Diese Seite wurde von der Cloud Translation API übersetzt.

Private Service Connect mit automatischer DNS-Konfiguration

1. Einführung

Bei Private Service Connect mit automatischer DNS-Konfiguration werden mit Service Directory und Cloud DNS automatisch DNS-Einträge erstellt, die mit den IP-Adressen des Private Service Connect-Endpunkts des Kunden programmiert sind.

Umfang

In diesem Codelab erstellen Sie eine umfassende Private Service Connect-Architektur, die die Verwendung des automatischen DNS veranschaulicht, wie in Abbildung 1 dargestellt.

Das automatische DNS wird durch Folgendes ermöglicht:

Der Dienstanhang des Diensterstellers generiert automatisch DNS, indem beim Erstellen des Private Service Connect-Dienstanhangs eine eigene öffentliche Domain mit dem Flag „– domain-names“ angegeben wird.
Der Verbraucher definiert einen Endpunktnamen.
Bei der automatischen DNS-Konfiguration werden neben einem Service Directory-Eintrag mit dem Namen des Endpunkts des Dienstnutzers auch eine DNS-Zone (goog-psc-default-us-central1) und ein DNS-Name (cosmopup.net) erstellt.

Der Vorteil des automatischen DNS wird in (4) veranschaulicht, wo ein Endnutzer über DNS, FQDN stargazer.cosmopup.net, mit dem Nutzerendpunkt kommunizieren kann.

Abbildung 1

Aufgaben in diesem Lab

Internen HTTP(S)-Load-Balancer erstellen
Dienstanhang mit automatischem DNS erstellen
Private Service Connect-Producer-Dienst einrichten
So greifen Sie mit automatischem DNS auf einen Verbraucherendpunkt zu

Voraussetzungen

Google Cloud-Projekt
Eine urheberrechtsfreie Domain, deren Inhaber Sie sind

2. Hinweis

Projekt für das Codelab aktualisieren

In diesem Codelab werden $variables verwendet, um die Implementierung der gcloud-Konfiguration in Cloud Shell zu unterstützen.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=YOUR-PROJECT-NAME
echo $projectname

3. Einrichtung des Erstellers

Ersteller-VPC erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks create producer-vpc --project=$projectname --subnet-mode=custom

Produzentsubnetze erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create gce-subnet --project=$projectname --range=172.16.20.0/28 --network=producer-vpc --region=us-central1

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create load-balancer-subnet --project=$projectname --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

Reservieren Sie eine IP-Adresse für den internen Load Balancer.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute addresses create lb-ip \
    --region=us-central1 \
    --subnet=load-balancer-subnet \
    --purpose=GCE_ENDPOINT

Zugewiesene IP-Adresse ansehen

Verwenden Sie den Befehl compute addresses describe, um die zugewiesene IP-Adresse aufzurufen.

gcloud compute addresses describe lb-ip  --region=us-central1 | grep address:

Regionale Proxy-Subnetze erstellen

Die Proxyzuweisung erfolgt auf VPC-Netzwerkebene, nicht auf der Load-Balancer-Ebene. Sie müssen in jeder Region eines virtuellen Netzwerks (VPC), in dem Sie Envoy-basierte Load Balancer verwenden, ein Nur-Proxy-Subnetz anlegen. Wenn Sie mehrere Load Balancer in derselben Region und im selben VPC-Netzwerk bereitstellen, nutzen sie dasselbe Nur-Proxy-Subnetz für das Load Balancing.

Ein Client stellt eine Verbindung zur IP-Adresse und zum Port der Weiterleitungsregel des Load Balancers her.
Jeder Proxy überwacht die IP-Adresse und den Port, die in der Weiterleitungsregel des entsprechenden Load Balancers angegeben sind. Einer der Proxys empfängt und beendet die Netzwerkverbindung des Clients.
Der Proxy stellt eine Verbindung zur entsprechenden Back-End-VM her. Dies richtet sich nach der URL-Zuordnung und den Back-End-Diensten des Load-Balancers.

