Mappage de port Private Service Connect pour les producteurs de services

1. Introduction

Avec Private Service Connect, les producteurs de services peuvent exposer des services dans un environnement VPC via un rattachement de service et autoriser les consommateurs d'un autre environnement VPC à accéder à ces services via un point de terminaison Private Service Connect. Parfois, ces services de production sont conçus comme des clusters de VM, chaque VM exposant les mêmes services sur des numéros de port identiques. Auparavant, ces conceptions de services nécessitaient le déploiement de plusieurs points de terminaison Private Service Connect côté client ou l'utilisation du transfert IP côté producteur pour s'assurer que la VM de production appropriée était ciblée.

Private Service Connect peut désormais cibler de manière native la bonne destination à l'aide du mappage de port. Dans cet atelier, vous allez découvrir les cas d'utilisation où cette fonctionnalité est requise et apprendre à déployer un NEG de mappage de port dans une charge de travail Private Service Connect.

Points abordés

• Cas d'utilisation du mappage de port Private Service Connect
• Principaux avantages de la cartographie des ports PSC
• Configuration réseau requise
• Créez un service producteur Private Service Connect à l'aide du mappage de port.
• Créer un point de terminaison Private Service Connect
• Effectuer des appels via un point de terminaison Private Service Connect vers un service producteur

Prérequis

• Projet Google Cloud avec autorisations de propriétaire

2. Cas d'utilisation du mappage de port Private Service Connect

La fonctionnalité de mappage de port utilise un NEG (groupe de points de terminaison du réseau) de mappage de port spécifique aux cas d'utilisation de PSC.

Les types de producteurs les plus courants qui peuvent bénéficier du mappage de port sont les producteurs de bases de données NoSQL et les producteurs Kafka. Toutefois, tout producteur nécessitant un cluster de VM exposant les mêmes services sur des ports identiques avec des exigences de mappage de VM spécifiques peut utiliser cette fonctionnalité.

Le producteur définit le mappage entre un port client et une VM de producteur + le port de destination. Le producteur doit ensuite partager ces informations avec le consommateur. Le consommateur utilise les ports prédéfinis pour identifier de manière unique la VM de production et le port de destination qu'il doit atteindre. Le port utilisé par le consommateur est différent de celui utilisé par le producteur.

Principaux avantages du mappage de ports PSC

• Simple:les producteurs déploient des composants PSC avec un mappage de port, et les consommateurs déploient un point de terminaison PSC. Le PSC gère automatiquement la traduction d'adresses réseau.
• Économique:il ne nécessite aucune ressource PSC ni aucun cycle de processeur de VM producteur supplémentaires. La tarification est la même que pour les autres types de déploiements de PSC.
• Hautes performances:le mappage de port offre le même débit de ligne et la même latence faible que les autres modes PSC.
• Évolutivité et efficacité des adresses IP:une adresse IP du VPC du client peut accéder à 1 000 VM de production et à 1 000 mappages de ports.

3. Configuration réseau requise

• Le mappage de port nécessite l'utilisation d'un équilibreur de charge réseau passthrough interne comme équilibreur de charge du producteur.
• Seuls les points de terminaison PSC peuvent être utilisés avec le mappage de port (et non les backends PSC ni l'interface PSC).
• Les NEG de mappage de port sont des constructions régionales.
• Les NEG de mappage de port ne peuvent être utilisés que via une connexion PSC. Elles ne fonctionneront pas si la VM cliente appelle directement la règle de transfert de l'équilibreur de charge du producteur. Cela se reflète dans la façon dont le service de production est testé dans cet atelier de programmation.
• Le point de terminaison PSC et la pile de services du producteur doivent se trouver dans des VPC différents.

4. Topologie de l'atelier de programmation

Dans le VPC producteur, deux VM seront créées, chacune exécutant deux serveurs Web, l'un sur le port 1 000 et l'autre sur le port 2 000. Nous allons tester chaque service avant de configurer le NEG Portmap, l'équilibreur de charge réseau passthrough interne et l'attachement de service.

Dans le VPC consommateur, nous allons configurer un point de terminaison PSC et tester la connectivité au service producteur à partir d'une VM cliente.

