Questa pagina è stata tradotta dall'API Cloud Translation.

Configura l'accesso a internet per le VM dei carichi di lavoro

Configura il servizio di rete di accesso a internet per i carichi di lavoro VMware in Google Cloud VMware Engine in base alla regione. Puoi indirizzare il traffico diretto a internet dalle VM dei carichi di lavoro utilizzando l'infrastruttura perimetrale di internet di Google Cloud o una connessione on-premise.

Le VM dei carichi di lavoro che possono accedere a internet possono accedere anche ai servizi Google Cloud utilizzando l'accesso privato Google. L'accesso ai servizi Google Cloud utilizzando l'accesso privato Google rimane all'interno delle reti Google Cloud e non esce su internet.

Il servizio di rete di accesso a internet supporta quanto segue:

Fino a 100 indirizzi IP pubblici per ogni regione
Fino a 300 regole firewall per tabella firewall
Throughput fino a 2 Gbps su 128.000 connessioni simultanee per ogni regione
Protocolli TCP, UDP e ICMP

Il servizio di rete di accesso a internet non supporta la funzionalità di gateway a livello di applicazione (ALG).

Prima di iniziare

Per apportare modifiche alle impostazioni di accesso a internet del tuo cloud privato, devi avere accesso amministrativo a VMware Engine.

Per attivare l'accesso a internet, devi avere un intervallo di indirizzi CIDR dei servizi edge. Quando attivi i servizi di rete di accesso a internet o IP pubblico, i gateway vengono di cui nel contesto del tenant di servizio.

Utilizza l'intervallo di indirizzi CIDR dei servizi edge per indirizzare i gateway IP pubblici e internet di VMware Engine. L'intervallo di indirizzi deve soddisfare i seguenti requisiti:

Essere conforme a RFC 1918 come intervallo privato.
Non devono sovrapporsi ad altri intervalli di indirizzi di VMware Engine, ad esempio l'intervallo di indirizzi utilizzato per gli appliance di gestione o i segmenti NSX-T.
Non devono sovrapporsi a intervalli di indirizzi pubblicizzati per VMware Engine, ad esempio quelli utilizzati per le subnet di reti Virtual Private Cloud (VPC) o le reti on-premise.
Dedica un intervallo di indirizzi IP con 26 bit di maschera di sottorete (/26).

Requisiti dell'API e di Google Cloud CLI

Per utilizzare lo strumento a riga di comando gcloud o l'API per gestire le risorse di VMware Engine, ti consigliamo di configurare gli strumenti come descritto di seguito.

gcloud

Imposta l'ID progetto predefinito:
```
gcloud config set project PROJECT_ID
```

Imposta una regione e una zona predefinite:

gcloud config set compute/region REGION

gcloud config set compute/zone ZONE

Per ulteriori informazioni sullo strumento gcloud vmware, consulta la documentazione di riferimento di Cloud SDK.

API

Gli esempi di API in questo set di documentazione utilizzano lo strumento a riga di comando cURL per eseguire query sull'API. È necessario un token di accesso valido nell'ambito della richiesta cURL. Esistono molti modi per ottenere un token di accesso valido. I seguenti passaggi utilizzano lo strumento gcloud per generare un token di accesso:

Accedi a Google Cloud:
```
gcloud auth login
```
Genera il token di accesso ed esportalo in TOKEN:
```
export TOKEN=`gcloud auth print-access-token`
```
Verifica che TOKEN sia impostato correttamente:
```
echo $TOKEN
```

Ora utilizza il token di autorizzazione nelle richieste all'API. Ad esempio:

curl -X GET -H "Authorization: Bearer \"$TOKEN\"" -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations

Python

Gli esempi di codice Python in questa documentazione utilizzano la libreria VMware Engine per comunicare con l'API. Per poter utilizzare questo approccio, la libreria deve essere installata e le Credenziali predefinite dell'applicazione devono essere configurate.

Scarica e installa la libreria Python:
```
pip install google-cloud-vmwareengine
```
Configura le informazioni dell'ADC eseguendo i seguenti comandi nella shell:
```
gcloud auth application-default login
```
In alternativa, utilizza un file della chiave dell'account di servizio:
```
export GOOGLE_APPLICATION_CREDENTIALS="FILE_PATH"
```

Per ulteriori informazioni sulla libreria, visita la pagina di riferimento o visualizza gli esempi di codice su GitHub.

Configura il servizio di accesso a internet

Puoi consentire alle VM dei workload di accedere a internet creando o aggiornando un criterio di rete.

Per impostazione predefinita, il servizio di rete di accesso a internet è disabilitato.

