Una base incluye parámetros de configuración fundamentales que te ayudan a organizar, administrar y mantener Google Cloud recursos. Crea una base de producción avanzada para controlar la configuración detallada en cada fase del Google Cloud proceso de configuración, incluida la configuración detallada de seguridad y de redes.
En este documento, se describen los pasos y la información general para ayudarte a configurar una base de producción avanzada, incluidas las siguientes fases:
Establece tu organización, tus administradores y tu facturación: Configura el nodo de nivel superior de tu jerarquía, crea usuarios administradores iniciales y asigna acceso, y conecta tu forma de pago.
Crea una arquitectura inicial: Selecciona una carpeta y una estructura de proyecto iniciales, aplica la configuración de seguridad, configura el registro y la supervisión, y establece la red.
Implementa tu configuración: Las opciones iniciales de arquitectura se compilan en archivos de configuración de Terraform. Puedes realizar la implementación a través de la Google Cloud consola o descargar los archivos para iterar y personalizar usando tu propio flujo de trabajo. Después de la implementación, elige un plan de asistencia.
Establece tu organización, tus administradores y tu facturación
Crea una arquitectura inicial
En esta tarea, configurarás tu red inicial, que puedes escalar a medida que cambian tus necesidades.
Arquitectura de nube privada virtual
Una red de nube privada virtual (VPC) es una versión virtual de una red física que se implementa dentro de la red de producción de Google. Una red de VPC es un recurso global que consta de subredes regionales.
Las redes de VPC proporcionan capacidades de redes a tus Google Cloud recursos, como las instancias de máquina virtual de Compute Engine, las instancias de entorno flexible de App Engine y los contenedores de GKE.
La VPC compartida conecta recursos de varios proyectos a una red de VPC común para que puedan comunicarse entre sí a través de las direcciones IP internas de la red. En el siguiente diagrama, se muestra la arquitectura básica de una red de VPC compartida con proyectos de servicio adjuntos.
Cuando usas una VPC compartida, debes designar un proyecto host y adjuntarle uno o más proyectos de servicio. Las redes de nube privada virtual en el proyecto host se conocen como redes de VPC compartida.
En el diagrama de ejemplo, se incluyen proyectos host de producción y no producción, que contienen una red de VPC compartida. Puedes usar un proyecto host para administrar de forma centralizada lo siguiente:
- Rutas
- Firewalls
- Conexiones a VPN
- Subredes
Un proyecto de servicio es cualquier proyecto que se haya adjuntado a un proyecto host. Puedes compartir subredes, incluidos los rangos secundarios, entre los proyectos host y de servicio.
En esta arquitectura, cada red de VPC compartida contiene subredes públicas y privadas:
- Las instancias orientadas a Internet pueden usar la subred pública para la conectividad externa.
- Las instancias internas que no son direcciones IP públicas asignadas pueden usar la subred privada.
En esta tarea, crearás una configuración de red inicial basada en el diagrama de ejemplo.
Quiénes deben realizar esta tarea
Necesitas una de las siguientes opciones para realizar esta tarea:
- El rol
roles/compute.networkAdmin - La inclusión en el grupo
gcp-network-admins@YOUR_DOMAINque creaste en la tarea Usuarios y grupos
Qué debes hacer en esta tarea
Crea una configuración de red inicial, que incluye lo siguiente:
- Crear varios proyectos host para reflejar tus entornos de desarrollo
- Crear una red de VPC compartida en cada proyecto host para permitir que recursos distintos compartan la misma red
- Crear subredes distintas en cada red de VPC compartida para proporcionar acceso a la red a los proyectos de servicio
Por qué recomendamos esta tarea
Los equipos distintos pueden usar la VPC compartida para conectarse a una red de VPC común administrada de forma central.
Antes de comenzar
Realice las siguientes tareas:
- Crea un usuario administrador avanzado y tu organización en la tarea Organización.
- Agrega usuarios y crea grupos en la tarea Usuarios y grupos.
- Asigna roles de IAM a los grupos en la tarea Acceso de administrador.
