NCC Gateway adalah jenis spoke yang dapat ditambahkan ke hub Network Connectivity Center (NCC). Produk ini adalah produk regional yang memungkinkan keamanan untuk traffic Jaringan Cross-Cloud. Gateway NCC memungkinkan Anda mengaktifkan fungsi keamanan seperti Security Service Edge (SSE) pihak ketiga, komponen keamanan berbasis cloud dari secure access service edge (SASE). Spoke Gateway NCC mendukung konektivitas langsung ke lampiran VLAN Cloud Interconnect.
NCC Gateway menawarkan fitur berikut:
- Integrasi SSE yang efisien: Anda dapat mengintegrasikan SSE, seperti Palo Alto Networks Prisma Access dan Symantec Cloud Secure Web Gateway (Pratinjau) dengan lancar menggunakan pengalihan transparan untuk meningkatkan perlindungan dan performa pengguna ke aplikasi. NCC Gateway memungkinkan Anda mengaktifkan fungsi keamanan untuk traffic lintas cloud.
- Ketersediaan tinggi: Anda dapat menggunakan NCC Gateway untuk SLA waktu aktif sebesar 99,9% guna meminimalkan gangguan.
- Deployment regional: Anda dapat men-deploy NCC Gateway ke berbagai region berdasarkan kedekatan fisik dengan pusat data, penyedia SSE pihak ketiga, atau penyedia cloud lain tempat aplikasi Anda berada.
- Mengamankan tenaga kerja jarak jauh: Anda dapat menghubungkan tenaga kerja jarak jauh dengan aman—seperti yang ada di cabang, pusat data, dan kantor jarak jauh—ke aplikasi pribadi di Google Cloud, lokal, atau penyedia cloud lainnya dan ke aplikasi publik.
Manfaat
Gateway NCC memberikan manfaat berikut:
Pengalaman aplikasi yang optimal dengan latensi yang lebih rendah: konsumsi layanan SSE yang mengutamakan cloud dengan bandwidth tinggi menggunakan Gateway NCC dan peningkatan performa melalui backbone pribadi Google.
Keamanan terpadu untuk semua traffic pengguna: postur keamanan yang ditingkatkan dengan stack keamanan terpadu tunggal dan permukaan serangan yang dikurangi dengan membatasi titik ingress dan egress.
Pengelolaan yang disederhanakan melalui NCC.
Istilah utama
Untuk memahami NCC Gateway, pelajari terminologi berikut:
Lampiran hybrid: Lampiran VLAN yang Anda kaitkan dengan Gateway NCC.
Fungsi layanan keamanan: layanan yang terpasang ke Gateway NCC. Misalnya, untuk perlindungan pengguna ke aplikasi, Anda harus melampirkan layanan SSE ke Gateway NCC.
Jaringan Virtual Private Cloud (VPC) aplikasi atau workload: jaringan VPC workload biasanya merupakan jaringan yang menggunakan virtual machine (VM) Compute Engine atau container Google Kubernetes Engine (GKE) sebagai workload. Jaringan VPC workload dapat berupa jaringan VPC reguler atau jaringan VPC Bersama dengan satu project host dan beberapa project layanan. Jaringan VPC workload harus dikonfigurasi sebagai spoke di hub.
Grup spoke: cara untuk mengelompokkan spoke dalam hub NCC. Grup spoke memungkinkan Anda memisahkan spoke ke dalam domain pemilihan rute yang berbeda. Grup spoke dapat berisi beberapa spoke, tetapi spoke hanya dapat menjadi milik satu grup. Untuk mengetahui informasi mendetail tentang grup spoke untuk berbagai topologi, lihat Topologi konektivitas preset.
Topologi pemeriksaan hybrid: memungkinkan Anda menambahkan spoke Gateway NCC ke grup untuk menerapkan kebijakan. Untuk mengetahui informasi tentang topologi pemeriksaan hybrid, lihat Topologi pemeriksaan hybrid.
Secure Access Connect: memungkinkan Anda menghubungkan produk SSE pihak ketiga ke NCC Gateway untuk pemrosesan keamanan dan egress internet yang aman. Untuk mengetahui informasi tentang Secure Access Connect, lihat Ringkasan Secure Access Connect.
Produk SSE yang didukung
NCC Gateway mendukung koneksi ke produk SSE berikut:
Kasus penggunaan
Gateway NCC ideal untuk organisasi yang ingin mengamankan akses tenaga kerja hybrid ke aplikasi. Gateway NCC memberikan keamanan untuk tenaga kerja hybrid melalui ekosistem partner terintegrasi agar Anda dapat terhubung ke penyedia SSE pilihan Anda. Pendekatan ini berlaku untuk deployment NCC baru (greenfield) dan yang sudah ada (brownfield).
