Laboratório: Site do NCC para a nuvem com o dispositivo SD-WAN

1. Introdução

Visão geral

Neste laboratório, você vai conhecer alguns recursos do Network Connectivity Center.

A central de conectividade de rede (NCC) é um modelo de plano de controle hub-and-spoke para gerenciamento de conectividade de rede no Google Cloud. O recurso hub fornece um modelo de gerenciamento de conectividade centralizado para conectar spokes. No momento, a central de conectividade de rede oferece suporte aos seguintes recursos de rede como spokes:

• Anexos da VLAN
• Dispositivos roteadores
• VPN de alta disponibilidade

Os codelabs exigem o uso da solução SD-WAN flexiWAN SaaS, que simplifica a implantação e o gerenciamento da WAN.

O que você vai criar

Neste codelab, você vai criar uma topologia de SD-WAN hub e spoke para simular sites de filiais remotas que atravessam a rede backbone do Google para comunicação entre o site e a nuvem.

1. Você vai implantar um par de VMs do GCE configurado para o agente flexiWAN SD-WAN na VPC hub que representa os headends para tráfego de entrada e saída para o GCP.
2. Implantar dois roteadores SD-WAN flexiWAN remotos para representar duas VPCs de sites de filiais diferentes
3. Para testar o caminho de dados, você vai configurar três VMs do GCE para simular em clientes locais e servidores hospedados no GCP.

O que você vai aprender

• Usar o NCC para interconectar filiais remotas usando uma solução WAN definida por software de código aberto
• Experiência prática com uma solução WAN definida por software de código aberto

O que é necessário

• Conhecimento da rede VPC do GCP
• Conhecimento sobre o roteamento do Cloud Router e do BGP

2. Objetivos

• Configurar o ambiente do GCP
• Implantar instâncias do flexiWAN Edge no GCP
• Estabelecer um hub do NCC e um NVA flexiWAN Edge como um spoke
• Configurar e gerenciar instâncias do flexiWAN usando o flexiManage
• Configurar a troca de rotas BGP entre vpc-app-svcs e o NVA flexiWAN
• Criar um site remoto que simule uma filial remota do cliente ou um data center
• Estabelecer um túnel IPSEC entre o site remoto e o NVA
• Verificar se os dispositivos foram implantados
• Validar a transferência de dados do site para a nuvem
• Limpar os recursos usados

Este tutorial exige a criação de uma conta flexiManage sem custo financeiro para autenticar, integrar e gerenciar instâncias do flexiEdge.

Antes de começar

Como usar o console do Google Cloud e o Cloud Shell

Para interagir com o GCP, usaremos o console do Google Cloud e o Cloud Shell neste laboratório.

Console do Google Cloud

O console do Cloud pode ser acessado em https://console.cloud.google.com.

Configure os seguintes itens no Google Cloud para facilitar a configuração do Network Connectivity Center:

No Console do Google Cloud, na página de seletor de projetos, selecione ou crie um projeto do Google Cloud.

Observação: se você não pretende manter os recursos criados neste procedimento, crie um projeto novo em vez de selecionar um que já existe. Depois de concluir essas etapas, é possível excluir o projeto. Para fazer isso, basta remover todos os recursos associados a ele.

Inicie o Cloud Shell. Este codelab usa $variables para ajudar na implementação da configuração do gcloud no Cloud Shell.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Papéis do IAM

O NCC exige papéis do IAM para acessar APIs específicas. Configure o usuário com os papéis do IAM do NCC conforme necessário.

