NCC 閘道是一種輪輻類型，可連結至 Network Connectivity Center (NCC) 中樞。這項區域性產品可確保 Cross-Cloud Network 流量安全。NCC 閘道可讓您啟用安全防護功能，例如第三方安全服務邊緣 (SSE)，這是安全存取服務邊緣 (SASE) 的雲端式安全防護元件。NCC 閘道輪輻支援直接連線至 Cloud Interconnect VLAN 連結。
NCC 閘道提供下列功能：
- 簡化 SSE 整合：您可以透過透明導向功能，順暢整合 Palo Alto Networks Prisma Access 和 Symantec Cloud Secure Web Gateway (預先發布版) 等 SSE，提升使用者與應用程式之間的防護和效能。NCC 閘道可讓您為跨雲端流量啟用安全防護功能。
- 高可用性：您可以使用 NCC 閘道，享有 99.9% 的運作時間服務水準協議，盡可能減少中斷情形。
- 區域部署：您可以根據資料中心、第三方 SSE 供應商或其他雲端服務供應商 (應用程式所在位置) 的實體鄰近程度，將 NCC 閘道部署至多個區域。
- 保護遠距工作團隊：您可以安全地將遠距工作團隊 (例如分支機構、資料中心和遠距辦公室) 連線至 Google Cloud、地端部署或其他雲端服務供應商中的私人應用程式，以及公開應用程式。
優點
NCC 閘道具有下列優點：
縮短延遲時間，提供最佳應用程式體驗：透過 NCC 閘道，以高頻寬、雲端優先的方式使用 SSE 服務，並透過 Google 的私人骨幹網路提升效能。
所有使用者流量的統一安全性：透過單一統一安全性堆疊改善資安態勢，並限制輸入和輸出點，減少攻擊面。
透過 NCC 簡化管理作業。
重要詞彙
如要瞭解 NCC 閘道，請先熟悉下列術語：
混合連結：與 NCC 閘道建立關聯的 VLAN 連結。
安全防護服務函式：附加至 NCC 閘道的服務。舉例來說，如要保護使用者與應用程式之間的通訊，您必須將 SSE 服務附加至 NCC 閘道。
應用程式或工作負載虛擬私有雲網路 (VPC)：工作負載虛擬私有雲網路通常是使用 Compute Engine 虛擬機器 (VM) 或 Google Kubernetes Engine (GKE) 容器做為工作負載的網路。工作負載虛擬私有雲網路可以是一般虛擬私有雲網路，也可以是Shared VPC 網路，其中包含主專案和多個服務專案。工作負載虛擬私有雲網路必須設為中樞內的輪輻。
輪輻群組：將 NCC 中樞內的輪輻分組。輪輻群組可讓您將輪輻分隔至不同的轉送網域。一個輪輻群組可以包含多個輪輻，但一個輪輻只能屬於一個群組。如要進一步瞭解不同拓撲的輪輻群組，請參閱「預設連線拓撲」。
混合式檢查拓撲：可將 NCC 閘道輪輻新增至群組，以便套用政策。如要瞭解混合式檢查拓撲，請參閱「混合式檢查拓撲」。
Secure Access Connect：可將第三方 SSE 產品連結至 NCC Gateway，以便進行安全處理及安全網際網路輸出。如要瞭解 Secure Access Connect，請參閱「Secure Access Connect 總覽」。
支援的 SSE 產品
NCC 閘道支援連線至下列 SSE 產品：
用途
NCC 閘道適合想確保混合型工作團隊安全存取應用程式的組織。NCC Gateway 透過整合式合作夥伴生態系統，為混合型工作團隊提供安全防護，讓您能與自選的 SSE 供應商連線。這種做法適用於全新 (綠地) 和現有 (棕地) NCC 部署作業。
NCC Gateway 可保護您存取託管於 Google Cloud、地端部署、其他雲端服務供應商的私人應用程式，以及託管於網際網路和 SaaS 應用程式的公開應用程式。NCC 閘道可讓您建立區域性部署，盡可能縮短與資料中心的距離，並在 Google Cloud的私人骨幹網路上管理跨區域流量。
Google Cloud 使用者的用途包括支援下列連線模式：
- 分支機構使用者連上網際網路
- 將分支機構使用者導向私人應用程式
- 私人應用程式到網際網路
部分支援合作夥伴的用途包括連結下列一或多個項目：
- 行動網路使用者
- 行動裝置使用者到私人應用程式
- 將使用者導向合作夥伴應用程式
- 私人應用程式到合作夥伴應用程式
流量
本節說明 NCC 閘道中各用途的流量路徑。
Google Cloud 使用者用途的流量
分支機構使用者連上網際網路
在下圖中，流量從地端部署分支使用者，透過 NCC 閘道和第三方 SSE 堆疊流向網際網路。
