Looker PSC 南向 HTTPS 互联网 NEG SMTP

1. 简介

在此 Codelab 中，您将使用内部 TCP 代理负载均衡器和互联网网络端点组 (NEG) 创建与 Looker SMTP 服务的南向连接，并将从 Looker PSC 调用的 FQDN notifications-pa.googleapis.com 用作服务使用方。

Private Service Connect 是 Google Cloud 网络的一项功能，允许使用方从其 VPC 网络内部以私密方式访问托管式服务。同样，它允许托管式服务提供方在他们自己的独立 VPC 网络中托管这些服务，并与其使用方提供专用连接。例如，当您使用 Private Service Connect 访问 Looker 时，您是服务使用方，而 Google 是服务提供方，如图 1 所示。

图 1.

145ea4672c3a3b14

南向访问（也称为反向 PSC）可让使用方以提供方的身份创建已发布服务，以允许 Looker 访问 VPC 中的本地端点、托管式服务和互联网。无论 Looker PSC 部署在何处，南向连接都可以部署在任何区域，如图 2 所示。

图 2.

259493afd914f68b

学习内容

  • 网络要求
  • 创建 Private Service Connect 提供方服务
  • 在 Looker 中创建 Private Service Connect 端点
  • 建立与 Looker SMTP 服务的连接

所需条件

def88091b42bfe4d.png

2. 您将构建的内容

您将建立提供方网络 looker-psc-demo，以部署通过 Private Service Connect (PSC) 作为服务发布的内部 TCP 代理负载平衡器和互联网 NEG。发布后，您需要执行以下操作来验证对 Producer Service 的访问权限：

  • 在 Looker 中创建与提供方服务连接关联的 PSC 端点
  • 使用 Looker 控制台创建 SMTP 邮件设置

3. 网络要求

下面详细介绍了提供方网络的网络要求，此 Codelab 中的使用方是 Looker PSC 实例。

组件

说明

VPC (looker-psc-demo)

自定义模式 VPC

PSC NAT 子网

系统使用来源 NAT (SNAT) 转换来自使用方 VPC 网络的数据包，将其原始来源 IP 地址转换为来源 IP 地址来自提供方 VPC 网络的 NAT 子网。

PSC 转发规则子网

用于为区域级内部 TCP 代理负载均衡器分配 IP 地址

PSC NEG 子网

用于为网络端点组分配 IP 地址

代理专用子网

负载均衡器的每个代理都分配有一个内部 IP 地址。从代理发送到后端虚拟机或端点的数据包具有来自代理专用子网的来源 IP 地址。

互联网 NEG

用于为负载均衡器定义外部后端的资源。端点不能仅通过 Cloud VPN 或 Cloud Interconnect 进行访问。

后端服务

后端服务充当您的负载平衡器与后端资源之间的桥梁。在本教程中，后端服务与互联网 NEG 相关联。

Cloud Router

Cloud NAT 依靠 Cloud Router 实现控制平面功能，但不依赖 BGP 会话管理。

Cloud NAT

区域级互联网 NEG 利用 Cloud NAT 进行互联网出站流量传输。

4. Codelab 拓扑

a4eb7693cbdbdfd4.png

5. 设置和要求

自定进度的环境设置

  1. 登录 Google Cloud 控制台，然后创建一个新项目或重复使用现有项目。如果您还没有 Gmail 或 Google Workspace 账号，则必须创建一个。

fbef9caa1602edd0.png

a99b7ace416376c4.png

5e3ff691252acf41.png

  • 项目名称是此项目参与者的显示名称。它是 Google API 尚未使用的字符串。您可以随时对其进行更新。
  • 项目 ID 在所有 Google Cloud 项目中是唯一的，并且是不可变的（一经设置便无法更改）。Cloud 控制台会自动生成一个唯一字符串；通常情况下，您无需关注该字符串。在大多数 Codelab 中，您都需要引用项目 ID（通常用 PROJECT_ID 标识）。如果您不喜欢生成的 ID，可以再随机生成一个 ID。或者，您也可以尝试自己的项目 ID，看看是否可用。完成此步骤后便无法更改该 ID，并且此 ID 在项目期间会一直保留。
  • 此外，还有第三个值，即部分 API 使用的项目编号，供您参考。如需详细了解所有这三个值，请参阅文档。
  1. 接下来，您需要在 Cloud 控制台中启用结算功能，以便使用 Cloud 资源/API。运行此 Codelab 应该不会产生太多的费用（如果有的话）。若要关闭资源以避免产生超出本教程范围的结算费用，您可以删除自己创建的资源或删除项目。Google Cloud 新用户符合参与 300 美元免费试用计划的条件。

