Looker PSC Southbound HTTPS Internet NEG SMTP

1. Introduzione

NOTA: Looker supporta i producer in uscita in qualsiasi regione. Per l'accesso in direzione nord a Looker, l'endpoint consumer o il backend deve trovarsi nella stessa regione dell'istanza PSC di Looker.

In questo codelab creerai una connessione in uscita al servizio SMTP di Looker utilizzando un bilanciatore del carico proxy TCP interno e un gruppo di endpoint di rete (NEG) internet con il nome di dominio completo notifications-pa.googleapis.com richiamato da Looker PSC come consumatore del servizio.

Private Service Connect è una funzionalità di Google Cloud Networking che consente ai consumer di accedere ai servizi gestiti privatamente dall'interno della propria rete VPC. Allo stesso modo, consente ai producer di servizi gestiti di ospitare questi servizi nelle proprie reti VPC separate e di offrire una connessione privata ai propri consumer. Ad esempio, quando utilizzi Private Service Connect per accedere a Looker, tu sei il consumer di servizi e Google è il producer di servizi, come evidenziato nella Figura 1.

Figura 1.

L'accesso in uscita, noto anche come PSC inverso, consente al consumer di creare un servizio pubblicato come producer per consentire a Looker di accedere agli endpoint on-premise, in un VPC, ai servizi gestiti e a internet. Le connessioni in uscita possono essere implementate in qualsiasi regione, indipendentemente da dove viene implementato Looker PSC, come evidenziato nella Figura 2.

Figura 2.

Cosa imparerai a fare

• Requisiti di rete
• Crea un servizio producer Private Service Connect
• Crea un endpoint Private Service Connect in Looker
• Stabilisci la connettività al servizio SMTP di Looker

Che cosa ti serve

• Progetto Google Cloud con autorizzazioni di proprietario
• Istanza PSC di Looker esistente

2. Cosa creerai

Creerai una rete di producer, looker-psc-demo, per eseguire il deployment del bilanciatore del carico proxy TCP interno e del NEG di internet pubblicato come servizio tramite Private Service Connect (PSC). Una volta pubblicata, esegui le seguenti azioni per convalidare l'accesso al servizio Producer:

• Crea un endpoint PSC in Looker associato al collegamento del servizio producer
• Utilizzare la console Looker per creare impostazioni di posta SMTP

3. Requisiti di rete

Di seguito è riportata la suddivisione dei requisiti di rete per la rete del produttore. Il consumer in questo codelab è l'istanza PSC di Looker.

Componenti	Descrizione
VPC (looker-psc-demo)	VPC in modalità personalizzata
Subnet NAT PSC	I pacchetti provenienti dalla rete VPC consumer vengono convertiti utilizzando il source NAT (SNAT) in modo che i loro indirizzi IP di origine originali vengano convertiti in indirizzi IP di origine dalla subnet NAT nella rete VPC del producer.
Subnet della regola di forwarding PSC	Utilizzato per allocare un indirizzo IP per il bilanciatore del carico del proxy TCP regionale interno
Subnet NEG PSC	Utilizzato per allocare un indirizzo IP per il gruppo di endpoint di rete
Subnet solo proxy	A ognuno dei proxy del bilanciatore del carico viene assegnato un indirizzo IP interno. I pacchetti inviati da un proxy a una VM o a un endpoint di backend hanno un indirizzo IP di origine dalla subnet solo proxy.
NEG Internet	Una risorsa utilizzata per definire un backend esterno per il bilanciatore del carico. L'endpoint non può essere raggiungibile solo tramite Cloud VPN o Cloud Interconnect.
Servizio di backend	Un servizio di backend funge da ponte tra il bilanciatore del carico e le risorse di backend. Nel tutorial, il servizio di backend è associato al NEG internet.
Router Cloud	Cloud NAT si basa sui router Cloud per le funzionalità del control plane, ma non per la gestione delle sessioni BGP.
Cloud NAT	Il NEG internet a livello di regione utilizza Cloud NAT per l'uscita da internet.

4. Topologia del codelab

5. Configurazione e requisiti

Configurazione dell'ambiente autonomo

1. Accedi alla console Google Cloud e crea un nuovo progetto o riutilizzane uno esistente. Se non hai ancora un account Gmail o Google Workspace, devi crearne uno.

