רשתות משנה וכתובות IP ב-GDC

רשתות משנה הן חלוקות משנה לוגיות של רשת כתובות IP, שמספקות פלחים ניתנים לניהול עבור השירותים שלכם. אתם יכולים להגדיר רשתות משנה עם טווחי כתובות IP ספציפיים או להגדיר אותן להקצאה דינמית ב-Google Distributed Cloud (GDC) air-gapped.

המסמך הזה מיועד לאדמינים של רשתות בקבוצת האדמינים של הפלטפורמה ולמפתחי אפליקציות בקבוצת מפעילים של אפליקציות, שאחראים לניהול תעבורת הרשת בשירותים שלהם. מידע נוסף זמין במאמר בנושא קהלים ב-GDC עם air gap.

רשתות ב-GDC

יש שני סוגים שונים של רשתות שזמינים בארגון GDC שאפשר להקצות להם כתובות IP:

• ענן וירטואלי פרטי (VPC): רשת שמוקצות לה כתובות IP פנימיות שרק עומסי עבודה בתוך הארגון יכולים לגשת אליהן.
• פלח רשת חיצוני: רשת שמוקצות לה כתובות IP חיצוניות שאפשר לגשת אליהן מרשתות חיצוניות שמחוברות לארגון שלכם.

אתם יכולים להקצות תת-רשתות בכל סוג רשת כדי להשיג יעדים ספציפיים. תת-רשת היא חלוקה משנית לוגית של רשת כתובות IP, שמוגדרת על ידי טווחים של Classless Inter-Domain Routing‏ (CIDR). טווחים של CIDR מאפשרים לכם לייצג כתובות IP ואת הרשתות התואמות שלהן לשימוש בשירות. לכל רשת מבין סוגי הרשתות האלה יש עץ נפרד של רשתות משנה.

אפשר לגשת לרשתות משנה בתוך VPC מתוך רשת GDC, ואי אפשר לגשת אליהן מחוץ ל-GDC. אפשר להשתמש בתת-רשתות של VPC כדי להקצות כתובות IP פנימיות בארגון. תת-רשתות של פלח רשת חשופות לרשתות חיצוניות שמחוברות לארגון, ומאפשרות לכם לספק כתובות IP חיצוניות שזמינות לרשתות מחוץ לארגון.

כל רשת מארגנת את תת-הרשתות במבנה עץ היררכי כדי לספק חלוקה לוגית והקצאה של טווחי כתובות IP בחלקים שונים של הרשת, כמו אזורים, שירותים או עומסי עבודה. מידע נוסף זמין במאמר בנושא היררכיית רשתות המשנה.

רשת VPC

רשת VPC משתמשת בכתובות IP פנימיות שאפשר לגשת אליהן רק בתוך הארגון, ואי אפשר להגיע אליהן מרשתות מחוץ לארגון.

יש שתי רשתות VPC שזמינות ביקום GDC:

• VPC שמוגדר כברירת מחדל: רשת VPC שמוקצות לה כתובות IP לעומסי עבודה פנימיים, כמו קונטיינרים ומכונות וירטואליות (VM), בתוך כמה אזורים וביניהם.
• ‫Infra VPC: ‏ VPC שמנוהל על ידי המערכת ומארח שירותים של צד ראשון ב-GDC עם air gap, כמו Vertex AI, ממשקי Observability API ומסוף GDC. אתם מגדירים כתובות IP ב-VPC הזה רק כשאתם מתכננים את ארכיטקטורת כתובות ה-IP של הארגון.

כתובות IP ב-VPC שמוגדר כברירת מחדל וב-VPC של התשתית לא יכולות לחפוף זו לזו באותו ארגון. מידע נוסף מופיע בקטע מגבלות.

יוצרים רשת משנה ברשת VPC כדי להקצות כתובות IP נוספות לעומסי עבודה פנימיים.

פלח רשת חיצוני

לפלח רשת חיצוני מוקצות כתובות IP חיצוניות שאפשר לגשת אליהן מרשתות חיצוניות שמחוברות לארגון. ב-GDC, רק כתובות IP חיצוניות מוקצות לפלחים ברשת.

‫GDC מספקת את פלחי הרשת הבאים שמופרדים באופן לוגי:

• פלח רשת של אדמין: רשת שמוקצים לה כתובות IP חיצוניות לשירותי ניהול במהלך יצירת הארגון, כמו מסוף GDC וממשקי API לניהול. מגדירים כתובות IP רק בקטע הרשת הזה כשמתכננים את ארכיטקטורת כתובות ה-IP של הארגון.
• פלח רשת נתונים: רשת שמוקצות לה כתובות IP חיצוניות לשירותים כמו תרגום כתובות רשת (NAT) של תעבורה יוצאת ומאזני עומסים חיצוניים.

