Private Service Connect 66

1. Giriş

Özel Hizmet Bağlantısı, kuruluşların Google Cloud ekosistemindeki hizmetleri kullanma şeklini değiştirerek IPv4 ile birlikte IPv6 adreslemesi için tam destek sunar. Gelişmiş güvenlik, basitleştirilmiş bağlantı, iyileştirilmiş performans ve merkezi yönetim özelliklerini bir araya getiren bu çözüm, ağ bağlantısının geleceğine hazır, sağlam, güvenilir ve verimli bir hizmet tüketimi modeli arayan işletmeler için ideal bir çözümdür. Karma bulut oluşturuyor, kuruluşunuzda hizmet paylaşıyor veya üçüncü taraf hizmetlerine erişiyor olsanız da PSC, IPv6'nın avantajlarından yararlanırken Google Cloud'un tüm potansiyelinden yararlanmak için sorunsuz ve güvenli bir yol sunar.

Neler öğreneceksiniz?

• PSC 66'nın Temel Avantajları
• Private Service Connect 66 desteklenen çeviri
• Çift Katmanlı ULA'ya genel bakış
• Ağ gereksinimleri
• Private Service Connect üretici hizmeti oluşturma
• Private Service Connect uç noktası oluşturma
• Çift yığınlı bir sanal makineden Private Service Connect uç noktasıyla bağlantı kurma

Gerekenler

• Sahibi izinlerine sahip Google Cloud projesi

2. Ne oluşturacaksınız?

Private Service Connect (PSC) üzerinden bir apache web sunucusunu yayınlanmış hizmet olarak dağıtmak için bir Üretici ağı oluşturursunuz. Yayınlandıktan sonra, Producer hizmetine erişim doğrulaması için aşağıdaki işlemleri gerçekleştirirsiniz:

• Tüketici VPC'sinden, çift yığınlı GCE örneğinde, üretici hizmetine ulaşmak için IPv6 PSC uç noktasını hedefleyin.

PSC 66'nın temel avantajları

• Sorunsuz Entegrasyon: PSC, IPv6 için yapılandırılmış VPC ağlarıyla sorunsuz bir şekilde entegre olur ve hizmet bağlantılarınız için IPv6 adreslemenin avantajlarından yararlanmanıza olanak tanır.
• Çift Katmanlı Destek: PSC, çift katmanlı yapılandırmaları destekler. Bu sayede aynı VPC içinde IPv4 ve IPv6'nın eşzamanlı olarak kullanılmasına olanak tanır, ağınızın esnekliğini ve gelecekte de kullanılabilirliğini sağlar.
• Basitleştirilmiş Geçiş: PSC, mevcut IPv4 altyapınızla birlikte IPv6'yı kademeli olarak kullanmanıza olanak tanıyarak IPv6'ya geçişi kolaylaştırır.
• Üretici desteği: Üreticinin çift yığın kullanması gerekir. Bu durumda, yalnızca IPv6 kullanan bir Tüketici PSC uç noktası oluşturulur.

3. Private Service Connect 64 ve 66 desteklenen çeviri

Tüketicilerle ilgili dikkat edilmesi gerekenler

Bitiş noktasının IP sürümü IPv4 veya IPv6 olabilir ancak ikisi birden olamaz. Tüketiciler, adresin alt ağı tek yığınlı ise IPv4 adresi kullanabilir. Adresin alt ağı çift yığınlıysa tüketiciler IPv4 veya IPv6 adresi kullanabilir. Tüketiciler hem IPv4 hem de IPv6 uç noktalarını aynı hizmet eki olarak bağlayabilir. Bu, hizmetleri IPv6'ya taşımak için yararlı olabilir.

Yapımcı için dikkat edilmesi gereken hususlar

Üretici yönlendirme kuralının IP sürümü, hizmet eki ve hizmet ekindn çıkan trafiğin IP sürümünü belirler. Hizmet eki IP sürümü IPv4 veya IPv6 olabilir ancak her ikisi de olamaz. Üreticiler, adresin alt ağı tek yığınlıysa IPv4 adresi kullanabilir. Adresin alt ağı çift yığınlıysa üreticiler IPv4 veya IPv6 adresi kullanabilir.

