Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Private Service Connect mit automatischer DNS-Konfiguration

1. Einführung

Bei Private Service Connect mit automatischer DNS-Konfiguration werden mit Service Directory und Cloud DNS automatisch DNS-Einträge erstellt, die mit den IP-Adressen der Private Service Connect-Endpunkte des Nutzers programmiert werden.

Umfang

In diesem Codelab erstellen Sie eine umfassende Private Service Connect-Architektur, die die Verwendung von automatischem DNS veranschaulicht, wie in Abbildung 1 dargestellt.

Das automatische DNS wird durch Folgendes ermöglicht:

Der Dienstanhang des Erstellers löst die automatische DNS-Konfiguration aus, indem beim Erstellen des Private Service Connect-Dienstanhangs eine eigene öffentliche Domain mit dem Flag „–domain-names“ angegeben wird.
Der Nutzer definiert einen Endpunktnamen.
Bei der automatischen DNS-Konfiguration werden sowohl eine DNS-Zone goog-psc-default-us-central1 als auch ein DNS-Name cosmopup.net sowie ein Service Directory-Eintrag mit dem Namen des Consumer-Endpunkts erstellt.

Der Vorteil der automatischen DNS-Konfiguration wird in (4) veranschaulicht. Dort kann ein Endnutzer über DNS mit dem Nutzerendpunkt kommunizieren, FQDN stargazer.cosmopup.net.

Abbildung 1

Lerninhalte

Internen HTTP(S)-Load-Balancer erstellen
Dienstanhang mit automatischer DNS-Konfiguration erstellen
Private Service Connect-Producer-Dienst einrichten
Über automatische DNS-Konfiguration auf einen Consumer-Endpunkt zugreifen

Voraussetzungen

Google Cloud-Projekt
Eine öffentliche Domain, deren Inhaber Sie sind

2. Hinweis

Projekt für das Codelab aktualisieren

In diesem Codelab werden $Variablen verwendet, um die Implementierung der gcloud-Konfiguration in Cloud Shell zu erleichtern.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectname=YOUR-PROJECT-NAME
echo $projectname

3. Einrichtung für Ersteller

Ersteller-VPC erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks create producer-vpc --project=$projectname --subnet-mode=custom

Producer-Subnetze erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create gce-subnet --project=$projectname --range=172.16.20.0/28 --network=producer-vpc --region=us-central1

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create load-balancer-subnet --project=$projectname --range=172.16.10.0/28 --network=producer-vpc --region=us-central1

IP-Adresse für den internen Load Balancer reservieren

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute addresses create lb-ip \
    --region=us-central1 \
    --subnet=load-balancer-subnet \
    --purpose=GCE_ENDPOINT

Zugewiesene IP-Adresse ansehen

Verwenden Sie den compute addresses describe-Befehl, um die zugewiesene IP-Adresse aufzurufen.

gcloud compute addresses describe lb-ip  --region=us-central1 | grep address:

Regionale Proxy-Subnetze erstellen

Die Proxyzuweisung erfolgt auf VPC-Netzwerkebene, nicht auf Load-Balancer-Ebene. Sie müssen in jeder Region eines virtuellen Netzwerks (VPC), in dem Sie Envoy-basierte Load-Balancer verwenden, ein Nur-Proxy-Subnetz erstellen. Wenn Sie mehrere Load-Balancer in derselben Region und im selben VPC-Netzwerk bereitstellen, nutzen sie dasselbe Nur-Proxy-Subnetz für das Load-Balancing.

Ein Client stellt eine Verbindung zur IP-Adresse und zum Port der Weiterleitungsregel des Load-Balancers her.
Jeder Proxy überwacht die IP-Adresse und den Port, die in der Weiterleitungsregel des entsprechenden Load-Balancers angegeben sind. Einer der Proxys empfängt und beendet die Netzwerkverbindung des Clients.
Der Proxy stellt eine Verbindung zur entsprechenden Back-End-VM her. Dies richtet sich nach der URL-Zuordnung und den Back-End-Diensten des Load-Balancers.