אתם יכולים להשתמש בחיבורי רשת נפרדים כדי לחבר פלחים ברשת לרשתות חיצוניות אחרות. כתובות ה-IP בפלחי הרשת לא יכולות לחפוף זו לזו. מידע נוסף מופיע בקטע מגבלות.

יוצרים רשת משנה בפלח רשת כדי להקצות כתובות IP חיצוניות נוספות לשירותים שצריכים להתחבר לרשתות מחוץ לארגון GDC.

היררכיה של תת-רשתות

רשתות משנה מסווגות לפי הסוג שלהן:

• בסיס: תת-רשתות ברמה העליונה שאפשר לגזור מהן תת-רשתות אחרות. רשת משנה גלובלית של שורש נוצרת בכל רשת במהלך הקצאת המשאבים של הארגון.
• ענף: רשתות משנה שנגזרות מרשת משנה של שורש או ענף אחר, ומשמשות לחלוקה נוספת של מרחב כתובות ה-IP.
• עלה: החלוקה הקטנה ביותר, שמשמשת בדרך כלל להקצאת כתובות IP לשירות או למשאב ספציפיים.

תרשים הדוגמה הזה ממחיש איך סוגי רשתות המשנה השונים מתחברים זה לזה:

• רשת משנה בסיסית (root) של 10.0.0.0/16 שמשמשת כבלוק ברמה העליונה להקצאות גדולות של כתובות IP.
• מרשת המשנה הבסיסית, נגזרות שתי רשתות משנה מסועפות עם הערכים 10.0.1.0/24 ו-10.0.2.0/24. תת-הרשתות של הענפים האלה מייצגות חלוקות משנה של מרחב הכתובות של השורש, והן מיועדות למטרות ספציפיות יותר.
• רשתות המשנה של הענפים מחולקות עוד יותר לרשתות משנה של עלים עם ערכים כמו 10.0.1.10/32, 10.0.1.11/32 ו-10.0.2.12/24. רשתות המשנה האלה הן בדרך כלל החלוקות הקטנות ביותר, ולעתים קרובות מוקצות כתובות IP יחידות לשירותים או למשאבים ספציפיים.

הערה: אפשר גם לחלק תת-רשת של סניף לתת-רשתות אחרות של סניפים.

המבנה ההיררכי של רשתות המשנה מאפשר להקצות ולנהל את הרשת בצורה יעילה באזורים, בעומסי העבודה ובשירותים שמסתמכים על כתובות ה-IP ברשת. כדי לקבל שליטה נוספת על הסתעפות רשת המשנה, צריך להגדיר את רשת המשנה כך שבלוקים של CIDR יוקצו באופן סטטי או דינמי.

רשתות משנה גלובליות ואזורי משנה

ב-GDC, אפשר להקצות רשתות משנה בשני היקפים שונים: אזורי ועולמי. רשתות משנה אזוריות וגלובליות מוגדרות ופועלות בשרתי API נפרדים, ומציעות יכולות שונות.

אחרי שהארגון שלכם מקבל הקצאת משאבים, לכל רשת יש רשת משנה בסיסית גלובלית שמארחת בשרת ה-API הגלובלי של הארגון. כדי להקצות כתובות IP מרשת המשנה הגלובלית הבסיסית, צריך ליצור משאב גלובלי Subnetבשרת ה-API הגלובלי שמקצה בלוק CIDR לאזור אחד או לכמה אזורים. בתוך רשת המשנה הגלובלית, מגדירים את השדה propagationStrategy כדי לציין איך רוצים להקצות את בלוק ה-CIDR בין האזורים. טווח כתובות ה-IP הזה מוקצה לתחום כרשת משנה בסיסית של תחום.

הערה: לתת-רשת בסיסית אזורית שהוקצתה ישירות מתת-רשת הבסיסית הגלובלית יש תווית ipam.gdc.goog/usage: zone-network-root-range במשאב Subnet שלה. התווית הזו מוחלת באופן אוטומטי על ידי מערכת GDC.

אחרי שלאזור יש רשת משנה בסיסית משלו, אפשר ליצור משאבים אזוריים Subnet בשרת ה-API לניהול של האזור כדי לחלק עוד יותר את טווח כתובות ה-IP של רשת המשנה לרשתות משנה נוספות של ענפים בתוך האזור, או לרשתות משנה של עלים שזמינות לעומסי עבודה ולשירותים ספציפיים בתוך האזור.