5. Préparation

Configuration de l'environnement au rythme de chacun

1. Connectez-vous à la console Google Cloud, puis créez un projet ou réutilisez un projet existant. Si vous n'avez pas encore de compte Gmail ou Google Workspace, vous devez en créer un.

• Le nom du projet est le nom à afficher pour les participants au projet. Il s'agit d'une chaîne de caractères non utilisée par les API Google. Vous pourrez toujours le modifier.
• L'ID du projet est unique parmi tous les projets Google Cloud et non modifiable une fois défini. La console Cloud génère automatiquement une chaîne unique (en général, vous n'y accordez d'importance particulière). Dans la plupart des ateliers de programmation, vous devrez indiquer l'ID de votre projet (généralement identifié par PROJECT_ID). Si l'ID généré ne vous convient pas, vous pouvez en générer un autre de manière aléatoire. Vous pouvez également en spécifier un et voir s'il est disponible. Après cette étape, l'ID n'est plus modifiable et restera donc le même pour toute la durée du projet.
• Pour information, il existe une troisième valeur (le numéro de projet) que certaines API utilisent. Pour en savoir plus sur ces trois valeurs, consultez la documentation.

Attention : Un ID de projet est unique. Une fois que vous l'avez choisi, personne d'autre ne peut l'employer. Vous en êtes le seul utilisateur. Même si un projet est supprimé, son ID ne peut pas être réutilisé.

Remarque : Si vous utilisez un compte Gmail, vous pouvez conserver l'emplacement par défaut défini sur Aucune organisation. Si vous utilisez un compte Google Workspace, choisissez un emplacement qui ait du sens pour votre organisation.

2. Vous devez ensuite activer la facturation dans la console Cloud pour utiliser les ressources/API Cloud. L'exécution de cet atelier de programmation est très peu coûteuse, voire sans frais. Pour désactiver les ressources et éviter ainsi que des frais ne vous soient facturés après ce tutoriel, vous pouvez supprimer le projet ou les ressources que vous avez créées. Les nouveaux utilisateurs de Google Cloud peuvent participer au programme d'essai sans frais pour bénéficier d'un crédit de 300 $.

Démarrer Cloud Shell

Bien que Google Cloud puisse être utilisé à distance depuis votre ordinateur portable, nous allons nous servir de Google Cloud Shell pour cet atelier de programmation, un environnement de ligne de commande exécuté dans le cloud.

Dans la console Google Cloud, cliquez sur l'icône Cloud Shell dans la barre d'outils supérieure :

Le provisionnement et la connexion à l'environnement prennent quelques instants seulement. Une fois l'opération terminée, le résultat devrait ressembler à ceci :

Cette machine virtuelle contient tous les outils de développement nécessaires. Elle comprend un répertoire d'accueil persistant de 5 Go et s'exécute sur Google Cloud, ce qui améliore nettement les performances du réseau et l'authentification. Vous pouvez effectuer toutes les tâches de cet atelier de programmation dans un navigateur. Vous n'avez rien à installer.

6. Avant de commencer

Activer les API

Dans Cloud Shell, assurez-vous que l'ID de votre projet est configuré.

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=us-central1
zone=us-central1-a
echo $project
echo $region
echo $zone

Activez tous les services nécessaires.

gcloud services enable compute.googleapis.com

7. Créer un réseau VPC de producteur

Réseau VPC

Depuis Cloud Shell

gcloud compute networks create producer-vpc --subnet-mode custom

Créer des sous-réseaux

Depuis Cloud Shell

gcloud compute networks subnets create producer-service-subnet --network producer-vpc --range 10.0.0.0/24 --region $region --enable-private-ip-google-access

gcloud compute networks subnets create psc-nat-subnet --network producer-vpc --range 10.100.100.0/24 --region $region --purpose=PRIVATE_SERVICE_CONNECT

Le sous-réseau PSC sera associé au rattachement de service PSC à des fins de traduction d'adresse réseau. Pour les cas d'utilisation de production, ce sous-réseau doit être dimensionné de manière appropriée pour prendre en charge la quantité de trafic entrant de tous les points de terminaison PSC associés. Pour en savoir plus, consultez la documentation sur le dimensionnement des sous-réseaux NAT PSC.

