1. Introducción
Una interfaz de Private Service Connect es un recurso que permite que una red de nube privada virtual (VPC) de productor inicie conexiones a varios destinos en una red de VPC de consumidor. Las redes de productores y consumidores pueden estar en diferentes proyectos y organizaciones.
Si un adjunto de red acepta una conexión desde una interfaz de Private Service Connect, Google Cloud asigna a la interfaz una dirección IP de una subred de consumidor que especifica el adjunto de red. Las redes del consumidor y del productor están conectadas y pueden comunicarse mediante direcciones IP internas.
Una conexión entre un adjunto de red y una interfaz de Private Service Connect es similar a la conexión entre un extremo de Private Service Connect y un adjunto de servicio, pero tiene dos diferencias clave:
- Un adjunto de red permite que una red de productor inicie conexiones a una red de consumidor (salida de servicio administrado), mientras que un extremo permite que una red de consumidor inicie conexiones a una red de productor (entrada de servicio administrado).
- Una conexión de la interfaz de Private Service Connect es transitiva. Esto significa que una red del productor puede comunicarse con otras redes que están conectadas a la red del consumidor.
Qué compilarás
En este instructivo, crearás una arquitectura integral de la interfaz de Private Service Connect (PSC) que utilice reglas de firewall de Cloud para permitir y denegar la conectividad del productor al procesamiento del consumidor, como se ilustra en la Figura 1.
Figura 1
Crearás un solo psc-network-attachment en la VPC del consumidor, lo que generará los siguientes casos de uso:
- Crea una regla de firewall de Cloud para permitir el acceso de bear a lion
- Crea una regla de firewall de Cloud para denegar el acceso de bear a tiger
- Crea una regla de firewall de Cloud para permitir el acceso de cosmo a bear
Qué aprenderás
- Cómo crear un archivo adjunto de red
- Cómo un productor puede usar un adjunto de red para crear una interfaz de PSC
- Cómo establecer la comunicación del productor al consumidor
- Cómo permitir el acceso de la VM de productor (oso) a la VM de consumidor (león)
- Cómo bloquear el acceso de la VM de productor (oso) a la VM de consumidor (tigre)
- Cómo permitir el acceso desde la VM de consumidor (cosmo) a la VM de productor (bear)
Requisitos
- Proyecto de Google Cloud
- Permisos de IAM
- Administrador de red de Compute (roles/compute.networkAdmin)
- Administrador de instancias de Compute (roles/compute.instanceAdmin)
- Administrador de seguridad de Compute (roles/compute.securityAdmin)
2. Antes de comenzar
Actualiza el proyecto para admitir el instructivo
En este instructivo, se usan $variables para ayudar a implementar la configuración de gcloud en Cloud Shell.
En Cloud Shell, haz lo siguiente:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
3. Configuración del consumidor
Crea la VPC del consumidor
En Cloud Shell, haz lo siguiente:
gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom
Crea las subredes de consumidor
En Cloud Shell, haz lo siguiente:
gcloud compute networks subnets create lion-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=consumer-vpc --region=us-central1
En Cloud Shell, haz lo siguiente:
gcloud compute networks subnets create tiger-subnet-1 --project=$projectid --range=192.168.30.0/28 --network=consumer-vpc --region=us-central1
En Cloud Shell, haz lo siguiente:
gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.40.0/28 --network=consumer-vpc --region=us-central1
Crea la subred de adjunto de red de Private Service Connect
En Cloud Shell, haz lo siguiente:
gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1
Configuración de Cloud Router y NAT
En el instructivo, se usa Cloud NAT para la instalación de paquetes de software porque la instancia de VM no tiene una dirección IP pública. Cloud NAT permite que las VMs con direcciones IP privadas accedan a Internet.
En Cloud Shell, crea el router en la nube.
gcloud compute routers create cloud-router-for-nat --network consumer-vpc --region us-central1
En Cloud Shell, crea la puerta de enlace de NAT.
gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1
4. Habilitar IAP
Para permitir que IAP se conecte a tus instancias de VM, crea una regla de firewall que cumpla con lo siguiente:
- Se aplica a todas las instancias de VM a las que deseas acceder mediante IAP.