Üretici yönlendirme kuralının IP adresinin IP sürümü, hizmet eki NAT alt ağının yığın türüyle uyumlu olmalıdır.

• Üretici yönlendirme kuralı IPv4 ise NAT alt ağı tek yığın veya çift yığın olabilir.
• Üretici yönlendirme kuralı IPv6 ise NAT alt ağı çift yığın olmalıdır.

Desteklenen yapılandırmalar için aşağıdaki kombinasyonlar mümkündür:

• IPv4 uç noktası ile IPv4 hizmet eki
• IPv6 uç noktası ile IPv6 hizmet eki
• IPv6 uç noktası ile IPv4 hizmet eki Bu yapılandırmada Private Service Connect, iki IP sürümü arasında otomatik olarak çeviri yapar.

Aşağıdakiler desteklenmez:

Private Service Connect, IPv4 uç noktasının IPv6 hizmet eki ile bağlanmasını desteklemez. Bu durumda, uç nokta oluşturma işlemi aşağıdaki hata mesajıyla başarısız olur:

IPv4 adresi içeren Private Service Connect yönlendirme kuralı, IPv6 hizmet ekini hedefleyemez.

4. Çift Katmanlı ULA'ya genel bakış

Google Cloud, ULA özel IPv6 alt ağları ve sanal makinelerin oluşturulmasını destekler. RFC 4193, yerel iletişim için VPC içi iletişim için ideal bir IPv6 adresleme şeması tanımlar. ULA adresleri dünya genelinde yönlendirilemez. Bu nedenle, sanal makineleriniz IPv6'yı kullanarak RFC-1918 benzeri bir davranış sağlayarak internetten tamamen izole edilir. Google Cloud, tüm /64 IPv6 ULA alt ağlarınızın bu VPC ağı aralığından atanması için /48 VPC ağı ULA ön eklerinin oluşturulmasına izin verir.

Google Cloud tarafından desteklenen dünya genelinde benzersiz harici IPv6 adreslerine benzer şekilde, her ULA IPv6 etkin alt ağı, /48 VPC ağı ULA aralığından bir /64 alt ağı alır ve her VM'ye bu alt ağdan bir /96 adresi atanır.

RFC4193, IPv6 adres alanını fc00::/7 aralığında tanımlar. ULA adresleri, özel ağlar/siteler içinde serbestçe tahsis edilebilir ve kullanılabilir. Google Cloud, fd20::/20 aralığından tüm ULA adreslerini atar. Bu adresler yalnızca VPC'ler kapsamında yönlendirilebilir ve küresel IPv6 internetinde yönlendirilemez.

Google Cloud tarafından atanan ULA adreslerinin tüm VPC ağlarında benzersiz olması garanti edilir. Google Cloud, hiçbir VPC ağına aynı ULA ön ekinin atanmadığından emin olur. Bu sayede, VPC ağlarında çakışma aralığı sorunu ortadan kalkar.

Google Cloud'un ağınıza /48 atamasına izin verebilir veya belirli bir /48 IPv6 ön ekini seçebilirsiniz. Belirttiğiniz IPv6 ön ekiniz zaten başka bir VPC'ye veya şirket içi ağınıza atanmışsa başka bir aralık seçebilirsiniz.

Codelab'de Google Cloud, /48 değerini otomatik olarak atar ve bu da dünya genelinde benzersiz bir ULA adres aralığı oluşturur.

