Private Service Connect इंटरफ़ेस

1. परिचय

Private Service Connect इंटरफ़ेस एक ऐसा संसाधन है जिसकी मदद से, प्रोड्यूसर वर्चुअल प्राइवेट क्लाउड (वीपीएन) नेटवर्क, कंज्यूमर वीपीएन नेटवर्क में मौजूद अलग-अलग डेस्टिनेशन से कनेक्शन शुरू कर सकता है. प्रोड्यूसर और कंज्यूमर नेटवर्क, अलग-अलग प्रोजेक्ट और संगठनों में हो सकते हैं.

अगर कोई नेटवर्क अटैचमेंट, Private Service Connect इंटरफ़ेस से कनेक्शन स्वीकार करता है, तो Google Cloud उस इंटरफ़ेस को उपभोक्ता सबनेट से आईपी पता असाइन करता है. यह सबनेट, नेटवर्क अटैचमेंट से तय होता है. उपभोक्ता और प्रोड्यूसर नेटवर्क कनेक्ट होते हैं और इंटरनल आईपी पतों का इस्तेमाल करके, एक-दूसरे से बातचीत कर सकते हैं.

नेटवर्क अटैचमेंट और Private Service Connect इंटरफ़ेस के बीच का कनेक्शन, Private Service Connect एंडपॉइंट और सेवा अटैचमेंट के बीच के कनेक्शन जैसा ही होता है. हालांकि, इनमें दो मुख्य अंतर हैं:

• नेटवर्क अटैचमेंट की मदद से, प्रोड्यूसर नेटवर्क, कंज्यूमर नेटवर्क (मैनेज की जाने वाली सेवा का आउटगोइंग ट्रैफ़िक) से कनेक्शन शुरू कर सकता है. वहीं, एंडपॉइंट की मदद से, कंज्यूमर नेटवर्क, प्रोड्यूसर नेटवर्क (मैनेज की जाने वाली सेवा का इनगोइंग ट्रैफ़िक) से कनेक्शन शुरू कर सकता है.
• Private Service Connect इंटरफ़ेस कनेक्शन ट्रांज़िशन होता है. इसका मतलब है कि प्रोड्यूसर नेटवर्क, उपभोक्ता नेटवर्क से कनेक्ट किए गए अन्य नेटवर्क से कम्यूनिकेट कर सकता है.

आपको क्या बनाना है

इस ट्यूटोरियल में, आपको Private Service Connect (पीएससी) इंटरफ़ेस का पूरा आर्किटेक्चर बनाने का तरीका बताया जाएगा. यह आर्किटेक्चर, Cloud फ़ायरवॉल के नियमों का इस्तेमाल करके, प्रोड्यूसर से कंज्यूमर के कंप्यूट को कनेक्ट करने की अनुमति देता है और उसे अस्वीकार भी करता है. इसकी जानकारी, पहले चित्र में दी गई है.

इमेज 1

आपको उपभोक्ता VPC में एक psc-network-attachment बनाना होगा. इससे, इस्तेमाल के ये उदाहरण मिलेंगे:

1. Cloud फ़ायरवॉल का नियम बनाकर, bear से lion को ऐक्सेस देने की अनुमति देना
2. Cloud फ़ायरवॉल का नियम बनाकर, bear से tiger को ऐक्सेस देने से रोकना
3. cosmo से bear को ऐक्सेस करने की अनुमति देने के लिए, Cloud फ़ायरवॉल नियम बनाएं

ध्यान दें: ट्यूटोरियल में, दिखाए गए टॉपोलॉजी के आधार पर कॉन्फ़िगरेशन और पुष्टि करने के तरीके बताए गए हैं. अपने संगठन की ज़रूरतों के हिसाब से, इस तरीके में बदलाव करें.

