网络要求
Google Cloud VMware Engine 提供了一个私有云环境，可供用户和应用从本地环境、企业管理的设备以及 Virtual Private Cloud (VPC) 等 Google Cloud 服务访问。如需在 VMware Engine 私有云和其他网络之间建立连接，请使用 Cloud VPN 和 Cloud Interconnect 等网络服务。
某些网络服务需要用户指定的地址范围才能启用功能。为了帮助您规划部署，本页面列出了网络要求及其关联功能。
如需详细了解网络概念和使用 VMware Engine 设计网络架构的注意事项，请参阅适用于 VMware Engine 的私有云网络白皮书。
VMware Engine 私有云连接
如需将 VPC 网络连接到 VMware Engine 私有云，您必须设置专用服务访问通道。从 VMware Engine 连接到本地环境也需要执行此过程。
如需从本地或远程网站访问您的 VMware Engine 私有云，您可以使用 Cloud VPN 或 Cloud Interconnect。根据您的需求，选择并遵循 Cloud VPN 和 Cloud Interconnect 的相应设置说明。
使用 Cloud DNS 进行全球地址解析
如果您需要使用 Cloud DNS 进行全球地址解析，请启用 Cloud DNS API。您必须先完成 Cloud DNS 设置，然后才能创建私有云。
CIDR 要求和限制
VMware Engine 为托管管理设备和部署 HCX 网络等服务设置地址范围。某些地址范围是强制性的，其他地址范围取决于您计划部署的服务。
您必须预留地址范围，确保这些范围不会与任何本地子网、VPC 网络子网或计划的工作负载子网重叠。
此外，您的工作负载虚拟机和 vSphere/vSAN 子网 CIDR 范围不得与以下范围内的任何 IP 地址重叠：
- 127.0.0.0/8
- 224.0.0.0/4
- 0.0.0.0/8
- 169.254.0.0/16
- 198.18.0.0/15
- 240.0.0.0/4
vSphere/vSAN 子网 CIDR 范围
VMware Engine 会在您在私有云创建期间提供的 vSphere/vSAN 子网 CIDR 范围内部署私有云的管理组件。此范围内的 IP 地址已预留给私有云基础架构，不能用于工作负载虚拟机。CIDR 范围前缀必须在 /24/24 和 /24/20 之间。
子网 CIDR 范围划分版本
2022 年 11 月之后创建的私有云遵循 IP 地址布局（IP 方案）2.0 版子网分配。2022 年 11 月之前创建的几乎所有私有云都遵循 IP 方案 1.0 版子网分配。
如需了解您的私有云遵守的版本，请完成以下步骤：
- 访问 Google Cloud VMware Engine 门户。
- 在资源页面上，点击摘要。
版本号显示在 IP 方案版本下。
vSphere/vSAN 子网 CIDR 范围大小
vSphere/vSAN 子网 CIDR 范围的大小会影响私有云的大小上限。下表显示了您可以拥有的节点数上限，具体取决于 vSphere/vSAN 子网 CIDR 范围的大小。
| 指定的 vSphere/vSAN 子网 CIDR 前缀 | 节点数上限（IP 方案 1.0 版） | 节点数上限（IP 方案 2.0 版） |
|---|---|---|
| /24 | 26 | 10 |
| /23 | 58 | 20 |
| /22 | 118 | 40 |
| /21 | 220 | 90 |
| /20 | 不适用 | 200 |
选择 CIDR 范围前缀时，请考虑私有云中的资源的节点限制。例如，/24/24 和 /23/24 的 CIDR 范围前缀不支持可供私有云使用的节点数上限。或者，/20/20 的 CIDR 范围前缀支持私有云的当前节点数上限。
管理网络 CIDR 范围划分示例
您指定的 vSphere/vSAN 子网 CIDR 范围划分为多个子网。下表显示了允许的前缀的细分示例。第一组示例使用 192.168.0.0192.168.0.0 作为 IP 方案 1.0 版的 CIDR 范围，第二组示例使用 192.168.0.010.0.0.0 作为 IP 方案 2.0 版的 CIDR 范围。
| 功能 | 子网掩码/前缀（IP 方案 1.0 版） | |||
|---|---|---|---|---|
| vSphere/vSAN 子网 CIDR 范围 | 192.168.0.0/21 | 192.168.0.0/22 | 192.168.0.0/23 | 192.168.0.0/24 |
| 系统管理 | 192.168.0.0/24 | 192.168.0.0/24 | 192.168.0.0/25 | 192.168.0.0/26 |