רשתות משנה גלובליות

צריך ליצור רשת משנה גלובלית כדי להקצות כתובות IP מרשת המשנה הבסיסית שמארחת בשרת ה-API הגלובלי לאזור אחד או לכמה אזורים ביקום GDC.

רשתות משנה גלובליות נוצרות בשרת ה-API הגלובלי באמצעות קבוצת ה-API‏ ipam.global.gdc.goog/v1, וכוללות שדות אופציונליים כמו zone ו-propagationStrategy כדי להגדיר את האינטראקציה שלהן עם אזורים ספציפיים.

תת-רשתות גלובליות מארחות בלוק CIDR כטווח של תת-רשתות מסועפות שמשמש אזורים ברחבי GDC. מידע נוסף על המקומות שבהם אפשר ליצור רשתות משנה גלובליות זמין במאמר רשתות ב-GDC.

תת-רשתות אזוריות

תת-רשת אזורית מקושרת לאזור תפעולי ספציפי, ולרוב כוללת הגדרות רשת ישירות. תת-רשתות של תחום מוגדר פועלות רק בתחום אחד, והן מיועדות בעיקר לעומסי עבודה של מכונות וירטואליות וקונטיינרים בתחום הזה. תת-רשת אזורית מקצה כתובות IP שכבר הוקצו לאזור לשימוש על ידי תת-רשת גלובלית.

כדי שתקשורת בין רשתות VPC באזורים שונים תפעל בצורה תקינה, צריך להשתמש בתת-רשתות לא חופפות בכל אזור.

תת-רשתות אזוריות נוצרות בשרת ה-API לניהול באמצעות קבוצת ה-API‏ ipam.gdc.goog/v1, וכוללות שדה אופציונלי networkSpec במפרט שלהן, כך שאפשר להגדיר רכיבי רשת ספציפיים לאזור כמו שערים ומזהי VLAN.

תוויות של רשתות משנה

יש ארבעה סוגים של תוויות של רשתות משנה:

• ‫ipam.gdc.goog/vpc: מציין את הרשת של רשת המשנה כ-VPC.
• ‫ipam.gdc.goog/network-segment: מציין את הרשת של תת-הרשת כמקטע רשת.
• ‫ipam.gdc.goog/usage: מציין את המטרה של תת-הרשת.
• ‫ipam.gdc.goog/subnet-group: מציין את קבוצת תת-הרשתות שהתת-רשת שייכת אליה. מידע נוסף זמין במאמר בנושא קבוצות של רשתות משנה.

בטבלה הבאה מפורט המיפוי בין הרשתות לבין תוויות הרשת:

רשת	תווית
Default VPC	ipam.gdc.goog/vpc: default-vpc
רשת VPC של התשתית	ipam.gdc.goog/vpc: infra-vpc
Admin Network Segment	ipam.gdc.goog/network-segment: admin
פלח של רשת נתונים	ipam.gdc.goog/network-segment: data

טווח ה-CIDR של ארבע הרשתות מוגדר בארגון שלכם כחלק מתהליך האתחול. ארבע רשתות המשנה הגלובליות התואמות נמצאות בשרת ה-API הגלובלי. רשתות המשנה הגלובליות האלה הן טווח ה-CIDR ברמת הבסיס של כל רשת בכל האזורים בארגון. לכל רשתות המשנה הגלובליות ברמת הבסיס יש תווית נוספת ipam.gdc.goog/usage: network-root-range.

לכל אזור, רשת משנה בסיסית אזורית זמינה בהתחלה בשרת ה-API הגלובלי שמקורו בהקצאת הרשאות לארגון. אתם יכולים ליצור רשתות משנה נוספות של השורש כדי להרחיב את מרחב כתובות ה-IP. כל תת-רשת שורש מארחת טווח CIDR של רשת באזור הספציפי, ומשמשת באופן לוגי כתת-רשת שורש בהיקף אזורי עם התווית ipam.gdc.goog/usage: zone-network-root-range. צריך ליצור את רשת המשנה הבסיסית הזו בהתחלה בשרת ה-API הגלובלי, והיא מועברת באופן אוטומטי לאזור שצוין. מידע נוסף על היקפי רשתות משנה זמין במאמר רשתות משנה גלובליות ואזוריות.

כשיוצרים משאב בהתאמה אישית Subnet, צריך להשתמש בתוויות שהוגדרו כדי להחיל אותו על רשת GDC המתאימה. הדיאגרמה הבאה ממחישה רשתות גלובליות ואזוריות ביקום GDC:

בתרשים הזה, יש שני ארגונים שמשתרעים על יקום רב-אזורי. כל ארגון מגדיר את רשתות ה-VPC ואת פלחי הרשת החיצוניים. בדוגמה הזו, כתובות IP מסוג anycast משמשות לניתוב תעבורה בין פלחים אזוריים של רשת חיצונית, כך שהאזור הקרוב ביותר או האזור עם הביצועים הכי טובים ישרת את בקשת הרשת. מידע נוסף על כתובות IP מסוג anycast זמין במאמר בנושא כתובות IP ב-GDC.

