Kết nối với các dịch vụ tại chỗ qua mạng kết hợp bằng cách sử dụng Private Service Connect và Hybrid NEG với trình cân bằng tải HTTP(s) nội bộ

1. Giới thiệu

Tính năng Cân bằng tải trên đám mây hỗ trợ cân bằng tải lưu lượng truy cập đến các điểm cuối mở rộng ngoài Google Cloud, chẳng hạn như các trung tâm dữ liệu tại chỗ và các đám mây công cộng khác mà bạn có thể sử dụng kết nối kết hợp để truy cập.

Chiến lược kết hợp là một giải pháp thực tế giúp bạn thích ứng với nhu cầu thay đổi của thị trường và từng bước hiện đại hoá ứng dụng. Đây có thể là một phương thức triển khai kết hợp tạm thời để cho phép di chuyển sang một giải pháp hiện đại dựa trên đám mây hoặc là một phần cố định của cơ sở hạ tầng CNTT của tổ chức.

Việc thiết lập tính năng cân bằng tải kết hợp cũng giúp bạn mang lại lợi ích của các tính năng kết nối mạng của Cloud Load Balancing cho các dịch vụ chạy trên cơ sở hạ tầng hiện có của bạn bên ngoài Google Cloud.

Nếu muốn cung cấp dịch vụ kết hợp trong các mạng VPC khác, bạn có thể sử dụng Private Service Connect để phát hành dịch vụ. Bằng cách đặt tệp đính kèm dịch vụ trước Bộ cân bằng tải HTTP(các) nội bộ theo khu vực,bạn có thể cho phép ứng dụng trong các mạng VPC khác truy cập vào dịch vụ kết hợp chạy trên máy chủ hoặc các môi trường đám mây khác.

Sản phẩm bạn sẽ tạo ra

Trong lớp học lập trình này, bạn sẽ xây dựng một trình cân bằng tải HTTP(S) nội bộ có Khả năng kết nối kết hợp với một dịch vụ tại chỗ bằng cách sử dụng Nhóm điểm cuối mạng. VPC của người dùng sẽ có thể giao tiếp với dịch vụ tại chỗ bằng cách sử dụng cổng 80, cổng 443 không nằm trong phạm vi của lớp học lập trình.

Lưu ý: Lớp học lập trình cung cấp các bước định cấu hình và xác thực dựa trên cấu hình được minh hoạ, hãy sửa đổi quy trình nếu cần để đáp ứng các yêu cầu của tổ chức. Quyền IAM không nằm trong phạm vi của lớp học lập trình này.

Kiến thức bạn sẽ học được

• Cách tạo trình cân bằng tải HTTP(S) nội bộ bằng phần phụ trợ NEG kết hợp
• Cách thiết lập Trình tạo Private Service Connect (Tệp đính kèm dịch vụ) và Trình dùng (Quy tắc chuyển tiếp)

Lưu ý: Lớp học lập trình này tập trung vào việc triển khai trình cân bằng tải HTTP(S) nội bộ bằng PSC. Cấu hình mạng kết hợp không được ghi lại mặc dù tài liệu hỗ trợ và ảnh chụp màn hình được cung cấp.

Bạn cần có

• Thiết lập mạng kết hợp, ví dụ: HA VPN, Kết nối, SW-WAN
• Dự án trên Google Cloud

Thiết lập kết nối kết hợp

Bạn phải kết nối Google Cloud với môi trường tại cơ sở hoặc môi trường đám mây khác thông qua kết nối kết hợp, bằng cách sử dụng tệp đính kèm VLAN Cloud Interconnect hoặc đường hầm Cloud VPN với Cloud Router. Bạn nên sử dụng kết nối có khả năng sẵn sàng cao.

Bộ định tuyến trên đám mây được bật tính năng Định tuyến động toàn cầu sẽ tìm hiểu về điểm cuối cụ thể thông qua BGP và lập trình điểm cuối đó vào mạng VPC của Google Cloud. Không hỗ trợ tính năng định tuyến động theo khu vực. Các tuyến tĩnh cũng không được hỗ trợ.

