Configura conexiones privadas (heredado)

Precaución: Solo se requiere habilitar el acceso privado a los servicios para las redes heredadas. No es necesario que habilites los servicios privados para las redes estándar.

El acceso privado a servicios es una conexión privada entre tu red de nube privada virtual (VPC) y las redes en VMware Engine. En esta página, se explica cómo configurar el acceso privado a los servicios en Google Cloud VMware Engine y cómo conectar una red de VPC a una nube privada.

El acceso privado a los servicios permite el siguiente comportamiento:

• Comunicación exclusiva por dirección IP interna para instancias de máquina virtual (VM) en tu red de VPC y las VM de VMware. Las instancias de VM no necesitan acceso a Internet o direcciones IP externas para alcanzar los servicios que están disponibles a través del acceso privado a los servicios.
• La comunicación entre las VM de VMware y los servicios compatibles de Google Cloud admite el acceso privado a los servicios mediante direcciones IP internas.
• Uso de conexiones locales existentes para conectarte a tu nube privada de VMware Engine, si tienes conectividad local mediante Cloud VPN o Cloud Interconnect a tu red de VPC.

Puedes configurar el acceso privado a los servicios y crear las nubes privadas de VMware Engine por separado. La conexión privada se puede crear antes o después de la creación de la nube privada a la que deseas conectar tu red de VPC.

Permisos

1. Asegúrate de tener los siguientes roles en el proyecto: Compute > Network Admin

   Verifica los roles

   1. En la consola de Google Cloud, ve a la página IAM.

      Ir a IAM
   2. Selecciona el proyecto.

   3. En la columna Principal, busca la fila que tiene tu dirección de correo electrónico.

      Si tu dirección de correo electrónico no está en esa columna, no tienes ningún rol.

   4. En la columna Función de la fila con la dirección de correo electrónico, verifica si la lista de roles incluye los roles necesarios.

   Otorga los roles

   1. En la consola de Google Cloud, ve a la página IAM.

      Ir a IAM
   2. Selecciona el proyecto.
   3. Haz clic en Grant access.
   4. En el campo Principales nuevas, ingresa tu dirección de correo electrónico.
   5. En la lista Seleccionar un rol, elige un rol.
   6. Para otorgar funciones adicionales, haz clic en Agregar otro rol y agrega cada rol adicional.
   7. Haz clic en Guardar.

Antes de comenzar

1. Debes tener una red de VPC existente.
2. Activa la API de Service Networking en el proyecto.

3. Configura el acceso privado a los servicios en la red de VPC a la que quieres conectarte.

   Nota: Debes asignar rangos de direcciones para la conexión privada del servicio, la administración de la nube privada y los segmentos de red de las cargas de trabajo. Esto garantiza que no haya conflictos de direcciones IP entre tu las subredes de red y las direcciones IP que usas en VMware Engine.

4. Para encontrar el ID del proyecto con intercambio de tráfico de tu red de VPC, sigue estos pasos:

   1. En la consola de Google Cloud, ve a Intercambio de tráfico entre redes de VPC. R Conexión de intercambio de tráfico entre redes de VPC con nombre servicenetworking-googleapis-com aparece en la tabla de intercambio de tráfico.
   2. Copia el ID del proyecto de intercambio de tráfico para poder usarlo mientras configuras una una conexión privada en la consola de Google Cloud.

Conectividad de VPC múltiple

VMware Engine te permite acceder a la misma nube privada desde diferentes VPC sin necesidad de cambiar las arquitecturas de VPC existentes implementadas en Google Cloud. Por ejemplo, la conectividad de varias VPC es útil cuando tienes redes de VPC independientes para probar y desarrollar.

Esta situación requiere que las VPC se comuniquen con las VM de VMware y otras direcciones de destino en grupos de recursos de vSphere independientes en la misma nube privada o en varias nubes privadas.

