Looker PSC 南向安全殼層 SSH 網際網路 NEG

1. 簡介

在本程式碼研究室中，您將使用內部 TCP Proxy 負載平衡器和網際網路網路端點群組，從 Looker PSC 執行南向 SSH 連線至 GitHub，做為服務使用端。

Private Service Connect 是 Google Cloud 網路功能，可讓消費者從虛擬私有雲網路內，以私密方式存取代管服務。同樣地，代管服務生產端也能在自己的獨立虛擬私有雲網路中代管這些服務，並為消費者提供私人連線。舉例來說，如果您使用 Private Service Connect 存取 Looker，您就是服務用戶，而 Google 則是服務供應商，如圖 1 所示。

圖 1.

南向存取 (又稱反向 PSC) 可讓消費者以生產者身分建立已發布的服務，允許 Looker 存取地端部署、虛擬私有雲、代管服務和網際網路上的端點。無論 Looker PSC 部署在哪個區域，您都可以在任何區域部署南向連線，如圖 2 所示。

圖 2.

課程內容

網路需求
建立 Private Service Connect 生產端服務
在 Looker 中建立 Private Service Connect 端點
使用「測試連線」從 Looker 建立與 GitHub 的連線

軟硬體需求

具備「擁有者」權限的 Google Cloud 專案
GitHub 帳戶和存放區
安全殼層 (SSH) 部署金鑰，在 Looker 和 GitHub 之間共用
現有的 Looker PSC 執行個體

2. 建構項目

您將建立生產端網路 looker-psc-demo，部署內部 TCP Proxy 負載平衡器和網際網路 NEG，並透過 Private Service Connect (PSC) 發布為服務。發布後，請執行下列動作，驗證 Producer 服務的存取權：

在 Looker 中建立與生產者服務連結相關聯的 PSC 端點
使用 Looker 控制台建立新專案，並按照「使用 SSH 連線至 Git」一文中的程序，測試與 GitHub.com 的 SSH 連線。

3. 網路需求

以下是供應商網路的網路需求細目，本程式碼研究室中的消費者是 Looker PSC 執行個體。

製作人網路

元件	說明
虛擬私有雲 (looker-psc-demo)	自訂模式虛擬私有雲
PSC NAT 子網路	來自用戶端虛擬私有雲網路的封包會使用來源 NAT (SNAT) 進行轉譯，因此原始來源 IP 位址會轉換為供應商虛擬私有雲網路中 NAT 子網路的來源 IP 位址。
PSC 轉送規則子網路	用於為區域內部 TCP Proxy 負載平衡器分配 IP 位址
PSC NEG 子網路	用於為網路端點群組分配 IP 位址
僅限 Proxy 子網路	系統會指派一個內部 IP 位址給每個負載平衡器的Proxy 。從 Proxy 傳送到後端 VM 或端點的封包，其來源 IP 位址來自僅限 Proxy 的子網路。
網際網路 NEG	用來定義負載平衡器的外部後端的資源。端點無法僅透過 Cloud VPN 或 Cloud Interconnect 存取。
後端服務	後端服務是負載平衡器與後端資源之間的橋樑。在本教學課程中，後端服務會與網際網路 NEG 建立關聯。
Cloud Router	Cloud NAT 依賴 Cloud Router 提供控制層功能，但不依賴 Cloud Router 管理 BGP 工作階段。
Cloud NAT	區域性網際網路 NEG 會利用 Cloud NAT 輸出至網際網路。

