP (192.168.10.4) 和 Proxy 專用子網路 (10.10.10.0/24)。

sudo nano /etc/postgresql/15/main/pg_hba.conf

下方螢幕截圖為完成更新後的畫面：

在下一節中，取消註解 postgresql.conf，以監聽所有「*」如以下螢幕截圖所示：IP 位址數量：

sudo nano /etc/postgresql/15/main/postgresql.conf

更新前：

套用後：

在 OS 中，重新啟動 postgresql 服務：

sudo service postgresql restart

在 OS 中，將 postgresql 狀態驗證為有效：

sudo service postgresql status

範例：

在 OS 中，將 postgresql 狀態驗證為有效：

user@postgres-database:/$ sudo service postgresql status
● postgresql.service - PostgreSQL RDBMS
     Loaded: loaded (/lib/systemd/system/postgresql.service; enabled; preset: enabled)
     Active: active (exited) since Mon 2024-09-02 12:10:10 UTC; 1min 46s ago
    Process: 20486 ExecStart=/bin/true (code=exited, status=0/SUCCESS)
   Main PID: 20486 (code=exited, status=0/SUCCESS)
        CPU: 2ms

Sep 02 12:10:10 postgres-database systemd[1]: Starting postgresql.service - PostgreSQL RDBMS...
Sep 02 12:10:10 postgres-database systemd[1]: Finished postgresql.service - PostgreSQL RDBMS.

13. 建立 postgres 資料庫

在下一節中，您將建立名為 postgres_looker 的 postgres 資料庫，以及用於驗證 Looker 與內部部署環境連線的結構定義 looker_schema。

在 OS 中登入 postgres：

sudo -u postgres psql postgres

在 OS 中建立資料庫：

create database postgres_looker;

在 OS 中列出資料庫：

\l

在 OS 中，使用密碼 postgreslooker 建立使用者 postgres_looker：

create user postgres_looker with password 'postgreslooker';

在 OS 中連線至資料庫：

\c postgres_looker;

在 OS 中建立結構定義 Looker 結構定義，然後退出 Cloud Shell 提示。

create schema looker_schema;
create table looker_schema.test(firstname CHAR(15), lastname CHAR(20));
exit

Exit from the OS, returning you to cloud shell:

\q

範例：

user@postgres-database:/$ sudo -u postgres psql postgres
psql (15.8 (Debian 15.8-0+deb12u1))
Type "help" for help.

postgres=# create database postgres_looker;
CREATE DATABASE
postgres=# \l
                                                List of databases
      Name       |  Owner   | Encoding | Collate |  Ctype  | ICU Locale | Locale Provider |   Access privileges   
-----------------+----------+----------+---------+---------+------------+-----------------+-----------------------
 postgres        | postgres | UTF8     | C.UTF-8 | C.UTF-8 |            | libc            | 
 postgres_looker | postgres | UTF8     | C.UTF-8 | C.UTF-8 |            | libc            | 
 template0       | postgres | UTF8     | C.UTF-8 | C.UTF-8 |            | libc            | =c/postgres          +
                 |          |          |         |         |            |                 | postgres=CTc/postgres
 template1       | postgres | UTF8     | C.UTF-8 | C.UTF-8 |            | libc            | =c/postgres          +
                 |          |          |         |         |            |                 | postgres=CTc/postgres
(4 rows)

postgres=# create user postgres_looker with password 'postgreslooker';
CREATE ROLE
postgres=# \c postgres_looker;
You are now connected to database "postgres_looker" as user "postgres".
postgres_looker=# create schema looker_schema;
create table looker_schema.test(firstname CHAR(15), lastname CHAR(20));
exit
CREATE SCHEMA
CREATE TABLE
postgres_looker-# \q

14. 將 Looker 與 Postgres postgres-database 整合

在下一節中，您將使用 Looker 控制台建立資料庫連線，連線至內部部署的 postgres 資料庫執行個體。

依序前往「管理」→「資料庫」→「連線」→「新增連線」

按照下方螢幕截圖填寫連線詳細資料，然後選取「連結」

連線現已設定

15. 驗證 Looker 連線

在下一個章節中，您將瞭解如何使用 Looker「test」動作和 TCPDUMP，驗證 Looker 與 on-prem-vpc 中 postgres 資料庫的連線情形。

如果工作階段逾時，透過 Cloud Shell 登入 postgres-database。

在 Cloud Shell 中執行下列操作：

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=[YOUR-REGION]
zone=[YOUR-ZONE]
echo $project
echo $region

gcloud compute ssh --zone "$zone" "postgres-database" --project "$project"

