Übersicht über das NCC

Network Connectivity Center (NCC) ist ein Orchestrierungs-Framework, das Netzwerkverbindungen zwischen Spoke-Ressourcen bietet, die mit einer zentralen Verwaltungsressource verbunden sind, Hub genannt. NCC unterstützt die folgenden Arten von Spokes:

  • VPC-Spokes (Virtual Private Cloud)
  • Ersteller-VPC-Spokes
  • NCC-Gateway-Spokes
  • Hybrid-Spokes

Mit der Hub-und-Spoke-Verbindung haben Sie folgende Möglichkeiten:

  • Verbinden Sie mehrere VPC-Netzwerke miteinander. Die VPC-Netzwerke können sich in verschiedenen Projekten in derselben Google Cloud -Organisation oder in verschiedenen Organisationen befinden.
  • Verbinden Sie mehrere VPC-Netzwerke mit lokalen oder anderen Netzwerken des Cloud-Anbieters. Diese externen Netzwerke können über jede Art von Hybrid-Spoke erreichbar sein. Dieser Ansatz wird als Site-to-Cloud-Konnektivität bezeichnet.
  • Verwenden Sie Router-Appliance-VMs, um die Verbindung zwischen Ihren VPC-Netzwerken zu verwalten.
  • Verwenden Sie ein Google Cloud VPC-Netzwerk als Enterprise Wide Area Network (WAN), um Netzwerke außerhalb von Google Cloudzu verbinden. Sie können eine Verbindung zwischen Ihren externen Standorten mit einem beliebigen Hybrid-Spoke herstellen. Dieser Ansatz wird als Site-to-Site-Konnektivität bezeichnet.

Weitere Informationen zu diesen Szenarien finden Sie unter NCC-Anwendungsfälle.

Funktionsweise

Wenn ein Hub VPC-Spokes verwendet, können Sie die Verbindung zwischen den VPC-Netzwerken konfigurieren, die mit dem Hub verbunden sind, indem Sie Subnetzrouten zwischen allen oder einigen der VPC-Netzwerke austauschen.

Wenn ein Hub sowohl VPC-Spokes als auch Hybrid-Spokes verwendet, wird die „Any-to-Any“-Konnektivität über all diese Spokes unterstützt.

Wenn ein Hub Hybrid-Spokes in einem einzelnen VPC-Netzwerk verwendet, können Sie die Site-to-Site-Datenübertragung auch so konfigurieren, dass die dynamischen Routen, deren nächste Hops ein Hybrid-Spoke sind – z. B. ein Cloud Interconnect-VLAN-Anhang – in einem lokalen Netzwerk durch die BGP-Sitzungen der anderen Hybrid-Spokes im VPC-Netzwerk beworben werden.

In den folgenden Abschnitten finden Sie eine detaillierte Beschreibung von Hubs und Spokes.

Hubs

Ein NCC-Hub ist eine globale Ressource, an die Sie Spokes anhängen. Ein einzelner Hub kann Spokes aus mehreren Regionen enthalten. Wenn jedoch einer der Spokes eines Hubs die Site-to-Site-Datenübertragung verwendet, müssen sich alle mit diesen Spokes verknüpften Ressourcen im selben VPC-Netzwerk befinden. Spokes, die keine Site-to-Site-Datenübertragung verwenden, können jedem VPC-Netzwerk in Ihrem Projekt zugeordnet werden.

Spokes

Ein Spoke steht für eine oder mehrere Google Cloud Netzwerkressourcen, die mit einem Hub verbunden sind.

Wenn Sie einen Spoke erstellen, müssen Sie ihn mindestens einer unterstützten Verbindungsressource zuordnen. Diese wird auch als Sicherungsressource bezeichnet.

Ein Spoke kann jede der folgenden Google Cloud Ressourcen als Sicherungsressource verwenden.

VPC-Spokes

Mit VPC-Spokes können Sie zwei oder mehr VPC-Netzwerke mit einem Hub verbinden, sodass die Netzwerke Subnetzrouten austauschen. VPC-Spokes, die an einen einzelnen Hub angehängt sind, können auf VPC-Netzwerke im selben Projekt oder in einem anderen Projekt verweisen (einschließlich eines Projekts in einer anderen Organisation).