Gateway NCC memungkinkan Anda mengamankan akses ke aplikasi pribadi yang dihosting di Google Cloud, lokal, di penyedia cloud lain, dan ke aplikasi publik yang dihosting di internet dan aplikasi SaaS. NCC Gateway memungkinkan Anda membuat deployment regional untuk kedekatan pusat data yang optimal dan mengelola traffic lintas region di backbone pribadi Google Cloud.
Kasus penggunaan untuk pengguna Google Cloud mencakup dukungan untuk mode koneksi berikut:
- Pengguna cabang ke internet
- Mengarahkan pengguna ke aplikasi pribadi
- Aplikasi pribadi ke internet
Kasus penggunaan untuk beberapa partner yang didukung mencakup menghubungkan satu atau beberapa hal berikut:
- Pengguna seluler ke internet
- Pengguna seluler ke aplikasi pribadi
- Mengarahkan pengguna ke aplikasi partner
- Aplikasi pribadi ke aplikasi partner
Alur traffic
Bagian ini menjelaskan jalur aliran traffic di Gateway NCC berdasarkan setiap kasus penggunaan.
Aliran traffic dalam kasus penggunaan untuk pengguna Google Cloud
Pengguna cabang ke internet
Dalam diagram berikut, traffic mengalir dari pengguna cabang lokal melalui NCC Gateway dan stack SSE pihak ketiga ke internet.
Mengarahkan pengguna ke aplikasi pribadi
Dalam diagram berikut, traffic mengalir dari pengguna cabang lokal melalui Gateway NCC, melintasi SSE pihak ketiga, lalu kembali melalui Gateway NCC ke aplikasi pribadi.
Aplikasi pribadi ke internet
Dalam diagram berikut, traffic mengalir dari Google Cloud melalui Gateway NCC, melintasi SSE pihak ketiga ke internet, lalu kembali ke Gateway NCC ke VM.
Alur traffic dalam kasus penggunaan untuk partner yang didukung
Pengguna seluler ke internet
Dalam diagram berikut, traffic mengalir dari pengguna seluler melalui SSE pihak ketiga ke internet. Dalam hal ini, traffic tidak melewati Gateway NCC.
Pengguna seluler ke aplikasi pribadi
Dalam diagram berikut, traffic mengalir dari pengguna seluler melalui layanan SSE pihak ketiga dan Gateway NCC ke aplikasi pribadi yang dihosting di jaringan VPC.
Mengarahkan pengguna ke aplikasi partner
Dalam diagram berikut, traffic mengalir dari pengguna cabang lokal melalui Gateway NCC, melintasi SSE pihak ketiga, lalu kembali melalui Gateway NCC ke cabang lokal.
Pengguna seluler ke aplikasi pribadi di cabang
Dalam diagram berikut, traffic mengalir dari pengguna seluler ke aplikasi pribadi di cabang melalui Gateway NCC.
Kapasitas pemrosesan
Kapasitas pemrosesan spoke Gateway NCC adalah bandwidth yang disediakan. Anda harus menyediakan bandwidth yang cukup untuk memperhitungkan setiap arah aliran traffic, dengan mengingat bahwa paket dapat masuk dan keluar dari spoke gateway lebih dari sekali untuk setiap arah aliran untuk beberapa aliran traffic.
Pertimbangkan contoh berikut untuk menghitung kapasitas pemrosesan yang diperlukan dari spoke gateway.
Contoh: Pengguna cabang ke internet
Misalnya, jaringan lokal cabang terhubung ke internet seperti yang ditunjukkan dalam kasus penggunaan Pengguna cabang ke internet. Paket melintasi Gateway NCC sekali di setiap arah, dan cabang serta internet memerlukan bandwidth full-duplex 1 Gbps: 1 Gbps untuk traffic dari jaringan lokal cabang ke internet dan 1 Gbps untuk traffic dari internet ke jaringan cabang. Dalam hal ini, pengguna memerlukan kapasitas pemrosesan sebesar 2 Gbps. Contoh ini juga mengasumsikan bahwa partner SSE tidak menghapus paket apa pun. Jika partner SSE pilihan Anda merekomendasikan bandwidth yang lebih tinggi daripada yang dihitung dalam contoh ini, ikuti rekomendasi partner tersebut.
