Intervalli IP alias

GliGoogle Cloud intervalli IP alias consentono di assegnare intervalli di indirizzi IP interni come alias alle interfacce di rete di una macchina virtuale (VM). È una funzionalità utile se hai più servizi in esecuzione su una VM e vuoi assegnare a ogni servizio un indirizzo IP diverso. Gli intervalli IP alias funzionano anche con i pod GKE.

Se hai un solo servizio in esecuzione su una VM, puoi farvi riferimento utilizzando l'indirizzo IP principale dell'interfaccia. Se hai più servizi in esecuzione su una VM, potresti voler assegnare a ciascuno un indirizzo IP interno diverso. Puoi farlo con gli intervalli IP alias.

Intervalli CIDR primari e secondari delle subnet

Tutte le subnet hanno un intervallo CIDR principale, ovvero l'intervallo di indirizzi IP interni che definiscono la subnet. A ogni istanza VM viene assegnato il proprio indirizzo IP interno principale da questo intervallo. Puoi anche allocare intervalli IP alias da questo intervallo primario oppure puoi aggiungere un intervallo secondario alla subnet e allocare intervalli IP alias dall'intervallo secondario. L'utilizzo di intervalli IP alias non richiede intervalli di subnet secondari. Questi intervalli di subnet secondarie forniscono semplicemente uno strumento organizzativo.

Intervalli IP alias definiti in un'interfaccia di rete VM

Utilizzando l'aliasing IP, puoi configurare più indirizzi IP interni che rappresentano i container o le applicazioni ospitati in una VM, senza dover definire un'interfaccia di rete separata. Puoi assegnare intervalli IP alias VM dagli intervalli primari o secondari della subnet.

Configura intervalli IP alias descrive i comandi per configurare una subnet con intervalli secondari e per assegnare indirizzi IP alias alle VM.

Il seguente diagramma fornisce un'illustrazione di base degli intervalli CIDR primari e secondari e degli intervalli IP alias della VM sull'interfaccia principale della VM:

Intervalli CIDR primari e secondari e intervalli IP alias della VM.
Intervalli CIDR primari e secondari e intervalli IP alias VM (fai clic per ingrandire).
  • Un intervallo CIDR primario 10.1.0.0/16 è configurato come parte di una subnet.
  • Un intervallo CIDR secondario 10.2.0.0/20 è configurato come parte di una subnet.
  • L'IP primario della VM 10.1.0.2 viene allocato dall'intervallo CIDR primario 10.1.0.0/16, mentre un intervallo IP alias, 10.2.1.0/24, viene allocato nella VM dall'intervallo CIDR secondario 10.2.0.0/20.
  • Gli indirizzi nell'intervallo IP alias vengono utilizzati come indirizzi IP dei container ospitati nella VM.

Principali vantaggi degli intervalli IP alias

Quando vengono configurati gli intervalli IP alias, Google Cloud installa automaticamente le route di rete Virtual Private Cloud (VPC) per gli intervalli IP primari e alias per la subnet dell'interfaccia di rete principale. L'orchestratore di container non deve specificare la connettività di rete VPC per queste route. In questo modo, semplifichi il routing del traffico e la gestione dei container. Devi eseguire la configurazione all'interno dell'immagine come descritto in Proprietà chiave degli intervalli IP alias.

Quando gli indirizzi IP dei container vengono allocati da Google Cloud, i processi di convalida in Google Cloud assicurano che gli indirizzi IP dei pod dei container non siano in conflitto con gli indirizzi IP delle VM.

Quando gli indirizzi IP alias sono configurati, vengono eseguiti controlli anti-spoofing sul traffico, garantendo che il traffico in uscita dalle VM utilizzi gli indirizzi IP delle VM e dei pod come indirizzi di origine. I controlli anti-spoofing verificano che le VM non inviino traffico con indirizzi IP di origine arbitrari. L'utilizzo di route statiche per il networking dei container sarebbe un approccio meno sicuro rispetto all'aliasing IP perché richiederebbe la disattivazione dei controlli anti-spoofing sulle VM host dei container (i controlli anti-spoofing vengono disattivati quando l'inoltro IP è abilitato).