Nur-Proxy-Subnetze müssen unabhängig davon erstellt werden, ob Ihr VPC-Netzwerk im automatischen oder im benutzerdefinierten Modus arbeitet. Ein Nur-Proxy-Subnetz muss mindestens 64 IP-Adressen bereitstellen. Das entspricht einer Präfixlänge von maximal /26. Als Subnetzgröße wird /23 (512 Nur-Proxy-Adressen) empfohlen.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create proxy-subnet-us-central \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-central1 \
  --network=producer-vpc \
  --range=172.16.0.0/23

Private Service Connect-NAT-Subnetze erstellen

Erstellen Sie ein oder mehrere dedizierte Subnetze für die Verwendung mit Private Service Connect. Wenn Sie die Google Cloud Console zum Veröffentlichen eines Dienstes verwenden, können Sie die Subnetze während dieses Verfahrens erstellen. Erstellen Sie das Subnetz in derselben Region wie den Load-Balancer des Dienstes. Sie können ein reguläres Subnetz nicht in ein Private Service Connect-Subnetz konvertieren.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create psc-nat-subnet \
    --project $projectname \
    --network producer-vpc \
    --region us-central1 \
    --range 100.100.10.0/24 \
    --purpose PRIVATE_SERVICE_CONNECT

Firewallregeln für den Produzenten erstellen

Konfigurieren Sie Firewallregeln, um Traffic zwischen dem Private Service Connect-NAT-Subnetz und dem ILB-Proxy-Subnetz zuzulassen.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute --project=$projectname firewall-rules create allow-to-ingress-nat-subnet --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=100.100.10.0/24

Erstellen Sie in Cloud Shell die Firewallregel „fw-allow-health-check“, damit die Google Cloud-Systemdiagnosen den Producer-Dienst (Backend-Dienst) über den TCP-Port 80 erreichen können.

gcloud compute firewall-rules create fw-allow-health-check \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --rules=tcp:80

Erstellen Sie eine Firewallregel für eingehenden Traffic für das Nur-Proxy-Subnetz, damit der Load Balancer mit Backend-Instanzen auf dem TCP-Port 80 kommunizieren kann.

gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=172.16.0.0/23 \
    --rules=tcp:80

Cloud Router- und NAT-Konfiguration

Cloud NAT wird in diesem Codelab für die Installation des Softwarepakets verwendet, da die VM-Instanz keine externe IP-Adresse hat.

Erstellen Sie in Cloud Shell den Cloud Router.

gcloud compute routers create cloud-router-for-nat --network producer-vpc --region us-central1

Erstellen Sie in Cloud Shell das NAT-Gateway.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

Instanzgruppenkonfiguration

Im folgenden Abschnitt erstellen Sie die Compute Engine-Instanz und die nicht verwaltete Instanzgruppe. In späteren Schritten wird die Instanzgruppe als Load Balancer-Back-End-Dienst verwendet.

Erstellen Sie in Cloud Shell die regionale Systemdiagnose, die an den Producer-Dienst übergeben wird.

gcloud compute instances create app-server-1 \
    --project=$projectname \
    --machine-type=e2-micro \
    --image-family debian-10 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=gce-subnet \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to App-Server-1 !!' | tee /var/www/html/index.html
      EOF"

Erstellen Sie in Cloud Shell die nicht verwaltete Instanzgruppe.

gcloud compute instance-groups unmanaged create psc-instance-group --zone=us-central1-a

gcloud compute instance-groups unmanaged set-named-ports psc-instance-group --project=$projectname --zone=us-central1-a --named-ports=http:80

gcloud compute instance-groups unmanaged add-instances psc-instance-group --zone=us-central1-a --instances=app-server-1

Load Balancer konfigurieren

In den folgenden Schritten konfigurieren Sie den internen HTTP-Load Balancer , der in einem späteren Schritt als Dienstanhang veröffentlicht wird.

Erstellen Sie in Cloud Shell die regionale Systemdiagnose.

gcloud compute health-checks create http http-health-check \
    --region=us-central1 \
    --use-serving-port

Erstellen Sie in Cloud Shell den Back-End-Dienst.

 gcloud compute backend-services create l7-ilb-backend-service \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --protocol=HTTP \
      --health-checks=http-health-check \
      --health-checks-region=us-central1 \
      --region=us-central1

Fügen Sie in Cloud Shell dem Back-End-Dienst Back-Ends hinzu.

gcloud compute backend-services add-backend l7-ilb-backend-service \
  --balancing-mode=UTILIZATION \
  --instance-group=psc-instance-group \
  --instance-group-zone=us-central1-a \
  --region=us-central1

