ממשק התחברות לשירות פרטי

1. מבוא

ממשק Private Service Connect הוא משאב שמאפשר לרשת ענן וירטואלי פרטי (VPC) של בעלים של שירות מנוהל ליזום חיבורים ליעדים שונים ברשת VPC של צרכן. רשתות ייצור ורשתות צרכן יכולות להיות בפרויקטים ובארגונים שונים.

אם קובץ מצורף עם רשת מקבל חיבור מממשק של Private Service Connect, ‏Google Cloud מקצה לממשק כתובת IP מרשת משנה של צרכן שצוינה בקובץ המצורף עם הרשת. הרשתות של הצרכן והבעלים מחוברות ויכולות לתקשר באמצעות כתובות IP פנימיות.

חיבור בין קובץ מצורף עם רשת לבין ממשק של Private Service Connect דומה לחיבור בין נקודת קצה של Private Service Connect לבין קובץ מצורף עם שירות, אבל יש ביניהם שני הבדלים עיקריים:

• צירוף רשת מאפשר לרשת של בעל התוכן הדיגיטלי ליזום חיבורים לרשת של צרכן השירות (יציאה של שירות מנוהל), ואילו נקודת קצה מאפשרת לרשת של צרכן השירות ליזום חיבורים לרשת של בעל התוכן הדיגיטלי (כניסה של שירות מנוהל).
• חיבור של ממשק Private Service Connect הוא טרנזיטיבי. המשמעות היא שרשת של יצרן יכולה לתקשר עם רשתות אחרות שמחוברות לרשת של הצרכן.

מה תפַתחו

במדריך הזה תלמדו איך ליצור ארכיטקטורה מקיפה של ממשק Private Service Connect ‏ (PSC) שמשתמשת בכללים של חומת האש של Cloud כדי לאפשר ולדחות קישוריות מהבעלים ליכולת המחשוב של הצרכן, כפי שמוצג באיור 1.

איור 1

תיצרו psc-network-attachment יחיד ב-VPC של הצרכן, וכתוצאה מכך יתקבלו תרחישי השימוש הבאים:

1. יצירת כלל של Cloud Firewall כדי לאפשר גישה מ-bear אל lion
2. יצירת כלל של חומת אש ב-Cloud לדחיית גישה מ-bear אל tiger
3. יוצרים כלל של Cloud Firewall שמאפשר גישה מ-cosmo אל bear

הערה: המדריך מציע שלבים להגדרה ולאימות על סמך הטופולוגיה שמוצגת באיור. יש לשנות את התהליך לפי הצורך כדי לעמוד בדרישות של הארגון.

מה תלמדו

• איך יוצרים קובץ מצורף של רשת
• איך יוצרים ממשק PSC באמצעות צירוף רשת
• איך יוצרים תקשורת מהמפיק לצרכן
• איך מאפשרים גישה ממכונת ה-VM של היוצר (דוב) למכונת ה-VM של הצרכן (אריה)
• איך חוסמים את הגישה ממכונת ה-VM של היוצר (bear) למכונת ה-VM של הצרכן (tiger)
• איך מאפשרים גישה ממכונת ה-VM של הצרכן (cosmo) למכונת ה-VM של היצרן (bear)

מה צריך להכין

• פרויקט ב-Google Cloud
• הרשאות IAM
• אדמין של רשת מחשוב (roles/compute.networkAdmin)
• אדמין מכונות של Compute (roles/compute.instanceAdmin)
• אדמין לענייני אבטחה ב-Compute (roles/compute.securityAdmin)

2. לפני שמתחילים

עדכון הפרויקט כך שיתאים למדריך

במדריך הזה נעשה שימוש במשתני $כדי לעזור בהטמעת ההגדרות של gcloud ב-Cloud Shell.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. הגדרת הצרכן

יצירת VPC של הצרכן

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

יצירת רשתות המשנה של הצרכנים

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create lion-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=consumer-vpc --region=us-central1

