Peering de rede VPC entre nuvens com NVAs e afinidade regional

Last reviewed 2026-08-24 UTC

Neste documento, apresentamos uma arquitetura de referência que pode ser usada para implantar uma topologia de rede hub and spoke de Cross-Cloud Network que usa dispositivos virtuais de rede (NVAs, na sigla em inglês) para transmitir tráfego.

O público-alvo deste documento são administradores da rede que criam conectividade de rede e Cloud Architects que planejam como as cargas de trabalho são implantadas. O documento pressupõe que você tenha uma compreensão básica de roteamento, conectividade com a Internet e o software de NVA que quer implantar. Para usar essa arquitetura de referência, é preciso estar familiarizado com o guia de design da Cross-Cloud Network.

Esse design é compatível com várias conexões externas com locais no local ou de provedor de serviços de nuvem (CSP, na sigla em inglês) e várias redes VPC de carga de trabalho.

Esse design pressupõe uma implantação em uma única região. Se você quiser implantar em mais de uma região, use as orientações em Alternativas de design, que fornecem afinidade regional, mas não fornecem failover regional automático. Se você quiser um failover regional automático, use a Cross-Cloud Network do NCC com NVAs e failover regional.

Esse design coloca NVAs em todos os fluxos, exceto aqueles dentro e entre redes VPC de carga de trabalho. É possível fazer com que os fluxos pulem os NVAs adicionando as rotas com base em políticas de pulo apropriadas. Somente os fluxos entre a rede externa e a rede VPC de acesso aos serviços precisam de NVAs, já que todos os outros fluxos podem ser inspecionados pelo Cloud Next Generation Firewall.

Arquitetura

O diagrama a seguir mostra uma visão geral da arquitetura das redes e dos fluxos que ela suporta.

Os quatro tipos de conexões descritos no documento. Uma legenda para as arquiteturas de NVA.

A arquitetura contém os seguintes elementos de alto nível:

Componente Finalidade Interações
Redes externas (rede local ou de outro CSP) Hospeda os clientes de cargas de trabalho que são executadas nas VPCs de carga de trabalho e nas VPCs de acesso a serviços. As redes externas também podem hospedar serviços.

Troca dados com as redes VPC de Google Cloudpor meio dos NVAs hospedados na rede VPC de roteamento. Conecta-se à rede VPC de roteamento usando o Cloud Interconnect ou a VPN de alta disponibilidade.

Encerra uma extremidade dos seguintes fluxos:

  • External-to-services-access
  • Externo à carga de trabalho
Rede VPC de roteamento (também conhecida como rede VPC de trânsito) Atua como um hub para a rede externa, a rede VPC de acesso a serviços e as redes VPC de carga de trabalho. Hospeda os NVAs usados para processar o tráfego entre redes. Conecta a rede externa, a rede VPC de acesso a serviços e as redes VPC de carga de trabalho usando uma combinação de Cloud Interconnect, VPN de alta disponibilidade e peering de rede VPC. Quando o tráfego das redes externa, de acesso a serviços e de carga de trabalho passa pela rede de roteamento, as rotas com base em políticas enviam o tráfego para os NVAs.
Rede VPC de acesso a serviços Fornece pontos de acesso a serviços gerenciados hospedados em outras redes. A rede de acesso a serviços também pode hospedar serviços diretamente, se necessário.

Troca dados com as redes externas e de carga de trabalho pela rede de roteamento. Conecta-se à VPC de roteamento usando a VPN de alta disponibilidade. O roteamento transitivo, fornecido pela VPN de alta disponibilidade, permite que o tráfego externo alcance as VPCs de serviços gerenciados pela rede VPC de acesso a serviços.

Se a rede VPC de acesso a serviços hospedar serviços diretamente, ela vai encerrar uma extremidade dos fluxos de todas as outras redes.
Rede VPC de serviços gerenciados Hospeda serviços gerenciados necessários para clientes em outras redes.

Troca dados com as redes externa, de acesso a serviços e de carga de trabalho. Conecta-se à rede VPC de acesso a serviços usando o acesso a serviços particulares, que usa o peering de rede VPC, ou o Private Service Connect.

