Lab: Da sito NCC a cloud con appliance SD-WAN

1. Introduzione

Panoramica

In questo lab esplorerai alcune delle funzionalità di Network Connectivity Center.

Network Connectivity Center (NCC) è un modello di control plane hub and spoke per la gestione della connettività di rete in Google Cloud. La risorsa hub fornisce un modello di gestione della connettività centralizzato per connettere gli spoke. Al momento NCC supporta le seguenti risorse di rete come spoke:

• Collegamenti VLAN
• Appliance router
• VPN ad alta disponibilità

I codelab richiedono l'utilizzo della soluzione SaaS SD-WAN flexiWAN che semplifica l'implementazione e la gestione della WAN.

Cosa creerai

In questo codelab creerai una topologia SD-WAN hub e spoke per simulare siti di succursali remoti che attraverseranno la rete backbone di Google per la comunicazione da sito a cloud.

1. Verrà eseguito il deployment di una coppia di VM GCE configurate per l'agente SD-WAN flexiWAN nel VPC hub che rappresenta gli headend per il traffico in entrata e in uscita verso GCP.
2. Esegui il deployment di due router SD-WAN flexiWAN remoti per rappresentare due VPC di siti succursali diversi
3. Per il test del percorso dei dati, configurerai tre VM GCE per simulare client on-premise e server ospitati su Google Cloud.

Cosa imparerai a fare

• Utilizzo di NCC per interconnettere filiali remote utilizzando una soluzione SD-WAN open source
• Esperienza pratica con una soluzione WAN definita dal software open source

Che cosa ti serve

• Conoscenza della rete VPC di GCP
• Conoscenza del router Cloud e del routing BGP

2. Obiettivi

• Configura l'ambiente GCP
• Esegui il deployment delle istanze flexiWAN Edge in GCP
• Stabilisci un hub NCC e un'NVA flexiWAN Edge come spoke
• Configurare e gestire le istanze flexiWAN utilizzando flexiManage
• Configura lo scambio di route BGP tra vpc-app-svcs e l'NVA flexiWAN
• Crea un sito remoto che simula una filiale remota del cliente o un data center
• Stabilisci un tunnel IPsec tra il sito remoto e la NVA
• Verifica che gli appliance siano stati implementati correttamente
• Convalida del trasferimento dei dati dal sito al cloud
• Libera spazio dalle risorse utilizzate

Questo tutorial richiede la creazione di un account flexiManage senza costi per autenticare, eseguire l'onboarding e gestire le istanze flexiEdge.

Prima di iniziare

Utilizzo della console Google Cloud e di Cloud Shell

Per interagire con GCP, utilizzeremo sia la console Google Cloud che Cloud Shell durante questo lab.

Google Cloud Console

Puoi accedere alla console Cloud all'indirizzo https://console.cloud.google.com.

Configura i seguenti elementi in Google Cloud per semplificare la configurazione di Network Connectivity Center:

Nella console Google Cloud, nella pagina di selezione del progetto, seleziona o crea un progetto Google Cloud.

Nota: se non prevedi di conservare le risorse che crei in questa procedura, crea un progetto invece di selezionarne uno già esistente. Una volta completata questa procedura, puoi eliminare il progetto e tutte le relative risorse.

Avvia Cloud Shell. Questo codelab utilizza le variabili $per facilitare l'implementazione della configurazione di gcloud in Cloud Shell.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Ruoli IAM

NCC richiede ruoli IAM per accedere ad API specifiche. Assicurati di configurare l'utente con i ruoli IAM NCC in base alle esigenze.

Nome ruolo	Descrizione	Autorizzazioni
networkconnectivity.networkAdmin	Consente agli amministratori di rete di gestire hub e spoke.	networkconnectivity.hubs.networkconnectivity.spokes.
networkconnectivity.networkSpokeManager	Consente di aggiungere e gestire gli spoke in un hub. Da utilizzare nel VPC condiviso in cui il progetto host è proprietario dell'hub, ma altri amministratori di altri progetti possono aggiungere spoke per i relativi allegati all'hub.	networkconnectivity.spokes.**
networkconnectivity.networkUsernetworkconnectivity.networkViewer	Consente agli utenti della rete di visualizzare diversi attributi dell'hub e degli spoke.	networkconnectivity.hubs.getnetworkconnectivity.hubs.listnetworkconnectivity.spokes.getnetworkconnectivity.spokes.listnetworkconnectivity.spokes.aggregatedList

3. Configurare l'ambiente di lab di rete

Panoramica

In questa sezione, eseguiremo il deployment delle reti VPC e delle regole firewall.