Mạng VPC của Google Cloud mà bạn dùng để định cấu hình Cloud Interconnect hoặc Cloud VPN cũng chính là mạng mà bạn dùng để định cấu hình việc triển khai cân bằng tải kết hợp. Đảm bảo rằng các dải CIDR của mạng con trong mạng VPC không xung đột với các dải CIDR từ xa. Khi địa chỉ IP trùng lặp, các tuyến mạng con được ưu tiên hơn kết nối từ xa.

Để biết hướng dẫn, hãy xem:

• Tài liệu về Cloud VPN
• Tài liệu về Cloud Interconnect

Quảng cáo tuỳ chỉnh theo tuyến

Các mạng con bên dưới yêu cầu quảng cáo tuỳ chỉnh từ Trình định tuyến trên đám mây đến mạng tại chỗ để đảm bảo các quy tắc tường lửa tại chỗ được cập nhật.

Mạng con	Mô tả
172.16.0.0/23	Mạng con proxy dùng để giao tiếp trực tiếp với dịch vụ tại chỗ
130.211.0.0/22, 35.191.0.0/16	Google Cloud Health Check

2. Trước khi bắt đầu

Cập nhật dự án để hỗ trợ lớp học lập trình

Lớp học lập trình này sử dụng $variables để hỗ trợ triển khai cấu hình gcloud trong Cloud Shell.

Bên trong Cloud Shell, hãy thực hiện như sau

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
psclab=YOUR-PROJECT-NAME
echo $psclab

3. Thiết lập Producer

Tạo VPC của nhà sản xuất

Bên trong Cloud Shell, hãy thực hiện như sau

gcloud compute networks create producer-vpc --project=$psclab --subnet-mode=custom

Tạo mạng con của Nhà sản xuất

Bên trong Cloud Shell, hãy thực hiện như sau

gcloud compute networks subnets create subnet-201 --project=$psclab --range=10.10.1.0/24 --network=producer-vpc --region=us-central1

gcloud compute networks subnets create subnet-202 --project=$psclab --range=10.20.1.0/24 --network=producer-vpc --region=us-central1

Đặt trước địa chỉ IP cho Trình cân bằng tải nội bộ

Trong Cloud Shell, hãy thực hiện những việc sau, việc sử dụng SHARED_VIP không được hỗ trợ với Private Service Connect, hãy sử dụng GCE_ENDPOINT

gcloud compute addresses create lb-ip \
    --region=us-central1 \
    --subnet=subnet-202 \
    --purpose=GCE_ENDPOINT

Sử dụng lệnh mô tả địa chỉ điện toán để xem địa chỉ IP được phân bổ

gcloud compute addresses describe lb-ip  --region=us-central1 | grep address:

Tạo mạng con Proxy theo khu vực

Việc phân bổ proxy diễn ra ở cấp VPC, chứ không phải ở cấp bộ cân bằng tải. Bạn phải tạo một mạng con chỉ dành cho proxy trong mỗi khu vực của mạng ảo (VPC) mà bạn sử dụng bộ cân bằng tải dựa trên Envoy. Nếu bạn triển khai nhiều trình cân bằng tải trong cùng một khu vực và cùng một mạng VPC, thì các trình cân bằng tải đó sẽ dùng chung một mạng con chỉ dành cho proxy để cân bằng tải.

1. Ứng dụng khách kết nối với địa chỉ IP và cổng của quy tắc chuyển tiếp của bộ cân bằng tải.
2. Mỗi proxy sẽ nghe địa chỉ IP và cổng do quy tắc chuyển tiếp của bộ cân bằng tải tương ứng chỉ định. Một trong các proxy sẽ nhận và chấm dứt kết nối mạng của ứng dụng.
3. Proxy thiết lập kết nối với máy ảo phụ trợ hoặc điểm cuối thích hợp trong NEG, do bản đồ URL và dịch vụ phụ trợ của bộ cân bằng tải xác định.

Bạn phải tạo mạng con chỉ dành cho proxy, bất kể mạng của bạn ở chế độ tự động hay tuỳ chỉnh. Mạng con chỉ có proxy phải cung cấp từ 64 địa chỉ IP trở lên. Giá trị này tương ứng với độ dài tiền tố là /26 trở xuống. Kích thước mạng con đề xuất là /23 (512 địa chỉ chỉ dành cho proxy).