4. 程式碼研究室拓撲

5. 設定和需求

自修實驗室環境設定

登入 Google Cloud 控制台，然後建立新專案或重複使用現有專案。如果沒有 Gmail 或 Google Workspace 帳戶，請先建立帳戶。

專案名稱是這個專案參與者的顯示名稱。這是 Google API 未使用的字元字串。你隨時可以更新。
專案 ID 在所有 Google Cloud 專案中都是不重複的，而且設定後即無法變更。Cloud 控制台會自動產生專屬字串，通常您不需要在意該字串為何。在大多數程式碼研究室中，您需要參照專案 ID (通常標示為 PROJECT_ID)。如果您不喜歡產生的 ID，可以產生另一個隨機 ID。你也可以嘗試使用自己的名稱，看看是否可用。完成這個步驟後就無法變更，且專案期間會維持不變。
請注意，有些 API 會使用第三個值，也就是「專案編號」。如要進一步瞭解這三種值，請參閱說明文件。

接著，您需要在 Cloud 控制台中啟用帳單，才能使用 Cloud 資源/API。完成這個程式碼研究室的費用不高，甚至可能完全免費。如要關閉資源，避免在本教學課程結束後繼續產生費用，請刪除您建立的資源或專案。Google Cloud 新使用者可參加價值$300 美元的免費試用計畫。

啟動 Cloud Shell

雖然可以透過筆電遠端操作 Google Cloud，但在本程式碼研究室中，您將使用 Google Cloud Shell，這是可在雲端執行的指令列環境。

在 Google Cloud 控制台中，點選右上工具列的 Cloud Shell 圖示：

佈建並連線至環境的作業需要一些時間才能完成。完成後，您應該會看到如下的內容：

這部虛擬機器搭載各種您需要的開發工具，並提供永久的 5GB 主目錄，而且可在 Google Cloud 運作，大幅提升網路效能並強化驗證功能。您可以在瀏覽器中完成本程式碼研究室的所有作業。您不需要安裝任何軟體。

6. 事前準備

啟用 API

在 Cloud Shell 中，確認專案 ID 已設定完畢：

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=[YOUR-REGION]
echo $project
echo $region

啟用所有必要服務：

gcloud services enable compute.googleapis.com

7. 建立供應商虛擬私有雲網路

虛擬私有雲網路

在 Cloud Shell 中執行下列操作：

gcloud compute networks create looker-psc-demo --subnet-mode custom

建立子網路

PSC 子網路會與 PSC 服務連結建立關聯，以進行網路位址轉譯。

在 Cloud Shell 中，建立 PSC NAT 子網路：

gcloud compute networks subnets create producer-psc-nat-subnet --network looker-psc-demo --range 172.16.10.0/28 --region $region --purpose=PRIVATE_SERVICE_CONNECT

在 Cloud Shell 中，建立生產者轉送規則子網路：

gcloud compute networks subnets create producer-psc-fr-subnet --network looker-psc-demo --range 172.16.20.0/28 --region $region --enable-private-ip-google-access

在 Cloud Shell 中，建立生產者區域專屬的僅限 Proxy 子網路：

gcloud compute networks subnets create $region-proxy-only-subnet \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=$region \
  --network=looker-psc-demo \
  --range=10.10.10.0/24

建立 Public NAT 閘道

區域內部 TCP Proxy 負載平衡器會使用 NAT 閘道，透過設定選項「–endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB」輸出網際網路，因此同一個 NATGW 不支援 GCE/GKE 網際網路輸出。部署額外的 NAT 閘道，並使用 –endpoint-types=ENDPOINT_TYPE_VM，以供 GCE/GKE 網際網路輸出。

在 Cloud Shell 中建立 Cloud Router：

gcloud compute routers create looker-psc-demo-cloud-router --network looker-psc-demo --region $region

在 Cloud Shell 中，建立 Cloud NAT 閘道，為 TCP Proxy 負載平衡器啟用網際網路輸出：

gcloud compute routers nats create looker-psc-demo-natgw \
  --router=looker-psc-demo-cloud-router \
  --endpoint-types=ENDPOINT_TYPE_MANAGED_PROXY_LB \
  --nat-custom-subnet-ip-ranges=$region-proxy-only-subnet \
  --auto-allocate-nat-external-ips \
  --region=$region