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create tiger-subnet-1 --project=$projectid --range=192.168.30.0/28 --network=consumer-vpc --region=us-central1

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.40.0/28 --network=consumer-vpc --region=us-central1

יצירת תת-הרשת של קובץ מצורף עם הרשת של Private Service Connect

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

הגדרת Cloud Router ו-NAT

במדריך הזה נעשה שימוש ב-Cloud NAT להתקנת חבילות תוכנה כי למכונה הווירטואלית אין כתובת IP ציבורית. Cloud NAT מאפשר למכונות וירטואליות עם כתובות IP פרטיות לגשת לאינטרנט.

יוצרים את Cloud Router ב-Cloud Shell.

gcloud compute routers create cloud-router-for-nat --network consumer-vpc --region us-central1

יוצרים את שער ה-NAT ב-Cloud Shell.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. הפעלת IAP

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, יוצרים כלל של חומת אש שמאפשר:

• רלוונטי לכל מכונות ה-VM שרוצים לגשת אליהן באמצעות IAP.
• הכלל מאפשר תעבורת נתונים נכנסת (ingress) מטווח כתובות ה-IP 35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP ש-IAP משתמש בהן להעברת TCP.

יוצרים את כלל חומת האש של IAP ב-Cloud Shell.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. יצירת מכונות וירטואליות של צרכנים

ב-Cloud Shell, יוצרים את המכונה הווירטואלית של הצרכן, lion.

gcloud compute instances create lion \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=lion-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the lion app server !!' | tee /var/www/html/index.html
      EOF"

ב-Cloud Shell, יוצרים את המכונה הווירטואלית של הצרכן, tiger.

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=tiger-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the tiger app server !!' | tee /var/www/html/index.html
      EOF"

ב-Cloud Shell, יוצרים את המכונה הווירטואלית של הצרכן, cosmo.

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the cosmo app server !!' | tee /var/www/html/index.html
      EOF"

מקבלים ומאחסנים את כתובות ה-IP של המכונות:

ב-Cloud Shell, מריצים את הפקודה describe לגבי המכונות הווירטואליות lion ו-tiger.

gcloud compute instances describe lion --zone=us-central1-a | grep  networkIP:

gcloud compute instances describe tiger --zone=us-central1-a | grep  networkIP:

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. קובץ מצורף עם הרשת של Private Service Connect

קבצים מצורפים עם רשתות הם משאבים אזוריים שמייצגים את הצד של הצרכן בממשק Private Service Connect. משייכים תת-רשת אחת לקובץ מצורף של רשת, והבעלים מקצה כתובות IP לממשק Private Service Connect מתת-הרשת הזו. תת-הרשת צריכה להיות באותו אזור שבו נמצאת הצירוף לרשת. צירוף הרשת חייב להיות באותו אזור שבו נמצא שירות הבעלים.

יצירת הצירוף לרשת

יוצרים את הצירוף לרשת ב-Cloud Shell.

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

רשימת הקבצים המצורפים לרשת

ב-Cloud Shell, מציגים את רשימת הצירופים לרשת.

gcloud compute network-attachments list

תיאור הקבצים המצורפים לרשת

ב-Cloud Shell, מתארים את הקובץ המצורף של הרשת.

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

שימו לב למזהה ה-URI של psc-network-attachment שבו המפיק ישתמש כשיוצר את ממשק Private Service Connect. דוגמה:

user@cloudshell$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1 
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-06T20:57:12.623-07:00'
fingerprint: 4Yq6xAfaRO0=
id: '3235195049527328503'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. הגדרת המפיק

יצירת רשת ה-VPC של הבעלים

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

יצירת תת-הרשתות של הבעלים

ב-Cloud Shell, יוצרים את תת-הרשת שתשמש את vNIC0 של ממשק ה-PSC.