- Permite el tráfico de entrada desde el rango de IP 35.235.240.0/20. Este rango contiene todas las direcciones IP que IAP usa para el reenvío de TCP.
En Cloud Shell, crea la regla de firewall de IAP.
gcloud compute firewall-rules create ssh-iap-consumer \
--network consumer-vpc \
--allow tcp:22 \
--source-ranges=35.235.240.0/20
5. Crea instancias de VM de consumidor
En Cloud Shell, crea la instancia de VM de consumidor, lion.
gcloud compute instances create lion \
--project=$projectid \
--machine-type=e2-micro \
--image-family debian-11 \
--no-address \
--image-project debian-cloud \
--zone us-central1-a \
--subnet=lion-subnet-1 \
--metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart
echo 'Welcome to the lion app server !!' | tee /var/www/html/index.html
EOF"
En Cloud Shell, crea la instancia de VM de consumidor, tiger.
gcloud compute instances create tiger \
--project=$projectid \
--machine-type=e2-micro \
--image-family debian-11 \
--no-address \
--image-project debian-cloud \
--zone us-central1-a \
--subnet=tiger-subnet-1 \
--metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart
echo 'Welcome to the tiger app server !!' | tee /var/www/html/index.html
EOF"
En Cloud Shell, crea la instancia de VM de consumidor, cosmo.
gcloud compute instances create cosmo \
--project=$projectid \
--machine-type=e2-micro \
--image-family debian-11 \
--no-address \
--image-project debian-cloud \
--zone us-central1-a \
--subnet=cosmo-subnet-1 \
--metadata startup-script="#! /bin/bash
sudo apt-get update
sudo apt-get install tcpdump
sudo apt-get install apache2 -y
sudo service apache2 restart
echo 'Welcome to the cosmo app server !!' | tee /var/www/html/index.html
EOF"
Obtén y almacena las direcciones IP de las instancias:
En Cloud Shell, realiza un comando describe en las instancias de VM de lion y tiger.
gcloud compute instances describe lion --zone=us-central1-a | grep networkIP:
gcloud compute instances describe tiger --zone=us-central1-a | grep networkIP:
gcloud compute instances describe cosmo --zone=us-central1-a | grep networkIP:
6. Adjunto de red de Private Service Connect
Los adjuntos de red son recursos regionales que representan el lado del consumidor de una interfaz de Private Service Connect. Debes asociar una sola subred con un adjunto de red y el productor asigna IP a la interfaz de Private Service Connect desde esa subred. La subred debe estar en la misma región que el adjunto de red. Un adjunto de red debe estar en la misma región que el servicio del productor.
Crea el adjunto de red
En Cloud Shell, crea el adjunto de red.
gcloud compute network-attachments create psc-network-attachment \
--region=us-central1 \
--connection-preference=ACCEPT_MANUAL \
--producer-accept-list=$projectid \
--subnets=intf-subnet
Cómo mostrar una lista de los archivos adjuntos de red
En Cloud Shell, enumera el adjunto de red.
gcloud compute network-attachments list
Describe los archivos adjuntos de red
En Cloud Shell, describe el adjunto de red.
gcloud compute network-attachments describe psc-network-attachment --region=us-central1
Anota el URI psc-network-attachment que usará el productor cuando cree la interfaz de Private Service Connect. Consulta el siguiente ejemplo:
user@cloudshell$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-06T20:57:12.623-07:00'
fingerprint: 4Yq6xAfaRO0=
id: '3235195049527328503'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet
7. Configuración del productor
Crea la red de VPC del productor
En Cloud Shell, haz lo siguiente:
gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom
Crea las subredes de productor
En Cloud Shell, crea la subred que se usa para la vNIC0 de la interfaz psc.
gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1
8. Habilitar IAP
Para permitir que IAP se conecte a tus instancias de VM, crea una regla de firewall que cumpla con lo siguiente:
- Se aplica a todas las instancias de VM a las que deseas acceder mediante IAP.