De forma predeterminada, puedes intercambiar 3 redes de VPC por región. Esta incluye el intercambio de tráfico entre VPC que usa la Internet acceder al servicio de red. Para aumentar este límite, comunícate con Atención al cliente de Cloud.

Unicidad de la dirección IP

Cuando conectas tu red de VPC a una red regional de VMware Engine, sigue estos lineamientos para garantizar que las direcciones IP sean únicas:

• Los rangos de IP y las subredes de VMware Engine en tu red de VPC no pueden usar el mismos rangos de direcciones IP.

• Los rangos de IP de VMware Engine no pueden caber dentro de un rango de direcciones IP de subred en tu red de VPC. Las rutas de subred en tu red de VPC deben tener la rangos de direcciones IP específicos.

• Revisa con atención la descripción general de las rutas de red de VPC funcionan las rutas de red.

• Si necesitas conectar dos o más redes de VMware Engine a la misma red de VPC, debes usar rangos de IP únicos para cada de VMware Engine o solo debes habilitar la conectividad NSX-T para una de las redes de VMware Engine con los mismos rangos de IP que otra red de VMware Engine.

Precaución: Si no sigues estos lineamientos, es posible que se produzcan comportamientos inesperados. incluida la imposibilidad de acceder a tus nubes privadas de VMware Engine.

Crea una conexión privada

Crea una conexión privada en la consola, Google Cloud CLI o la API de REST. En tu solicitud, establece el tipo de conexión en PRIVATE_SERVICE_ACCESS y, entre el modo de enrutamiento al modo de enrutamiento GLOBAL.

Console

1. Accede a la consola de Google Cloud
2. Desde el menú de navegación principal, ve a Conexiones privadas.
3. Haz clic en Crear.
4. Proporciona un Nombre y una Descripción para la conexión.
5. Selecciona la red de VMware Engine a la que deseas conectarte.
6. En el campo ID del proyecto con intercambio de tráfico, pega el ID del proyecto con intercambio de tráfico que copiaste en los requisitos previos.
7. En Tipo de conexión privada, selecciona Acceso privado a servicios.
8. Selecciona el modo de enrutamiento para esta conexión de intercambio de tráfico entre redes de VPC. En la mayoría de los casos, recomendamos modo de enrutamiento global. Si no quieres que Google intercambio de tráfico con tu red de VPC para comunicarse entre regiones, selecciona el modo de enrutamiento Regional en su lugar. Esta La selección anula el modo de enrutamiento existente.
9. Haz clic en Enviar.

Cuando se crea la conexión, puedes seleccionar la conexión específica la lista de conexiones privadas. La página de detalles de cada conexión privada muestra el modo de enrutamiento de la conexión privada y las rutas aprendidas a través del intercambio de tráfico entre VPC.

En la tabla Rutas exportadas, se muestran las nubes privadas aprendidas en la región y se exportan mediante el intercambio de tráfico entre VPC. Cuando varias redes de VPC intercambian tráfico a la misma red regional de VMware Engine, las rutas recibidos de una red de VPC no se anuncian al otra red de VPC.

gcloud

1. Crea una conexión privada ejecutando el Comando gcloud vmware private-connections create:

   gcloud vmware private-connections create PRIVATE_CONNECTION_ID \
     --location=REGION\
     --description="" \
     --vmware-engine-network=NETWORK_ID \
     --service-project=SERVICE_NETWORKING_TENANT_PROJECT\
     --type=PRIVATE_SERVICE_ACCESS \
     --routing-mode=MODE
   

   Nota: En este comando, hay una marca, --service-network, que es Se completa automáticamente en gcloud según el tipo de conexión privada que se está creando. Si interactúas directamente con la API, debes pasar el nombre completo de service_network en el formato: projects/PROJECT_ID/global/networks/NETWORK_ID.