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

8. הפעלת IAP

כדי לאפשר ל-IAP להתחבר למכונות הווירטואליות, יוצרים כלל של חומת אש שמאפשר:

• רלוונטי לכל מכונות ה-VM שרוצים לגשת אליהן באמצעות IAP.
• הכלל מאפשר תעבורת נתונים נכנסת (ingress) מטווח כתובות ה-IP 35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP ש-IAP משתמש בהן להעברת TCP.

יוצרים את כלל חומת האש של IAP ב-Cloud Shell.

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

9. יצירת ממשק Private Service Connect

ממשק Private Service Connect הוא משאב שמאפשר לרשת ענן וירטואלי פרטי (VPC) של בעלים של שירות מנוהל ליזום חיבורים ליעדים שונים ברשת VPC של צרכן. רשתות ייצור ורשתות צרכן יכולות להיות בפרויקטים ובארגונים שונים.

אם קובץ מצורף עם רשת מקבל חיבור מממשק של Private Service Connect, ‏Google Cloud מקצה לממשק כתובת IP מרשת משנה של צרכן שצוינה בקובץ המצורף עם הרשת. הרשתות של הצרכן והבעלים מחוברות ויכולות לתקשר באמצעות כתובות IP פנימיות.

ב-Cloud Shell, יוצרים את הממשק של Private Service Connect (bear) ומזינים את psc-network-attachment URI שזיהיתם קודם לכן, מהפלט של תיאור הקובץ המצורף עם הרשת.

gcloud compute instances create bear --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment

אימות בכמה כתובות IP

מוודאים שממשק ה-PSC מוגדר עם כתובת ה-IP המתאימה. vNIC0 ישתמש בתת-הרשת prod-subnet של היצרן (10.20.1.0/28) ו-vNIC1 ישתמש בתת-הרשת intf-subnet של הצרכן (192.168.10.0/28).

gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:

דוגמה:

user$ gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

10. עדכון כללי חומת האש של הצרכנים

יצירת כלל של Cloud Firewall כדי לאפשר גישה מ-bear ל-lion

ב-Cloud Shell, יוצרים כלל בעל תעדוף גבוה יותר שמאפשר תעבורת נתונים יוצאת (egress) מטווח כתובות ה-IP של attachment-subnet‏ (intf-subnet) ליעדים בטווח הכתובות של lion-subnet-1.

gcloud compute firewall-rules create allow-limited-egress-to-lion \
    --network=consumer-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=EGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

ב-Cloud Shell, יוצרים כלל הרשאה לתעבורת נתונים נכנסת (ingress) שמבטל את כלל הדחייה המשתמעת של תעבורת נתונים נכנסת (ingress) מתת-הרשת psc-network-attachment.

gcloud compute firewall-rules create allow-ingress \
--network=consumer-vpc \
--action=ALLOW \
--rules=ALL \
--direction=INGRESS \
--priority=1000 \
--source-ranges="192.168.10.0/28" \
--enable-logging

יצירת כלל של Cloud Firewall לדחיית גישה מ-bear לכל הטווחים (כולל tiger)

ב-Cloud Shell, יוצרים כלל בעל תעדוף נמוך שדוחה את כל תעבורת הנתונים היוצאת מטווח כתובות ה-IP של רשת המשנה של צירוף הרשת, intf-subnet.

gcloud compute firewall-rules create deny-all-egress \
    --network=consumer-vpc \
    --action=DENY \
    --rules=ALL \
    --direction=EGRESS \
    --priority=65534 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="0.0.0.0/0" \
    --enable-logging

יוצרים כלל של Cloud Firewall שמאפשר גישה מ-cosmo אל bear

ב-Cloud Shell, יוצרים כלל הרשאה לתעבורת נתונים נכנסת (ingress) שמבטל את כלל הדחייה המשתמעת של תעבורת נתונים נכנסת (ingress) מתת-הרשת psc-network-attachment.

gcloud compute firewall-rules create vm-subnet-allow-ingress \
    --network=consumer-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.40.0/28" \
    --destination-ranges="192.168.10.0/28" \
    --enable-logging

11. יצירת מסלולי Linux לממשק PSC

במכונה של ממשק ה-PSC, מגדירים מסלולי Linux כדי לאפשר תקשורת של המפיק לרשתות המשנה של הצרכנים.