Simula le reti dei siti filiali on-prem

Questa rete VPC contiene subnet per le istanze VM on-premise.

Crea le reti e le subnet del sito on-premise:

gcloud compute networks create site1-vpc \
--subnet-mode custom

gcloud compute networks create s1-inside-vpc \
--subnet-mode custom

gcloud compute networks subnets create site1-subnet \
--network site1-vpc \
--range 10.10.0.0/24 \
--region us-central1

gcloud compute networks subnets create s1-inside-subnet \
--network s1-inside-vpc \
--range 10.10.1.0/24 \
--region us-central1

Crea regole firewall site1-vpc per consentire:

• SSH, interno, IAP
• ESP, UDP/500, UDP/4500
• Intervallo 10.0.0.0/8
• Intervallo 192.168.0.0/16

gcloud compute firewall-rules create site1-ssh \--network site1-vpc \
--allow tcp:22

gcloud compute firewall-rules create site1-internal \
--network site1-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create site1-cloud \
--network site1-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create site1-vpn \
--network site1-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create site1-iap \
--network site1-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Crea regole firewall s1-inside-vpc per consentire:

• SSH, interno, IAP
• Intervallo 10.0.0.0/8
• Intervallo 192.168.0.0/16

gcloud compute firewall-rules create s1-inside-ssh \
--network s1-inside-vpc \
--allow tcp:22

gcloud compute firewall-rules create s1-inside-internal \
--network s1-inside-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create s1-inside-cloud \
--network s1-inside-vpc  \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create s1-inside-iap \
--network site2-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

A scopo di test, crea le istanze s1-inside-vm e s2-inside-vm.

gcloud compute instances create s1-vm \
--zone=us-central1-a \
--machine-type=e2-micro \
--network-interface subnet=s1-inside-subnet,private-network-ip=10.10.1.3,no-address

Simulare l'ambiente di rete cloud GCP

Per abilitare il traffico cross-region da sito a sito tramite la rete hub-vpc e gli spoke, devi abilitare il routing globale nella rete hub-vpc. Scopri di più sullo scambio di route di NCC.

1. Crea la rete hub-vpc e le subnet:

gcloud compute networks create hub-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create hub-subnet1 \
--network hub-vpc \
--range 10.1.0.0/24 \
--region us-central1

gcloud compute networks subnets create hub-subnet2 \
--network hub-vpc \
--range 10.2.0.0/24 \
--region us-east4

2. Crea la rete workload-vpc e le subnet:

gcloud compute networks create workload-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create workload-subnet1 \
--network workload-vpc \
--range 192.168.235.0/24 \
--region us-central1

3. Crea regole firewall Hub-VPC per consentire:

• SSH
• ESP, UDP/500, UDP/4500
• intervallo interno 10.0.0.0/8 (che copre la porta TCP 179 richiesta per la sessione BGP dal router Cloud all'appliance router)

gcloud compute firewall-rules create hub-ssh \
--network hub-vpc \
--allow tcp:22

gcloud compute firewall-rules create hub-vpn \
--network hub-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create hub-internal \
--network hub-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create hub-iap \
--network hub-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

4. Crea regole firewall VPC del workload per consentire:

• SSH
• intervallo interno 192.168.0.0/16 (che copre la porta TCP 179 richiesta per la sessione BGP dal router Cloud all'appliance router)

gcloud compute firewall-rules create workload-ssh \
--network workload-vpc \
--allow tcp:22

gcloud compute firewall-rules create workload-internal \
--network workload-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create workload-onprem \
--network hub-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create workload-iap \
--network workload-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

5. Abilita Cloud NAT nel VPC del workload per consentire a workload1-vm di scaricare i pacchetti creando un router cloud e un gateway NAT

gcloud compute routers create cloud-router-usc-central-1-nat \
    --network workload-vpc \
    --region us-central1

gcloud compute routers nats create cloudnat-us-central1 \
    --router=cloud-router-usc-central-1-nat \
    --auto-allocate-nat-external-ips \
    --nat-all-subnet-ip-ranges \
    --region us-central1