Nome do papel	Descrição	Permissões
networkconnectivity.networkAdmin	Permite que os administradores de rede gerenciem hubs e spokes.	networkconnectivity.hubs.networkconnectivity.spokes.
networkconnectivity.networkSpokeManager	Permite adicionar e gerenciar spokes em um hub. Para ser usado em uma VPC compartilhada em que o projeto host é proprietário do hub, mas outros administradores em outros projetos podem adicionar spokes para os anexos deles ao hub.	networkconnectivity.spokes.**
networkconnectivity.networkUsernetworkconnectivity.networkViewer	Permite que os usuários da rede acessem diferentes atributos de hubs e spokes.	networkconnectivity.hubs.getnetworkconnectivity.hubs.listnetworkconnectivity.spokes.getnetworkconnectivity.spokes.listnetworkconnectivity.spokes.aggregatedList

3. Configurar o ambiente do laboratório de rede

Visão geral

Nesta seção, vamos implantar as redes VPC e as regras de firewall.

Simular as redes de sites de filiais no local

Essa rede VPC contém sub-redes para instâncias de VM locais.

Crie as redes e sub-redes do site local:

gcloud compute networks create site1-vpc \
--subnet-mode custom

gcloud compute networks create s1-inside-vpc \
--subnet-mode custom

gcloud compute networks subnets create site1-subnet \
--network site1-vpc \
--range 10.10.0.0/24 \
--region us-central1

gcloud compute networks subnets create s1-inside-subnet \
--network s1-inside-vpc \
--range 10.10.1.0/24 \
--region us-central1

Crie regras de firewall da site1-vpc para permitir:

• SSH, interno, IAP
• ESP, UDP/500, UDP/4500
• Intervalo 10.0.0.0/8
• Intervalo 192.168.0.0/16

gcloud compute firewall-rules create site1-ssh \--network site1-vpc \
--allow tcp:22

gcloud compute firewall-rules create site1-internal \
--network site1-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create site1-cloud \
--network site1-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create site1-vpn \
--network site1-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create site1-iap \
--network site1-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Crie regras de firewall s1-inside-vpc para permitir o seguinte:

• SSH, interno, IAP
• Intervalo 10.0.0.0/8
• Intervalo 192.168.0.0/16

gcloud compute firewall-rules create s1-inside-ssh \
--network s1-inside-vpc \
--allow tcp:22

gcloud compute firewall-rules create s1-inside-internal \
--network s1-inside-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create s1-inside-cloud \
--network s1-inside-vpc  \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create s1-inside-iap \
--network site2-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

Para fins de teste, crie as instâncias s1-inside-vm e s2-inside-vm.

gcloud compute instances create s1-vm \
--zone=us-central1-a \
--machine-type=e2-micro \
--network-interface subnet=s1-inside-subnet,private-network-ip=10.10.1.3,no-address

Simular o ambiente de rede do GCP Cloud

Para ativar o tráfego de local para local entre regiões pela rede hub-vpc e os spokes, é necessário ativar o roteamento global na rede hub-vpc. Leia mais sobre a troca de rotas do NCC.

1. Crie a rede hub-vpc e as sub-redes:

gcloud compute networks create hub-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create hub-subnet1 \
--network hub-vpc \
--range 10.1.0.0/24 \
--region us-central1

gcloud compute networks subnets create hub-subnet2 \
--network hub-vpc \
--range 10.2.0.0/24 \
--region us-east4

2. Crie a rede workload-vpc e as sub-redes:

gcloud compute networks create workload-vpc \
--subnet-mode custom \
--bgp-routing-mode=global

gcloud compute networks subnets create workload-subnet1 \
--network workload-vpc \
--range 192.168.235.0/24 \
--region us-central1

3. Crie regras de firewall da VPC do hub para permitir:

• SSH
• ESP, UDP/500, UDP/4500
• intervalo interno 10.0.0.0/8, que abrange a porta TCP 179 necessária para a sessão do BGP do Cloud Router para o dispositivo de roteador

gcloud compute firewall-rules create hub-ssh \
--network hub-vpc \
--allow tcp:22

gcloud compute firewall-rules create hub-vpn \
--network hub-vpc \
--allow esp,udp:500,udp:4500 \
--target-tags router

gcloud compute firewall-rules create hub-internal \
--network hub-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create hub-iap \
--network hub-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