• Il nome del progetto è il nome visualizzato per i partecipanti a questo progetto. È una stringa di caratteri non utilizzata dalle API di Google. Puoi sempre aggiornarlo.
• L'ID progetto è univoco in tutti i progetti Google Cloud ed è immutabile (non può essere modificato dopo l'impostazione). La console Cloud genera automaticamente una stringa univoca, di solito non ti interessa di cosa si tratta. Nella maggior parte dei codelab, dovrai fare riferimento all'ID progetto (in genere identificato come PROJECT_ID). Se non ti piace l'ID generato, puoi generarne un altro casuale. In alternativa, puoi provare a crearne uno e vedere se è disponibile. Non può essere modificato dopo questo passaggio e rimane per tutta la durata del progetto.
• Per tua informazione, esiste un terzo valore, un numero di progetto, utilizzato da alcune API. Scopri di più su tutti e tre questi valori nella documentazione.

Attenzione:un ID progetto è univoco a livello globale e non può essere utilizzato da altri dopo che lo hai selezionato. Sei l'unico utente di questo ID. Anche se un progetto viene eliminato, l'ID non può essere riutilizzato

Nota:se utilizzi un account Gmail, puoi lasciare la posizione predefinita impostata su Nessuna organizzazione. Se utilizzi un account Google Workspace, scegli una posizione adatta alla tua organizzazione.

2. Successivamente, devi abilitare la fatturazione in Cloud Console per utilizzare le risorse/API Cloud. Completare questo codelab non costa molto, se non nulla. Per arrestare le risorse ed evitare addebiti oltre a quelli previsti in questo tutorial, puoi eliminare le risorse che hai creato o il progetto. I nuovi utenti di Google Cloud possono usufruire del programma prova senza costi di 300$.

Avvia Cloud Shell

Sebbene Google Cloud possa essere gestito da remoto dal tuo laptop, in questo codelab utilizzerai Google Cloud Shell, un ambiente a riga di comando in esecuzione nel cloud.

Nella console Google Cloud, fai clic sull'icona di Cloud Shell nella barra degli strumenti in alto a destra:

Bastano pochi istanti per eseguire il provisioning e connettersi all'ambiente. Al termine, dovresti vedere un risultato simile a questo:

Questa macchina virtuale è caricata con tutti gli strumenti per sviluppatori di cui avrai bisogno. Offre una home directory permanente da 5 GB e viene eseguita su Google Cloud, migliorando notevolmente le prestazioni e l'autenticazione della rete. Tutto il lavoro in questo codelab può essere svolto all'interno di un browser. Non devi installare nulla.

6. Prima di iniziare

Abilita API

In Cloud Shell, assicurati che l'ID progetto sia configurato:

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=[YOUR-REGION]
echo $project
echo $region

Attiva tutti i servizi necessari:

gcloud services enable compute.googleapis.com

7. Crea rete VPC producer

Rete VPC

In Cloud Shell, esegui le seguenti operazioni:

gcloud compute networks create looker-psc-demo --subnet-mode custom

Crea subnet

La subnet PSC verrà associata al collegamento del servizio PSC ai fini della Network Address Translation.

In Cloud Shell, crea la subnet NAT PSC:

gcloud compute networks subnets create producer-psc-nat-subnet --network looker-psc-demo --range 172.16.10.0/28 --region $region --purpose=PRIVATE_SERVICE_CONNECT

In Cloud Shell, crea la subnet della regola di forwarding del produttore:

gcloud compute networks subnets create producer-psc-fr-subnet --network looker-psc-demo --range 172.16.20.0/28 --region $region --enable-private-ip-google-access

In Cloud Shell, crea la subnet solo proxy regionale del produttore:

gcloud compute networks subnets create $region-proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=$region \
  --network=looker-psc-demo \
  --range=10.10.10.0/24

Crea il gateway Public NAT

Il gateway NAT viene utilizzato dal bilanciatore del carico del proxy TCP interno regionale per il traffico internet in uscita con l'opzione di configurazione --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB, pertanto lo stesso gateway NAT non supporterà il traffico internet in uscita GCE/GKE. Esegui il deployment di un gateway NAT aggiuntivo con –endpoint-types=ENDPOINT_TYPE_VM per l'uscita da internet di GCE/GKE.