VPC-Spokes exportieren Subnetzrouten in den Hub und importieren Subnetzrouten und dynamische Routen aus dem Hub.

Ausführliche Informationen zu VPC-Spokes finden Sie unter VPC-Spokes.

VPC-Spokes bieten Konnektivität zwischen IPv4- und IPv6-Subnetzbereichen aus mehreren VPC-Netzwerken. Sie können jeden VPC-Spoke so konfigurieren, dass Subnetzbereiche exportiert werden:

  • Nur IPv4-Subnetzbereiche
  • Sowohl IPv4- als auch IPv6-Subnetzbereiche
  • Nur IPv6-Subnetzbereiche

Angenommen, ein Spoke-VPC-Netzwerk hat eine Mischung aus Subnetz-Stack-Typen. Wenn Sie den Spoke so konfigurieren, dass nur IPv6-Subnetzbereiche exportiert werden, werden IPv6-Subnetzbereiche aus Dual-Stack- und reinen IPv6-Subnetzen ausgetauscht, aber IPv4-Subnetzbereiche aus reinen IPv4- und Dual-Stack-Subnetzen nicht.

Ersteller-VPC-Spokes

Wenn Sie einen vorhandenen VPC-Spoke haben, der einen Dienst aus einem Erstellernetzwerk in einem anderen Projekt über VPC-Netzwerk-Peering nutzt, können Sie den Dienst für die anderen Spokes in Ihrem NCC-Hub erreichbar machen, indem Sie einen Ersteller-VPC-Spoke erstellen.

Ausführliche Informationen zu Ersteller-VPC-Spokes finden Sie unter Ersteller-VPC-Spokes.

Gateway-Spokes

NCC Gateway ist ein regionaler Spoke-Typ, der an den NCC-Hub angehängt wird. Es sorgt für Sicherheit bei Cross-Cloud Network-Traffic. NCC Gateway ermöglicht die Prüfung von Drittanbieter-SSE (Security Service Edge).

Ausführliche Informationen zu NCC-Gateway-Spokes finden Sie unter NCC-Gateway.

Hybrid-Spokes

Ein Hybrid-Spoke steht für eine oder mehrere Netzwerkverbindungsressourcen, die mit einem Hub verbunden sind. Ein Hybrid-Spoke-Typ kann eine der folgenden Ressourcen sein, mit denen ein Spoke verknüpft ist:

  • Router-Appliance-VMs
  • HA VPN-Tunnel
  • Cloud Interconnect-VLAN-Anhänge für:
    • Dedicated Interconnect
    • Partner Interconnect
    • cloudübergreifende Interconnect-Verbindung
    • Partner Cross-Cloud Interconnect für OCI
    • Partner Cross-Cloud Interconnect für AWS

Ein einzelner Hybrid-Spoke kann mehr als einer Ressource desselben Typs zugeordnet sein. Beispiel: Ein Hybrid-Spoke kann auf zwei oder mehr HA VPN-Tunnel verweisen, aber derselbe Hybrid-Spoke kann nicht auch auf Router-Appliance-VMs oder Cloud Interconnect-VLAN-Anhänge verweisen. Ein Hybrid-Spoke muss sich im selben Projekt wie der NCC-Hub befinden.

Für die Site-to-Site-Datenübertragung mit Hybrid-Spokes müssen sich die Spokes im selben VPC-Netzwerk befinden. Weitere Informationen finden Sie unter Übersicht über die Site-zu-Site-Datenübertragung.

Router-Appliance-Spokes

Ein Spoke, der einer VM-Instanz der Router-Appliance zugeordnet ist, unterstützt die folgenden Anwendungsfälle:

  • IPv4-Site-to-Cloud-Konnektivität: Stellen Sie eine Verbindung zwischen einem externen Standort und Ihren VPC-Netzwerkressourcen her.
  • IPv4-Site-to-Site-Datenübertragung: Verwenden Sie das Google-Netzwerk als Teil eines Wide Area Network (WAN), das Ihre externen Standorte umfasst, um Daten zwischen allen Standorten zu übertragen.
  • IPv4-Konnektivität zwischen VPC-Netzwerken: Verwenden Sie eine virtuelle Netzwerk-Appliance eines Drittanbieters, um eine Verbindung zwischen Ihren VPC-Netzwerken herzustellen.