Contoh: Mengarahkan pengguna ke aplikasi pribadi
Misalkan jaringan lokal cabang terhubung ke Google Cloud seperti yang ditunjukkan dalam kasus penggunaan Pengguna cabang ke aplikasi pribadi, dan bahwa aplikasi cabang dan pribadi memerlukan bandwidth full-duplex 1 Gbps: 1 Gbps untuk traffic dari cabang ke aplikasi dan 1 Gbps untuk traffic dari aplikasi ke cabang. Contoh ini juga mengasumsikan bahwa partner SSE tidak menghapus paket apa pun. Jika partner SSE pilihan Anda merekomendasikan bandwidth yang lebih tinggi daripada yang dihitung dalam contoh ini, ikuti rekomendasi partner tersebut.
Spoke Gateway NCC yang menghubungkan jaringan lokal cabang ke hub NCC memerlukan dua lampiran VLAN 1 Gbps untuk memenuhi persyaratan SLA Cloud Interconnect. Dengan cara ini, satu lampiran VLAN dapat menyediakan bandwidth full-duplex 1 Gbps antara aplikasi cabang dan pribadi, bahkan saat satu lampiran VLAN offline (misalnya, karena pemeliharaan koneksi interconnect).
Kapasitas pemrosesan yang diperlukan spoke gateway adalah 4 Gbps karena alasan berikut:
Traffic dari jaringan lokal cabang ke hub NCC memerlukan bandwidth 1 Gbps. Traffic ini memerlukan bandwidth gateway sebesar 2 Gbps karena diproses oleh gateway di dua tempat berikut:
- 1 Gbps saat paket dari lampiran VLAN yang terhubung ke cabang memasuki spoke gateway
- 1 Gbps saat paket keluar dari spoke gateway dan masuk ke hub
Traffic dari hub NCC ke jaringan lokal cabang juga memerlukan bandwidth 1 Gbps. Traffic ini memerlukan bandwidth gateway tambahan sebesar 2 Gbps karena diproses oleh gateway di dua tempat berikut:
- 1 Gbps saat paket keluar dari hub dan masuk ke spoke gateway
- 1 Gbps saat paket keluar dari spoke gateway dan dikirim ke lampiran VLAN yang terhubung ke cabang
Sebaiknya gunakan strategi berikut untuk mengonfigurasi kapasitas pemrosesan gateway dan bandwidth lampiran VLAN:
- Kapasitas pemrosesan gateway adalah jumlah bandwidth yang diperlukan, di setiap arah, di antara semua NIC gateway.
- Tidak seperti kapasitas pemrosesan gateway, bandwidth lampiran VLAN bersifat full-duplex. Selalu sediakan jumlah lampiran VLAN yang memadai untuk mendukung bandwidth yang Anda perlukan, meskipun lampiran VLAN yang menggunakan koneksi interkoneksi umum tidak aktif.
Pertimbangan
Untuk menggunakan NCC Gateway, batasan berikut berlaku:
- Anda hanya dapat memasang lampiran VLAN Cloud Interconnect ke spoke Gateway NCC. Tunnel Cloud VPN dan perangkat Router tidak didukung.
- Spoke Gateway NCC untuk semua region harus berada dalam grup spoke gateways yang sama. Untuk deployment greenfield Gateway NCC, hub NCC harus menggunakan topologi pemeriksaan hybrid preset. Untuk deployment brownfield, Anda dapat menggunakan topologi star atau topologi mesh penuh yang ada.
- Hanya satu layanan yang dapat dipasang ke Gateway NCC dalam satu waktu.
- Cloud Router harus ditautkan ke Gateway NCC di region yang sama.
- Hanya lampiran VLAN Cloud Interconnect yang dibuat dengan Cloud Router yang ditautkan ke Gateway NCC yang terpasang ke gateway.
- Anda hanya dapat memiliki satu spoke Gateway NCC per region per hub.
- Spoke dan hub Gateway NCC harus berada dalam project yang sama.
- Anda harus menentukan kapasitas pemrosesan pada saat pembuatan spoke gateway. Kapasitas pemrosesan dapat diubah nanti, jika diperlukan.
- Anda tidak dapat mengubah rentang alamat IP yang ditetapkan. Beberapa rentang alamat IP dicadangkan untuk partner SSE.
- Tidak ada kebijakan pengalihan traffic untuk mengabaikan subset traffic dari Gateway NCC.
- Jika Anda mengonfigurasi rute yang diberitahukan gateway di spoke gateway, Anda harus membuat gateway SSE aktif untuk menyebarkan rute ini ke tabel rute hub NCC.
- Anda dapat melihat rute yang diberitahukan gateway di tabel rute jaringan VPC atau tabel rute hub dari grup spoke tempat jaringan VPC berada.