5. Ağ gereksinimleri

Tüketici ve Üretici ağı için ağ koşullarının dökümü aşağıda verilmiştir:

Tüketici Ağı (tüm bileşenler us-central1'de dağıtılmıştır)

Bileşenler	Açıklama
VPC	Çift yığın ağ oluşturma için ULA'nın etkinleştirildiği özel mod VPC gerekir
PSC uç noktası	Üretici hizmetine erişmek için kullanılan IPV6 PSC uç noktası
Alt ağlar	Çift yığın
GCE	Çift yığın

Üretici Ağı(tüm bileşenler us-central1'de dağıtılmıştır)

Bileşenler	Açıklama
VPC	Çift yığın ağ oluşturma için ULA'nın etkinleştirildiği özel mod VPC gerekir
PSC NAT alt ağı	Çift yığın. Tüketici VPC ağındaki paketler, kaynak NAT (SNAT) kullanılarak çevrilir. Böylece, orijinal kaynak IP adresleri, üreticinin VPC ağındaki NAT alt ağındaki kaynak IP adreslerine dönüştürülür.
PSC yönlendirme kuralı	Çift yığın. Dahili geçiş ağ yük dengeleyicisi
Durum Denetimi	Yük dengelenen örnekler için geçerli olan ve Google Cloud durum denetimi sistemlerinden (2600:2d00:1:b029::/64) gelen trafiğe izin veren bir giriş kuralı.
Arka Uç Hizmeti	Arka uç hizmeti, yük dengeleyiciniz ile arka uç kaynaklarınız arasında köprü görevi görür. Eğitimde, arka uç hizmeti yönetilmeyen örnek grubuyla ilişkilendirilmiştir.
Yönetilmeyen Örnek Grubu	Ayrı yapılandırma veya ayar gerektiren sanal makineleri destekler. Otomatik ölçeklendirmeyi desteklemez.

6. Codelab topolojisi

7. Kurulum ve Gereksinimler

Kendine ait tempoda ortam oluşturma

1. Google Cloud Console'da oturum açın ve yeni bir proje oluşturun veya mevcut bir projeyi yeniden kullanın. Gmail veya Google Workspace hesabınız yoksa hesap oluşturmanız gerekir.

• Proje adı, bu projenin katılımcılarının görünen adıdır. Google API'leri tarafından kullanılmayan bir karakter dizesidir. Dilediğiniz zaman güncelleyebilirsiniz.
• Proje kimliği, tüm Google Cloud projelerinde benzersizdir ve değiştirilemez (ayarlandıktan sonra değiştirilemez). Cloud Console, benzersiz bir dize otomatik olarak oluşturur. Bu dizenin ne olduğu genellikle önemli değildir. Çoğu kod laboratuvarında proje kimliğinize (genellikle PROJECT_ID olarak tanımlanır) referans vermeniz gerekir. Oluşturulan kimliği beğenmezseniz rastgele başka bir kimlik oluşturabilirsiniz. Alternatif olarak, kendi anahtarınızı deneyerek kullanılabilir olup olmadığını görebilirsiniz. Bu adımdan sonra değiştirilemez ve proje boyunca geçerli kalır.
• Bazı API'lerin kullandığı üçüncü bir değer (Proje Numarası) olduğunu belirtmek isteriz. Bu üç değer hakkında daha fazla bilgiyi dokümanlar bölümünde bulabilirsiniz.

Dikkat: Proje kimliği dünya genelinde benzersizdir ve seçtikten sonra başkaları tarafından kullanılamaz. Bu kimliğin tek kullanıcısı siz olmalısınız. Bir proje silinse bile kimlik tekrar kullanılamaz.

Not: Gmail hesabı kullanıyorsanız varsayılan konumu Kuruluş yok olarak ayarlayabilirsiniz. Google Workspace hesabı kullanıyorsanız kuruluşunuz için uygun bir konum seçin.

2. Ardından, Cloud kaynaklarını/API'lerini kullanmak için Cloud Console'da faturalandırmayı etkinleştirmeniz gerekir. Bu codelab'i çalıştırmak çok pahalı değildir. Bu eğitimden sonra faturalandırılmamak için kaynakları kapatmak istiyorsanız oluşturduğunuz kaynakları veya projeyi silebilirsiniz. Yeni Google Cloud kullanıcıları 300 ABD doları değerindeki ücretsiz deneme programına uygundur.

Cloud Shell'i başlatma

Google Cloud, dizüstü bilgisayarınızdan uzaktan çalıştırılabilir olsa da bu kod laboratuvarında bulutta çalışan bir komut satırı ortamı olan Google Cloud Shell'i kullanacaksınız.

