Dokumen ini memberikan arsitektur referensi yang dapat Anda gunakan untuk men-deploy topologi jaringan hub-and-spoke Hybrid atau Cross-Cloud Network yang menggunakan peralatan virtual jaringan (NVA) untuk merutekan traffic di dalam Google Cloud atau dengan jaringan di luarGoogle Cloud.
Audiens yang dituju untuk dokumen ini adalah administrator jaringan yang membangun konektivitas jaringan dan arsitek cloud yang merencanakan cara men-deploy workload. Dokumen ini mengasumsikan bahwa Anda memiliki pemahaman dasar tentang pemilihan rute, protokol BGP, konektivitas internet, dan software NVA yang ingin Anda deploy.
Desain ini mendukung beberapa koneksi jarak jauh ke lokasi penyedia layanan cloud (CSP) atau lokal dan beberapa jaringan Virtual Private Cloud (VPC) workload. Fokusnya adalah membuat deployment multi-region berperforma tinggi dan tangguh yang menyediakan afinitas regional dan failover lintas regional melalui penggunaan perutean dinamis. Perutean dinamis didukung oleh BGP untuk deteksi dan pemulihan gangguan NVA yang sepenuhnya otomatis. Desain ini menempatkan NVA di semua alur dari Google Cloud ke lokal atau ke CSP lain dan menempatkan NVA di antara jaringan VPC workload.
Jika Anda menyertakan NVA di jaringan, arsitektur ini sesuai untuk persyaratan desain berikut:
- Mendukung failover NVA lintas regional: Menyediakan deteksi otomatis untuk kegagalan perutean NVA di suatu region dan mengalihkan kembali traffic ke NVA diGoogle Cloud region terdekat sesuai kebutuhan.
- Mempertahankan afinitas regional: Terus merutekan dalam Google Cloud region untuk mengurangi latensi dan biaya transfer data, kecuali jika terjadi kegagalan. Traffic hanya dirutekan ke region jarak jauh atau koneksi hybrid jika terjadi kegagalan.
Desain ini tidak menyediakan perutean simetris di seluruh NVA kecuali jika Anda mengonfigurasinya menggunakan opsi yang dijelaskan nanti di bagian Skalabilitas. Jika perutean simetris lebih penting bagi desain Anda daripada failover regional dan afinitas traffic lokal, lihat Jaringan Lintas Cloud dengan Peering Jaringan VPC, NVA, dan afinitas regional.
Arsitektur
Diagram berikut menunjukkan komponen yang digunakan dalam arsitektur ini. Diagram hanya menampilkan dua region, tetapi desain dapat diperluas ke region tambahan.
Komponen arsitektur
Contoh arsitektur sebelumnya berisi komponen berikut:
- Jaringan eksternal (jaringan CSP lokal atau lainnya)
Jaringan eksternal dapat berupa jaringan lokal atau di CSP lain. Jaringan ini menghosting klien aplikasi yang berjalan di jaringan VPC workload. Jaringan eksternal juga dapat menghosting aplikasi, tetapi NVA hanya memproses traffic yang berjalan ke atau dari jaringan VPC beban kerja.
Dalam diagram, Cloud Interconnect menghubungkan jaringan eksternal ke jaringan VPC perutean. Arsitektur ini juga mendukung penggunaan Cloud VPN, bukan Cloud Interconnect. Jaringan eksternal menggunakan lampiran VLAN Cloud Interconnect atau tunnel Cloud VPN untuk terhubung ke hub 1 Network Connectivity Center (NCC) sebagai spoke hybrid.
- Merutekan jaringan VPC
Jaringan VPC perutean terhubung ke jaringan eksternal dengan menggunakan Cloud Interconnect atau Cloud VPN. Jaringan ini terhubung ke jaringan VPC transit melalui NVA multi-NIC.
Traffic yang melewati antara jaringan VPC perutean dan jaringan VPC transit harus melalui NVA. Cloud Router di jaringan VPC perutean menukar rute dengan router jaringan eksternal dan dengan NIC NVA yang terhubung ke jaringan VPC perutean.
- Jaringan VPC transit
Jaringan VPC transit terhubung ke jaringan VPC perutean melalui NVA multi-NIC. Jaringan ini meneruskan traffic antara jaringan VPC perutean dan jaringan VPC workload.
Jaringan VPC transit juga meneruskan traffic dari jaringan VPC workload ke NVA, lalu kembali ke jaringan VPC workload untuk traffic workload-workload.