Créer une stratégie de pare-feu réseau et des règles de pare-feu

Depuis Cloud Shell

gcloud compute network-firewall-policies create producer-vpc-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy producer-vpc-policy --network producer-vpc --name network-producer-vpc --global-firewall-policy

Pour autoriser IAP à se connecter à vos instances de VM, créez une règle de pare-feu qui:

• S'applique à toutes les instances de VM que vous souhaitez rendre accessibles à l'aide d'IAP.
• Autorise le trafic entrant provenant de la plage d'adresses IP 35.235.240.0/20. Cette plage contient toutes les adresses IP qu'IAP utilise pour le transfert TCP.

Depuis Cloud Shell

gcloud compute network-firewall-policies rules create 1000 --action ALLOW --firewall-policy producer-vpc-policy --description "SSH with IAP" --direction INGRESS --src-ip-ranges 35.235.240.0/20 --layer4-configs tcp:22  --global-firewall-policy

La règle de pare-feu suivante autorise le trafic sur les ports TCP 1 000 à 2 000 du sous-réseau PSC vers toutes les instances du réseau. Dans un environnement de production, cette règle de pare-feu ne doit être limitée qu'aux instances associées au service de production spécifique.

Depuis Cloud Shell

gcloud compute network-firewall-policies rules create 2000 --action ALLOW --firewall-policy producer-vpc-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges 10.100.100.0/24 --layer4-configs tcp:1000-2000 --global-firewall-policy

La règle de pare-feu suivante autorise tout le trafic au sein du sous-réseau de services sur les ports TCP 1000 à 2000. Cette règle permettra de vérifier que notre service de production fonctionne correctement.

Depuis Cloud Shell

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy producer-vpc-policy --description "allow traffic within the service subnet" --direction INGRESS --src-ip-ranges 10.0.0.0/24 --layer4-configs tcp:1000-2000 --global-firewall-policy

Créer et configurer des VM de production

Créer des VM

Depuis Cloud Shell

gcloud compute instances create portmap-vm1 --zone=$zone --subnet=producer-service-subnet --no-address

gcloud compute instances create portmap-vm2 --zone=$zone --subnet=producer-service-subnet --no-address

gcloud compute instances create test-client-vm --zone=$zone --subnet=producer-service-subnet --no-address

Dans la section suivante, démarrez le serveur HTTP sur les ports 1 000 et 2 000 sur chaque VM producteur.

Configurer des VM

Depuis Cloud Shell

gcloud compute ssh --zone $zone "portmap-vm1" --tunnel-through-iap --project $project

Dans Cloud Shell, à partir de la session portmap-vm1

mkdir 1000
cd 1000
echo "portmap-vm1 1000">index.html
sudo python3 -m http.server 1000 &
cd ..
mkdir 2000
cd 2000
echo "portmap-vm1 2000">index.html
sudo python3 -m http.server 2000 &

Ouvrir une nouvelle fenêtre Cloud Shell

Commencez par réinitialiser les variables. Dans Cloud Shell

project=[YOUR-PROJECT-ID]
region=us-central1
zone=us-central1-a
echo $project
echo $region
echo $zone

gcloud compute ssh --zone $zone "portmap-vm2" --tunnel-through-iap --project $project

Dans Cloud Shell, à partir de la session portmap-vm2

mkdir 1000
cd 1000
echo "portmap-vm2 1000">index.html
sudo python3 -m http.server 1000 &
cd ..
mkdir 2000
cd 2000
echo "portmap-vm2 2000">index.html
sudo python3 -m http.server 2000 &

8. Service producteur de test

Tout d'abord, nous devons obtenir les adresses IP des instances de mappage de ports. Notez ces deux adresses IP.

