VPC-Netzwerk-Peering verwenden

Mit dem Google Cloud VPC-Netzwerk-Peering sind Verbindungen über interne IP-Adressen zwischen zwei VPC-Netzwerken (Virtual Private Cloud) möglich, unabhängig davon, ob sie zum selben Projekt oder zur selben Organisation gehören. Peering unterstützt die Konnektivität zwischen Netzwerken mit Dual-Stack-Subnetzen.

Weitere Informationen finden Sie unter VPC-Netzwerk-Peering.

Peering-Konfiguration erstellen

Bevor Sie beginnen, müssen Sie den Namen des VPC-Netzwerks kennen, zu dem Sie eine Peering-Verbindung herstellen möchten. Wenn sich dieses Netzwerk in einem anderen Projekt befindet, müssen Sie auch die Projekt-ID dieses Projekts kennen.

Mit einer Peering-Konfiguration wird die Absicht festgeschrieben, eine Verbindung zu einem anderen VPC-Netzwerk herzustellen. Ihr Netzwerk und das andere Netzwerk sind erst dann miteinander verbunden, wenn beide eine Peering-Konfiguration für das jeweils andere Netzwerk haben. Nachdem auch das andere Netzwerk eine entsprechende Konfiguration für das Peering mit Ihrem Netzwerk hat, wechselt der Peering-Status in beiden Netzwerken zu ACTIVE und sie sind verbunden. Wenn im anderen Netzwerk keine entsprechende Peering-Konfiguration vorhanden ist, bleibt der Peering-Status INACTIVE und Ihr Netzwerk ist nicht mit dem anderen verbunden.

Nach der Verbindung der beiden Netzwerke tauschen diese immer Subnetzrouten aus. Optional können Sie sowohl statische als auch dynamische benutzerdefinierte IPv4-Routen und dynamische benutzerdefinierte IPv6-Routen aus einem Peering-Netzwerk importieren, wenn dieses für ihren Export konfiguriert ist. Weitere Informationen finden Sie unter Benutzerdefinierte Routen importieren und exportieren.

Console

Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerk-Peering auf.
Zum VPC-Netzwerk-Peering
Klicken Sie auf Verbindung erstellen.
Klicken Sie auf Weiter.
Geben Sie im Feld Name einen Namen für die Peering-Konfiguration ein.
Wählen Sie unter Mein VPC-Netzwerk ein Netzwerk aus, mit dem Sie eine Peering-Verbindung herstellen möchten.
Wählen Sie das Netzwerk aus, mit dem Sie eine Peering-Verbindung herstellen möchten.
- Wenn sich das Netzwerk, mit dem Sie eine Peering-Verbindung herstellen möchten, im selben Projekt befindet, wählen Sie In Projekt [NAME IHRES PROJEKTS] und dann das Netzwerk aus, mit dem die Peering-Verbindung hergestellt werden soll.
- Wenn sich das Netzwerk, mit dem Sie eine Peering-Verbindung herstellen möchten, in einem anderen Projekt befindet, wählen Sie In einem anderen Projekt aus. Geben Sie die Projekt-ID an, die das Netzwerk, mit dem Sie eine Peering-Verbindung herstellen möchten, und den Namen des VPC-Netzwerks beinhaltet.
Geben Sie unter IP-Stack-Typ an, welche Subnetzrouten zwischen den Peering-Netzwerken ausgetauscht werden sollen:
- IPv4 (Einzelstack): Nur IPv4-Routen werden ausgetauscht.
- IPv4 und IPv6 (Dual-Stack): IPv4- und IPv6-Routen werden ausgetauscht.
Wählen Sie eine oder beide der folgenden Optionen aus, um benutzerdefinierte IPv4- und IPv6-Routen zu importieren oder zu exportieren:
- Benutzerdefinierte Routen importieren: Benutzerdefinierte Routen aus dem Peering-Netzwerk importieren. Das Peering-Netzwerk muss den Export der benutzerdefinierten Route für Routen aktivieren, die importiert werden sollen.
- Benutzerdefinierte Routen exportieren: Benutzerdefinierte Routen zum Peer-Netzwerk exportieren. Das Peer-Netzwerk muss den benutzerdefinierten Routenimport für den Export von Routen aktivieren.
Wenn Ihr Netzwerk oder das Peering-Netzwerk privat genutzte öffentliche IPv4-Bereiche in seinen Subnetzen verwendet, werden diese Routen standardmäßig exportiert, aber nicht standardmäßig importiert. So importieren Sie privat verwendete öffentliche IPv4-Subnetzrouten:
- Wählen Sie Subnetzrouten mit öffentlicher IP-Adresse importieren aus, um privat verwendete öffentliche IP-Subnetzrouten zu importieren, die aus dem anderen Netzwerk exportiert werden
Klicken Sie auf Erstellen.

gcloud

Erstellen Sie eine VPC-Netzwerk-Peering-Verbindung.

gcloud compute networks peerings create PEERING_NAME \
    --network=NETWORK \
    --peer-project=PEER_PROJECT_ID \
    --peer-network=PEER_NETWORK_NAME \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--import-subnet-routes-with-public-ip] \
    [--export-subnet-routes-with-public-ip]

