Intervalli IP alias
Gli intervalli IP alias di Google Cloud ti consentono di assegnare intervalli di indirizzi IP interni come alias alle interfacce di rete di una macchina virtuale (VM). È utile se hai più servizi in esecuzione su una VM e vuoi assegnare a ogni servizio un indirizzo IP diverso. Gli intervalli IP alias funzionano anche con i pod GKE.
Se hai un solo servizio in esecuzione su una VM, puoi farvi riferimento utilizzando il metodo all'indirizzo IP principale dell'interfaccia. Se hai più servizi in esecuzione una VM, è consigliabile assegnare a ciascuna un indirizzo IP interno diverso. Puoi farlo con gli intervalli IP alias.
Intervalli CIDR principali e secondari delle subnet
Tutte le subnet hanno un intervallo CIDR principale, ovvero di indirizzi IP interni che definiscono la subnet. Ogni istanza VM riceve il proprio indirizzo IP interno principale da questo intervallo. Puoi anche alloca gli intervalli IP alias di quell'intervallo principale oppure puoi aggiungere alla subnet e alloca gli intervalli IP alias dall'intervallo secondario. L'utilizzo di intervalli IP alias non richiede intervalli di subnet secondari. Questi intervalli di subnet secondarie forniscono semplicemente uno strumento di organizzazione.
Intervalli IP alias definiti in un'interfaccia di rete VM
Con l'aliasing IP, puoi configurare più indirizzi IP interni, che rappresentano di container o applicazioni ospitati in una VM, senza dover definire a riga di comando gcloud. Puoi assegnare intervalli IP alias della VM dagli intervalli primari o secondari della subnet.
Configurare intervalli IP alias descrive i comandi per configurare una subnet con intervalli secondari per assegnare indirizzi IP alias alle VM.
Il seguente diagramma fornisce un'illustrazione di base degli ambienti primari e secondari Intervalli CIDR e intervalli IP alias VM nell'interfaccia principale della VM:
- Un intervallo CIDR primario
10.1.0.0/16è configurato come parte di una subnet. - Un intervallo CIDR secondario
10.2.0.0/20è configurato come parte di una subnet. - L'IP principale della VM
10.1.0.2è allocato dall'intervallo CIDR primario,10.1.0.0/16, mentre un intervallo IP alias,10.2.1.0/24, è allocato nella VM dell'intervallo CIDR secondario,10.2.0.0/20. - Gli indirizzi nell'intervallo IP alias vengono utilizzati come indirizzi IP del di container ospitati nella VM.
Vantaggi principali degli intervalli IP alias
Quando sono configurati intervalli IP di alias, Google Cloud installa automaticamente i route della rete Virtual Private Cloud (VPC) per gli intervalli IP principali e di alias per la subnet dell'interfaccia di rete principale. L'orchestratore dei contenitori non deve specificare la connettività di rete VPC per questi route. Ciò semplifica l'indirizzamento del traffico e la gestione dei container. Devi eseguire la configurazione in guest come descritto nella sezione Proprietà chiave degli intervalli IP alias.
Quando gli indirizzi IP dei contenitori vengono allocati da Google Cloud, i processi di convalida in Google Cloud assicurano che gli indirizzi IP dei pod dei contenitori non siano in conflitto con gli indirizzi IP delle VM.
Quando vengono configurati gli indirizzi IP alias, vengono eseguiti i controlli anti-spoofing dal traffico, assicurandosi che il traffico in uscita dalle VM utilizzi indirizzi IP e pod delle VM come indirizzi di origine. I controlli anti-spoofing verificano che le VM non inviare traffico con indirizzi IP di origine arbitrari. Utilizzo di route statiche per il networking dei container sarebbe un approccio meno sicuro rispetto all'IP l'aliasing perché richiederebbe la disattivazione dei controlli anti-spoofing le VM host dei container (i controlli anti-spoofing sono disabilitati quando l'IP forwarding è attivata).