Google Cloud Console'da, sağ üstteki araç çubuğunda Cloud Shell simgesini tıklayın:

Ortam sağlanıp bağlantı kurulabilmesi için birkaç saniye beklemeniz gerekir. İşlem tamamlandığında aşağıdakine benzer bir ekran görürsünüz:

Bu sanal makinede ihtiyacınız olan tüm geliştirme araçları yüklüdür. 5 GB boyutunda kalıcı bir ana dizin sunar ve Google Cloud üzerinde çalışır. Bu sayede ağ performansını ve kimlik doğrulamayı büyük ölçüde iyileştirir. Bu codelab'deki tüm çalışmalarınızı tarayıcıda yapabilirsiniz. Hiçbir şey yüklemeniz gerekmez.

8. Başlamadan önce

API'leri etkinleştir

Cloud Shell'de proje kimliğinizin ayarlandığından emin olun:

gcloud config list project
gcloud config set project [YOUR-PROJECT-ID]
project=[YOUR-PROJECT-ID]
region=us-central1
echo $project
echo $region

Gerekli tüm hizmetleri etkinleştirin:

gcloud services enable compute.googleapis.com

9. Üretici VPC Ağı Oluşturma

VPC Ağı

Cloud Shell'de aşağıdakileri yapın:

gcloud compute networks create producer-vpc --subnet-mode custom --enable-ula-internal-ipv6

Google, Tüketici VPC'ye küresel olarak benzersiz bir /48 alt ağı ayırır. Ayırma işlemini görüntülemek için şunları yapın:

Cloud Console'da şuraya gidin:

VPC Ağları

Alt ağ oluşturma

PSC alt ağı, ağ adresi çevirisi amacıyla PSC hizmet eki ile ilişkilendirilir. Üretim kullanım alanları için bu alt ağın, tüm bağlı PSC uç noktalarından gelen gelen trafik miktarını destekleyecek şekilde uygun şekilde boyutlandırılması gerekir. Daha fazla bilgi için PSC NAT alt ağı boyutlandırma dokümanlarına bakın.

Cloud Shell'de PSC NAT alt ağını oluşturun:

gcloud compute networks subnets create producer-nat-dual-stack-subnet --network producer-vpc --range 172.16.10.0/28 --region $region --purpose=PRIVATE_SERVICE_CONNECT --stack-type=IPV4_IPV6 --ipv6-access-type=INTERNAL

PSC NAT alt ağının yük dengeleyici arka ucuna erişmesine izin vermek için giriş güvenlik duvarı kuralı oluşturmak üzere daha sonraki bir adımda kullanılan producer-nat-dual-stack-subnet IPv6 adresini alıp not etmeniz gerekir.

Not: IPv6 ULA adresleri dünya genelinde benzersiz olduğundan IPv6 değeriniz farklı olacaktır.

Cloud Shell'de PSC NAT IPv6 alt ağını alın.

gcloud compute networks subnets describe producer-nat-dual-stack-subnet --region=us-central1 | grep -i internalIpv6Prefix:

Beklenen sonuç:

user@cloudshell$ gcloud compute networks subnets describe producer-nat-dual-stack-subnet --region=us-central1 | grep -i internalIpv6Prefix:
internalIpv6Prefix: fd20:b4a:ea9f:2:0:0:0:0/64

Cloud Shell'de üretici yönlendirme kuralı alt ağını oluşturun:

gcloud compute networks subnets create producer-dual-stack-fr-subnet --network producer-vpc --range 172.16.20.0/28 --region $region --enable-private-ip-google-access --stack-type=IPV4_IPV6 --ipv6-access-type=INTERNAL

Cloud Shell'de üretici sanal makine alt ağını oluşturun:

gcloud compute networks subnets create producer-dual-stack-vm-subnet --network producer-vpc --range 172.16.30.0/28 --region $region --enable-private-ip-google-access --stack-type=IPV4_IPV6 --ipv6-access-type=INTERNAL

Herkese açık NAT ağ geçidini oluşturma

Üretici sanal makinenin Apache'i indirmek için internet erişimi gerekir ancak GCE örneğinin harici IP adresi yoktur. Bu nedenle, Cloud NAT paket indirme için internet çıkışı sağlar.