Cloud Router dalam jaringan bertukar rute dengan NIC NVA yang terhubung ke jaringan transit.
- NVA
NVA multi-NIC di-deploy secara berpasangan di beberapa Google Cloud region. Setiap NVA memiliki satu NIC yang terhubung ke jaringan VPC perutean dan NIC lain yang terhubung ke jaringan VPC transit. NVA meneruskan traffic di antara dua jaringan, dan dapat menyediakan fungsi lain seperti pemeriksaan traffic.
Dalam arsitektur ini, traffic antara jaringan VPC beban kerja harus melewati NVA. Dalam arsitektur ini, NVA memiliki setidaknya dua NIC: satu NIC terhubung ke jaringan VPC perutean dan NIC lainnya terhubung ke jaringan VPC transit. Arsitektur ini dapat secara opsional mendukung NIC tambahan untuk pengelolaan atau untuk koneksi ke jaringan tambahan.
- Hub NCC 1
Hub NCC ini menyediakan konektivitas antara koneksi hybrid jaringan eksternal dan NIC NVA yang terhubung ke jaringan VPC perutean.
Hub dikonfigurasi dalam topologi mesh yang mencakup jenis spoke hybrid berikut: spoke Router appliance, spoke Cloud VPN, dan spoke lampiran VLAN Cloud Interconnect.
NIC NVA yang terhubung ke jaringan VPC perutean ditambahkan ke hub sebagai spoke Router appliance. Hingga delapan NVA dapat ditambahkan sebagai satu spoke.
- Jaringan VPC workload
Jaringan VPC workload menghosting aplikasi yang dapat diakses dari klien di jaringan eksternal atau diakses dari klien di jaringan VPC workload lainnya. Jaringan VPC workload juga dapat menghosting endpoint Private Service Connect yang dapat diakses dari jaringan lain.
Jaringan VPC workload dikonfigurasi sebagai spoke VPC di hub NCC 2. Jaringan VPC workload terhubung ke NIC NVA di jaringan VPC transit melalui hub NCC 2. Traffic yang keluar dari jaringan VPC workload dirutekan ke NVA, terlepas dari tujuan akhir traffic.
- Hub NCC 2
Hub NCC ini menyediakan konektivitas antara jaringan VPC workload dan antarmuka NVA Router appliance di jaringan VPC transit.
Hub dikonfigurasi dalam topologi bintang dengan spoke yang terpasang sebagai berikut:
- Antarmuka NVA di jaringan VPC transit dikonfigurasi sebagai spoke Router appliance dalam grup spoke tengah.
- Jaringan VPC workload dikonfigurasi sebagai spoke VPC dalam grup spoke edge.
Traffic ke dan dari jaringan VPC workload harus melewati NVA.
Alur traffic
Bagian berikut menunjukkan alur traffic normal saat semua NVA dan koneksi ke jaringan eksternal berfungsi dan alur traffic failover saat koneksi atau NVA di suatu region gagal.
Alur traffic normal
Diagram berikut menunjukkan alur traffic saat NVA dan koneksi ke jaringan eksternal aktif dan berfungsi:
Jika semuanya berfungsi dengan benar, traffic regional akan tetap berada di wilayahnya:
- Metrik BGP mempertahankan traffic lokal (region A ke region A atau lokasi A) dalam region, sehingga tidak perlu menandai resource atau rute.
- Arsitektur ini memosisikan NVA untuk memproses traffic antara jaringan VPC workload dan antara jaringan VPC workload dan jaringan eksternal.
Daftar berikut menjelaskan alur traffic yang ditampilkan dalam diagram:
- Jaringan eksternal ke Jaringan VPC workload
- Traffic mengikuti rute melalui koneksi Cloud Interconnect ke jaringan VPC perutean. Rute diumumkan oleh Cloud Router ke NVA melalui hub Network Connectivity Center.
- Di jaringan VPC perutean, traffic dirutekan ke NIC NVA aktif menggunakan rute dinamis yang dipelajari dari NVA. Traffic mengikuti rute melalui NVA ke NIC lainnya, yang meneruskan traffic ke jaringan VPC transit. Traffic mengikuti rute melalui peering NCC ke jaringan VPC tujuan workload.
- Jaringan VPC workload ke Jaringan eksternal
- Traffic mengikuti rute yang dipelajari dari hub NCC 2 di seluruh peering NCC ke NVA. Traffic akan memasuki NVA aktif melalui NIC.