קבוצות של תת-רשתות

קבוצת רשתות משנה היא קבוצה של רשתות משנה עם אותה תווית של קבוצת רשתות משנה, כמו ipam.gdc.goog/subnet-group: subnetgroup1. ארגון של רשתות משנה בקבוצה מספק את היתרונות הבאים:

• קבוצת רשתות משנה מפשטת את ההגדלה של משאבי כתובות IP שנמצאים בבעלות של אותו ישות או שמשמשים לאותה מטרה. אי אפשר להגדיל את גודל רשת המשנה, אבל אפשר להגדיל את גודל קבוצת רשתות משנה על ידי צירוף רשת משנה חדשה. המשתמשים יכולים להפנות לקבוצת רשתות משנה כמשאב כתובות ה-IP שלהם ולהשתמש ביתרונות של ההתאמה שלה.
• כשיוצרים רשת משנה צאצא, המשתמשים יכולים להפנות לקבוצת רשתות משנה כרשת אב במקום לרשת משנה יחידה. אם משתמשים בקבוצת רשתות משנה בדרך הזו, המשתמשים לא צריכים למצוא בעצמם רשת משנה ראשית שיש בה מרחב כתובות IP זמין. במקום זאת, GDC מוצא באופן אוטומטי רשת משנה בקבוצת רשתות המשנה עם מספיק מקום לכתובות IP זמינות כרשת האם שלה.
• כשמקורות כתובות ה-IP למטרה או לישות יחידה מוצו, וקבוצת רשתות המשנה היא ההורה, פרטי השגיאה ברשת המשנה הצאצאית ברורים יותר ומצמצמים את העבודה המייגעת של בדיקת כל רשת משנה.

כל התכונות של קבוצת רשתות המשנה חלות גם על רשתות משנה גלובליות וגם על רשתות משנה אזוריות.

יצירה והרחבה של קבוצות רשתות משנה

אין אובייקט API לקבוצת רשתות משנה. במקום זאת, קבוצת משנה מזוהה באמצעות תווית. כדי ליצור קבוצת תת-רשתות או להוסיף תת-רשת לקבוצה, מוסיפים תווית של קבוצת תת-רשתות לתת-רשת קיימת, או יוצרים תת-רשת חדשה עם תווית של קבוצת תת-רשתות.

אם קבוצת רשת המשנה עדיין לא קיימת, נוצרת קבוצת רשת משנה חדשה. אם יש רשתות משנה אחרות עם אותה תווית של קבוצת רשתות משנה שכבר נמצאות באותו מרחב שמות, רשת המשנה החדשה תתווסף לקבוצת רשתות המשנה הקיימת.

בדוגמה הבאה מוצגת ההגדרה של רשת משנה שמצורפת לקבוצת רשתות משנה בשם default-vpc-us-east67-b-group:

apiVersion: ipam.gdc.goog/v1
kind: Subnet
metadata:
  # Several lines of code are omitted here.
  labels:
    ipam.gdc.goog/subnet-group: default-vpc-us-east67-b-group
    ipam.gdc.goog/usage: zone-network-root-range
    ipam.gdc.goog/vpc: default-vpc
  name: default-vpc-us-east67-b-root-cidr
  namespace: platform
  # Several lines of code are omitted here.
spec:
  ipv4Request:
    cidr: 10.99.0.0/16
  parentReference:
    name: default-vpc-root-cidr
    namespace: platform
    type: SingleSubnet
  type: Branch

כללים ליצירה ולשינוי של קבוצות רשתות משנה

כשיוצרים קבוצת רשתות משנה, חשוב לזכור את הכללים הבאים:

• קבוצות של רשתות משנה מוגדרות לכל היקף של מרחב שמות. תת-רשתות עם אותה תווית של קבוצת תת-רשתות אבל בשני מרחבי שמות שונים נחשבות כחלק משתי קבוצות שונות של תת-רשתות.
• רשת משנה לא יכולה להיות צאצא של רשת משנה אחרת באותה קבוצה.
• רשתות משנה באותה קבוצה צריכות להיות שייכות לאותה רשת VPC או לאותו פלח רשת.
• אפשר לצרף רשת משנה רק לקבוצת רשתות משנה אחת.

