VM 的網路總覽

本文概略說明虛擬機器 (VM) 執行個體的網路功能。本課程提供基本概念，協助您瞭解虛擬機器 (VM) 執行個體如何與虛擬私有雲 (VPC) 網路互動。如要進一步瞭解虛擬私有雲網路和相關功能，請參閱「虛擬私有雲網路總覽」。

網路和子網路

每個 VM 都是虛擬私有雲網路的一部分。虛擬私有雲網路可讓 VM 執行個體連線至其他 Google Cloud 產品和網際網路。虛擬私有雲網路可以是自動模式或自訂模式。

  • 自動模式虛擬私有雲網路在每個區域都有一個子網路。所有子網路都包含在這個 IP 位址範圍內：10.128.0.0/9。自動模式虛擬私有雲網路僅支援 IPv4 子網路範圍。
  • 自訂模式網路沒有指定的子網路設定，您可以自行決定要在所選區域中，使用指定的 IP 範圍建立哪些子網路。自訂模式網路也支援 IPv6 子網路範圍。

除非選擇停用，否則每個專案都有 default 網路，也就是自動模式的虛擬私有雲網路。您可以建立組織政策，停用預設網路建立功能。

虛擬私有雲網路中的每個子網路都與一個區域相關聯，並包含一或多個 IP 位址範圍。每個區域可以建立多個子網路。VM 的每個網路介面都必須連線至子網路。

建立 VM 時，您可以指定虛擬私有雲網路和子網路。如果省略這項設定，系統會使用 default 網路和子網路。Google Cloud 會從所選子網路的主要 IPv4 位址範圍，為新 VM 指派內部 IPv4 位址。如果子網路也有 IPv6 位址範圍 (稱為雙重堆疊)，或是您建立了僅限 IPv6 的子網路，則可以將 IPv6 位址指派給 VM。

如要進一步瞭解虛擬私有雲網路，請參閱「虛擬私有雲網路總覽」。如需 VM 使用虛擬私有雲網路，且在兩個區域中具有三個子網路的圖解範例，請參閱「虛擬私有雲網路範例」。

網路介面控制器 (NIC)

虛擬私有雲網路中的每個運算執行個體都有預設的虛擬網路介面 (vNIC)。設定 vNIC 時，請選取虛擬私有雲網路，以及該虛擬私有雲網路中的子網路，以便將介面連線至該子網路。您可以為執行個體建立額外的網路介面。

多個網路介面可讓您建立設定，將執行個體直接連結至多個虛擬私有雲網路。當執行個體中執行的應用程式需要流量分離時，多個網路介面就很有用，例如將資料層流量與管理層流量分離。如要進一步瞭解如何使用多個網路介面，請參閱「多個網路介面」。

Bare Metal 執行個體不支援多個 vNIC。此外，您只能在建立執行個體時，將 vNIC 新增至執行個體。透過動態網路介面，您可以為每個公開的 vNIC 建立以 VLAN 為基礎的網路子介面，藉此擴充網路介面和虛擬私有雲網路連線的數量。您可以新增或移除動態網路介面，不必重新啟動或重新建立運算執行個體。如要進一步瞭解 Dynamic NIC，請參閱「建立具備多個網路介面的 VM」。

設定運算執行個體的 vNIC 時，可以指定要搭配介面使用的網路驅動程式類型。

  • 第一代和第二代機器系列的預設值為 VirtIO。
  • 第三代和更新的機器系列預設會使用 gVNIC，且不支援 VirtIO 網路介面。
  • Bare Metal 執行個體使用 IDPF。
  • 如果使用支援的機器系列 (例如 H4D 和 Z4M)，運算執行個體可以選擇使用 Cloud RDMA (IRDMA)。遠端資料記憶體存取 (RDMA) 網路驅動程式可為 Compute Engine 執行個體提供低延遲、可靠的訊息傳遞功能。Cloud RDMA 透過網路介面在遠端機器和本機記憶體之間傳輸資料，不使用主機 CPU 或中繼主機緩衝區。

此外，您也可以選擇搭配使用各 VM 的 Tier_1 網路效能，以及使用 gVNIC 或 IPDF 的運算執行個體。Tier_1 網路可提高輸入和輸出資料移轉的網路處理量上限。

網路頻寬

Google Cloud 會計算每個 VM 執行個體的頻寬，而非每個網路介面 (NIC) 或 IP 位址。頻寬是根據兩個維度來測量：流量方向 (輸入和輸出) 和目的地 IP 位址類型。可達到的最高輸出速率取決於用於建立執行個體的機型，但只有在特定情況下才能達到最高輸出速率。詳情請參閱「網路頻寬」。

如要支援更高的網路頻寬 (例如第三代及後續機器系列的 200 Gbps)，則必須使用 Google 虛擬 NIC (gVNIC)。

  • 標準輸出頻寬上限介於 1 Gbps 至 100 Gbps。
  • 各個 VM 的 Tier_1 網路效能可將輸出頻寬上限提高至 200 Gbps，實際上限取決於運算執行個體的大小和機型。