Cloud Shell'de Cloud Router'ı oluşturun:

gcloud compute routers create producer-cloud-router --network producer-vpc --region us-central1

Cloud Shell'de, internet çıkışını etkinleştiren Cloud NAT ağ geçidini oluşturun:

gcloud compute routers nats create producer-nat-gw --router=producer-cloud-router --auto-allocate-nat-external-ips --nat-all-subnet-ip-ranges --region us-central1

Ağ Güvenlik Duvarı Politikası ve Güvenlik Duvarı Kuralları Oluşturma

Cloud Shell'de aşağıdakileri yapın:

gcloud compute network-firewall-policies create producer-vpc-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy producer-vpc-policy --network producer-vpc --name producer-vpc --global-firewall-policy

IAP'nin sanal makine örneklerinize bağlanmasına izin vermek için aşağıdakileri yapan bir güvenlik duvarı kuralı oluşturun:

• IAP kullanılarak erişilmesini istediğiniz tüm sanal makine örnekleri için geçerlidir.
• 35.235.240.0/20 IP aralığından gelen giriş trafiğine izin verir. Bu aralık, IAP'nin TCP yönlendirme için kullandığı tüm IP adreslerini içerir.

Cloud Shell'de aşağıdakileri yapın:

gcloud compute network-firewall-policies rules create 1000 --action ALLOW --firewall-policy producer-vpc-policy --description "SSH with IAP" --direction INGRESS --src-ip-ranges 35.235.240.0/20 --layer4-configs tcp:22  --global-firewall-policy

Aşağıdaki güvenlik duvarı kuralı, durum denetimi kontrol aralığındaki trafiğin ağdaki tüm örneklere gitmesine izin verir. Üretim ortamında bu güvenlik duvarı kuralı yalnızca belirli üretici hizmetiyle ilişkili örneklerle sınırlı olmalıdır.

Cloud Shell'de aşağıdakileri yapın:

gcloud compute network-firewall-policies rules create 2000 --action ALLOW --firewall-policy producer-vpc-policy --description "allow traffic from health check probe range" --direction INGRESS --src-ip-ranges 2600:2d00:1:b029::/64 --layer4-configs tcp:80 --global-firewall-policy

Aşağıdaki güvenlik duvarı kuralı, PSC NAT alt ağı aralığındaki trafiğin ağdaki tüm örneklere gitmesine izin verir. Üretim ortamında bu güvenlik duvarı kuralı yalnızca belirli üretici hizmetiyle ilişkili örneklerle sınırlı olmalıdır.

<insert-your-psc-nat-ipv6-subnet> güvenlik duvarı kuralını, codelab'de daha önce elde edilen IPv6 PSC NAT alt ağla güncelleyin.

Cloud Shell'de aşağıdakileri yapın:

gcloud compute network-firewall-policies rules create 2001 --action ALLOW --firewall-policy producer-vpc-policy --description "allow traffic from PSC NAT subnet" --direction INGRESS --src-ip-ranges <insert-your-psc-nat-ipv6-subnet> --global-firewall-policy --layer4-configs=tcp

Üretici sanal makinesini oluşturma

Cloud Shell'de producer-vm Apache web sunucusunu oluşturun:

gcloud compute instances create producer-vm \
    --project=$project \
    --machine-type=e2-micro \
    --image-family debian-12 \
    --no-address \
    --image-project debian-cloud \
    --zone us-central1-a \
    --subnet=producer-dual-stack-vm-subnet \
    --stack-type=IPV4_IPV6 \
    --metadata startup-script="#! /bin/bash
      sudo apt-get update
      sudo apt-get install apache2 -y
      sudo service apache2 restart
      echo 'Welcome to Producer-VM !!' | tee /var/www/html/index.html
      EOF"