| vMotion | 192.168.1.0/24 | 192.168.1.0/25 | 192.168.0.128/26 | 192.168.0.64/27 |
| vSAN | 192.168.2.0/24 | 192.168.1.128/25 | 192.168.0.192/26 | 192.168.0.96/27 |
| NSX-T 主机传输 | 192.168.4.0/23 | 192.168.2.0/24 | 192.168.1.0/25 | 192.168.0.128/26 |
| NSX-T 边缘传输 | 192.168.7.208/28 | 192.168.3.208/28 | 192.168.1.208/28 | 192.168.0.208/28 |
| NSX-T 边缘上行链路 1 | 192.168.7.224/28 | 192.168.3.224/28 | 192.168.1.224/28 | 192.168.0.224/28 |
| NSX-T 边缘上行链路 2 | 192.168.7.240/28 | 192.168.3.240/28 | 192.168.1.240/28 | 192.168.0.240/28 |
| 功能 | 子网掩码/前缀（IP 方案 2.0 版） | |||||
|---|---|---|---|---|---|---|
| vSphere/vSAN 子网 CIDR 范围 | 10.0.0.0/20 | 10.0.0.0/21 | 10.0.0.0/22 | 10.0.0.0/23 | 10.0.0.0/24 | |
| 系统管理 | 10.0.0.0/22 | 10.0.0.0/23 | 10.0.0.0/24 | 10.0.0.0/25 | 10.0.0.0/26 | |
| vMotion | 10.0.4.0/24 | 10.0.2.0/25 | 10.0.1.0/26 | 10.0.0.128/27 | 10.0.0.64/28 | |
| vSAN | 10.0.5.0/24 | 10.0.2.128/25 | 10.0.1.64/26 | 10.0.0.160/27 | 10.0.0.80/28 | |
| NSX-T 传输 | 10.0.6.0/23 | 10.0.3.0/24 | 10.0.1.128/25 | 10.0.0.192/26 | 10.0.0.128/27 | |
| HCX 上行链路 | 10.0.11.128/25 | 10.0.6.0/26 | 10.0.3.32/27 | 10.0.1.144/28 | 10.0.0.216/29 | |
| NSX-T 边缘上行链路 1 | 10.0.8.0/28 | 10.0.4.0/28 | 10.0.2.0/28 | 10.0.1.0/28 | 10.0.0.160/29 | |
| NSX-T 边缘上行链路 2 | 10.0.8.16/28 | 10.0.4.16/28 | 10.0.2.16/28 | 10.0.1.16/28 | 10.0.0.168/29 | |
| NSX-T 边缘上行链路 3 | 10.0.8.32/28 | 10.0.4.32/28 | 10.0.2.32/28 | 10.0.1.32/28 | 10.0.0.176/29 | |
| NSX-T 边缘上行链路 4 | 10.0.8.48/28 | 10.0.4.48/28 | 10.0.2.48/28 | 10.0.1.48/28 | 10.0.0.184/29 | |
HCX 和 NSX-T 边缘扩缩（仅限 IP 方案 2.0 版）
| 指定的 vSphere/vSAN 子网 CIDR 前缀 | 最大远程 HCX 站点数 | 最大 HCX 网络扩展设备数 | 最大 NSX-T 边缘虚拟机数 |
|---|---|---|---|
| /24 | 2 | 1 | 2 |
| /23 | 4 | 2 | 4 |
| /22 | 14 | 8 | 8 |
| /21 | 25 | 32 | 8 |
| /20 | 25 | 64 | 8 |
HCX 部署网络 CIDR 范围（仅限 IP 方案 1.0 版）
在 IP 方案 1.0 版中，HCX 未集成到 vSphere/vSAN 子网 CIDR 范围内。创建私有云时，您可以选择指定 VMware Engine 在私有云上安装 HCX，方法是指定 HCX 组件要使用的网络 CIDR 范围。CIDR 范围前缀为 /26 或 /27。/26/26
VMware Engine 将您提供的网络划分为三个子网：
- HCX 管理：用于安装 HCX Manager。
- HCX vMotion：用于本地环境和 VMware Engine 私有云之间的虚拟机 vMotion。
- HCX WANUplink：用于在本地环境和 VMware Engine 私有云之间建立隧道。