Encerra uma extremidade dos fluxos de todas as outras redes.
Redes VPC de carga de trabalho Hospeda cargas de trabalho necessárias para clientes em outras redes.

Troca dados com as redes VPC externa e de acesso a serviços por meio da rede VPC de roteamento. Conecta-se à rede de roteamento usando o peering de rede VPC. Conecta-se a outras redes VPC de carga de trabalho usando o NCC.

Encerra uma extremidade dos seguintes fluxos:

  • Externo à carga de trabalho
  • Workload-to-services-access
  • De carga de trabalho para carga de trabalho
Rede VPC de acesso à Internet Fornece acesso à Internet para cargas de trabalho que precisam dele.

Fornece acesso de saída à Internet para cargas de trabalho que precisam baixar atualizações ou outros dados da Internet. Os dados passam pelos NVAs e saem pelo Cloud NAT.

Encerra uma extremidade dos seguintes fluxos:

  • Carga de trabalho para Internet
  • Services-access-to-internet

Descrições das conexões

O diagrama a seguir mostra uma visão detalhada da arquitetura que destaca as quatro conexões entre as redes:

Os quatro tipos de conexões descritos no documento.

Nesta seção, descrevemos as quatro conexões mostradas no diagrama anterior.

Conexão 1: entre redes externas e a rede VPC de roteamento

Essa conexão entre redes externas e redes VPC de roteamento acontece pelo Cloud Interconnect ou pela VPN de alta disponibilidade. Os Cloud Routers na rede VPC de roteamento e os roteadores externos na rede externa trocam rotas usando o BGP.

  • Os roteadores em redes externas anunciam as rotas de sub-redes externas para os Cloud Routers da VPC de roteamento. A preferência das rotas pode ser expressa usando métricas e atributos do BGP.
  • Os Cloud Routers na rede VPC de roteamento anunciam rotas para prefixos nas VPCs de Google Cloudpara as redes externas. Essas rotas precisam ser anunciadas usando anúncios de rota personalizada do Cloud Router.

Conexão 2: entre redes VPC de roteamento e redes VPC de acesso a serviços

Essa conexão entre as redes VPC de roteamento e de acesso a serviços ocorre por meio da VPN de alta disponibilidade. As rotas são trocadas usando o BGP entre os Cloud Routers regionais nas redes VPC de roteamento e as redes VPC de acesso a serviços.

  • Os Cloud Routers da VPN de alta disponibilidade da VPC de roteamento anunciam rotas para prefixos de rede externa, VPCs de carga de trabalho e outras VPCs de acesso a serviços para o Cloud Router da VPC de acesso a serviços. Essas rotas precisam ser anunciadas usando as divulgações de rota personalizada do Cloud Router.
  • A rede VPC de acesso a serviços anuncia as sub-redes dela e as sub-redes de todas as redes VPC de serviços gerenciados anexadas à rede VPC de roteamento. As rotas de VPC de serviços gerenciados precisam ser anunciadas usando anúncios de rota personalizados do Cloud Router.

Conexão 3: entre redes VPC de roteamento e redes VPC de carga de trabalho

Essa conexão entre redes VPC de roteamento e redes VPC de carga de trabalho é implementada usando o peering de rede VPC. Essa conexão permite a comunicação entre as redes VPC de carga de trabalho e as outras redes conectadas à rede VPC de roteamento. Essas outras redes incluem as redes externas e as redes VPC de acesso a serviços.

  • A rede VPC de carga de trabalho exporta automaticamente sub-redes para a rede VPC de roteamento.

Conexão 4: entre redes VPC de carga de trabalho

As redes VPC de carga de trabalho são conectadas usando spokes VPC do NCC do mesmo hub. Assim, o tráfego de uma rede VPC de carga de trabalho para outra viaja diretamente entre as redes. O tráfego não passa pela rede VPC de roteamento.

Fluxos de tráfego

O diagrama a seguir mostra os quatro fluxos que são ativados por essa arquitetura de referência.

Os quatro fluxos descritos neste documento com um histórico detalhado.