Cloud Shell'de, producer-vm örneği ve durum denetiminden oluşan yönetilmeyen örnek grubunu oluşturun:

gcloud compute instance-groups unmanaged create producer-instance-group --zone=us-central1-a

gcloud compute instance-groups unmanaged add-instances producer-instance-group  --zone=us-central1-a --instances=producer-vm

gcloud compute health-checks create http hc-http-80 --port=80

10. Üretici Hizmeti Oluşturma

Yük Dengeleyici Bileşenleri Oluşturma

Cloud Shell'de aşağıdakileri yapın:

gcloud compute backend-services create producer-backend-svc --load-balancing-scheme=internal --protocol=tcp --region=us-central1 --health-checks=hc-http-80

gcloud compute backend-services add-backend producer-backend-svc --region=us-central1 --instance-group=producer-instance-group --instance-group-zone=us-central1-a

Üretici yönlendirme kuralı (dahili ağ yük dengeleyicisi) için bir IPv6 adresi ayrıldı.

Cloud Shell'de aşağıdakileri yapın:

gcloud compute addresses create producer-fr-ipv6-address \
    --region=us-central1 \
    --subnet=producer-dual-stack-fr-subnet \
    --ip-version=IPV6

Aşağıdaki söz diziminde, arka uç hizmetiyle (producer-backend-svc) ilişkili önceden tanımlanmış bir IPv6 adresi producer-fr-ipv6-address içeren bir iletim kuralı (dahili ağ yük dengeleyici) oluşturun.

Cloud Shell'de aşağıdakileri yapın:

gcloud compute forwarding-rules create producer-fr --region=us-central1 --load-balancing-scheme=internal --network=producer-vpc --subnet=producer-dual-stack-fr-subnet --address=producer-fr-ipv6-address --ip-protocol=TCP --ports=all --backend-service=producer-backend-svc --backend-service-region=us-central1 --ip-version=IPV6

Hizmet Eki Oluşturma

Cloud Shell'de Hizmet Eki'ni oluşturun:

gcloud compute service-attachments create ipv6-producer-svc-attachment --region=$region --producer-forwarding-rule=producer-fr --connection-preference=ACCEPT_AUTOMATIC --nat-subnets=producer-nat-dual-stack-subnet

Ardından, tüketici ortamında PSC uç noktasını yapılandırmak için projelerden başlayarak selfLink URI'sinde listelenen Hizmet Eki'ni alın ve not edin.

selfLink: projects/<proje-kimliğiniz>/regions/us-central1/serviceAttachments/ipv4-producer-svc-attachment

Cloud Shell'de aşağıdakileri yapın:

gcloud compute service-attachments describe ipv6-producer-svc-attachment --region=$region

Beklenen Çıkış Örneği

connectionPreference: ACCEPT_AUTOMATIC
creationTimestamp: '2024-08-27T05:59:17.188-07:00'
description: ''
enableProxyProtocol: false
fingerprint: EaultrFOzc4=
id: '8752850315312657226'
kind: compute#serviceAttachment
name: ipv6-producer-svc-attachment
natSubnets:
- https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1/subnetworks/producer-nat-dual-stack-subnet
pscServiceAttachmentId:
  high: '1053877600257000'
  low: '8752850315312657226'
reconcileConnections: false
region: https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1
selfLink: https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1/serviceAttachments/ipv6-producer-svc-attachment
targetService: https://www.googleapis.com/compute/v1/projects/projectid/regions/us-central1/forwardingRules/producer-fr

Cloud Console'da şuraya gidin:

Ağ Hizmetleri → Private Service Connect → Yayınlanan Hizmetler

11. Tüketici VPC ağı oluşturma

VPC Ağı

Cloud Shell'de, IPv6 ULA etkinleştirilmiş Tüketici VPC'sini oluşturun:

gcloud compute networks create consumer-vpc \
    --subnet-mode=custom \
    --enable-ula-internal-ipv6

Google, Tüketici VPC'ye küresel olarak benzersiz bir /48 alt ağı ayırır. Ayırma işlemini görüntülemek için şunları yapın:

Cloud Console'da şuraya gidin:

VPC Ağları

Alt Ağ Oluştur

Cloud Shell'de çift yığınlı GCE alt ağını oluşturun:

gcloud compute networks subnets create consumer-dual-stack-subnet --network consumer-vpc --range=192.168.20.0/28 --stack-type=IPV4_IPV6 --ipv6-access-type=INTERNAL --region $region --enable-private-ip-google-access

Cloud Shell'de çift yığınlı PSC uç noktası alt ağını oluşturun:

gcloud compute networks subnets create psc-dual-stack-endpoint-subnet --network consumer-vpc --range=192.168.21.0/28 --stack-type=IPV4_IPV6 --ipv6-access-type=INTERNAL --region $region --enable-private-ip-google-access

Ağ Güvenlik Duvarı Politikası ve Güvenlik Duvarı Kuralları Oluşturma

Cloud Shell'de aşağıdakileri yapın:

gcloud compute network-firewall-policies create consumer-vpc-policy --global

gcloud compute network-firewall-policies associations create --firewall-policy consumer-vpc-policy --network consumer-vpc --name consumer-vpc --global-firewall-policy

gcloud compute network-firewall-policies rules create 1000 --action ALLOW --firewall-policy consumer-vpc-policy --description "SSH with IAP" --direction INGRESS --src-ip-ranges 35.235.240.0/20 --layer4-configs tcp:22  --global-firewall-policy

Tüketici ağı için yalnızca IAP erişimi üzerinden SSH gerekir.

12. Sanal makine, PSC uç noktası oluşturma ve çift yığın bağlantısını test etme

Test için çift yığınlı sanal makine oluşturma

Cloud Shell'de, çift yığınlı alt ağda çift yığınlı GCE örneğini oluşturun:

gcloud compute instances create consumer-vm-ipv4-ipv6 --zone=us-central1-a --subnet=consumer-dual-stack-subnet --no-address --stack-type=IPV4_IPV6

PSC uç noktası statik IPv6 adresi oluşturma

Cloud Shell'de PSC uç noktası için statik bir IPv6 adresi oluşturun:

gcloud compute addresses create psc-ipv6-endpoint-ip --region=$region --subnet=psc-dual-stack-endpoint-subnet --ip-version=IPV6

PSC uç noktası statik IPv6 adresini alma

Cloud Shell'de, üretici hizmetine ulaşmak için kullanacağınız PSC IPv6 adresini alın:

gcloud compute addresses describe psc-ipv6-endpoint-ip --region=us-central1 | grep -i address:

Not: IPv6 ULA adresleri dünya genelinde benzersiz olduğundan IPv6 değeriniz farklı olacaktır.

Örnek çıkış:

user@cloudshell$ gcloud compute addresses describe psc-ipv6-endpoint-ip --region=us-central1 | grep -i address:
address: 'fd20:799:4ea3:1::'

IPv6 PSC uç noktasını oluşturun

Cloud Shell'de, SERVICE ATTACHMENT URI'sini hizmet eki oluşturulurken yakalanan URI'nizle güncelleyerek PSC uç noktasını oluşturun.

gcloud compute forwarding-rules create psc-ipv6-endpoint --region=$region --network=consumer-vpc --address=psc-ipv6-endpoint-ip --target-service-attachment=[SERVICE ATTACHMENT URI]

PSC uç noktasını doğrulama

Yapımcının PSC uç noktasını kabul ettiğini onaylayalım. Cloud Console'da şuraya gidin:

Ağ Hizmetleri → Private Service Connect → Bağlı Uç Noktaları

Bağlantıyı test etme

Cloud Shell'de, consumer-vm-ipv4-ipv6 çift yığınlı GCE örneğine ssh ile bağlanın.

gcloud compute ssh --zone us-central1-a "consumer-vm-ipv4-ipv6" --tunnel-through-iap --project $project

Çift yığınlı GCE örneğine giriş yaptığınıza göre, önceki adımda tanımlanan IPv6 adreslerini kullanarak psc uç noktasına (psc-ipv6-endpoint) curl çalıştırın.

curl -6 http://[insert-your-ipv6-psc-endpoint]

Beklenen çıkış:

user@consumer-vm-ipv4-ipv6$ curl -6 http://[fd20:799:4ea3:1::]
Welcome to Producer-VM !!

consumer-vm-ipv4-ipv6 GCE örneğinde, çıkış yaparak örnekten çıkış yapın ve Cloud Shell'e geri dönün.

exit

Beklenen çıkış:

user@consumer-vm-ipv4-ipv6:~$ exit
logout
Connection to compute.715101668351438678 closed.