Attivare il servizio di accesso a internet in una regione

Console

Per attivare il servizio di accesso a internet in una regione:

Nella console Google Cloud, vai alla pagina Norme di rete.

Vai a Criteri di rete
Fai clic su Crea per creare un nuovo criterio. Se vuoi modificare un criterio di rete esistente, fai clic sull'icona Altro alla fine di una riga e seleziona Modifica.
Compila i dettagli del criterio di rete, inclusa la scelta della rete e della regione a cui si applica il criterio.
Imposta Accesso a internet su Attivato e, facoltativamente, attiva Servizio di indirizzi IP esterni.

Nota: puoi attivare l'accesso a internet e lasciare disattivato il servizio IP pubblico. In questo caso, la VPN point-to-site e l'allocazione di IP pubblici non sono disponibili.
Nel campo Edge Services CIDR, inserisci l'intervallo di indirizzi da utilizzare per indirizzare il gateway internet di VMware Engine (intervallo di indirizzi /26).
Fai clic su Crea.

Lo stato del servizio diventa Attivato al termine dell'operazione, in genere dopo alcuni minuti.

gcloud

Utilizzando lo strumento gcloud, esegui il comando seguente per creare un criterio di rete:

gcloud vmware network-policies create NETWORK_POLICY_NAME \
    --vmware-engine-network projects/PROJECT_ID/locations/LOCATIONS/vmwareEngineNetworks/NETWORK_ID \
    --edge-services-cidr=IP_RANGE \
    --location=LOCATION \
    --internet-access

Sostituisci quanto segue:

NETWORK_POLICY_NAME: il nome di questo criterio di rete.
NETWORK_ID: la rete a cui si applica questo criterio di rete
IP_RANGE: l'intervallo CIDR da utilizzare per l'accesso a internet e per i gateway di accesso IP esterni, in notazione CIDR. È obbligatorio un blocco CIDR RFC 1918 con un prefisso "/26".
LOCATION: global per le reti legacy o la regione di una rete standard

API

curl -X POST -H "Authorization: Bearer TOKEN"  -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/networkPolicies?networkPolicyId=NETWORK_POLICY_NAME

'{
  "vmwareEngineNetwork":"projects/PROJECT_ID/locations/LOCATION/vmwareEngineNetworks/NETWORK_ID",
  "edgeServiceCidr":IP_RANGE,
  "internetAccess: {
    "enabled": true
   },
   "externalIp": {
     "enabled": true
   }
}"

Sostituisci quanto segue:

NETWORK_POLICY_NAME: il nome di questo criterio di rete. Deve essere nel formato REGION-default.
PROJECT_ID: l'ID progetto per questa richiesta
LOCATION: global per le reti legacy o la regione di una rete standard
IP_RANGE: l'intervallo CIDR da utilizzare per l'accesso a internet e per i gateway di accesso IP esterni, in notazione CIDR. È obbligatorio un blocco CIDR RFC 1918 con un prefisso "/26".
NETWORK_ID: la rete per questo criterio di rete

Python

from google.api_core import operation
from google.cloud import vmwareengine_v1


def create_network_policy(
    project_id: str,
    region: str,
    ip_range: str,
    internet_access: bool,
    external_ip: bool,
) -> operation.Operation:
    """
    Creates a new network policy in a given network.

    Args:
        project_id: name of the project you want to use.
        region: name of the region you want to use. I.e. "us-central1"
        ip_range: the CIDR range to use for internet access and external IP access gateways,
            in CIDR notation. An RFC 1918 CIDR block with a "/26" suffix is required.
        internet_access: should internet access be allowed.
        external_ip: should external IP addresses be assigned.

    Returns:
        An operation object representing the started operation. You can call its .result() method to wait for
        it to finish.

    Raises:
        ValueError if the provided ip_range doesn't end with /26.
    """
    if not ip_range.endswith("/26"):
        raise ValueError(
            "The ip_range needs to be an RFC 1918 CIDR block with a '/26' suffix"
        )

    network_policy = vmwareengine_v1.NetworkPolicy()
    network_policy.vmware_engine_network = f"projects/{project_id}/locations/{region}/vmwareEngineNetworks/{region}-default"
    network_policy.edge_services_cidr = ip_range
    network_policy.internet_access.enabled = internet_access
    network_policy.external_ip.enabled = external_ip

    request = vmwareengine_v1.CreateNetworkPolicyRequest()
    request.network_policy = network_policy
    request.parent = f"projects/{project_id}/locations/{region}"
    request.network_policy_id = f"{region}-default"

    client = vmwareengine_v1.VmwareEngineClient()
    return client.create_network_policy(request)

Disattivare il servizio di accesso a internet in una regione

Per disattivare il servizio di accesso a internet in una regione:

Console

Nella console Google Cloud, vai alla pagina Norme di rete.