In Cloud Shell, crea il router Cloud:

gcloud compute routers create looker-psc-demo-cloud-router --network looker-psc-demo --region $region

In Cloud Shell, crea il gateway Cloud NAT che abilita l'uscita da internet per il bilanciatore del carico proxy TCP:

gcloud compute routers nats create looker-psc-demo-natgw \
  --router=looker-psc-demo-cloud-router \
  --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \
  --nat-custom-subnet-ip-ranges=$region-proxy-only-subnet \
  --auto-allocate-nat-external-ips \
  --region=$region

Prenota l'indirizzo IP del bilanciatore del carico

In Cloud Shell, prenota un indirizzo IP interno per il bilanciatore del carico:

gcloud compute addresses create internet-neg-lb-ip \
  --region=$region \
  --subnet=producer-psc-fr-subnet

In Cloud Shell, visualizza l'indirizzo IP riservato.

gcloud compute addresses describe internet-neg-lb-ip \
  --region=$region | grep -i address:

Output di esempio:

user@cloudshell$ gcloud compute addresses describe internet-neg-lb-ip   --region=$region | grep -i address:
address: 172.16.20.2

Configura il NEG internet

Crea un NEG internet e imposta –network-endpoint-type su internet-fqdn-port (il nome host e la porta su cui è raggiungibile il backend esterno).

In Cloud Shell, crea un NEG internet utilizzato per github.com

gcloud compute network-endpoint-groups create smtp-internet-neg \
    --network-endpoint-type=INTERNET_FQDN_PORT \
    --network=looker-psc-demo \
    --region=$region

NOTA: fqdn=notifications-pa.googleapis.com,port=443 è necessario per comunicare con il servizio SMTP di Looker

In Cloud Shell, aggiorna il NEG internet smtp-internet-neg con l'FQDN notifications-pa.googleapis.com e la porta 443

gcloud compute network-endpoint-groups update smtp-internet-neg \
    --add-endpoint="fqdn=notifications-pa.googleapis.com,port=443" \
    --region=$region

Crea policy firewall di rete e regole firewall

In Cloud Shell, esegui le seguenti operazioni:

gcloud compute network-firewall-policies create looker-psc-demo-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy looker-psc-demo-policy --network looker-psc-demo --name looker-psc-demo --global-firewall-policy

La seguente regola firewall consente il traffico dall'intervallo di subnet NAT PSC a tutte le istanze della rete.

In Cloud Shell, esegui le seguenti operazioni:

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy looker-psc-demo-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges 172.16.10.0/28 --global-firewall-policy --layer4-configs=tcp

8. Crea servizio producer

Crea i componenti del bilanciatore del carico

In Cloud Shell, esegui le seguenti operazioni:

gcloud compute backend-services create producer-backend-svc  --protocol=tcp --region=$region --load-balancing-scheme=INTERNAL_MANAGED

gcloud compute backend-services add-backend producer-backend-svc --network-endpoint-group=smtp-internet-neg --network-endpoint-group-region=$region --region=$region

In Cloud Shell, crea un proxy TCP di destinazione per instradare le richieste al servizio di backend:

gcloud compute target-tcp-proxies create producer-lb-tcp-proxy \
      --backend-service=producer-backend-svc  \
      --region=$region

Nella sintassi seguente, crea una regola di forwarding (bilanciatore del carico proxy TCP interno).