Gli intervalli IP alias sono instradabili all'interno della rete virtuale Google Cloud senza richiedere route aggiuntivi. Non è necessario aggiungere una route per ogni alias IP non devi tenere conto delle quote di route.
Gli indirizzi IP alias possono essere annunciati Router Cloud a un server on-premise connessa tramite VPN o Interconnect.
L'allocazione di intervalli IP di alias da un intervallo CIDR secondario offre dei vantaggi. L'allocazione da un intervallo separato da quello utilizzato per indirizzi IP principali, puoi separare l'infrastruttura (VM) dai servizi (container). Quando configuri spazi di indirizzi separati per l'infrastruttura e i servizi, puoi configurare i controlli firewall per gli indirizzi IP alias della VM separatamente dai controlli firewall per gli indirizzi IP principali di una VM. Per Ad esempio, puoi consentire un determinato traffico per i pod di container e rifiutare per l'indirizzo IP principale della VM.
Architettura dei container in Google Cloud
Considera uno scenario in cui vuoi configurare servizi containerizzati su il meglio di Google Cloud. Devi creare le VM che ospiteranno i servizi e, inoltre, i container.
In questo scenario, vuoi instradare il traffico da e verso i contenitori e da e verso le sedi on-premise collegate tramite una VPN. Tuttavia, non gli indirizzi IP delle VM principali siano raggiungibili tramite la VPN. Per creare questa configurazione, l'intervallo IP del contenitore deve essere instradabile tramite la VPN, ma non l'intervallo IP principale della VM. Al momento della creazione della VM, vuoi anche assegnare automaticamente un pool di indirizzi IP utilizzati per il contenitore.
Per creare questa configurazione, segui questi passaggi:
- Quando crei la subnet, configuri
- Un intervallo CIDR principale, ad esempio
10.128.0.0/16 - Un intervallo CIDR secondario, ad esempio
172.16.0.0/16
- Un intervallo CIDR principale, ad esempio
- Utilizza un modello di istanza per creare le VM e assegnare automaticamente a ciascuna
seguenti:
- Un indirizzo IP principale dell'intervallo
10.128.0.0/16 - Un intervallo alias
/24dallo spazio CIDR secondario172.16.0.0/16, in modo da poter assegnare a ogni container su una VM un IP dall'/24Intervallo CIDR
- Un indirizzo IP principale dell'intervallo
- Crea due regole firewall.
- Una regola che impedisce al traffico che viaggia sulla VPN dall'on-premise di raggiungere l'intervallo CIDR principale della subnet.
- Una regola che consente al traffico di viaggiare attraverso la VPN on-premise per raggiungere l'intervallo CIDR secondario della subnet.
Esempio: configurare i container con intervalli IP alias
Utilizzando gli intervalli IP alias, gli indirizzi IP dei container possono essere allocati da un intervallo CIDR secondario e configurati come indirizzi IP alias nella VM che ospita il container.
Per creare la configurazione illustrata sopra:
Crea una subnet con un intervallo CIDR 10.128.0.0/16, da cui vengono allocati gli indirizzi IP delle VM, e un intervallo CIDR secondario 172.16.0.0/20 per l'uso esclusivo dei contenitori, che verrà configurato come intervalli IP alias nella VM che li ospita:
gcloud compute networks subnets create subnet-a \ --network network-a \ --range 10.128.0.0/16 \ --secondary-range container-range=172.16.0.0/20Crea VM con un IP principale dall'intervallo 10.128.0.0/16 e un intervallo IP alias 172.16.0.0/24 dall'intervallo CIDR secondario 172.16.0.0/20 per i contenitori nella VM da utilizzare:
gcloud compute instances create vm1 [...] \ --network-interface subnet=subnet-a,aliases=container-range:172.16.0.0/24 gcloud compute instances create vm2 [...] \ --network-interface subnet=subnet-a,aliases=container-range:172.16.1.0/24Gli indirizzi IP dei container sono configurati in Google Cloud come indirizzi IP alias. In questa configurazione, sia gli IP principali che gli alias saranno raggiungibili tramite il tunnel VPN. Se il router Cloud è configurato, annuncierà automaticamente la subnet secondaria è 172.16.0.0/20. Per ulteriori informazioni sull'utilizzo per la VPN con il router Cloud, consulta Creazione di un tunnel VPN utilizzando il routing dinamico.