將分支機構使用者導向私人應用程式
在下圖中，流量從地端部署分支使用者流經 NCC 閘道、經過第三方 SSE，然後透過 NCC 閘道返回私人應用程式。
私人應用程式到網際網路
在下圖中，流量會從 Google Cloud透過 NCC 閘道流出，經過第三方 SSE 傳送至網際網路，然後返回 NCC 閘道並傳送至 VM。
支援合作夥伴用途中的流量
行動網路使用者
在下圖中，流量從行動使用者流向第三方 SSE，再流向網際網路。在這種情況下，流量不會通過 NCC 閘道。
行動裝置使用者到私人應用程式
在下圖中，流量從行動使用者流經第三方 SSE 服務和 NCC 閘道，到達託管於虛擬私有雲網路中的私人應用程式。
將使用者導向合作夥伴應用程式
在下圖中，流量從地端部署分支使用者流經 NCC 閘道、周遊第三方 SSE，然後透過 NCC 閘道返回地端部署分支。
行動使用者到分支機構中的私人應用程式
在下圖中，流量會透過 NCC 閘道，從行動使用者流向分支中的私人應用程式。
處理能力
NCC 閘道輪輻的處理能力取決於佈建的頻寬。您必須佈建足夠的頻寬，以因應每個流量方向，並注意封包可能會在某些流量的每個流量方向中，多次進出閘道輪輻。
請參考下列範例，計算閘道輪輻所需的處理容量。
範例：分支機構使用者連上網際網路
假設分支機構的地端部署網路已連線至網際網路，如「分支機構使用者連至網際網路」用途所示。封包在每個方向都會經過 NCC 閘道一次，且分支機構和網際網路需要 1 Gbps 全雙工頻寬：1 Gbps 用於從分支機構地端部署網路傳送至網際網路的流量，1 Gbps 用於從網際網路傳送至分支機構網路的流量。在這種情況下，使用者需要 2 Gbps 的處理能力。這個範例也假設 SSE 合作夥伴不會捨棄任何封包。如果所選 SSE 合作夥伴建議的頻寬高於本範例計算出的頻寬，請遵循合作夥伴的建議。
範例：將分公司使用者導向私人應用程式
假設分支機構的地端部署網路已連線至Google Cloud ，如「分支機構使用者連至私人應用程式」用途所示，且分支機構和私人應用程式需要 1 Gbps 全雙工頻寬：1 Gbps 用於從分支機構傳送至應用程式的流量，1 Gbps 用於從應用程式傳送至分支機構的流量。這個範例也假設 SSE 合作夥伴不會捨棄任何封包。如果所選 SSE 合作夥伴建議的頻寬高於本範例計算出的頻寬，請遵循合作夥伴的建議。
NCC 閘道輪輻會將分公司的地端部署網路連至 NCC 中樞，因此需要兩個 1 Gbps VLAN 連結，才能符合 Cloud Interconnect 服務水準協議規定。這樣一來，即使其中一個 VLAN 連結離線 (例如互連網路連線維護)，另一個 VLAN 連結仍可在分支和私人應用程式之間，提供 1 Gbps 的全雙工頻寬。
閘道輪輻的必要處理容量為 4 Gbps，原因如下：
從分支機構地端部署網路傳送至 NCC 中樞的流量需要 1 Gbps 的頻寬。這項流量需要 2 Gbps 的閘道頻寬，因為閘道會在下列兩個位置處理流量：
- 1 Gbps，因為從連接至分支的 VLAN 連結傳出的封包會進入閘道輪輻
- 封包離開閘道輪輻並進入中樞時，頻寬為 1 Gbps
從 NCC 中樞傳送至分支機構地端部署網路的流量，也需要 1 Gbps 的頻寬。這項流量需要額外 2 Gbps 的閘道頻寬，因為閘道會在下列兩個位置處理流量：
- 封包離開中樞並進入閘道輪輻時，頻寬為 1 Gbps
- 封包離開閘道輪輻並傳送至連線至分支的 VLAN 連結時，頻寬為 1 Gbps
建議您採用下列策略，設定閘道處理能力和 VLAN 連結頻寬：
- 閘道處理能力是所有閘道 NIC 在各方向所需頻寬的總和。
- 與閘道處理能力不同，VLAN 連結頻寬為全雙工。請務必佈建足夠數量的 VLAN 連結，以支援所需的頻寬，即使使用共同互連網路連線的 VLAN 連結中斷，也能正常運作。
注意事項
使用 NCC 閘道時，請注意下列限制：
- Cloud Interconnect VLAN 連結只能附加至 NCC 閘道輪輻。不支援 Cloud VPN 通道和路由器設備。
- 所有區域的 NCC 閘道輪輻都必須位於同一個閘道輪輻群組。如要全新部署 NCC 閘道，NCC 中樞必須使用預設混合式檢查拓撲。如果是棕地部署，您可以使用現有的星狀或全網狀拓撲。
- 一次只能將一項服務附加至 NCC 閘道。
- Cloud Router 必須連結至相同區域的 NCC 閘道。