启动 Cloud Shell

虽然可以通过笔记本电脑对 Google Cloud 进行远程操作，但在此 Codelab 中，您将使用 Google Cloud Shell，这是一个在云端运行的命令行环境。

在 Google Cloud 控制台 中，点击右上角工具栏中的 Cloud Shell 图标：

55efc1aaa7a4d3ad.png

预配和连接到环境应该只需要片刻时间。完成后，您应该会看到如下内容：

7ffe5cbb04455448.png

这个虚拟机已加载了您需要的所有开发工具。它提供了一个持久的 5 GB 主目录，并且在 Google Cloud 中运行，大大增强了网络性能和身份验证功能。您在此 Codelab 中的所有工作都可以在浏览器中完成。您无需安装任何程序。

6. 准备工作

启用 API

在 Cloud Shell 中，确保已设置项目 ID：

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=[YOUR-REGION]
echo $project
echo $region

启用所有必要的服务：

gcloud services enable compute.googleapis.com

7. 创建提供方 VPC 网络

VPC 网络

在 Cloud Shell 中，执行以下操作：

gcloud compute networks create looker-psc-demo --subnet-mode custom

创建子网

PSC 子网将与 PSC 服务连接相关联，以实现网络地址转换。

在 Cloud Shell 中，创建 PSC NAT 子网：

gcloud compute networks subnets create producer-psc-nat-subnet --network looker-psc-demo --range 172.16.10.0/28 --region $region --purpose=PRIVATE_SERVICE_CONNECT

在 Cloud Shell 中，创建提供方转发规则子网：

gcloud compute networks subnets create producer-psc-fr-subnet --network looker-psc-demo --range 172.16.20.0/28 --region $region --enable-private-ip-google-access

在 Cloud Shell 中，创建提供方区域级代理专用子网：

gcloud compute networks subnets create $region-proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=$region \
  --network=looker-psc-demo \
  --range=10.10.10.0/24

创建 Public NAT 网关

NAT 网关由区域级内部 TCP 代理负载平衡器通过配置选项“-endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB”用于互联网出站流量，因此同一 NATGW 不支持 GCE/GKE 互联网出站流量。为 GCE/GKE 互联网出站流量部署一个额外的 NAT GW，并使用 –endpoint-types=ENDPOINT_TYPE_VM 作为虚拟机。

在 Cloud Shell 中，创建 Cloud Router 路由器：

gcloud compute routers create looker-psc-demo-cloud-router --network looker-psc-demo --region $region

在 Cloud Shell 中，创建 Cloud NAT 网关，以便为 tcp 代理负载平衡器启用互联网出站流量：

gcloud compute routers nats create looker-psc-demo-natgw \
  --router=looker-psc-demo-cloud-router \
  --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \
  --nat-custom-subnet-ip-ranges=$region-proxy-only-subnet \
  --auto-allocate-nat-external-ips \
  --region=$region

预留负载均衡器的 IP 地址

在 Cloud Shell 中，为负载平衡器预留一个内部 IP 地址：

gcloud compute addresses create internet-neg-lb-ip \
  --region=$region \
  --subnet=producer-psc-fr-subnet

在 Cloud Shell 中，查看预留的 IP 地址。

gcloud compute addresses describe internet-neg-lb-ip \
  --region=$region | grep -i address:

输出示例：

user@cloudshell$ gcloud compute addresses describe internet-neg-lb-ip   --region=$region | grep -i address:
address: 172.16.20.2

设置互联网 NEG

创建一个互联网 NEG，并将 –network-endpoint-type 设置为 internet-fqdn-port（可通过其访问外部后端的主机名和端口）。

在 Cloud Shell 中，创建用于 github.com 的互联网 NEG

gcloud compute network-endpoint-groups create smtp-internet-neg \
    --network-endpoint-type=INTERNET_FQDN_PORT \
    --network=looker-psc-demo \
    --region=$region

在 Cloud Shell 内，使用 FQDN notifications-pa.googleapis.com 和端口 443 更新互联网 NEG smtp-internet-neg

gcloud compute network-endpoint-groups update smtp-internet-neg \
    --add-endpoint="fqdn=notifications-pa.googleapis.com,port=443" \
    --region=$region