Gli intervalli IP alias sono instradabili all'interno della rete virtuale Google Cloud senza richiedere route aggiuntivi. Non devi aggiungere una route per ogni alias IP e non devi tenere conto delle quote di route.

Gli indirizzi IP alias possono essere annunciati da Cloud Router a una rete on-premise connessa tramite VPN o Interconnect.

L'allocazione di intervalli IP alias da un intervallo CIDR secondario offre diversi vantaggi. Se allochi da un intervallo separato da quello utilizzato per gli indirizzi IP principali, puoi separare l'infrastruttura (VM) dai servizi (container). Quando configuri spazi di indirizzi separati per l'infrastruttura e i servizi, puoi configurare i controlli firewall per gli indirizzi IP alias delle VM separatamente dai controlli firewall per gli indirizzi IP principali di una VM. Ad esempio, puoi consentire un determinato traffico per i pod container e negare un traffico simile per l'indirizzo IP primario della VM.

Architettura dei container in Google Cloud

Considera uno scenario in cui vuoi configurare servizi containerizzati su Google Cloud. Devi creare le VM che ospiteranno i servizi e, inoltre, i container.

In questo scenario, vuoi instradare il traffico da e verso i container da e verso le posizioni on-premise connesse tramite una VPN. Tuttavia, non vuoi che gli indirizzi IP della VM principale siano raggiungibili tramite la VPN. Per creare questa configurazione, l'intervallo IP del container deve essere instradabile tramite la VPN, ma non l'intervallo IP primario della VM. Al momento della creazione della VM, vuoi anche assegnare automaticamente un pool di indirizzi IP utilizzati per il container.

Per creare questa configurazione:

  • Quando crei la subnet, configuri
    • Un intervallo CIDR primario, ad esempio 10.128.0.0/16
    • Un intervallo CIDR secondario, ad esempio 172.16.0.0/16
  • Utilizza un modello di istanza per creare VM e assegnare automaticamente a ciascuna i seguenti elementi:
    • Un IP principale dell'intervallo 10.128.0.0/16
    • Un intervallo alias /24 dallo spazio CIDR secondario 172.16.0.0/16, in modo da poter assegnare a ogni container su una VM un IP dall'intervallo CIDR secondario /24
  • Crea due regole firewall.
    • Una regola che nega il traffico che attraversa la VPN da on-premise di raggiungere l'intervallo CIDR primario della subnet.
    • Una regola che consente al traffico che attraversa la VPN da on-premise di raggiungere l'intervallo CIDR secondario della subnet.

Esempio: configura i container con intervalli IP alias

Utilizzando gli intervalli IP alias, gli indirizzi IP dei container possono essere allocati da un intervallo CIDR secondario e configurati come indirizzi IP alias nella VM che ospita il container.

Configurazione dei container con indirizzi IP alias.
Configurazione dei container con indirizzi IP alias (fai clic per ingrandire).

Per creare la configurazione illustrata sopra:

  1. Crea una subnet con un intervallo CIDR 10.128.0.0/16, da cui vengono allocati gli indirizzi IP delle VM, e un intervallo CIDR secondario 172.16.0.0/20 per l'uso esclusivo dei container, che verrà configurato come intervalli IP alias nella VM che li ospita:

    gcloud compute networks subnets create subnet-a \
    --network network-a \
    --range 10.128.0.0/16 \
    --secondary-range container-range=172.16.0.0/20

  2. Crea VM con un IP primario dall'intervallo 10.128.0.0/16 e un intervallo IP alias 172.16.0.0/24 dall'intervallo CIDR secondario 172.16.0.0/20 per l'utilizzo dei container in quella VM:

    gcloud compute instances create vm1 [...] \
    --network-interface subnet=subnet-a,aliases=container-range:172.16.0.0/24
gcloud compute instances create vm2 [...] \
    --network-interface subnet=subnet-a,aliases=container-range:172.16.1.0/24

  3. Gli indirizzi IP dei container sono configurati in Google Cloud come indirizzi IP alias. In questa configurazione, sia gli IP primari che quelli alias saranno raggiungibili tramite il tunnel VPN. Se Cloud Router è configurato, annuncerà automaticamente l'intervallo di subnet secondaria 172.16.0.0/20.