4. Crie regras de firewall da VPC de carga de trabalho para permitir o seguinte:

• SSH
• intervalo interno 192.168.0.0/16 (que abrange a porta TCP 179 necessária para a sessão do BGP do Cloud Router para o dispositivo de roteador)

gcloud compute firewall-rules create workload-ssh \
--network workload-vpc \
--allow tcp:22

gcloud compute firewall-rules create workload-internal \
--network workload-vpc \
--allow all \
--source-ranges 192.168.0.0/16

gcloud compute firewall-rules create workload-onprem \
--network hub-vpc \
--allow all \
--source-ranges 10.0.0.0/8

gcloud compute firewall-rules create workload-iap \
--network workload-vpc --allow tcp:22 --source-ranges=35.235.240.0/20

5. Ative o Cloud NAT na VPC da carga de trabalho para permitir que a workload1-vm faça o download de pacotes criando um Cloud Router e um gateway NAT.

gcloud compute routers create cloud-router-usc-central-1-nat \
    --network workload-vpc \
    --region us-central1

gcloud compute routers nats create cloudnat-us-central1 \
    --router=cloud-router-usc-central-1-nat \
    --auto-allocate-nat-external-ips \
    --nat-all-subnet-ip-ranges \
    --region us-central1

6. Crie o workload1-vm in "us-central1-a" in workload-VPC. Você vai usar esse host para verificar a conectividade do site com a nuvem.

gcloud compute instances create workload1-vm \
    --project=$projectname \
    --machine-type=e2-micro \
    --image-family debian-10 \
    --image-project debian-cloud \
    --zone us-central1-a \
    --private-network-ip 192.168.235.3 \
        --no-address \
    --subnet=workload-subnet1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to Workload VM1 !!' | tee /var/www/html/index.html
      EOF"

4. Configurar dispositivos on-prem para SD-WAN

Observação: se a criação de uma VM com um endereço IP externo não for permitida devido a uma política da organização, atualize constraints/compute.vmExternalIpAccess para PERMITIR com o seguinte valor.

projects/<yourprojectname>/zones/us-central1-a/instances/site1-nva

projects/<yourprojectname>/zones/us-central1/instances/hub-r1

Criar a VM no local para SDWAN (dispositivos)

Na próxima seção, vamos criar o site1-nva atuando como roteadores locais.

Criar instâncias

Observação: a solução SD-WAN da flexiWAN oferece suporte à negociação BGP na vNIC-1. Cada fornecedor de SD-WAN tem detalhes de implementação específicos. Verifique com seu fornecedor para saber mais detalhes se você estiver criando isso usando uma solução diferente. O flexiWAN oferece suporte a BGP e OSPF.

Crie o dispositivo site1-router chamado site1-nva.

gcloud compute instances create site1-nva \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=site1-subnet \
--network-interface subnet=s1-inside-subnet,no-address \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any \
--can-ip-forward

5. Instalar o flexiWAN no site1-nva

Abra uma conexão SSH para site1-nva. Se houver um tempo limite, tente novamente.

gcloud compute ssh site1-nva --zone=us-central1-a

Instalar o flexiWAN no site1-nva

sudo su 

sudo curl -sL https://deb.flexiWAN.com/setup | sudo bash -
apt install flexiWAN-router -y

Prepare a VM para o registro do plano de controle do flexiWAN.

Depois que a instalação do flexiWAN for concluída, execute o comando fwsystem_checker para preparar a VM para a operação do flexiWAN. Esse comando verifica os requisitos do sistema e ajuda a corrigir erros de configuração.

