Laboratório: Site do NCC para a nuvem com o dispositivo SD-WAN

1. Introdução

Visão geral

Neste laboratório, você vai conhecer alguns dos recursos do Network Connectivity Center.

O Network Connectivity Center (NCC) é um modelo de plano de controle hub-and-spoke para gerenciamento de conectividade de rede no Google Cloud. O recurso de hub fornece um modelo de gerenciamento de conectividade centralizado para conectar spokes. Atualmente, o NCC oferece suporte aos seguintes recursos de rede como spokes:

• Anexos da VLAN
• Dispositivos roteadores
• VPN de alta disponibilidade

Os codelabs exigem o uso da solução SD-WAN SaaS da flexiWAN, que simplifica a implantação e o gerenciamento da WAN.

O que você vai criar

Neste codelab, você vai criar uma topologia de SD-WAN de hub e spoke para simular sites de filiais remotas que vão atravessar a rede de backbone do Google para comunicação entre o site e a nuvem.

1. Você vai implantar um par de VMs do GCE configuradas para o agente SD-WAN do flexiWAN na VPC hub, que representa os headends para o tráfego de entrada e saída do GCP.
2. Implante dois roteadores SD-WAN flexiWAN remotos para representar duas VPCs de sites de filiais diferentes.
3. Para o teste do caminho de dados, configure três VMs do GCE para simular clientes locais e um servidor hospedado no GCP.

O que você vai aprender

• Como usar o NCC para interconectar filiais remotas usando uma solução de WAN definida por software de código aberto
• Experiência prática com uma solução WAN definida por software de código aberto

O que é necessário

• Conhecimento da rede VPC do GCP
• Conhecimento do Cloud Router e do roteamento BGP

2. Objetivos

• Configurar o ambiente do GCP
• Implantar instâncias do flexiWAN Edge no GCP
• Estabelecer um hub do NCC e uma NVA de borda flexiWAN como um spoke
• Configurar e gerenciar instâncias do flexiWAN usando o flexiManage
• Configure a troca de rotas BGP entre vpc-app-svcs e a NVA flexiWAN
• Crie um site remoto simulando uma filial remota de um cliente ou um data center
• Estabelecer um túnel IPsec entre o local remoto e a NVA
• Verificar se os eletrodomésticos foram implantados
• Validar a transferência de dados do site para a nuvem
• Liberar memória dos recursos usados

Este tutorial exige a criação de uma conta flexiManage sem custo financeiro para autenticar, integrar e gerenciar instâncias do flexiEdge.

Antes de começar

Como usar o console do Google Cloud e o Cloud Shell

Para interagir com o GCP, vamos usar o console do Google Cloud e o Cloud Shell ao longo deste laboratório.

Console do Google Cloud

O console do Cloud pode ser acessado em https://console.cloud.google.com.

Configure os seguintes itens no Google Cloud para facilitar a configuração do Network Connectivity Center:

No Console do Google Cloud, na página de seletor de projetos, selecione ou crie um projeto do Google Cloud.

Observação: se você não pretende manter os recursos criados neste procedimento, crie um projeto novo em vez de selecionar um que já existe. Depois de concluir essas etapas, é possível excluir o projeto. Para fazer isso, basta remover todos os recursos associados a ele.

Inicie o Cloud Shell. Este codelab usa $variáveis para ajudar na implementação da configuração da gcloud no Cloud Shell.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Papéis do IAM

O NCC exige papéis do IAM para acessar APIs específicas. Configure seu usuário com os papéis do IAM do NCC conforme necessário.

Nome do papel	Descrição	Permissões
networkconnectivity.networkAdmin	Permite que os administradores de rede gerenciem hubs e spokes.	networkconnectivity.hubs.networkconnectivity.spokes.
networkconnectivity.networkSpokeManager	Permite adicionar e gerenciar spokes em um hub. Para ser usado na VPC compartilhada em que o projeto host é proprietário do hub, mas outros administradores em outros projetos podem adicionar spokes para os anexos deles ao hub.	networkconnectivity.spokes.**
networkconnectivity.networkUsernetworkconnectivity.networkViewer	Permite que os usuários da rede vejam diferentes atributos de hubs e spokes.	networkconnectivity.hubs.getnetworkconnectivity.hubs.listnetworkconnectivity.spokes.getnetworkconnectivity.spokes.listnetworkconnectivity.spokes.aggregatedList

3. Configurar o ambiente de laboratório de rede

Visão geral

Nesta seção, vamos implantar as redes VPC e as regras de firewall.