   Reemplaza lo siguiente:

   • PRIVATE_CONNECTION_ID: el privado nombre de la conexión que se creará
   • REGION: Es la región para crear este entorno privado. conexión en; debe coincidir con la región de red de VMware Engine
   • NETWORK_ID: Es el nombre de la red de VMware Engine.
   • SERVICE_NETWORKING_TENANT_PROJECT: el nombre del proyecto para esta VPC de usuario de Herramientas de redes de servicios. Puedes encontrar el SNTP en la columna PEER_PROJECT del nombre del intercambio de tráfico servicenetworking-googleapis-com
   • MODE: Es el modo de enrutamiento, ya sea GLOBAL o REGIONAL.

2. Opcional: Si deseas generar una lista de tus conexiones privadas, ejecuta el comando gcloud vmware private-connections list:

   gcloud vmware private-connections list \
       --location=REGION

   Reemplaza lo siguiente:

   • REGION: Es la región de la red que se mostrará en la lista.

API

Para crear una VPC de Compute Engine y una conexión de acceso privado a servicios con la API de VMware Engine:

1. Crea una conexión privada mediante una solicitud POST:

   POST "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections?private_connection_id=PRIVATE_CONNECTION_ID"
   
   '{
     "description": "My first private connection",
     "vmware_engine_network":
   "projects/PROJECT_ID/locations/REGION/vmwareEngineNetworks/NETWORK_ID
     "type": "PRIVATE_SERVICE_ACCESS",
     "routing_mode": "MODE",
     "service_network":
   "projects/SERVICE_NETWORKING_TENANT_PROJECT/global/networks/SERVICE_NETWORK"
   }'
   

   Reemplaza lo siguiente:

   • PRIVATE_CONNECTION_ID: el privado nombre de la conexión para esta solicitud
   • REGION: Es la región para crear este entorno privado. conexión en
   • NETWORK_ID: Es la red de VMware Engine para esto. solicitud
   • SERVICE_NETWORKING_TENANT_PROJECT: el nombre del proyecto para esta VPC de usuario de Herramientas de redes de servicios. Puedes encontrar el SNTP en la columna PEER_PROJECT del nombre del intercambio de tráfico servicenetworking-googleapis-com
   • SERVICE_NETWORK: Es la red en el proyecto de usuario.

2. Opcional: Si quieres enumerar tus conexiones privadas, crea una GET solicitud:

   GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections"
   

   Reemplaza lo siguiente:

   • PROJECT_ID: Es el nombre del proyecto para esto. para cada solicitud.
   • REGION: Es la región en la que se mostrará la lista privada. conexiones.

Edita una conexión privada

Puedes editar una conexión privada después de crearla. Una vez creada, puedes Cambia el modo de enrutamiento entre GLOBAL y REGIONAL. En Google Cloud CLI o la API, también puedes actualizar la descripción de la conexión privada.

Console

1. Accede a la consola de Google Cloud
2. Desde el menú de navegación principal, ve a Conexiones privadas.
3. Haz clic en el nombre de la conexión privada que deseas editar.
4. En la página de detalles, haz clic en Editar.
5. Actualiza la descripción o el modo de enrutamiento de la conexión.
6. Guarda los cambios.

gcloud

Edita una conexión privada ejecutando el Comando gcloud vmware private-connections update:

gcloud vmware private-connections update PRIVATE_CONNECTION_ID \
   --location=REGION \
   --description=DESCRIPTION \
   --routing-mode=MODE

Reemplaza lo siguiente:

• PROJECT_ID: Es el nombre del proyecto para esta solicitud.
• REGION: Es la región en la que se actualizará este entorno privado. conexión en
• DESCRIPTION: Es la nueva descripción que se usará.
• PRIVATE_CONNECTION_ID: Es la conexión privada. ID de esta solicitud
• MODE: Es el modo de enrutamiento, ya sea GLOBAL o REGIONAL.