• Selecione a opção 2 para uma configuração rápida e silenciosa.
• sair depois com 0.
• Não feche a janela do Cloud Shell.

root@site-1-nva-1:/home/user# fwsystem_checker
 
<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 2

<output snipped>

        [0] - quit and use fixed parameters
         1  - check system configuration
         2  - configure system silently
         3  - configure system interactively
         4  - restore system checker settings to default
        ------------------------------------------------
Choose: 0
Please wait..
Done.
=== system checker ended ====

Deixe a sessão aberta para as próximas etapas.

6. Registrar o site1-nva no controlador SD-WAN

Essas etapas são necessárias para concluir o provisionamento do NVA flexiWAN, que é administrado pelo flexiManage Console. Verifique se a organização flexiWAN está configurada antes de prosseguir.

Autentique o NVA flexiWAN recém-implantado com o flexiManage usando um token de segurança fazendo login na conta do flexiManage. O mesmo token pode ser reutilizado em todos os dispositivos do roteador.

Selecione Inventário → Tokens,crie um token e selecione "Copiar".

Volte para o Cloud Shell (site1-nva) e cole o token no diretório /etc/flexiWAN/agent/token.txt executando o seguinte:

nano /etc/flexiWAN/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Ativar os roteadores de site no flexiManage Console

Faça login no flexiManage Console para ativar o site1-nva no controlador.

No painel à esquerda, selecione "Inventory" → "Devices" e clique no dispositivo "Unknown".

Insira o nome do host do site1-nva e aprove o dispositivo deslizando o botão para a direita.

Selecione a guia Interfaces.

Encontre a coluna Atribuída e clique em Não. Altere a configuração para Sim.

Selecione a guia "Firewall" e clique no sinal "+" para adicionar uma regra de firewall de entrada.

Selecione a interface WAN para aplicar a regra SSH conforme descrito abaixo.

Clique em Atualizar dispositivo.

Inicie o site1-nva no controlador flexiWAN. Volte para Inventário → Dispositivos → site1-nva e selecione "Iniciar dispositivo".

Status: Sincronizando

Status: sincronizado

O indicador de aviso pode ser visualizado em Solução de problemas → Notificações. Depois de ler, selecione tudo e marque como lido

7. Configurar dispositivos SD-WAN do Hub

Na seção a seguir, você vai criar e registrar os roteadores Hub (hub-r1) com o controlador flexiWAN, como foi feito anteriormente com as rotas do site.

Abra uma nova guia e crie uma sessão do Cloud Shell. Atualize as variáveis $para ajudar na implementação da configuração do gcloud.

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=[YOUR-PROJECT-NAME]
echo $projectname

Criar instâncias de NVA do hub

Crie o dispositivo hub-r1:

gcloud compute instances create hub-r1 \
--zone=us-central1-a \
--machine-type=e2-medium \
--network-interface subnet=hub-subnet1 \
--network-interface subnet=workload-subnet1,no-address \
--can-ip-forward \
--create-disk=auto-delete=yes,boot=yes,device-name=flex-gcp-nva-1,image=projects/ubuntu-os-cloud/global/images/ubuntu-1804-bionic-v20220901,mode=rw,size=20,type=projects/$projectname/zones/us-central1-a/diskTypes/pd-balanced \
--no-shielded-secure-boot \
--shielded-vtpm \
--shielded-integrity-monitoring \
--reservation-affinity=any

8. Instalar o flexiWAN em instâncias de hub para hub-r1

Abra uma conexão SSH para hub-r1

gcloud compute ssh hub-r1 --zone=us-central1-a

Instale o agente flexiWAN em ambos os hub-r1

sudo su
sudo curl -sL https://deb.flexiWAN.com/setup | sudo bash -
apt install flexiWAN-router -y

Prepare as VMs hub-r1 para o registro do flexiWAN.

Depois que a instalação do flexiWAN for concluída, execute o comando fwsystem_checker para preparar a VM para a operação do flexiWAN. Esse comando verifica os requisitos do sistema e ajuda a corrigir erros de configuração.

root@hub-r1:/home/user# fwsystem_checker

• Selecione a opção 2 para uma configuração rápida e silenciosa.
• sair depois com 0.
• Não feche a janela do Cloud Shell.