आपको इनके बारे में जानकारी मिलेगी

• नेटवर्क अटैचमेंट बनाने का तरीका
• पीएससी इंटरफ़ेस बनाने के लिए, प्रोड्यूसर नेटवर्क अटैचमेंट का इस्तेमाल कैसे कर सकता है
• प्रोड्यूसर से उपभोक्ता तक कम्यूनिकेशन कैसे सेट अप करें
• प्रोड्यूसर वीएम (भालू) से कंज़्यूमर वीएम (शेर) को ऐक्सेस करने की अनुमति देने का तरीका
• प्रोड्यूसर वीएम (भालू) से कंज्यूमर वीएम (टाइगर) का ऐक्सेस ब्लॉक करने का तरीका
• उपभोक्ता वर्चुअल मशीन (cosmo) से प्रोड्यूसर वर्चुअल मशीन (bear) को ऐक्सेस करने की अनुमति देने का तरीका

आपको इन चीज़ों की ज़रूरत होगी

• Google Cloud प्रोजेक्ट
• IAM की अनुमतियां
• Compute नेटवर्क एडमिन (roles/compute.networkAdmin)
• Compute इंस्टेंस एडमिन (roles/compute.instanceAdmin)
• Compute सुरक्षा एडमिन (roles/compute.securityAdmin)

2. शुरू करने से पहले

ट्यूटोरियल के साथ काम करने के लिए प्रोजेक्ट अपडेट करना

इस ट्यूटोरियल में, Cloud Shell में gcloud कॉन्फ़िगरेशन लागू करने में मदद करने के लिए, $variables का इस्तेमाल किया गया है.

Cloud Shell में, ये काम करें:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

3. कंज्यूमर सेटअप

उपभोक्ता VPC बनाना

Cloud Shell में, ये काम करें:

gcloud compute networks create consumer-vpc --project=$projectid --subnet-mode=custom

उपभोक्ता सबनेट बनाना

Cloud Shell में, ये काम करें:

gcloud compute networks subnets create lion-subnet-1 --project=$projectid --range=192.168.20.0/28 --network=consumer-vpc --region=us-central1

Cloud Shell में, ये काम करें:

gcloud compute networks subnets create tiger-subnet-1 --project=$projectid --range=192.168.30.0/28 --network=consumer-vpc --region=us-central1

Cloud Shell में, ये काम करें:

gcloud compute networks subnets create cosmo-subnet-1 --project=$projectid --range=192.168.40.0/28 --network=consumer-vpc --region=us-central1

Private Service Connect नेटवर्क अटैचमेंट सबनेट बनाना

Cloud Shell में, ये काम करें:

gcloud compute networks subnets create intf-subnet --project=$projectid --range=192.168.10.0/28 --network=consumer-vpc --region=us-central1

क्लाउड राऊटर और एनएटी कॉन्फ़िगरेशन

ट्यूटोरियल में, सॉफ़्टवेयर पैकेज इंस्टॉल करने के लिए Cloud NAT का इस्तेमाल किया गया है, क्योंकि VM इंस्टेंस का कोई सार्वजनिक आईपी पता नहीं है. क्लाउड एनएटी, निजी आईपी पते वाले वर्चुअल मशीनों को इंटरनेट ऐक्सेस करने की सुविधा देता है.

Cloud Shell में, क्लाउड राउटर बनाएं.

gcloud compute routers create cloud-router-for-nat --network consumer-vpc --region us-central1

Cloud Shell में, NAT गेटवे बनाएं.

gcloud compute routers nats create cloud-nat-us-central1 --router=cloud-router-for-nat --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

4. आईएपी चालू करना

आईएपी को अपने वीएम इंस्टेंस से कनेक्ट करने की अनुमति देने के लिए, फ़ायरवॉल का ऐसा नियम बनाएं जो:

• यह उन सभी वीएम इंस्टेंस पर लागू होता है जिन्हें आपको आईएपी का इस्तेमाल करके ऐक्सेस करना है.
• 35.235.240.0/20 आईपी रेंज से आने वाले ट्रैफ़िक को अनुमति देता है. इस रेंज में वे सभी आईपी पते शामिल होते हैं जिनका इस्तेमाल IAP, टीसीपी फ़ॉरवर्डिंग के लिए करता है.

Cloud Shell में, IAP फ़ायरवॉल नियम बनाएं.

gcloud compute firewall-rules create ssh-iap-consumer \
    --network consumer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

5. उपभोक्ता के लिए वीएम इंस्टेंस बनाना

Cloud Shell में, कंज्यूमर VM इंस्टेंस, lion बनाएं.

gcloud compute instances create lion \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=lion-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the lion app server !!' | tee /var/www/html/index.html
      EOF"

Cloud Shell में, कंज़्यूमर VM इंस्टेंस, tiger बनाएं.

gcloud compute instances create tiger \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=tiger-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the tiger app server !!' | tee /var/www/html/index.html
      EOF"