保留負載平衡器的 IP 位址

在 Cloud Shell 中，為負載平衡器保留內部 IP 位址：

gcloud compute addresses create internet-neg-lb-ip \
  --region=$region \
  --subnet=producer-psc-fr-subnet

在 Cloud Shell 中，查看保留的 IP 位址。

gcloud compute addresses describe internet-neg-lb-ip \
  --region=$region | grep -i address:

範例：

user@cloudshell$ gcloud compute addresses describe internet-neg-lb-ip   --region=$region | grep -i address:
address: 172.16.20.2

設定網際網路 NEG

建立網際網路 NEG，並將 –network-endpoint-type 設為 internet-fqdn-port (可連線至外部後端的主機名稱和通訊埠)。

在 Cloud Shell 中，建立用於 github.com 的網際網路 NEG

gcloud compute network-endpoint-groups create github-internet-neg-ssh \
    --network-endpoint-type=INTERNET_FQDN_PORT \
    --network=looker-psc-demo \
    --region=$region

在 Cloud Shell 中，使用 FQDN github.com 和通訊埠 22 更新網際網路 NEG github-internet-neg-ssh

gcloud compute network-endpoint-groups update github-internet-neg-ssh \
    --add-endpoint="fqdn=github.com,port=22" \
    --region=$region

建立網路防火牆政策和防火牆規則

在 Cloud Shell 中執行下列操作：

gcloud compute network-firewall-policies create looker-psc-demo-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy looker-psc-demo-policy --network looker-psc-demo --name looker-psc-demo --global-firewall-policy

下列防火牆規則允許 PSC NAT 子網路範圍的流量傳送至網路中的所有執行個體。

在 Cloud Shell 中執行下列操作：

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy looker-psc-demo-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges 172.16.10.0/28 --global-firewall-policy --layer4-configs=tcp

8. 建立生產端服務

建立負載平衡器元件

在 Cloud Shell 中執行下列操作：

gcloud compute backend-services create producer-backend-svc  --protocol=tcp --region=$region --load-balancing-scheme=INTERNAL_MANAGED

gcloud compute backend-services add-backend producer-backend-svc --network-endpoint-group=github-internet-neg-ssh --network-endpoint-group-region=$region --region=$region

在 Cloud Shell 中，建立目標 TCP Proxy，將要求轉送至後端服務：

gcloud compute target-tcp-proxies create producer-lb-tcp-proxy \
      --backend-service=producer-backend-svc  \
      --region=$region

在下列語法中，建立轉送規則 (內部 TCP Proxy 負載平衡器)。

在 Cloud Shell 中執行下列操作：

gcloud compute forwarding-rules create producer-github-fr \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network-tier=PREMIUM \
     --network=looker-psc-demo \
     --subnet=producer-psc-fr-subnet \
     --address=internet-neg-lb-ip \
     --target-tcp-proxy=producer-lb-tcp-proxy \
     --target-tcp-proxy-region=$region \
     --region=$region \
     --ports=22

建立服務附件

在 Cloud Shell 中建立服務附件 github-svc-attachment-ssh：

gcloud compute service-attachments create github-svc-attachment-ssh --region=$region --producer-forwarding-rule=producer-github-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=producer-psc-nat-subnet

接著，請取得並記下 selfLink URI 中以 projects 開頭的 Service Attachment，以便在 Looker 中設定 PSC 端點。

selfLink: projects/<your-project-id>/regions/<your-region>/serviceAttachments/github-svc-attachment-ssh

在 Cloud Shell 中執行下列操作：

gcloud compute service-attachments describe github-svc-attachment-ssh --region=$region

預期的輸出內容範例

connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-08-31T13:43:07.078-07:00'
description: ''
enableProxyProtocol: false
fingerprint: O5OtqHR33v4=
id: '7557641709467614900'
kind: compute#serviceAttachment
name: github-svc-attachment-ssh
natSubnets:
- https://www.googleapis.com/compute/v1/projects/$project/regions/$region/subnetworks/producer-psc-nat-subnet
pscServiceAttachmentId:
  high: '19348441121424360'
  low: '7557641709467614900'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/$project/regions/$region
selfLink: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/serviceAttachments/github-svc-attachment-ssh
targetService: https://www.googleapis.com/compute/v1/projects/$project/regions/$region/forwardingRules/producer-github-fr