Dabei gilt:

PEERING_NAME: Der Name der Peering-Konfiguration.
NETWORK: Der Name des Netzwerks in Ihrem Projekt, zu dem Sie eine Peering-Verbindung herstellen möchten.
PEER_PROJECT_ID: Die ID des Projekts mit dem Netzwerk, zu dem Sie eine Peering-Verbindung herstellen möchten.
PEER_NETWORK_NAME: Der Name des Netzwerks, zu dem Sie eine Peering-Verbindung herstellen möchten.
STACK_TYPE: Der Stacktyp für die Peering-Verbindung. Geben Sie IPV4_ONLY an, um nur IPv4-Routen auszutauschen. Alternativ können Sie IPV4_IPV6 angeben, um sowohl IPv4- als auch IPv6-Routen auszutauschen. IPV4_ONLY ist der Standardwert.
--import-custom-routes weist das Netzwerk an, benutzerdefinierte Routen vom Peering-Netzwerk zu akzeptieren. Das Peering-Netzwerk muss zuerst die Routen exportieren.
--export-custom-routes weist das Netzwerk an, benutzerdefinierte Routen in das Peering-Netzwerk zu exportieren. Das Peering-Netzwerk muss zum Importieren der Routen festgelegt sein.
--import-subnet-routes-with-public-ip weist das Netzwerk an, Subnetzrouten aus dem Peering-Netzwerk zu akzeptieren, wenn dieses Netzwerk in seinen Subnetzen privat verwendete öffentliche IPv4-Adressen verwendet. Das Peering-Netzwerk muss zuerst die Routen exportieren.
--export-subnet-routes-with-public-ip weist das Netzwerk an, Subnetzrouten zu exportieren, die privat verwendete öffentliche IP-Adressen enthalten. Das Peering-Netzwerk muss so festgelegt sein, dass die Routen importiert werden.

Terraform

Sie können zum Erstellen einer Peering-Konfiguration ein Terraform-Modul verwenden.

module "peering1" {
  source        = "terraform-google-modules/network/google//modules/network-peering"
  version       = "~> 9.0"
  local_network = var.local_network # Replace with self link to VPC network "foobar" in quotes
  peer_network  = var.peer_network  # Replace with self link to VPC network "other" in quotes
}

Für die beiden Peering-VPC-Netzwerke enthält jeder Self-Link eine Projekt-ID und den Namen des VPC-Netzwerks. Zum Abrufen des Self-Links für ein VPC-Netzwerk können Sie die den Befehl gcloud compute networks describe oder die Methode networks.get im Projekt jedes VPC-Netzwerks verwenden.

Wenn Sie eine Peering-Verbindung von local_network bis peer_network erstellen, ist die Peering-Beziehung bidirektional. Die Peering-Verbindung von peer_network zu local_network wird automatisch erstellt.

Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.

Peering-Verbindung aktualisieren

Wenn Sie eine vorhandene VPC-Netzwerk-Peering-Verbindung aktualisieren, können Sie Folgendes tun:

Ändern Sie, ob Ihr VPC-Netzwerk benutzerdefinierte Routen oder privat verwendete öffentliche IPv4-Subnetzrouten in das oder aus dem Peering-VPC-Netzwerk exportiert oder importiert.
Aktualisieren Sie eine vorhandene Peering-Verbindung, um den Austausch von IPv6-Routen zwischen den Peering-Netzwerken zu aktivieren oder zu deaktivieren.

Ihr Netzwerk importiert Routen nur, wenn das Peering-Netzwerk die Routen ebenfalls exportiert. Das Peering-Netzwerk empfängt Routen nur dann, wenn es sie auch importiert.

Console

Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerk-Peering auf.
Zum VPC-Netzwerk-Peering
Wählen Sie die zu aktualisierende Peering-Verbindung aus.
Klicken Sie auf Bearbeiten.
Aktualisieren Sie die Auswahl IP-Stack-Typ, um festzulegen, welche Subnetzrouten zwischen den Peering-Netzwerken ausgetauscht werden sollen:
- IPv4 (Einzelstack): Den vorhandenen Austausch von IPv6-Routen über das Peering beenden und nur noch IPv4-Routen austauschen.
- IPv4 und IPv6 (Dual-Stack): Mit dem Austausch von IPv4- und IPv6-Routen beginnen, vorausgesetzt, die entsprechende Peering-Verbindung hat ebenfalls einen IP-Stack-Typ, der auf IPv4 und IPv6 (Dual-Stack) eingestellt ist.
Wählen Sie eine oder beide der folgenden Optionen aus, um benutzerdefinierte IPv4- und IPv6-Routen zu importieren oder zu exportieren:
- Benutzerdefinierte Routen importieren, um benutzerdefinierte Routen zu importieren, die aus dem anderen Netzwerk exportiert wurden
- Benutzerdefinierte Routen exportieren, um benutzerdefinierte Routen in das andere Netzwerk zu exportieren. Das andere Netzwerk muss die Routen importieren, um sie zu sehen.
Wenn Ihr Netzwerk oder das Peering-Netzwerk privat genutzte öffentliche IPv4-Bereiche in seinen Subnetzen verwendet, werden diese Routen standardmäßig exportiert, aber nicht standardmäßig importiert. So importieren Sie privat verwendete öffentliche IPv4-Subnetzrouten:
- Wählen Sie Subnetzrouten mit öffentlicher IP-Adresse importieren aus, um privat verwendete öffentliche IP-Subnetzrouten zu importieren, die aus dem anderen Netzwerk exportiert werden
- Klicken Sie auf Speichern.