Erstellen Sie in Cloud Shell die URL-Zuordnung, um eingehende Anfragen an den Backend-Dienst weiterzuleiten.

gcloud compute url-maps create l7-ilb-map \
    --default-service l7-ilb-backend-service \
    --region=us-central1

Erstellen Sie den HTTP-Ziel-Proxy.

gcloud compute target-http-proxies create l7-ilb-proxy\
    --url-map=l7-ilb-map \
    --url-map-region=us-central1 \
    --region=us-central1

Erstellen Sie eine Weiterleitungsregel, um eingehende Anfragen an den Proxy weiterzuleiten. Verwenden Sie nicht das Nur-Proxy-Subnetz, um die Weiterleitungsregel zu erstellen.

 gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=producer-vpc \
      --subnet=load-balancer-subnet \
      --address=lb-ip \
      --ports=80 \
      --region=us-central1 \
      --target-http-proxy=l7-ilb-proxy \
      --target-http-proxy-region=us-central1

4. Load Balancer überprüfen

Gehen Sie in der Cloud Console zu Netzwerkdienste → Load Balancing → Load Balancer. Notieren Sie sich die erfolgreiche Systemdiagnose für den Back-End-Dienst.

Wenn Sie l7-ilb-map auswählen, wird die Frontend-IP-Adresse zurückgegeben, die mit der IP-Adresse übereinstimmen sollte, die Sie in einem früheren Schritt mit grep ermittelt haben. Außerdem wird der Backend-Dienst identifiziert.

5. Private Service Connect-Dienstanhang erstellen

Dienstanhang erstellen

Erstellen Sie in Cloud Shell die Dienstverknüpfung. Achten Sie darauf, am Ende des Domainnamens einen Punkt hinzuzufügen.

gcloud compute service-attachments create published-service --region=us-central1 --producer-forwarding-rule=l7-ilb-forwarding-rule --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=psc-nat-subnet --domain-names=cosmopup.net.

Optional:Wenn Sie eine freigegebene VPC verwenden, erstellen Sie den Dienstanhang im Dienstprojekt.

gcloud compute service-attachments create published-service --region=us-central1 --producer-forwarding-rule=l7-ilb-forwarding-rule --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=projects/<hostproject>/regions/us-central1/subnetworks/psc-nat-subnet --domain-names=cosmopup.net.

Rufen Sie Netzwerkdienste → Private Service Connect auf, um den neu erstellten Dienstanhang aufzurufen.

Wenn Sie published-service auswählen, erhalten Sie weitere Details, einschließlich des URI des Dienstanhangs, den der Nutzer zum Herstellen einer Private Service-Verbindung verwendet, und des Domainnamens.

Details zum Dienstanhang:

projects/<project name>/regions/us-central1/serviceAttachments/published-service

6. Einrichtung für Verbraucher

Verbraucher-APIs aktivieren

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud services enable dns.googleapis.com
gcloud services enable servicedirectory.googleapis.com

Nutzer-VPC-Netzwerk erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks create consumer-vpc --project=$projectname --subnet-mode=custom

Nutzersubnetze erstellen

Erstellen Sie in Cloud Shell das Subnetz für die Testinstanz.

gcloud compute networks subnets create db1-subnet --project=$projectname --range=10.20.0.0/28 --network=consumer-vpc --region=us-central1

Erstellen Sie in Cloud Shell ein Subnetz für den Nutzerendpunkt.

gcloud compute networks subnets create consumer-ep-subnet --project=$projectname --range=10.10.0.0/28 --network=consumer-vpc --region=us-central1

Nutzerendpunkt (Weiterleitungsregel) erstellen

Erstellen Sie in Cloud Shell die statische IP-Adresse, die für den Nutzerendpunkt verwendet wird.

gcloud compute addresses create psc-consumer-ip-1 --region=us-central1 --subnet=consumer-ep-subnet --addresses 10.10.0.10

Wir verwenden den zuvor generierten URI des Dienstanhangs, um den Endpunkt des Dienstverbrauchers zu erstellen.

