Configura l'accesso privato ai servizi

L'accesso privato ai servizi è una connessione privata Rete e reti Virtual Private Cloud (VPC) in VMware Engine. Questa pagina spiega come configurare l'accesso privato ai servizi a Google Cloud VMware Engine e connettere la rete VPC al cloud privato.

L'accesso privato ai servizi consente il seguente comportamento:

• Comunicazione esclusiva tramite indirizzo IP interno per le istanze di macchine virtuali (VM) nella rete VPC e le VM VMware. Le istanze VM non richiedono accesso a internet o indirizzi IP esterni per raggiungere i servizi che sono disponibili tramite l'accesso ai servizi privati.
• Comunicazione tra le VM VMware e i servizi supportati da Google Cloud, che supportano l'accesso ai servizi privati utilizzando indirizzi IP interni.
• Utilizzo di connessioni on-premise esistenti per la connessione Cloud privato VMware Engine, se disponi di connettività on-premise utilizzando Cloud VPN o Cloud Interconnect al tuo VPC in ogni rete.

Puoi configurare l'accesso privato ai servizi in modo indipendente da VMware Engine la creazione di un cloud privato. La connessione privata può essere creata prima o dopo la creazione del cloud privato a cui vuoi connettere la tua rete VPC.

1. Make sure that you have the following role or roles on the project: Compute > Network Admin

   Check for the roles

   1. In the Google Cloud console, go to the IAM page.

      Go to IAM
   2. Select the project.

   3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

   4. For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.

   Grant the roles

   1. In the Google Cloud console, go to the IAM page.

      Vai a IAM
   2. Seleziona il progetto.
   3. Fai clic su Concedi l'accesso.

   4. Nel campo Nuove entità, inserisci il tuo identificatore utente. In genere si tratta dell'indirizzo email di un Account Google.

   5. Nell'elenco Seleziona un ruolo, seleziona un ruolo.
   6. Per concedere altri ruoli, fai clic su Aggiungi un altro ruolo e aggiungi ogni altro ruolo.
   7. Fai clic su Salva.

Prima di iniziare

1. Individua l'ID progetto in peering della tua rete VPC nel seguente modo:
   1. Nella console Google Cloud, vai a Peering di rete VPC. Nella tabella del peering è elencata una connessione in peering della rete VPC con il nome servicenetworking-googleapis-com.
   2. Copia l'ID progetto associato in modo da poterlo utilizzare durante la configurazione di una connessione privata nel portale VMware Engine.
2. Seleziona una rete VPC per connetterti all'accesso privato ai servizi tra le opzioni disponibili.
   • Se utilizzi Cloud VPN per la connettività on-premise: seleziona la rete VPC connessa sessione Cloud VPN.
   • Se utilizzi Cloud Interconnect per la connettività on-premise: seleziona la rete VPC in cui termina il collegamento VLAN di Cloud Interconnect.
3. Attiva l'API Service Networking]service networking getting started nel tuo progetto.
4. I proprietari del progetto e le entità IAM con il ruolo Amministratore rete Compute (roles/compute.networkAdmin) possono creare intervalli IP allocati e gestire le connessioni private.
5. Inserisci gli intervalli di indirizzi per la connessione al servizio privato, per la gestione del cloud privato e per i segmenti di rete del carico di lavoro. In questo modo viene assicurato nessun conflitto di indirizzi IP tra le subnet di rete VPC e gli indirizzi IP che usi in VMware Engine.

Connettività multi-VPC

VMware Engine ti consente di accedere allo stesso cloud privato da Reti VPC senza la necessità di modificare le reti VPC esistenti con deployment in Google Cloud. Ad esempio, la connettività multi-VPC è è utile quando hai reti VPC separate per eseguire test sviluppo del prodotto.

Questa situazione richiede che le reti VPC comunichino con le VM VMware o con altri indirizzi di destinazione in gruppi di risorse vSphere separati nello stesso cloud privato o in più cloud privati.

Per impostazione predefinita, puoi eseguire il peering di 3 reti VPC per regione. Questo Il limite di peering include il peering VPC utilizzato da internet per accedere ai servizi di rete. Per aumentare questo limite, contatta l'assistenza clienti Google Cloud.

Attenzione: quando colleghi più reti VPC allo stesso cloud privato, assicurati che non ci siano sovrapposizioni con gli intervalli di indirizzi delle subnet o con le route pubblicate da NSX. In caso contrario, potresti notare comportamenti imprevisti inclusa l'impossibilità di connettersi a VMware Engine privato nuvole.