Nur-Proxy-Subnetze müssen unabhängig davon erstellt werden, ob Ihr VPC-Netzwerk im automatischen oder im benutzerdefinierten Modus arbeitet. Ein Nur-Proxy-Subnetz muss mindestens 64 IP-Adressen bereitstellen. Das entspricht einer Präfixlänge von maximal /26. Als Subnetzgröße wird /23 (512 Nur-Proxy-Adressen) empfohlen.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create proxy-subnet-us-central \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-central1 \
  --network=producer-vpc \
  --range=172.16.0.0/23

Private Service Connect-NAT-Subnetze erstellen

Erstellen Sie ein oder mehrere dedizierte Subnetze für die Verwendung von Private Service Connect. Wenn Sie die Google Cloud Console zum Veröffentlichen eines Dienstes verwenden, können Sie die Subnetze während dieses Verfahrens erstellen. Erstellen Sie das Subnetz in derselben Region wie den Load-Balancer des Dienstes. Sie können ein reguläres Subnetz nicht in ein Private Service Connect-Subnetz umwandeln.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks subnets create psc-nat-subnet \
    --project $projectname \
    --network producer-vpc \
    --region us-central1 \
    --range 100.100.10.0/24 \
    --purpose PRIVATE_SERVICE_CONNECT

Firewallregeln für den Producer erstellen

Konfigurieren Sie Firewallregeln, um Traffic zwischen dem Private Service Connect-NAT-Subnetz und dem ILB-Proxy-Subnetz zuzulassen.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute --project=$projectname firewall-rules create allow-to-ingress-nat-subnet --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=100.100.10.0/24

Erstellen Sie in Cloud Shell die Firewallregel „fw-allow-health-check“, damit die Google Cloud-Systemdiagnosen den Producer-Dienst (Backend-Dienst) auf dem TCP-Port 80 erreichen können.

gcloud compute firewall-rules create fw-allow-health-check \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --rules=tcp:80

Erstellen Sie eine Firewallregel zum Zulassen von eingehendem Traffic für das Nur-Proxy-Subnetz, damit der Load-Balancer mit Backend-Instanzen auf dem TCP-Port 80 kommunizieren kann.

gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=172.16.0.0/23 \
    --rules=tcp:80

Cloud Router- und NAT-Konfiguration

Cloud NAT wird im Codelab für die Installation von Softwarepaketen verwendet, da die VM-Instanz keine externe IP-Adresse hat.

Erstellen Sie den Cloud Router in Cloud Shell.

gcloud compute routers create cloud-router-for-nat --network producer-vpc --region us-central1

Erstellen Sie das NAT-Gateway in Cloud Shell.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

Konfiguration der Instanzgruppe

Im folgenden Abschnitt erstellen Sie die Compute Engine-Instanz und die nicht verwaltete Instanzgruppe. In späteren Schritten wird die Instanzgruppe als Back-End-Dienst des Load-Balancers verwendet.

Erstellen Sie in Cloud Shell die regionale Systemdiagnose, die an den Producer-Dienst übergeben wird.

gcloud compute instances create app-server-1 \
    --project=$projectname \
    --machine-type=e2-micro \
    --image-family debian-10 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=gce-subnet \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to App-Server-1 !!' | tee /var/www/html/index.html
      EOF"

Erstellen Sie in Cloud Shell die nicht verwaltete Instanzgruppe.

gcloud compute instance-groups unmanaged create psc-instance-group --zone=us-central1-a

gcloud compute instance-groups unmanaged set-named-ports psc-instance-group --project=$projectname --zone=us-central1-a --named-ports=http:80

gcloud compute instance-groups unmanaged add-instances psc-instance-group --zone=us-central1-a --instances=app-server-1

Load-Balancer konfigurieren

In den folgenden Schritten konfigurieren Sie den internen HTTP-Load-Balancer , der in einem späteren Schritt als Dienstanhang veröffentlicht wird.