Lưu ý: Mạng con chỉ dành cho proxy yêu cầu thông báo BGP của khách hàng tại chỗ, do đó, có thể định tuyến đến mạng tại chỗ của bạn, bạn có thể truy cập vào dịch vụ thông qua mạng con proxy được cung cấp.

Bên trong Cloud Shell, hãy thực hiện như sau

gcloud compute networks subnets create proxy-subnet-us-central \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=us-central1 \
  --network=producer-vpc \
  --range=172.16.0.0/23

Tạo các mạng con NAT của Private Service Connect

Tạo một hoặc nhiều mạng con chuyên dụng để sử dụng với Private Service Connect. Nếu đang sử dụng Google Cloud Console để phát hành dịch vụ, bạn có thể tạo các mạng con trong quy trình đó. Tạo mạng con trong cùng khu vực với trình cân bằng tải của dịch vụ. Bạn không thể chuyển đổi một mạng con thông thường thành mạng con Private Service Connect.

Bên trong Cloud Shell, hãy thực hiện như sau

gcloud compute networks subnets create psc-nat-subnet --network=producer-vpc --region=us-central1 --range=100.100.10.0/24 --purpose=private-service-connect

Tạo quy tắc tường lửa của nhà sản xuất

Định cấu hình các quy tắc tường lửa để cho phép lưu lượng truy cập giữa các điểm cuối Private Service Connect và tệp đính kèm dịch vụ. Trong lớp học lập trình, hãy tạo một Quy tắc tường lửa truy cập cho phép mạng con NAT 100.100.10.0/24 truy cập vào Tệp đính kèm dịch vụ Private Service Connect (bộ cân bằng tải nội bộ).

Bên trong Cloud Shell, hãy thực hiện như sau

gcloud compute --project=$psclab firewall-rules create allow-to-ingress-nat-subnet --direction=INGRESS --priority=1000 --network=producer-vpc --action=ALLOW --rules=all --source-ranges=100.100.10.0/24

Trong Cloud Shell, hãy tạo quy tắc fw-allow-health-check để cho phép quy trình kiểm tra tình trạng của Google Cloud truy cập vào dịch vụ tại chỗ (dịch vụ phụ trợ) trên cổng TCP 80

gcloud compute firewall-rules create fw-allow-health-check \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --rules=tcp:80

Tạo quy tắc tường lửa cho phép lưu lượng truy cập vào cho mạng con chỉ có proxy để cho phép trình cân bằng tải giao tiếp với các thực thể phụ trợ trên cổng TCP 80

gcloud compute firewall-rules create fw-allow-proxy-only-subnet \
    --network=producer-vpc \
    --action=allow \
    --direction=ingress \
    --source-ranges=172.16.0.0/23 \
    --rules=tcp:80

Thiết lập NEG kết nối kết hợp

Khi tạo NEG, hãy sử dụng một ZONE giúp giảm thiểu khoảng cách địa lý giữa Google Cloud và môi trường tại cơ sở riêng hoặc môi trường trên đám mây khác của bạn. Ví dụ: nếu đang lưu trữ một dịch vụ trong môi trường tại chỗ ở Frankfurt, Đức, bạn có thể chỉ định vùng europe-west3-a của Google Cloud khi tạo NEG.

Ngoài ra, nếu bạn đang sử dụng tính năng Kết nối đám mây, thì ZONE dùng để tạo NEG phải nằm trong cùng khu vực mà bạn đã định cấu hình tệp đính kèm Kết nối đám mây.

Để biết các khu vực và vùng hiện có, hãy xem tài liệu về Compute Engine: Các khu vực và vùng hiện có.

Trong Cloud Shell, hãy tạo một NEG kết nối kết hợp bằng lệnh gcloud compute network-endpoint-groups create

gcloud compute network-endpoint-groups create on-prem-service-neg \
    --network-endpoint-type=NON_GCP_PRIVATE_IP_PORT \
    --zone=us-central1-a \
    --network=producer-vpc

Bên trong Cloud Shell, hãy thêm điểm cuối IP:Port (IP:Cổng) tại chỗ vào NEG kết hợp.

gcloud compute network-endpoint-groups update on-prem-service-neg \
    --zone=us-central1-a \
    --add-endpoint="ip=192.168.1.5,port=80"

Định cấu hình bộ cân bằng tải

Trong các bước sau, bạn sẽ định cấu hình bộ cân bằng tải (quy tắc chuyển tiếp) và liên kết với nhóm điểm cuối mạng