Alle Site-to-Site-Spokes, die mit demselben Hub verbunden sind, müssen alle ihre unterstützenden Ressourcen im selben VPC-Netzwerk haben.

HA VPN-Tunnel-Spokes

Ein Spoke, der mit Cloud VPN-Tunneln (HA VPN) verknüpft ist, unterstützt die folgenden Anwendungsfälle:

  • IPv4- und IPv6-Site-to-Cloud-Konnektivität (Vorschau): Stellen Sie eine Verbindung zwischen einem externen Standort und Ihren VPC-Netzwerkressourcen her.
  • Site-to-Site-Datenübertragung mit IPv4 und IPv6 (Vorschau): Sie können das Google-Netzwerk als Teil eines Wide Area Network (WAN) verwenden, das Ihre externen Standorte umfasst, um Daten zwischen allen Standorten zu übertragen.

Alle Appliances, die von einem einzelnen Spoke verknüpft sind, und alle Cloud VPN-Tunnel und VLAN-Anhänge müssen sich im selben VPC-Netzwerk befinden.

Cloud Interconnect-VLAN-Anhang-Spokes

Ein Spoke, der mit Cloud Interconnect-VLAN-Anhängen verknüpft ist, unterstützt die folgenden Anwendungsfälle:

  • IPv4- und IPv6-Site-to-Cloud-Konnektivität (Vorschau): Alle Appliances, die mit einem einzelnen Spoke verknüpft sind, müssen sich im selben VPC-Netzwerk befinden.
  • IPv4- und IPv6-Site-to-Site-Datenübertragung (Vorabversion): Alle Cloud VPN-Tunnel, VLAN-Anhänge oder beides müssen sich im selben VPC-Netzwerk befinden.

Partner Cross-Cloud Interconnect für AWS

Partner Cross-Cloud Interconnect für AWS bietet eine On-Demand-Methode zum Einrichten von Cloud-übergreifenden Transporten, ohne dass Sie Netzwerkkomponenten manuell einrichten müssen. Dieser Transport ist einem NCC-Hub des Kunden zugeordnet und erstellt Hybrid-Spokes.

Ausführliche Informationen zu Partner Cross-Cloud Interconnect für AWS-Verbindungen finden Sie in der Übersicht zu Partner Cross-Cloud Interconnect für AWS.

Routenaustausch und Spoke-Filter

Mit Exportfiltern können Sie festlegen, welche Routen ein Spoke an den NCC-Hub sendet:

  • VPC-Spokes unterstützen den Export von IPv4-Subnetzbereichen und IPv6-Subnetzbereichen.

  • Hybrid-Spokes unterstützen den Export dynamischer IPv4- und IPv6-Routen (Vorschau). Ausgenommen sind Router-Appliance-Spokes, die nur den Export dynamischer IPv4-Routen unterstützen.

VPC-Spokes importieren alle Routen aus ihrer Spoke-Gruppe des NCC-Hubs. Sie können festlegen, welche Routen ein Hybrid-Spoke aus seiner Spoke-Gruppe importiert. Verwenden Sie dazu Importfilter:

Überlegungen zu NCC

Lesen Sie die folgenden Abschnitte, bevor Sie NCC einrichten.

Routing

Von NCC-Hybrid-Spokes installierte Routen werden als dynamische Routen behandelt.

Informationen zum Umgang mit dynamischen Routen im Vergleich zu anderen Routentypen finden Sie in der VPC-Dokumentation unter Anwendbarkeit und Reihenfolge.