Ouvrir une nouvelle fenêtre Cloud Shell

Commencez par réinitialiser les variables. Dans Cloud Shell

project=[YOUR-PROJECT-ID]
region=us-central1
zone=us-central1-a
echo $project
echo $region
echo $zone

gcloud compute instances describe portmap-vm1 \
  --format='get(networkInterfaces[0].networkIP)' --zone $zone

gcloud compute instances describe portmap-vm2\
  --format='get(networkInterfaces[0].networkIP)' --zone $zone

Connectez-vous à l'instance de test. Dans Cloud Shell

gcloud compute ssh --zone $zone "test-client-vm" --tunnel-through-iap --project $project

curl [portmap-vm1 IP]:1000

Résultat attendu

portmap-vm1 1000

Dans Cloud Shell

curl [portmap-vm1 IP]:2000

Résultat attendu

portmap-vm1 2000

Dans Cloud Shell

curl [portmap-vm2 IP]:1000

Résultat attendu

portmap-vm2 1000

Dans Cloud Shell

curl [portmap-vm2 IP]:2000

Résultat attendu

portmap-vm2 2000

Quitter la VM cliente de test

9. Créer un service producteur avec un NEG Portmap

Créer des composants d'équilibreur de charge

Depuis Cloud Shell

gcloud compute network-endpoint-groups create portmap-neg --region=$region --network=producer-vpc --subnet=producer-service-subnet --network-endpoint-type=GCE_VM_IP_PORTMAP

Ajoutez des points de terminaison au NEG de mappage de port pour créer le mappage du port client au port du producteur. Le producteur crée ce mappage et dispose de sa propre méthode pour communiquer ces informations aux consommateurs. Le mappage de port spécifique n'est pas partagé via le PSC.

Dans Cloud Shell

gcloud compute network-endpoint-groups update portmap-neg --region=$region --add-endpoint=client-destination-port=1001,instance=projects/$project/zones/$zone/instances/portmap-vm1,port=1000 --add-endpoint=client-destination-port=1002,instance=projects/$project/zones/$zone/instances/portmap-vm1,port=2000 --add-endpoint=client-destination-port=1003,instance=projects/$project/zones/$zone/instances/portmap-vm2,port=1000 --add-endpoint=client-destination-port=1004,instance=projects/$project/zones/$zone/instances/portmap-vm2,port=2000

Finalisez la configuration de l'équilibreur de charge.

Dans Cloud Shell

gcloud compute backend-services create portmap-bes --load-balancing-scheme=internal --region=$region --network=producer-vpc

gcloud compute backend-services add-backend portmap-bes --network-endpoint-group=portmap-neg --network-endpoint-group-region=$region

gcloud compute forwarding-rules create portmap-fr --load-balancing-scheme=INTERNAL --network=producer-vpc --subnet=producer-service-subnet --ports=ALL --region=$region --backend-service=portmap-bes

Créer un Rattachement de service

Depuis Cloud Shell

gcloud compute service-attachments create portmap-service-attachment --region=$region --producer-forwarding-rule=portmap-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=psc-nat-subnet

Ensuite, récupérez et notez l'URI du rattachement de service pour configurer le point de terminaison PSC dans l'environnement client.

Dans Cloud Shell

gcloud compute service-attachments describe portmap-service-attachment --region=$region

Exemple de résultat attendu

connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-07-19T10:02:29.432-07:00'
description: ''
enableProxyProtocol: false
fingerprint: LI8D6JNQsLA=
id: '6207474793859982026'
kind: compute#serviceAttachment
name: portmap-service-attachment
natSubnets:
- https://www.googleapis.com/compute/v1/projects/$project/regions/$zone/subnetworks/psc-nat-subnet
pscServiceAttachmentId:
  high: '94288091358954472'
  low: '6207474793859982026'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/$project/regions/$region
selfLink: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/serviceAttachments/portmap-service-attachment
targetService: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/forwardingRules/portmap-fr

10. Créer un réseau VPC de consommateur

Réseau VPC

Depuis Cloud Shell

gcloud compute networks create consumer-vpc --subnet-mode custom

Créer un sous-réseau

Depuis Cloud Shell

gcloud compute networks subnets create consumer-client-subnet --network consumer-vpc --range=10.0.0.0/24 --region $region --enable-private-ip-google-access

Créer une stratégie de pare-feu réseau et des règles de pare-feu

Depuis Cloud Shell

gcloud compute network-firewall-policies create consumer-vpc-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy consumer-vpc-policy --network consumer-vpc --name network-consumer-vpc --global-firewall-policy

gcloud compute network-firewall-policies rules create 1000 --action ALLOW --firewall-policy consumer-vpc-policy --description "SSH with IAP" --direction INGRESS --src-ip-ranges 35.235.240.0/20 --layer4-configs tcp:22  --global-firewall-policy

Seul l'accès SSH via l'IAP est nécessaire pour le réseau client.