在 Cloud 控制台中，前往：

「網路服務」→「Private Service Connect」→「已發布的服務」

9. 在 Looker 中建立 PSC 端點連線

在下一節中，您將透過 Cloud Shell 中的 -psc-service-attachment 標記，將 Producer 服務連結與單一網域的 Looker Core PSC 建立關聯。

在 Cloud Shell 中，更新下列參數以符合您的環境，藉此建立 PSC 關聯：

INSTANCE_NAME：Looker (Google Cloud Core) 執行個體的名稱。
DOMAIN_1：githubssh.com
SERVICE_ATTACHMENT_1：描述服務連結 (github-svc-attachment-ssh) 時擷取的 URI。
REGION：Looker (Google Cloud Core) 執行個體的代管區域。

在 Cloud Shell 中執行下列操作：

gcloud looker instances update INSTANCE_NAME \
--psc-service-attachment  domain=DOMAIN_1,attachment=SERVICE_ATTACHMENT_URI_1 \
--region=REGION

範例：

gcloud looker instances update looker-psc-instance \
--psc-service-attachment  domain=githubssh.com,attachment=projects/$project/regions/$region/serviceAttachments/github-svc-attachment-ssh \
--region=$region

在 Cloud Shell 中，驗證 serviceAttachments connectionStatus 是否為「ACCEPTED」。請更新為您的 Looker PSC INSTANCE_NAME。

gcloud looker instances describe [INSTANCE_NAME] --region=$region --format=json

範例：

gcloud looker instances describe looker-psc-instance --region=$region --format=json

範例：

{
  "adminSettings": {},
  "createTime": "2024-08-23T00:00:45.339063195Z",
  "customDomain": {
    "domain": "cosmopup.com",
    "state": "AVAILABLE"
  },
  "encryptionConfig": {},
  "lookerVersion": "24.14.18",
  "name": "projects/$project/locations/$region/instances/looker-psc-instance",
  "platformEdition": "LOOKER_CORE_ENTERPRISE_ANNUAL",
  "pscConfig": {
    "allowedVpcs": [
      "projects/$project/global/networks/looker-psc-demo",
      "projects/$project/global/networks/looker-shared-vpc"
    ],
    "lookerServiceAttachmentUri": "projects/t7ec792caf2a609d1-tp/regions/$region/serviceAttachments/looker-psc-f51982e2-ac0d-48b1-91bb-88656971c183",
    "serviceAttachments": [
      {
        "connectionStatus": "ACCEPTED",
        "localFqdn": "githubssh.com",
        "targetServiceAttachmentUri": "projects/$project/regions/$region/serviceAttachments/github-svc-attachment-ssh"
      }
    ]
  },
  "pscEnabled": true,
  "state": "ACTIVE",
  "updateTime": "2024-08-31T20:53:04.824018122Z"
}

在 Cloud 控制台中驗證 PSC 端點

您可以在 Cloud 控制台驗證 PSC 連線

在 Cloud 控制台中，前往：

Looker → Looker 執行個體 → 詳細資料

10. 測試與 GitHub 的連線

在下列步驟中，您將使用 Looker 控制台建立專案，並在 Looker 使用者介面中將網域 github.com 更新為 githubssh.com，藉此驗證與 GitHub.com 的 SSH 連線。只有連線至 GitHub 的 SSH 連線才需要執行這項操作。