Bên trong Cloud Shell, hãy tạo quy trình kiểm tra tình trạng theo khu vực được chuyển đến dịch vụ tại chỗ

gcloud compute health-checks create http http-health-check \
    --region=us-central1 \
    --use-serving-port

Bên trong Cloud Shell, hãy tạo dịch vụ phụ trợ cho phần phụ trợ tại chỗ tận dụng NEG kết hợp

 gcloud compute backend-services create on-premise-service-backend \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --protocol=HTTP \
      --health-checks=http-health-check \
      --health-checks-region=us-central1 \
      --region=us-central1

Bên trong Cloud Shell, hãy thêm phần phụ trợ NEG kết hợp vào dịch vụ phụ trợ. Đối với RATE, hãy nhập RATE tối đa mà phần phụ trợ sẽ xử lý.

gcloud compute backend-services add-backend on-premise-service-backend \
    --region=us-central1 \
    --balancing-mode=RATE \
    --max-rate-per-endpoint=100 \
    --network-endpoint-group=on-prem-service-neg \
    --network-endpoint-group-zone=us-central1-a

Bên trong Cloud Shell, hãy tạo bản đồ URL để định tuyến các yêu cầu đến dịch vụ phụ trợ

gcloud compute url-maps create on-prem-svc-url-map \
    --default-service on-premise-service-backend \
    --region=us-central1

Tạo proxy mục tiêu HTTP

gcloud compute target-http-proxies create proxy-subnet-us-central\
    --url-map=on-prem-svc-url-map \
    --url-map-region=us-central1 \
    --region=us-central1

Tạo quy tắc chuyển tiếp để định tuyến các yêu cầu đến đến proxy. Không sử dụng mạng con chỉ dành cho proxy để tạo quy tắc chuyển tiếp.

 gcloud compute forwarding-rules create http-hybrid-neg-fwd-rule \
      --load-balancing-scheme=INTERNAL_MANAGED \
      --network=producer-vpc \
      --subnet=subnet-202 \
      --address=lb-ip \
      --ports=80 \
      --region=us-central1 \
      --target-http-proxy=proxy-subnet-us-central \
      --target-http-proxy-region=us-central1

4. Xác thực trình cân bằng tải

Trong Cloud Console, hãy chuyển đến phần Dịch vụ mạng → Cân bằng tải → Bộ cân bằng tải. Lưu ý: 1 NEG có màu "Xanh lục" cho biết đã kiểm tra tình trạng thành công cho dịch vụ tại chỗ

Việc chọn ‘on-premise-svc-url-map' sẽ trả về Địa chỉ IP giao diện người dùng và xác định Dịch vụ phụ trợ

5. Xem các tuyến đường đã học từ máy chủ cục bộ

Chuyển đến VPC Network (Mạng VPC) → Routes (Tuyến). Lưu ý: mạng con dịch vụ tại chỗ đã học 192.168.1.0/27

6. Xác thực khả năng kết nối với dịch vụ tại chỗ

Từ VPC của nhà sản xuất, chúng ta sẽ tạo một máy ảo để kiểm tra khả năng kết nối với dịch vụ tại chỗ, sau đó là cấu hình Tệp đính kèm dịch vụ.

Bên trong Cloud Shell, hãy tạo thực thể kiểm thử trong vpc của nhà sản xuất

gcloud compute instances create test-box-us-central1 \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=subnet-201 \
    --no-address

Để cho phép IAP kết nối với các phiên bản máy ảo, hãy tạo một quy tắc tường lửa:

• Áp dụng cho tất cả các phiên bản máy ảo mà bạn muốn truy cập bằng IAP.
• Cho phép lưu lượng truy cập vào từ dải IP 35.235.240.0/20. Phạm vi này chứa tất cả địa chỉ IP mà IAP sử dụng để chuyển tiếp TCP.

