Creazione di una configurazione di connettività privata

Panoramica

In questa sezione imparerai a creare una configurazione di connettività privata. Questo tipo di configurazione contiene informazioni che Datastream utilizza per comunicare con un'origine dati su una rete privata (internamente in Google Cloud o con origini esterne connesse tramite VPN o Interconnect). Questa comunicazione avviene attraverso una connessione in peering Virtual Private Cloud (VPC).

Una connessione in peering VPC è una connessione di rete tra due VPC che consente di instradare il traffico tra di loro utilizzando indirizzi IPv4 privati interni. Quando imposti la configurazione della connettività privata, devi fornire gli indirizzi IP privati perché Datastream non supporta la risoluzione DNS (Domain Name System) nelle connessioni private.

Datastream elimina automaticamente le configurazioni di connettività privata che non sono state utilizzate per un periodo di sei mesi consecutivi. Per mantenere le configurazioni di connettività privata, assicurati che siano utilizzate in almeno un profilo di connessione attivo.

Prima di iniziare

Prima di creare una configurazione di connettività privata, devi seguire questi passaggi in modo che Datastream possa creare la connessione in peering VPC al tuo progetto:

• Avere una rete VPC in grado di connettersi in peering con la rete privata di Datastream e che soddisfi i requisiti descritti come limitazioni. Per ulteriori informazioni sulla creazione di questa rete, consulta Utilizzo del peering di rete VPC.
• Identifica un intervallo IP disponibile (con un blocco CIDR di /29) sulla rete VPC. Non può essere un intervallo IP già esistente come subnet, un intervallo IP preallocato di accesso ai servizi privati o qualsiasi route (diversa dalla route 0.0.0.0 predefinita) che includa l'intervallo IP. Datastream utilizza questo intervallo IP per creare una subnet in modo che possa comunicare con il database di origine. La seguente tabella descrive gli intervalli IP validi.

Intervallo	Descrizione
10.0.0.0/8 172.16.0.0/12 192.168.0.0/16	Indirizzi IP privati RFC 1918
100.64.0.0/10	Spazio di indirizzi condivisi RFC 6598
192.0.0.0/24	Assegnazioni del protocollo IETF RFC 6890
192.0.2.0/24 (TEST.NET-1) 198.51.100.0/24 (TEST.NET-2) 203.0.113.0/24 (TEST-NET-3)	Documentazione RFC 5737
192.88.99.0/24	Inoltro da IPv6 a IPv4 (deprecato) RFC 7526
198.18.0.0/15	Test di benchmark RFC 2544

• Verifica che Google Cloud e il firewall on-premise consentano il traffico dal nell'intervallo IP selezionato. In caso contrario, crea una regola firewall in entrata che consente il traffico sulla porta del database di origine e assicurati che il protocollo IPv4 l'intervallo di indirizzi IP nella regola firewall è uguale all'intervallo di indirizzi IP allocati durante la creazione della risorsa di connettività privata:

  gcloud compute firewall-rules create FIREWALL-RULE-NAME \
    --direction=INGRESS \
    --priority=PRIORITY \
    --network=PRIVATE_CONNECTIVITY_VPC \
    --project=VPC_PROJECT \
    --action=ALLOW \
    --rules=FIREWALL_RULES \
    --source-ranges=IP-RANGE
    

  Sostituisci quanto segue:

  • FIREWALL-RULE-NAME: il nome della regola firewall da creare.
  • PRIORITY: la priorità della regola, espressa come numero intero tra 0 e 65535 inclusi. Il valore deve essere inferiore al valore valore impostato per la regola di blocco del traffico, se esistente. Valori di priorità più bassi implicano una precedenza più alta.
  • PRIVATE_CONNECTIVITY_VPC: la rete VPC in grado di connettersi in peering la rete privata Datastream e che soddisfi i requisiti descritte come limitazioni. Questo è il VPC che specifichi quando crei la tua connettività privata configurazione.
  • VPC_PROJECT: il progetto della rete VPC.
  • FIREWALL_RULES: l'elenco di protocolli e porte a cui si applica una regola firewall, ad esempio tcp:80. La regola deve autorizzare TCP il traffico verso l'indirizzo IP e la porta del database di origine, oppure del proxy. Poiché la connettività privata può supportare più database, deve considerare l'utilizzo effettivo della configurazione.

  • IP-RANGE: l'intervallo di indirizzi IP che Datastream per comunicare con il database di origine. Si tratta dello stesso intervallo nel campo Alloca un intervallo IP quando crei il tuo configurazione della connettività.

    Potresti anche dover creare una regola firewall in uscita identica per consentire di ritorno a Datastream.

• Vengono assegnati a un ruolo che contiene l'autorizzazione compute.networks.list. Questa autorizzazione ti concede le autorizzazioni IAM necessarie per elencare le reti VPC nel tuo progetto. Puoi trovare i ruoli che contengono questa autorizzazione consultando la documentazione di riferimento sulle autorizzazioni IAM.