Jika awalan lokal yang sama diberitahukan ke spoke Gateway NCC di lebih dari satu region, Anda harus menetapkan satu region sebagai region pilihan. Beritahukan awalan dengan nilai MED yang lebih rendah (menunjukkan prioritas yang lebih tinggi) dari region yang Anda inginkan untuk dimasuki traffic Google Cloud, dan dengan MED yang lebih tinggi (menunjukkan prioritas yang lebih rendah) dari region lain. Traffic kembali untuk awalan mengikuti region yang paling disukai, terlepas dari region tempat traffic masuk. Memberitahukan awalan yang sama dengan nilai MED yang sama dari beberapa region dapat menyebabkan perutean asimetris dan menghentikan sesi stateful.
Untuk mengetahui informasi tentang cara mengubah nilai MED, lihat Mengubah nilai MED untuk semua rute kustom yang dipelajari pada sesi BGP.
Rute yang diberitahukan gateway diprogram menggunakan mode pemilihan jalur terbaik standar:
- Prioritas rute yang diberitahukan gateway dalam tabel rute hub
mencerminkan prioritas rute Andromeda yang efektif, seperti,
65536atau65537. Prioritas yang digunakan untuk membuat rute yang diberitahukan gateway akan diperhitungkan saat menghitung prioritas rute Andromeda yang efektif. - Rute statis selalu memiliki prioritas antara
0-65535, sehingga lebih diprioritaskan daripada rute yang diberitahukan gateway untuk awalan tujuan yang sama. Jadi, jika Anda ingin mengarahkan traffic internet ke gateway menggunakan rute yang diberitahukan gateway dengan tujuan0/0, Anda mungkin perlu menghapus rute default yang dihasilkan sistem. Jika Anda menghapus rute default dengan next hop gateway internet default, Anda harus membuat rute khusus untuk Google API dan layanan Google atau menggunakan endpoint Private Service Connect untuk Google API global
- Prioritas rute yang diberitahukan gateway dalam tabel rute hub
mencerminkan prioritas rute Andromeda yang efektif, seperti,
Batasan berbasis kapasitas
Batasan berikut didasarkan pada kapasitas link yang tersedia di suatu region:
- Beberapa partner mungkin tidak mendukung 100 Gbps.
- Beberapa region mungkin hanya mendukung 1 Gbps dan 10 Gbps, tetapi tidak mendukung 100 Gbps.
Batasan MTU
Lampiran VLAN Cloud Interconnect yang terkait dengan spoke Gateway NCC dapat menggunakan MTU hingga 1460 byte.
Pembaruan rentang alamat IP tidak didukung
Setelah pembuatan spoke, Anda tidak dapat mengubah alamat IP yang ditetapkan. Beberapa rentang alamat IP dicadangkan untuk partner SSE.
Health check
Health check memberikan indikasi penurunan kualitas layanan di suatu region sehingga Anda dapat mengambil tindakan yang sesuai. Sistem mengekstrak sinyal kesehatan gabungan yang dipicu oleh ketidaksehatan pada komponen utama, termasuk pemeriksaan bidang data aktif untuk memantau kesehatan jalur data end-to-end melalui layanan partner.
Status respons Gateway NCC tersedia sebagai metrik pemantauan dengan label responsif atau tidak responsif.
Jika Gateway NCC dianggap tidak responsif, sesi BGP di Cloud Router ke partner akan dihentikan. Gateway NCC akan mencoba membuat ulang sesi BGP saat kembali ke status responsif.
Anda dapat menyiapkan pemberitahuan berdasarkan metrik status responsivitas Gateway NCC.
Tampilan rute yang efektif untuk gateway dan tabel rute hub
Saat melihat tabel rute hub, Anda harus memilih region. Rute yang ditampilkan di region tabel rute hub mencakup prioritas yang memperhitungkan biaya antar-region, jika berlaku.
Spoke gateway memiliki tabel rutenya sendiri, tempat Anda harus memilih antarmuka gateway dan arah traffic. Untuk mengetahui informasi selengkapnya, lihat melihat rute spoke gateway.
Contoh perjalanan pengguna
Jika Anda adalah pengguna baru dan belum menyiapkan konektivitas yang sudah ada, lihat Menyiapkan NCC Gateway untuk pengguna baru.
Penagihan
Untuk mengetahui informasi harga NCC Gateway, lihat Harga NCC Gateway.
Langkah berikutnya
- Untuk mempelajari cara mengonfigurasi NCC Gateway, lihat Ringkasan penyiapan NCC Gateway.
- Untuk mempelajari cara mengonfigurasi Secure Access Connect, lihat Membuat realm.
- Untuk menemukan solusi atas masalah umum, lihat Memecahkan masalah NCC.
- Untuk mendapatkan detail tentang API dan perintah gcloud CLI, lihat API dan referensi.