创建网络防火墙政策和防火墙规则

在 Cloud Shell 中，执行以下操作：

gcloud compute network-firewall-policies create looker-psc-demo-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy looker-psc-demo-policy --network looker-psc-demo --name looker-psc-demo --global-firewall-policy

以下防火墙规则允许从 PSC NAT 子网范围到网络中的所有实例的流量通过。

在 Cloud Shell 中，执行以下操作：

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy looker-psc-demo-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges 172.16.10.0/28 --global-firewall-policy --layer4-configs=tcp

8. 创建提供方服务

创建负载均衡器组件

在 Cloud Shell 中，执行以下操作：

gcloud compute backend-services create producer-backend-svc  --protocol=tcp --region=$region --load-balancing-scheme=INTERNAL_MANAGED

gcloud compute backend-services add-backend producer-backend-svc --network-endpoint-group=smtp-internet-neg --network-endpoint-group-region=$region --region=$region

在 Cloud Shell 中，创建目标 TCP 代理以将请求路由到后端服务：

gcloud compute target-tcp-proxies create producer-lb-tcp-proxy \
      --backend-service=producer-backend-svc  \
      --region=$region

使用以下语法创建转发规则（内部 TCP 代理负载均衡器）。

在 Cloud Shell 中，执行以下操作：

gcloud compute forwarding-rules create producer-smtp-fr \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network-tier=PREMIUM \
     --network=looker-psc-demo \
     --subnet=producer-psc-fr-subnet \
     --address=internet-neg-lb-ip \
     --target-tcp-proxy=producer-lb-tcp-proxy \
     --target-tcp-proxy-region=$region \
     --region=$region \
     --ports=443

创建服务连接

在 Cloud Shell 中，创建服务附件 smtp-svc-attachment：

gcloud compute service-attachments create smtp-svc-attachment --region=$region --producer-forwarding-rule=producer-smtp-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=producer-psc-nat-subnet

接下来，获取并记下 selfLink URI 中列出的服务连接，从项目开始，用于在 Looker 中配置 PSC 端点。

selfLink：projects/<您的项目 ID>/regions/<您的区域>/serviceAttachments/github-svc-attachment-https

在 Cloud Shell 中，执行以下操作：

gcloud compute service-attachments describe smtp-svc-attachment --region=$region

示例：

connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-10-04T14:56:50.409-07:00'
description: ''
enableProxyProtocol: false
fingerprint: KUPXTZjrGkw=
id: '8947818105173563981'
kind: compute#serviceAttachment
name: smtp-svc-attachment
natSubnets:
- https://www.googleapis.com/compute/v1/projects/$project/regions/$region/subnetworks/producer-psc-nat-subnet
pscServiceAttachmentId:
  high: '23100082169578472'
  low: '8947818105173563981'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/$project/regions/$region
selfLink: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/serviceAttachments/smtp-svc-attachment
targetService: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/forwardingRules/producer-smtp-fr

在 Cloud 控制台中，前往：

网络服务 → Private Service Connect → 已发布的服务

b847b5ee22e3582e.png

b9a7d46c8dea4476.png

9. 在 Looker 中建立 PSC 端点连接

在下一部分中，您将通过在 Cloud Shell 中针对单个网域使用“-psc-service-attachment”标志，将提供方服务连接与 Looker Core PSC 相关联。

在 Cloud Shell 中，更新以下参数以与您的环境相匹配，从而创建 psc 关联：

  • INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
  • DOMAIN_1：notification-pa.googleapis.com
  • SERVICE_ATTACHMENT_1：描述服务连接时捕获的 URI，即 smtp-svc-attachment
  • REGION：Looker (Google Cloud Core) 实例的托管区域。

在 Cloud Shell 中，执行以下操作：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--region=REGION

示例：

gcloud looker instances update looker-psc-instance \
--psc-service-attachment  domain=notifications-pa.googleapis.com,attachment=projects/$project/regions/$region/serviceAttachments/smtp-svc-attachment \
--region=$region

在 Cloud Shell 中，验证 serviceAttachments 连接状态为“ACCEPTED”，使用您的 Looker PSC INSTANCE_NAME 进行更新

gcloud looker instances describe [INSTANCE_NAME] --region=$region --format=json

示例：

gcloud looker instances describe looker-psc-instance --region=$region --format=json

示例：

{
...........................
    "serviceAttachments": [
      {
        "connectionStatus": "ACCEPTED",
        "localFqdn": "notifications-pa.googleapis.com",
        "targetServiceAttachmentUri": "projects/$project/regions/$region/serviceAttachments/smtp-svc-attachment"
      }
    ]
  },
  "pscEnabled": true,
  "state": "ACTIVE",
  "updateTime": "2024-10-04T22:02:31.445761128Z"
}