API

Para editar una conexión privada con la API de VMware Engine, crea una PATCH solicitud:

PATCH "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID?update_mask=description, routing_mode"

'{
  "description": "Updated description for the private connection",
  "routing_mode": "MODE"
}'

Reemplaza lo siguiente:

• PROJECT_ID: Es el nombre del proyecto para esta solicitud.
• REGION: Es la región en la que se actualizará este entorno privado. conexión en
• PRIVATE_CONNECTION_ID: Es la conexión privada. nombre de esta solicitud
• MODE: Es el modo de enrutamiento, ya sea GLOBAL o REGIONAL.

Describe una conexión privada

Puedes obtener la descripción de cualquier conexión privada con Google Cloud CLI o API de VMware Engine.

gcloud

Para obtener una descripción de una conexión privada, ejecuta el comando gcloud vmware private-connections describe:

gcloud vmware private-connections describe PRIVATE_CONNECTION_ID \
    --location=REGION

Reemplaza lo siguiente:

• PRIVATE_CONNECTION_ID: Es la conexión privada. nombre de esta solicitud
• REGION: Es la región de la conexión privada.

API

Para obtener la descripción de una conexión privada usando el En la API de VMware Engine, haz una solicitud GET:

GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID"

Reemplaza lo siguiente:

• PROJECT_ID: Es el nombre del proyecto para esta solicitud.
• PRIVATE_CONNECTION_ID: Es la conexión privada. nombre de esta solicitud.
• REGION: Es la región de la conexión privada.

Una vez que las conexiones privadas que borraste ya no estén visibles en la lista de conexiones privadas, puedes borrar la conexión de acceso privado en la consola de Google Cloud. Este paso desordenado puede provocar que el DNS esté inactivo en ambos proyectos de Google Cloud.

Enumera las rutas de intercambio de tráfico para una conexión privada

Para enumerar las rutas de intercambio de tráfico intercambiadas para una conexión privada, haz lo siguiente:

Console

1. Accede a la consola de Google Cloud
2. Ve a Conexiones privadas.
3. Haz clic en el nombre de la conexión privada que deseas ver.

En la página de detalles, se describen las rutas importadas y exportadas.

gcloud

Enumerar las rutas de intercambio de tráfico intercambiadas por una conexión privada ejecutando Comando gcloud vmware private-connections routes list:

gcloud vmware private-connections routes list \
    --private-connection=PRIVATE_CONNECTION_ID \
    --location=REGION

Reemplaza lo siguiente:

• PRIVATE_CONNECTION_ID: Es la conexión privada. nombre de esta solicitud.
• REGION: Es la región de la conexión privada.

API

Para enumerar las rutas de intercambio de tráfico intercambiadas por una conexión privada con el En la API de VMware Engine, haz una solicitud GET:

GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID/peeringRoutes"

Reemplaza lo siguiente:

• PROJECT_ID: Es el nombre del proyecto para esta solicitud.
• REGION: Es la región de la conexión privada.
• PRIVATE_CONNECTION_ID: Es la conexión privada. nombre de esta solicitud.

Límites de enrutamiento

La cantidad máxima de rutas que puede recibir una nube privada es de 200. Para ejemplo, esas rutas pueden provenir de redes locales, redes de VPC y otras nubes privadas en la misma red de VPC. Este límite de ruta corresponde a la cantidad máxima de instancias de anuncios de ruta por límite de sesión de BGP.

En una región determinada, puedes anunciar hasta 100 rutas únicas de VMware Engine a tu red de VPC mediante el acceso privado a los servicios. Por ejemplo, esas rutas únicas incluyen rangos de direcciones IP de administración de la nube privada, segmentos de red de carga de trabajo NSX-T y rangos de direcciones IP de la red HCX. Este límite de ruta incluye todas las nubes privadas en la región y corresponde al límite de ruta aprendidas de Cloud Router.

Para obtener más información sobre los límites de enrutamiento, consulta Cuotas y límites.

Soluciona problemas

En el siguiente video, se muestra cómo verificar y solucionar problemas de intercambio de tráfico de conexión entre la VPC de Google Cloud y Google Cloud VMware Engine.

¿Qué sigue?

• Administra tus recursos y la actividad de la nube privada.