- Permite el tráfico de entrada desde el rango de IP 35.235.240.0/20. Este rango contiene todas las direcciones IP que IAP usa para el reenvío de TCP.
En Cloud Shell, crea la regla de firewall de IAP.
gcloud compute firewall-rules create ssh-iap-producer \
--network producer-vpc \
--allow tcp:22 \
--source-ranges=35.235.240.0/20
9. Crea la interfaz de Private Service Connect
Una interfaz de Private Service Connect es un recurso que permite que una red de nube privada virtual (VPC) de productor inicie conexiones a varios destinos en una red de VPC de consumidor. Las redes de productores y consumidores pueden estar en diferentes proyectos y organizaciones.
Si un adjunto de red acepta una conexión desde una interfaz de Private Service Connect, Google Cloud asigna a la interfaz una dirección IP de una subred de consumidor que especifica el adjunto de red. Las redes del consumidor y del productor están conectadas y pueden comunicarse mediante direcciones IP internas.
En Cloud Shell, crea la interfaz de Private Service Connect (bear) y, luego, inserta el URI de psc-network-attachment identificado anteriormente del resultado de la descripción del adjunto de red.
gcloud compute instances create bear --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
Validación de varios NIC
Valida que la interfaz de PSC esté configurada con la dirección IP adecuada. vNIC0 usará la subred de producción del productor (10.20.1.0/28) y vNIC1 usará la subred de intf del consumidor (192.168.10.0/28).
gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:
Ejemplo:
user$ gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:
networkIP: 10.20.1.2
networkIP: 192.168.10.2
10. Actualiza las reglas de firewall del consumidor
Crea una regla de firewall de Cloud para permitir el acceso de bear a lion
En Cloud Shell, crea una regla de prioridad más alta que permita la salida desde el rango de direcciones IP de attachment-subnet (intf-subnet) a los destinos en el rango de direcciones de lion-subnet-1.
gcloud compute firewall-rules create allow-limited-egress-to-lion \
--network=consumer-vpc \
--action=ALLOW \
--rules=ALL \
--direction=EGRESS \
--priority=1000 \
--source-ranges="192.168.10.0/28" \
--destination-ranges="192.168.20.0/28" \
--enable-logging
En Cloud Shell, crea una regla de permiso de entrada que anule la regla de entrada de denegación implícita para el tráfico de la subred psc-network-attachment.
gcloud compute firewall-rules create allow-ingress \
--network=consumer-vpc \
--action=ALLOW \
--rules=ALL \
--direction=INGRESS \
--priority=1000 \
--source-ranges="192.168.10.0/28" \
--enable-logging
Crea una regla de firewall de Cloud para denegar el acceso de bear a todos los rangos (incluido tiger)
En Cloud Shell, crea una regla de prioridad baja que rechace todo el tráfico de salida del rango de direcciones IP de la subred del adjunto de red, intf-subnet.
gcloud compute firewall-rules create deny-all-egress \
--network=consumer-vpc \
--action=DENY \
--rules=ALL \
--direction=EGRESS \
--priority=65534 \
--source-ranges="192.168.10.0/28" \
--destination-ranges="0.0.0.0/0" \
--enable-logging
Crea una regla de firewall de Cloud para permitir el acceso de cosmo a bear
En Cloud Shell, crea una regla de permiso de entrada que anule la regla de entrada de denegación implícita para el tráfico de la subred psc-network-attachment.
gcloud compute firewall-rules create vm-subnet-allow-ingress \
--network=consumer-vpc \
--action=ALLOW \
--rules=ALL \
--direction=INGRESS \
--priority=1000 \
--source-ranges="192.168.40.0/28" \
--destination-ranges="192.168.10.0/28" \
--enable-logging
11. Crea rutas de Linux para la interfaz de PSC
Desde la instancia de la interfaz de PSC, configura las rutas de Linux para permitir la comunicación del productor con las subredes del consumidor.