11. Créer une VM, un point de terminaison PSC et tester la connectivité

À ce stade, trois fenêtres Cloud Shell devraient être ouvertes. Vous devez avoir une session ouverte avec portmap-vm1. Une session doit être ouverte avec portmap-vm2, et l'autre doit être la session de travail.

Créer une VM de test

Depuis Cloud Shell

gcloud compute instances create consumer-client-vm --zone $zone --subnet=consumer-client-subnet --no-address

Créer un point de terminaison PSC

Depuis Cloud Shell

gcloud compute addresses create psc-endpoint-ip --region=$region --subnet=consumer-client-subnet --addresses 10.0.0.10

gcloud compute forwarding-rules create psc-portmap-endpoint --region=$region --network=consumer-vpc --address=psc-endpoint-ip --target-service-attachment=[SERVICE ATTACHMENT URI]

Tester la connectivité

Depuis Cloud Shell

gcloud compute ssh --zone $zone "consumer-client-vm" --tunnel-through-iap --project $project

curl 10.0.0.10:1001

Résultat attendu

portmap-vm1 1000

Depuis Cloud Shell

curl 10.0.0.10:1002

Résultat attendu

portmap-vm1 2000

Depuis Cloud Shell

curl 10.0.0.10:1003

Résultat attendu

portmap-vm2 1000

Depuis Cloud Shell

curl 10.0.0.10:1004

Résultat attendu

portmap-vm2 2000

12. Étapes de nettoyage

Quitter l'instance de VM (toutes les fenêtres)

exit

Supprimer des composants de l'atelier à partir d'un seul terminal Cloud Shell

gcloud compute forwarding-rules delete psc-portmap-endpoint --region=$region -q

gcloud compute addresses delete psc-endpoint-ip --region=$region -q

gcloud compute instances delete consumer-client-vm --zone=$zone -q

gcloud compute network-firewall-policies rules delete 1000 --firewall-policy=consumer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=consumer-vpc-policy  --name=network-consumer-vpc --global-firewall-policy -q

gcloud compute network-firewall-policies delete consumer-vpc-policy --global -q

gcloud compute networks subnets delete consumer-client-subnet  --region=$region -q

gcloud compute networks delete consumer-vpc -q

gcloud compute service-attachments delete portmap-service-attachment --region=$region -q

gcloud compute forwarding-rules delete portmap-fr --region=$region -q

gcloud compute backend-services delete portmap-bes --region=$region -q

gcloud compute network-endpoint-groups delete portmap-neg --region=$region -q

gcloud compute instances delete test-client-vm --zone=$zone -q

gcloud compute instances delete portmap-vm2 --zone=$zone -q

gcloud compute instances delete portmap-vm1 --zone=$zone -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies rules delete 2000 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies rules delete 1000 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=producer-vpc-policy  --name=network-producer-vpc --global-firewall-policy -q

gcloud compute network-firewall-policies delete producer-vpc-policy --global -q

gcloud compute networks subnets delete psc-nat-subnet --region $region -q

gcloud compute networks subnets delete producer-service-subnet --region $region -q

gcloud compute networks delete producer-vpc -q

13. Félicitations !

Bravo ! Vous avez terminé cet atelier de programmation.

Points abordés

• Cas d'utilisation du mappage de port Private Service Connect
• Principaux avantages de la cartographie des ports PSC
• Configuration réseau requise
• Créez un service producteur Private Service Connect à l'aide du mappage de port.
• Créer un point de terminaison Private Service Connect
• Effectuer des appels via un point de terminaison Private Service Connect vers un service producteur