Per ulteriori informazioni sui comandi utilizzati per creare questa configurazione, consulta Configurare intervalli e indirizzi IP di alias.
Esempio: più intervalli IP alias configurati in un'unica istanza VM
Gli intervalli IP alias ti consentono di gestire l'allocazione degli IP per le applicazioni in esecuzione all'interno delle VM, inclusi i container.
Potresti avere un deployment in cui alcuni container sono migrabili tra VM e altri no. I container di cui è possibile eseguire la migrazione possono essere configurati utilizzando /32 di grandi dimensioni, semplificando la migrazione individuale. Non idoneo alla migrazione i container possono essere configurati con un intervallo più ampio, in quanto in sinergia.
In questo tipo di deployment, potresti richiedere più di un IP alias di intervallo per istanza VM, ad esempio /27 per container non di cui è possibile eseguire la migrazione diversi /32 per i container di cui è possibile eseguire la migrazione.
Per configurare questo esempio, utilizza i seguenti comandi gcloud:
gcloud compute networks create vpc1 --subnet-mode custom
gcloud compute networks subnets create subnet1 --region us-central1 --network vpc1 --range 10.128.0.0/16 --secondary-range secondaryrange1=172.16.0.0/20
gcloud compute instances create vm1 --zone us-central1-a --network-interface "subnet=subnet1,aliases=secondaryrange1:172.16.0.0/27;secondaryrange1:172.16.1.0/32"
gcloud compute instances create vm2 --zone us-central1-a --network-interface "subnet=subnet1,aliases=secondaryrange1:172.16.0.32/27;secondaryrange1:172.16.1.1/32"
Indirizzi IP alias nelle reti e nelle subnet VPC in modalità automatica
Le subnet create automaticamente nelle reti VPC in modalità automatica sono ognuna hanno un intervallo CIDR primario, ma non a un intervallo secondario. Per utilizzare l'IP alias con un comando di rete VPC dalla modalità standard, puoi allocare intervalli IP alias l'intervallo CIDR principale della subnet creato automaticamente aggiungi un intervallo secondario alla subnet creata automaticamente e alloca gli intervalli IP alias dal nuovo intervallo secondario.
In alternativa, puoi
creare una nuova subnet
con intervalli secondari nella rete VPC in modalità automatica, a condizione che nessuno dei suoi
intervalli si sovrapponga a 10.128.0.0/9. Puoi quindi creare istanze VM nella nuova subnet e allocare intervalli IP di alias da qualsiasi intervallo della subnet.
Se vuoi aggiungere intervalli secondari alla tua subnet, consulta Aggiungere intervalli CIDR secondari a una subnet esistente.
Alias degli indirizzi IP nelle reti e nelle subnet in modalità personalizzata
Nelle reti in modalità personalizzata:
- Tutte le subnet vengono create manualmente
- Un intervallo CIDR primario è obbligatorio.
- Se vuoi, puoi creare intervalli CIDR secondari.
Proprietà chiave degli intervalli IP alias
Le seguenti proprietà si applicano agli intervalli IP alias configurati nelle VM:
- Dal punto di vista del sistema operativo delle VM, l'indirizzo IP principale e vengono allocati tramite DHCP. Gli indirizzi IP alias possono essere configurati nel sistema operativo delle VM, che in genere è Linux o Windows, manualmente utilizzando gli script.
- L'indirizzo IP principale e l'intervallo IP alias dell'interfaccia devono essere
allocati da intervalli CIDR configurati come parte della stessa subnet.
Tieni presente i seguenti requisiti:
- L'indirizzo IP primario deve essere allocato dal CIDR primario intervallo.
- L'intervallo IP alias può essere allocato dall'intervallo CIDR principale o da un intervallo CIDR secondario della stessa subnet.