A tabela a seguir descreve os fluxos no diagrama:

Origem Destino Descrição
Rede externa Rede VPC de acesso a serviços
  1. O tráfego segue as rotas pelas conexões do Cloud Interconnect até a rede VPC de roteamento. As rotas são anunciadas pelo Cloud Router voltado para o exterior.
  2. Na rede VPC de roteamento, o tráfego segue uma rota com base em políticas sem tags para o balanceador de carga de rede de passagem interna na frente das NVAs.
  3. Uma rota com base em política de pular é atribuída às VMs de NVA. A rota faz com que o tráfego que sai de um NVA ignore a rota com base em política sem tags e siga o roteamento da VPC.
  4. O tráfego segue uma rota personalizada para a rede VPC de acesso a serviços. A rota é anunciada pela conexão de VPN de alta disponibilidade. O tráfego destinado a uma rede VPC de serviços gerenciados anexada segue as rotas personalizadas de peering de rede VPC para a rede de serviços gerenciados.
Rede VPC de acesso a serviços Rede externa
  1. O tráfego segue uma rota personalizada pelos túneis de VPN de alta disponibilidade até a rede VPC de roteamento.
  2. Na rede VPC de roteamento, o tráfego segue uma rota com base em política sem tags para o balanceador de carga de rede de passagem interno que está na frente das NVAs.
  3. Uma rota de desvio com base em política atribuída às VMs do NVA faz com que o tráfego que sai de um NVA ignore a rota com base em política sem tags e siga o roteamento da VPC.
  4. O tráfego segue as rotas pelas conexões externas de volta para a rede externa. As rotas foram aprendidas dos roteadores externos pelo BGP.
Rede externa Rede VPC de carga de trabalho
  1. O tráfego segue rotas pelas conexões externas até a rede de roteamento. As rotas foram anunciadas pelo Cloud Router voltado para o exterior.
  2. Na rede VPC de roteamento, o tráfego segue uma rota com base em políticas sem tags para o balanceador de carga de rede de passagem interna na frente das NVAs.
  3. Uma rota de desvio com base em política atribuída às VMs do NVA faz com que o tráfego que sai de um NVA ignore a rota com base em política sem tags e siga o roteamento da VPC.
  4. O tráfego segue a rota da sub-rede até a rede VPC de carga de trabalho relevante. A rota foi aprendida por peering de rede VPC.
Rede VPC de carga de trabalho Rede externa
  1. O tráfego segue um roteamento com base na política programado na VPC de carga de trabalho para o balanceador de carga de rede de passagem interno na frente dos NVAs na rede VPC de roteamento.
  2. Uma rota de desvio com base em políticas atribuída às VMs do NVA faz com que o tráfego que sai de um NVA ignore a rota com base em políticas sem tags e siga o roteamento da VPC.
  3. O tráfego segue rotas dinâmicas pelas conexões externas de volta à rede externa. As rotas são aprendidas dos roteadores externos usando o BGP.
Rede VPC de carga de trabalho Rede VPC de acesso a serviços
  1. O tráfego segue um roteamento com base na política programado na VPC de carga de trabalho para o balanceador de carga de rede de passagem interno na frente dos NVAs na rede VPC de roteamento.
  2. Uma rota de desvio com base em política atribuída às VMs do NVA faz com que o tráfego que sai de um NVA ignore a rota com base em política sem tags e siga o roteamento da VPC.
  3. O tráfego segue uma rota dinâmica por um dos túneis de VPN de alta disponibilidade até a rede VPC de acesso a serviços. A rota foi aprendida com divulgações de rota personalizadas do BGP.
Rede VPC de acesso a serviços Rede VPC de carga de trabalho
  1. O tráfego segue uma rota personalizada para a rede VPC de roteamento. A rota foi anunciada nos túneis de VPN de alta disponibilidade.
  2. Na rede VPC de roteamento, o tráfego segue uma rota com base em políticas sem tags para o balanceador de carga de rede de passagem interna na frente das NVAs.
  3. Uma rota de desvio com base em política atribuída às VMs do NVA faz com que o tráfego que sai de um NVA ignore a rota com base em política sem tags e siga o roteamento da VPC.
  4. O tráfego segue a rota da sub-rede até a rede VPC de carga de trabalho relevante. A rota foi aprendida por peering de rede VPC.
Rede VPC de carga de trabalho Rede VPC de carga de trabalho O tráfego que sai de uma rede VPC de carga de trabalho segue a rota mais específica para a outra rede VPC de carga de trabalho por meio do NCC. O tráfego de retorno reverte esse caminho. Esse tráfego não passa pelas NVAs.