- Traffic mengikuti rute melalui NVA ke NIC lainnya, yang meneruskan traffic ke jaringan VPC perutean. Traffic mengikuti rute yang diprogram ke dalam jaringan VPC perutean ke lampiran VLAN dan ke jaringan jarak jauh.
- Jaringan VPC workload ke Jaringan VPC workload
- Traffic mengikuti rute yang dipelajari dari hub NCC 2 di seluruh peering NCC ke NVA. Traffic masuk ke NVA melalui NIC di VPC transit.
- Jika ada lebih dari satu NVA yang aktif, metrik BGP akan mengontrol NVA mana yang menjadi next hop. Traffic mengikuti rute yang dipelajari dari hub NCC 2 kembali melalui NIC yang sama dan melalui peering NCC ke jaringan VPC workload lainnya.
Alur traffic failover
Diagram berikut menunjukkan alur traffic saat semua NVA di suatu region gagal:
Jika terjadi kegagalan total pada semua NVA di satu region, sistem akan otomatis merutekan ulang traffic melalui NVA yang responsif di region jarak jauh terdekat. Arsitektur ini juga tahan terhadap kegagalan koneksi hybrid di satu region.
Produk yang digunakan
Arsitektur referensi ini menggunakan produk Google Cloud berikut:
- Virtual Private Cloud (VPC): Sistem virtual yang menyediakan fungsi jaringan global dan skalabel untuk workload Google Cloud Anda. VPC mencakup Peering Jaringan VPC, Private Service Connect, akses layanan pribadi, dan VPC Bersama.
- Network Connectivity Center: Framework orkestrasi yang menyederhanakan konektivitas jaringan di antara resource spoke yang terhubung ke resource pengelolaan terpusat yang disebut hub.
- Cloud Interconnect: Layanan yang memperluas jaringan eksternal Anda ke jaringan Google melalui koneksi latensi rendah yang memiliki ketersediaan tinggi.
- Cloud VPN: Layanan yang memperluas jaringan peer Anda dengan aman ke jaringan Google melalui tunnel VPN IPsec.
- Cloud Router: Penawaran terdistribusi dan terkelola sepenuhnya yang menyediakan kemampuan speaker dan responder Border Gateway Protocol (BGP). Cloud Router berfungsi dengan Cloud Interconnect, Cloud VPN, dan Router appliance untuk membuat rute dinamis di jaringan VPC berdasarkan rute yang diterima BGP dan rute kustom yang dipelajari.
- Compute Engine: Layanan komputasi yang aman dan dapat disesuaikan yang memungkinkan Anda membuat dan menjalankan VM di infrastruktur Google.
Alternatif desain
Bergantung pada persyaratan Anda, Anda dapat memilih dari alternatif desain berikut:
- Arsitektur ini tidak menyediakan akses terpusat untuk aplikasi tertentu. Jika ingin menambahkan akses terpusat, Anda dapat mengonfigurasi jaringan VPC akses layanan seperti yang dijelaskan dalam Cross-Cloud Network untuk aplikasi terdistribusi.
- Desain ini mengasumsikan bahwa jaringan VPC didistribusikan di lebih dari satu Google Cloud project. Namun, bergantung pada strategi alokasi project, Anda dapat menyediakan jaringan VPC dalam satu project.
Pertimbangan desain
Bagian ini menjelaskan faktor desain, praktik terbaik, dan rekomendasi desain yang harus Anda pertimbangkan saat menggunakan arsitektur referensi ini untuk mengembangkan topologi yang memenuhi persyaratan spesifik Anda terkait keamanan, keandalan, skalabilitas, dan performa.
Keamanan dan kepatuhan
Berikut adalah pertimbangan dan rekomendasi desain untuk mendesain topologi di Google Cloud yang memenuhi persyaratan keamanan dan kepatuhan workload Anda:
- Software NVA mungkin menawarkan kemampuan inspeksi traffic. Namun, untuk
memastikan kualitas dasar yang konsisten di seluruh deployment Anda, sebaiknya
gunakan Cloud NGFW:
- Google Threat Intelligence untuk aturan kebijakan firewall guna mengizinkan atau memblokir koneksi berdasarkan data Google Threat Intelligence.
- Objek geolokasi untuk aturan kebijakan firewall untuk mengizinkan traffic hanya dari negara yang diizinkan dan memblokir negara yang dikenai embargo.
