Private Service Connect 64

1. Einführung

Private Service Connect revolutioniert die Art und Weise, wie Organisationen Dienste im Google Cloud-System nutzen. Es bietet neben IPv4 auch volle Unterstützung für IPv6-Adressen. Es kombiniert verbesserte Sicherheit, vereinfachte Konnektivität, verbesserte Leistung und eine zentrale Verwaltung. Damit ist es eine ideale Lösung für Unternehmen, die ein robustes, zuverlässiges und effizientes Modell für die Nutzung von Diensten suchen, das für die Zukunft des Networkings gerüstet ist. Ganz gleich, ob Sie eine Hybrid-Cloud erstellen, Dienste in Ihrer Organisation freigeben oder auf Dienste von Drittanbietern zugreifen: PSC bietet eine nahtlose und sichere Möglichkeit, das volle Potenzial von Google Cloud zu nutzen und gleichzeitig die Vorteile von IPv6 zu nutzen.

Aufgaben in diesem Lab

  • Hauptvorteile von PSC 64
  • Von Private Service Connect 64 unterstützte Übersetzung
  • Dual Stack ULA – Übersicht
  • Netzwerkanforderungen
  • Private Service Connect-Producer-Dienst erstellen
  • Private Service Connect-Endpunkt erstellen
  • Verbindung von einer IPv4-VM zum Private Service Connect-Endpunkt herstellen
  • Verbindung von einer Dual-Stack-VM zum Private Service Connect-Endpunkt herstellen

Voraussetzungen

  • Google Cloud-Projekt mit Inhaberberechtigungen

2. Aufgaben

Sie richten ein Producer-Netzwerk ein, um einen Apache-Webserver als veröffentlichten Dienst über Private Service Connect (PSC) bereitzustellen. Nach der Veröffentlichung führst du die folgenden Aktionen aus, um den Zugriff auf den Produzentendienst zu bestätigen:

  • Richten Sie von der IPv4-GCE-Instanz im Nutzer-VPC den IPv4-PSC-Endpunkt auf den Erstellerdienst aus.
  • Richten Sie von der Dual-Stack-GCE-Instanz im VPC des Nutzers den IPv6-PSC-Endpunkt auf den Dienst des Erstellers aus.

Hauptvorteile von PSC 64

  • Nahtlose Integration:PSC lässt sich nahtlos in VPC-Netzwerke integrieren, die für IPv6 konfiguriert sind. So können Sie die Vorteile der IPv6-Adressierung für Ihre Dienstverbindungen nutzen.
  • Dual-Stack-Unterstützung:PSC unterstützt Dual-Stack-Konfigurationen, die die gleichzeitige Verwendung von IPv4 und IPv6 innerhalb desselben VPC ermöglichen. So ist Ihr Netzwerk flexibel und zukunftssicher.
  • Vereinfachte Umstellung: Mit PSC wird die Umstellung auf IPv6 vereinfacht, da Sie IPv6 nach und nach neben Ihrer bestehenden IPv4-Infrastruktur einführen können.
  • Unterstützung für Producer:Der Producer muss keinen Dual-Stack verwenden. Stattdessen hat der Nutzer die Möglichkeit, einen IPv4- oder IPv6-PSC-Endpunkt bereitzustellen.

3. Unterstützte Übersetzung für Private Service Connect 64 und 66

Aspekte für Verbraucher

Die IP-Version des Endpunkts kann entweder IPv4 oder IPv6 sein, aber nicht beides. Nutzer können eine IPv4-Adresse verwenden, wenn das Subnetz der Adresse Single-Stack ist. Nutzer können eine IPv4- oder IPv6-Adresse verwenden, wenn das Subnetz der Adresse Dual-Stack ist. Nutzer können sowohl IPv4- als auch IPv6-Endpunkte mit demselben Dienstanhang verbinden. Dies kann für die Migration von Diensten zu IPv6 hilfreich sein.