Erstellen Sie in Cloud Shell den Nutzerendpunkt.

gcloud compute forwarding-rules create stargazer --region=us-central1 --network=consumer-vpc --address=psc-consumer-ip-1 --target-service-attachment=projects/$projectname/regions/us-central1/serviceAttachments/published-service

7. Verbindung im VPC-Netzwerk des Nutzers prüfen

Prüfen Sie im VPC-Netzwerk des Nutzers, ob eine Private Service-Verbindung erfolgreich hergestellt wurde. Rufen Sie dazu Netzwerkdienste → Private Service Connect → Verbundene Endpunkte auf. Notieren Sie sich die eingerichtete Stargazer-Verbindung und die entsprechende IP-Adresse, die wir zuvor erstellt haben.

Wenn du „psc-consumer-1“ auswählst, werden Details angezeigt, einschließlich des URI des Dienstanhangs.

8. Verbindung im VPC-Netzwerk des Erstellers prüfen

Prüfen Sie im VPC-Netzwerk des Diensterstellers, ob die private Dienstverbindung erfolgreich hergestellt wurde. Rufen Sie dazu Netzwerkdienste → Private Service Connect → Veröffentlichter Dienst auf. Die veröffentlichte Dienstverbindung weist jetzt eine Weiterleitungsregel (Verbindungsendpunkt) auf.

9. Automatische DNS-Konfiguration validieren

Sehen wir uns die DNS- und Service Directory-Konfiguration an.

Cloud DNS-Konfiguration

Gehen Sie zu Netzwerkdienste → Cloud DNS → Zonen. Die Zone goog-psc-default-us-central und der DNS-Name cosmopup.net werden automatisch generiert.

DNS- und Service Directory-Konfiguration aufrufen

Wenn wir den Zonennamen auswählen, sehen wir, wie Service Directory in Cloud DNS eingebunden ist.

Service Directory-Konfiguration

Gehen Sie zu Netzwerkdienste → Dienstverzeichnis.

Erinnern Sie sich an den Namen des Verbraucherendpunkts stargazer? Er wird automatisch in Service Directory programmiert, sodass wir den Endpunkt des Verbrauchers über den FQDN stargazer.goog-psc-default–us-central1 erreichen können.

10. Nutzerzugriff auf den Dienst des Herstellers prüfen

Im VPC-Netzwerk des Nutzers erstellen wir eine VM, um die Konnektivität des veröffentlichten Dienstes zu testen, indem wir auf den Nutzerendpunkt stargazer.cosmopup.net zugreifen.

Erstellen Sie in Cloud Shell die Testinstanz in der VPC des Kunden.

gcloud compute instances create db1 \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=db1-subnet \
    --no-address

Damit IAP eine Verbindung zu Ihren VM-Instanzen herstellen kann, erstellen Sie eine Firewallregel, die:

Gilt für alle VM-Instanzen, die über IAP zugänglich sein sollen.
Lässt eingehenden Traffic aus dem IP-Bereich 35.235.240.0/20 zu. Dieser Bereich enthält alle IP-Adressen, die IAP für die TCP-Weiterleitung verwendet.

Erstellen Sie in Cloud Shell die IAP-Firewallregel.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

Melden Sie sich in Cloud Shell mit IAP in der Nutzer-VM an, um die Verbindung zum Erstellerdienst mithilfe von Curl zu prüfen. Wiederholen Sie den Vorgang bei einer Zeitüberschreitung.

gcloud compute ssh db1 --project=$projectname --zone=us-central1-a --tunnel-through-iap

Führe einen Curl-Befehl aus, um die Verbindung zum Dienstleister zu prüfen. Kehren Sie nach der Bestätigung zur Cloud Shell-Eingabeaufforderung zurück.

Führen Sie in Cloud Shell einen Curl-Vorgang für Ihre benutzerdefinierte Domain aus, z. B. stargazer.[custom-domain.com]. In der folgenden Ausgabe wird ein Curl-Vorgang für stargazer.cosmopup.net ausgeführt.

user@db1:~$ curl -v stargazer.cosmopup.net
*   Trying 10.10.0.10...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x55d3aa8190f0)
* Connected to stargazer.cosmopup.net (10.10.0.10) port 80 (#0)
> GET / HTTP/1.1
> Host: stargazer.cosmopup.net
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< date: Thu, 22 Dec 2022 00:16:25 GMT
< server: Apache/2.4.38 (Debian)
< last-modified: Wed, 21 Dec 2022 20:26:32 GMT
< etag: "1b-5f05c5e43a083"
< accept-ranges: bytes
< content-length: 27
< content-type: text/html
< via: 1.1 google
< 
Welcome to App-Server-1 !!