gcloud

gcloud compute networks peerings update PEERING_NAME \
    --network=NETWORK \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--export-subnet-routes-with-public-ip] \
    [--import-subnet-routes-with-public-ip]

Aktualisieren Sie Folgendes:

PEERING_NAME: Der Name der vorhandenen Peering-Verbindung.
NETWORK: Der Name des Netzwerks in Ihrem Projekt, das über Peering verbunden ist.
STACK_TYPE: Der Stacktyp für die Peering-Verbindung.
- Geben Sie IPV4_ONLY an, um den vorhandenen Austausch von IPv6-Routen über das Peering zu beenden und weiterhin nur IPv4-Routen auszutauschen.
- Geben Sie IPV4_IPV6 an, um den Austausch von IPv4- und IPv6-Routen zu starten, vorausgesetzt, die übereinstimmende Peering-Verbindung hat auch stack_type auf IPV4_IPV6 festgelegt.
--import-custom-routes weist das Netzwerk an, benutzerdefinierte Routen vom Peering-Netzwerk zu akzeptieren. Das Peering-Netzwerk muss zuerst die Routen exportieren.
--export-custom-routes weist das Netzwerk an, benutzerdefinierte Routen in das Peering-Netzwerk zu exportieren. Das Peering-Netzwerk muss zum Importieren der Routen festgelegt sein.
--import-subnet-routes-with-public-ip weist das Netzwerk an, Subnetzrouten aus dem Peering-Netzwerk zu akzeptieren, wenn dieses Netzwerk in seinen Subnetzen privat verwendete öffentliche IPv4-Adressen verwendet. Das Peering-Netzwerk muss zuerst die Routen exportieren.
--export-subnet-routes-with-public-ip weist das Netzwerk an, Subnetzrouten zu exportieren, die privat verwendete öffentliche IP-Adressen enthalten. Das Peering-Netzwerk muss so festgelegt sein, dass die Routen importiert werden.

Peering-Verbindungen auflisten

Listen Sie vorhandene Peering-Verbindungen auf, um ihren Status aufzurufen und zu prüfen, ob sie benutzerdefinierte Routen importieren oder exportieren.

Console

Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerk-Peering auf.
Zum VPC-Netzwerk-Peering
Wählen Sie die Peering-Verbindung aus, um sich Details anzusehen.

gcloud

gcloud compute networks peerings list

Routen von Peering-Verbindungen auflisten

Sie können die dynamischen Routen auflisten, die Ihr VPC-Netzwerk aus einem Peering-VPC-Netzwerk importiert oder in dieses exportiert. Bei exportierten Routen können Sie prüfen, ob ein Peering-Netzwerk Ihre benutzerdefinierten Routen akzeptiert oder ablehnt. Bei importierten Routen können Sie prüfen, ob Ihr Netzwerk benutzerdefinierte Routen aus einem Peering-Netzwerk akzeptiert oder ablehnt.

Möglicherweise sehen Sie nicht für jede Region dieselbe Anzahl von Routen. Weitere Informationen finden Sie unter Fehlerbehebung.

Console

Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerk-Peering auf.
Zum VPC-Netzwerk-Peering
Wählen Sie die Peering-Verbindung aus, um sich Details anzusehen.
Sehen Sie sich die benutzerdefinierten Routen an, die Ihr Netzwerk importiert oder exportiert. Verwenden Sie die Regionenauswahl, um die dynamischen Routen in einer bestimmten Region aufzurufen. Subnetz- und statische Routen sind global und werden für alle Regionen angezeigt.
- Zum Aufrufen der importierten benutzerdefinierten Routen wählen Sie den Tab Importierte Routen aus.
- Zum Aufrufen der exportierten benutzerdefinierten Routen wählen Sie den Tab Exportierte Routen aus.

gcloud

gcloud compute networks peerings list-routes PEERING_NAME \
    --network=NETWORK \
    --region=REGION \
    --direction=DIRECTION

Aktualisieren Sie Folgendes:

PEERING_NAME: Der Name einer vorhandenen Peering-Verbindung.
NETWORK: Der Name des Netzwerks in Ihrem Projekt, das über Peering verbunden ist.
REGION: Die Region, in der Sie alle dynamischen Routen auflisten möchten. Subnetz- und statische Routen sind global und werden für alle Regionen angezeigt.
DIRECTION: Gibt an, ob importierte (incoming) oder exportierte (outgoing) Routen aufgelistet werden sollen.