- Pemfilteran nama domain yang sepenuhnya memenuhi syarat (FQDN) menggunakan objek FQDN sebagai sumber untuk aturan ingress atau sebagai tujuan untuk aturan egress dalam kebijakan firewall.
- Deteksi dan pencegahan intrusi (IPS) memantau aktivitas berbahaya dan mengambil tindakan pencegahan untuk mencegahnya.
- Penyadapan TLS untuk memeriksa traffic terenkripsi dan tidak terenkripsi untuk mendeteksi serangan dan gangguan jaringan.
- Untuk mendapatkan insight tentang pola traffic, Anda dapat menggunakan Log Aliran VPC.
- Untuk memantau kepatuhan jaringan Anda, gunakan Cloud Logging dan Cloud Monitoring.
Keandalan
Berikut adalah pertimbangan dan rekomendasi desain untuk merancang topologi di Google Cloud yang memenuhi persyaratan keandalan workload Anda:
- Tingkatkan keandalan dengan menyebarkan NVA di suatu region di seluruh Google Cloud zona. Dengan demikian, dependensi pada setiap zona dihilangkan, sehingga meningkatkan ketahanan terhadap pemadaman layanan zona.
- Untuk mendapatkan ketersediaan 99,99% untuk Cloud Interconnect, Anda biasanya harus terhubung ke dua region Google Cloud yang berbeda meskipun Anda hanya memiliki VM di satu region. Jika Anda menggunakan Dedicated Interconnect, beberapa region mendukung ketersediaan 99,99% di satu region.
Skalabilitas
Bagian ini menjelaskan pertimbangan dan rekomendasi desain untuk merancang topologi di Google Cloud yang memenuhi persyaratan skalabilitas workload Anda.
Jika desain Anda tidak bergantung pada perutean simetris, Anda dapat melakukan penskalaan dengan menambahkan lebih banyak node NVA.
Jika desain Anda memerlukan perutean simetris, Anda dapat mempertimbangkan opsi berikut, bergantung pada fitur yang ditawarkan oleh software NVA Anda:
- Gunakan atribut BGP untuk mempertahankan satu node NVA aktif per region, tetapi sesuaikan ukuran VM tersebut untuk menangani traffic Anda.
- Gunakan kemampuan vendor untuk mengonfigurasi NAT sumber di NVA.
- Jika vendor Anda mendukungnya, Anda dapat menyiapkan sinkronisasi sesi di seluruh node.
- Manfaatkan opsi rekayasa traffic BGP (seperti kebijakan rute BGP) untuk mengonfigurasi konfigurasi aktif-standby per alur. Misalnya, Anda dapat mengonfigurasi jaringan tertentu agar lebih memilih NVA-A daripada NVA-B dan membalikkan preferensi untuk jaringan lain.
Pengoptimalan performa
Berikut adalah pertimbangan dan rekomendasi desain untuk mendesain topologi di Google Cloud yang memenuhi persyaratan performa beban kerja Anda:
- Anda mungkin dapat meningkatkan performa jaringan dengan meningkatkan unit transmisi maksimum (MTU) jaringan dan koneksi Anda. Untuk mengetahui informasi selengkapnya, lihat Unit transmisi maksimum.
- Untuk meningkatkan waktu konvergensi, pertimbangkan untuk menggunakan BGP BFD jika berlaku untuk mempercepat deteksi dan mitigasi gangguan peristiwa BGP. BFD tidak didukung dalam sesi BGP yang dikonfigurasi untuk tunnel Cloud VPN atau untuk NVA yang dikonfigurasi sebagai spoke Router appliance.
Deployment
Untuk men-deploy arsitektur referensi ini, selesaikan langkah-langkah berikut:
- Identifikasi Google Cloud wilayah.
- Mendesain dan membangun struktur project.
- Merencanakan alokasi alamat IP.
- Buat jaringan VPC perutean.
- Buat koneksi ke jaringan eksternal.
- Buat jaringan VPC transit dan workload.
- Buat NVA.
- Buat hub NCC 1.
- Buat hub NCC 2.
- Tambahkan akses pribadi ke Google API.
- Siapkan ingress dan egress internet terpusat.
- Uji konektivitas ke beban kerja.
Mengidentifikasi Google Cloud wilayah
Secara umum, tempatkan konektivitas, subnet VPC, dan Google Cloud workload di dekat jaringan lokal atau klien cloud lainnya. Untuk mengetahui informasi selengkapnya tentang penempatan workload, lihat Google Cloud Pemilih Region dan Praktik terbaik untuk pemilihan region Compute Engine.