Cloud Shell में, उपभोक्ता का VM इंस्टेंस, cosmo बनाएं.

gcloud compute instances create cosmo \
    --project=$projectid \
    --machine-type=e2-micro \
    --image-family debian-11 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=cosmo-subnet-1 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install tcpdump
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to the cosmo app server !!' | tee /var/www/html/index.html
      EOF"

इंस्टेंस के आईपी पते पाना और उन्हें सेव करना:

Cloud Shell में, शेर और बाघ के VM इंस्टेंस के लिए describe का इस्तेमाल करें.

gcloud compute instances describe lion --zone=us-central1-a | grep  networkIP:

gcloud compute instances describe tiger --zone=us-central1-a | grep  networkIP:

gcloud compute instances describe cosmo --zone=us-central1-a | grep  networkIP:

6. Private Service Connect का नेटवर्क अटैचमेंट

नेटवर्क अटैचमेंट, क्षेत्र के हिसाब से उपलब्ध संसाधन होते हैं. ये Private Service Connect इंटरफ़ेस के उपभोक्ता पक्ष को दिखाते हैं. नेटवर्क अटैचमेंट के साथ एक सबनेट जोड़ा जाता है. इसके बाद, प्रोड्यूसर उस सबनेट से Private Service Connect इंटरफ़ेस को आईपी असाइन करता है. सबनेट, नेटवर्क अटैचमेंट वाले क्षेत्र में होना चाहिए. नेटवर्क अटैचमेंट, प्रोड्यूसर सेवा के उसी इलाके में होना चाहिए.

नेटवर्क अटैचमेंट बनाना

Cloud Shell में, नेटवर्क अटैचमेंट बनाएं.

gcloud compute network-attachments create psc-network-attachment \
    --region=us-central1 \
    --connection-preference=ACCEPT_MANUAL \
    --producer-accept-list=$projectid \
    --subnets=intf-subnet

नेटवर्क अटैचमेंट की सूची बनाना

Cloud Shell में, नेटवर्क अटैचमेंट की सूची बनाएं.

gcloud compute network-attachments list

नेटवर्क अटैचमेंट के बारे में बताएं

Cloud Shell में, नेटवर्क अटैचमेंट के बारे में जानकारी दें.

gcloud compute network-attachments describe psc-network-attachment --region=us-central1

psc-network-attachment यूआरआई को नोट करें. इसका इस्तेमाल, प्रॉड्यूसर Private Service Connect इंटरफ़ेस बनाते समय करेगा. उदाहरण के लिए:

user@cloudshell$ gcloud compute network-attachments describe psc-network-attachment --region=us-central1 
connectionPreference: ACCEPT_MANUAL
creationTimestamp: '2023-06-06T20:57:12.623-07:00'
fingerprint: 4Yq6xAfaRO0=
id: '3235195049527328503'
kind: compute#networkAttachment
name: psc-network-attachment
network: https://www.googleapis.com/compute/v1/projects/$projectid/global/networks/consumer-vpc
producerAcceptLists:
- $projectid
region: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment
subnetworks:
- https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/subnetworks/intf-subnet

7. प्रोड्यूसर सेटअप

प्रोड्यूसर वीपीएन नेटवर्क बनाना

Cloud Shell में, ये काम करें:

gcloud compute networks create producer-vpc --project=$projectid --subnet-mode=custom

प्रोड्यूसर सबनेट बनाना

Cloud Shell में, psc इंटरफ़ेस के vNIC0 के लिए इस्तेमाल किया जाने वाला सबनेट बनाएं.

gcloud compute networks subnets create prod-subnet --project=$projectid --range=10.20.1.0/28 --network=producer-vpc --region=us-central1

8. आईएपी चालू करना

आईएपी को अपने वीएम इंस्टेंस से कनेक्ट करने की अनुमति देने के लिए, फ़ायरवॉल का ऐसा नियम बनाएं जो:

• यह उन सभी वीएम इंस्टेंस पर लागू होता है जिन्हें आपको आईएपी का इस्तेमाल करके ऐक्सेस करना है.
• 35.235.240.0/20 आईपी रेंज से आने वाले ट्रैफ़िक को अनुमति देता है. इस रेंज में वे सभी आईपी पते शामिल होते हैं जिनका इस्तेमाल IAP, टीसीपी फ़ॉरवर्डिंग के लिए करता है.