Per ulteriori informazioni sui comandi utilizzati per creare questa configurazione, consulta Configurare indirizzi e intervalli IP alias.

Esempio: diversi intervalli IP alias configurati in una singola istanza VM

Gli intervalli IP alias consentono di gestire l'allocazione IP per le applicazioni in esecuzione all'interno delle VM, inclusi i container.

Potresti avere un deployment in cui alcuni container sono migrabili tra le VM e altri no. I container di cui è possibile eseguire la migrazione possono essere configurati utilizzando intervalli /32, il che ne semplifica la migrazione singola. I contenitori non migrabili possono essere configurati utilizzando un intervallo più ampio, poiché rimarranno insieme.

In questi tipi di deployment, potresti aver bisogno di più di un intervallo IP alias per istanza VM, ad esempio un /27 per i container non migrabili e diversi /32 per i container migrabili.

Configurazione di VM con più intervalli IP alias.
Configurazione di VM con più intervalli IP alias (fai clic per ingrandire).

Per configurare questo esempio, utilizza i seguenti comandi gcloud:

gcloud compute networks create vpc1 --subnet-mode custom

gcloud compute networks subnets create subnet1 --region us-central1 --network vpc1 --range 10.128.0.0/16 --secondary-range secondaryrange1=172.16.0.0/20

gcloud compute instances create vm1 --zone us-central1-a --network-interface "subnet=subnet1,aliases=secondaryrange1:172.16.0.0/27;secondaryrange1:172.16.1.0/32"

gcloud compute instances create vm2 --zone us-central1-a --network-interface "subnet=subnet1,aliases=secondaryrange1:172.16.0.32/27;secondaryrange1:172.16.1.1/32"

Indirizzi IP alias nelle reti e subnet VPC in modalità automatica

Le subnet create automaticamente nelle reti VPC in modalità automatica hanno ciascuna un intervallo CIDR primario, ma nessun intervallo secondario. Per utilizzare l'IP alias con una rete VPC in modalità automatica, puoi allocare intervalli IP alias dall'intervallo CIDR primario della subnet creata automaticamente o aggiungere un intervallo secondario alla subnet creata automaticamente e allocare intervalli IP alias dal nuovo intervallo secondario.

In alternativa, puoi creare una nuova subnet con intervalli secondari nella rete VPC in modalità automatica, a condizione che nessuno dei suoi intervalli si sovrapponga a 10.128.0.0/9. Puoi quindi creare istanze VM nella nuova subnet e allocare intervalli IP alias da qualsiasi intervallo della subnet.

Se vuoi aggiungere intervalli secondari alla subnet, consulta Aggiungere intervalli CIDR secondari a una subnet esistente.

Indirizzi IP alias in reti e subnet in modalità personalizzata

Nelle reti in modalità personalizzata:

  • Tutte le subnet vengono create manualmente
  • È obbligatorio un intervallo CIDR principale.
  • Se vuoi, puoi creare intervalli CIDR secondari.

Proprietà chiave degli intervalli IP alias

Le seguenti proprietà si applicano agli intervalli IP alias configurati nelle VM:

  • Dal punto di vista del sistema operativo della VM, l'indirizzo IP principale e il gateway predefinito vengono in genere allocati utilizzando DHCP. Gli indirizzi IP alias possono essere configurati nel sistema operativo della VM, in genere Linux o Windows, manualmente o utilizzando script.
  • L'indirizzo IP principale e l'intervallo IP alias dell'interfaccia devono essere allocati dagli intervalli CIDR configurati come parte della stessa subnet. Tieni presente i seguenti requisiti:
    • L'indirizzo IP principale deve essere allocato dall'intervallo CIDR principale.
    • L'intervallo IP alias può essere allocato dall'intervallo CIDR primario o da un intervallo CIDR secondario della stessa subnet.
    • Per un'interfaccia di rete VM, l'IP alias deve provenire dalla stessa risorsa subnet che fornisce l'indirizzo IP per l'interfaccia di rete principale. Non puoi selezionare un intervallo CIDR primario o secondario da un'altra risorsa subnet.
    • L'indirizzo IP primario può essere un indirizzo IP interno statico o temporaneo.
    • Gli intervalli IP alias sono facoltativi e non vengono aggiunti automaticamente. Un intervallo IP alias può essere configurato durante la creazione o la modifica dell'istanza.
    • Un intervallo IP alias può essere configurato come intervallo CIDR esplicito (ad esempio 10.128.1.0/24), un singolo indirizzo IP (ad esempio 10.128.7.29/32) o come maschera di rete (/24). Un intervallo IP alias può essere specificato completamente o allocato automaticamente specificando la maschera di rete.
    • Per utilizzare un singolo indirizzo IP in un intervallo IP alias, utilizza la maschera di rete /32.
    • Poiché tutte le subnet in una rete VPC condividono un unico gateway predefinito, tutti gli indirizzi IP alias all'interno di un'interfaccia condividono lo stesso gateway predefinito dell'indirizzo IP primario.
    • Non puoi utilizzare indirizzi IP riservati negli intervalli IP alias.
Gli IP alias all'interno di un'interfaccia condividono lo stesso gateway predefinito dell'indirizzo IP principale.
Gli IP alias all'interno di un'interfaccia condividono lo stesso gateway predefinito dell'indirizzo IP principale (fai clic per ingrandire).

DNS con indirizzi IP alias

Google Cloud configura automaticamente il DNS interno per l'IP principale dell'interfaccia principale di ogni istanza VM. In questo modo, il nome host dell'istanza viene associato all'indirizzo IP principale dell'interfaccia principale. Tuttavia, la ricerca DNS su questo nome host funziona solo nella rete che contiene l'interfaccia principale.

Google Cloud non associa automaticamente altri indirizzi IP al nome host. Google Cloud non associa indirizzi IP alias sull'interfaccia principale al nome host e non associa alcun indirizzo IP delle interfacce secondarie al nome host.

Puoi configurare manualmente il DNS per associare altri indirizzi IP.

Firewall

Tutto il traffico in entrata o in uscita, incluso il traffico per gli intervalli IP alias, viene valutato da una regola firewall VPC per un tag di destinazione o un account di servizio di destinazione corrispondente. Per informazioni dettagliate su destinazioni e IP alias, vedi Destinazioni e indirizzi IP.

Gli intervalli IP alias non sono inclusi quando specifichi le origini per una regola firewall in entrata utilizzando i tag di origine o i service account di origine.

Route statiche

Quando crei una route statica che utilizza un'istanza di hop successivo specificata da un indirizzo IPv4 interno, Google Cloud verifica che l'indirizzo IP della VM di hop successivo rientri in un intervallo IPv4 di subnet di una subnet nella rete VPC della route. Tuttavia, Google Cloud programma la route solo se l'indirizzo hop successivo è un indirizzo IPv4 interno principale assegnato a un'interfaccia di rete (NIC) di una VM nella rete VPC della route (non una rete VPC con peering).

Anche se puoi creare una route il cui indirizzo dell'hop successivo è un indirizzo IPv4 interno che rientra in un intervallo di IP alias, Google Cloud non programma la route,Google Cloud ma considera l'hop successivo come inattivo. I pacchetti inviati alla destinazione della route potrebbero essere eliminati, a seconda che esistano altre route per la stessa destinazione e che gli hop successivi di queste altre route siano in esecuzione.

Per ulteriori informazioni, vedi:

Peering di rete VPC

Il peering di rete VPC consente di eseguire il peering di due reti VPC in modo che le VM nelle due reti possano comunicare tramite indirizzi IP interni privati.

Sia gli intervalli IP primari che quelli secondari di una subnet sono raggiungibili dalle istanze VM in una rete in peering.

I controlli di sovrapposizione delle subnet nelle reti in peering assicurano che gli intervalli primari e secondari non si sovrappongano a nessun intervallo in peering.

Alias IP con peering di rete.
Alias IP con peering di rete (fai clic per ingrandire).

Passaggi successivi