קבוצות של רשתות משנה כקבוצת הורה

כשיוצרים רשת משנה צאצא, במקום להשתמש ברשת משנה יחידה כרשת משנה הורה, אפשר להפנות לקבוצת רשתות משנה כרשת משנה הורה. כדי להפנות לקבוצת רשתות משנה כרשת האב, צריך לבצע את הפעולות הבאות:

1. הגדרת spec.parentReference.type לערך SubnetGroup באופן מפורש. אם לא מציינים ערך, ערך ברירת המחדל הוא SingleSubnet.
2. אם קבוצת רשתות המשנה של האב נמצאת במרחב שמות שונה מרשת המשנה של הבן, צריך לציין את השדה spec.parentReference.namespace כמרחב השמות של קבוצת רשתות המשנה של האב.

אחרי שיוצרים רשת משנה מתוך קבוצת רשתות משנה, GDC מקצה בלוק CIDR מקבוצת רשתות המשנה על סמך הבקשה של רשת המשנה וזמינות רשתות המשנה בקבוצת רשתות המשנה הראשית. אם נמצאה רשת משנה מתאימה של הורה, רשת המשנה של הצאצא מקבלת את בלוק ה-CIDR שלה מרשת המשנה של ההורה, וההפניה לרשת המשנה של ההורה מתעדכנת בסטטוס של רשת המשנה של הצאצא.

בדוגמה הבאה, רשת המשנה מבקשת בלוק CIDR מקבוצת רשתות המשנה default-vpc-zone1-group, ומוקצה לה בלוק CIDR של רשת האב platform/default-vpc-zone1-root-cidr בסטטוס:

apiVersion: ipam.gdc.goog/v1
kind: Subnet
metadata:
# Several lines of code are omitted here.
  labels:
    ipam.gdc.goog/vpc: default-vpc
  name: default-vpc-default-node-subnet
  namespace: platform
# Several lines of code are omitted here.
spec:
  ipv4Request:
    prefixLength: 23
  networkSpec:
    enableGateway: true
    enableVLANID: false
  parentReference:
    name: default-vpc-zone1-group
    namespace: platform
    type: SubnetGroup
  type: Branch
status:
  allocatedParent:
    name: default-vpc-zone1-root-cidr
    namespace: platform
    type: SingleSubnet
# Several lines of code are omitted here.

כללים להפניה לקבוצת רשתות משנה כרשת אב

כשמפנים לקבוצת רשתות משנה כרשת ראשית, חשוב לזכור את הכללים הבאים:

• למי שיצר את רשת המשנה צריכה להיות הרשאה להשתמש בכל רשתות המשנה בקבוצת רשתות המשנה.
• רשת המשנה של הצאצא צריכה להיות באותו VPC או באותו פלח רשת כמו קבוצת רשתות המשנה.

הגדרה של CIDR סטטי ודינמי

כשמגדירים רשתות משנה, אפשר להשתמש בהגדרה סטטית או דינמית להקצאת בלוקים של CIDR.

הגדרה סטטית של CIDR מאפשרת לציין במפורש את בלוק ה-CIDR המדויק עבור רשת המשנה. הקצאה סטטית של בלוק CIDR כשנדרש אמצעי בקרה מדויק על מרחב כתובות ה-IP. משתמשים בשדה spec.ipv4Request.cidr במשאב המותאם אישית Subnet כדי לציין את טווח כתובות ה-IP המדויק והמוגדר מראש.

הגדרה דינמית של CIDR מאפשרת גמישות רבה יותר, כי המערכת יכולה להקצות באופן אוטומטי בלוק CIDR לרשת המשנה. במקום לספק CIDR מלא, מציינים את אורך הקידומת הנדרש בשדה spec.ipv4Request.prefixLength. הקצאה דינמית של בלוק CIDR אם אתם מעדיפים שהמערכת תקצה באופן אוטומטי כתובות IP לרשתות המשנה שלכם, כדי לפשט את תכנון הרשת ולהפחית את הסיכון להתנגשויות של כתובות IP. המערכת בוחרת בלוק CIDR זמין בגודל שצוין מהרשת הראשית.

מידע נוסף מופיע במאמר בנושא SubnetRequest API.

כתובות IP ב-GDC

חשוב: GDC תומך רק בטווחים של IPv4 עבור רשתות משנה שנוצרו ב-VPC שמוגדר כברירת מחדל ובפלח רשת הנתונים. מידע נוסף מופיע בקטע מגבלות.