VPC condiviso

Se utilizzi un VPC condiviso, crea l'intervallo IP allocato e connessione privata nel progetto host. In genere, un amministratore di rete queste attività devono essere svolte dal progetto host. Le istanze VM nei progetti di servizio possono utilizzare la connessione privata dopo aver configurato il progetto host.

Crea una connessione privata

Per creare una connessione privata, devi prima creare una VPC Compute Engine e una connessione di accesso privato ai servizi. Puoi farlo utilizzando Google Cloud CLI:

Crea un VPC di Compute Engine e una connessione di accesso privato ai servizi utilizzando Google Cloud CLI.

Per creare un VPC di Compute Engine e una connessione di accesso privato ai servizi utilizzando Google Cloud CLI, segui questi passaggi:

1. Crea una VPC eseguendo il comando gcloud compute networks create:

   gcloud compute networks create NETWORK_ID-vpc \
       --subnet-mode=custom

   Sostituisci quanto segue:

   • NETWORK_ID: l'ID di rete per questa richiesta.

2. Crea un intervallo riservato eseguendo il comando gcloud compute addresses create:

   gcloud compute instances create VM_NAME \
     [--image=IMAGE | --image-family=IMAGE_FAMILY] \
     --image-project=IMAGE_PROJECT \
     --machine-type=MACHINE_TYPE

   gcloud compute addresses create RESERVED_RANGE_ID-range \
       --global \
       --purpose=VPC_PEERING \
       --prefix-length=24 \
       --description="DESCRIPTION" \
       --network=RESERVED_RANGE_ID-vpc

   Sostituisci quanto segue:

   • RESERVED_RANGE_ID: l'ID intervallo riservato per questa richiesta.
   • DESCRIPTION: una descrizione per questa offerta prenotata intervallo.

3. (Facoltativo) Se vuoi estrarre un progetto tenant di Service Networking (SNTP) e una VPC per la connessione privata, esegui il comando gcloud compute networks peerings list:

   gcloud compute networks peerings list \
      --network=NETWORK_ID

   Trova SNTP nella colonna PEER_PROJECT e SNVPC in PEER_NETWORK.

Crea una connessione privata con tipo PRIVATE_SERVICE_ACCESS e modalità di routing GLOBAL utilizzando Google Cloud CLI o l'API VMware Engine:

gcloud

1. Crea una connessione privata eseguendo il comando gcloud vmware private-connections create:

   gcloud vmware private-connections create PRIVATE_CONNECTION_ID \
     --location=REGION\
     --description="" \
     --vmware-engine-network=REGION-default \
     --service-project=SERVICE_NETWORKING_TENANT_PROJECT\
     --type=PRIVATE_SERVICE_ACCESS \
     --routing-mode=GLOBAL
   

   Nota: --service-network viene compilato automaticamente nell'interfaccia a riga di comando in base al tipo di connessione privata creata. Durante l'interazione diretta con l'API, devi trasmettere il nome completo di service_network nel formato: projects/{project}/global/networks/{network-id}.

   Sostituisci quanto segue:

   • PRIVATE_CONNECTION_ID: il privato ID connessione per questa richiesta.
   • REGION: la regione in cui creare questa rete in.
   • SERVICE_NETWORKING_TENANT_PROJECT: il nome del progetto per questo VPC tenant Service Networking. Puoi visualizzare SNTP nella colonna PEER_PROJECT del nome del peering servicenetworking-googleapis-com.

2. (Facoltativo) Se vuoi elencare le tue connessioni private, esegui il comando gcloud vmware private-connections create:

     gcloud vmware private-connections list \
       --location=REGION

   Sostituisci quanto segue:

   • REGION: la regione della rete da elencare.

API

Per creare una VPC Compute Engine e una connessione di accesso privato ai servizi utilizzando l'API VMware Engine, segui questi passaggi:

1. Crea una connessione privata inviando una richiesta POST:

   POST "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections?private_connection_id=PRIVATE_CONNECTION_ID"
   -d '{
     "description": "My first private connection",
     "vmware_engine_network":
   "projects/PROJECT_ID/locations/REGION/vmwareEngineNetworks/REGION
   -default",
     "type": "PRIVATE_SERVICE_ACCESS",
     "routing_mode": "GLOBAL",
     "service_network":
   "projects/SERVICE_NETWORKING_TENANT_PROJECT/global/networks/servicenetworking"
   }'
   

   Sostituisci quanto segue:

   • PRIVATE_CONNECTION_ID: il privato ID connessione per questa richiesta.
   • REGION: la regione in cui creare questo elemento privato connessione.
   • SERVICE_NETWORKING_TENANT_PROJECT: il nome del progetto per questo VPC del tenant di rete di servizi. Puoi visualizzare SNTP nella colonna PEER_PROJECT del nome del peering servicenetworking-googleapis-com.