Simular as redes locais da filial

Essa rede VPC contém sub-redes para instâncias de VM locais.

Crie as redes e sub-redes do site local:

gcloud compute networks create site1-vpc \
--subnet-mode custom

gcloud compute networks create s1-inside-vpc \
--subnet-mode custom

gcloud compute networks subnets create site1-subnet \
--network site1-vpc \
--range 10.10.0.0/24 \
--region us-central1

gcloud compute networks subnets create s1-inside-subnet \
--network s1-inside-vpc \
--range 10.10.1.0/24 \
--region us-central1

Crie regras de firewall site1-vpc para permitir:

• SSH, interno, IAP
• ESP, UDP/500, UDP/4500
• Intervalo 10.0.0.0/8
• Intervalo 192.168.0.0/16

gcloud compute firewall-rules create site1-ssh \--network site1-vpc \
--allow tcp:22

gcloud compute firewall-rules create site1-internal \
--network site1-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create site1-cloud \
--network site1-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create site1-vpn \
--network site1-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create site1-iap \
--network site1-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Crie regras de firewall s1-inside-vpc para permitir:

• SSH, interno, IAP
• Intervalo 10.0.0.0/8
• Intervalo 192.168.0.0/16

gcloud compute firewall-rules create s1-inside-ssh \
--network s1-inside-vpc \
--allow tcp:22

gcloud compute firewall-rules create s1-inside-internal \
--network s1-inside-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create s1-inside-cloud \
--network s1-inside-vpc  \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create s1-inside-iap \
--network site2-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Para fins de teste, crie as instâncias s1-inside-vm e s2-inside-vm.

gcloud compute instances create s1-vm \
--zone=us-central1-a \
--machine-type=e2-micro \
--network-interface subnet=s1-inside-subnet,private-network-ip=10.10.1.3,no-address

Simular o ambiente de rede do GCP Cloud

Para ativar o tráfego de local para local em várias regiões pela rede hub-vpc e pelos spokes, é necessário ativar o roteamento global na rede hub-vpc. Leia mais sobre a troca de rotas do NCC.

1. Crie a rede hub-vpc e as sub-redes:

gcloud compute networks create hub-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create hub-subnet1 \
--network hub-vpc \
--range 10.1.0.0/24 \
--region us-central1

gcloud compute networks subnets create hub-subnet2 \
--network hub-vpc \
--range 10.2.0.0/24 \
--region us-east4

2. Crie a rede workload-vpc e as sub-redes:

gcloud compute networks create workload-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create workload-subnet1 \
--network workload-vpc \
--range 192.168.235.0/24 \
--region us-central1

3. Crie regras de firewall da VPC de hub para permitir:

• SSH
• ESP, UDP/500, UDP/4500
• intervalo interno 10.0.0.0/8 (que abrange a porta TCP 179 necessária para a sessão do BGP do Cloud Router para o appliance de roteador)

gcloud compute firewall-rules create hub-ssh \
--network hub-vpc \
--allow tcp:22

gcloud compute firewall-rules create hub-vpn \
--network hub-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create hub-internal \
--network hub-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create hub-iap \
--network hub-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

4. Crie regras de firewall da VPC de carga de trabalho para permitir:

• SSH
• intervalo interno 192.168.0.0/16 (que abrange a porta TCP 179 necessária para a sessão do BGP do Cloud Router para o appliance de roteador)

gcloud compute firewall-rules create workload-ssh \
--network workload-vpc \
--allow tcp:22

gcloud compute firewall-rules create workload-internal \
--network workload-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create workload-onprem \
--network hub-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create workload-iap \
--network workload-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

5. Ative o Cloud NAT na VPC de carga de trabalho para permitir que a workload1-vm faça o download de pacotes criando um Cloud Router e um gateway NAT.