VPC-Netzwerk-Peering-Verbindung löschen

Sie oder ein Netzwerkadministrator für das Peering-VPC-Netzwerk können eine Peering-Konfiguration löschen. Wenn eine Peering-Konfiguration gelöscht wurde, wechselt die Peering-Verbindung im anderen Netzwerk zu INACTIVE und alle von den Netzwerken gemeinsam genutzten Routen werden entfernt.

Console

Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerk-Peering“ auf.
Zum VPC-Netzwerk-Peering
Klicken Sie auf das Kästchen neben dem Peering, das Sie entfernen möchten.
Klicken Sie auf Löschen.

gcloud

gcloud compute networks peerings delete PEERING_NAME \
    --network=NETWORK

Aktualisieren Sie Folgendes:

PEERING_NAME: Der Name der Peering-Verbindung, die gelöscht werden soll.
NETWORK: Der Name des Netzwerks in Ihrem Projekt, das über Peering verbunden ist.

Beispieleinrichtung von VPC-Netzwerk-Peering

In der Organisation organization-a muss zwischen network-a in project-a und network-b in project-b VPC-Netzwerk-Peering eingerichtet werden. Damit das VPC-Netzwerk-Peering erfolgreich eingerichtet werden kann, müssen die Administratoren von network-a und network-b die Peering-Verknüpfung separat konfigurieren.

Schritt 1: Peering von network-a mit network-b

Ein Nutzer mit entsprechenden IAM-Berechtigungen in project-a konfiguriert network-a für das Peering mit network-b. Beispielsweise können Nutzer mit der Rolle roles/editor oder roles/compute.networkAdmin Peering konfigurieren.

Peering zwischen network-a und network-b (zum Vergrößern klicken)

Bevor Sie beginnen, benötigen Sie die Projekt-IDs und Namen der Netzwerke, die Sie über Peering verbinden möchten.

Console

Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerk-Peering“ auf.
Zum VPC-Netzwerk-Peering
Klicken Sie auf Verbindung erstellen.
Klicken Sie auf Weiter.
Geben Sie für diese Seite der Verbindung den Namen für peer-ab ein.
Wählen Sie unter Mein VPC-Netzwerk das Netzwerk aus, das verbunden werden soll.
Setzen Sie die Optionsfelder für Peering VPC-Netzwerk auf In another project, es sei denn, Sie möchten eine Peering-Verbindung innerhalb desselben Projekts herstellen.
Geben Sie die Projekt-ID des anderen Projekts an.
Geben Sie den VPC-Namen des anderen Netzwerks an.
Wählen Sie Benutzerdefinierte Routen importieren und Benutzerdefinierte Routen exportieren aus.
Klicken Sie auf Erstellen.

gcloud

gcloud compute networks peerings create peer-ab \
    --network=network-a \
    --peer-project=project-b \
    --peer-network=network-b \
    --import-custom-routes \
    --export-custom-routes

An diesem Punkt bleibt der Peering-Status INACTIVE, weil in network-b in project-b keine entsprechende Konfiguration vorhanden ist.

Wenn der Peering-Status ACTIVE wird, werden mit VPC-Netzwerk-Peering automatisch Subnetzrouten ausgetauscht. In Google Cloud werden auch benutzerdefinierte Routen (statische Routen und dynamische Routen) ausgetauscht. Dazu werden diese über die Peering-Verbindung importiert oder exportiert. Beide Netzwerke müssen so konfiguriert sein, dass benutzerdefinierte Routen ausgetauscht werden, bevor diese freigegeben werden. Weitere Informationen finden Sie unter Benutzerdefinierte Routen importieren und exportieren.

Rufen Sie die Peering-Verbindung auf, um den aktuellen Peering-Status zu prüfen:

Console

Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerk-Peering“ auf.
Zum VPC-Netzwerk-Peering
Die Statusmeldung "Warten auf die Verbindung mit dem Peering-Netzwerk" wird angezeigt.

gcloud

gcloud compute networks peerings list --network network-a

Schritt 2: Peering von network-b mit network-a

Ein NetworkAdmin oder ein Nutzer mit entsprechenden IAM-Berechtigungen muss in project-b die entsprechende Konfiguration von network-b zu network-a konfigurieren, damit das Peering an beiden Enden ACTIVE wird.

Peering zwischen network-b und network-a (zum Vergrößern klicken) — Peering zwischen network-a und network-b (zum Vergrößern klicken)

Console

Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerk-Peering“ auf.
Zum VPC-Netzwerk-Peering
Klicken Sie auf Verbindung erstellen.
Klicken Sie auf Weiter.
Geben Sie für diese Seite der Verbindung den Namen für peer-ba ein.
Wählen Sie unter Mein VPC-Netzwerk das Netzwerk aus, das verbunden werden soll.
Setzen Sie die Optionsfelder für Peering VPC-Netzwerk auf In another project, es sei denn, Sie möchten eine Peering-Verbindung innerhalb desselben Projekts herstellen.
Geben Sie die Projekt-ID des anderen Projekts an.
Geben Sie den VPC-Namen des anderen Netzwerks an.
Wählen Sie Benutzerdefinierte Routen importieren und Benutzerdefinierte Routen exportieren aus.
Klicken Sie auf Erstellen.