- Crea o vincula una cuenta de facturación en la tarea Facturación.
- Configura tu jerarquía y asigna el acceso en la tarea Jerarquía y acceso.
Configura la arquitectura de tu red
Crea la configuración inicial de la red con dos proyectos host para segmentar las cargas de trabajo de producción y no producción. Cada proyecto host contiene una red de VPC compartida, que pueden usar varios proyectos de servicio. Debes configurar los detalles de la red y, luego, implementar un archivo de configuración en una tarea posterior.
Para configurar tu red inicial, haz lo siguiente:
Accede a la consola de Google Cloud como un usuario del grupo
gcp-organization-admins@YOUR_DOMAINque creaste en la tarea Usuarios y grupos.Selecciona tu organización en la lista desplegable Seleccionar una organización en la parte superior de la página.
Ve a Google Cloud Configuración: Redes.
Revisa la arquitectura de red predeterminada.
Para editar el nombre de la red, haz lo siguiente:
- Haz clic en Acciones.
- Selecciona Editar nombre de red.
- En el campo Nombre de la red, ingresa letras minúsculas, números o guiones. El nombre de la red no puede superar los 25 caracteres.
- Haz clic en Guardar.
Modifica los detalles del firewall
Las reglas predeterminadas de firewall del proyecto host se basan en las prácticas recomendadas. Puedes inhabilitar una o más de las reglas de firewall predeterminadas. Para obtener información general sobre las reglas de firewall, consulta Reglas de firewall de VPC.
Para modificar la configuración del firewall, haz lo siguiente:
Haz clic en Acciones.
Selecciona Editar reglas de firewall.
Para obtener información detallada sobre cada regla de firewall predeterminada, consulta Reglas prepropagadas en la red predeterminada.
Para inhabilitar una regla de firewall, desmarca la casilla de verificación correspondiente.
Para inhabilitar el registro de reglas de firewall, haz clic en Desactivar.
De forma predeterminada, el tráfico desde y hacia las instancias de Compute Engine se registra para auditoría. Este proceso genera costos. Para obtener más información, consulta la Descripción general del registro de las reglas de firewall de VPC.
Haz clic en Guardar.
Modifica los detalles de la subred
Cada red de VPC contiene al menos una subred, que es un recurso regional con un rango de direcciones IP asociado. En esta configuración multirregional, debes tener al menos dos subredes con rangos de IP que no se superpongan.
Para obtener más información, consulta Subredes.
Cada subred se configura con las prácticas recomendadas. Si deseas personalizar cada subred, haz lo siguiente:
- Haz clic en Acciones.
- Selecciona Editar subredes.
- En el campo Nombre, ingresa letras minúsculas, números o guiones. El nombre de la subred no puede superar los 25 caracteres.
En el menú desplegable Región, selecciona una región que esté cerca de tu punto de servicio.
Recomendamos una región diferente para cada subred. No puedes cambiar la región después de implementar tu configuración. Si deseas obtener información para elegir una región, consulta Recursos regionales.
En el campo Rango de direcciones IP, ingresa un rango en notación CIDR, por ejemplo, 10.0.0.0/24.
El rango que ingresas no debe superponerse con otras subredes de esta red. Para obtener información sobre los rangos válidos, consulta Rangos de subredes IPv4.
Repite estos pasos para la subred 2.
Para configurar subredes adicionales en esta red, haz clic en Agregar subred y repite estos pasos.
Haz clic en Guardar.
Tus subredes se configuran automáticamente según las prácticas recomendadas. Si deseas modificar la configuración, en la página Google Cloud Configuración: Redes de VPC, haz lo siguiente:
Para desactivar los registros de flujo de VPC, en la columna Registros de flujo, selecciona Desactivados.
Cuando los registros de flujo están activados, cada subred registra los flujos de red que puedes analizar para seguridad, optimización de gastos y otros fines. Para obtener más información, consulta Usa los registros de flujo de VPC.
Los registros de flujo de VPC generan costos. Para obtener más información, consulta Precios de la nube privada virtual.
