La passerelle NCC est un type de spoke qui peut être associé au hub Network Connectivity Center (NCC). Il s'agit d'un produit régional qui assure la sécurité du trafic Cross-Cloud Network. La passerelle NCC vous permet d'activer des fonctions de sécurité telles que le service de sécurité périphérique (SSE) tiers, un composant de sécurité cloud de SASE (Secure Access Service Edge). Les spokes de passerelle NCC sont compatibles avec la connectivité directe aux rattachements de VLAN Cloud Interconnect.
La passerelle NCC offre les fonctionnalités suivantes :
- Intégration SSE simplifiée : vous pouvez intégrer SSE, comme Palo Alto Networks Prisma Access et Symantec Cloud Secure Web Gateway (bêta), de manière transparente avec un routage transparent pour améliorer la protection et les performances de l'utilisateur vers l'application. La passerelle NCC vous permet d'activer des fonctions de sécurité pour le trafic cross-cloud.
- Haute disponibilité : vous pouvez utiliser la passerelle NCC pour un SLA de disponibilité de 99,9 % afin de minimiser les perturbations.
- Déploiement régional : vous pouvez déployer la passerelle NCC dans différentes régions en fonction de la proximité physique avec les centres de données, les fournisseurs SSE tiers ou d'autres fournisseurs de services cloud où résident vos applications.
- Sécuriser les employés à distance : vous pouvez connecter de manière sécurisée les employés à distance (par exemple, ceux des succursales, des centres de données et des bureaux distants) aux applications privées dans Google Cloud, sur site ou chez d'autres fournisseurs de services cloud, ainsi qu'aux applications publiques.
Avantages
La passerelle NCC offre les avantages suivants :
Expérience d'application optimale avec une latence réduite : consommation cloud-first à bande passante élevée du service SSE avec la passerelle NCC et performances améliorées grâce au réseau backbone privé de Google.
Sécurité unifiée pour tout le trafic utilisateur : amélioration de la stratégie de sécurité grâce à une pile de sécurité unifiée unique et réduction de la surface d'attaque en limitant les points d'entrée et de sortie.
Gestion simplifiée via NCC.
Termes clés
Pour comprendre le fonctionnement de la passerelle NCC, familiarisez-vous avec la terminologie suivante :
Rattachement hybride : rattachements de VLAN que vous associez à une passerelle NCC.
Fonction de service de sécurité : services associés à la passerelle NCC. Par exemple, pour la protection des utilisateurs vers les applications, vous devez associer un service SSE à NCC Gateway.
Réseau de cloud privé virtuel (VPC) d'application ou de charge de travail : un réseau VPC de charge de travail est généralement un réseau qui utilise des machines virtuelles (VM) Compute Engine ou des conteneurs Google Kubernetes Engine (GKE) comme charges de travail. Les réseaux VPC de charge de travail peuvent être des réseaux VPC standards ou des réseaux VPC partagés avec un projet hôte et plusieurs projets de service. Les réseaux VPC de charge de travail doivent être configurés en tant que spokes dans le hub.
Groupes de spokes : permettent de regrouper des spokes dans un hub NCC. Les groupes de spokes vous permettent de séparer les spokes en différents domaines de routage. Un groupe de spokes peut contenir plusieurs spokes, mais un spoke ne peut appartenir qu'à un seul groupe. Pour en savoir plus sur les groupes de spokes pour différentes topologies, consultez Topologies de connectivité prédéfinies.
Topologie d'inspection hybride : vous permet d'ajouter des spokes de passerelle NCC à un groupe pour appliquer des règles. Pour en savoir plus sur la topologie d'inspection hybride, consultez Topologie d'inspection hybride.
Secure Access Connect : vous permet de connecter des produits SSE tiers à la passerelle NCC pour le traitement de la sécurité et la sortie Internet sécurisée. Pour en savoir plus sur Secure Access Connect, consultez Présentation de Secure Access Connect.
Produits SSE compatibles
La passerelle NCC est compatible avec les connexions aux produits SSE suivants :
Cas d'utilisation
La passerelle NCC est idéale pour les organisations qui souhaitent sécuriser l'accès des collaborateurs hybrides aux applications. La passerelle NCC assure la sécurité des équipes hybrides grâce à un écosystème de partenaires intégré qui vous permet de vous connecter aux fournisseurs SSE de votre choix. Cette approche s'applique aux nouveaux déploiements NCC (greenfield) et aux déploiements existants (brownfield).