Hinweise für Produzenten

Die IP-Version der Weiterleitungsregel des Erstellers bestimmt die IP-Version des Dienstanhangs und den Traffic, der den Dienstanhang ausgibt. Die IP-Version des Dienstanhangs kann entweder IPv4 oder IPv6 sein, aber nicht beides. Ersteller können eine IPv4-Adresse verwenden, wenn das Subnetz der Adresse Single-Stack-Subnetz ist. Ersteller können eine IPv4- oder IPv6-Adresse verwenden, wenn das Subnetz der Adresse Dual-Stack ist.

Die IP-Version der IP-Adresse der Ersteller-Weiterleitungsregel muss mit dem Stack-Typ des NAT-Subnetzes des Dienstanhangs kompatibel sein.

  • Wenn die Weiterleitungsregel des Erstellers IPv4 ist, kann das NAT-Subnetz Single-Stack- oder Dual-Stack-Cluster sein.
  • Wenn die Weiterleitungsregel des Erstellers IPv6 ist, muss das NAT-Subnetz ein Dual-Stack-Subnetz sein.

Für unterstützte Konfigurationen sind folgende Kombinationen möglich:

  • IPv4-Endpunkt zum IPv4-Dienstanhang
  • IPv6-Endpunkt zum IPv6-Dienstanhang
  • IPv6-Endpunkt zu IPv4-Dienstanhang: In dieser Konfiguration übersetzt Private Service Connect automatisch zwischen den beiden IP-Versionen.

Folgendes wird nicht unterstützt:

Private Service Connect unterstützt nicht die Verbindung eines IPv4-Endpunkts mit einem IPv6-Dienstanhang. In diesem Fall schlägt die Endpunkterstellung mit der folgenden Fehlermeldung fehl:

Eine Private Service Connect-Weiterleitungsregel mit einer IPv4-Adresse kann nicht auf einen IPv6-Dienstanhang ausgerichtet sein.

4. Dual Stack ULA – Übersicht

Google Cloud unterstützt das Erstellen von privaten IPv6-Subnetzen und VMs mit ULA. RFC 4193 definiert ein IPv6-Adressierungsschema für die lokale Kommunikation, das sich ideal für die VPC-interne Kommunikation eignet. ULA-Adressen sind nicht global routbar, sodass Ihre VMs vollständig vom Internet isoliert sind und ein RFC-1918-ähnliches Verhalten mit IPv6 bieten. In Google Cloud können ULA-Präfixe vom Typ /48 für VPC-Netzwerke erstellt werden, sodass alle Ihre /64-IPv6-ULA-Subnetze aus diesem VPC-Netzwerkbereich zugewiesen werden.

Ähnlich wie bei global eindeutigen externen IPv6-Adressen, die von Google Cloud unterstützt werden, erhält jedes ULA-IPv6-fähige Subnetz ein /64-Subnetz aus dem /48-ULA-Bereich des VPC-Netzwerks und jeder VM wird eine /96-Adresse aus diesem Subnetz zugewiesen.

RFC 4193 definiert den IPv6-Adressraum im Bereich fc00::/7. ULA-Adressen können innerhalb privater Netzwerke/Websites frei zugewiesen und verwendet werden. Google Cloud weist alle ULA-Adressen aus dem Bereich fd20::/20 zu. Diese Adressen können nur innerhalb von VPCs und nicht im globalen IPv6-Internet weitergeleitet werden.

Von Google Cloud zugewiesene ULA-Adressen sind in allen VPC-Netzwerken garantiert eindeutig. In Google Cloud wird dafür gesorgt, dass keinem VPC-Netzwerk dasselbe ULA-Präfix zugewiesen wird. Dadurch wird das Problem mit sich überschneidenden Bereichen in VPC-Netzwerken behoben.

Sie können Google Cloud erlauben, Ihrem Netzwerk automatisch /48 zuzuweisen, oder ein bestimmtes /48-IPv6-Präfix auswählen. Wenn das angegebene IPv6-Präfix bereits einem anderen VPC oder Ihrem lokalen Netzwerk zugewiesen ist, können Sie einen anderen Bereich auswählen.