איך מוצאים את שם מערכת ההפעלה של האורח בממשק Private Service Connect

כדי להגדיר את הניתוב, צריך לדעת את שם מערכת ההפעלה של האורח בממשק Private Service Connect. השם הזה שונה משם הממשק ב-Google Cloud.

ב-Cloud Shell, פותחים כרטיסייה חדשה ומבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

מתחברים למכונה הווירטואלית psc-interface, ‏ bear, באמצעות IAP ב-Cloud Shell.

gcloud compute ssh bear --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מקבלים את כתובת ה-IP של המכונה psc-interface

ip a

דוגמה:

user@bear:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 85991sec preferred_lft 85991sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 85991sec preferred_lft 85991sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

חיפוש כתובת ה-IP של השער בממשק PSC

ברשימת ממשקי הרשת, מחפשים ומאחסנים את שם הממשק שמשויך לכתובת ה-IP של ממשק Private Service Connect – לדוגמה, ens5‏ (vNIC1)

כדי להגדיר את הניתוב, צריך לדעת מה כתובת ה-IP של שער ברירת המחדל של ממשק Private Service Connect.

ב-Cloud Shell נשתמש ב-1 כי ממשק ה-PSC משויך ל-vNIC1.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

הדוגמה יוצרת את ברירת המחדל של gw‏ 192.168.10.1

user@bear:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

הוספת נתיב לתת-רשתות של צרכנים

צריך להוסיף מסלול לשער ברירת המחדל של ממשק Private Service Connect לכל תת-רשת של צרכן שמחוברת לממשק Private Service Connect. כך מוודאים שתעבורת הנתונים שמקושרת לרשת של הצרכן יוצאת מהממשק של Private Service Connect.

במכונה של Bear מוסיפים את המסלולים לרשתות המשנה של הצרכן.

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.30.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.40.0/28 via 192.168.10.1 dev ens5

אימות של טבלת נתיב

מאמתים את המסלולים החדשים ב-Cloud Shell.

ip route show

דוגמה:

user@bear:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5 
192.168.30.0/28 via 192.168.10.1 dev ens5 
192.168.40.0/28 via 192.168.10.1 dev ens5 

12. אימות קישוריות מוצלחת בין Bear ל-Lion

כדי לוודא שמכונה וירטואלית של יצרן, bear, יכולה לתקשר עם מכונה וירטואלית של צרכן, lion, מריצים את הפקודה curl.

במכונה של הדוב, מבצעים קריאה ל-curl נגד כתובת ה-IP של האריה שזוהתה קודם במדריך במכונה של הדוב.

curl -v <lions IP Address>

דוגמה:

user@bear:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Tue, 06 Jun 2023 03:53:08 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Mon, 05 Jun 2023 19:41:26 GMT
< ETag: "1e-5fd6716a1e11b"
< Accept-Ranges: bytes
< Content-Length: 30
< Content-Type: text/html
< 
Welcome to lion app server !!
* Connection #0 to host 192.168.20.2 left intact

13. אימות שהחיבור בין Bear ל-Tiger חסום

כדי לוודא שכלל חומת האש ליציאה חוסם את הגישה מ-bear ל-tiger, נציג את יומני חומת האש.

בסשן חדש במסוף Cloud, עוברים אל Logging (רישום ביומן) → Logs Explorer (כלי לניהול יומנים) → בוחרים באפשרות Show query (הצגת שאילתה).