Cloud Shell में, IAP फ़ायरवॉल नियम बनाएं.

gcloud compute firewall-rules create ssh-iap-producer \
    --network producer-vpc \
    --allow tcp:22 \
    --source-ranges=35.235.240.0/20

9. Private Service Connect इंटरफ़ेस बनाना

Private Service Connect इंटरफ़ेस एक ऐसा संसाधन है जिसकी मदद से, प्रोड्यूसर वर्चुअल प्राइवेट क्लाउड (वीपीएन) नेटवर्क, कंज्यूमर वीपीएन नेटवर्क में मौजूद अलग-अलग डेस्टिनेशन से कनेक्शन शुरू कर सकता है. प्रोड्यूसर और कंज्यूमर नेटवर्क, अलग-अलग प्रोजेक्ट और संगठनों में हो सकते हैं.

अगर कोई नेटवर्क अटैचमेंट, Private Service Connect इंटरफ़ेस से कनेक्शन स्वीकार करता है, तो Google Cloud इंटरफ़ेस को उपभोक्ता सबनेट से आईपी पता असाइन करता है. यह सबनेट, नेटवर्क अटैचमेंट से तय होता है. उपभोक्ता और प्रोड्यूसर नेटवर्क कनेक्ट होते हैं और इंटरनल आईपी पतों का इस्तेमाल करके, एक-दूसरे से बातचीत कर सकते हैं.

Cloud Shell में, Private Service Connect इंटरफ़ेस (bear) बनाएं और नेटवर्क अटैचमेंट के ब्यौरे वाले आउटपुट से, पहले से पहचाने गए psc-network-attachment यूआरएल को डालें.

gcloud compute instances create bear --zone us-central1-a --machine-type=f1-micro --can-ip-forward --network-interface subnet=prod-subnet,network=producer-vpc,no-address --network-interface network-attachment=https://www.googleapis.com/compute/v1/projects/$projectid/regions/us-central1/networkAttachments/psc-network-attachment

मल्टी-एनआईसी की पुष्टि करना

पुष्टि करें कि पीएससी इंटरफ़ेस, सही आईपी पते के साथ कॉन्फ़िगर किया गया है. vNIC0, प्रोड्यूसर के prod-सबनेट (10.20.1.0/28) का इस्तेमाल करेगा और vNIC1, कंज्यूमर के intf-सबनेट (192.168.10.0/28) का इस्तेमाल करेगा.

gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:

उदाहरण:

user$ gcloud compute instances describe bear --zone=us-central1-a | grep networkIP:
  networkIP: 10.20.1.2
  networkIP: 192.168.10.2

10. उपभोक्ता के फ़ायरवॉल के नियम अपडेट करना

Cloud फ़ायरवॉल का नियम बनाकर, bear से lion को ऐक्सेस देने की अनुमति देना

Cloud Shell में, ज़्यादा प्राथमिकता वाला एक नियम बनाएं. इससे, attachment-subnet (intf-subnet) की आईपी पते की रेंज से, lion-subnet-1 की पते की रेंज में डेटा भेजा जा सकेगा.

gcloud compute firewall-rules create allow-limited-egress-to-lion \
    --network=consumer-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=EGRESS \
    --priority=1000 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="192.168.20.0/28" \
    --enable-logging

Cloud Shell में, इन्ग्रेस डेटा ट्रैफ़िक को अनुमति देने वाला ऐसा नियम बनाएं जो psc-network-attachment सबनेट से आने वाले ट्रैफ़िक के लिए, इन्ग्रेस डेटा ट्रैफ़िक को अस्वीकार करने के नियम को बदल दे.

gcloud compute firewall-rules create allow-ingress \
--network=consumer-vpc \
--action=ALLOW \
--rules=ALL \
--direction=INGRESS \
--priority=1000 \
--source-ranges="192.168.10.0/28" \
--enable-logging

Cloud फ़ायरवॉल का ऐसा नियम बनाएं जिससे 'भालू' को सभी रेंज (टाइगर भी शामिल है) का ऐक्सेस न मिले

Cloud Shell में, कम प्राथमिकता वाला ऐसा नियम बनाएं जो नेटवर्क अटैचमेंट के सबनेट, intf-subnet के आईपी पते की रेंज से आने वाले सभी ट्रैफ़िक को रोकता हो.