13. Temizleme adımları

Tek bir Cloud Shell terminalinden laboratuvar bileşenlerini silme

gcloud compute forwarding-rules delete psc-ipv6-endpoint --region=us-central1 -q

gcloud compute instances delete consumer-vm-ipv4-ipv6 --zone=us-central1-a -q

gcloud compute network-firewall-policies rules delete 1000 --firewall-policy=consumer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=consumer-vpc-policy  --name=consumer-vpc --global-firewall-policy -q

gcloud compute network-firewall-policies delete consumer-vpc-policy --global -q

gcloud compute addresses delete psc-ipv6-endpoint-ip --region=us-central1 -q

gcloud compute networks subnets delete consumer-dual-stack-subnet psc-dual-stack-endpoint-subnet --region=us-central1 -q

gcloud compute networks delete consumer-vpc -q

gcloud compute service-attachments delete ipv6-producer-svc-attachment --region=us-central1 -q

gcloud compute forwarding-rules delete producer-fr --region=us-central1 -q

gcloud compute backend-services delete producer-backend-svc --region=us-central1 -q

gcloud compute health-checks delete hc-http-80 -q

gcloud compute network-firewall-policies rules delete 2001 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies rules delete 2000 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies rules delete 1000 --firewall-policy producer-vpc-policy --global-firewall-policy -q

gcloud compute network-firewall-policies associations delete --firewall-policy=producer-vpc-policy  --name=producer-vpc --global-firewall-policy -q

gcloud compute network-firewall-policies delete producer-vpc-policy --global -q

gcloud compute instance-groups unmanaged delete producer-instance-group --zone=us-central1-a -q

gcloud compute instances delete producer-vm --zone=us-central1-a -q

gcloud compute routers nats delete producer-nat-gw --router=producer-cloud-router --router-region=us-central1 -q

gcloud compute routers delete producer-cloud-router --region=us-central1 -q

gcloud compute addresses delete producer-fr-ipv6-address --region=us-central1 -q

gcloud compute networks subnets delete producer-dual-stack-fr-subnet  producer-dual-stack-vm-subnet producer-nat-dual-stack-subnet --region=us-central1 -q

gcloud compute networks delete producer-vpc -q

14. Tebrikler

Tebrikler, Private Service Connect 64'ü başarıyla yapılandırıp doğruladınız.

Üretici altyapısını oluşturdunuz, tüketici VPC ağında IPv6 Üretici hizmetine bağlantı sağlayan bir IPv6 tüketici uç noktası oluşturmayı öğrendiniz.

Cosmopup, codelab'lerin harika olduğunu düşünüyor.

Sırada ne var?

Bu codelab'lerden bazılarına göz atın...

• GKE ile hizmet yayınlamak ve kullanmak için Private Service Connect'i kullanma
• Hizmetleri yayınlamak ve kullanmak için Private Service Connect'i kullanma
• Private Service Connect ve dahili TCP Proxy yük dengeleyici kullanarak karma ağ üzerinden şirket içi hizmetlere bağlanma
• Yayınlanan tüm Private Service Connect kod laboratuvarlarına erişim

Daha fazla bilgi ve videolar

• Private Service Connect'e genel bakış

• Desteklenen Yük Dengeleyici Türleri

Referans dokümanları

• IP sürümü çevirisi
• IPv6 Desteği
• Dahili geçiş ağ yük dengeleyicisine genel bakış
• Durum denetimlerine genel bakış
• Private Service Connect'i kullanarak hizmet yayınlama