在 Cloud 控制台中验证 PSC 端点

在 Cloud 控制台中，您可以验证 PSC 连接

在 Cloud 控制台中，前往：

Looker → Looker 实例 → 详细信息

2d4684d722d31e4b.png

a7593db722f86642.png

10. 测试 SMTP 连接

在以下步骤中，您将使用 Looker 控制台生成 SMTP 测试和报告，以验证 SMTP 连接。

测试电子邮件

Looker 使用默认的 SMTP 服务器 notifications-pa.googleapis.com 发送电子邮件。在这种情况下，无需执行任何其他步骤。如果您想使用其他 SMTP 服务器发送通知，请参阅“自定义 SMTP 配置”部分。

打开 Looker 控制台，然后前往以下位置：

管理 → 平台 → SMTP → 选择“发送测试电子邮件”

aacb31e399cec9b7.png

以下是从 Looker 获取的测试电子邮件：

ff75669fb6993d58.png

生成的报告电子邮件

前往以下位置：

探索 → 系统活动 → API 使用情况 → API 查询类型 → 运行

788f6d6d08f5f055.png

输出示例：

cebecdf5f2e968d1.png

如需将结果发送至您的电子邮件地址，请选择齿轮图标

c6ddb0b234b58ed4.png

选择“发送”，打开新窗口。

15b45c5c1bc1b09b

插入您的电子邮件地址，然后选择“发送”

86970bb94247ed62

以下是从 Looker 获取的测试电子邮件：

c925c8917f8078b3.png

11. 自定义 SMTP 配置

在本教程中，Looker SMTP 服务器用于通过 FQDN notifications-pa.googleapis.com 发送电子邮件通知，并通过 Cloud NAT 执行互联网出站流量。如需使用您自己的 SMTP 服务器，请创建新的服务附件，并进行以下修改：

使用 SMTP 服务器 FQDN 更新互联网 NEG：

gcloud compute network-endpoint-groups update smtp-internet-neg \
    --add-endpoint="fqdn=<your SMTP FQDN>,port=443" \
    --region=$region

更新 Looker PSC 实例时，请指定您的 SMTP 网域：

  • INSTANCE_NAME：Looker (Google Cloud Core) 实例的名称。
  • DOMAIN_1: <您的 SMTP 服务器 FQDN>
  • SERVICE_ATTACHMENT_1：描述服务连接时捕获的 URI，即 smtp-svc-attachment
  • REGION：托管您的 Looker (Google Cloud Core) 实例的区域。
gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--region=REGION

要使用其他电子邮件服务，请选择使用自定义邮件设置。

a3fe7a0b66c80402.png

12. 清理

从单个 Cloud Shell 终端删除实验组件

gcloud compute service-attachments delete smtp-svc-attachment --region=$region -q

gcloud compute forwarding-rules delete producer-smtp-fr --region=$region -q

gcloud compute target-tcp-proxies delete producer-lb-tcp-proxy --region=$region -q

gcloud compute backend-services delete producer-backend-svc --region=$region -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy looker-psc-demo-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=looker-psc-demo-policy  --name=looker-psc-demo --global-firewall-policy -q

gcloud compute network-firewall-policies delete looker-psc-demo-policy --global -q

gcloud compute routers nats delete looker-psc-demo-natgw --router=looker-psc-demo-cloud-router --router-region=$region -q

gcloud compute routers delete looker-psc-demo-cloud-router --region=$region -q

gcloud compute network-endpoint-groups delete smtp-internet-neg --region=$region -q

gcloud compute addresses delete internet-neg-lb-ip --region=$region -q

gcloud compute networks subnets delete producer-psc-fr-subnet producer-psc-nat-subnet $region-proxy-only-subnet --region=$region -q

gcloud compute networks delete looker-psc-demo -q

13. 恭喜

恭喜，您已成功使用由 Private Service Connect 支持的 Looker 控制台配置并验证了与 Looker SMTP 服务的连接。

您已创建提供方基础架构，并了解了如何创建允许连接到提供方服务的互联网 NEG、提供方服务和 Looker PSC 端点。

Cosmopup 认为 Codelab 很棒！！

c911c127bffdee57.jpeg

后续操作

查看下列 Codelab…

补充阅读材料和视频

参考文档