למשאבים כמו מכונות וירטואליות ומאזני עומסים יש כתובות IP ב-GDC. כתובות ה-IP האלה מאפשרות למשאבים של GDC לתקשר עם משאבים אחרים בארגון או עם רשתות חיצוניות שמחוברות לארגון. אלה סוגי כתובות ה-IP שזמינים ביקום GDC:

כתובת IP חיצונית

כתובות IP חיצוניות מפורסמות ברשתות חיצוניות שמחוברות לארגון. משאבים עם כתובות IP חיצוניות, כמו מאזני עומסים ו-NAT, יכולים לתקשר עם רשתות חיצוניות. ב-GDC, אפשר להשתמש בכתובות IP פרטיות או ציבוריות ככתובות חיצוניות. אפשר לספק כתובות IPv4 חיצוניות למשאבים באופנים הבאים:

• העברת כתובות IP חיצוניות משלכם (BYOIP): אתם מספקים את כתובות ה-IP החיצוניות האלה לארגון שלכם. כתובות IP חיצוניות של BYOIP יכולות להיות חופפות עם כתובות של ארגונים אחרים, כל עוד הן לא מתחברות לאותה רשת חיצונית.
• כתובות IP חיצוניות שסופקו על ידי IO: ארגונים יכולים להשתמש בכתובות IP חיצוניות שסופקו על ידי קבוצת מפעיל התשתית כשהם מתחברים לרשת חיצונית. קבוצת מפעילי התשתית היא הספקית של הקישוריות לרשת הזו.

כתובת IP פנימית

אי אפשר להגיע לכתובות IP פנימיות ישירות מחוץ ל-GDC, ואי אפשר לנתב אותן באופן ציבורי. כתובות IP פנימיות הן מקומיות לרשת VPC, לרשת VPC שמחוברת באמצעות שיתוף פעולה בין רשתות VPC, או לרשת מקומית שמחוברת לרשת VPC באמצעות Cloud VPN. משאבים עם כתובות IP פנימיות מתקשרים עם משאבים אחרים כאילו כולם נמצאים באותה רשת פרטית.

כתובת IP מסוג Anycast

כתובות IP מסוג Anycast הן סוג מיוחד של כתובות חיצוניות שתמיד מוגדרות לכל היקום של GDC. ‫GDC משתמש בכתובות IP מסוג anycast יחד עם Border Gateway Protocol‏ (BGP) כדי לנתב את תעבורת הנתונים לאזור הכי קרוב או לאזור עם הביצועים הכי טובים. כל שירות גלובלי בשכבה 4 שפועל בשני אזורים או יותר מקבל כתובת IP מסוג anycast מתת-רשת מסוג anycast, שהיא תת-רשת חיצונית. כל אזור מפרסם את אותה כתובת IP מסוג anycast, אבל הרשת שלכם בוחרת את הכתובת הכי טובה על סמך כללי הניתוב שלה. אם אזור נכשל, כתובת ה-IP שלו מבוטלת, והרשת שלכם מנתבת מחדש את התנועה לאזור אחר באופן אוטומטי. הניתוב האוטומטי הזה מספק קישוריות חלקה גם במהלך הפסקות חשמל.

כתובת IP פרטית

כתובות IP פרטיות הן כתובות שלא ניתן לנתב באינטרנט. רשימה של טווחי IPv4 פרטיים מופיעה בערכים של טווחי כתובות IP פרטיות בטבלה טווחי IPv4 תקפים.

כתובת IP ציבורית

כתובות IP ציבוריות הן כתובות שאפשר לנתב באינטרנט. ב-GDC, כתובות IP חיצוניות יכולות להיות ציבוריות או פרטיות. אפשר גם להשתמש בכתובות IPv4 ציבוריות ככתובות פנימיות כשמגדירים את טווח כתובות ה-IPv4 הראשי של רשת משנה ברשת ה-VPC. הכתובות האלה נקראות כתובות IP ציבוריות לשימוש פרטי.

בחירת כתובת IPv4

לכל רשת ביקום GDC יש קבוצה של כתובות IPv4 תקפות, אסורות ובלתי שמישות שצריך לקחת בחשבון כשמקצים כתובות IP.

אין תמיכה בטווחים של כתובות IPv6 ב-VPC שמוגדר כברירת מחדל ובפלח של רשת הנתונים. כדאי לפנות לקבוצת מפעיל התשתית כדי לקבל מידע על אפשרויות לטווח IPv6 ברשתות אחרות.

טווחים תקינים של IPv4

בטבלה הבאה מתוארים טווחים תקינים.