6. Crea l'workload1-vm in "us-central1-a" in workload-VPC, che utilizzerai per verificare la connettività dal sito al cloud

gcloud compute instances create workload1-vm \
    --project=$projectname \
    --machine-type=e2-micro \
    --image-family debian-10 \
    --image-project debian-cloud \
    --zone us-central1-a \
    --private-network-ip 192.168.235.3 \
        --no-address \
    --subnet=workload-subnet1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to Workload VM1 !!' | tee /var/www/html/index.html
      EOF"

4. Configurare le appliance on-premise per SD-WAN

Nota: se la creazione di una VM con un indirizzo IP esterno non è consentita a causa di una policy dell'organizzazione, aggiorna constraints/compute.vmExternalIpAccess su ALLOW con il seguente valore

projects/<yourprojectname>/zones/us-central1-a/instances/site1-nva

projects/<yourprojectname>/zones/us-central1/instances/hub-r1

Crea la VM on-prem per SDWAN (appliance)

Nella sezione seguente, creeremo site1-nva che funge da router on-premise.

Creazione istanze

Nota: la soluzione SD-WAN di flexiWAN supporta la negoziazione BGP su vNIC-1. Ogni fornitore SD-WAN ha dettagli di implementazione specifici. Se lo stai creando utilizzando una soluzione diversa, rivolgiti al tuo fornitore per i dettagli. flexiWAN supporta sia BGP che OSPF.

Crea l'appliance site1-router denominata site1-nva

gcloud compute instances create site1-nva \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=site1-subnet \
--network-interface subnet=s1-inside-subnet,no-address \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any \
--can-ip-forward

5. Installa flexiWAN su site1-nva

Apri una connessione SSH a site1-nva. Se si verifica un timeout, riprova.

gcloud compute ssh site1-nva --zone=us-central1-a

Installa flexiWAN su site1-nva

sudo su 

sudo curl -sL https://deb.flexiWAN.com/setup | sudo bash -
apt install flexiWAN-router -y

Prepara la VM per la registrazione del control plane di flexiWAN.

Al termine dell'installazione di flexiWAN, esegui il comando fwsystem_checker per preparare la VM per il funzionamento di flexiWAN. Questo comando controlla i requisiti di sistema e aiuta a correggere gli errori di configurazione nel sistema.

• Seleziona l'opzione 2 per una configurazione rapida e silenziosa
• e poi esci con 0.
• Non chiudere la finestra di Cloud Shell.

root@site-1-nva-1:/home/user# fwsystem_checker
 
<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 2

<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 0
Please wait..
Done.
=== system checker ended ====

Lascia aperta la sessione per i passaggi successivi.

6. Registra site1-nva con il controller SD-WAN

Questi passaggi sono necessari per completare il provisioning della NVA flexiWAN, che viene amministrata dalla console flexiManage. Prima di procedere, assicurati che l'organizzazione flexiWAN sia configurata.

Autentica la NVA flexiWAN appena implementata con flexiManage utilizzando un token di sicurezza accedendo all'account flexiManage. Lo stesso token può essere riutilizzato in tutti gli apparecchi router.

Seleziona Inventario → Token,crea un token e seleziona Copia.

Torna a Cloud Shell (site1-nva) e incolla il token nella directory /etc/flexiWAN/agent/token.txt eseguendo le seguenti operazioni

nano /etc/flexiWAN/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Attiva i router del sito nella console flexiManage

Accedi alla console flexiManage per attivare site1-nva sul controller

Nel riquadro a sinistra, seleziona Inventario → Dispositivi, fai clic sul dispositivo "Sconosciuto".

Inserisci il nome host di site1-nva e approva il dispositivo facendo scorrere il selettore verso destra.

Seleziona la scheda "Interfacce".

Individua la colonna "Assegnato", fai clic su "No" e cambia l'impostazione su "Sì".

Seleziona la scheda Firewall e fai clic sul segno "+" per aggiungere una regola firewall in entrata.

Seleziona l'interfaccia WAN a cui applicare la regola SSH, come descritto di seguito

Fai clic su "Aggiorna dispositivo".

Avvia site1-nva dal controller flexiWAN. Torna a Inventario → Dispositivi → site1-nva seleziona "Avvia dispositivo".