Bên trong Cloud Shell, hãy tạo thực thể kiểm thử trong vpc của nhà sản xuất

gcloud compute firewall-rules create ssh-iap \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

Đăng nhập vào test-box-us-central1 bằng IAP trong Cloud Shell để xác thực khả năng kết nối với dịch vụ tại chỗ bằng cách thực hiện một lệnh curl đối với Địa chỉ IP cân bằng tải. Thử lại nếu hết thời gian chờ.

gcloud compute ssh test-box-us-central1 --project=$psclab --zone=us-central1-a --tunnel-through-iap

Thực hiện một curl xác thực khả năng kết nối với dịch vụ tại chỗ. Sau khi xác thực, hãy thoát khỏi máy ảo để quay lại lời nhắc của Cloud Shell. Thay thế IP của Bộ cân bằng tải nội bộ dựa trên kết quả mà bạn đã xác định ở bước 4.

user@test-box-us-central1:~$ curl -v 10.20.1.2
* Expire in 0 ms for 6 (transfer 0x55b7725c10f0)
*   Trying 10.20.1.2...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x55b7725c10f0)
* Connected to 10.20.1.2 (10.20.1.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 10.20.1.2
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< content-type: text/html; charset=utf-8
< accept-ranges: bytes
< etag: "3380914763"
< last-modified: Mon, 05 Dec 2022 15:10:56 GMT
< expires: Mon, 12 Dec 2022 03:17:20 GMT
< cache-control: max-age=0
< content-length: 37
< date: Mon, 12 Dec 2022 03:17:20 GMT
< server: lighttpd/1.4.53
< via: 1.1 google
< 
Welcome to my on-premise service!!

7. Tạo tệp đính kèm dịch vụ Private Service Connect

Trong các bước sau, chúng ta sẽ tạo Tệp đính kèm dịch vụ. Sau khi ghép nối với Điểm cuối của người dùng, bạn sẽ có quyền truy cập vào dịch vụ tại chỗ mà không cần kết nối ngang hàng VPC.

Tạo tệp đính kèm dịch vụ

Trong Cloud Shell, hãy tạo Tệp đính kèm dịch vụ

gcloud compute service-attachments create service-1 --region=us-central1 --producer-forwarding-rule=http-hybrid-neg-fwd-rule --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=psc-nat-subnet

Không bắt buộc: Nếu sử dụng VPC dùng chung, hãy tạo Tệp đính kèm dịch vụ trong Dự án dịch vụ

gcloud compute service-attachments create service-1 --region=us-central1 --producer-forwarding-rule=http-hybrid-neg-fwd-rule --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=projects/<hostproject>/regions/<region>/subnetworks/<natsubnet>

Xác thực tệp đính kèm dịch vụ TCP

gcloud compute service-attachments describe service-1 --region us-central1

Không bắt buộc: Chuyển đến Dịch vụ mạng → Private Service Connect để xem Tệp đính kèm dịch vụ mới được thiết lập

Việc chọn Service-1 sẽ cung cấp thêm thông tin chi tiết, bao gồm cả URI tệp đính kèm dịch vụ mà người dùng sử dụng để thiết lập Kết nối dịch vụ riêng tư. Ghi lại URI này vì bạn sẽ sử dụng URI này trong bước sau.

Thông tin chi tiết về tệp đính kèm dịch vụ: projects/<projectname>/regions/us-central1/serviceAttachments/service-1

8. Thiết lập người dùng

Tạo VPC của người dùng

Bên trong Cloud Shell, hãy thực hiện như sau

gcloud compute networks create consumer-vpc --project=$psclab --subnet-mode=custom

Tạo mạng con Người dùng

Bên trong Cloud Shell, hãy tạo mạng con GCE

gcloud compute networks subnets create subnet-101 --project=$psclab --range=10.100.1.0/24 --network=consumer-vpc --region=us-central1

Bên trong Cloud Shell, hãy tạo Subnet điểm cuối của người dùng

gcloud compute networks subnets create subnet-102 --project=$psclab --range=10.100.2.0/24 --network=consumer-vpc --region=us-central1

Tạo Điểm cuối của người dùng (quy tắc chuyển tiếp)

Bên trong Cloud Shell, hãy tạo Địa chỉ IP tĩnh sẽ được dùng làm Điểm cuối của người dùng

gcloud compute addresses create psc-consumer-ip-1 --region=us-central1 --subnet=subnet-102 --addresses 10.100.2.10

Hãy sử dụng URI tệp đính kèm dịch vụ đã tạo trước đó để tạo Điểm cuối của người dùng