5. Netzwerkanforderungen

Im Folgenden finden Sie eine Aufschlüsselung der Netzwerkanforderungen für das Nutzer- und das Produzentennetzwerk:

Verbrauchernetzwerk (alle Komponenten werden in us-central1 bereitgestellt)

Komponenten

Beschreibung

VPC

Für Dual-Stack-Netzwerke ist ein VPC im benutzerdefinierten Modus mit aktivierter ULA erforderlich

PSC-Endpunkt

  • IPv4-PSC-Endpunkt, der für den Zugriff auf den Dienst des Erstellers verwendet wird
  • IPv6-PSC-Endpunkt, der für den Zugriff auf den Erstellerdienst verwendet wird

Subnetz(e)

IPv4 und Dual-Stack

GCE

IPv4 und Dual-Stack

Erstellernetzwerk(alle Komponenten in us-central1 bereitgestellt)

Komponenten

Beschreibung

VPC

VPC im benutzerdefinierten Modus, ULA nicht aktiviert

PSC-NAT-Subnetz

IPv4. Pakete aus dem VPC-Netzwerk des Nutzers werden mithilfe von Quell-NAT (SNAT) übersetzt, sodass ihre ursprünglichen Quell-IP-Adressen in Quell-IP-Adressen aus dem NAT-Subnetz im VPC-Netzwerk des Erstellers umgewandelt werden.

PSC-Weiterleitungsregel

IPv4. Interner Passthrough-Network Load Balancer

Systemdiagnose

Eine Eingangsregel, die für Instanzen mit Load Balancing gilt und Traffic von den Google Cloud-Systemen für Systemdiagnosen zulässt (130.211.0.0/22 und 35.191.0.0/16).

Backend-Dienst

Ein Back-End-Dienst dient als Brücke zwischen Ihrem Load Balancer und Ihren Back-End-Ressourcen. In dieser Anleitung ist der Back-End-Dienst mit der nicht verwalteten Instanzgruppe verknüpft.

Nicht verwaltete Instanzgruppe

Unterstützt VMs, die eine individuelle Konfiguration oder Abstimmung erfordern. Unterstützt keine automatische Skalierung.

6. Codelab-Topologie

b52931afd997d61.png

7. Einrichtung und Anforderungen

Einrichtung der Umgebung im eigenen Tempo

  1. Melden Sie sich in der Google Cloud Console an und erstellen Sie ein neues Projekt oder verwenden Sie ein vorhandenes. Wenn Sie noch kein Gmail- oder Google Workspace-Konto haben, müssen Sie ein Konto erstellen.

fbef9caa1602edd0.png

a99b7ace416376c4.png

5e3ff691252acf41.png

  • Der Projektname ist der Anzeigename für die Teilnehmer dieses Projekts. Es ist ein Zeichenstring, der von Google APIs nicht verwendet wird. Sie können ihn jederzeit aktualisieren.
  • Die Projekt-ID ist für alle Google Cloud-Projekte eindeutig und kann nach der Festlegung nicht mehr geändert werden. In der Cloud Console wird automatisch ein eindeutiger String generiert. In der Regel spielt es keine Rolle, wie er lautet. In den meisten Codelabs müssen Sie auf Ihre Projekt-ID verweisen (normalerweise als PROJECT_ID gekennzeichnet). Wenn Ihnen die generierte ID nicht gefällt, können Sie eine andere zufällige generieren. Alternativ können Sie Ihr eigenes Konto ausprobieren und prüfen, ob es verfügbar ist. Sie kann nach diesem Schritt nicht mehr geändert werden und bleibt für die Dauer des Projekts bestehen.
  • Zur Information: Es gibt einen dritten Wert, die Projektnummer, die von einigen APIs verwendet wird. Weitere Informationen zu diesen drei Werten finden Sie in der Dokumentation.
  1. Als Nächstes müssen Sie in der Cloud Console die Abrechnung aktivieren, um Cloud-Ressourcen/-APIs verwenden zu können. Die Durchführung dieses Codelabs ist kostenlos oder kostet nur sehr wenig. Wenn Sie die Ressourcen herunterfahren möchten, um Kosten nach Abschluss dieser Anleitung zu vermeiden, können Sie die von Ihnen erstellten Ressourcen oder das Projekt löschen. Neuen Google Cloud-Nutzern steht das kostenlose Testprogramm mit einem Guthaben von 300$ zur Verfügung.