Produtos usados

Esta arquitetura de referência usa os seguintes produtos do Google Cloud :

  • Nuvem privada virtual (VPC): um sistema virtual que oferece funcionalidade de rede global e escalonável para suas cargas de trabalho do Google Cloud . A VPC inclui peering de rede VPC, Private Service Connect, acesso a serviços particulares e VPC compartilhada.
  • Network Connectivity Center: um framework de orquestração que simplifica a conectividade de rede entre recursos spoke conectados a um recurso de gerenciamento central chamado de hub.
  • Cloud Interconnect: um serviço que estende sua rede externa para a rede do Google por meio de uma conexão de alta disponibilidade e baixa latência.
  • Cloud VPN: um serviço que estende com segurança a rede de peering para a rede do Google por meio de um túnel de VPN IPsec.
  • Cloud Router: uma oferta distribuída e totalmente gerenciada que oferece recursos de alto-falante e resposta do protocolo de gateway de borda (BGP, na sigla em inglês). O Cloud Router funciona com o Cloud Interconnect, o Cloud VPN e os dispositivos roteadores para criar rotas dinâmicas em redes VPC com base em rotas recebidas pelo BGP e rotas aprendidas de forma personalizada.
  • Compute Engine: um serviço de computação seguro e personalizável que permite criar e executar VMs na infraestrutura do Google.
  • Cloud Load Balancing: um portfólio de balanceadores de carga globais, regionais, escalonáveis, globais e de alto desempenho.
  • Cloud Next Generation Firewall: um serviço de firewall totalmente distribuído com recursos avançados de proteção, microssegmentação e gerenciamento simplificado para ajudar a proteger suas cargas de trabalho do Google Cloud contra ataques internos e externos.

Alternativas de design

Para uma implantação multirregional desse design, é possível fornecer afinidade regional especificando o seguinte no roteamento com base na política:

  • O intervalo CIDR de origem de uma sub-rede relevante.
  • O endereço IP do balanceador de carga de NVA relevante.

É possível fornecer failover regional ajustando manualmente as rotas ou usando scripts.

Considerações sobre o design

Nesta seção, descrevemos os fatores de design, as práticas recomendadas e as recomendações de design que você precisa considerar ao usar essa arquitetura de referência para desenvolver uma topologia que atenda aos seus requisitos específicos de segurança, confiabilidade e desempenho.

Segurança e compliance

A lista a seguir descreve as considerações de segurança e conformidade para esta arquitetura de referência:

  • Por motivos de compliance, talvez você queira implantar o Cloud Interconnect em apenas uma região. Se você quiser manter todo o tráfego em uma única região, use uma topologia de 99,9%. Para mais informações, consulte Estabelecer 99,9% de disponibilidade para a Interconexão dedicada e Estabelecer 99,9% de disponibilidade para a Interconexão por parceiro.
  • Use o Cloud Next Generation Firewall para proteger o tráfego que viaja entre redes VPC de carga de trabalho.
  • Se você precisar de inspeção de tráfego L7, ative o serviço de detecção e prevenção de intrusões (opcionalmente com suporte à inspeção de TLS) para bloquear atividades maliciosas e proteger suas cargas de trabalho contra ameaças. O serviço ajuda a oferecer suporte à proteção contra vulnerabilidades, spyware e antivírus. O serviço cria endpoints de firewall zonais gerenciados pelo Google que usam a tecnologia de interceptação de pacotes para inspecionar de maneira transparente as cargas de trabalho sem exigir uma nova arquitetura de rota. O Cloud Next Generation Firewall Enterprise gera cobranças de endpoint de firewall zonal e de processamento de dados.
  • Ative o Google Threat Intelligence para regras de política de firewall para permitir ou bloquear conexões com base nos dados do Google Threat Intelligence.
  • Use objetos de geolocalização para regras de política de firewall para permitir o tráfego apenas de países permitidos e bloquear países embargados.
  • Ative a geração de registros e o monitoramento conforme apropriado para suas necessidades de tráfego e conformidade. Use os registros de fluxo de VPC para ter insights sobre seus padrões de tráfego.
  • Use o Cloud IDS para coletar mais insights sobre seu tráfego.
  • Se os NVAs precisarem se conectar a locais da Internet para fazer o download de atualizações, configure o Cloud NAT na rede VPC de acesso à Internet.
  • Se você quiser que os clientes na sua rede externa acessem as APIs do Google diretamente, crie uma rota de roteamento com base na política na rede VPC de roteamento da seguinte maneira:
    • Intervalo de origem: um intervalo agregado para sua rede externa.
    • Intervalo de destino: 199.36.153.4/30
    • próximo salto: default-internet-gateway