2. (Facoltativo) Se vuoi elencare le tue connessioni private, invia una GET richiesta:

    GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections"
    

Sostituisci quanto segue:

• PROJECT_ID: il nome del progetto richiesta.
• REGION: la regione in cui elencare le connessioni private.

Modificare una connessione privata

Puoi modificare una connessione privata utilizzando Google Cloud CLI oppure l'API VMware Engine. L'esempio seguente modifica la descrizione e si aggiorna modalità di routing per REGIONAL:

gcloud

Modifica una connessione privata eseguendo il comando gcloud vmware private-connections update:

  gcloud vmware private-connections update PRIVATE_CONNECTION_ID \
    --location=REGION \
    --description="Updated description for the private connection" \
    --routing-mode=REGIONAL

Sostituisci quanto segue:

• PROJECT_ID: il nome del progetto per questa richiesta.
• REGION: la regione in cui aggiornare questa connessione privata.
• PRIVATE_CONNECTION_ID: l'ID connessione privata per questa richiesta.

API

Per modificare una connessione privata utilizzando l'API VMware Engine, effettua una richiesta PATCH :

PATCH "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID?update_mask=description, routing_mode" -d '{
  "description": "Updated description for the private connection",
  "routing_mode": "REGIONAL"
}'

Sostituisci quanto segue:

• PROJECT_ID: il nome del progetto per questa richiesta.
• REGION: la regione in cui aggiornare questa connessione privata.
• PRIVATE_CONNECTION_ID: la connessione privata ID per questa richiesta.

Descrivere una connessione privata

Per ottenere una descrizione di qualsiasi connessione privata utilizzando Google Cloud CLI o l'API VMware Engine, segui questi passaggi:

gcloud

Per ottenere una descrizione di una connessione privata, esegui il comando gcloud vmware private-connections describe:

  gcloud vmware private-connections describe PRIVATE_CONNECTION_ID \
    --location=REGION

Sostituisci quanto segue:

• PRIVATE_CONNECTION_ID: l'ID connessione privata per questa richiesta.
• REGION: la regione della connessione privata.

API

Per ottenere una descrizione di una connessione privata utilizzando il API VMware Engine, effettua una richiesta GET:

GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID"

Sostituisci quanto segue:

• PROJECT_ID: il nome del progetto per questa richiesta.
• PRIVATE_CONNECTION_ID: la connessione privata ID per questa richiesta.
• REGION: la regione della connessione privata.

Elenca le route di peering per una connessione privata

Per elencare le route di peering scambiate con una connessione privata utilizzando Google Cloud CLI o API VMware Engine, segui questi passaggi:

gcloud

Elenca le route di peering scambiate per una connessione privata eseguendo il comando gcloud vmware private-connections routes list:

  gcloud vmware private-connections routes list \
    --private-connection=PRIVATE_CONNECTION_ID \
    --location=REGION

Sostituisci quanto segue:

• PRIVATE_CONNECTION_ID: l'ID connessione privata per questa richiesta.
• REGION: la regione della connessione privata.

API

Per elencare le route di peering scambiate con una connessione privata utilizzando API VMware Engine, crea una richiesta GET:

GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID/peeringRoutes"

Sostituisci quanto segue:

• PROJECT_ID: il nome del progetto per questa richiesta.
• REGION: la regione della connessione privata.
• PRIVATE_CONNECTION_ID: la connessione privata ID per questa richiesta.

Limiti di routing

Il numero massimo di route che un cloud privato può ricevere è 200. Per Ad esempio, queste route possono provenire da reti on-premise, reti VPC e altri cloud privati nella stessa rete VPC. Questo limite di route corrisponde al numero massimo di annunci di route personalizzati per sessione BGP del router Cloud.

In una determinata regione, puoi annunciare al massimo 100 route univoci da VMware Engine alla tua rete VPC utilizzando l'accesso privato ai servizi. Ad esempio, queste route univoche includono il cloud privato di indirizzi IP di gestione, segmenti di rete dei carichi di lavoro NSX-T e rete HCX di indirizzi IP esterni. Questo limite di route include tutti i cloud privati nella regione e corrisponde al limite di route appresa dal router Cloud.

Per informazioni sui limiti di routing, consulta Quote e limiti dei router Cloud.

Risoluzione dei problemi

Il seguente video mostra come verificare e risolvere i problemi relativi al peering problemi di connessione tra il VPC di Google Cloud e Google Cloud VMware Engine.

Passaggi successivi

• Gestire le risorse e le attività di un cloud privato