- 只有使用連結至 NCC 閘道的 Cloud Router 建立的 Cloud Interconnect VLAN 連結，才會連結至閘道。
- 每個中樞在各區域只能有一個 NCC 閘道輪輻。
- NCC 閘道輪輻和中樞必須位於相同專案。
- 建立閘道輪輻時，必須指定處理能力。日後可視需求變更處理能力。
- 您無法變更指派的 IP 位址範圍。部分 IP 位址範圍會保留給 SSE 合作夥伴。
- 沒有流量導引政策可略過 NCC 閘道的部分流量。
- 如果您在閘道輪輻中設定閘道 advertise 路由，則必須建立有效的 SSE 閘道，將這項路由傳播至 NCC 中樞路由表。
- 您可以在虛擬私有雲網路路由表，或虛擬私有雲網路所在輪輻群組的中樞路由表中，查看閘道 advertise 的路由。
如果相同的地端部署前置字元，會 advertise 給多個區域中的 NCC 閘道輪輻，則必須將「一個」區域設為偏好區域。從您希望流量進入的區域，advertise 具有較低 MED 值 (表示優先順序較高) 的前置字元 Google Cloud，並從其他區域 advertise 具有較高 MED (表示優先順序較低) 的前置字元。無論流量從哪個區域進入，前置字串的回傳流量都會遵循最偏好的區域。如果從多個區域 advertise 相同的前置字串，且 MED 值相同，可能會導致非對稱式轉送，並捨棄有狀態的工作階段。
如要瞭解如何變更 MED 值，請參閱「變更 BGP 工作階段中所有自訂已知路徑的 MED 值」。
閘道 advertise 路由是使用標準最佳路徑選取模式進行程式設計：
- 中樞路由表中閘道 advertise 路由的優先順序，反映了有效的 Andromeda 路由優先順序，例如
65536或65537。計算有效的 Andromeda 路由優先順序時，會考量閘道 advertise 路由建立時的優先順序。 - 靜態路由的優先順序「一律」介於
0-65535之間，因此優先順序高於相同目的地前置字串的閘道 advertise 路由。因此，如果您想使用目的地為0/0的閘道 advertise 路由，將網路流量導向閘道，可能需要移除系統產生的預設路由。如果移除預設路徑，且下一個躍點為預設網際網路閘道，則必須為 Google API 和服務建立特殊路徑，或使用全域 Google API 的 Private Service Connect 端點
- 中樞路由表中閘道 advertise 路由的優先順序，反映了有效的 Andromeda 路由優先順序，例如
容量限制
下列限制是根據區域中的可用連結容量而定：
- 部分合作夥伴可能不支援 100 Gbps。
- 部分區域可能僅支援 1 Gbps 和 10 Gbps，不支援 100 Gbps。
MTU 限制
與 NCC 閘道輪輻相關聯的 Cloud Interconnect VLAN 連結，最多可使用 1460 個位元組的 MTU。
不支援更新 IP 位址範圍
輪輻建立後，即無法變更指派的 IP 位址。部分 IP 位址範圍會保留給 SSE 合作夥伴。
健康狀態檢查
健康狀態檢查會指出某個區域的服務效能是否降低，以便您採取適當行動。系統會擷取由重要元件不健康狀態觸發的匯總健康信號，包括主動資料層探測，以透過合作夥伴服務監控端對端資料路徑健康狀態。
NCC 閘道健康狀態會以監控指標的形式提供，並標示為健康或不健康。
如果 NCC 閘道判定為健康狀態不良，Cloud Router 上與合作夥伴的 BGP 工作階段就會關閉。NCC 閘道恢復正常狀態後，會嘗試重新建立 BGP 工作階段。
您可以根據 NCC 閘道健康狀態指標設定警告。
閘道和中樞路由表的有效路由檢視畫面
查看中樞路由表時，必須選取區域。中樞路由表區域中顯示的路由，包含考量跨區域費用 (如適用) 的優先順序。
閘道輪輻有自己的路由表，您必須在其中選取閘道介面和流量方向。詳情請參閱「查看閘道輪輻路徑」。
使用者歷程範例
如果您是新使用者，且尚未設定連線，請參閱「為新使用者設定 NCC 閘道」。
帳單
如要瞭解 NCC Gateway 的定價資訊，請參閱「NCC Gateway 定價」。
後續步驟
- 如要瞭解如何設定 NCC 閘道，請參閱「NCC 閘道設定總覽」。
- 如要瞭解如何設定 Secure Access Connect，請參閱「建立領域」。
- 如要瞭解常見問題的解決方法，請參閱「排解 NCC 問題」。
- 如要進一步瞭解 API 和 gcloud CLI 指令，請參閱「API 和參考資料」。