Cloud Shell starten

Sie können Google Cloud zwar per Fernzugriff von Ihrem Laptop aus nutzen, in diesem Codelab verwenden Sie jedoch Google Cloud Shell, eine Befehlszeilenumgebung, die in der Cloud ausgeführt wird.

Klicken Sie in der Google Cloud Console rechts oben in der Symbolleiste auf das Cloud Shell-Symbol:

55efc1aaa7a4d3ad.png

Die Bereitstellung und Verbindung mit der Umgebung sollte nur wenige Minuten dauern. Wenn der Vorgang abgeschlossen ist, sollte in etwa Folgendes angezeigt werden:

7ffe5cbb04455448.png

Diese virtuelle Maschine verfügt über sämtliche Entwicklertools, die Sie benötigen. Sie bietet ein Basisverzeichnis mit 5 GB nichtflüchtigem Speicher und läuft auf Google Cloud. Dadurch werden Netzwerkleistung und Authentifizierung erheblich verbessert. Alle Aufgaben in diesem Codelab können in einem Browser ausgeführt werden. Sie müssen nichts installieren.

8. Hinweis

APIs aktivieren

Prüfen Sie in Cloud Shell, ob Ihre Projekt-ID eingerichtet ist:

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=us-central1
echo $project
echo $region

Aktivieren Sie alle erforderlichen Dienste:

gcloud services enable compute.googleapis.com

9. Ersteller-VPC-Netzwerk erstellen

VPC-Netzwerk

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute networks create producer-vpc --subnet-mode custom

Subnetze erstellen

Das PSC-Subnetz wird zum Zweck der Network Address Translation mit dem PSC-Dienstanhang verknüpft. Für Produktionsanwendungen muss dieses Subnetz entsprechend dimensioniert sein, um die Menge des eingehenden Traffics von allen angehängten PSC-Endpunkten zu unterstützen. Weitere Informationen finden Sie in der Dokumentation zur PSC-NAT-Subnetzgröße.

Erstellen Sie in Cloud Shell das PSC-NAT-Subnetz:

gcloud compute networks subnets create producer-psc-nat-subnet --network producer-vpc --range 172.16.10.0/28 --region $region --purpose=PRIVATE_SERVICE_CONNECT

Erstellen Sie in Cloud Shell das Subnetzwerk für die Weiterleitungsregel des Producers:

gcloud compute networks subnets create producer-psc-fr-subnet --network producer-vpc --range 172.16.20.0/28 --region $region --enable-private-ip-google-access

Erstellen Sie in Cloud Shell das Subnetzwerk der Producer-VM:

gcloud compute networks subnets create producer-psc-vm-subnet --network producer-vpc --range 172.16.30.0/28 --region $region --enable-private-ip-google-access

Öffentliches NAT-Gateway erstellen

Die Producer-VM benötigt Internetzugriff, um Apache herunterzuladen. Die GCE-Instanz hat jedoch keine externe IP-Adresse. Daher stellt Cloud NAT den Internet-Ausgang für den Paketdownload bereit.

Erstellen Sie in Cloud Shell den Cloud Router:

gcloud compute routers create producer-cloud-router --network producer-vpc --region us-central1

Erstellen Sie in Cloud Shell das Cloud NAT-Gateway, um ausgehenden Internetverkehr zu ermöglichen:

gcloud compute routers nats create producer-nat-gw --router=producer-cloud-router --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

Netzwerk-Firewallrichtlinie und Firewallregeln erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute network-firewall-policies create producer-vpc-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy producer-vpc-policy --network producer-vpc --name producer-vpc --global-firewall-policy

Damit IAP eine Verbindung zu Ihren VM-Instanzen herstellen kann, erstellen Sie eine Firewallregel, die:

  • Gilt für alle VM-Instanzen, die über IAP zugänglich sein sollen.
  • Lässt eingehenden Traffic aus dem IP-Bereich 35.235.240.0/20 zu. Dieser Bereich enthält alle IP-Adressen, die IAP für die TCP-Weiterleitung verwendet.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute network-firewall-policies rules create 1000 --action ALLOW --firewall-policy producer-vpc-policy --description "SSH with IAP" --direction INGRESS --src-ip-ranges 35.235.240.0/20 --layer4-configs tcp:22  --global-firewall-policy

Die folgende Firewallregel lässt Traffic aus dem Bereich der Systemdiagnoseprüfungen zu allen Instanzen im Netzwerk zu. In einer Produktionsumgebung sollte diese Firewallregel nur auf die Instanzen beschränkt sein, die mit dem jeweiligen Erstellerdienst verknüpft sind.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute network-firewall-policies rules create 2000 --action ALLOW --firewall-policy producer-vpc-policy --description "allow traffic from health check probe range" --direction INGRESS --src-ip-ranges 130.211.0.0/22,35.191.0.0/16 --layer4-configs tcp:80 --global-firewall-policy

Mit der folgenden Firewallregel wird Traffic aus dem PSC-NAT-Subnetzbereich zu allen Instanzen im Netzwerk zugelassen. In einer Produktionsumgebung sollte diese Firewallregel nur auf die Instanzen beschränkt sein, die mit dem jeweiligen Erstellerdienst verknüpft sind.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy producer-vpc-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges 172.16.10.0/28 --global-firewall-policy --layer4-configs=tcp

Producer-VM erstellen

Erstellen Sie in Cloud Shell den Apache-Webserver „producer-vm“:

gcloud compute instances create producer-vm \
    --project=$project \
    --machine-type=e2-micro \
    --image-family debian-12 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=producer-psc-vm-subnet \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to Producer-VM !!' | tee /var/www/html/index.html
      EOF"

Erstellen Sie in Cloud Shell die nicht verwaltete Instanzgruppe mit der Producer-VM-Instanz und der Systemdiagnose:

gcloud compute instance-groups unmanaged create producer-instance-group --zone=us-central1-a

gcloud compute instance-groups unmanaged add-instances producer-instance-group  --zone=us-central1-a --instances=producer-vm

gcloud compute health-checks create http hc-http-80 --port=80

10. Producer-Dienst erstellen

Load Balancer-Komponenten erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute backend-services create producer-backend-svc --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend producer-backend-svc --region=us-central1 --instance-group=producer-instance-group --instance-group-zone=us-central1-a

Erstellen Sie mit der folgenden Syntax eine Weiterleitungsregel (interner Netzwerk-Load Balancer) mit der vordefinierten IP-Adresse 172.16.2.3, die mit dem Backend-Dienst „producer-backend-svc“ verknüpft ist.

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute forwarding-rules create producer-fr --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=producer-psc-fr-subnet --address=172.16.20.3 --ip-protocol=TCP --ports=all --backend-service=producer-backend-svc --backend-service-region=us-central1

Dienstanhänge erstellen

Erstellen Sie in Cloud Shell den Dienstanhang:

gcloud compute service-attachments create ipv4-producer-svc-attachment --region=$region --producer-forwarding-rule=producer-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=producer-psc-nat-subnet

Rufe als Nächstes den im selfLink-URI aufgeführten Dienstanhang ab und notiere dir die Projekte, um den PSC-Endpunkt in der Nutzerumgebung zu konfigurieren.

selfLink: projects/<your-project-id>/regions/us-central1/serviceAttachments/ipv4-producer-svc-attachment

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute service-attachments describe ipv4-producer-svc-attachment --region=$region