Vai a Criteri di rete
Nella riga corrispondente al criterio di rete pertinente, fai clic sull'icona Altro.
Imposta l'opzione Accesso a internet su Disattivato.
- Devi disattivare il servizio IP pubblico prima di poter disattivare l'accesso a internet.
- Per poter disattivare il servizio IP pubblico, devi eliminare tutti gli indirizzi IP pubblici allocati e i gateway VPN point-to-site.
Fai clic su Salva.

Lo stato del servizio diventa Disattivato al termine dell'operazione, in genere dopo alcuni minuti.

gcloud

Utilizzando lo strumento gcloud, esegui il seguente comando per aggiornare il criterio di rete:

gcloud vmware network-policies update NETWORK_POLICY_NAME \
  --no-internet-access \
  --location LOCATION

Sostituisci quanto segue:

NETWORK_POLICY_NAME: il nome di questo criterio di rete
LOCATION: global per le reti legacy o la regione di una rete standard

API

curl -X PATCH -H "Authorization: Bearer TOKEN"  -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/networkPolicies/NETWORK_POLICY_NAME?updateMask=internetAccess.enabled,externalIp.enabled -d "{
  "internetAccess: {
    "enabled": false
 },
  "externalIp": {
    "enabled": false
   }
}"

Sostituisci quanto segue:

PROJECT_ID: l'ID progetto per questa richiesta
LOCATION: global per le reti legacy o la regione di una rete standard
NETWORK_POLICY_NAME: il nome di questo criterio di rete

Python

from google.api_core import operation
from google.cloud import vmwareengine_v1


def update_network_policy(
    project_id: str, region: str, internet_access: bool, external_ip: bool
) -> operation.Operation:
    """
    Updates a network policy in a given network.

    Args:
        project_id: name of the project you want to use.
        region: name of the region you want to use. I.e. "us-central1".
        internet_access: should internet access be allowed.
        external_ip: should external IP addresses be assigned.

    Returns:
        An operation object representing the started operation. You can call its .result() method to wait for
        it to finish.
    """

    client = vmwareengine_v1.VmwareEngineClient()
    request = vmwareengine_v1.UpdateNetworkPolicyRequest()
    request.update_mask = "internetAccess.enabled,externalIp.enabled"
    network_policy = vmwareengine_v1.NetworkPolicy()
    network_policy.name = (
        f"projects/{project_id}/locations/{region}/networkPolicies/{region}-default"
    )
    network_policy.vmware_engine_network = f"projects/{project_id}/locations/{region}/vmwareEngineNetworks/{region}-default"
    network_policy.internet_access.enabled = internet_access
    network_policy.external_ip.enabled = external_ip

    request.network_policy = network_policy

    return client.update_network_policy(request)

Utilizzare una connessione on-premise per l'accesso a internet dei carichi di lavoro

Se vuoi, puoi indirizzare il traffico diretto a internet dalle VM dei carichi di lavoro in VMware Engine tramite una connessione on-premise. Il traffico viene indirizzato in base allo stato di quanto segue:

Annuncio del percorso predefinito (0.0.0.0/0) da on-premise
Servizio IP pubblico VMware Engine
Servizio di accesso a internet di VMware Engine
Controlli di servizio VPC sulla connessione in peering VPC tra la rete VPC e VMware Engine

Consenti il routing del traffico internet tramite una connessione on-premise

Per accedere a internet dalle VM dei carichi di lavoro tramite una connessione on-premise, devi completare due passaggi:

Annunci la route predefinita (0.0.0.0/0) dall'on-premise tramite una connessione on-premise (Cloud VPN o Cloud Interconnect). Controlla il gateway Cloud VPN o il router Cloud dove termina la connessione on-premise alla VPN.
Disattiva l'accesso a internet e il servizio IP pubblico per la rete VMware Engine.

Console

Nella console Google Cloud, vai alla pagina Norme di rete.

Vai a Criteri di rete
Nella riga corrispondente al criterio di rete pertinente, fai clic sull'icona Altro.
Imposta IP pubblico su Disattivato.