gcloud compute routers create cloud-router-usc-central-1-nat \
    --network workload-vpc \
    --region us-central1

gcloud compute routers nats create cloudnat-us-central1 \
    --router=cloud-router-usc-central-1-nat \
    --auto-allocate-nat-external-ips \
    --nat-all-subnet-ip-ranges \
    --region us-central1

6. Crie o workload1-vm in "us-central1-a" in workload-VPC. Você vai usar esse host para verificar a conectividade do site com a nuvem.

gcloud compute instances create workload1-vm \
    --project=$projectname \
    --machine-type=e2-micro \
    --image-family debian-10 \
    --image-project debian-cloud \
    --zone us-central1-a \
    --private-network-ip 192.168.235.3 \
        --no-address \
    --subnet=workload-subnet1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to Workload VM1 !!' | tee /var/www/html/index.html
      EOF"

4. Configurar dispositivos locais para SD-WAN

Observação: se a criação de uma VM com um endereço IP externo não for permitida devido a uma política da organização, atualize constraints/compute.vmExternalIpAccess para ALLOW com o seguinte valor:

projects/<yourprojectname>/zones/us-central1-a/instances/site1-nva

projects/<yourprojectname>/zones/us-central1/instances/hub-r1

Criar a VM local para SDWAN (dispositivos)

Na seção a seguir, vamos criar o site1-nva como roteadores locais.

Criar instâncias

Observação: a solução SD-WAN da flexiWAN é compatível com a negociação do BGP na vNIC-1. Cada fornecedor de SD-WAN tem detalhes de implementação específicos. Consulte seu fornecedor para mais detalhes se você estiver criando isso usando uma solução diferente. O flexiWAN é compatível com BGP e OSPF.

Crie o dispositivo site1-router chamado site1-nva

gcloud compute instances create site1-nva \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=site1-subnet \
--network-interface subnet=s1-inside-subnet,no-address \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any \
--can-ip-forward

5. Instale o flexiWAN em site1-nva

Abra uma conexão SSH com site1-nva. Se houver um tempo limite, tente de novo.

gcloud compute ssh site1-nva --zone=us-central1-a

Instale o flexiWAN em site1-nva

sudo su 

sudo curl -sL https://deb.flexiWAN.com/setup | sudo bash -
apt install flexiWAN-router -y

Prepare a VM para o registro do plano de controle do flexiWAN.

Depois que a instalação do flexiWAN for concluída, execute o comando fwsystem_checker para preparar a VM para a operação do flexiWAN. Esse comando verifica os requisitos do sistema e ajuda a corrigir erros de configuração.

• Selecione a opção 2 para uma configuração rápida e silenciosa.
• saia depois com 0.
• Não feche a janela do Cloud Shell.

root@site-1-nva-1:/home/user# fwsystem_checker
 
<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 2

<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 0
Please wait..
Done.
=== system checker ended ====

Deixe a sessão aberta para as próximas etapas.

6. Registrar site1-nva com o controlador SD-WAN

Essas etapas são necessárias para concluir o provisionamento da NVA do flexiWAN, que é administrada pelo flexiManage Console. Verifique se a organização flexiWAN está configurada antes de continuar.

Autentique a NVA do flexiWAN recém-implantada com o flexiManage usando um token de segurança ao fazer login na conta do flexiManage. O mesmo token pode ser reutilizado em todos os dispositivos de roteador.

Selecione Inventário → Tokens,crie um token e selecione "Copiar".

Volte para o Cloud Shell (site1-nva) e cole o token no diretório /etc/flexiWAN/agent/token.txt fazendo o seguinte:

nano /etc/flexiWAN/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Ativar os roteadores de site no console flexiManage

Faça login no console flexiManage para ativar o site1-nva no controlador.

No painel à esquerda, Selecione Inventário → Dispositivos e clique no dispositivo "Desconhecido".

Insira o nome do host de site1-nva e aprove o dispositivo deslizando o botão para a direita.

Selecione a guia Interfaces.

Encontre a coluna Atribuído, clique em Não e mude a configuração para Sim.

Selecione a guia"Firewall" e clique no sinal + para adicionar uma regra de firewall de entrada.

Selecione a interface WAN para aplicar a regra SSH, conforme descrito abaixo.

Clique em Atualizar dispositivo.