gcloud

gcloud compute networks peerings create peer-ba \
     --network=network-b \
     --peer-project=project-a \
     --peer-network=network-a \
     --import-custom-routes \
     --export-custom-routes

Schritt 3: VPC-Netzwerk-Peering wird `ACTIVE`

Sobald das Peering den Status ACTIVE erhält, werden die Subnetzrouten und benutzerdefinierten Routen ausgetauscht. Die folgenden Trafficströme sind eingerichtet:

Zwischen VM-Instanzen in den verbundenen Netzwerken (vollständig vermaschte Verbindung)
Von VM-Instanzen in einem Netzwerk zu internen Passthrough-Load-Balancer-Endpunkten im Peering-Netzwerk

Peering im Status "ACTIVE" (zum Vergrößern klicken)

Console

Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerk-Peering“ auf.
Zum VPC-Netzwerk-Peering
Der Status ist "Verbunden".
Öffnen Sie die Seite „VPC-Netzwerk-Peering“ im anderen Projekt, wo ebenfalls der Status „Verbunden“ angezeigt wird.

gcloud

gcloud compute networks peerings list --network network-a

Die Routen zu den CIDR-Präfixen des über Peering verbundenen Netzwerks sind nun in allen Peering-Komponenten des VPC-Netzwerks sichtbar. Diese Routen sind implizite Routen, die für aktive Peering-Verbindungen generiert wurden. Sie haben keine zugehörigen Routenressourcen. Mit der folgenden Aktion werden Routen für alle VPC-Netzwerke für project-a aufgerufen.

Console

Rufen Sie in der Google Cloud Console die Seite „Routen“ auf.
Zur Seite „Routen“

gcloud

gcloud compute routes list --project project-a

Mehrere Peering-Verbindungen erstellen

Stellen wir uns ein Szenario vor, in dem VM-Instanzen in network-a auf Dienste von zwei externen Organisationen zugreifen müssen: SaaS1 und SaaS2. Wenn Sie auf beide nur mit internen IP-Adressen zugreifen möchten, sind zwei Peering-Verbindungen erforderlich:

network-a mit Peering-Verbindung zu network-b in SaaS1
network-a mit Peering-Verbindung zu network-c in SaaS2

Bei VPC-Netzwerk-Peering ist es unerheblich, dass sich network-b und network-c in verschiedenen Projekten und Organisationen befinden.

Grafik: Peering zwischen verschiedenen Unternehmen (zum Vergrößern klicken) — Peering zwischen verschiedenen Organisationen (zum Vergrößern klicken)

Erstellen Sie für diese Konfiguration zwei Peering-Sitzungen.

Einschränkungen

Kein IP-Bereich eines Subnetzes darf sich mit den Bereichen der Peering-Netzwerke überschneiden

Kein IP-Bereich eines Subnetzes darf sich mit einem Subnetz-IP-Bereich eines Peering-VPC-Netzwerks überschneiden. Beim Peering prüft Google Cloud, ob Subnetze mit sich überschneidenden IP-Bereichen vorhanden sind. Wenn ja, schlägt das Peering fehl. Wenn Sie bei einem Peering-Netzwerk ein VPC-Subnetz erstellen oder einen Subnetz-IP-Bereich erweitern, prüft Google Cloud, ob neue Subnetzbereiche sich mit den vorhandenen Bereichen überschneiden.

Weitere Informationen zu Überschneidungsprüfungen finden Sie hier:

Für Legacy-Netzwerke wird VPC-Netzwerk-Peering nicht unterstützt

Legacy-Netzwerke haben keine Subnetze. Legacy-Netzwerke können nicht per Peering mit anderen Netzwerken verbunden werden, daher wird VPC-Netzwerk-Peering für diese Netzwerke nicht unterstützt.

Keine projektübergreifende Compute Engine-DNS-Namen

Die in einem Netzwerk erstellten internen DNS-Namen von Compute Engine sind für Peering-Netzwerke nicht erreichbar. Der Zugriff auf die VM-Instanzen im verbundenen Peering-Netzwerk kann über die IP-Adresse der VM erfolgen.

Keine Verwendung von Tags und Dienstkonten über Peering-Netzwerke

Sie können in einer Firewallregel eines Peering-Netzwerks nicht auf Tags oder Dienstkonten einer VM verweisen, die sich in einem anderen Peering-Netzwerk befindet. Beispiel: Eine Regel für eingehenden Traffic in einem Peering-Netzwerk filtert die eigene Quelle basierend auf einem Tag und gilt nur für VM-Traffic innerhalb dieses Netzwerks, nicht für die Peers, auch wenn eine VM in einem Peering-Netzwerk dieses Tag enthält. Diese Situation verläuft ähnlich wie Dienstkonten.

GKE mit VPC-Netzwerk-Peering

VPC-Netzwerk-Peering mit GKE wird unterstützt, wenn es mit IP-Aliassen und benutzerdefinierten Routen verwendet wird. Kubernetes-Dienste sind über VPC-Netzwerke erreichbar, wenn sie über einen internen Passthrough Network Load Balancer bereitgestellt werden. Pod-IP-Adressen sind ebenfalls erreichbar.