Erstellen Sie in Cloud Shell die regionale Systemdiagnose.

gcloud compute health-checks create http http-health-check \
    --region=us-central1 \
    --use-serving-port

Erstellen Sie den Backend-Dienst in Cloud Shell.

 gcloud compute backend-services create l7-ilb-backend-service \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --protocol=HTTP \
      --health-checks=http-health-check \
      --health-checks-region=us-central1 \
      --region=us-central1

Fügen Sie dem Back-End-Dienst in Cloud Shell Back-Ends hinzu.

gcloud compute backend-services add-backend l7-ilb-backend-service \
  --balancing-mode=UTILIZATION \
  --instance-group=psc-instance-group \
  --instance-group-zone=us-central1-a \
  --region=us-central1

Erstellen Sie in der Cloud Shell die URL-Zuordnung, um eingehende Anfragen an den Backend-Dienst weiterzuleiten.

gcloud compute url-maps create l7-ilb-map \
    --default-service l7-ilb-backend-service \
    --region=us-central1

Erstellen Sie den HTTP-Ziel-Proxy.

gcloud compute target-http-proxies create l7-ilb-proxy\
    --url-map=l7-ilb-map \
    --url-map-region=us-central1 \
    --region=us-central1

Erstellen Sie eine Weiterleitungsregel, um eingehende Anfragen an den Proxy weiterzuleiten. Verwenden Sie nicht das Nur-Proxy-Subnetz, um die Weiterleitungsregel zu erstellen.

 gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=producer-vpc \
      --subnet=load-balancer-subnet \
      --address=lb-ip \
      --ports=80 \
      --region=us-central1 \
      --target-http-proxy=l7-ilb-proxy \
      --target-http-proxy-region=us-central1

4. Load Balancer überprüfen

Rufen Sie in der Cloud Console Netzwerkdienste → Load-Balancing → Load Balancer auf. Erfolgreiche Systemdiagnose für den Back-End-Dienst

Wenn Sie l7-ilb-map auswählen, wird die Frontend-IP-Adresse angezeigt, die mit der IP-Adresse übereinstimmen sollte, die Sie in einem früheren Schritt mit grep abgerufen haben. Außerdem wird der Backend-Dienst identifiziert.

5. Private Service Connect-Dienstanhang erstellen

Dienstanhang erstellen

Erstellen Sie in Cloud Shell die Dienstanhänge. Achten Sie darauf, am Ende des Domainnamens einen Punkt zu setzen.

gcloud compute service-attachments create published-service --region=us-central1 --producer-forwarding-rule=l7-ilb-forwarding-rule --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=psc-nat-subnet --domain-names=cosmopup.net.

Optional:Wenn Sie eine gemeinsam genutzte VPC verwenden, erstellen Sie den Dienstanhang im Dienstprojekt.

gcloud compute service-attachments create published-service --region=us-central1 --producer-forwarding-rule=l7-ilb-forwarding-rule --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=projects/<hostproject>/regions/us-central1/subnetworks/psc-nat-subnet --domain-names=cosmopup.net.

Rufen Sie Network Services → Private Service Connect auf, um den neu eingerichteten Dienstanhang aufzurufen.

Wenn Sie published-service auswählen, erhalten Sie detailliertere Informationen, einschließlich des URI des Dienstanhangs, der vom Nutzer zum Herstellen einer Private Service Connect-Verbindung verwendet wird, und des Domainnamens.

Details zum Dienstanhang:

projects/<project name>/regions/us-central1/serviceAttachments/published-service

6. Einrichtung durch Nutzer

Consumer-APIs aktivieren

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud services enable dns.googleapis.com
gcloud services enable servicedirectory.googleapis.com

Nutzer-VPC-Netzwerk erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks create consumer-vpc --project=$projectname --subnet-mode=custom

Nutzer-Subnetze erstellen

Erstellen Sie in Cloud Shell das Subnetz für die Testinstanz.

gcloud compute networks subnets create db1-subnet --project=$projectname --range=10.20.0.0/28 --network=consumer-vpc --region=us-central1

Erstellen Sie in Cloud Shell ein Subnetz für den Nutzerendpunkt.

gcloud compute networks subnets create consumer-ep-subnet --project=$projectname --range=10.10.0.0/28 --network=consumer-vpc --region=us-central1

Nutzerendpunkt (Weiterleitungsregel) erstellen

Erstellen Sie in Cloud Shell die statische IP-Adresse, die für den Nutzerendpunkt verwendet wird.

gcloud compute addresses create psc-consumer-ip-1 --region=us-central1 --subnet=consumer-ep-subnet --addresses 10.10.0.10

Wir verwenden den zuvor generierten URI des Dienstanhangs, um den Consumer-Endpunkt zu erstellen.