- Per un'interfaccia di rete VM, l'IP alias deve provenire dalla stessa risorsa della subnet che fornisce l'indirizzo IP per l'interfaccia di rete principale. Non puoi selezionare un intervallo CIDR principale o secondario da un'altra risorsa subnet.
- L'indirizzo IP principale può essere un indirizzo IP interno statico o temporaneo.
- Gli intervalli IP degli alias sono facoltativi e non vengono aggiunti automaticamente. Un intervallo IP alias può essere configurato durante la creazione o la modifica dell'istanza.
- Un intervallo IP alias può essere configurato come intervallo CIDR esplicito
(ad esempio,
10.128.1.0/24), un singolo indirizzo IP (ad esempio,10.128.7.29/32) o come netmask (/24). Un intervallo IP alias può essere completamente specificati o allocati automaticamente specificando la netmask. - Per utilizzare un singolo indirizzo IP in un intervallo IP alias, utilizza la
/32subnet mask. - Poiché tutte le subnet in una rete VPC condividono un unico gateway predefinito, tutti gli indirizzi IP alias all'interno di un'interfaccia condividono lo stesso gateway predefinito dell'indirizzo IP primario.
- Non puoi utilizzare indirizzi IP riservati negli intervalli IP alias.
DNS con indirizzi IP alias
Google Cloud configura automaticamente il DNS interno per l'IP principale dell'interfaccia principale di ogni istanza VM. che associa il nome host dell'istanza l'indirizzo IP principale dell'interfaccia principale. Tuttavia, la ricerca DNS su quel nome host funziona solo nella rete che contiene l'interfaccia principale.
Google Cloud non associa automaticamente altri indirizzi IP al nome host. Google Cloud non associa gli indirizzi IP degli alias sull'interfaccia principale al nome host e non associa alcun indirizzo IP delle interfacce secondarie al nome host.
Puoi configurare manualmente il DNS per associare altri indirizzi IP.
Firewall
Tutto il traffico in entrata o in uscita, incluso il traffico per gli intervalli IP di alias, viene valutato da una regola firewall VPC per un tag target o un account di servizio target corrispondente. Per informazioni dettagliate su target e indirizzi IP alias, consulta Target e indirizzi IP.
Gli intervalli IP alias non sono inclusi quando specifica le origini di un traffico in entrata una regola firewall utilizzando tag di origine o account di servizio di origine.
Route statiche
Quando crei una route statica che utilizza un'istanza di hop successivo specificata da un indirizzo IPv4 interno, Google Cloud verifica che l'indirizzo IP della VM di hop successivo rientri in un intervallo IPv4 di una subnet nella rete VPC della route. Tuttavia, Google Cloud programma la route solo se l'indirizzo dell'hop successivo è un indirizzo IPv4 interno principale assegnato all'interfaccia di rete (NIC) di una VM nella rete VPC della route (non una rete VPC in peering).
Sebbene sia possibile creare una route il cui indirizzo dell'hop successivo sia un indirizzo IPv4 interno che rientra in un intervallo IP alias, Google Cloud non programma questa route, in quanto considera l'hop successivo inattivo. Pacchetti inviati alla destinazione del percorso potrebbero essere annullati, a seconda che esistono per la stessa esatta destinazione e se quelle altre route ci sono hop successivi in esecuzione.
Per ulteriori informazioni, vedi:
Indirizzo IP interno dell'istanza dell'hop successivo (
next-hop-address)Comportamento quando le istanze vengono arrestate o eliminate
Peering di rete VPC
Il peering di rete VPC consente di eseguire il peering di due reti VPC in modo da le VM nelle due reti possono comunicare tramite indirizzi IP interni e privati.
Gli intervalli IP principali e secondari di una subnet sono raggiungibili dalle istanze VM in una rete con peering.
I controlli di sovrapposizione delle subnet tra le reti con i peer assicurano che gli intervalli principali e secondari non si sovrappongano a intervalli con i peer.