Stato: Sincronizzazione in corso

Stato: Sincronizzato

L'indicatore di avviso è visibile in Risoluzione dei problemi → Notifiche. Una volta visualizzati, seleziona tutti e contrassegnali come letti.

7. Configura le appliance SDWAN hub

Nella sezione seguente creerai e registrerai i router hub (hub-r1) con il controller flexiWAN come eseguito in precedenza con le route del sito.

Apri una nuova scheda e crea una sessione Cloud Shell, aggiorna le variabili $per facilitare l'implementazione della configurazione gcloud

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Crea istanze NVA hub

Crea l'appliance hub-r1:

gcloud compute instances create hub-r1 \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=hub-subnet1 \
--network-interface subnet=workload-subnet1,no-address \
--can-ip-forward \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any

8. Installa flexiWAN sulle istanze hub per hub-r1

Apri una connessione SSH a hub-r1

gcloud compute ssh hub-r1 --zone=us-central1-a

Installa l'agente flexiWAN su entrambi gli hub-r1

sudo su
sudo curl -sL https://deb.flexiWAN.com/setup | sudo bash -
apt install flexiWAN-router -y

Prepara le VM hub-r1 per la registrazione di flexiWAN.

Al termine dell'installazione di flexiWAN, esegui il comando fwsystem_checker per preparare la VM per il funzionamento di flexiWAN. Questo comando controlla i requisiti di sistema e aiuta a correggere gli errori di configurazione nel sistema.

root@hub-r1:/home/user# fwsystem_checker

• Seleziona l'opzione 2 per una configurazione rapida e silenziosa
• e poi esci con 0.
• Non chiudere la finestra di Cloud Shell.

9. Registra le VM hub-r1 sul controller FlexManage

Autentica la NVA flexiWAN appena implementata con flexiManage utilizzando un token di sicurezza accedendo all'account flexiManage.

• Seleziona Inventario → Token e copia il token.

Torna a Cloud Shell (hub-r1) e incolla il token nella directory /etc/flexiWAN/agent/token.txt eseguendo le seguenti operazioni

nano /etc/flexiWAN/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Attiva gli hub di router hub-r1 sulla console flexiManage

Accedi alla console flexiManage

• Vai a Inventario → Dispositivi.
• Trova e annota il nome host per hub-r1, che è "sconosciuto"

Seleziona il dispositivo sconosciuto con il nome host hub-r1.

• Inserisci il nome host di hub-r1
• Approva il dispositivo. Sposta il selettore verso destra.

Seleziona la scheda Interfacce.

• Trova la colonna "Assegnato"
• Accanto alla riga dell'interfaccia, fai clic su "No" per modificare l'impostazione su "Sì".

Seleziona la scheda Firewall.

• Fai clic su "+" per aggiungere una regola firewall in entrata.
• Seleziona l'interfaccia WAN da cui ereditare la regola.
• Consenti la porta SSH 22 con il protocollo TCP
• Fai clic su "Aggiorna dispositivo".

Avvia l'appliance hub-r1 per SD-WAN dal controller di flexiWAN

• Torna a Inventario → Dispositivi → hub-r1

Seleziona "Avvia dispositivo".

• Attendi il completamento della sincronizzazione e prendi nota dello stato "In esecuzione".

10. Network Connectivity Center in Google Cloud Hub

Abilita i servizi API

Abilita l'API Network Connectivity nel caso in cui non sia ancora abilitata:

gcloud services enable networkconnectivity.googleapis.com

Crea l'hub NCC

gcloud network-connectivity hubs create ncc-hub

Create request issued for: [ncc-hub]
Waiting for operation [projects/user-3p-dev/locations/global/operations/operation-1668793629598-5edc24b7ee3ce-dd4c765b-5ca79556] to complete...done.     
Created hub [ncc-hub]

Configura entrambe le appliance di router come spoke NCC

Trova l'URI e l'indirizzo IP per hub-r1 e prendi nota dell'output. Avrai bisogno di queste informazioni nel passaggio successivo.