9. Registre as VMs hub-r1 no controlador FlexManage

Autentique o NVA flexiWAN recém-implantado com o flexiManage usando um token de segurança fazendo login na conta do flexiManage.

• Selecione Inventário → Tokens e copie o token.

Volte ao Cloud Shell (hub-r1) e cole o token no diretório /etc/flexiWAN/agent/token.txt executando o seguinte:

nano /etc/flexiWAN/agent/token.txt
#Paste the generated token obtain from flexiManage
#Exit session with CTRL+X and Select Y to save then enter

Ative os roteadores Hub hub-r1 no flexiManage Console.

Fazer login no console flexiManage

• Acesse Inventário → Dispositivos.
• Encontre e anote o nome do host de hub-r1 como "unknown"

Selecione o dispositivo desconhecido com o nome de host hub-r1.

• Insira o nome do host do hub-r1.
• Aprove o dispositivo. Deslize o botão para a direita.

Selecione a guia Interfaces.

• Encontre a coluna "Atribuída".
• Ao lado da linha da interface, clique em "Não" para mudar a configuração para "Sim".

Selecione a guia Firewall.

• Clique em + para adicionar uma regra de firewall de entrada.
• Selecione a interface WAN para herdar a regra
• Permitir a porta SSH 22 com o protocolo TCP
• Clique em Atualizar dispositivo.

Inicie o dispositivo hub-r1 para SD-WAN no controlador do flexiWAN

• Volte para Inventário → Dispositivos → hub-r1.

Selecione Iniciar dispositivo.

• Aguarde a conclusão da sincronização e observe o status "em execução".

10. Network Connectivity Center no Hub do GCP

Ativar os serviços de API

Ative a API Network Connectivity, caso ainda não esteja ativada:

gcloud services enable networkconnectivity.googleapis.com

Criar o hub do NCC

gcloud network-connectivity hubs create ncc-hub

Create request issued for: [ncc-hub]
Waiting for operation [projects/user-3p-dev/locations/global/operations/operation-1668793629598-5edc24b7ee3ce-dd4c765b-5ca79556] to complete...done.     
Created hub [ncc-hub]

Configure os dois dispositivos do roteador como um spoke do NCC

Encontre o URI e o endereço IP do hub-r1 e anote a saída. Você vai precisar dessas informações na próxima etapa.

Anote o endereço IP da instância hub-r1.

gcloud compute instances describe hub-r1 \
--zone=us-central1-a \
--format="value(selfLink.scope(projects))"

gcloud compute instances describe hub-r1 --zone=us-central1-a | grep "networkIP"

Adicione o vnic networkIP do hub-r1 como um spoke. Por padrão, a transferência de dados site a site está desativada.

gcloud network-connectivity spokes linked-router-appliances create s2c-wrk-cr1 \
--hub=ncc-hub \
--router-appliance=instance="https://www.googleapis.com/compute/projects/$projectname/zones/us-central1-a/instances/hub-r1",ip=192.168.235.4 \
--region=us-central1 \
--site-to-site-data-transfer

Configurar o Cloud Router para estabelecer BGP com o Hub-R1

Na próxima etapa, crie o Cloud Router e anuncie a sub-rede da VPC de carga de trabalho 192.168.235.0/24.

Crie o Cloud Router em us-central1 que vai se comunicar com o BGP com hub-r1

gcloud compute routers create wrk-cr1 \
--region=us-central1 \
--network=workload-vpc \
--asn=65002 \
--set-advertisement-groups=all_subnets

Ao configurar os dispositivos de roteador como spoke do NCC, o Cloud Router pode negociar o BGP em interfaces virtuais.

Crie duas interfaces no Cloud Router que vão trocar mensagens BGP com o hub-r1.