Puoi utilizzare la connettività privata per connettere Datastream a qualsiasi origine. Tuttavia, solo le reti VPC in peering diretto possono comunicare tra loro.

Il peering transitivo non è supportato. Se la rete con cui Datastream è in peering non è la rete in cui è ospitata l'origine, stai utilizzando un database completamente gestito (ad esempio, Cloud SQL) oppure se Datastream non viene eseguito nella regione in cui esiste l'origine, è necessario un proxy inverso.

Per ulteriori informazioni, vedi Connettività privata.

Prerequisiti per il VPC condiviso

Se utilizzi un VPC condiviso, devi completare le seguenti azioni oltre a quelli descritti nella sezione Prima di iniziare:

1. Nel progetto di servizio:

   1. Abilitare l'API Datastream.

   2. Recupera l'indirizzo email utilizzato per l'account di servizio Datastream. Gli account di servizio Datastream vengono creati quando esegui una delle seguenti operazioni:

      • Puoi creare una risorsa Datastream, ad esempio un profilo di connessione o un flusso.
      • Crea una configurazione di connettività privata, seleziona il VPC condiviso e fai clic su Crea account di servizio Datastream. L'account di servizio viene creato nel progetto host.

      Per ottenere l'indirizzo email utilizzato per l'account di servizio Datastream, individua il numero di progetto nella home page della console Google Cloud. L'indirizzo email dell'account di servizio è service-[project_number]@gcp-sa-datastream.iam.gserviceaccount.com.

2. Nel progetto host:

   1. Concedi l'autorizzazione del ruolo Identity and Access Management (IAM) compute.networkAdmin all'account di servizio Datastream. Questo ruolo è richiesto solo quando crei il peering VPC. Una volta stabilito il peering, il ruolo non è più necessario.

      Se la tua organizzazione non consente di concedere l'autorizzazione, crea un ruolo personalizzato con le seguenti autorizzazioni minime per creare ed eliminare le risorse di connessione privata:

      compute.globalAddresses.*

      • compute.globalAddresses.create
      • compute.globalAddresses.createInternal
      • compute.globalAddresses.delete
      • compute.globalAddresses.deleteInternal
      • compute.globalAddresses.get

      compute.globalOperations.*

      • compute.globalOperations.get

      compute.networks.*

      • compute.networks.addPeering
      • compute.networks.get
      • compute.networks.listPeeringRoutes
      • compute.networks.removePeering
      • compute.networks.use

      compute.routes.*

      • compute.routes.get
      • compute.routes.list

      compute.subnetworks.*

      • compute.subnetworks.get
      • compute.subnetworks.list

   Per saperne di più sui ruoli personalizzati, consulta Creare e gestire ruoli personalizzati.

Crea la configurazione

1. Esamina i prerequisiti richiesti per riflettere il modo in cui l'ambiente deve essere preparato per una configurazione della connettività privata. Per ulteriori informazioni su questi prerequisiti, vedi Prima di iniziare.

2. Vai alla pagina Configurazioni di connettività privata nella Google Cloud Console.

   Vai alla pagina delle configurazioni della connettività privata

3. Fai clic su CREA CONFIGURAZIONE.

4. Utilizza la seguente tabella per compilare i campi della sezione Configura la connettività privata della pagina Crea configurazione di connettività privata:

   Campo	Descrizione
   Nome della configurazione	Inserisci il nome visualizzato della configurazione di connettività privata.
   ID configurazione	Datastream compila questo campo automaticamente in base al nome della configurazione che inserisci. Puoi mantenere l'ID generato automaticamente o modificarlo.
   Regione	Seleziona la regione in cui è archiviata la configurazione della connettività privata. Le configurazioni di connettività privata vengono salvate in una regione. La selezione della regione può influire sulla disponibilità se si verifica un tempo di inattività per la regione. Per utilizzare una connessione privata, tutti i flussi e i profili di connessione che utilizzano questa configurazione devono trovarsi nella stessa regione.

5. Utilizza la seguente tabella per compilare i campi della sezione Configura connessione della pagina Crea configurazione di connettività privata:

   Campo	Descrizione
   Rete VPC autorizzata	Seleziona la rete VPC che hai creato in Prima di iniziare.
   Alloca un intervallo IP	Inserisci un intervallo IP disponibile sulla rete VPC. Hai determinato questo intervallo IP nella sezione Prima di iniziare.

6. Fai clic su CREA.

   La creazione della configurazione di connettività privata richiede alcuni minuti. Le risorse in background devono essere create in modo da poter creare la configurazione.

Dopo aver creato una configurazione di connettività privata, puoi visualizzare informazioni dettagliate e di alto livello al riguardo.