Para desactivar el Acceso privado a Google, selecciona Desactivado en la columna Acceso privado.
Cuando el Acceso privado a Google está activado, las instancias de VM que no tienen direcciones IP externas pueden acceder a los servicios y las APIs de Google. Para obtener más información, consulta Acceso privado a Google.
Para activar Cloud NAT, en la columna Cloud NAT, selecciona Activado.
Cuando Cloud NAT está activado, ciertos recursos pueden crear conexiones salientes a Internet. Para obtener más información, consulta Descripción general de Cloud NAT.
Cloud NAT genera costos. Para obtener más información, consulta Precios de la nube privada virtual.
Haz clic en Continuar con la vinculación de proyectos de servicio.
Vincula proyectos de servicio a tus proyectos host
Un proyecto de servicio es cualquier proyecto que se haya adjuntado a un proyecto host. Este adjunto permite que el proyecto de servicio participe en la VPC compartida. Diferentes departamentos o equipos pueden operar y administrar cada proyecto de servicio para crear una separación de responsabilidades.
Para obtener más información sobre cómo conectar varios proyectos a una red de VPC común, consulta Descripción general de la VPC compartida.
Para vincular proyectos de servicio a tus proyectos host y completar la configuración, haz lo siguiente:
En cada subred de la tabla Redes de VPC compartidas, selecciona un proyecto de servicio para conectarte. Para hacerlo, selecciona una opción en el menú desplegable Seleccionar un proyecto en la columna Proyecto de servicio.
Puedes conectar un proyecto de servicio a varias subredes.
Haz clic en Continuar con la revisión.
Revisa tu configuración y realiza los cambios.
Puedes realizar modificaciones hasta que implementes el archivo de configuración.
Haz clic en Confirmar configuración de borrador. La configuración de red se agrega a tu archivo de configuración.
No se implementará la red hasta que implementes el archivo de configuración en una tarea posterior.
¿Qué sigue?
Configura la conectividad híbrida, que te ayuda a conectar servidores locales o cualquier otro proveedor de servicios en la nube a Google Cloud.
En esta tarea, establecerás conexiones entre tus redes de intercambio de tráfico (locales o en otra nube) y tus redes de Google Cloud , como se muestra en el siguiente diagrama.
Este proceso crea una VPN con alta disponibilidad, que es una solución de alta disponibilidad (HA) que puedes crear con rapidez para transmitir datos a través de la Internet pública.
Después de implementar tu configuración de Google Cloud , te recomendamos crear una conexión más sólida con Cloud Interconnect.
Para obtener más información sobre las conexiones entre redes de intercambio de tráfico y Google Cloud, consulta los siguientes recursos:
Quiénes deben realizar esta tarea
Debes tener el rol Administrador de la organización (roles/resourcemanager.organizationAdmin).
Qué debes hacer en esta tarea
Crea conexiones de baja latencia y alta disponibilidad entre tus redes de VPC y tus redes locales o de otras nubes. Debes configurar los siguientes componentes:
- Google Cloud Puerta de enlace de VPN con alta disponibilidad: Es un recurso regional que tiene dos interfaces, cada una con su propia dirección IP. Debes especificar el tipo de pila de IP, que determina si el tráfico IPv6 es compatible con tu conexión. Para obtener información general, consulta VPN con alta disponibilidad.
- Puerta de enlace de VPN de intercambio de tráfico: Es la puerta de enlace en tu red de intercambio de tráfico a la que se conecta la puerta de enlace de VPN con alta disponibilidad de Google Cloud. Ingresa las direcciones IP externas que usa tu puerta de enlace de intercambio de tráfico para conectarse a Google Cloud. Para obtener información general, consulta Configura la puerta de enlace de VPN de intercambio de tráfico.