Busca el nombre del SO invitado de tu interfaz de Private Service Connect
Para configurar el enrutamiento, debes conocer el nombre del SO invitado de tu interfaz de Private Service Connect, que es diferente del nombre de la interfaz en Google Cloud.
En Cloud Shell, abre una pestaña nueva y haz lo siguiente:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
Accede a la VM psc-interface, bear, con IAP en Cloud Shell.
gcloud compute ssh bear --project=$projectid --zone=us-central1-a --tunnel-through-iap
En Cloud Shell, obtén la dirección IP de la instancia de psc-interface.
ip a
Ejemplo:
user@bear:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
altname enp0s4
inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
valid_lft 85991sec preferred_lft 85991sec
inet6 fe80::4001:aff:fe14:102/64 scope link
valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
altname enp0s5
inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
valid_lft 85991sec preferred_lft 85991sec
inet6 fe80::4001:c0ff:fea8:a02/64 scope link
valid_lft forever preferred_lft forever
Cómo encontrar la IP de la puerta de enlace de tu interfaz de PSC
En la lista de interfaces de red, busca y almacena el nombre de la interfaz asociada con la dirección IP de tu interfaz de Private Service Connect, por ejemplo, ens5 (vNIC1).
Para configurar el enrutamiento, debes conocer la dirección IP de la puerta de enlace predeterminada de la interfaz de Private Service Connect.
En Cloud Shell, usaremos 1, ya que la interfaz de PSC está asociada con vNIC1.
curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
El ejemplo produce la puerta de enlace predeterminada 192.168.10.1.
user@bear:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1
Agrega rutas para las subredes del consumidor
Debes agregar una ruta a la puerta de enlace predeterminada de la interfaz de Private Service Connect para cada subred del consumidor que se conecte a la interfaz de Private Service Connect. Esto garantiza que el tráfico que está vinculado a la red del consumidor salga de la interfaz de Private Service Connect.
En la instancia de Bear, agrega las rutas a las subredes del consumidor.
sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.30.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.40.0/28 via 192.168.10.1 dev ens5
Valida la tabla de rutas
En Cloud Shell, valida las rutas que se agregaron recientemente.
ip route show
Ejemplo.
user@bear:~$ ip route show
default via 10.20.1.1 dev ens4
10.20.1.0/28 via 10.20.1.1 dev ens4
10.20.1.1 dev ens4 scope link
192.168.10.0/28 via 192.168.10.1 dev ens5
192.168.10.1 dev ens5 scope link
192.168.20.0/28 via 192.168.10.1 dev ens5
192.168.30.0/28 via 192.168.10.1 dev ens5
192.168.40.0/28 via 192.168.10.1 dev ens5
12. Valida la conectividad correcta de Bear a Lion
Confirmemos que la instancia de VM del productor, bear, puede comunicarse con la instancia del consumidor, lion, realizando un curl.
Desde la instancia de bear, realiza un curl en la dirección IP de lion que se identificó antes en el instructivo desde la instancia de bear.
curl -v <lions IP Address>
Ejemplo:
user@bear:~$ curl -v 192.168.20.2
* Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
>
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Tue, 06 Jun 2023 03:53:08 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Mon, 05 Jun 2023 19:41:26 GMT
< ETag: "1e-5fd6716a1e11b"
< Accept-Ranges: bytes
< Content-Length: 30
< Content-Type: text/html
<
Welcome to lion app server !!
* Connection #0 to host 192.168.20.2 left intact
13. Verifica que la conectividad de Bear a Tiger esté bloqueada
Veamos los registros del firewall para confirmar que la regla de firewall de salida bloquea el acceso de bear a tiger.