Beenden Sie die VM und kehren Sie zur Cloud Shell-Eingabeaufforderung zurück, um die Bereinigungsaufgaben zu starten.

11. Bereinigen

Löschen Sie in Cloud Shell die Codelab-Komponenten.

gcloud compute forwarding-rules delete stargazer --region=us-central1 --quiet

gcloud compute instances delete db1 --zone=us-central1-a --quiet 

gcloud compute addresses delete psc-consumer-ip-1 --region=us-central1 --quiet 

gcloud compute networks subnets delete consumer-ep-subnet db1-subnet --region=us-central1 --quiet 

gcloud compute firewall-rules delete ssh-iap-consumer --quiet 

gcloud compute networks delete consumer-vpc --quiet 

gcloud compute service-attachments delete published-service --region=us-central1 --quiet 

gcloud compute forwarding-rules delete l7-ilb-forwarding-rule --region=us-central1 --quiet 

gcloud compute target-http-proxies delete l7-ilb-proxy --region=us-central1 --quiet 
 
gcloud compute url-maps delete l7-ilb-map --region=us-central1 --quiet 
 
gcloud compute backend-services delete l7-ilb-backend-service --region=us-central1 --quiet
 
gcloud compute instance-groups unmanaged delete psc-instance-group --zone=us-central1-a --quiet
 
gcloud compute instances delete app-server-1 --zone=us-central1-a --quiet 
 
gcloud compute firewall-rules delete allow-to-ingress-nat-subnet fw-allow-health-check fw-allow-proxy-only-subnet --quiet 
 
gcloud compute addresses delete lb-ip --region=us-central1 --quiet 
 
gcloud compute networks subnets delete gce-subnet load-balancer-subnet psc-nat-subnet proxy-subnet-us-central --region=us-central1 --quiet 
 
gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet 
 
gcloud compute networks delete producer-vpc --quiet

12. Glückwunsch

Sie haben einen Private Service Connect-Endpunkt mit automatischer DNS-Konfiguration konfiguriert und validiert.

Sie haben die Infrastruktur des Dienstanbieters erstellt und einen Dienstanhang mit öffentlicher Domainregistrierung hinzugefügt. Sie haben gelernt, wie Sie einen Nutzerendpunkt im Nutzer-VPC-Netzwerk erstellen, der eine Verbindung zum lokalen Dienst über automatisch generiertes DNS ermöglicht.

Private Service Connect mit automatischer DNS-Konfiguration

1. Einführung

Umfang

Aufgaben in diesem Lab

Voraussetzungen

2. Hinweis

Projekt für das Codelab aktualisieren

3. Einrichtung des Erstellers

Ersteller-VPC erstellen

Produzentsubnetze erstellen

Reservieren Sie eine IP-Adresse für den internen Load Balancer.

Zugewiesene IP-Adresse ansehen

Verwenden Sie den Befehl compute addresses describe, um die zugewiesene IP-Adresse aufzurufen.

Regionale Proxy-Subnetze erstellen

Private Service Connect-NAT-Subnetze erstellen

Firewallregeln für den Produzenten erstellen

Cloud Router- und NAT-Konfiguration

Instanzgruppenkonfiguration

Load Balancer konfigurieren

4. Load Balancer überprüfen

5. Private Service Connect-Dienstanhang erstellen

Dienstanhang erstellen

6. Einrichtung für Verbraucher

Verbraucher-APIs aktivieren

Nutzer-VPC-Netzwerk erstellen

Nutzersubnetze erstellen

Nutzerendpunkt (Weiterleitungsregel) erstellen

7. Verbindung im VPC-Netzwerk des Nutzers prüfen

8. Verbindung im VPC-Netzwerk des Erstellers prüfen

9. Automatische DNS-Konfiguration validieren

10. Nutzerzugriff auf den Dienst des Herstellers prüfen

11. Bereinigen

12. Glückwunsch

Was liegt als Nächstes an?

Weitere Lesematerialien und Videos

Referenzdokumente