מדביקים את מחרוזת השאילתה הבאה בשדה החיפוש ובוחרים באפשרות שידור.

jsonPayload.rule_details.reference="network:consumer-vpc/firewall:deny-all-egress"

במכונה bear, מבצעים קריאה ל-curl נגד כתובת ה-IP של tiger שזוהתה קודם במדריך במכונה bear. בסופו של דבר, יפוג הזמן הקצוב ל-curl.

curl -v <tiger's IP Address>

דוגמה:

user@bear:~$ curl -v 192.168.30.2 
*   Trying 192.168.30.2:80...
* connect to 192.168.30.2 port 80 failed: Connection timed out
* Failed to connect to 192.168.30.2 port 80: Connection timed out
* Closing connection 0
curl: (28) Failed to connect to 192.168.30.2 port 80: Connection timed out

מוודאים ש-Log Explorer תיעד יומני חומת אש שנדחו. בוחרים רשומה ביומן ומרחיבים את השדות המוטמעים כדי להציג את המטא-נתונים.

14. אימות שהחיבור של Cosmo תקין

פותחים כרטיסייה חדשה ב-Cloud Shell ומעדכנים את הגדרות הפרויקט.

ב-Cloud Shell, מבצעים את הפעולות הבאות:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

מתחברים למכונה של cosmo באמצעות IAP ב-Cloud Shell.

gcloud compute ssh cosmo --project=$projectid --zone=us-central1-a --tunnel-through-iap

ב-Cloud Shell, מבצעים ping לכתובת ה-IP של bear‏ vNIV1 שצוינה קודם במדריך.

ping <bears vNIC1 IP Address>

דוגמה:

user@cosmo:~$ ping 192.168.10.2 -c 5
PING 192.168.10.2 (192.168.10.2) 56(84) bytes of data.
64 bytes from 192.168.10.2: icmp_seq=1 ttl=64 time=0.277 ms
64 bytes from 192.168.10.2: icmp_seq=2 ttl=64 time=0.288 ms
64 bytes from 192.168.10.2: icmp_seq=3 ttl=64 time=0.265 ms
64 bytes from 192.168.10.2: icmp_seq=4 ttl=64 time=0.264 ms
64 bytes from 192.168.10.2: icmp_seq=5 ttl=64 time=0.366 ms

15. הסרת המשאבים

מוחקים את הרכיבים של המדריך מ-Cloud Shell.

gcloud compute instances delete bear --zone=us-central1-a --quiet

gcloud compute instances delete lion --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress allow-limited-egress-to-lion deny-all-egress ssh-iap-consumer ssh-iap-producer vm-subnet-allow-ingress --quiet

gcloud compute networks subnets delete cosmo-subnet-1 intf-subnet lion-subnet-1 prod-subnet tiger-subnet-1 --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet 

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

16. מזל טוב

מזל טוב, הגדרתם ואימתתם ממשק של Private Service Connect וקישוריות של צרכן ומפיק באמצעות הטמעת כללי חומת אש.

יצרתם את התשתית של הצרכן והוספתם קובץ מצורף של רשת שמאפשר ליוצר ליצור מכונה וירטואלית עם כמה כרטיסי NIC כדי ליצור גשרים לתקשורת בין הצרכן ליוצר. למדתם איך ליצור כללי חומת אש ברשת ה-VPC של הצרכן, שמאפשרים קישוריות למכונות ב-VPC של הצרכן וב-VPC של היצרן.

Cosmopup חושב שסרטוני הדרכה הם מדהימים!!

מה השלב הבא?

כדאי לעיין במדריכים הבאים...

• שימוש ב-Private Service Connect לפרסום ולצריכה של שירותים באמצעות GKE
• שימוש ב-Private Service Connect לפרסום ולצריכה של שירותים
• התחברות לשירותים מקומיים דרך Hybrid Networking באמצעות Private Service Connect ומאזן עומסים פנימי של TCP Proxy

קריאה נוספת וסרטונים

• סקירה כללית על Private Service Connect
• מה זה Private Service Connect?
• סוגי מאזני העומסים הנתמכים

מסמכי עזרה

• סקירה כללית על מאזן עומסים פנימי מסוג HTTP(S)
• סקירה כללית על בדיקות תקינות
• איך מפרסמים שירות באמצעות Private Service Connect
• Private Service Connect – DNS אוטומטי