  • Se você quiser que as VMs do Google Cloud acessem as APIs do Google por conexões particulares, faça o seguinte:

    1. Em cada rede VPC, ative o Acesso Privado do Google.
    2. Em cada rede de carga de trabalho, crie um roteamento com base na política para acessar as APIs do Google:
      • Intervalo de origem: o intervalo de endereços da sub-rede VPC da carga de trabalho.
      • Intervalo de destino: 199.36.153.4/30
      • próximo salto: default-internet-gateway
    3. Crie uma política de resposta de DNS para o Acesso Privado do Google que se aplique à rede VPC de roteamento e a todas as redes VPC de carga de trabalho.

    4. Na política de resposta de DNS, crie uma regra da seguinte maneira:

      • Nome DNS: *.googleapis.com.

      • Dados locais:

        name="*.googleapis.com.",type="A",ttl=3600,rrdatas="199.36.153.4|199.36.153.5|199.36.153.6|199.36.153.7"

Confiabilidade

A lista a seguir descreve as considerações de confiabilidade para esta arquitetura de referência:

  • Para ter 99,99% de disponibilidade no Cloud Interconnect, é preciso se conectar a duas regiões Google Cloud diferentes, mesmo que você tenha VMs em apenas uma região.
  • Para melhorar a confiabilidade e minimizar a exposição a falhas regionais, é possível duplicar a implantação em várias regiões usando o arquétipo de implantação multirregional doGoogle Cloud .
  • Para lidar com o tráfego esperado entre a VPC de acesso a serviços e outras redes, crie um número suficiente de túneis de VPN. Os túneis de VPN individuais têm limites de largura de banda. A mesma orientação se aplica se você estiver usando a VPN de alta disponibilidade entre suas redes externas e a rede VPC de roteamento.

Otimização de desempenho

A lista a seguir descreve as considerações de desempenho para esta arquitetura de referência:

  • Para melhorar o desempenho da rede, aumente a unidade máxima de transmissão (MTU) das suas redes e conexões. Saiba mais em Unidade de transmissão máxima.
  • A comunicação entre a VPC de roteamento e os recursos de carga de trabalho é feita por peering de rede VPC, que fornece capacidade de processamento de taxa de linha completa para todas as VMs na rede sem custo extra. Considere as cotas e os limites de peering de rede VPC ao planejar sua implantação.
  • É possível conectar sua rede externa à rede VPC de roteamento usando a VPN de alta disponibilidade ou o Cloud Interconnect. Para mais informações sobre como equilibrar as considerações de custo e desempenho, consulte Como escolher um produto do Network Connectivity.

Implantação

A arquitetura neste documento cria três conjuntos de conexões com uma rede VPC de roteamento central, além de uma conexão diferente entre as redes VPC de carga de trabalho. Depois que todas as conexões estiverem totalmente configuradas, todas as redes na implantação poderão se comunicar com todas as outras redes.

Essa implantação pressupõe que você está criando conexões entre a rede externa e as redes VPC de roteamento em uma região. No entanto, as sub-redes de carga de trabalho podem estar em qualquer região. Se você estiver colocando cargas de trabalho em apenas uma região, só precisará criar sub-redes nessa região.