Cloud Load Balancing mit VPC-Netzwerk-Peering

Cloud Load Balancing unterstützt nicht die Verwendung der Front-Ends und Back-Ends des Load-Balancers in verschiedenen VPC-Netzwerken, selbst wenn sie über VPC-Netzwerk-Peering verbunden sind.

Interne Passthrough Network Load Balancer und interne Application Load Balancer unterstützen VPC-Netzwerk-Peering nur für den Clientzugriff vom Peering-VPC-Netzwerk.

Limits

Siehe Limits für VPC-Netzwerk-Peering

Fehlerbehebung

F: Meine Peering-Verbindung ist eingerichtet, aber ich habe keinen Zugriff auf VMs und interne Load-Balancer im Peering-Netzwerk.

Nachdem die Peering-Verbindung den Status AKTIV hat, kann es bis zu einer Minute dauern, bis alle Trafficströme zwischen den über Peering verbundenen VPC-Netzwerken eingerichtet sind. Die Dauer hängt von der Größe der über Peering verbundenen VPC-Netzwerke ab. Wenn Sie die Peering-Verbindung erst kürzlich eingerichtet haben, warten Sie eine Minute und versuchen Sie es dann noch einmal. Achten Sie außerdem darauf, dass keine Firewallregeln den Traffic zu/von den Subnetz-CIDRs des Peering-VPC-Netzwerks blockieren.

F: Wenn ich versuche, die Peering-Verbindung einzurichten, wird die Fehlermeldung ausgegeben, dass ein weiterer Peering-Vorgang läuft.

Zur Vermeidung von Konflikten bei Routingaktualisierungen u. Ä. lässt Google Cloud in Peering-Netzwerken jeweils nur eine Peering-Aktivität zu. Wenn Sie beispielsweise eine Peering-Verbindung zu einem Netzwerk einrichten und sofort im Anschluss versuchen, ein weiteres Peering einzurichten, sind die Aufgaben des ersten Peerings möglicherweise noch nicht abgeschlossen. Es kann bis zu eine Minute dauern, bis alle Aufgaben abgeschlossen sind. Außerdem ist es möglich, dass gerade ein interner Load-Balancer oder eine VM zum verbundenen Peering-Netzwerk hinzugefügt wird. Diese Vorgänge wirken sich auf die Erreichbarkeit von Ressourcen innerhalb der Netzwerke aus. In den meisten Fällen sollten Sie etwas warten und den Peering-Vorgang dann noch einmal versuchen.

F: Wenn ich versuche, ein VPC-Netzwerk mit Peerings mit dem Status ACTIVE zu löschen, erhalte ich eine Fehlermeldung.

Bevor Sie ein VPC-Netzwerk löschen können, müssen Sie alle Peering-Konfigurationen im Netzwerk löschen. Siehe VPC-Netzwerk-Peering-Verbindung löschen.

F: Kann ich VPC-Netzwerke, die Subnetze mit überlappenden primären oder sekundären IP-Bereichen enthalten, über Peering verbinden?

Nein. Sie können nur VPC-Netzwerke über Peering verbinden, deren Subnetze eindeutige primäre und sekundäre Subnetz-IP-Bereiche aufweisen.

F: Wie kann ich dafür sorgen, dass in meinem VPC-Netzwerk erstellte, neue Subnetze keine Subnetz-IP-Bereiche haben, die mit Subnetzen oder Routen in Peer-Netzwerken in Konflikt stehen?

Vor dem Erstellen neuer Subnetze können Sie die Routen von Peering-Verbindungen auflisten. Vergewissern Sie sich, dass Sie keines ihrer Ziele als primäre oder sekundäre IP-Bereiche verwenden, wenn Sie neue Subnetze in Ihrem VPC-Netzwerk erstellen.

F: Ich habe ein VPC-Netzwerk, das mit einem anderen VPC-Netzwerk verbunden ist. Ich möchte in meinem Netzwerk ein Subnetz erstellen. Wie kann ich dieses Subnetz so erstellen, dass es sich nicht mit den Peering-Subnetzen meiner Peering-Komponente überschneidet?

Derzeit ist ein Befehl, mit dem Sie dies ermitteln können, nicht vorhanden. Fragen Sie den Administrator des Peering-Netzwerks, welche Subnetzrouten in diesem Netzwerk bereits verwendet werden.

F: Gibt es im Zusammenhang mit VPC-Peering Sicherheits- oder Datenschutzprobleme?

Nachdem das Peering eingerichtet ist, kennt jedes VPC-Netzwerk die Subnetzbereiche des jeweils anderen Netzwerks. Außerdem kann jedes Peering-VPC-Netzwerk Traffic von allen VMs des anderen Netzwerks empfangen bzw. diesen senden, sofern dies nicht durch entsprechende Firewallregeln unterbunden wird. Darüber hinaus gibt es keinen weiteren Zugriff der Netzwerke aufeinander.

F: Wie kann ich prüfen, ob Traffic zwischen Peering-VPC-Netzwerken weitergeleitet wird?