Bên trong Cloud Shell, hãy tạo Điểm cuối của người dùng

gcloud compute forwarding-rules create psc-consumer-1 --region=us-central1 --network=consumer-vpc --address=psc-consumer-ip-1 --target-service-attachment=projects/$psclab/regions/us-central1/serviceAttachments/service-1

9. Xác thực Private Service Connect của người dùng – VPC của người dùng

Từ VPC của người dùng, hãy xác minh kết nối Dịch vụ riêng tư thành công bằng cách chuyển đến Dịch vụ mạng → Private Service Connect → Điểm cuối đã kết nối. Lưu ý kết nối psc-consumer-1 đã thiết lập và Địa chỉ IP tương ứng mà chúng ta đã tạo trước đó.

Khi chọn psc-consumer-1, thông tin chi tiết sẽ được cung cấp, bao gồm cả URI tệp đính kèm dịch vụ

10. Xác thực Private Service Connect của người dùng – VPC của nhà sản xuất

Trên VPC của nhà sản xuất, hãy xác minh kết nối Dịch vụ riêng tư thành công bằng cách chuyển đến Dịch vụ mạng → Private Service Connect→Dịch vụ đã xuất bản. Lưu ý rằng kết nối service-1 đã xuất bản hiện cho biết 1 quy tắc chuyển tiếp (điểm cuối kết nối).

11. Tạo vùng DNS riêng tư và bản ghi A

Tạo Vùng DNS riêng tư được liên kết với Điểm cuối kết nối PSC để cho phép truy cập liền mạch vào Nhà sản xuất từ bất kỳ máy chủ nào trong VPC.

Lưu ý: Chúng tôi không hỗ trợ quyền truy cập vào điểm cuối của người dùng thông qua tính năng liên kết VPC

Trong Cloud Shell

gcloud dns --project=$psclab managed-zones create codelab-zone --description="" --dns-name="codelab.net." --visibility="private" --networks="consumer-vpc"

gcloud dns --project=$psclab record-sets create service1.codelab.net. --zone="codelab-zone" --type="A" --ttl="300" --rrdatas="10.100.2.10"

12. Xác thực quyền truy cập của Người tiêu dùng vào dịch vụ Nhà sản xuất bằng máy ảo

Từ VPC của người dùng, chúng ta sẽ tạo một máy ảo để kiểm thử khả năng kết nối với dịch vụ tại chỗ bằng cách truy cập vào điểm cuối của người dùng service1.codelabs.net

Bên trong Cloud Shell, hãy tạo thực thể kiểm thử trong vpc của người dùng

gcloud compute instances create consumer-vm \
    --zone=us-central1-a \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --subnet=subnet-101 \
    --no-address

Để cho phép IAP kết nối với các phiên bản máy ảo, hãy tạo một quy tắc tường lửa:

• Áp dụng cho tất cả các phiên bản máy ảo mà bạn muốn truy cập bằng IAP.
• Cho phép lưu lượng truy cập vào từ dải IP 35.235.240.0/20. Phạm vi này chứa tất cả địa chỉ IP mà IAP sử dụng để chuyển tiếp TCP.

Bên trong Cloud Shell, hãy tạo thực thể kiểm thử trong vpc của người dùng

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

Đăng nhập vào consumer-vm bằng IAP trong Cloud Shell để xác thực khả năng kết nối với dịch vụ tại chỗ bằng cách thực hiện lệnh curl đối với dns FQDN service1.codelab.net. Hãy thử lại nếu hết thời gian chờ.

gcloud compute ssh consumer-vm --project=$psclab --zone=us-central1-a --tunnel-through-iap

Thực hiện một curl xác thực khả năng kết nối với dịch vụ tại chỗ. Sau khi xác thực, hãy thoát khỏi máy ảo và quay lại lời nhắc của Cloud Shell

Trong Cloud Shell, hãy thực hiện một lệnh curl

$ curl -v service1.codelab.net
*   Trying 10.100.2.10...
* TCP_NODELAY set
* Expire in 200 ms for 4 (transfer 0x5650fc3390f0)
* Connected to service1.codelab.net (10.100.2.10) port 80 (#0)
> GET / HTTP/1.1
> Host: service1.codelab.net
> User-Agent: curl/7.64.0
> Accept: */*
> 
< HTTP/1.1 200 OK
< Content-Type: text/html; charset=utf-8
< Accept-Ranges: bytes
< ETag: "3380914763"
< Last-Modified: Mon, 05 Dec 2022 15:10:56 GMT
< Expires: Mon, 05 Dec 2022 15:15:41 GMT
< Cache-Control: max-age=0
< Content-Length: 37
< Date: Mon, 05 Dec 2022 15:15:41 GMT
< Server: lighttpd/1.4.53
< 
Welcome to my on-premise service!!