Os endereços IP são selecionados na sub-rede de carga de trabalho e podem ser alterados, se necessário.

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int0 \
--ip-address=192.168.235.101 

gcloud compute routers add-interface wrk-cr1 \
--region=us-central1 \
--subnetwork=workload-subnet1 \
--interface-name=int1 \
--ip-address=192.168.235.102 \
--redundant-interface=int0

Configure a interface do Cloud Router para estabelecer o BGP com a vNIC-1 do hub-r1 e atualize o endereço IP do peer com o endereço IP da rede hub-r1. O mesmo endereço IP é usado para int0 e int1.

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-0 \
    --interface=int0 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

gcloud compute routers add-bgp-peer wrk-cr1 \
    --peer-name=hub-cr1-bgp-peer-1 \
    --interface=int1 \
    --peer-ip-address=192.168.235.4 \
    --peer-asn=64111 \
    --instance=hub-r1 \
    --instance-zone=us-central1-a \
    --region=us-central1

Verifique o estado do BGP. Neste ponto do laboratório de código, o BGP está no "estado de conexão", porque o dispositivo de roteador de rede não foi configurado para o BGP.

gcloud compute routers get-status wrk-cr1 --region=us-central1

11. Configurar dispositivos de roteador Hub para BGP

Configurar o hub-r1 para o BGP

Faça login no flexiManage Console.

Navegue até Inventário → Dispositivos → hub-r1 e selecione o dispositivo com o HostName:hub-r1

• Clique na guia Roteamento.
• Clique em "Configuração do BGP".
• Desativar "Redistribute OSPF Routes"
• Configure hub-r1 para BGP com esses parâmetros e clique em "Salvar".

Selecione a guia Interfaces, localize a interface LAN e encontre a coluna Roteamento.

• Clique em nenhum para abrir o menu e selecionar o BGP como o protocolo de roteamento.

• Na parte de cima da página, clique em "Atualizar dispositivo".

12. Troca de rotas BGP entre dispositivos roteadores

Estabelecer ASN local para sites remotos

Configure um ASN BGP local para o site1-nva. Depois de configurado, vamos estabelecer um túnel IPSEC entre os sites remotos e os roteadores de hub.

Selecione o dispositivo com o HostName:site1-nva.

• Clique na guia Roteamento.
• Clique em "Configuração do BGP".
• Desativar "Redistribute OSPF Routes"
• ASN local 7269 → Salvar
• Atualizar o dispositivo
• Guia "Interfaces" → Roteamento → BGP
• Atualizar o dispositivo

Configurar túneis de VPN entre os appliances Site1 e Hub1

Faça login no flexiManage Console.

• Acesse Inventário → Dispositivos.
• Selecione a caixa ao lado do nome do host de site1-nva e hub-r1 para criar um túnel de VPN entre esse par de NVAs.
• Clique em Ações → Criar túneis e configure o seguinte:

• Selecione Criar túneis.

Verifique se "site1-nva" aprendeu as rotas para a sub-rede 192.168.235.0/24 e 192.168.236.0/24

• Selecione Inventário → Dispositivos → site1-nva e clique na guia "Roteamento".

No exemplo de saída abaixo, o flexiWAN criou automaticamente o túnel usando o endereço IP do host 10.100.0.6

13. Verificar a conectividade do caminho de dados

Verificar a conectividade do site com a nuvem no local

Consulte o diagrama e verifique se o caminho de dados entre s1-vm e workload1-vm

Configurar rotas estáticas da VPC para o site na nuvem

A Site1-VPC local simula uma rede de data center local.

Os dois dispositivos roteadores do Site-1-nva usam a conectividade VPN para acessar a rede hub.

Para o caso de uso do site para a nuvem**,** crie rotas estáticas para o destino 192.168.0.0/16 usando o dispositivo do roteador como o próximo salto para acessar as redes na rede de nuvem do GCP.