Assicurati di annotare l'indirizzo IP dell'istanza hub-r1.

gcloud compute instances describe hub-r1 \
--zone=us-central1-a \
--format="value(selfLink.scope(projects))"

gcloud compute instances describe hub-r1 --zone=us-central1-a | grep "networkIP"

Aggiungi la vNIC networkIP dell'hub-r1 come spoke. Per impostazione predefinita, il trasferimento di dati da sito a sito è disabilitato.

gcloud network-connectivity spokes linked-router-appliances create s2c-wrk-cr1 \
--hub=ncc-hub \
--router-appliance=instance="https://www.googleapis.com/compute/projects/$projectname/zones/us-central1-a/instances/hub-r1",ip=192.168.235.4 \
--region=us-central1 \
--site-to-site-data-transfer

Configura il router Cloud per stabilire BGP con Hub-R1

Nel passaggio successivo, crea il router Cloud e annuncia la subnet VPC del workload 192.168.235.0/24

Crea il router Cloud in us-central1 che comunicherà con BGP con hub-r1

gcloud compute routers create wrk-cr1 \
--region=us-central1 \
--network=workload-vpc \
--asn=65002 \
--set-advertisement-groups=all_subnets

Se configuri gli appliance router come spoke NCC, il router cloud può negoziare BGP sulle interfacce virtuali.

Crea due interfacce sul router cloud che scambieranno messaggi BGP con hub-r1.

Gli indirizzi IP vengono selezionati dalla subnet del workload e possono essere modificati, se necessario.

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int0 \
--ip-address=192.168.235.101 

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int1 \
--ip-address=192.168.235.102 \
--redundant-interface=int0

Configura l'interfaccia del router Cloud per stabilire BGP con vNIC-1 di hub-r1, aggiorna peer-ip-address con l'indirizzo IP di networkIP di hub-r1. Tieni presente che per int0 e int1 viene utilizzato lo stesso indirizzo IP.

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-0 \
    --interface=int0 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-1 \
    --interface=int1 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

Verifica lo stato BGP. A questo punto del lab, BGP è "connect state" (stato di connessione) perché l'appliance router di rete non è stata configurata per BGP.

gcloud compute routers get-status wrk-cr1 --region=us-central1

11. Configura le appliance router hub per BGP

Configura hub-r1 per BGP

Assicurati di accedere alla console flexiManage

Vai a Inventario → Dispositivi → hub-r1 e seleziona il dispositivo con HostName:hub-r1

• Fai clic sulla scheda "Routing".
• Fai clic su "Configurazione BGP".
• Disattiva "Ridistribuisci route OSPF"
• Configura hub-r1 per BGP con questi parametri e fai clic su "Salva".

Seleziona la scheda "Interfacce", individua l'interfaccia LAN e trova la colonna "Routing".

• Fai clic su "nessuno" per aprire il menu e selezionare BGP come protocollo di routing.

• Nella parte superiore della pagina, fai clic su "Aggiorna dispositivo".

12. Scambio di route BGP tra appliance router

Stabilisci l'ASN locale per i siti remoti

Configura un ASN BGP locale per site1-nva. Una volta configurato, stabiliremo un tunnel IPSEC tra i siti remoti e i router hub.

Seleziona il dispositivo con HostName:site1-nva

• Fai clic sulla scheda "Routing".
• Fai clic su "Configurazione BGP".
• Disattiva "Ridistribuisci route OSPF"
• ASN locale 7269 → Salva
• Aggiorna dispositivo
• Scheda Interfacce → Routing → BGP
• Aggiorna dispositivo

Configura i tunnel VPN tra gli appliance Site1 e Hub1

Assicurati di accedere alla console flexiManage

• Vai a Inventario → Dispositivi.
• Seleziona la casella accanto al nome host di site1-nva e hub-r1 per creare un tunnel VPN tra questa coppia di NVA.
• Fai clic su Azioni → Crea tunnel e configura quanto segue

• Seleziona Crea tunnel.

Verifica che "site1-nva" abbia appreso le route alle subnet 192.168.235.0/24 e 192.168.236.0/24

• Seleziona Inventario → Dispositivi → site1-nva e fai clic sulla scheda "Routing".

Nell'output di esempio riportato di seguito, flexiWAN ha creato automaticamente il tunnel utilizzando l'indirizzo IP host 10.100.0.6

13. Verificare la connettività del percorso dei dati

Verifica la connettività dal sito al cloud da on-premise

Fai riferimento al diagramma. Verifica che il percorso dei dati tra s1-vm e workload1-vm

Configura route statiche VPC per Site-to-Cloud

La rete on-premise Site1-VPC simula una rete di data center on-premise.