- Cloud Router: Usa el protocolo de puerta de enlace de frontera (BGP) para intercambiar rutas de forma dinámica entre tus redes de VPC y de intercambio de tráfico. Debes asignar un número de sistema autónomo (ASN) como identificador para tu Cloud Router y especificar el ASN que usa tu router de intercambio de tráfico. Si quieres obtener información general, consulta Crea un Cloud Router para conectar una red de VPC a una red de intercambio de tráfico.
- Túneles VPN: Conectan la puerta de enlace de Google Cloud a la puerta de enlace de intercambio de tráfico. Debes especificar el protocolo de intercambio de claves de Internet (IKE) que se usará para establecer el túnel. Puedes ingresar tu propia clave IKE generada previamente o generar y copiar una nueva. Para obtener información general, consulta Configura IKE.
Por qué recomendamos esta tarea
Una VPN con alta disponibilidad proporciona una conexión segura y con alta disponibilidad entre tu infraestructura existente y Google Cloud.
Antes de comenzar
Realice las siguientes tareas:
- Crea un usuario administrador avanzado y tu organización en la tarea Organización.
- Agrega usuarios y crea grupos en la tarea Usuarios y grupos.
- Asigna roles de IAM a los grupos en la tarea Acceso de administrador.
- Crea o vincula una cuenta de facturación en la tarea Facturación.
- Configura tu jerarquía y asigna el acceso en la tarea Jerarquía y acceso.
- Configura tu red en la tarea Redes de VPC.
Recopila la siguiente información de tu administrador de red de intercambio de tráfico:
- Nombre de la puerta de enlace de la VPN de intercambio de tráfico: Es la puerta de enlace a la que se conecta tu Cloud VPN.
- Dirección IP de la interfaz de intercambio de tráfico 0: Es una dirección IP externa en la puerta de enlace de la red de intercambio de tráfico.
- Dirección IP de la interfaz de intercambio de tráfico 1: Es una segunda dirección externa. También, puedes volver a usar la dirección IP 0 si tu red de intercambio de tráfico solo tiene una dirección IP externa.
- Número de sistema autónomo (ASN) de intercambio de tráfico: Es un identificador único asignado a tu router de red de intercambio de tráfico.
- ASN de Cloud Router: Es un identificador único que asignarás a tu Cloud Router.
- Claves de intercambio de claves de Internet (IKE): Son las claves que usas para establecer dos túneles VPN con tu puerta de enlace de VPN de intercambio de tráfico. Si no tienes claves existentes, puedes generarlas durante esta configuración y, luego, aplicarlas a tu puerta de enlace de intercambio de tráfico.
Configura tus conexiones
Haz lo siguiente para conectar las redes de VPC a las redes de intercambio de tráfico:
Accede como un usuario con el rol de Administrador de la organización.
Elige tu organización de la lista desplegable Elegir desde en la parte superior de la página.
Ve a Google Cloud Configuración: Conectividad híbrida.
Para revisar los detalles de la tarea, haz lo siguiente:
Revisa la descripción general de la tarea y haz clic en Iniciar conectividad híbrida.
Haz clic en cada pestaña para obtener información sobre la conectividad híbrida y haz clic en Continuar.
Consulta qué sucede en cada paso de la tarea y haz clic en Continuar.
Revisa la información de configuración de la puerta de enlace de intercambio de tráfico que debes recopilar y haz clic en Continuar.
En el área Conexiones híbridas, identifica las redes de VPC que quieres conectar, según las necesidades de tu empresa.
En la fila de la primera red que elegiste, haz clic en Configurar.
En el área Descripción general de la configuración, lee la descripción y haz clic en Siguiente.
En el área Google Cloud Puerta de enlace de VPN con alta disponibilidad, haz lo siguiente:
En el campo Nombre de la puerta de enlace de Cloud VPN, ingresa hasta 60 caracteres con letras minúsculas, números y guiones.
En el área Tipo de pila de IP interna del túnel VPN, selecciona uno de los siguientes tipos de pila:
- IPv4 e IPv6 (recomendado): Puede admitir tráfico IPv4 e IPv6. Recomendamos este parámetro de configuración si planeas permitir el tráfico IPv6 en tu túnel.
- IPv4: Solo puede admitir tráfico IPv4.