Sebaiknya pilih setidaknya dua region untuk menghosting NVA agar dapat memanfaatkan dukungan failover lintas region dari arsitektur ini.
Mendesain dan membangun struktur project
Buat atau identifikasi project tempat Anda akan membuat jaringan VPC. Anda memerlukan project berikut:
- Project untuk menghosting jaringan perutean Anda, tempat Anda menghubungkan konektivitas eksternal. Project ini juga menghosting hub Network Connectivity Center yang menghubungkan koneksi hybrid Anda ke NIC yang menghadap eksternal dari NVA Anda.
- Project untuk menghosting jaringan transit dan jaringan VPC workload Anda. Untuk mendapatkan panduan, lihat Segmentasi jaringan dan struktur project. Jika Anda ingin menggunakan jaringan VPC Bersama, sediakan project Anda sebagai project host VPC Bersama.
Merencanakan alokasi alamat IP
Buat rencana alokasi alamat IP untuk jaringan yang diperlukan. Untuk mempermudah penggabungan alamat jaringan VPC workload, pilih rentang alamatnya dari satu rentang yang lebih besar. Sebaiknya alokasikan satu rentang supernet besar (seperti /12) untuk digunakan bagi penetapan jaringan VPC workload.
Paket Anda harus mencakup rentang IP untuk jaringan berikut:
- Jaringan eksternal
- Merutekan jaringan VPC
- Jaringan VPC transit
- Rentang gabungan untuk semua jaringan VPC workload
Buat jaringan VPC perutean
Jaringan VPC perutean menghosting komponen berikut:
- Koneksi hybrid ke jaringan eksternal.
- Satu NIC dari setiap NVA. Dalam diagram, NIC ini diberi label nic 0.
- Satu Cloud Router per region.
Saat membuat jaringan VPC perutean, lakukan hal berikut:
- Di project tempat Anda menginginkan jaringan VPC perutean, buat jaringan perutean sebagai jaringan VPC mode kustom global dengan perutean dinamis global diaktifkan. Perutean dinamis global diperlukan untuk perutean lintas-region.
- Di jaringan perutean, buat satu subnet per region. Subnet ini menghosting antarmuka NVA yang digunakan untuk perutean pribadi ke jaringan eksternal dan, secara opsional, komunikasi ke Internet.
- Buat
Cloud Router
di setiap region. Cloud Router menangani BGP antara
jaringan VPC dan jaringan eksternal untuk region tersebut. Sebaiknya buat NVA dan jaringan VPC workload di region yang sama dengan koneksi hybrid untuk mengaktifkan perutean lokal antara koneksi hybrid dan workload melalui NVA.
- Jika Anda membuat NVA dan jaringan workload di region yang sama, Anda hanya memerlukan satu Cloud Router yang di-deploy di region tersebut.
- Jika Anda membuat NVA di satu region dan jaringan VPC workload di region lain, Anda memerlukan Cloud Router di setiap region tersebut.
Membuat koneksi ke jaringan eksternal
Desain ini merekomendasikan agar Anda menggunakan Cloud Interconnect untuk menghubungkan jaringan eksternal ke jaringan VPC perutean Google Cloud . Namun, Anda dapat memilih produk konektivitas lain. Untuk mengetahui informasi selengkapnya, lihat Memilih produk Network Connectivity.
Siapkan konektivitas antara jaringan eksternal (lokal dan cloud lainnya) dan jaringan VPC perutean Anda. Sebaiknya Anda menargetkan SLA 99,99% untuk beban kerja produksi, dan mengikuti praktik terbaik Google saat Anda membuat koneksi.
Saat Anda mengonfigurasi koneksi hybrid ke jaringan eksternal, jika ada jaringan pelanggan tambahan yang memerlukan perutean dari dan ke lokasi jarak jauh, beritahukan subnetnya sebagai pemberitahuan rute kustom.
Buat jaringan VPC transit dan beban kerja
Peran jaringan VPC transit adalah menghubungkan NVA dengan jaringan VPC workload.
- Di project tempat Anda menginginkan jaringan transit, buat jaringan transit sebagai jaringan VPC mode kustom global dengan perutean dinamis global diaktifkan. Perutean dinamis global diperlukan untuk perutean lintas-region.