Entrambe le appliance router Site-1-nva utilizzano la connettività VPN per raggiungere la rete hub.

Per lo scenario d'uso da sito a cloud**,** crea route statiche alla destinazione 192.168.0.0/16 utilizzando l'appliance router come hop successivo per raggiungere le reti nella rete cloud GCP.

Su s1-inside-vpc,crea una route statica per la destinazione cloud (192.168.0.0/16):

gcloud compute routes create site1-subnet-route  \
--network=s1-inside-vpc \
--destination-range=192.168.0.0/16  \
--next-hop-instance=site1-nva \
--next-hop-instance-zone=us-central1-a

Su Cloud Shell, cerca l'indirizzo IP di workload1-vmnee." Ti servirà per testare la connettività da "s1-vm".

gcloud compute instances describe workload1-vm --zone=us-central1-a | grep "networkIP"

Accedi tramite SSH a "s1-vm" e utilizza il comando "curl" per stabilire una sessione TCP con l'indirizzo IP di workload1-VM.

s1-vm:~$ curl 192.168.235.3 -vv
*   Trying 192.168.235.3:80...
* Connected to 192.168.235.3 (192.168.235.3) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.235.3
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Wed, 07 Dec 2022 15:12:08 GMT
< Server: Apache/2.4.54 (Debian)
< Last-Modified: Tue, 06 Dec 2022 00:57:46 GMT
< ETag: "1f-5ef1e4acfa1d9"
< Accept-Ranges: bytes
< Content-Length: 31
< Content-Type: text/html
< 
Page served from: workload1-vm
* Connection #0 to host 192.168.235.3 left intact

14. Esegui la pulizia

Elimina le risorse on-premise

Accedi a Cloud Shell ed elimina le istanze VM nelle reti dei siti hub e succursale

#onprem instances
gcloud compute instances delete s1-vm --zone=us-central1-a --quiet


#delete on prem firewall rules
gcloud compute firewall-rules delete site1-ssh --quiet
gcloud compute firewall-rules delete site1-internal --quiet
gcloud compute firewall-rules delete site1-cloud --quiet
gcloud compute firewall-rules delete site1-vpn  --quiet
gcloud compute firewall-rules delete site1-iap --quiet


#delete on prem subnets
gcloud compute networks subnets delete site1-subnet --quiet
gcloud compute networks subnets delete s1-inside-subnet --quiet
gcloud compute networks subnets delete s1-inside-subnet --quiet


#delete on prem vpcs
gcloud compute networks delete site1-vpc --quiet
gcloud compute networks delete s1-inside-vpc --quiet

Elimina le risorse Cloud Hub

Accedi a Cloud Shell ed elimina le istanze VM nelle reti dei siti hub e succursale

#delete ncc spokes
gcloud network-connectivity spokes delete s2c-wrk-cr1 --region us-central1 --quiet

#delete ncc hub
gcloud network-connectivity hubs delete ncc-hub --quiet


#delete hub instances
gcloud compute instances delete hub-r1 --zone=us-central1-a --quiet


#delete hub firewall rule
gcloud compute firewall-rules delete hub-ssh --quiet
gcloud compute firewall-rules delete hub-vpn --quiet
gcloud compute firewall-rules delete hub-internal --quiet
gcloud compute firewall-rules delete hub-iap --quiet

gcloud compute firewall-rules create workload-ssh --quiet
gcloud compute firewall-rules create workload-internal --quiet
gcloud compute firewall-rules create workload-onprem --quiet
gcloud compute firewall-rules create workload-iap --quiet

#delete hub subnets
gcloud compute networks subnets delete workload-subnet1 --quiet

gcloud compute networks subnets delete hub-subnet1 --quiet

#delete hub vpcs
gcloud compute networks delete workload-vpc --quiet
gcloud compute networks delete hub-vpc --quiet

15. Complimenti!

Hai completato il lab Network Connectivity Center.

Argomenti trattati

• Configurazione dell'integrazione della WAN definita dal software per NCC da sito a cloud

Passaggi successivi

• Panoramica di Network Connectivity Center
• Documentazione di Network Connectivity Center
• Risorse flexiWAN
• Repository GitLab di flexiWAN

©Google, LLC o le sue società consociate. Tutti i diritti riservati. Distribuzione vietata.