טווח	תיאור
טווחי כתובות IPv4 פרטיות
10.0.0.0/8 172.16.0.0/12 192.168.0.0/16	כתובות IP פרטיות RFC 1918 מידע על השימוש ב-172.17.0.0/16 זמין במאמר שיקולים נוספים.
100.64.0.0/10	מרחב כתובות משותף RFC 6598
192.0.0.0/24	הקצאות פרוטוקולים של IETF‏ RFC 6890
‫192.0.2.0/24 (TEST-NET-1) 198.51.100.0/24 (TEST-NET-2) 203.0.113.0/24 (TEST-NET-3)	מסמכי תיעוד RFC 5737
192.88.99.0/24	ממסר מ-IPv6 ל-IPv4 (הוצא משימוש) RFC 7526
198.18.0.0/15	בדיקת ביצועים בהשוואה לשוק RFC 2544
240.0.0.0/4	שמור לשימוש בעתיד (Class E) כמו שמצוין ב-RFC 5735 וב-RFC 1112. מערכות הפעלה מסוימות לא תומכות בשימוש בטווח הזה, לכן חשוב לוודא שמערכת ההפעלה שלכם תומכת בו לפני שיוצרים רשתות משנה שמשתמשות בטווח הזה.
טווחי כתובות IP ציבוריות שמשמשות באופן פרטי
כתובות IPv4 ציבוריות שמשמשות לשימוש פרטי	לכתובות IPv4 ציבוריות שמשמשות לשימוש פרטי יש את המאפיינים הבאים: כתובות IPv4 שאפשר בדרך כלל לנתב באינטרנט, אבל משמשות באופן פרטי ברשת VPC. אסור שהכתובת תשתייך לטווח משנה אסור. ב-GDC עם air gap אין חיבור לאינטרנט. כתוצאה מכך, GDC עם air gap מפרסם טווחי כתובות IP ציבוריות כאילו הם פרטיים לארגון שלכם. אם כתובות ה-IP שהעברתם משלכם (BYOIP) הן טווחים של כתובות IP ציבוריות, אתם צריכים לוודא שהן לא גורמות לבעיות ברשתות חיצוניות. כתובות ה-BYOIP לא יכולות להיות חופפות לרשתות משנה אחרות בארגון.

תת-רשתות IPv4 אסורות

טווחים אסורים של רשתות משנה כוללים טווחי RFC שמורים בדרך כלל ורשתות משנה שמורות באופן גלובלי ביקום GDC הספציפי שלכם, כפי שמתואר בטבלה הבאה. אי אפשר להשתמש בטווחים האלה עבור רשתות משנה.

חשוב: GDC שומרת כתובות IP לשימוש המערכת. בנוסף, יכול להיות שלקבוצת מפעיל התשתית יש טווחים שמורים שלא זמינים לשימוש על ידי הארגון שלכם. הטווחים האלה שונים בכל יקום של GDC, ולכן אי אפשר לתעד אותם כאן. מוודאים שקבוצת מפעיל התשתית מספקת לכם את הטווחים האלה כדי לתמוך במאמצי התכנון של כתובות ה-IP של הארגון.

טווח	תיאור
טווח התשתית של GDC	חסימת CIDR ששמורה באופן גלובלי ומשמשת את מערכת GDC. אם לא מציינים את הטווח הזה בשדה zone-infra-cidr בשאלון לקבלת לקוחות (CIQ), ‏ GDC משתמשת ב-172.16.0.0/12 כטווח ברירת המחדל של תשתית GDC.
טווחים ספציפיים ליקום	טווחים נוספים ששמורים לקבוצת מפעיל התשתית.
0.0.0.0/8	רשת נוכחית (מקומית) RFC 1122
127.0.0.0/8	מארח מקומי RFC 1122
169.254.0.0/16	קישור מקומי RFC 3927
224.0.0.0/4	Multicast (Class D) RFC 5771
255.255.255.255/32	כתובת יעד של שידור מוגבל RFC 8190 ו-RFC 919

כתובות שלא ניתן להשתמש בהן בתת-רשתות IPv4

‫GDC משתמש ב-2 כתובות ה-IPv4 הראשונות וב-2 האחרונות בכל רשת משנה כדי לארח את רשת המשנה.

כתובת IPv4 שלא ניתן להשתמש בה	תיאור	דוגמה
כתובת רשת	הכתובת הראשונה בטווח ה-IPv4 הראשי.	10.1.2.0 מטווח 10.1.2.0/24
כתובת שער ברירת המחדל	הכתובת השנייה בטווח ה-IPv4 הראשי.	10.1.2.1 מטווח 10.1.2.0/24
הכתובת הלפני האחרונה	הכתובת הלפני האחרונה בטווח ה-IPv4 הראשי. הטווח הזה שמור על ידי Google Cloud לשימוש פוטנציאלי בעתיד.	10.1.2.254 מטווח 10.1.2.0/24
כתובת שידור	הכתובת האחרונה בטווח ה-IPv4 הראשי.	10.1.2.255 מטווח 10.1.2.0/24

שיקולים נוספים

חלק ממוצרי Google ומוצרים של צד שלישי משתמשים ב-172.17.0.0/16 לניתוב בתוך מערכת ההפעלה של האורח. לדוגמה, רשת הגישור של Docker שמוגדרת כברירת מחדל משתמשת בטווח הזה. אם אתם מסתמכים על מוצר שמשתמש ב-172.17.0.0/16, אל תשתמשו בו כטווח כתובות IPv4 של רשת משנה.