gcloud compute firewall-rules create deny-all-egress \
    --network=consumer-vpc \
    --action=DENY \
    --rules=ALL \
    --direction=EGRESS \
    --priority=65534 \
    --source-ranges="192.168.10.0/28" \
    --destination-ranges="0.0.0.0/0" \
    --enable-logging

cosmo से bear को ऐक्सेस करने की अनुमति देने के लिए, Cloud फ़ायरवॉल नियम बनाएं

Cloud Shell में, इन्ग्रेस डेटा ट्रैफ़िक को अनुमति देने वाला ऐसा नियम बनाएं जो psc-network-attachment सबनेट से आने वाले ट्रैफ़िक के लिए, इन्ग्रेस डेटा ट्रैफ़िक को अस्वीकार करने के नियम को बदल दे.

gcloud compute firewall-rules create vm-subnet-allow-ingress \
    --network=consumer-vpc \
    --action=ALLOW \
    --rules=ALL \
    --direction=INGRESS \
    --priority=1000 \
    --source-ranges="192.168.40.0/28" \
    --destination-ranges="192.168.10.0/28" \
    --enable-logging

11. PSC इंटरफ़ेस के लिए Linux रूट बनाना

PSC इंटरफ़ेस इंस्टेंस से, Linux रूट कॉन्फ़िगर करें, ताकि प्रोड्यूसर, उपभोक्ता सबनेट से कम्यूनिकेट कर सके.

Private Service Connect इंटरफ़ेस के मेहमान ओएस का नाम ढूंढना

रूटिंग को कॉन्फ़िगर करने के लिए, आपको अपने Private Service Connect इंटरफ़ेस के मेहमान ओएस का नाम पता होना चाहिए. यह नाम, Google Cloud में इंटरफ़ेस के नाम से अलग होता है.

Cloud Shell में नया टैब खोलें और ये काम करें:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

Cloud Shell में IAP का इस्तेमाल करके, psc-interface vm, bear में लॉग इन करें.

gcloud compute ssh bear --project=$projectid --zone=us-central1-a --tunnel-through-iap

Cloud Shell में, psc-interface इंस्टेंस का आईपी पता पाएं

ip a

उदाहरण:

user@bear:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:0a:14:01:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s4
    inet 10.20.1.2/32 brd 10.20.1.2 scope global dynamic ens4
       valid_lft 85991sec preferred_lft 85991sec
    inet6 fe80::4001:aff:fe14:102/64 scope link 
       valid_lft forever preferred_lft forever
3: ens5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 42:01:c0:a8:0a:02 brd ff:ff:ff:ff:ff:ff
    altname enp0s5
    inet 192.168.10.2/32 brd 192.168.10.2 scope global dynamic ens5
       valid_lft 85991sec preferred_lft 85991sec
    inet6 fe80::4001:c0ff:fea8:a02/64 scope link 
       valid_lft forever preferred_lft forever

अपने PSC इंटरफ़ेस का गेटवे आईपी पता ढूंढना

नेटवर्क इंटरफ़ेस की सूची में, अपने निजी Service Connect इंटरफ़ेस के आईपी पते से जुड़े इंटरफ़ेस का नाम ढूंढें और सेव करें. उदाहरण के लिए, ens5 (vNIC1)

रूटिंग को कॉन्फ़िगर करने के लिए, आपको अपने Private Service Connect इंटरफ़ेस के डिफ़ॉल्ट गेटवे का आईपी पता पता होना चाहिए

Cloud Shell में, हम 1 का इस्तेमाल करेंगे, क्योंकि PSC इंटरफ़ेस, vNIC1 से जुड़ा है.

curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo

उदाहरण के लिए, डिफ़ॉल्ट gw 192.168.10.1 दिखाता है

user@bear:~$ curl http://metadata.google.internal/computeMetadata/v1/instance/network-interfaces/1/gateway -H "Metadata-Flavor: Google" && echo
192.168.10.1

उपभोक्ता सबनेट के लिए रूट जोड़ना

आपको अपने Private Service Connect इंटरफ़ेस से कनेक्ट होने वाले हर उपभोक्ता सबनेट के लिए, Private Service Connect इंटरफ़ेस के डिफ़ॉल्ट गेटवे में एक रूट जोड़ना होगा. इससे यह पक्का होता है कि उपभोक्ता नेटवर्क के लिए बाउंड किया गया ट्रैफ़िक, Private Service Connect इंटरफ़ेस से बाहर निकलता है.