Sie können VPC-Flusslogs verwenden, um die von VM-Instanzen gesendeten und empfangenen Netzwerkflüsse anzuzeigen. Sie können auch mit dem Logging von Firewallregeln überprüfen, ob der Traffic zwischen den Netzwerken übertragen wird. Erstellen Sie Firewallregeln, die Traffic zwischen den verbundenen Peering-Netzwerken zulassen oder ablehnen, und aktivieren Sie das Logging von Firewallregeln für diese Regeln. Sie können dann mit Cloud Logging prüfen, welche Firewallregeln verwendet wurden.

F: Wie kann ich feststellen, ob es Anfragen von anderen VPC-Netzwerken gibt, mithilfe von VPC-Netzwerk-Peering eine Verbindung zu meinem VPC-Netzwerk herzustellen?

Sie können keine Peering-Anfragen für Ihr VPC-Netzwerk auflisten. Sie können nur die Peering-Konfigurationen sehen, die Sie erstellt haben.

VPC-Netzwerk-Peering erfordert, dass sowohl in Ihrem Netzwerk als auch in einem anderen Netzwerk eine Peering-Konfiguration für das jeweils andere Netzwerk erstellt wird. Erst dann kann eine Verbindung hergestellt werden. Auch wenn ein Netzwerkadministrator eines anderen VPC-Netzwerks eine Peering-Konfiguration für Ihr Netzwerk erstellt, wird keine Peering-Verbindung hergestellt, sofern Sie keine Peering-Konfiguration für dieses Netzwerk erstellen.

F: Wie kann ich Routen in einem Peering-Netzwerk für ein lokales Netzwerk verfügbar machen, das mit meinem VPC-Netzwerk per Cloud VPN oder Cloud Interconnect verbunden ist?

VPC-Netzwerk-Peering unterstützt kein transitives Routing. Das heißt, importierte Routen aus anderen Netzwerken werden von Cloud Router in Ihrem VPC-Netzwerk nicht automatisch beworben. Sie können jedoch das Advertising benutzerdefinierter IP-Bereiche durch Cloud Router in Ihrem VPC-Netzwerk dazu verwenden, Routen zu Zielen im Peering-Netzwerk freizugeben.

Für klassische VPN-Tunnel mit statischem Routing müssen Sie statische Routen zu den Zielbereichen des Peer-Netzwerks in Ihrem lokalen Netzwerk konfigurieren. Bestimmte Anwendungsfälle von klassischen VPN-Tunneln wurden jedoch verworfen.

F: Warum werden benutzerdefinierte Routen zwischen Peering-Netzwerken nicht ausgetauscht?

Listen Sie zuerst die Routen Ihrer Peering-Verbindungen auf. Wenn keine Routen zu erwarteten Zielen aufgeführt sind, prüfen Sie Folgendes:

Listen Sie Peering-Verbindungen auf. Suchen Sie das Netzwerk mit den gewünschten Zielbereichen und prüfen Sie, ob der Peering-Status ACTIVE lautet. Wenn der Status der Peering-Verbindung INACTIVE lautet, ist im anderen Netzwerk keine Peering-Konfiguration für Ihr Netzwerk vorhanden. Wenn Sie das andere Netzwerk nicht verwalten, wenden Sie sich an einen dafür zuständigen Netzwerkadministrator.
Aktualisieren Sie die Peering-Konfiguration in Ihrem Netzwerk so, dass sie für den Import benutzerdefinierter Routen aus dem anderen Netzwerk eingerichtet ist. Vergewissern Sie sich, dass das andere Netzwerk für den Export seiner benutzerdefinierten Routen konfiguriert ist.

F: Warum wird für ein Peering-Netzwerk bestimmter Traffic abgewiesen?

Listen Sie zuerst die Peering-Verbindungen auf, um sicherzustellen, dass Ihr Netzwerk noch mit dem anderen verbunden ist. Wenn der Peering-Status INACTIVE lautet, ist im anderen Netzwerk keine Peering-Konfiguration für Ihr Netzwerk vorhanden. Wenn Sie das andere Netzwerk nicht verwalten, wenden Sie sich an einen dafür zuständigen Netzwerkadministrator.

Als Nächstes listen Sie die Routen von Peering-Verbindungen auf. Sie können nur so viele Routen importieren, wie es gemäß den VPC-Netzwerk-Peering-Limits zulässig ist.

F: Warum wird Traffic an einen unerwarteten nächsten Hop gesendet?

Prüfen Sie die Routingreihenfolge, um zu sehen, ob stattdessen eine andere Route gewählt wurde.

F: Warum kann keine Peering-Verbindung zwischen meinem VPC-Netzwerk und einem bestimmten anderen VPC-Netzwerk hergestellt werden?

Wenn Sie zu bestimmten VPC-Netzwerken keine Peering-Konfiguration herstellen können, könnten die VPC-Netzwerke, zu denen Ihr Netzwerk Peering-Verbindungen herstellen kann, durch eine Organisationsrichtlinie eingeschränkt sein. Fügen Sie das Netzwerk in der Organisationsrichtlinie der Liste der zulässigen Peering-Verbindungen hinzu oder wenden Sie sich an den Administrator Ihrer Organisation. Weitere Informationen finden Sie in der Einschränkung constraints/compute.restrictVpcPeering.