部分機器系列有不同的限制，詳情請參閱頻寬摘要表。

如果執行個體同時使用 gVNIC 和 IRDMA 網路介面，則執行個體的網路頻寬限制會由這兩種網路通訊方法共用。Cloud RDMA 流量的優先順序高於 gVNIC 流量。

IP 位址

系統會從與網路介面相關聯的子網路，為每個 VM 指派 IP 位址。以下列出設定 IP 位址時的相關規定。

  • 如果是僅限 IPv4 的子網路，IP 位址為內部 IPv4 位址。您可以選擇為 VM 設定外部 IPv4 位址。
  • 如果網路介面連線至具有 IPv6 範圍的雙協定子網路，則必須使用自訂模式虛擬私有雲網路。VM 具有下列 IP 位址：
    • 內部 IPv4 位址。您也可以為 VM 設定外部 IPv4 位址。
    • 內部或外部 IPv6 位址，視子網路的存取權類型而定。
  • 如為僅限 IPv6 的子網路，則必須使用自訂模式虛擬私有雲網路。視子網路的存取權類型而定，VM 會具備內部或外部 IPv6 位址。
  • 如要建立同時具有內部和外部 IPv6 位址的僅限 IPv6 執行個體，您必須在建立 VM 時指定兩個網路介面。您無法在現有執行個體中新增網路介面。

外部和內部 IP 位址都可以是臨時或靜態。

內部 IP 位址僅限用於下列其中一項：

  • 虛擬私有雲網路
  • 使用虛擬私有雲網路對等互連連線的虛擬私有雲網路
  • 使用 Cloud VPN、Cloud Interconnect 或路由器設備，連線至虛擬私有雲網路的地端部署網路

執行個體可以使用 VM 的內部 IPv4 位址，與相同虛擬私有雲網路或連線網路中的執行個體通訊，如上述清單所列。如果 VM 網路介面連線至雙協定子網路或僅限 IPv6 的子網路，您可以使用 VM 的內部或外部 IPv6 位址，與同一網路上的其他執行個體通訊。最佳做法是使用內部 IPv6 位址進行內部通訊。如要進一步瞭解 IP 位址，請參閱 Compute Engine 的「IP 位址」總覽。

如要與網際網路或外部系統通訊，請使用 VM 執行個體上設定的外部 IPv4 或外部 IPv6 位址。外部 IP 位址是可公開轉送的 IP 位址。如果執行個體沒有外部 IP 位址，則可使用 Cloud NAT 處理 IPv4 流量。

如果單一 VM 執行個體上有多項服務在運作，您可以使用別名 IP 範圍，為每項服務指派不同的內部 IPv4 位址。虛擬私有雲網路會將目的地為特定服務的封包轉送至對應的 VM。詳情請參閱「別名 IP 範圍」。

網路服務級別

網路服務級別可將網際網路上系統與 Compute Engine 執行個體之間的連線能力最佳化。進階級透過 Google 的進階骨幹網路傳輸流量，標準級則使用一般 ISP 網路。進階級可用來達到最佳效能，標準級則可盡可能降低成本。

由於您是在資源層級選擇網路級別 (例如 VM 的外部 IP 位址)，因此可以某些資源使用標準級，其他資源使用進階級。如未指定，系統會使用進階級。

在虛擬私有雲網路內透過內部 IP 位址通訊的運算執行個體，一律使用進階級網路基礎架構。

使用進階級或標準級時，傳入資料移轉免付費。傳出資料移轉的計價方式是以所傳送的流量計價，以 GiB 為計費單位，且各個網路服務級別的定價不同。如要瞭解定價，請參閱「網路服務級別定價」。

網路服務級別與各 VM 的 Tier_1 網路效能不同，後者是可與運算執行個體搭配使用的設定選項。使用 Tier_1 網路會產生額外費用，詳情請參閱「Tier_1 較高頻寬網路定價」。如要進一步瞭解 Tier_1 網路，請參閱「設定各 VM 的 Tier_1 網路效能」。

進階級

進階級使用 Google 低延遲、極度可靠的全球網路，將流量從外部系統傳輸至 Google Cloud資源。這個網路能夠承受多重故障與中斷，同時繼續傳送流量。進階級非常適合使用者分散在全球多個地區的客戶，因為他們需要頂尖的網路效能與可靠性。

進階級網路是由範圍廣泛的私人光纖網路構成，在全球擁有超過 100 個連接點。在 Google 的網路內，流量會從該連接點轉送至虛擬私有雲網路中的運算執行個體。傳出流量會透過 Google 網路傳送，從最靠近目的地的連接點傳出。這種轉送方法能減少使用者和最靠近的連接點之間的躍點數量，盡可能緩解壅塞並提高效能。

標準級

標準級網路透過網際網路轉送流量，從外部系統傳輸至Google Cloud 資源。離開 Google 網路的封包是透過公開網際網路傳送，因此受限於轉送服務供應商和 ISP 的可靠性。標準級提供的網路品質及可靠性，與其他雲端服務供應商不相上下。