In Cloud Shell, esegui le seguenti operazioni:

gcloud compute forwarding-rules create producer-smtp-fr \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network-tier=PREMIUM \
     --network=looker-psc-demo \
     --subnet=producer-psc-fr-subnet \
     --address=internet-neg-lb-ip \
     --target-tcp-proxy=producer-lb-tcp-proxy \
     --target-tcp-proxy-region=$region \
     --region=$region \
     --ports=443

Crea collegamento al servizio

In Cloud Shell, crea il collegamento al servizio smtp-svc-attachment:

gcloud compute service-attachments create smtp-svc-attachment --region=$region --producer-forwarding-rule=producer-smtp-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=producer-psc-nat-subnet

Successivamente, ottieni e annota l'allegato di servizio elencato nell'URI selfLink che inizia con projects per configurare l'endpoint PSC in Looker.

selfLink: projects/<your-project-id>/regions/<your-region>/serviceAttachments/github-svc-attachment-https

In Cloud Shell, esegui le seguenti operazioni:

gcloud compute service-attachments describe smtp-svc-attachment --region=$region

Esempio:

connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-10-04T14:56:50.409-07:00'
description: ''
enableProxyProtocol: false
fingerprint: KUPXTZjrGkw=
id: '8947818105173563981'
kind: compute#serviceAttachment
name: smtp-svc-attachment
natSubnets:
- https://www.googleapis.com/compute/v1/projects/$project/regions/$region/subnetworks/producer-psc-nat-subnet
pscServiceAttachmentId:
  high: '23100082169578472'
  low: '8947818105173563981'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/$project/regions/$region
selfLink: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/serviceAttachments/smtp-svc-attachment
targetService: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/forwardingRules/producer-smtp-fr

In Cloud Console, vai a:

Servizi di rete → Private Service Connect → Servizi pubblicati

9. Stabilisci una connessione dell'endpoint PSC in Looker

Nella sezione seguente, assocerai il collegamento al servizio dei producer a PSC di Looker Core utilizzando i flag --psc-service-attachment in Cloud Shell per un singolo dominio.

NOTA: ogni volta che esegui un comando di aggiornamento con i flag –psc-service-attachment, devi includere ogni connessione che vuoi attivare, incluse quelle già attivate in precedenza. Consulta la documentazione di Looker PSC per un esempio.

NOTA: il flag domain=notifications-pa.googleapis.com è necessario per stabilire la connessione SMTP

NOTA: prima di procedere, devi attivare l'istanza PSC di Looker .

In Cloud Shell, crea l'associazione PSC aggiornando i seguenti parametri in modo che corrispondano al tuo ambiente:

• INSTANCE_NAME: il nome dell'istanza di Looker (Google Cloud core).
• DOMAIN_1: notifications-pa.googleapis.com
• SERVICE_ATTACHMENT_1: URI acquisito durante la descrizione del collegamento al servizio, smtp-svc-attachment
• REGIONE: la regione in cui è ospitata l'istanza di Looker (Google Cloud core).

In Cloud Shell, esegui le seguenti operazioni:

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--region=REGION

Esempio:

gcloud looker instances update looker-psc-instance \
--psc-service-attachment  domain=notifications-pa.googleapis.com,attachment=projects/$project/regions/$region/serviceAttachments/smtp-svc-attachment \
--region=$region

In Cloud Shell, verifica che serviceAttachments.connectionStatus sia "ACCEPTED", aggiorna con il tuo INSTANCE_NAME PSC di Looker

gcloud looker instances describe [INSTANCE_NAME] --region=$region --format=json

Esempio:

gcloud looker instances describe looker-psc-instance --region=$region --format=json

Esempio:

{
...........................
    "serviceAttachments": [
      {
        "connectionStatus": "ACCEPTED",
        "localFqdn": "notifications-pa.googleapis.com",
        "targetServiceAttachmentUri": "projects/$project/regions/$region/serviceAttachments/smtp-svc-attachment"
      }
    ]
  },
  "pscEnabled": true,
  "state": "ACTIVE",
  "updateTime": "2024-10-04T22:02:31.445761128Z"
}

Convalida l'endpoint PSC in Cloud Console

Dalla console Cloud puoi convalidare la connessione PSC

In Cloud Console, vai a:

Looker → Istanza Looker → Dettagli

10. Testare la connettività SMTP

Nei passaggi successivi, utilizzerai la console Looker per convalidare la connettività SMTP generando un test e un report SMTP.

Email di test

Looker invia email utilizzando il server SMTP predefinito notifications-pa.googleapis.com. In questo caso non sono necessari passaggi aggiuntivi. Se vuoi utilizzare un server SMTP diverso per le notifiche, consulta la sezione Configurazione SMTP personalizzata.