Beispiel für die erwartete Ausgabe

user@cloudshell:~ (projectid)$ gcloud compute service-attachments describe ipv4-producer-svc-attachment --region=$region
connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-08-26T07:08:01.625-07:00'
description: ''
enableProxyProtocol: false
fingerprint: USOMy1eQKyM=
id: '1401660514263708334'
kind: compute#serviceAttachment
name: ipv4-producer-svc-attachment
natSubnets:
- https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1/subnetworks/producer-psc-nat-subnet
pscServiceAttachmentId:
  high: '85245007652455400'
  low: '1401660514263708334'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1/serviceAttachments/ipv4-producer-svc-attachment
targetService: https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1/forwardingRules/producer-fr

Rufen Sie in der Cloud Console Folgendes auf:

Netzwerkdienste → Private Service Connect → Veröffentlichte Dienste

9166d64204ec31c3.png

1b5feeca51b6533e.png

11. Nutzer-VPC-Netzwerk erstellen

VPC-Netzwerk

Erstellen Sie in Cloud Shell die VPC des Verbrauchers mit aktivierter IPv6-ULA:

gcloud compute networks create consumer-vpc \
    --subnet-mode=custom \
    --enable-ula-internal-ipv6

Google weist dem Kunden-VPC ein global eindeutiges /48-Subnetz zu. So rufen Sie die Zuweisung auf:

Rufen Sie in der Cloud Console Folgendes auf:

VPC-Netzwerke

c847bd7c20e3677d.png

Subnetz erstellen

Erstellen Sie in Cloud Shell das IPv4-GCE-Subnetz:

gcloud compute networks subnets create consumer-v4-subnet --network consumer-vpc --range=192.168.10.0/28 --region $region --enable-private-ip-google-access

Erstellen Sie in Cloud Shell das IPv4-Subnetz für den PSC-Endpunkt:

gcloud compute networks subnets create psc-ipv4-endpoint-subnet --network consumer-vpc --range=192.168.11.0/28 --region $region --enable-private-ip-google-access

Erstellen Sie in Cloud Shell das Dual-Stack-GCE-Subnetz:

gcloud compute networks subnets create consumer-dual-stack-subnet --network consumer-vpc --range=192.168.20.0/28 --stack-type=IPV4_IPV6 --ipv6-access-type=INTERNAL --region $region --enable-private-ip-google-access

Erstellen Sie in Cloud Shell das Dual-Stack-Subnetz für den PSC-Endpunkt:

gcloud compute networks subnets create psc-dual-stack-endpoint-subnet --network consumer-vpc --range=192.168.21.0/28 --stack-type=IPV4_IPV6 --ipv6-access-type=INTERNAL --region $region --enable-private-ip-google-access

Netzwerk-Firewallrichtlinie und Firewallregeln erstellen

Führen Sie in Cloud Shell folgende Schritte aus:

gcloud compute network-firewall-policies create consumer-vpc-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy consumer-vpc-policy --network consumer-vpc --name consumer-vpc --global-firewall-policy

gcloud compute network-firewall-policies rules create 1000 --action ALLOW --firewall-policy consumer-vpc-policy --description "SSH with IAP" --direction INGRESS --src-ip-ranges 35.235.240.0/20 --layer4-configs tcp:22  --global-firewall-policy

Für das Kundennetzwerk ist nur SSH über IAP-Zugriff erforderlich.

12. VM, PSC-Endpunkt erstellen und IPv4-Konnektivität testen

Test-VM erstellen

Erstellen Sie in Cloud Shell die IPv4-GCE-Instanz im IPv4-Subnetz:

gcloud compute instances create consumer-vm-ipv4 --zone=us-central1-a --subnet=consumer-v4-subnet --no-address

Statische IP-Adresse für PSC-Endpunkt erstellen

Erstellen Sie in Cloud Shell eine statische IP-Adresse für den PSC-Endpunkt.

gcloud compute addresses create psc-ipv4-endpoint-ip --region=$region --subnet=psc-ipv4-endpoint-subnet --addresses 192.168.11.13

IPv4-PSC-Endpunkt erstellen

Erstellen Sie in der Cloud Shell den PSC-Endpunkt, indem Sie den URI DES DIENSTANHÄNGS mit dem URI aktualisieren, den Sie beim Erstellen des Dienstanhangs erfasst haben.