La passerelle NCC vous permet de sécuriser l'accès aux applications privées hébergées dans Google Cloud, sur site, chez d'autres fournisseurs de services cloud, ainsi qu'aux applications publiques hébergées sur Internet et aux applications SaaS. NCC Gateway vous permet de créer des déploiements régionaux pour une proximité optimale avec les centres de données et de gérer le trafic interrégional sur le réseau backbone privé de Google Cloud.
Les cas d'utilisation des utilisateurs Google Cloud incluent la compatibilité avec les modes de connexion suivants :
- Utilisateurs de l'agence vers Internet
- Utilisateurs de succursales vers des applications privées
- Applications privées vers Internet
Les cas d'utilisation de certains partenaires compatibles incluent la connexion d'un ou de plusieurs des éléments suivants :
- Utilisateurs mobiles d'Internet
- Utilisateurs mobiles vers des applications privées
- Rediriger les utilisateurs vers des applications partenaires
- Applications privées vers applications partenaires
Flux de trafic
Cette section décrit les chemins de flux de trafic dans la passerelle NCC en fonction de chaque cas d'utilisation.
Flux de trafic dans les cas d'utilisation pour les utilisateurs Google Cloud
Utilisateurs de l'agence vers Internet
Dans le schéma suivant, le trafic circule d'un utilisateur de succursale sur site vers Internet via la passerelle NCC et la pile SSE tierce.
Utilisateurs de succursales vers des applications privées
Dans le schéma suivant, le trafic circule depuis l'utilisateur de l'agence sur site via la passerelle NCC, traverse le SSE tiers, puis revient via la passerelle NCC vers une application privée.
Applications privées vers Internet
Dans le schéma suivant, le trafic circule de Google Cloudvia la passerelle NCC, traverse le SSE tiers vers Internet, puis revient à la passerelle NCC vers la VM.
Flux de trafic dans les cas d'utilisation pour les partenaires compatibles
Utilisateurs mobiles d'Internet
Dans le schéma suivant, le trafic des utilisateurs mobiles passe par le SSE tiers pour accéder à Internet. Dans ce cas, le trafic ne passe pas par la passerelle NCC.
Utilisateurs mobiles vers des applications privées
Dans le schéma suivant, le trafic circule depuis les utilisateurs mobiles via le service SSE tiers et la passerelle NCC vers une application privée hébergée dans un réseau VPC.
Rediriger les utilisateurs vers des applications partenaires
Dans le diagramme suivant, le trafic circule de l'utilisateur de l'agence sur site via la passerelle NCC, traverse le SSE tiers, puis revient via la passerelle NCC vers l'agence sur site.
Utilisateurs mobiles vers les applications privées de la succursale
Dans le schéma suivant, le trafic circule des utilisateurs mobiles vers les applications privées de l'agence via la passerelle NCC.
Capacité de traitement
La capacité de traitement d'un spoke de passerelle NCC correspond à sa bande passante provisionnée. Vous devez provisionner suffisamment de bande passante pour tenir compte de chaque direction de flux de trafic, en gardant à l'esprit que les paquets peuvent entrer et sortir du spoke de passerelle plus d'une fois pour chaque direction de flux pour certains flux de trafic.
Prenons les exemples suivants pour calculer la capacité de traitement requise d'un spoke de passerelle.
Exemple : Utilisateurs d'une succursale vers Internet
Supposons que le réseau sur site d'une succursale soit connecté à Internet, comme indiqué dans le cas d'utilisation Utilisateurs de la succursale vers Internet. Les paquets traversent la passerelle NCC une fois dans chaque direction, et la succursale et Internet ont besoin d'une bande passante full-duplex de 1 Gbit/s : 1 Gbit/s pour le trafic du réseau sur site de la succursale vers Internet et 1 Gbit/s pour le trafic d'Internet vers le réseau de la succursale. Dans ce cas, l'utilisateur a besoin d'une capacité de traitement de 2 Gbit/s. Cet exemple suppose également que le partenaire SSE ne supprime aucun paquet. Si le partenaire SSE que vous avez choisi recommande une bande passante supérieure à celle calculée dans cet exemple, suivez sa recommandation.
Exemple : Utilisateurs d'une succursale vers des applications privées
Supposons que le réseau sur site d'une succursale soit connecté àGoogle Cloud , comme indiqué dans le cas d'utilisation Utilisateurs de succursale vers des applications privées, et que la succursale et les applications privées aient besoin d'une bande passante full-duplex de 1 Gbit/s : 1 Gbit/s pour le trafic de la succursale vers les applications et 1 Gbit/s pour le trafic des applications vers la succursale. Cet exemple suppose également que le partenaire SSE ne supprime aucun paquet. Si le partenaire SSE que vous avez choisi recommande une bande passante supérieure à celle calculée dans cet exemple, suivez la recommandation du partenaire.