Para implantar essa arquitetura de referência, execute as seguintes tarefas:

  1. Identificar regiões para colocar conectividade e cargas de trabalho
  2. Criar as redes e sub-redes VPC
  3. Criar tags de recursos para controlar regras de firewall
  4. Criar e associar políticas de firewall de rede
  5. Criar conexões entre redes externas e sua rede VPC de roteamento
  6. Criar conexões entre a rede VPC de roteamento e as redes VPC de acesso a serviços
  7. Criar conexões entre a rede VPC de roteamento e as redes VPC de carga de trabalho
  8. Conectar suas redes VPC de carga de trabalho
  9. Instalar NVAs
  10. Criar roteamento de serviço
  11. Configurar o acesso à Internet na rede de acesso à Internet
  12. Testar a conectividade com cargas de trabalho

Identificar regiões para colocar conectividade e cargas de trabalho

Em geral, é recomendável colocar a conectividade, as sub-redes VPC e as cargas de trabalho do Google Cloud próximas às redes locais ou a outros clientes de nuvem. Para mais informações sobre como colocar cargas de trabalho, consulte o Seletor de região do Google Cloud e as Práticas recomendadas para a seleção de regiões do Compute Engine.

Criar as redes e sub-redes VPC

Para criar as redes e sub-redes VPC, conclua as seguintes tarefas:

  1. Crie ou identifique os projetos em que você vai criar as redes VPC. Você precisa de um projeto de roteamento para receber a conectividade externa e de outro projeto para hospedar as redes VPC de acesso a serviços e de carga de trabalho. Para orientações, consulte Segmentação de rede e estrutura do projeto. Se você pretende usar redes VPC compartilhada, provisione seus projetos como projetos host de VPC compartilhada.
  2. Planeje as alocações de endereços IP para suas redes. É possível pré-alocar e reservar seus intervalos criando intervalos internos. A alocação de blocos de endereços que podem ser agregados simplifica as configurações e operações posteriores.
  3. Crie uma rede VPC de roteamento e uma sub-rede no projeto de roteamento. Se você acha que terá mais de uma região, ative o roteamento global.
  4. Crie uma rede VPC de acesso à Internet e uma sub-rede no projeto de roteamento.
  5. Crie uma rede VPC de acesso a serviços e uma sub-rede no projeto host. Se você acha que terá mais de uma região, ative o roteamento global.
  6. Crie redes VPC de carga de trabalho e sub-redes nos projetos host. Se você acha que terá mais de uma região, ative o roteamento global.

Criar tags de recursos para controlar as regras do Cloud Next Generation Firewall

Crie as seguintes tags. Você pode nomeá-los como quiser. Os nomes listados são apenas exemplos.

  1. Para a rede VPC de roteamento:
    • Chave: routing-vpc-tags
    • Valor: routing-vpc-multinic
    • Objetivo: GCE_FIREWALL
    • Purpose-data: o nome da rede VPC de roteamento.

  2. Para cada rede VPC de carga de trabalho:

    • Chave: WORKLOAD_NAME-tags

      Substitua WORKLOAD_NAME pelo nome da rede VPC da carga de trabalho.

    • Valores: WORKLOAD_NAME-clients, WORKLOAD_NAME-www

      Substitua WORKLOAD_NAME pelo nome da rede VPC da carga de trabalho.

    • Objetivo: GCE_FIREWALL

    • Purpose-data: o nome da rede VPC da carga de trabalho.

  3. Para a rede de acesso à Internet:

    • Chave: internet-tag
    • Valor: internet-vpc
    • Objetivo: GCE_FIREWALL
    • Purpose-data: o nome da rede de acesso à Internet.

Criar e associar políticas de firewall de rede

Nesta seção, mostramos as regras do Cloud NGFW para criar e associar à sua implantação.

  1. Crie uma política de firewall de rede global no projeto de roteamento.
  2. Crie as seguintes regras de firewall na política:
  3. Associe a política à rede VPC de roteamento.
  4. Com base nas cargas de trabalho nas VPCs de carga de trabalho e de acesso a serviços, crie políticas de firewall e regras no projeto de hospedagem de carga de trabalho para controlar esse tráfego.

Criar conexões entre redes externas e sua rede VPC de roteamento

Esta seção pressupõe conectividade em uma única região.