Inicie o site1-nva no controlador flexiWAN. Volte para Inventário → Dispositivos → site1-nva e selecione Iniciar dispositivo.

Status: Sincronizando

Status: Sincronizado

O indicador de aviso pode ser visto em Solução de problemas → Notificações. Depois de visualizar, selecione tudo e marque como lido

7. Configurar dispositivos SDWAN do Hub

Na seção a seguir, você vai criar e registrar os roteadores do hub (hub-r1) com o controlador flexiWAN, como feito anteriormente com as rotas do site.

Abra uma nova guia e crie uma sessão do Cloud Shell. Atualize as $variáveis para ajudar na implementação da configuração da gcloud.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Criar instâncias de NVA do hub

Crie o appliance hub-r1:

gcloud compute instances create hub-r1 \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=hub-subnet1 \
--network-interface subnet=workload-subnet1,no-address \
--can-ip-forward \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any

8. Instalar o flexiWAN nas instâncias de hub para hub-r1

Abra uma conexão SSH com hub-r1

gcloud compute ssh hub-r1 --zone=us-central1-a

Instale o agente flexiWAN nos dois hub-r1

sudo su
sudo curl -sL https://deb.flexiWAN.com/setup | sudo bash -
apt install flexiWAN-router -y

Prepare as VMs hub-r1 para o registro do flexiWAN.

Depois que a instalação do flexiWAN for concluída, execute o comando fwsystem_checker para preparar a VM para a operação do flexiWAN. Esse comando verifica os requisitos do sistema e ajuda a corrigir erros de configuração.

root@hub-r1:/home/user# fwsystem_checker

• Selecione a opção 2 para uma configuração rápida e silenciosa.
• saia depois com 0.
• Não feche a janela do Cloud Shell.

9. Registrar VMs hub-r1 no controlador FlexManage

Autentique a NVA do flexiWAN recém-implantada com o flexiManage usando um token de segurança ao fazer login na conta do flexiManage.

• Selecione Inventário → Tokens e copie o token.

Volte para o Cloud Shell (hub-r1) e cole o token no diretório /etc/flexiWAN/agent/token.txt fazendo o seguinte:

nano /etc/flexiWAN/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Ative o hub de roteadores hub-r1 no console flexiManage

Fazer login no console do flexiManage

• Acesse Inventário → Dispositivos.
• Encontre e anote o nome do host para hub-r1 como "unknown"

Selecione o dispositivo desconhecido com o nome de host hub-r1.

• Insira o nome do host do hub-r1
• Aprove o dispositivo. Deslize o botão para a direita.

Selecione a guia Interfaces.

• Encontre a coluna "Atribuído".
• Ao lado da linha da interface, clique em Não para mudar a configuração para Sim.

Selecione a guia Firewall.

• Clique em + para adicionar uma regra de firewall de entrada.
• Selecione a interface WAN para herdar a regra.
• Permitir a porta SSH 22 com o protocolo TCP
• Clique em Atualizar dispositivo.

Inicie o dispositivo hub-r1 para SD-WAN no controlador da flexiWAN.

• Volte para Inventário → Dispositivos → hub-r1

Selecione Iniciar dispositivo.

• Aguarde a conclusão da sincronização e observe o status "em execução".

10. Network Connectivity Center no hub do GCP

Ativar os serviços de API

Ative a API Network Connectivity, caso ainda não esteja ativada:

gcloud services enable networkconnectivity.googleapis.com

Criar o hub do NCC

gcloud network-connectivity hubs create ncc-hub

Create request issued for: [ncc-hub]
Waiting for operation [projects/user-3p-dev/locations/global/operations/operation-1668793629598-5edc24b7ee3ce-dd4c765b-5ca79556] to complete...done.     
Created hub [ncc-hub]

Configure os dois dispositivos roteadores como um spoke do NCC

Encontre o URI e o endereço IP de hub-r1 e anote a saída. Você vai precisar dessas informações na próxima etapa.