Erstellen Sie in Cloud Shell den Nutzerendpunkt.

gcloud compute forwarding-rules create stargazer --region=us-central1 --network=consumer-vpc --address=psc-consumer-ip-1 --target-service-attachment=projects/$projectname/regions/us-central1/serviceAttachments/published-service

7. Verbindung im VPC-Netzwerk des Nutzers validieren

Prüfen Sie im VPC-Netzwerk des Nutzers, ob die Private Service Connect-Verbindung erfolgreich hergestellt wurde. Rufen Sie dazu Network Services → Private Service Connect → Connected Endpoints auf. Beachten Sie die hergestellte Stargazer-Verbindung und die entsprechende IP-Adresse, die wir zuvor erstellt haben.

Wenn Sie „psc-consumer-1“ auswählen, werden Details wie der URI des Dienstanhangs angezeigt.

8. Verbindung im VPC-Netzwerk des Producers validieren

Prüfen Sie im VPC-Netzwerk des Diensterstellers, ob die Private Service Connect-Verbindung erfolgreich hergestellt wurde. Rufen Sie dazu Network Services → Private Service Connect → Published Service auf. Die Verbindung zum veröffentlichten Dienst verweist jetzt auf eine Weiterleitungsregel (Verbindungsendpunkt).

9. Automatische DNS-Konfiguration validieren

Sehen wir uns die DNS- und Service Directory-Konfiguration an.

Cloud DNS-Konfiguration

Rufen Sie Netzwerkdienste → Cloud DNS → Zonen auf. Die Zone goog-psc-default-us-central und der DNS-Name cosmopup.net werden automatisch generiert.

DNS- und Service Directory-Konfiguration ansehen

Wenn wir den Zonennamen auswählen, können wir sehen, wie Service Directory in Cloud DNS eingebunden ist.

Service Directory-Konfiguration

Klicken Sie auf Netzwerkdienste → Dienstverzeichnis.

Erinnerst du dich an den Namen des Nutzerendpunkts „stargazer“? Sie wird automatisch in Service Directory programmiert, sodass wir den Consumer-Endpunkt über den FQDN stargazer.goog-psc-default–us-central1 erreichen können.

10. Nutzerzugriff auf den Dienst des Produzenten validieren

Im VPC-Netzwerk des Nutzers erstellen wir eine VM, um die Verbindung zum veröffentlichten Dienst zu testen, indem wir auf den Nutzerendpunkt stargazer.cosmopup.net zugreifen.

Erstellen Sie in Cloud Shell die Testinstanz in der Consumer-VPC.

gcloud compute instances create db1 \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=db1-subnet \
    --no-address

Damit IAP eine Verbindung zu Ihren VM-Instanzen herstellen kann, erstellen Sie eine Firewallregel, die:

Gilt für alle VM-Instanzen, die über IAP zugänglich sein sollen.
Lässt eingehenden Traffic aus dem IP-Bereich 35.235.240.0/20 zu. Dieser Bereich enthält alle IP-Adressen, die IAP für die TCP-Weiterleitung verwendet.

Erstellen Sie in Cloud Shell die IAP-Firewallregel.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

Melden Sie sich in Cloud Shell über IAP bei der Consumer-VM an, um die Verbindung zum Producer-Dienst mit einem curl-Befehl zu prüfen. Wiederholen Sie den Vorgang, wenn eine Zeitüberschreitung auftritt.

gcloud compute ssh db1 --project=$projectname --zone=us-central1-a --tunnel-through-iap

Führen Sie einen curl-Befehl aus, um die Verbindung zum Diensterstellerdienst zu prüfen. Beenden Sie die VM, nachdem Sie die Validierung abgeschlossen haben, und kehren Sie zur Cloud Shell-Eingabeaufforderung zurück.

Führen Sie in Cloud Shell einen Curl-Befehl für Ihre benutzerdefinierte Domain aus, z. B. stargazer.[benutzerdefinierte-domain.de]. In der Ausgabe unten wird ein curl-Befehl für stargazer.cosmopup.net ausgeführt.

user@db1:~$ curl -v stargazer.cosmopup.net
*   Trying 10.10.0.10...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x55d3aa8190f0)
* Connected to stargazer.cosmopup.net (10.10.0.10) port 80 (#0)
> GET / HTTP/1.1
> Host: stargazer.cosmopup.net
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< date: Thu, 22 Dec 2022 00:16:25 GMT
< server: Apache/2.4.38 (Debian)
< last-modified: Wed, 21 Dec 2022 20:26:32 GMT
< etag: "1b-5f05c5e43a083"
< accept-ranges: bytes
< content-length: 27
< content-type: text/html
< via: 1.1 google
< 
Welcome to App-Server-1 !!