Apri la console di Looker e vai a:

Amministratore → Piattaforma → SMTP → Seleziona Invia email di test

Di seguito è riportata l'email di test ottenuta da Looker:

Email con il report generato

Vai a:

Esplora → Attività di sistema → Utilizzo API → Tipo di query API → Esegui

Output di esempio:

Per inviare i risultati alla tua email, seleziona l'icona a forma di ingranaggio.

Seleziona Invia, che apre una nuova finestra.

Inserisci il tuo indirizzo email e seleziona Invia.

Di seguito è riportata l'email di test ottenuta da Looker:

11. Configurazione SMTP personalizzata

In questo tutorial, il server SMTP di Looker viene utilizzato per inviare notifiche email tramite il nome di dominio completo notifications-pa.googleapis.com e Cloud NAT che esegue l'uscita da internet. Per utilizzare il tuo server SMTP, crea un nuovo collegamento al servizio con le seguenti modifiche:

Aggiorna il NEG internet con l'FQDN del server SMTP:

gcloud compute network-endpoint-groups update smtp-internet-neg \
    --add-endpoint="fqdn=<your SMTP FQDN>,port=443" \
    --region=$region

Specifica il dominio SMTP quando aggiorni l'istanza PSC di Looker:

• INSTANCE_NAME: il nome dell'istanza di Looker (Google Cloud core).
• DOMAIN_1: <nome di dominio completo del server SMTP>
• SERVICE_ATTACHMENT_1: URI acquisito durante la descrizione del collegamento al servizio, smtp-svc-attachment
• REGIONE: la regione in cui è ospitata l'istanza di Looker (Google Cloud core).

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--region=REGION

Per utilizzare un altro servizio email, seleziona Utilizza impostazioni di posta personalizzate.

12. Esegui la pulizia

Elimina i componenti del lab da un singolo terminale Cloud Shell

gcloud compute service-attachments delete smtp-svc-attachment --region=$region -q

gcloud compute forwarding-rules delete producer-smtp-fr --region=$region -q

gcloud compute target-tcp-proxies delete producer-lb-tcp-proxy --region=$region -q

gcloud compute backend-services delete producer-backend-svc --region=$region -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy looker-psc-demo-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=looker-psc-demo-policy  --name=looker-psc-demo --global-firewall-policy -q

gcloud compute network-firewall-policies delete looker-psc-demo-policy --global -q

gcloud compute routers nats delete looker-psc-demo-natgw --router=looker-psc-demo-cloud-router --router-region=$region -q

gcloud compute routers delete looker-psc-demo-cloud-router --region=$region -q

gcloud compute network-endpoint-groups delete smtp-internet-neg --region=$region -q

gcloud compute addresses delete internet-neg-lb-ip --region=$region -q

gcloud compute networks subnets delete producer-psc-fr-subnet producer-psc-nat-subnet $region-proxy-only-subnet --region=$region -q

gcloud compute networks delete looker-psc-demo -q

13. Complimenti

Congratulazioni, hai configurato e convalidato correttamente la connettività al servizio SMTP di Looker utilizzando la console Looker basata su Private Service Connect.

Hai creato l'infrastruttura del producer, hai imparato a creare un NEG internet, un servizio producer e un endpoint PSC di Looker che consentiva la connettività al servizio producer.

Cosmopup pensa che i codelab siano fantastici.

Passaggi successivi

Dai un'occhiata ad alcuni di questi codelab...

• Utilizzo di Private Service Connect per pubblicare e utilizzare servizi
• Connettiti ai servizi on-premise tramite Hybrid Networking utilizzando Private Service Connect e un bilanciatore del carico proxy TCP interno
• Accesso a tutti i codelab di Private Service Connect pubblicati

Ulteriori letture e video

• Panoramica di Private Service Connect

Documentazione di riferimento

• Configura un bilanciatore del carico di rete proxy interno regionale con un backend esterno
• Panoramica di Cloud NAT
• Crea un'istanza Private Service Connect di Looker (Google Cloud core)
• Come pubblicare un servizio utilizzando Private Service Connect
• Impostazioni di amministrazione - SMTP | Looker | Google Cloud