在 OS 中建立 TCPDUMP 篩選器，並搭配使用僅限 Proxy 的子網路 10.10.10.0/24

sudo tcpdump -i any net 10.10.10.0/24 -nn

前往「資料連結」頁面：「管理」→「資料庫」→「連結」→「postgres-database」→「測試」

選取「測試」之後，Looker 就會連線至 postgres-database，如下所示：

清除所用資源

從單一 Cloud Shell 終端機刪除研究室元件

gcloud compute service-attachments delete onpremdatabase1-svc-attachment --region=$region -q

gcloud compute forwarding-rules delete producer-hybrid-neg-fr --region=$region -q

gcloud compute target-tcp-proxies delete producer-lb-tcp-proxy --region=$region -q

gcloud compute backend-services delete producer-backend-svc --region=$region -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy looker-psc-demo-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=looker-psc-demo-policy  --name=looker-psc-demo --global-firewall-policy -q

gcloud compute network-firewall-policies delete looker-psc-demo-policy --global -q

gcloud compute routers nats delete on-prem-nat --router=on-prem-cr --router-region=$region -q

gcloud compute network-endpoint-groups delete on-prem-hybrid-neg --zone=$zone -q

gcloud compute addresses delete hybrid-neg-lb-ip --region=$region -q

gcloud compute vpn-tunnels delete looker-psc-demo-tunnel0 looker-psc-demo-tunnel1 on-prem-tunnel0 on-prem-tunnel1 --region=$region -q

gcloud compute vpn-gateways delete looker-psc-demo-vpn-gw on-prem-vpn-gw --region=$region -q

gcloud compute routers delete looker-psc-demo-cr on-prem-cr --region=$region -q

gcloud compute instances delete postgres-database --zone=$zone -q

gcloud compute addresses delete on-prem-database1-ip --region=$region -q

gcloud compute networks subnets delete database-subnet --region=$region -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy on-prem-demo-policy --global-firewall-policy -q

gcloud compute network-firewall-policies rules delete 1000 --firewall-policy on-prem-demo-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=on-prem-demo-policy  --name=on-prem-demo --global-firewall-policy -q

gcloud compute networks subnets delete $region-proxy-only-subnet --region=$region -q

gcloud compute networks subnets delete producer-psc-nat-subnet --region=$region -q

gcloud compute networks subnets delete producer-psc-fr-subnet --region=$region -q

gcloud compute networks delete on-prem-demo -q

gcloud compute networks delete looker-psc-demo -q

16. 恭喜

恭喜！您已成功使用 Private Service Connect 提供的 Looker 資訊主頁，透過高可用性 VPN 設定及驗證內部部署資料庫的連線。

您建立了生產端基礎架構，並學會如何建立可連線至生產端服務的混合型 NEG、生產端服務和 Looker PSC 端點。

Cosmopup 認為程式碼研究室很棒！

後續步驟

查看一些程式碼研究室…

其他參考資料和影片

Private Service Connect 總覽

Looker PSC 南向混合式 NEG 至地端

1. 簡介

課程內容

軟硬體需求

2. 建構項目

3. 網路需求

4. 程式碼研究室拓樸圖

5. 設定和需求

自修環境設定

啟動 Cloud Shell

6. 事前準備

啟用 API

7. 建立供應商虛擬私有雲網路

虛擬私有雲網路

建立子網路

保留負載平衡器的 IP 位址

設定混合式 NEG

建立地區健康狀態檢查

建立網路防火牆政策和防火牆規則

8. 建立生產端服務

建立負載平衡器元件

建立服務附件

9. 在 Looker 中建立 PSC 端點連線

在 Cloud 控制台中驗證 PSC 端點

虛擬私人雲端網路

建立 Postgresql 資料庫子網路

為 on-prem-demo 虛擬私有雲建立 Cloud Router

建立資料庫測試例項

建立網路防火牆政策和防火牆規則

10. 混合式連線

為 looker-psc-demo 建立高可用性 VPN GW

為 on-prem-demo 建立高可用性 VPN GW

驗證高可用性 VPN GW 建立作業

為 Looker-psc-demo 建立 Cloud Router

為 Looker-psc-demo 建立 VPN 通道

建立 VPN 通道

建立 VPN 通道 1

建立地端部署示範的 VPN 通道

建立 VPN 通道

建立 VPN 通道 1

驗證 VPN 通道建立作業

11. 建立相鄰 BGP

為 Looker-psc-demo 建立 BGP 介面和對等互連

為 on-prem-demo 建立 BGP 介面和對等點

透過高可用性 VPN 驗證 looker-psc-demo 學習的路徑

驗證地端部署示範虛擬私有雲透過高可用性 VPN 取得的路徑

12. Looker 建立 Postgres 資料庫

13. 建立 postgres 資料庫

14. 將 Looker 與 Postgres postgres-database 整合

15. 驗證 Looker 連線

16. 恭喜

後續步驟

其他參考資料和影片

參考文件