- Buat satu subnet per region untuk menghosting antarmuka NVA yang digunakan untuk perutean pribadi ke jaringan VPC workload.
- Konfigurasi Cloud Router di setiap region tempat Anda berencana untuk menyediakan NVA.
- Buat jaringan VPC beban kerja sesuai kebutuhan.
Membuat NVA
Untuk mengetahui informasi tentang cara menyediakan NVA yang tercantum di Google Cloud Marketplace, lihat dokumentasi penyedia NVA. Saat Anda mengonfigurasi NVA untuk desain ini, ikuti panduan berikut:
- Deploy NVA secara berpasangan di setidaknya dua region untuk memberikan ketahanan multi-region. Karena NVA ditambahkan sebagai spoke perangkat Router Network Connectivity Center, Anda tidak perlu mengonfigurasinya dalam grup instance.
- VM NVA memerlukan minimal dua NIC, tetapi beberapa vendor memerlukan NIC khusus untuk pengelolaan. Tambahkan NIC yang diperlukan untuk mendukung persyaratan vendor.
- Untuk memastikan pemilihan rute simetris melalui satu NVA aktif, NVA perlu menetapkan metrik BGP, seperti MED, untuk memberikan preferensi rute di seluruh NVA dalam region. Sebaiknya gunakan nilai MED rendah, seperti 10 untuk utama dan 20 untuk sekunder. Karena Google Cloud menambahkan bobot regional untuk jaringan jarak jauh, Anda tidak perlu menyetel MED untuk preferensi lintas regional. Untuk mengetahui informasi selengkapnya tentang cara memastikan simetri pemilihan rute, lihat bagian Skalabilitas di bagian awal dokumen ini.
- Untuk mengiklankan rentang subnet VPC workload sebagai rute supernet yang digabungkan atau diringkas, konfigurasi BGP di NIC NVA yang terhubung ke jaringan transit. Rute ini diperlukan untuk mengaktifkan komunikasi VPC workload-ke-workload melalui NVA. Konfigurasi NVA untuk mengiklankan semua subnet yang terlihat oleh Cloud Router.
Buat hub NCC 1
Peran hub NCC pertama dalam desain ini adalah untuk mengaktifkan pengumuman rute dinamis antara koneksi hybrid dan NVA. Saat mengonfigurasi hub NCC, ikuti panduan berikut:
- Konfigurasi hub NCC dalam topologi mesh sehingga memungkinkan semua spoke berkomunikasi secara langsung satu sama lain.
- Tambahkan koneksi hybrid (lampiran VLAN atau VPN) ke hub sebagai spoke
hybrid.
- Aktifkan transfer data site-to-site. Untuk lokasi yang didukung, lihat Lokasi yang didukung untuk transfer data.
- Aktifkan opsi Sertakan rentang subnet IPv4 ekspor dari spoke ke hub.
- Aktifkan opsi Include all IPv4 ranges from hub to spoke.
- Identifikasi NIC NVA yang terhubung ke jaringan VPC perutean, lalu tambahkan ke hub NCC 1 sebagai spoke Router appliance.
- Aktifkan transfer data site-to-site.
- Aktifkan opsi Sertakan rentang subnet IPv4 ekspor dari spoke ke hub.
- Aktifkan opsi Include all IPv4 ranges from hub to spoke.
- Untuk memastikan ketahanan, saat mengonfigurasi perangkat Router, buat sesi BGP ke kedua antarmuka Cloud Router.
Buat hub NCC 2
Hub NCC kedua memungkinkan pemberitahuan rute dinamis antara NVA dan jaringan VPC workload. Anda dapat melakukannya dengan menambahkan NIC NVA sebagai spoke Router appliance, dan jaringan VPC workload sebagai spoke VPC.
- Konfigurasi hub NCC dalam topologi bintang sehingga traffic antara spoke VPC workload harus melewati jaringan VPC transit (hub).
- Tambahkan NVA sebagai spoke Router appliance ke grup pusat hub.
- Aktifkan transfer data site-to-site.
- Aktifkan opsi Include export all IPv4 ranges from spoke to hub.
- Aktifkan opsi Sertakan rentang IPv4 impor dari hub ke spoke.
- Tambahkan spoke VPC workload ke grup edge.
- Untuk memastikan ketahanan, saat mengonfigurasi spoke Router appliance, buat sesi BGP ke kedua antarmuka Cloud Router.