bear इंस्टेंस में, उपभोक्ता सबनेट में रास्ते जोड़ें.

sudo ip route add 192.168.20.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.30.0/28 via 192.168.10.1 dev ens5
sudo ip route add 192.168.40.0/28 via 192.168.10.1 dev ens5

रूट टेबल की पुष्टि करना

Cloud Shell में, हाल ही में जोड़े गए रास्तों की पुष्टि करें.

ip route show

उदाहरण.

user@bear:~$ ip route show
default via 10.20.1.1 dev ens4 
10.20.1.0/28 via 10.20.1.1 dev ens4 
10.20.1.1 dev ens4 scope link 
192.168.10.0/28 via 192.168.10.1 dev ens5 
192.168.10.1 dev ens5 scope link 
192.168.20.0/28 via 192.168.10.1 dev ens5 
192.168.30.0/28 via 192.168.10.1 dev ens5 
192.168.40.0/28 via 192.168.10.1 dev ens5 

12. पुष्टि करें कि बियर से शेर को कनेक्ट किया गया है

आइए पुष्टि करें कि प्रोड्यूसर VM इंस्टेंस, bear, कर्ल करके कंज्यूमर इंस्टेंस, lion से संपर्क कर सकता है.

bear इंस्टेंस से, lion के उस आईपी पते के ख़िलाफ़ कर्ल करें जिसकी पहचान ट्यूटोरियल में पहले की गई थी.

curl -v <lions IP Address>

उदाहरण:

user@bear:~$ curl -v 192.168.20.2
*   Trying 192.168.20.2:80...
* Connected to 192.168.20.2 (192.168.20.2) port 80 (#0)
> GET / HTTP/1.1
> Host: 192.168.20.2
> User-Agent: curl/7.74.0
> Accept: */*
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< Date: Tue, 06 Jun 2023 03:53:08 GMT
< Server: Apache/2.4.56 (Debian)
< Last-Modified: Mon, 05 Jun 2023 19:41:26 GMT
< ETag: "1e-5fd6716a1e11b"
< Accept-Ranges: bytes
< Content-Length: 30
< Content-Type: text/html
< 
Welcome to lion app server !!
* Connection #0 to host 192.168.20.2 left intact

13. पुष्टि करें कि Bear से Tiger के बीच कनेक्शन ब्लॉक है

फ़ायरवॉल लॉग देखकर, यह पुष्टि करें कि आउटगोइंग फ़ायरवॉल नियम, bear से tiger तक का ऐक्सेस ब्लॉक कर रहा है.

नए Cloud Console सेशन में, लॉगिंग → लॉग एक्सप्लोरर पर जाएं → क्वेरी दिखाएं को चुनें

खोज फ़ील्ड में नीचे दी गई क्वेरी स्ट्रिंग चिपकाएं. इसके बाद, स्ट्रीम करें को चुनें

jsonPayload.rule_details.reference="network:consumer-vpc/firewall:deny-all-egress"

bear इंस्टेंस से, tiger के आईपी पते के ख़िलाफ़ curl का इस्तेमाल करें. इस आईपी पते की पहचान, ट्यूटोरियल में पहले की गई थी. आखिर में, कर्ल टाइम आउट हो जाएगा.

curl -v <tiger's IP Address>

उदाहरण:

user@bear:~$ curl -v 192.168.30.2 
*   Trying 192.168.30.2:80...
* connect to 192.168.30.2 port 80 failed: Connection timed out
* Failed to connect to 192.168.30.2 port 80: Connection timed out
* Closing connection 0
curl: (28) Failed to connect to 192.168.30.2 port 80: Connection timed out

पुष्टि करें कि Log Explorer ने अस्वीकार किए गए फ़ायरवॉल लॉग कैप्चर किए हैं. मेटाडेटा देखने के लिए, कोई लॉग एंट्री चुनें और नेस्ट किए गए फ़ील्ड को बड़ा करें.

14. Validate cosmo to bear connectivity is successful

नया Cloud Shell टैब खोलें और अपने प्रोजेक्ट की सेटिंग अपडेट करें.