En una sesión nueva de la consola de Cloud, navega a Logging → Explorador de registros → Selecciona Mostrar consulta
Pega la siguiente cadena de consulta en el campo de búsqueda y selecciona stream.
jsonPayload.rule_details.reference="network:consumer-vpc/firewall:deny-all-egress"
Desde la instancia de bear, realiza un curl en la dirección IP de tiger que se identificó antes en el instructivo desde la instancia de bear. Con el tiempo, se agotará el tiempo de espera de curl.
curl -v <tiger's IP Address>
Ejemplo:
user@bear:~$ curl -v 192.168.30.2
* Trying 192.168.30.2:80...
* connect to 192.168.30.2 port 80 failed: Connection timed out
* Failed to connect to 192.168.30.2 port 80: Connection timed out
* Closing connection 0
curl: (28) Failed to connect to 192.168.30.2 port 80: Connection timed out
Valida que el Explorador de registros haya capturado los registros de firewall denegados. Selecciona una entrada de registro y expande los campos anidados para ver los metadatos.
14. Verifica que la conectividad de Cosmo to Bear se haya establecido correctamente
Abre una pestaña nueva de Cloud Shell y actualiza la configuración de tu proyecto.
En Cloud Shell, haz lo siguiente:
gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid
Accede a la instancia de Cosmo con IAP en Cloud Shell.
gcloud compute ssh cosmo --project=$projectid --zone=us-central1-a --tunnel-through-iap
En Cloud Shell, realiza un ping a la dirección IP vNIV1 de Bear que se identificó antes en el instructivo.
ping <bears vNIC1 IP Address>
Ejemplo:
user@cosmo:~$ ping 192.168.10.2 -c 5
PING 192.168.10.2 (192.168.10.2) 56(84) bytes of data.
64 bytes from 192.168.10.2: icmp_seq=1 ttl=64 time=0.277 ms
64 bytes from 192.168.10.2: icmp_seq=2 ttl=64 time=0.288 ms
64 bytes from 192.168.10.2: icmp_seq=3 ttl=64 time=0.265 ms
64 bytes from 192.168.10.2: icmp_seq=4 ttl=64 time=0.264 ms
64 bytes from 192.168.10.2: icmp_seq=5 ttl=64 time=0.366 ms
15. Limpia
En Cloud Shell, borra los componentes del instructivo.
gcloud compute instances delete bear --zone=us-central1-a --quiet
gcloud compute instances delete lion --zone=us-central1-a --quiet
gcloud compute instances delete tiger --zone=us-central1-a --quiet
gcloud compute instances delete cosmo --zone=us-central1-a --quiet
gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet
gcloud compute firewall-rules delete allow-ingress allow-limited-egress-to-lion deny-all-egress ssh-iap-consumer ssh-iap-producer vm-subnet-allow-ingress --quiet
gcloud compute networks subnets delete cosmo-subnet-1 intf-subnet lion-subnet-1 prod-subnet tiger-subnet-1 --region=us-central1 --quiet
gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet
gcloud compute networks delete consumer-vpc --quiet
gcloud compute networks delete producer-vpc --quiet
16. Felicitaciones
Felicitaciones, configuraste y validaste correctamente una interfaz de Private Service Connect y la conectividad de consumidores y productores mediante la implementación de reglas de firewall.
Creaste la infraestructura de consumidor y agregaste un archivo adjunto de red que le permitió al productor crear una VM multi-NIC para unir la comunicación entre el consumidor y el productor. Aprendiste a crear reglas de firewall en la red de VPC del consumidor que permitan la conectividad a las instancias de la VPC del consumidor y del productor.
Cosmopup piensa que los instructivos son geniales.
¿Qué sigue?
Consulta algunos de estos instructivos…
- Usa Private Service Connect para publicar y consumir servicios con GKE
- Usa Private Service Connect para publicar y consumir servicios
- Conéctate a servicios locales a través de redes híbridas con Private Service Connect y un balanceador de cargas de proxy TCP interno
Lecturas y videos adicionales
- Descripción general de Private Service Connect
- ¿Qué es Private Service Connect?
- Tipos de balanceador de cargas admitidos