Dưới đây là ví dụ về bản ghi từ dịch vụ tại chỗ, lưu ý Địa chỉ IP nguồn 172.16.0.13 nằm trong dải Mạng con proxy 172.16.0.0/23

13. Dọn dẹp Producer

Xoá thành phần Nhà sản xuất

Trong Cloud Shell, hãy xoá các thực thể kiểm thử trong VPC của nhà sản xuất

gcloud compute instances delete test-box-us-central1 --zone=us-central1-a --quiet

gcloud compute service-attachments delete service-1 --region=us-central1 --quiet 

gcloud compute forwarding-rules delete http-hybrid-neg-fwd-rule --region=us-central1 --quiet

gcloud compute target-http-proxies delete proxy-subnet-us-central --region=us-central1 --quiet

gcloud compute url-maps delete on-prem-svc-url-map --region=us-central1 --quiet

gcloud compute backend-services delete on-premise-service-backend --region=us-central1 --quiet

gcloud compute network-endpoint-groups delete on-prem-service-neg --zone=us-central1-a --quiet

gcloud compute addresses delete lb-ip --region=us-central1 --quiet

gcloud compute networks subnets delete psc-nat-subnet subnet-201 subnet-202 proxy-subnet-us-central --region=us-central1 --quiet

gcloud compute firewall-rules delete ssh-iap fw-allow-proxy-only-subnet allow-to-ingress-nat-subnet fw-allow-health-check --quiet

gcloud compute health-checks delete http-health-check --region=us-central1 --quiet

gcloud compute networks delete producer-vpc --quiet

14. Dọn dẹp người dùng

Xoá thành phần Consumer

Trong Cloud Shell, hãy xoá các thực thể kiểm thử trong VPC của người dùng

gcloud compute instances delete consumer-vm --zone=us-central1-a --quiet

gcloud compute forwarding-rules delete psc-consumer-1 --region=us-central1 --quiet

gcloud compute addresses delete psc-consumer-ip-1 --region=us-central1 --quiet

gcloud compute networks subnets delete subnet-101 subnet-102 --region=us-central1 --quiet

gcloud compute firewall-rules delete ssh-iap-consumer --quiet

gcloud dns record-sets delete service1.codelab.net --type=A --zone=codelab-zone --quiet

gcloud dns managed-zones delete codelab-zone --quiet 

gcloud compute networks delete consumer-vpc --quiet 

15. Xin chúc mừng

Xin chúc mừng! Bạn đã định cấu hình và xác thực thành công Private Service Connect bằng trình cân bằng tải HTTP(S) nội bộ.

Bạn đã tạo cơ sở hạ tầng của nhà sản xuất và thêm một tệp đính kèm dịch vụ trong VPC của nhà sản xuất trỏ đến một dịch vụ tại chỗ. Bạn đã tìm hiểu cách tạo điểm cuối của người dùng trong VPC của người dùng để cho phép kết nối với dịch vụ tại chỗ.

Tiếp theo là gì?

Hãy xem một số lớp học lập trình này...

• Sử dụng Dịch vụ riêng tư để phát hành và sử dụng các dịch vụ bằng GKE
• Sử dụng Private Service Connect để phát hành và sử dụng dịch vụ
• Kết nối với các dịch vụ tại chỗ thông qua Mạng kết hợp bằng Private Service Connect và bộ cân bằng tải Proxy TCP nội bộ

Tài liệu đọc thêm và video

• Tổng quan về Private Service Connect
• Kết nối dịch vụ riêng tư (PSC) là gì?
• Các loại bộ cân bằng tải được hỗ trợ

Tài liệu tham khảo

• Tổng quan về trình cân bằng tải HTTP(s) nội bộ
• Tổng quan về tính năng Kiểm tra trạng thái
• Cách phát hành dịch vụ bằng Private Service Connect