מגבלות

המגבלות האלה חלות על רשתות משנה של רשתות VPC ועל רשתות משנה של פלחים חיצוניים ברשת ב-GDC:

• כל רשת משנה צריכה להיות בלוק CIDR תקין וייחודי.
• אחרי שיוצרים רשת משנה, אי אפשר להגדיל, להקטין או להחליף אותה.
• ‫GDC תומך רק בטווחים של IPv4 עבור רשתות משנה שנוצרו ב-VPC שמוגדר כברירת מחדל ובפלח רשת הנתונים. כדי לברר אילו טווחי כתובות IPv6 אפשר להקצות לרשתות אחרות ביקום GDC שלכם, פנו לקבוצת מפעיל התשתית שלכם.
• ‫GDC לא אוכף מגבלה על הגודל של בלוק CIDR שאפשר ליצור. עם זאת, ברוב טווחי כתובות ה-IP שגדולים מ-/8, יש אימותים נוספים שמונעים יצירה של רשת משנה בגודל הזה. לדוגמה, רשת משנה לא יכולה לחפוף לרשת משנה אסורה. כדי לצמצם את הסיכוי לבחור רשת משנה לא חוקית, מומלץ להגביל את הגודל המקסימלי של רשת המשנה ל-/8.

• אי אפשר ליצור רשתות משנה שחופפות לרשתות משנה אסורות, לרשתות משנה אחרות באותה רשת VPC, לרשתות משנה בקטע רשת חיצוני שמצורף או לרשתות משנה ברשת מקושרת. במקרים כאלה, צריך לעבוד עם קבוצת מפעיל התשתית כדי לוודא שלא נוצרים תתי-רשתות חופפות.

  הערה: רשתות שמתבצע ביניהן פירינג הן רשתות שמחליפות ביניהן נתיבי רשת. זה כולל רשתות חיצוניות של לקוחות, פלחים של רשתות חיצוניות של ארגונים בקבוצת חיבורים משותפת ורשתות VPC שמקושרות לרשתות שכנות. לדוגמה, רשת ה-VPC של התשתית ורשת ה-VPC שמוגדרת כברירת מחדל הן רשתות שכנות.

• ‫GDC יוצר נתיבים תואמים לתת-רשתות. לרשתות משנה של רשתות VPC יש מסלולים שנוצרו במערך הרשת הווירטואלית של הארגון, ולרשתות משנה של פלחים ברשתות חיצוניות יש מסלולים שנוצרו בטבלת הניתוב של הרשת החיצונית המקושרת.

• אם חיברתם את רשת ה-VPC לרשת אחרת באמצעות VPN מנוהל או חיבור (interconnect) משותף או ייעודי, צריך לוודא שאין התנגשות בין רשתות המשנה לבין כתובות ה-IP המקומיות.

• אסור שרשתות המשנה יהיו זהות לטווח אסור, או רחבות או צרות ממנו. לדוגמה, 169.0.0.0/8 הוא לא subnet תקין כי הוא חופף לטווח המקומי של הקישור 169.254.0.0/16 (RFC 3927), שהוא מוגבל.

• רשתות משנה לא יכולות לכלול טווח RFC, כפי שמתואר בטווחים תקפים של IPv4, וטווח כתובות IP ציבוריות שמשמשות לשימוש פרטי. לדוגמה, 172.0.0.0/10 היא לא רשת משנה תקינה כי היא כוללת גם את טווח כתובות ה-IP הפרטיות 172.16.0.0/12 וגם כתובות IP ציבוריות.

• רשתות משנה לא יכולות לכלול טווחים מרובים של RFC. לדוגמה, 192.0.0.0/8 היא לא תת-רשת תקינה כי היא כוללת גם את 192.168.0.0/16 (RFC 1918) וגם את 192.0.0.0/24 (RFC 6890). עם זאת, אפשר ליצור שתי רשתות משנה, אחת עם 192.168.0.0/16 ואחת עם 192.0.0.0/24.

המאמרים הבאים

• סקירה כללית בנושא רשתות
• הקצאת כתובות IP לעומסי עבודה
• העברת כתובות IP חיצוניות משלכם
• אזורים ב-GDC עם air gap