Le spoke de passerelle NCC qui connecte le réseau sur site de l'agence au hub NCC nécessite deux rattachements de VLAN de 1 Gbit/s pour répondre aux exigences du contrat de niveau de service Cloud Interconnect. De cette façon, un rattachement de VLAN peut fournir 1 Gbit/s de bande passante full-duplex entre l'agence et les applications privées, même lorsqu'un rattachement de VLAN est hors connexion (par exemple, en raison de la maintenance de la connexion d'interconnexion).
La capacité de traitement requise du spoke de passerelle est de 4 Gbit/s pour les raisons suivantes :
Le trafic entre le réseau sur site de l'agence et le hub NCC nécessite une bande passante de 1 Gbit/s. Ce trafic nécessite 2 Gbit/s de bande passante de passerelle, car il est traité par la passerelle aux deux endroits suivants :
- 1 Gbit/s, car les paquets provenant des rattachements de VLAN qui se connectent à la branche entrent dans le spoke de la passerelle.
- 1 Gbit/s lorsque les paquets quittent le spoke de passerelle et entrent dans le hub
Le trafic du hub NCC vers le réseau sur site de l'agence nécessite également une bande passante de 1 Gbit/s. Ce trafic nécessite une bande passante de passerelle supplémentaire de 2 Gbit/s, car il est traité par la passerelle aux deux endroits suivants :
- 1 Gbit/s lorsque les paquets quittent le hub et entrent dans le spoke de passerelle
- 1 Gbit/s lorsque les paquets quittent le spoke de passerelle et sont envoyés aux rattachements de VLAN qui se connectent à l'agence
Nous vous recommandons d'adopter la stratégie suivante pour configurer la capacité de traitement de la passerelle et la bande passante du rattachement de VLAN :
- La capacité de traitement de la passerelle correspond à la somme de la bande passante requise, dans chaque direction, entre toutes les cartes d'interface réseau de la passerelle.
- Contrairement à la capacité de traitement de la passerelle, la bande passante du rattachement de VLAN est full-duplex. Provisionnez toujours un nombre suffisant de rattachements de VLAN pour prendre en charge la bande passante requise, même si les rattachements de VLAN qui utilisent une connexion d'interconnexion commune sont indisponibles.
Remarques
Pour utiliser la passerelle NCC, les limites suivantes s'appliquent :
- Vous ne pouvez associer des rattachements de VLAN Cloud Interconnect qu'aux spokes de passerelle NCC. Les tunnels Cloud VPN et les appareils de routeur ne sont pas compatibles.
- Les spokes de passerelle NCC de toutes les régions doivent se trouver dans le même groupe de spokes gateways. Pour un déploiement greenfield de la passerelle NCC, les hubs NCC doivent utiliser la topologie d'inspection hybride prédéfinie. Pour un déploiement brownfield, vous pouvez utiliser la topologie en étoile ou maillée existante.
- Un seul service peut être associé à une passerelle NCC à la fois.
- Un routeur Cloud Router doit être associé à une passerelle NCC dans la même région.
- Seuls les rattachements de VLAN Cloud Interconnect créés avec un routeur Cloud Router associé à une passerelle NCC sont rattachés à la passerelle.
- Vous ne pouvez avoir qu'un seul spoke de passerelle NCC par région et par hub.
- Les spokes et le hub de passerelle NCC doivent se trouver dans le même projet.
- Vous devez spécifier la capacité de traitement au moment de la création du spoke de passerelle. La capacité de traitement peut être modifiée ultérieurement, si nécessaire.
- Vous ne pouvez pas modifier les plages d'adresses IP attribuées. Certaines plages d'adresses IP sont réservées aux partenaires SSE.
- Il n'existe aucune règle d'orientation du trafic permettant de contourner un sous-ensemble de trafic de la passerelle NCC.
- Si vous configurez une route annoncée par la passerelle dans le spoke de passerelle, vous devez créer une passerelle SSE active pour propager cette route vers la table de routage du hub NCC.
- Vous pouvez afficher les routes annoncées par la passerelle dans la table de routage du réseau VPC ou dans la table de routage du hub du groupe de spokes auquel appartient le réseau VPC.