Menambahkan akses pribadi ke Google API dan layanan Google
Jika aplikasi Anda tidak perlu mengakses Google API, Anda dapat melewati bagian ini dalam deployment awal dan melanjutkan ke Menyiapkan ingress dan egress internet terpusat.
Ada dua opsi untuk mengaktifkan akses pribadi ke Google API dan layanan Google berdasarkan persyaratan logging dan visibilitas. Untuk mengetahui informasi selengkapnya tentang layanan ini, lihat jenis Google Cloud layanan.
Perutean langsung ke layanan Private Service Connect (bukan melalui NVA)
- Buat endpoint Private Service Connect untuk Google API di setiap jaringan VPC.
- Buat endpoint Private Service Connect untuk layanan yang dipublikasikan Google di setiap jaringan VPC beban kerja yang memerlukan akses layanan.
- Untuk mengaktifkan akses dari jaringan eksternal, sediakan endpoint Private Service Connect di jaringan VPC perutean. Untuk mengetahui informasi tentang cara mengaktifkan akses pribadi dari lokal ke Google API, lihat dokumentasi Private Service Connect.
Perutean tidak langsung melalui NVA
- Di jaringan VPC perutean, buat endpoint Private Service Connect untuk Google API.
- Di jaringan VPC transit, buat endpoint Private Service Connect untuk Google API.
Konfigurasi DNS sebagai berikut:
- Jaringan VPC workload: Konfigurasi DNS untuk menyelesaikan panggilan API ke alamat IP endpoint Private Service Connect di VPC perutean.
- Jaringan eksternal: Konfigurasi DNS untuk menyelesaikan panggilan API ke alamat IP endpoint Private Service Connect yang Anda buat di jaringan VPC transit.
Pendekatan ini memungkinkan NVA meneruskan traffic Google API.
Buat endpoint Private Service Connect untuk layanan yang dipublikasikan Google hanya di VPC workload yang terkait dengan layanan.
Untuk mengaktifkan akses jaringan lintas-VPC ke endpoint Private Service Connect untuk layanan yang dipublikasikan Google, aktifkan propagasi Private Service Connect di NCC
hub 2.
Menyiapkan ingress dan egress internet terpusat
Jika aplikasi Anda tidak perlu mengakses internet melalui NVA, Anda dapat melewati bagian ini dalam deployment awal dan melanjutkan ke Menguji konektivitas ke workload.
Traffic masuk internet terpusat
Untuk ingress dari internet, NVA perlu melakukan DNAT untuk traffic saat traffic tersebut dirutekan ke resource target di VPC spoke. Untuk mengetahui informasi tentang cara mengonfigurasi ingress, lihat Cara mengonfigurasi load balancer Google dengan Peralatan Jaringan Virtual (NVA) di Google Cloud. Dalam konfigurasi ini, Anda menetapkan alamat target asli ke load balancer Google yang ditempatkan di depan NVA. Jenis load balancer yang Anda pilih memengaruhi sifat global layanan ingress.
Traffic keluar internet terpusat
Jika Anda ingin memusatkan traffic keluar ke internet, NVA perlu melakukan SNAT untuk traffic saat dirutekan ke resource target di Internet. Untuk merutekan traffic dari sumber Google Cloud , NVA harus mengiklankan rute default ke VPC spoke. Perutean ini tidak memerlukan load balancer.
Menguji konektivitas ke workload
Untuk memastikan Anda memiliki visibilitas terhadap alur traffic, gunakan traceroute. Untuk menguji konektivitas berbagai alur, Anda dapat membuat VM pengujian di VPC yang berbeda.
Langkah berikutnya
- Untuk menyiapkan pemantauan dan logging untuk deployment Anda, lihat Kemampuan Observasi di Google Cloud.
- Untuk alat pemantauan dan pemecahan masalah tambahan, lihat Ringkasan Network Intelligence Center.
- Untuk mengetahui lebih banyak tentang arsitektur referensi, diagram, dan praktik terbaik lainnya, jelajahi Pusat Arsitektur Cloud.
Kontributor
Kontributor
Penulis: Haider Witwit | Customer Engineer
Kontributor lainnya:
- Jonathan Almaleh | Staff Technical Solutions Consultant
- Ghaleb Al-habian | Network Specialist
- Mark Schlagenhauf | Technical Writer, Networking
- Ammett Williams | Developer Relations Engineer
- Osvaldo Costa | Networking Specialist Customer Engineer