Na s1-inside-vpc,crie uma rota estática para o destino da nuvem (192.168.0.0/16):

gcloud compute routes create site1-subnet-route  \
--network=s1-inside-vpc \
--destination-range=192.168.0.0/16  \
--next-hop-instance=site1-nva \
--next-hop-instance-zone=us-central1-a

No cloudshell, procure o endereço IP de workload1-vmnee. Você vai precisar disso para testar a conectividade de "s1-vm".

gcloud compute instances describe workload1-vm --zone=us-central1-a | grep "networkIP"

Faça SSH para "s1-vm" e use o comando "curl" para estabelecer uma sessão TCP para o endereço IP da workload1-VM.

s1-vm:~$ curl 192.168.235.3 -vv
*   Trying 192.168.235.3:80...
* Connected to 192.168.235.3 (192.168.235.3) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.235.3
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Wed, 07 Dec 2022 15:12:08 GMT
< Server: Apache/2.4.54 (Debian)
< Last-Modified: Tue, 06 Dec 2022 00:57:46 GMT
< ETag: "1f-5ef1e4acfa1d9"
< Accept-Ranges: bytes
< Content-Length: 31
< Content-Type: text/html
< 
Page served from: workload1-vm
* Connection #0 to host 192.168.235.3 left intact

14. Limpeza

Excluir os recursos locais

Faça login no Cloud Shell e exclua as instâncias de VM nas redes do hub e do site de filial

#onprem instances
gcloud compute instances delete s1-vm --zone=us-central1-a --quiet


#delete on prem firewall rules
gcloud compute firewall-rules delete site1-ssh --quiet
gcloud compute firewall-rules delete site1-internal --quiet
gcloud compute firewall-rules delete site1-cloud --quiet
gcloud compute firewall-rules delete site1-vpn  --quiet
gcloud compute firewall-rules delete site1-iap --quiet


#delete on prem subnets
gcloud compute networks subnets delete site1-subnet --quiet
gcloud compute networks subnets delete s1-inside-subnet --quiet
gcloud compute networks subnets delete s1-inside-subnet --quiet


#delete on prem vpcs
gcloud compute networks delete site1-vpc --quiet
gcloud compute networks delete s1-inside-vpc --quiet

Excluir os recursos do Cloud Hub

Faça login no Cloud Shell e exclua as instâncias de VM nas redes do hub e do site de filial

#delete ncc spokes
gcloud network-connectivity spokes delete s2c-wrk-cr1 --region us-central1 --quiet

#delete ncc hub
gcloud network-connectivity hubs delete ncc-hub --quiet


#delete hub instances
gcloud compute instances delete hub-r1 --zone=us-central1-a --quiet


#delete hub firewall rule
gcloud compute firewall-rules delete hub-ssh --quiet
gcloud compute firewall-rules delete hub-vpn --quiet
gcloud compute firewall-rules delete hub-internal --quiet
gcloud compute firewall-rules delete hub-iap --quiet

gcloud compute firewall-rules create workload-ssh --quiet
gcloud compute firewall-rules create workload-internal --quiet
gcloud compute firewall-rules create workload-onprem --quiet
gcloud compute firewall-rules create workload-iap --quiet

#delete hub subnets
gcloud compute networks subnets delete workload-subnet1 --quiet

gcloud compute networks subnets delete hub-subnet1 --quiet

#delete hub vpcs
gcloud compute networks delete workload-vpc --quiet
gcloud compute networks delete hub-vpc --quiet

15. Parabéns!

Você concluiu o laboratório do Network Connectivity Center.

Conteúdo abordado

• Integração de WAN definida por software configurada para o site do NCC à nuvem

Próximas etapas

• Visão geral do Network Connectivity Center
• Documentação do Network Connectivity Center
• Recursos do flexiWAN
• Repositório do flexiWAN no GitLab

©Google, LLC ou afiliadas. Todos os direitos reservados. Distribuição proibida.