  1. Configure a conectividade entre as redes externas e sua rede de roteamento. Para entender como pensar sobre isso, consulte Conectividade externa e híbrida. Para orientações sobre como escolher um produto de conectividade, consulte Como escolher um produto de conectividade de rede.
  2. Configure o BGP da seguinte maneira:
    • Configure o roteador no local externo fornecido da seguinte maneira:
      • Anuncie todas as sub-redes para esse local externo usando o mesmo MED do BGP nas duas interfaces, como 100. Se as duas interfaces anunciarem o mesmo MED, o Google Cloud poderá usar o ECMP para balanceamento de carga do tráfego nas duas conexões.
    • Configure o Cloud Router voltado para o exterior na VPC de roteamento da região conectada da seguinte maneira:
      • Usando anúncios de rota personalizada, anuncie todos os intervalos de sub-rede de todas as regiões nas duas interfaces do Cloud Router voltadas para o exterior. Agregue-os, se possível. Use o mesmo MED nas duas interfaces, como 100.

Criar conexões entre a rede VPC de roteamento e as redes VPC de acesso a serviços

A VPC de acesso a serviços usa a VPN de alta disponibilidade para se conectar à VPC de roteamento. A VPN permite o roteamento transitivo entre a VPC de acesso a serviços e as redes externas e de carga de trabalho.

  1. Estime quanto tráfego precisa passar entre as VPCs de roteamento e de acesso a serviços. Dimensione o número esperado de túneis de acordo.
  2. Configure a VPN de alta disponibilidade entre a VPC de roteamento e a VPC de acesso a serviços usando as instruções em Criar gateways de VPN de alta disponibilidade para conectar redes VPC. Crie um Cloud Router de VPN de alta disponibilidade dedicado na rede de roteamento. Deixe o roteador voltado para a rede externa para conexões de rede externa.
    • Configuração do Cloud Router da VPC de roteamento:
      • Para anunciar sub-redes VPC de rede externa e de carga de trabalho para a VPC de acesso a serviços, use divulgações de rota personalizadas no Cloud Router na VPC de roteamento.
    • Configuração do Cloud Router da VPC de acesso a serviços:
      • Para anunciar sub-redes VPC de acesso a serviços para a VPC de roteamento, use anúncios de rota personalizados no Cloud Router da VPC de acesso a serviços.
      • Se você usar o acesso a serviços particulares para conectar uma VPC de serviços gerenciados à VPC de acesso a serviços, use rotas personalizadas para anunciar essas sub-redes também.
  3. Se você conectar uma VPC de serviços gerenciados à VPC de acesso a serviços usando o acesso a serviços particulares, depois que a conexão de peering de rede VPC for estabelecida, atualize o lado da VPC de acesso a serviços da conexão de peering de rede VPC para exportar rotas personalizadas.

Criar conexões entre a rede VPC de roteamento e as redes VPC de carga de trabalho

Crie conexões de peering de rede VPC entre a VPC de roteamento e cada uma das VPCs de carga de trabalho:

  • Ative Exportar rotas personalizadas para o lado da VPC de roteamento de cada conexão.
  • Ative Importar rotas personalizadas para o lado da VPC de carga de trabalho de cada conexão.
  • No cenário padrão, apenas as rotas de sub-rede da VPC de carga de trabalho são exportadas para a VPC de roteamento. Não é necessário exportar rotas personalizadas das VPCs de carga de trabalho.

Conectar suas redes VPC de carga de trabalho

Conecte as redes VPC de carga de trabalho usando spokes VPC do NCC. Incluir todos os spokes no mesmo grupo de peering de spokes do NCC. Use um grupo de peering principal para permitir a comunicação de malha completa entre as VPCs.

Use o Cloud Next Generation Firewall para controlar o tráfego dentro e entre redes VPC de carga de trabalho.

A conexão do NCC anuncia rotas específicas entre as redes VPC de carga de trabalho. O tráfego entre essas redes segue essas rotas.

Instalar NVAs

Estas instruções consideram que você tem uma imagem de VM que quer usar para os NVAs.

Crie um grupo de NVAs com balanceamento de carga. Consulte Configurar um balanceador de carga de rede de passagem interna para dispositivos de terceiros para mais detalhes.

  • Crie um modelo de instância com base na imagem de NVA com o seguinte parâmetro:

    • Tag de rede: nva-REGION

      Substitua REGION pelo nome da região.