HCX CIDR 范围细分示例
您指定的 HCX 部署 CIDR 范围划分为多个子网。下表显示了允许的前缀的细分示例。这些示例使用 192.168.1.0 作为 CIDR 范围。192.168.1.0
| 功能 | 子网掩码/前缀 | |||
|---|---|---|---|---|
| HCX 部署网络 CIDR 范围 | 192.168.1.0/26 | 192.168.1.64/26 | 192.168.1.0/27 | 192.168.1.32/27 |
| HCX Manager | 192.168.1.13 | 192.168.1.77 | 192.168.1.13 | 192.168.1.45 |
对 VMware Engine 的专用服务访问通道
下表介绍了与 Google Cloud 服务建立专用连接的地址范围要求。
| 名称/用途 | 说明 | CIDR 前缀 |
|---|---|---|
| 已分配的地址范围 | 用于 Google Cloud 服务（包括 VMware Engine）的专用连接的地址范围。 | /24 或更大 |
VMware Engine 提供的边缘网络服务
下表介绍了 VMware Engine 提供的边缘网络服务的地址范围要求。
| 名称/用途 | 说明 | CIDR 前缀 |
|---|---|---|
| 边缘服务 CIDR | 如果按区域启用了可选的边缘服务（例如互联网访问和公共 IP），则此 CIDR 是必需的。 | /26 |
防火墙端口要求
您可以使用网站到网站 VPN 或专用互连来设置从本地网络到私有云的连接。使用该连接访问您的 VMware 私有云 vCenter 以及您在私有云中运行的任何工作负载。
您可以通过在本地网络中使用防火墙来控制连接上打开的端口。本部分列出了常见的应用端口要求。如需了解其他任何应用的端口要求，请参阅该应用的文档。
如需详细了解用于 VMware 组件的端口，请参阅 VMware 端口和协议。
访问 vCenter 所需的端口
如需访问私有云中的 vCenter Server 和 NSX-T Manager，请打开本地防火墙上的以下端口：
| 端口 | 来源 | 目的地 | 目的 |
|---|---|---|---|
| 53 (UDP) | 本地 DNS 服务器 | 私有云 DNS 服务器 | 将 gve.goog 的 DNS 查找从本地网络转发到私有云 DNS 服务器是必需的。 |
| 53 (UDP) | 私有云 DNS 服务器 | 本地 DNS 服务器 | 将本地域名的 DNS 查找从私有云 vCenter 转发到本地 DNS 服务器是必需的。 |
| 80 (TCP) | 本地网络 | 私有云管理网络 | 将 vCenter URL 从 HTTP 重定向到 HTTPS 是必需的。 |
| 443 (TCP) | 本地网络 | 私有云管理网络 | 从本地网络访问 vCenter 和 NSX-T 管理器是必需的。 |
| 8000 (TCP) | 本地网络 | 私有云管理网络 | 虚拟机 (VM) 从本地到私有云的 vMotion 是必需的。 |
| 8000 (TCP) | 私有云管理网络 | 本地网络 | 虚拟机从私有云到本地的 vMotion 是必需的。 |
访问工作负载虚拟机所需的常见端口
要访问在私有云上运行的工作负载虚拟机，您必须在本地防火墙上打开端口。下表列出了常见端口。如需了解任何应用特定的端口要求，请参阅应用文档。
| 端口 | 来源 | 目的地 | 用途 |
|---|---|---|---|
| 22 (TCP) | 本地网络 | 私有云工作负载网络 | 对私有云上运行的 Linux 虚拟机进行安全的 shell 访问。 |
| 3389 (TCP) | 本地网络 | 私有云工作负载网络 | 对私有云上运行的 Windows Server 虚拟机进行远程桌面访问。 |
| 80 (TCP) | 本地网络 | 私有云工作负载网络 | 访问私有云上运行的虚拟机中部署的任何网络服务器。 |
| 443 (TCP) | 本地网络 | 私有云工作负载网络 | 访问私有云上运行的虚拟机中部署的任何安全网络服务器。 |
| 389 (TCP/UDP) | 私有云工作负载网络 | 本地 Active Directory 网络 | 将 Windows Server 工作负载虚拟机加入本地 Active Directory 域。 |
| 53 (UDP) | 私有云工作负载网络 | 本地 Active Directory 网络 | 工作负载虚拟机对本地 DNS 服务器的 DNS 服务访问。 |
将本地 Active Directory 用作身份源所需的端口
如需查看将本地 Active Directory 配置为私有云 vCenter 上的身份源所需的端口列表，请参阅使用 Active Directory 配置身份验证。