F: Ich habe ein VPC-Netzwerk, das mit einem anderen VPC-Netzwerk verbunden ist. Ich habe den Wert von stack_type für mein Peering in IPV4_IPV6 geändert. Ich sehe jedoch keinen Austausch von IPv6-Subnetzrouten über das Peering.

Achten Sie darauf, dass der Wert von stack_type für die entsprechende Peering-Verbindung auch auf IPV4_IPV6 gesetzt ist. Auf beiden Seiten einer Peering-Verbindung muss stack_type auf IPV4_IPV6 gesetzt sein, bevor IPv6-Routen und -Traffic ausgetauscht werden können.

F: Ich habe ein VPC-Netzwerk, das mit einem anderen VPC-Netzwerk verbunden ist. Ich habe den Wert von stack_type für mein Peering in IPV4_IPV6 geändert. Dynamische IPv6-Routen werden jedoch nicht exportiert.

Für den Export dynamischer und statischer IPv6-Routen müssen Sie die Flags –export-custom-route und –import-custom-route für die entsprechenden Peering-Verbindungen aktivieren.

F: Ich habe den Import und den Export benutzerdefinierter Routen aktiviert. Statische und dynamische IPv6-Routen werden jedoch nicht ausgetauscht.

Achten Sie darauf, dass für beide Peerings stack_type auf IPV4_IPV6 gesetzt ist.

F: Mein Peering-Aktualisierungsvorgang zum Wechsel von stack_type zu IPV4_IPV6 schlägt aufgrund von Kontingentlimits fehl.

Wenn IPv6 im Peering aktiviert ist, kann die Anzahl der Routen, die von einem der Netzwerke importiert werden, dazu führen, dass das Kontingent für die Peering-Gruppe für dieses Netzwerk überschritten wird. Senden Sie eine Anfrage, um das Kontingent pro Peering-Gruppe zu erhöhen, oder entfernen Sie einige Routen aus einem der Netzwerke, um innerhalb des Kontingents zu bleiben. Weitere Informationen zu Limits finden Sie unter Limits für VPC-Netzwerk-Peering.

F: Einige dynamische Routen werden importiert, aber ich sehe nicht alle.

Beachten Sie dabei Folgendes:

Möglicherweise sehen Sie nicht für jede Region dieselbe Anzahl von Routen. Wenn mehrer Routen mit denselben IP-Adressbereichen über Regionen ausgetauscht werden, werden nur die Routen mit der höchsten Priorität importiert. Wenn diese Routen in derselben Region ausgetauscht werden, werden alle Routen importiert.
Wenn ein Netzwerk das Limit der dynamischen Routen pro Peering-Gruppe erreicht, werden keine weiteren Routen importiert. Es ist jedoch nicht möglich, zu bestimmen, welche Routen ausgelassen werden.

F: Haben die Flags –import-subnet-routes-with-public-ip und –export-subnet-routes-with-public-ip Auswirkungen auf den Austausch von IPv6-Subnetzrouten?

Nein. Diese Flags betreffen nur den Austausch von IPv4-Subnetzrouten.

Nächste Schritte

Weitere Informationen zum VPC-Routing finden Sie unter Routen.
Mehr zu den Limits in Bezug auf VPC-Netzwerk-Peering erfahren Sie unter Limits für VPC-Netzwerk-Peering.
Informationen zur Verwendung eines internen Passthrough Network Load Balancers als nächsten Hop für eine benutzerdefinierte statische Route finden Sie unter Internen Passthrough Network Load Balancer als nächsten Hop verwenden.

VPC-Netzwerk-Peering verwenden

Peering-Konfiguration erstellen

Console

gcloud

Terraform

Peering-Verbindung aktualisieren

Console

gcloud

Peering-Verbindungen auflisten

Console

gcloud

Routen von Peering-Verbindungen auflisten

Console

gcloud

VPC-Netzwerk-Peering-Verbindung löschen

Console

gcloud

Beispieleinrichtung von VPC-Netzwerk-Peering

Schritt 1: Peering von network-a mit network-b

Console

gcloud

Console

gcloud

Schritt 2: Peering von network-b mit network-a

Console

gcloud

Schritt 3: VPC-Netzwerk-Peering wird ACTIVE

Console

gcloud

Console

gcloud

Mehrere Peering-Verbindungen erstellen

Einschränkungen

Kein IP-Bereich eines Subnetzes darf sich mit den Bereichen der Peering-Netzwerke überschneiden

Für Legacy-Netzwerke wird VPC-Netzwerk-Peering nicht unterstützt

Keine projektübergreifende Compute Engine-DNS-Namen

Keine Verwendung von Tags und Dienstkonten über Peering-Netzwerke

GKE mit VPC-Netzwerk-Peering

Cloud Load Balancing mit VPC-Netzwerk-Peering

Limits

Fehlerbehebung

Nächste Schritte

Schritt 3: VPC-Netzwerk-Peering wird `ACTIVE`