gcloud compute forwarding-rules create psc-ipv4-endpoint --region=$region --network=consumer-vpc --address=psc-ipv4-endpoint-ip --target-service-attachment=[SERVICE ATTACHMENT URI]

PSC-Endpunkt prüfen

Prüfen wir, ob der Produzent den PSC-Endpunkt akzeptiert hat. Rufen Sie in der Cloud Console Folgendes auf:

Netzwerkdienste → Private Service Connect → Verbundene Endpunkte

ac858b2db226e58a.png

Konnektivität testen

Stellen Sie in Cloud Shell eine SSH-Verbindung zur GCE-Instanz „consumer-vm-ipv4“ her.

gcloud compute ssh --zone us-central1-a "consumer-vm-ipv4" --tunnel-through-iap --project $project

Nachdem Sie sich in der GCE-Instanz angemeldet haben, führen Sie einen Curl-Befehl zum PSC-Endpunkt psc-ipv4-endpoint 192.168.11.13 aus.

Führen Sie in der GCE-Instanz „consumer-vm-ipv4“ einen Curl-Befehl aus:

curl 192.168.11.13

Erwartete Ausgabe:

user@consumer-vm-ipv4:~$ curl 192.168.11.13
Welcome to Producer-VM !!

Melden Sie sich in der GCE-Instanz „consumer-vm-ipv4“ ab, indem Sie „exit“ eingeben. Sie kehren dann zu Cloud Shell zurück.

exit

Erwartete Ausgabe:

user@consumer-vm-ipv4:~$ exit
logout
Connection to compute.6833450446005281720 closed.

13. VM, PSC-Endpunkt erstellen und Dual-Stack-Konnektivität testen

Test-Dual-Stack-VM erstellen

Erstellen Sie in Cloud Shell die Dual-Stack-GCE-Instanz im Dual-Stack-Subnetz:

gcloud compute instances create consumer-vm-ipv4-ipv6 --zone=us-central1-a --subnet=consumer-dual-stack-subnet --no-address --stack-type=IPV4_IPV6

Statische IPv6-Adresse für PSC-Endpunkt erstellen

Erstellen Sie in Cloud Shell eine statische IPv6-Adresse für den PSC-Endpunkt:

gcloud compute addresses create psc-ipv6-endpoint-ip --region=$region --subnet=psc-dual-stack-endpoint-subnet --ip-version=IPV6

Statische IPv6-Adresse des PSC-Endpunkts abrufen

Rufen Sie in Cloud Shell die IPv6-Adresse des PSC ab, über die Sie den Producer-Dienst erreichen:

gcloud compute addresses describe psc-ipv6-endpoint-ip --region=us-central1 | grep -i address:

Beispielausgabe:

user@cloudshell$ gcloud compute addresses describe psc-ipv6-endpoint-ip --region=us-central1 | grep -i address:
address: 'fd20:2eb:7252:2::'

IPv6-PSC-Endpunkt erstellen

Erstellen Sie in der Cloud Shell den PSC-Endpunkt, indem Sie den URI DES DIENSTANHÄNGS mit dem URI aktualisieren, den Sie beim Erstellen des Dienstanhangs erfasst haben.

gcloud compute forwarding-rules create psc-ipv6-endpoint --region=$region --network=consumer-vpc --address=psc-ipv6-endpoint-ip --target-service-attachment=[SERVICE ATTACHMENT URI]

PSC-Endpunkt prüfen

Prüfen wir, ob der Produzent den PSC-Endpunkt akzeptiert hat. Rufen Sie in der Cloud Console Folgendes auf:

Netzwerkdienste → Private Service Connect → Verbundene Endpunkte

957b74e89f3ad837.png

Konnektivität testen

Stellen Sie über Cloud Shell eine SSH-Verbindung zur Dual-Stack-GCE-Instanz „consumer-vm-ipv4-ipv6“ her und führen Sie einen Curl-Befehl zum PSC-IPv6-Nutzerendpunkt „psc-ipv6-endpoint“ aus, um den Zugriff auf den Producer-Dienst zu prüfen.

gcloud compute ssh --zone us-central1-a "consumer-vm-ipv4-ipv6" --tunnel-through-iap --project $project

Nachdem Sie sich in der Dual-Stack-GCE-Instanz angemeldet haben, führen Sie einen Curl-Vorgang zum psc-Endpunkt, psc-dual-stack-endpoint, mit den im vorherigen Schritt ermittelten IPv6-Adressen aus.