Si le même préfixe sur site est annoncé aux spokes de passerelle NCC dans plusieurs régions, vous devez définir une région comme région préférée. Annoncez le préfixe avec une valeur MED inférieure (indiquant une priorité plus élevée) à partir de la région dans laquelle vous souhaitez que le trafic entre Google Cloud, et avec une valeur MED plus élevée (indiquant une priorité inférieure) à partir des autres régions. Le trafic de retour pour un préfixe suit la région la plus privilégiée, quelle que soit la région d'entrée du trafic. L'annonce du même préfixe avec des valeurs MED égales provenant de plusieurs régions peut entraîner un routage asymétrique et l'abandon des sessions avec état.
Pour savoir comment modifier les valeurs MED, consultez Modifier les valeurs MED de toutes les routes apprises personnalisées sur une session BGP.
Les routes annoncées de passerelle sont programmées à l'aide du mode de sélection du meilleur chemin standard :
- La priorité des routes annoncées de passerelle dans la table de routage du hub reflète la priorité effective de la route Andromeda, par exemple
65536ou65537. La priorité avec laquelle la route annoncée de la passerelle est créée est prise en compte lors du calcul de la priorité effective de la route Andromeda. - Les routes statiques ont toujours une priorité comprise entre
0-65535. Elles sont donc prioritaires par rapport aux routes annoncées par la passerelle pour le même préfixe de destination. Par conséquent, si vous souhaitez diriger le trafic Internet vers la passerelle à l'aide d'une route annoncée de passerelle avec une destination0/0, vous devrez peut-être supprimer la route par défaut générée par le système. Si vous supprimez la route par défaut avec un prochain saut de passerelle Internet par défaut, vous devez créer des routes spéciales pour les API et services Google ou utiliser des points de terminaison Private Service Connect pour les API Google globales.
- La priorité des routes annoncées de passerelle dans la table de routage du hub reflète la priorité effective de la route Andromeda, par exemple
Limites basées sur la capacité
Les limites suivantes sont basées sur la capacité de liaison disponible dans une région :
- Il est possible que certains partenaires ne soient pas compatibles avec les connexions 100 Gbit/s.
- Certaines régions ne sont compatibles qu'avec les débits de 1 Gbit/s et 10 Gbit/s, mais pas de 100 Gbit/s.
Limites de MTU
Les rattachements de VLAN Cloud Interconnect associés à un spoke de passerelle NCC peuvent utiliser une MTU allant jusqu'à 1 460 octets.
Les mises à jour de la plage d'adresses IP ne sont pas acceptées
Une fois le spoke créé, vous ne pouvez plus modifier les adresses IP attribuées. Certaines plages d'adresses IP sont réservées aux partenaires SSE.
Vérifications d'état
Les vérifications d'état fournissent une indication de la dégradation du service dans une région afin que vous puissiez prendre les mesures appropriées. Le système extrait un signal d'état agrégé déclenché par un état défectueux des composants clés, y compris un sondage actif du plan de données pour surveiller l'état du chemin de données de bout en bout via les services partenaires.
L'état de la passerelle NCC est disponible en tant que métrique de surveillance avec l'étiquette "opérationnel" ou "non opérationnel".
Lorsque la passerelle NCC est considérée comme non opérationnelle, les sessions BGP sur le routeur Cloud Router vers le partenaire sont arrêtées. La passerelle NCC tente de rétablir les sessions BGP lorsqu'elle revient à un état opérationnel.
Vous pouvez configurer des alertes basées sur la métrique d'état de la passerelle NCC.
Vue "Routes effectives" pour les passerelles et les tables de routage de hub
Lorsque vous affichez une table de routage de hub, vous devez sélectionner une région. Les routes affichées dans une région de la table de routage du hub incluent des priorités qui tiennent compte des coûts interrégionaux, le cas échéant.
Les spokes de passerelle ont leurs propres tables de routage, dans lesquelles vous devez sélectionner une interface de passerelle et une direction de trafic. Pour en savoir plus, consultez Afficher les routes des spokes de passerelle.
Exemple de parcours utilisateur
Si vous êtes un nouvel utilisateur et que vous n'avez pas configuré de connectivité préexistante, consultez Configurer la passerelle NCC pour les nouveaux utilisateurs.
Facturation
Pour en savoir plus sur les tarifs de NCC Gateway, consultez Tarifs de NCC Gateway.
Étapes suivantes
- Pour savoir comment configurer une passerelle NCC, consultez Présentation de la configuration d'une passerelle NCC.
- Pour savoir comment configurer Secure Access Connect, consultez Créer un domaine.
- Pour trouver des solutions aux problèmes courants, consultez Résoudre les problèmes liés à NCC.
- Pour en savoir plus sur les commandes de l'API et de gcloud CLI, consultez API et documentation de référence.