    • Tag do Resource Manager: routing-vpc-tags=routing-vpc-multinic.

    • Uma interface de rede para a rede VPC de roteamento sem endereço IP externo.

    • Uma interface de rede para a rede VPC de acesso à Internet sem endereço IP externo.

    • Defina can IP forward para a VM e o sistema operacional.

    • Crie rotas ip route e regras iptables para enviar tráfego entre as redes de roteamento e acesso à Internet.

  • Crie um grupo gerenciado de instâncias (MIG) regional com VMs suficientes para lidar com o tráfego esperado.

Criar roteamento de serviço

Nesta seção, descrevemos como enviar tráfego pelas NVAs ou como ignorar as NVAs, conforme apropriado.

  1. Na rede VPC de roteamento, crie uma rota com base em política com os seguintes parâmetros:
    • Intervalo de origem: 0.0.0.0/0
    • Intervalo de destino: 0.0.0.0/0
    • Próximo salto: o endereço IP da regra de encaminhamento do balanceador de carga de rede de passagem interna.
    • Tags de rede: não especifique tags de rede. Esses parâmetros criam uma regra que se aplica a todo o tráfego proveniente de um anexo da VLAN, túnel de VPN ou outra VM na rede.

  2. Na rede de roteamento, crie uma rota de roteamento com base na política de pular com os seguintes parâmetros:

    • Intervalo de origem: 0.0.0.0/0
    • Intervalo de destino: 0.0.0.0/0
    • Próximo salto: defina o próximo salto para pular outras rotas com base em política e use o roteamento padrão.

    • Tags de rede: nva-REGION

      Substitua REGION pelo nome da região.

    Esses parâmetros criam uma regra que se aplica apenas ao tráfego que sai das VMs de NVA. Isso faz com que esse tráfego pule a primeira rota com base em políticas que você criou e, em vez disso, siga a tabela de roteamento da VPC.

  3. Em cada rede de carga de trabalho, crie rotas com base em políticas para cada sub-rede com a seguinte configuração:

    • Intervalo de origem: o intervalo de endereços da sub-rede VPC da carga de trabalho.
    • Intervalo de destino: 0.0.0.0/0
    • Próximo salto: o endereço IP da regra de encaminhamento do balanceador de carga de rede de passagem interna na rede de roteamento.

  4. Em cada rede de carga de trabalho, crie uma rota com base em política de pular para o tráfego entre sub-redes:

    • Intervalo de origem: o intervalo de endereços da sub-rede VPC da carga de trabalho.
    • Intervalo de destino: o intervalo de endereços da sub-rede VPC da carga de trabalho.
    • Próximo salto: defina o próximo salto para pular outras rotas com base em política e use o roteamento padrão.

  5. Em cada rede de carga de trabalho, crie uma rota com base no roteamento com base na política para o tráfego entre sub-redes. É necessário criar uma rota para cada sub-rede de carga de trabalho, a menos que as rotas possam ser agregadas:

    • Intervalo de origem: o intervalo de endereços da sub-rede VPC da carga de trabalho.
    • Intervalo de destino: o intervalo das outras sub-redes de carga de trabalho.
    • Próximo salto: defina o próximo salto para pular outras rotas com base em política e use o roteamento padrão.

Estas instruções pressupõem que todo o tráfego, exceto o tráfego em uma sub-rede VPC e entre sub-redes VPC de carga de trabalho, é roteado pelos NVAs. Se você quiser que o tráfego entre as VPCs de carga de trabalho e a VPC de acesso a serviços pule os NVAs, instale outras rotas de salto de roteamento com base na política e configure outras regras do Cloud NGFW para esse tráfego.

Configurar o acesso à Internet na rede de acesso à Internet

Para configurar o acesso de saída à Internet, configure o Cloud NAT na rede de acesso à Internet.

Testar a conectividade com cargas de trabalho

Se você já tiver cargas de trabalho implantadas nas redes VPC, teste o acesso a elas agora. Se você conectou as redes antes de implantar as cargas de trabalho, implante-as agora e teste.

A seguir

Colaboradores

Autores:

Outro colaborador: Ammett Williams | Engenheiro de relações com desenvolvedores