Nota: prima di poter disattivare il servizio IP pubblico, devi eliminare gli indirizzi IP esterni allocati e i gateway VPN point-to-site.
Imposta l'opzione Accesso a internet su Disattivato.
Fai clic su Salva.
Se utilizzi una rete VMware Engine legacy: attiva i Controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings enable-vpc-service-controls:
```
gcloud services vpc-peerings enable-vpc-service-controls \
   --network=VPC_NETWORK \
   --service=servicenetworking.googleapis.com
```

gcloud

Utilizzando lo strumento gcloud, esegui il seguente comando per aggiornare il criterio di rete:

gcloud vmware network-policies update NETWORK_POLICY_NAME \
  --no-internet-access \
  --no-external-ip-address \
  --location LOCATION

Sostituisci quanto segue:

NETWORK_POLICY_NAME: il nome di questo criterio di rete
LOCATION: global per le reti legacy o la regione di una rete standard

Se utilizzi una rete VMware Engine legacy: abilita i Controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings enable-vpc-service-controls:

gcloud services vpc-peerings enable-vpc-service-controls \
   --network=VPC_NETWORK \
   --service=servicenetworking.googleapis.com

API

curl -X PATCH -H "Authorization: Bearer TOKEN"  -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/networkPolicies/NETWORK_POLICY_NAME?updateMask=internetAccess.enabled,externalIp.enabled

"{
  "internetAccess: {
    "enabled": false
   },
  "externalIp: {
    "enabled": false
   }
}"

Se utilizzi una rete VMware Engine legacy: attiva i Controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings enable-vpc-service-controls:

gcloud services vpc-peerings enable-vpc-service-controls \
   --network=VPC_NETWORK_NAME \
   --service=servicenetworking.googleapis.com

Python

Imposta internet_access e external_ip su False.

from google.api_core import operation
from google.cloud import vmwareengine_v1


def update_network_policy(
    project_id: str, region: str, internet_access: bool, external_ip: bool
) -> operation.Operation:
    """
    Updates a network policy in a given network.

    Args:
        project_id: name of the project you want to use.
        region: name of the region you want to use. I.e. "us-central1".
        internet_access: should internet access be allowed.
        external_ip: should external IP addresses be assigned.

    Returns:
        An operation object representing the started operation. You can call its .result() method to wait for
        it to finish.
    """

    client = vmwareengine_v1.VmwareEngineClient()
    request = vmwareengine_v1.UpdateNetworkPolicyRequest()
    request.update_mask = "internetAccess.enabled,externalIp.enabled"
    network_policy = vmwareengine_v1.NetworkPolicy()
    network_policy.name = (
        f"projects/{project_id}/locations/{region}/networkPolicies/{region}-default"
    )
    network_policy.vmware_engine_network = f"projects/{project_id}/locations/{region}/vmwareEngineNetworks/{region}-default"
    network_policy.internet_access.enabled = internet_access
    network_policy.external_ip.enabled = external_ip

    request.network_policy = network_policy

    return client.update_network_policy(request)

gcloud services vpc-peerings enable-vpc-service-controls \
   --network=VPC_NETWORK \
   --service=servicenetworking.googleapis.com

L'attivazione di Controlli di servizio VPC è essenziale per instradare il traffico internet tramite una connessione on-premise o un VPC nel progetto.

Quando Controlli di servizio VPC sono abilitati, Google Cloud apporta le seguenti modifiche al routing nella rete VPC del producer di servizi (in questo caso, il progetto tenant di servizio in peering con VMware Engine):

Rimuove la route predefinita IPv4 (destinazione 0.0.0.0/0, gateway internet predefinito per l'hop successivo).
Inizia a inoltrare il traffico internet utilizzando la route predefinita del peering VPC.

Esempio:

Per attivare i Controlli di servizio VPC per una connessione in peering con una rete denominata "my-network" nel progetto corrente, utilizza il comando gcloud services vpc-peerings enable-vpc-service-controls:

gcloud services vpc-peerings enable-vpc-service-controls \
    --network=my-network \
    --service=servicenetworking.googleapis.com

Disattivare il routing del traffico internet tramite una connessione on-premise

Per disattivare il routing del traffico internet dalle VM del tuo carico di lavoro tramite una connessione on-premise, smetti di pubblicizzare la route predefinita (0.0.0.0/0) e disattiva i Controlli di servizio VPC sulla connessione in peering VPC.

Se utilizzi una rete VMware Engine legacy: disabilita i Controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings disable-vpc-service-controls:

gcloud services vpc-peerings disable-vpc-service-controls \
    --network=VPC_NETWORK_NAME \
    --service=servicenetworking.googleapis.com

Passaggi successivi

Scopri come allocare un indirizzo IP pubblico per una VM nel tuo cloud privato.
Scopri come le tabelle e le regole firewall filtrano il traffico di rete verso e dalle risorse cloud privato.