El tipo de pila determina el tipo de tráfico permitido en el túnel entre tu red de VPC y tu red de intercambio de tráfico. No puedes modificar el tipo de pila después de crear la puerta de enlace. Para obtener información general, consulta los siguientes recursos:
Haz clic en Siguiente.
En el área Puerta de enlace de VPN de intercambio de tráfico, haz lo siguiente:
En el campo Nombre de la puerta de enlace de VPN de intercambio de tráfico, ingresa el nombre que proporcionó tu administrador de red de intercambio de tráfico. Puedes ingresar hasta 60 caracteres con letras minúsculas, números y guiones.
En el campo Dirección IP de la interfaz de intercambio de tráfico 0, ingresa la dirección IP externa de la interfaz de puerta de enlace de intercambio de tráfico que proporcionó tu administrador de red de intercambio de tráfico.
En el campo Dirección IP de la interfaz de intercambio de tráfico 1, realiza una de las siguientes acciones:
- Si la puerta de enlace de intercambio de tráfico tiene una segunda interfaz, ingresa su dirección IP.
- Si la puerta de enlace de intercambio de tráfico solo tiene una interfaz, ingresa la misma dirección que ingresaste en la Dirección IP de la interfaz de intercambio de tráfico 0.
Para obtener información general, consulta Configura la puerta de enlace de VPN de intercambio de tráfico.
Haz clic en Siguiente.
En el área Cloud Router, haz lo siguiente:
En el campo ASN de Cloud Router, ingresa el número de sistema autónomo que quieres asignarle a tu Cloud Router, como lo proporciona tu administrador de red de intercambio de tráfico. Para obtener información general, consulta Crea un Cloud Router.
En el campo ASN del router de intercambio de tráfico, ingresa el Número de sistema autónomo del router de la red de intercambio de tráfico, que proporcionó el administrador de la red de intercambio de tráfico.
En el área Túnel VPN 0, haz lo siguiente:
En el campo Nombre del túnel 0, ingresa hasta 60 caracteres con letras minúsculas, números y guiones.
En el área Versión de IKE, selecciona una de las siguientes opciones:
- IKEv2 (recomendado): Admite el tráfico IPv6.
- IKEv1: Usa este parámetro de configuración si no planeas permitir el tráfico IPv6 en el túnel.
Para obtener información general, consulta Configura túneles VPN.
En el campo clave precompartida IKE, ingresa la clave que usas en la configuración de la puerta de enlace de intercambio de tráfico, como lo proporciona el administrador de la red de intercambio de tráfico. Si no tienes una clave existente, puedes hacer clic en Generar y copiar y, luego, darle la clave al administrador de tu red de intercambio de tráfico.
En el área Túnel VPN 1, repite el paso anterior para aplicar la configuración del segundo túnel. Configura este túnel para obtener redundancia y capacidad de procesamiento adicional.
Haz clic en Guardar.
Repite estos pasos para cualquier otra red de VPC que desees conectar a tu red de intercambio de tráfico.
Después de la implementación
Después de implementar tu Google Cloud configuración de Setup, completa los siguientes pasos para asegurarte de que la conexión de red esté completa:
Trabaja con el administrador de red de intercambio de tráfico para alinear la red de intercambio de tráfico con la configuración de conectividad híbrida. Después de la implementación, se proporcionan instrucciones específicas para tu red de intercambio de tráfico, incluidas las siguientes:
- Configuración de túnel
- Configuración de firewall
- Configuración del IKE
Valida las conexiones de red que creaste. Por ejemplo, puedes usar Network Intelligence Center para verificar la conectividad entre redes. Para obtener más información, consulta la descripción general de las pruebas de conectividad.
Si las necesidades de tu empresa requieren una conexión más sólida, usa Cloud Interconnect. Para obtener más información, consulta Elige un producto de Conectividad de red.
¿Qué sigue?
Implementa la configuración, lo que incluye la configuración de la jerarquía y el acceso, el registro, la red y la conectividad híbrida.