Cloud Shell में, ये काम करें:

gcloud config list project
gcloud config set project [YOUR-PROJECT-NAME]
projectid=YOUR-PROJECT-NAME
echo $projectid

Cloud Shell में IAP का इस्तेमाल करके, cosmo इंस्टेंस में लॉग इन करें.

gcloud compute ssh cosmo --project=$projectid --zone=us-central1-a --tunnel-through-iap

Cloud Shell में, ट्यूटोरियल में पहले बताए गए, bear के आईपी vNIV1 आईपी पते को पिंग करें

ping <bears vNIC1 IP Address>

उदाहरण:

user@cosmo:~$ ping 192.168.10.2 -c 5
PING 192.168.10.2 (192.168.10.2) 56(84) bytes of data.
64 bytes from 192.168.10.2: icmp_seq=1 ttl=64 time=0.277 ms
64 bytes from 192.168.10.2: icmp_seq=2 ttl=64 time=0.288 ms
64 bytes from 192.168.10.2: icmp_seq=3 ttl=64 time=0.265 ms
64 bytes from 192.168.10.2: icmp_seq=4 ttl=64 time=0.264 ms
64 bytes from 192.168.10.2: icmp_seq=5 ttl=64 time=0.366 ms

15. व्यवस्थित करें

Cloud Shell में, ट्यूटोरियल के कॉम्पोनेंट मिटाएं.

gcloud compute instances delete bear --zone=us-central1-a --quiet

gcloud compute instances delete lion --zone=us-central1-a --quiet

gcloud compute instances delete tiger --zone=us-central1-a --quiet

gcloud compute instances delete cosmo --zone=us-central1-a --quiet

gcloud compute network-attachments delete psc-network-attachment --region=us-central1 --quiet

gcloud compute firewall-rules delete allow-ingress allow-limited-egress-to-lion deny-all-egress ssh-iap-consumer ssh-iap-producer vm-subnet-allow-ingress --quiet

gcloud compute networks subnets delete cosmo-subnet-1 intf-subnet lion-subnet-1 prod-subnet tiger-subnet-1 --region=us-central1 --quiet

gcloud compute routers delete cloud-router-for-nat --region=us-central1 --quiet 

gcloud compute networks delete consumer-vpc --quiet

gcloud compute networks delete producer-vpc --quiet

16. बधाई हो

बधाई हो, आपने फ़ायरवॉल नियमों को लागू करके, Private Service Connect इंटरफ़ेस और उपभोक्ता और प्रोड्यूसर कनेक्टिविटी को कॉन्फ़िगर और पुष्टि कर ली है.

आपने उपभोक्ता के लिए इन्फ़्रास्ट्रक्चर बनाया और नेटवर्क अटैचमेंट जोड़ा. इससे प्रोड्यूसर, उपभोक्ता और प्रोड्यूसर के बीच कम्यूनिकेशन के लिए, मल्टी एनआईसी वीएम बना सकता है. आपने उपभोक्ता के VPC नेटवर्क में फ़ायरवॉल नियम बनाने का तरीका जाना. इससे, उपभोक्ता और प्रोड्यूसर VPC के इंस्टेंस को कनेक्ट किया जा सकता है.

Cosmopup को लगता है कि ट्यूटोरियल शानदार होते हैं!!

आगे क्या करना है?

इनमें से कुछ ट्यूटोरियल देखें...

• GKE की मदद से सेवाओं को पब्लिश और इस्तेमाल करने के लिए, Private Service Connect का इस्तेमाल करना
• सेवाओं को पब्लिश और इस्तेमाल करने के लिए, Private Service Connect का इस्तेमाल करना
• Private Service Connect और किसी इंटरनल टीसीपी प्रॉक्सी लोड बैलेंसर का इस्तेमाल करके, हाइब्रिड नेटवर्किंग की मदद से ऑन-प्रीमिस सेवाओं से कनेक्ट करना

ज़्यादा पढ़ने के लिए लेख और वीडियो

• Private Service Connect के बारे में खास जानकारी
• Private Service Connect क्या है?
• इस्तेमाल किए जा सकने वाले लोड बैलेंसर टाइप

रेफ़रंस दस्तावेज़

• इंटरनल एचटीटीपी या एचटीटीपीएस लोड बैलेंसर के बारे में खास जानकारी
• ऐप्लिकेशन की परफ़ॉर्मेंस की जांच करने की सुविधा के बारे में खास जानकारी
• Private Service Connect का इस्तेमाल करके, सेवा को पब्लिश करने का तरीका
• Private Service Connect - अपने-आप काम करने वाला डीएनएस