Beenden Sie die VM und kehren Sie zur Cloud Shell-Eingabeaufforderung zurück, um die Bereinigungsaufgaben zu starten.

11. Bereinigen

Löschen Sie die Codelab-Komponenten über Cloud Shell.

gcloud compute forwarding-rules delete stargazer --region=us-central1 --quiet

gcloud compute instances delete db1 --zone=us-central1-a --quiet 

gcloud compute addresses delete psc-consumer-ip-1 --region=us-central1 --quiet 

gcloud compute networks subnets delete consumer-ep-subnet db1-subnet --region=us-central1 --quiet 

gcloud compute firewall-rules delete ssh-iap-consumer --quiet 

gcloud compute networks delete consumer-vpc --quiet 

gcloud compute service-attachments delete published-service --region=us-central1 --quiet 

gcloud compute forwarding-rules delete l7-ilb-forwarding-rule --region=us-central1 --quiet 

gcloud compute target-http-proxies delete l7-ilb-proxy --region=us-central1 --quiet 
 
gcloud compute url-maps delete l7-ilb-map --region=us-central1 --quiet 
 
gcloud compute backend-services delete l7-ilb-backend-service --region=us-central1 --quiet
 
gcloud compute instance-groups unmanaged delete psc-instance-group --zone=us-central1-a --quiet
 
gcloud compute instances delete app-server-1 --zone=us-central1-a --quiet 
 
gcloud compute firewall-rules delete allow-to-ingress-nat-subnet fw-allow-health-check fw-allow-proxy-only-subnet --quiet 
 
gcloud compute addresses delete lb-ip --region=us-central1 --quiet 
 
gcloud compute networks subnets delete gce-subnet load-balancer-subnet psc-nat-subnet proxy-subnet-us-central --region=us-central1 --quiet 
 
gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet 
 
gcloud compute networks delete producer-vpc --quiet

12. Glückwunsch

Sie haben einen Private Service Connect-Endpunkt mit automatischer DNS-Konfiguration erfolgreich konfiguriert und validiert.

Sie haben die Infrastruktur des Erstellers erstellt und einen Dienstanhang mit öffentlicher Domainregistrierung hinzugefügt. Sie haben gelernt, wie Sie einen Nutzerendpunkt im Nutzer-VPC-Netzwerk erstellen, der die Verbindung zum lokalen Dienst über automatisch generierte DNS-Einträge ermöglicht.

Private Service Connect mit automatischer DNS-Konfiguration

1. Einführung

Umfang

Lerninhalte

Voraussetzungen

2. Hinweis

Projekt für das Codelab aktualisieren

3. Einrichtung für Ersteller

Ersteller-VPC erstellen

Producer-Subnetze erstellen

IP-Adresse für den internen Load Balancer reservieren

Zugewiesene IP-Adresse ansehen

Verwenden Sie den compute addresses describe-Befehl, um die zugewiesene IP-Adresse aufzurufen.

Regionale Proxy-Subnetze erstellen

Private Service Connect-NAT-Subnetze erstellen

Firewallregeln für den Producer erstellen

Cloud Router- und NAT-Konfiguration

Konfiguration der Instanzgruppe

Load-Balancer konfigurieren

4. Load Balancer überprüfen

5. Private Service Connect-Dienstanhang erstellen

Dienstanhang erstellen

6. Einrichtung durch Nutzer

Consumer-APIs aktivieren

Nutzer-VPC-Netzwerk erstellen

Nutzer-Subnetze erstellen

Nutzerendpunkt (Weiterleitungsregel) erstellen

7. Verbindung im VPC-Netzwerk des Nutzers validieren

8. Verbindung im VPC-Netzwerk des Producers validieren

9. Automatische DNS-Konfiguration validieren

10. Nutzerzugriff auf den Dienst des Produzenten validieren

11. Bereinigen

12. Glückwunsch

Nächste Schritte

Weitere Informationen und Videos

Referenzdokumente