Anote o endereço IP da instância hub-r1.

gcloud compute instances describe hub-r1 \
--zone=us-central1-a \
--format="value(selfLink.scope(projects))"

gcloud compute instances describe hub-r1 --zone=us-central1-a | grep "networkIP"

Adicione a vNIC networkIP do hub-r1 como um spoke. Por padrão, a transferência de dados do site a site está desativada.

gcloud network-connectivity spokes linked-router-appliances create s2c-wrk-cr1 \
--hub=ncc-hub \
--router-appliance=instance="https://www.googleapis.com/compute/projects/$projectname/zones/us-central1-a/instances/hub-r1",ip=192.168.235.4 \
--region=us-central1 \
--site-to-site-data-transfer

Configurar o Cloud Router para estabelecer o BGP com o Hub-R1

Na próxima etapa, crie o Cloud Router e anuncie a sub-rede da VPC de carga de trabalho 192.168.235.0/24.

Crie o Cloud Router em us-central1 que vai se comunicar com o BGP com hub-r1

gcloud compute routers create wrk-cr1 \
--region=us-central1 \
--network=workload-vpc \
--asn=65002 \
--set-advertisement-groups=all_subnets

Ao configurar os dispositivos de roteador como um spoke do NCC, o Cloud Router pode negociar o BGP em interfaces virtuais.

Crie duas interfaces no Cloud Router que vão trocar mensagens BGP com hub-r1.

Os endereços IP são selecionados na sub-rede da carga de trabalho e podem ser alterados, se necessário.

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int0 \
--ip-address=192.168.235.101 

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int1 \
--ip-address=192.168.235.102 \
--redundant-interface=int0

Configure a interface do Cloud Router para estabelecer o BGP com a vNIC-1 do hub-r1 e atualize o peer-ip-address com o endereço IP do networkIP do hub-r1. Observação: o mesmo endereço IP é usado para int0 e int1.

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-0 \
    --interface=int0 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-1 \
    --interface=int1 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

Verifique o estado do BGP. Neste ponto do codelab, o BGP está no "estado de conexão" porque o dispositivo de roteador de rede não foi configurado para o BGP.

gcloud compute routers get-status wrk-cr1 --region=us-central1

11. Configurar dispositivos do roteador de hub para BGP

Configurar o hub-r1 para BGP

Faça login no console do flexiManage

Navegue até Inventário → Dispositivos → hub-r1 e selecione o dispositivo com o HostName:hub-r1

• Clique na guia Roteamento.
• Clique em Configuração do BGP.
• Desativar "Redistribuir rotas OSPF"
• Configure hub-r1 para BGP com estes parâmetros e clique em Salvar.

Selecione a guia Interfaces, localize a interface LAN e encontre a coluna Roteamento.

• Clique em nenhum para abrir o menu e selecione BGP como o protocolo de roteamento.

• Na parte de cima da página, clique em "Atualizar dispositivo".

12. Troca de rotas BGP entre dispositivos roteadores

Estabelecer um ASN local para sites remotos

Configure um ASN do BGP local para site1-nva. Depois de configurado, vamos estabelecer um túnel IPsec entre os sites remotos e os roteadores de hub.

Selecione o dispositivo com o HostName:site1-nva

• Clique na guia Roteamento.
• Clique em Configuração do BGP.
• Desativar "Redistribuir rotas OSPF"
• ASN local 7269 → Salvar
• Atualizar dispositivo
• Guia "Interfaces" → "Roteamento" → "BGP"
• Atualizar dispositivo

Configurar túneis de VPN entre os dispositivos do Site1 e do Hub1

Faça login no console do flexiManage

• Acesse Inventário → Dispositivos.
• Marque a caixa ao lado do nome do host de site1-nva e hub-r1 para criar um túnel de VPN entre esse par de NVAs.
• Clique em Ações→ Criar túneis e configure o seguinte:

• Selecione Criar túneis.

Verifique se "site1-nva" aprendeu rotas para as sub-redes 192.168.235.0/24 e 192.168.236.0/24.

• Selecione Inventário → Dispositivos → site1-nva e clique na guia "Roteamento".

No exemplo de saída abaixo, o flexiWAN criou automaticamente o túnel usando o endereço IP do host 10.100.0.6

13. Verificar a conectividade do caminho de dados

Verificar a conectividade site a nuvem do ambiente local

Consulte o diagrama e verifique se o caminho de dados entre s1-vm e workload1-vm

Configurar rotas estáticas da VPC para Site-to-Cloud

A Site1-VPC local simula uma rede de data center local.