Ressource Geeignete Anwendungsfälle
Priorisierung Alle Hybrid-Spoke-Ressourcen verwenden Cloud Router. Weitere Informationen dazu, wie Cloud Router erkannte Routen verarbeiten, um dynamische Routen in einem VPC-Netzwerk oder NCC-Hub zu erstellen, finden Sie unter Erkannte Routen in der Cloud Router-Dokumentation.
ASN Alle Nicht-Google-Peering-Router, die mit einem einzelnen Spoke verknüpft sind, müssen beim Bewerben von Präfixen an den Cloud Router dieselbe ASN verwenden. Dies ist wichtig, denn wenn zwei Peers dasselbe Präfix mit unterschiedlichen ASNs oder AS-Pfaden bewerben, werden nur die ASN und der AS-Pfad eines einzelnen Peers für dieses Präfix neu beworben. Unterschiedliche Spokes müssen unterschiedliche ASNs haben. Wenn also zwei BGP-Sitzungen zu unterschiedliche Spokes gehören, müssen sie unterschiedliche ASNs haben. Wenn Sie das Datenübertragungsfeature verwenden, müssen Sie ASNs zuweisen, wie unter ASN-Anforderungen für die Site-to-Site-Datenübertragung beschrieben.
BGP-Sitzungen BGP-Communitys werden nicht unterstützt.

Änderungen des Route Advertisements bei Verwendung der Site-to-Site-Datenübertragung

Wenn Sie einem Hybrid-Spoke einen Cloud Interconnect-VLAN-Anhang oder einen Cloud VPN-Tunnel hinzufügen, aktualisiert NCC die entsprechende BGP-Sitzung für den VLAN-Anhang oder den Cloud VPN-Tunnel, sodass die Präfixe, die von BGP-Sitzungen der anderen Cloud Interconnect-VLAN-Anhänge oder Cloud VPN-Tunnel gelernt wurden, die mit einem der Hybrid-Spokes des Hubs verbunden sind, für die die Option „Website-zu-Website-Datenübertragung“ aktiviert ist, noch einmal beworben werden.

Unterstützung für andere Produkte

In den folgenden Abschnitten wird beschrieben, wie NCC mit anderen Netzwerkprodukten und ‑funktionen funktioniert.

VPC-Spokes und VPC-Netzwerk-Peering

NCC-VPC-Spokes können Folgendes:

  • Lokale Subnetzrouten zum Hub exportieren
  • Subnetzrouten aus anderen VPC-Spokes importieren
  • Dynamische Routen aus Hybrid-Spokes importieren

VPC-Spokes unterstützen den Export der folgenden Elemente nicht:

Weitere Informationen zu NCC-VPC-Spokes finden Sie unter VPC-Spokes und Spoke-Filter.

Ein VPC-Spoke kann über VPC-Netzwerk-Peering mit einem anderen VPC-Netzwerk verbunden werden, das kein Spoke im Hub ist. Weitere Informationen zum Austausch von Routen mithilfe von VPC-Netzwerk-Peering finden Sie unter Optionen für den Routenaustausch in der Dokumentation zum VPC-Netzwerk-Peering.

Gemeinsam genutzte VPC-Netzwerke

Freigegebene VPC-Netzwerke können einem NCC-Hub als VPC-Spokes hinzugefügt werden. Der Hub kann sich in einem beliebigen Projekt befinden. Diese VPC-Spokes können sich im selben Projekt wie der Hub oder in einem anderen Projekt als der Hub befinden.

Wir empfehlen Administratoren von Dienstprojekten die Rolle networkconnectivity.googleapis.com/spokeAdmin. Weitere Informationen zu dieser Rolle und anderen NCC-Rollen finden Sie unter Rollen und Berechtigungen.

Wenn ein Host- oder Dienstprojekt einer freigegebene VPC, das globale Google API-Endpunkte für Private Service Connect enthält, als Spoke an einen Hub angehängt wird, werden diese Endpunkte weitergegeben (Vorschau).

Legacy-Netzwerke

Spoke-Ressourcen können nicht Teil eines Legacy-Netzwerks sein.

VPN-Tunnel

Klassisches VPN-Tunnel werden nicht unterstützt.

Datenübertragung

Wenn Sie Datenübertragungen verwenden, lesen Sie den Abschnitt Hinweise in der Übersicht über die Site-to-Site-Datenübertragung.

Service Level Agreement

Informationen zum Service Level Agreement (SLA) für NCC finden Sie unter Service Level Agreement (SLA) für Network Connectivity Center.

Preise

Informationen zu Preisen finden Sie unter Preise für NCC.

Nächste Schritte