11. 建立新專案

啟用開發模式

在 Looker 控制台中，前往：

啟用開發模式 (頁面左下角)，選取後會顯示「You are in Development Mode」橫幅。

建立新專案

在 Cloud 控制台中，前往：

「開發」→「專案」

選取「新 LookML 專案」

提供專案名稱，選取「空白專案」，然後選取「建立專案」。

選取「設定 Git」

設定 Git

選取「繼續」後，系統會提示您驗證存放區網址和 Git 代管服務。

將部署金鑰新增至 GitHub 存放區。請務必允許寫入權限。更新後，請選取「測試」和「完成設定」。

選取「Git 動作」

選取「測試 Git 連線」

驗證 Git 連線測試

12. 清理

從單一 Cloud Shell 終端機刪除實驗室元件

gcloud compute service-attachments delete github-svc-attachment-ssh --region=$region -q

gcloud compute forwarding-rules delete producer-github-fr --region=$region -q

gcloud compute target-tcp-proxies delete producer-lb-tcp-proxy --region=$region -q

gcloud compute backend-services delete producer-backend-svc --region=$region -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy looker-psc-demo-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=looker-psc-demo-policy  --name=looker-psc-demo --global-firewall-policy -q

gcloud compute network-firewall-policies delete looker-psc-demo-policy --global -q

gcloud compute routers nats delete looker-psc-demo-natgw --router=looker-psc-demo-cloud-router --router-region=$region -q

gcloud compute routers delete looker-psc-demo-cloud-router --region=$region -q

gcloud compute addresses delete internet-neg-lb-ip --region=$region -q

gcloud compute network-endpoint-groups delete github-internet-neg-ssh --region=$region -q

gcloud compute networks subnets delete producer-psc-fr-subnet producer-psc-nat-subnet $region-proxy-only-subnet --region=$region -q

gcloud compute networks delete looker-psc-demo -q

13. 恭喜

恭喜！您已成功設定並驗證連線至 GitHub，方法是使用 Private Service Connect 支援的 Looker 控制台。

您已建立生產端基礎架構，並瞭解如何建立網際網路 NEG、生產端服務和 Looker PSC 端點，以便連線至生產端服務。

Looker PSC 南向安全殼層 SSH 網際網路 NEG

1. 簡介

課程內容

軟硬體需求

2. 建構項目

3. 網路需求

4. 程式碼研究室拓撲

5. 設定和需求

自修實驗室環境設定

啟動 Cloud Shell

6. 事前準備

啟用 API

7. 建立供應商虛擬私有雲網路

虛擬私有雲網路

建立子網路

建立 Public NAT 閘道

保留負載平衡器的 IP 位址

設定網際網路 NEG

建立網路防火牆政策和防火牆規則

8. 建立生產端服務

建立負載平衡器元件

建立服務附件

9. 在 Looker 中建立 PSC 端點連線

在 Cloud 控制台中驗證 PSC 端點

10. 測試與 GitHub 的連線

11. 建立新專案

啟用開發模式

建立新專案

設定 Git

12. 清理

13. 恭喜

後續步驟

延伸閱讀和影片

參考文件

Looker PSC 南向安全殼層 SSH 網際網路 NEG 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

1. 簡介

課程內容

軟硬體需求

2. 建構項目

3. 網路需求

4. 程式碼研究室拓撲

5. 設定和需求

自修實驗室環境設定

啟動 Cloud Shell

6. 事前準備

啟用 API

7. 建立供應商虛擬私有雲網路

虛擬私有雲網路

建立子網路

建立 Public NAT 閘道

保留負載平衡器的 IP 位址

設定網際網路 NEG

建立網路防火牆政策和防火牆規則

8. 建立生產端服務

建立負載平衡器元件

建立服務附件

9. 在 Looker 中建立 PSC 端點連線

在 Cloud 控制台中驗證 PSC 端點

10. 測試與 GitHub 的連線

11. 建立新專案

啟用開發模式

建立新專案

設定 Git

12. 清理

13. 恭喜

後續步驟

延伸閱讀和影片

參考文件

Looker PSC 南向安全殼層 SSH 網際網路 NEG