Neste documento, mostramos o framework de arquitetura do Google Cloud sobre as práticas recomendadas para implantar seu sistema com base no design de rede. Saiba como escolher e implementar a nuvem privada virtual (VPC) e como testar e gerenciar a segurança da rede.
Princípios básicos
O design de rede é fundamental para o design bem-sucedido do sistema, porque ajuda a otimizar o desempenho e proteger as comunicações com aplicativos internos e externos. Quando você escolher os serviços de rede, é importante avaliar as necessidades do seu aplicativo e avaliar como os aplicativos se comunicarão entre si. Por exemplo, enquanto alguns componentes exigem serviços globais, outros podem precisar estar localizados geograficamente em uma região específica.
A rede particular do Google conecta nossos locais regionais a mais de 100 pontos de presença da rede global. O Google Cloud usa redes definidas por software e tecnologias de sistemas distribuídos para hospedar e fornecer seus serviços em todo o mundo. O principal elemento do Google para rede no Google Cloud é a VPC global. A VPC usa a rede global de alta velocidade do Google para vincular seus aplicativos em várias regiões, oferecendo compatibilidade com privacidade e confiabilidade. O Google garante que seu conteúdo seja entregue com alta capacidade usando tecnologias como Largura de banda de Gargalo e Tempo de propagação de ida e volta (BBR, na sigla em inglês), inteligência de controle de congestionamento.
O desenvolvimento do design de rede em nuvem inclui as seguintes etapas:
- Projete a arquitetura da VPC da carga de trabalho. Comece identificando quantos projetos do Google Cloud e redes VPC são necessários.
- Adicione conectividade entre VPCs. Defina como suas cargas de trabalho se conectam a outras em diferentes redes VPC.
- Projetar conectividade de rede híbrida. Projete como as VPCs de carga de trabalho se conectam ao ambiente local e outros a nuvem.
Ao projetar sua rede do Google Cloud, considere o seguinte:
- Uma VPC oferece um ambiente de rede particular na nuvem para serviços de interconexão criados no Compute Engine, Google Kubernetes Engine (GKE) e Soluções de computação sem servidor. Também é possível usar uma VPC para acessar de forma particular serviços gerenciados pelo Google, como Cloud Storage, BigQuery e . Cloud SQL.
- Redes VPC, inclusive as rotas associadas e regras de firewall, são recursos globais. elas não estão associadas a nenhuma região ou zona específica.
- Sub-redes são recursos regionais. As instâncias de VM do Compute Engine que são implantadas em diferentes zonas na mesma região da nuvem podem usar endereços IP da mesma sub-rede.
- O tráfego para instâncias e a partir delas pode ser controlado usando regras de firewall VPC.
- A administração da rede pode ser protegida usando papéis de gerenciamento de identidade e acesso (IAM, na sigla em inglês).
- As redes VPC podem ser conectadas com segurança em ambientes híbridos usando Cloud VPN ou Cloud Interconnect.
Para ver uma lista completa das especificações de VPC, consulte Especificações.
Arquitetura de VPC de carga de trabalho
Nesta seção, você verá as práticas recomendadas para projetar arquiteturas de VPC de carga de trabalho para dar suporte ao sistema.
Considerar o design da rede VPC antecipadamente
Faça do design de rede VPC uma parte inicial da criação de sua configuração organizacional no Google Cloud. As escolhas de design em nível organizacional não podem ser facilmente revertidas posteriormente no processo. Para mais informações, consulte Práticas recomendadas e arquiteturas de referência para o design da VPC e Decidir o design da rede para sua zona de destino do Google Cloud.
Começar com uma única rede VPC
Para muitos casos de uso que incluem recursos com requisitos comuns, uma única rede VPC fornece os recursos necessários. Redes VPC únicas são simples de criar, manter e entender. Para mais informações, consulte Especificações de rede VPC.
Mantenha a topologia de rede VPC simples
Para garantir uma arquitetura gerenciável, confiável e bem compreendida, mantenha o design da sua topologia de rede VPC o mais simples possível.
Usar redes VPC no modo personalizado
Para garantir que a rede do Google Cloud se integre perfeitamente aos seus sistemas de rede atuais, recomendamos que você use o modo personalizado ao criar redes VPC. O modo personalizado ajuda você a integrar a rede do Google Cloud aos esquemas atuais de gerenciamento de endereços IP e permite controlar quais regiões da nuvem estão incluídas na VPC. Para mais informações, consulte VPC.
Conectividade entre VPCs
Nesta seção, você verá as práticas recomendadas para projetar a conectividade entre VPCs e ser compatível com seu sistema.
Escolha um método de conexão VPC
Se você decidir implementar várias redes VPC, será necessário conectar essas redes. As redes VPC são espaços de locatário isolados na rede definida por software (SDN, na sigla em inglês) do Andromeda do Google. As redes VPC podem se comunicar de várias maneiras. Escolha como conectar a rede com base nos requisitos de largura de banda, latência e contrato de nível de serviço (SLA). Para saber mais sobre opções de conexão, consulte Escolher o método de conexão da VPC que atenda às necessidades de custo, desempenho e segurança.
Use uma VPC compartilhada para administrar vários grupos de trabalho
Para organizações com várias equipes, a VPC compartilhada oferece uma ferramenta eficaz para aprimorar a simplicidade arquitetônica de uma única rede VPC em vários grupos de trabalho.
Usar convenções de nomenclatura simples
Escolha convenções de nomenclatura simples, intuitivas e consistentes. Isso ajuda os administradores e os usuários a entender a finalidade de cada recurso, onde ele está localizado e como ele é diferenciado de outros recursos.
Use testes de conectividade para verificar a segurança da rede
No contexto da segurança de rede, é possível usar testes de conectividade para verificar se o tráfego que você pretende impedir entre dois endpoints está bloqueado. Para verificar se o tráfego está bloqueado e por que ele está bloqueado, defina um teste entre dois endpoints e avalie os resultados. Por exemplo, é possível testar um recurso VPC que permite definir regras compatíveis com bloqueio de tráfego. Para mais informações, consulte a visão geral dos testes de conectividade.
Usar o Private Service Connect para criar endpoints particulares
Para criar endpoints particulares que permitam acessar os serviços do Google com seu próprio esquema de endereço IP, use o Private Service Connect. É possível acessar os endpoints particulares pela VPC e por meio de conectividade híbrida que termina na VPC.
Proteja e limite a conectividade externa
Limite o acesso à Internet apenas aos recursos que necessitam dele. Recursos com apenas um endereço IP interno privado ainda podem acessar muitos serviços e APIs do Google por meio do Acesso privado do Google.
Use o Network Intelligence Center para monitorar suas redes de nuvem
O Network Intelligence Center oferece uma visão abrangente das suas redes do Google Cloud em todas as regiões. Ele ajuda a identificar padrões de tráfego e acesso que podem causar riscos operacionais ou de segurança.
A seguir
Conheça as práticas recomendadas de gerenciamento de armazenamento, incluindo as seguintes:
- Selecione um tipo de armazenamento.
- Escolha padrões de carga de trabalho e padrões de acesso ao armazenamento.
Explore outras categorias no Framework de arquitetura, como confiabilidade, excelência operacional e segurança, privacidade e conformidade.