Os dois dispositivos roteadores Site-1-nva usam a conectividade VPN para acessar a rede de hub.

Para o caso de uso de site para nuvem**,** crie rotas estáticas para o destino 192.168.0.0/16 usando o dispositivo de roteador como o próximo salto para alcançar redes na rede de nuvem do GCP.

Em s1-inside-vpc,crie uma rota estática para o destino da nuvem (192.168.0.0/16):

gcloud compute routes create site1-subnet-route  \
--network=s1-inside-vpc \
--destination-range=192.168.0.0/16  \
--next-hop-instance=site1-nva \
--next-hop-instance-zone=us-central1-a

No Cloud Shell, pesquise o endereço IP de workload1-vmnee. Você vai precisar disso para testar a conectividade de "s1-vm".

gcloud compute instances describe workload1-vm --zone=us-central1-a | grep "networkIP"

Faça SSH em s1-vm e use o comando curl para estabelecer uma sessão TCP com o endereço IP da VM workload1.

s1-vm:~$ curl 192.168.235.3 -vv
*   Trying 192.168.235.3:80...
* Connected to 192.168.235.3 (192.168.235.3) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.235.3
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Wed, 07 Dec 2022 15:12:08 GMT
< Server: Apache/2.4.54 (Debian)
< Last-Modified: Tue, 06 Dec 2022 00:57:46 GMT
< ETag: "1f-5ef1e4acfa1d9"
< Accept-Ranges: bytes
< Content-Length: 31
< Content-Type: text/html
< 
Page served from: workload1-vm
* Connection #0 to host 192.168.235.3 left intact

14. Limpeza

Excluir os recursos locais

Faça login no Cloud Shell e exclua as instâncias de VM nas redes do hub e das filiais.

#onprem instances
gcloud compute instances delete s1-vm --zone=us-central1-a --quiet


#delete on prem firewall rules
gcloud compute firewall-rules delete site1-ssh --quiet
gcloud compute firewall-rules delete site1-internal --quiet
gcloud compute firewall-rules delete site1-cloud --quiet
gcloud compute firewall-rules delete site1-vpn  --quiet
gcloud compute firewall-rules delete site1-iap --quiet


#delete on prem subnets
gcloud compute networks subnets delete site1-subnet --quiet
gcloud compute networks subnets delete s1-inside-subnet --quiet
gcloud compute networks subnets delete s1-inside-subnet --quiet


#delete on prem vpcs
gcloud compute networks delete site1-vpc --quiet
gcloud compute networks delete s1-inside-vpc --quiet

Excluir os recursos do Cloud Hub

Faça login no Cloud Shell e exclua as instâncias de VM nas redes do hub e das filiais.

#delete ncc spokes
gcloud network-connectivity spokes delete s2c-wrk-cr1 --region us-central1 --quiet

#delete ncc hub
gcloud network-connectivity hubs delete ncc-hub --quiet


#delete hub instances
gcloud compute instances delete hub-r1 --zone=us-central1-a --quiet


#delete hub firewall rule
gcloud compute firewall-rules delete hub-ssh --quiet
gcloud compute firewall-rules delete hub-vpn --quiet
gcloud compute firewall-rules delete hub-internal --quiet
gcloud compute firewall-rules delete hub-iap --quiet

gcloud compute firewall-rules create workload-ssh --quiet
gcloud compute firewall-rules create workload-internal --quiet
gcloud compute firewall-rules create workload-onprem --quiet
gcloud compute firewall-rules create workload-iap --quiet

#delete hub subnets
gcloud compute networks subnets delete workload-subnet1 --quiet

gcloud compute networks subnets delete hub-subnet1 --quiet

#delete hub vpcs
gcloud compute networks delete workload-vpc --quiet
gcloud compute networks delete hub-vpc --quiet

15. Parabéns!

Você concluiu o laboratório do Network Connectivity Center.

Conteúdo abordado

• Configurou a integração da WAN definida por software para o site do NCC na nuvem

Próximas etapas

• Visão geral do Network Connectivity Center
• Documentação do Network Connectivity Center
• Recursos do flexiWAN
• Repositório do GitLab da flexiWAN

©Google LLC ou afiliadas. Todos os direitos reservados. Distribuição proibida.