標準級的價格低於進階級，因為在傳送至虛擬私有雲網路中的運算執行個體前，來自網際網路系統的流量是經由轉送 (ISP) 網路轉送。不論目的地為何，標準級傳出流量時通常都從傳送的運算執行個體所用的相同區域離開 Google 網路。

標準級方案在您使用的每個區域中，所有專案每月可享有 200 GB 的免費用量，以資源為單位計算。

內部網域名稱系統 (DNS) 名稱

建立虛擬機器 (VM) 執行個體時， Google Cloud會根據 VM 名稱建立內部 DNS 名稱。除非您指定自訂主機名稱，否則Google Cloud 會使用自動建立的內部 DNS 名稱，做為提供給 VM 的主機名稱。

如要在相同虛擬私有雲網路中的 VM 之間通訊，您可以指定目標執行個體的完整 DNS 名稱 (FQDN)，而不使用其內部 IP 位址。 Google Cloud 會自動將 FQDN 解析為執行個體的內部 IP 位址。

如要進一步瞭解完整網域名稱 (FQDN)，請參閱「區域性和全域內部 DNS 名稱」。

Routes

Google Cloud 路由定義網路流量從虛擬機器 (VM) 執行個體到其他目的地的路徑。這些目的地可以位於虛擬私有雲網路內部 (例如其他 VM)，也可以位於外部。虛擬私有雲網路的轉送表是在虛擬私有雲網路層級定義。每個 VM 執行個體都有一個控制器，可隨時掌握網路路由表中所有適用的路由。系統會根據轉送順序，將離開 VM 的每個封包傳送至適用路徑的適當下一個躍點。

子網路路由定義了虛擬私有雲網路中，通往 VM 和內部負載平衡器等資源的路徑。每個子網路至少有一個子網路路由，其目的地與子網路的主要 IP 範圍相符。子網路路由一律具有最明確的目的地。即使其他路徑的優先順序較高，也無法覆寫這些路徑。這是因為 Google Cloud在選取路徑時，會先考量目的地明確性，再考量優先順序。如要進一步瞭解子網路 IP 範圍，請參閱子網路總覽。

轉送規則

路徑會控管從執行個體傳出的流量，而轉送規則會根據 IP 位址、通訊協定和通訊埠，將流量導向虛擬私有雲網路中的 Google Cloud 資源。部分轉送規則會將 Google Cloud 外部的流量導向網路中的目的地，其他規則則會導向網路內部的流量。

您可以為執行個體設定轉送規則，透過 IP、Cloud VPN、私人虛擬 IP (VIP) 和負載平衡實作虛擬主機。如要進一步瞭解轉送規則，請參閱「使用通訊協定轉送」。

防火牆規則

虛擬私有雲防火牆規則可讓您依據指定設定，允許或拒絕與 VM 之間的連線。 Google Cloud 一律會強制執行已啟用的虛擬私有雲防火牆規則，保護採用各種設定和作業系統的 VM，即便 VM 未啟動亦然。

根據預設，每個虛擬私有雲網路都有傳入 (ingress) 和傳出 (egress) 防火牆規則，會封鎖所有傳入連線，並允許所有傳出連線。default 網路有其他防火牆規則，包括 default-allow-internal 規則，允許網路中的執行個體進行通訊。如果未使用 default 網路，您必須明確建立優先順序較高的輸入防火牆規則，允許執行個體彼此通訊。

每個虛擬私有雲網路都會以分散式防火牆的形式運作。防火牆規則是在虛擬私有雲層級定義，可套用至網路中的所有執行個體，您也可以使用目標標記或目標服務帳戶，將規則套用至特定執行個體。您可以想像成該防火牆不僅存在於執行個體與其他網路之間，也存在於相同虛擬私有雲網路的個別執行個體之間。

階層式防火牆政策可讓您在整個組織中建立及強制執行一致的防火牆政策。您可以將階層式防火牆政策指派給整個組織或個別資料夾。這類政策的規則可明確拒絕或允許連線，與虛擬私有雲防火牆規則相同。此外，階層式防火牆政策規則可使用 goto_next 動作，將評估作業委派給下層政策或虛擬私有雲防火牆規則。較低層級的規則無法覆寫資源階層中較高層級的規則。這項功能可讓全機構管理員集中管理重要防火牆規則。

加速器最佳化機器和網路設定

如果您使用加速器最佳化機型 (GPU 或 TPU)，請參閱下列頁面：

代管執行個體群組和網路設定

如果您使用代管執行個體群組 (MIG)，您在執行個體範本上指定的網路設定會套用至使用該範本建立的所有 VM。如果您在自動模式虛擬私有雲網路中建立執行個體範本， Google Cloud 會自動選取代管執行個體群組所在區域的子網路。

詳情請參閱「網路和子網路」和「建立執行個體範本」。

後續步驟