Führen Sie in der GCE-Instanz „consumer-vm-ipv4-ipv6“ einen Curl-Befehl auf den IPv6-PSC-Endpunkt aus, der im Schritt „Statische IPv6-Adresse des PSC-Endpunkts abrufen“ ermittelt wurde.

curl -6 http://[insert-your-ipv6-psc-endpoint]

Erwartete Ausgabe:

user@consumer-vm-ipv4-ipv6$ curl -6 http://[fd20:2eb:7252:2::]
Welcome to Producer-VM !!

Melden Sie sich in der GCE-Instanz „consumer-vm-ipv4-ipv6“ ab, indem Sie „exit“ eingeben. Sie werden dann zu Cloud Shell zurückgeleitet.

exit

Erwartete Ausgabe:

user@consumer-vm-ipv4-ipv6:~$ exit
logout
Connection to compute.6162185519072639197 closed.

14. Bereinigungsschritte

Lab-Komponenten über ein einzelnes Cloud Shell-Terminal löschen

gcloud compute service-attachments delete ipv4-producer-svc-attachment --region=us-central1 -q

gcloud compute forwarding-rules delete psc-ipv6-endpoint psc-ipv4-endpoint --region=us-central1 -q

gcloud compute instances delete consumer-vm-ipv4 consumer-vm-ipv4-ipv6 --zone=us-central1-a -q

gcloud compute network-firewall-policies rules delete 1000 --firewall-policy=consumer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=consumer-vpc-policy  --name=consumer-vpc --global-firewall-policy -q

gcloud compute network-firewall-policies delete consumer-vpc-policy --global -q

gcloud compute addresses delete psc-ipv4-endpoint-ip psc-ipv6-endpoint-ip --region=us-central1 -q

gcloud compute networks subnets delete consumer-v4-subnet psc-ipv4-endpoint-subnet consumer-dual-stack-subnet psc-dual-stack-endpoint-subnet --region=us-central1 -q

gcloud compute networks delete consumer-vpc -q

gcloud compute forwarding-rules delete producer-fr --region=us-central1 -q

gcloud compute backend-services delete producer-backend-svc --region=us-central1 -q

gcloud compute health-checks delete hc-http-80 -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies rules delete 2000 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies rules delete 1000 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=producer-vpc-policy  --name=producer-vpc --global-firewall-policy -q

gcloud compute network-firewall-policies delete producer-vpc-policy --global -q

gcloud compute instance-groups unmanaged delete producer-instance-group --zone=us-central1-a -q

gcloud compute instances delete producer-vm --zone=us-central1-a -q

gcloud compute routers nats delete producer-nat-gw --router=producer-cloud-router --router-region=us-central1 -q

gcloud compute routers delete producer-cloud-router --region=us-central1 -q

gcloud compute networks subnets delete producer-psc-fr-subnet  producer-psc-vm-subnet producer-psc-nat-subnet --region=us-central1 -q

gcloud compute networks delete producer-vpc -q

15. Glückwunsch

Sie haben Private Service Connect 64 erfolgreich konfiguriert und validiert.

Sie haben die Erstellerinfrastruktur erstellt und gelernt, wie Sie einen IPv4- und IPv6-Nutzerendpunkt im Nutzer-VPC-Netzwerk erstellen, der eine Verbindung zum Erstellerdienst ermöglicht.

Cosmopup findet Codelabs super!

c911c127bffdee57.jpeg

Was liegt als Nächstes an?

Sehen Sie sich einige dieser Codelabs an:

Weitere Lesematerialien und Videos

Referenzdokumente