Private Service Connect-Verbindungsweitergabe über das NCC

Mit Private Service Connect können Nutzer privat aus ihrem VPC-Netzwerk (Virtual Private Cloud) auf verwaltete Dienste zugreifen. Ebenso können Ersteller verwalteter Dienste diese Dienste in ihren eigenen separaten VPC-Netzwerken und -Projekten hosten und ihren Nutzern eine private Verbindung bieten. Private Service Connect-Verbindungen sind zwischen VPC-Spokes nicht transitiv. Durch die Weitergabe von Private Service Connect-Diensten über den Network Connectivity Center-Hub (NCC) können diese Dienste von jedem anderen Spoke-VPC im selben Hub über die Routingtabelle erreicht werden.

NCC unterstützt auch die folgenden Funktionen:

Die Funktion zur Weitergabe von Private Service Connect-Verbindungen in NCC bietet Vorteile für die folgenden Anwendungsfälle:

  • Sie können ein VPC-Netzwerk für gemeinsame Dienste verwenden, um mehrere Private Service Connect-Nutzerendpunkte zu erstellen. Wenn Sie dem NCC-Hub ein einzelnes VPC-Netzwerk für gemeinsame Dienste hinzufügen, sind alle Private Service Connect-Nutzerendpunkte im VPC-Netzwerk über den NCC-Hub transitiv für andere VPC-Spokes zugänglich. Dank dieser Konnektivität müssen Sie nicht mehr jeden Private Service Connect-Endpunkt in jedem VPC-Netzwerk einzeln verwalten.

  • Sie können von lokalen Netzwerken, die über Hybrid-Spokes erreichbar sind, auf verwaltete Dienste in einem VPC-Spoke-Netzwerk zugreifen.

Wenn Sie einen VPC-Spoke mit einem Hub verbinden, für den weitergeleitete Verbindungen aktiviert sind, erstellt NCC in diesem Spoke weitergeleitete Verbindungen für alle Endpunkte, die mit demselben Hub verbunden sind, es sei denn, das Subnetz des Endpunkts ist vom Export ausgeschlossen. Nachdem ein VPC-Netzwerk einem NCC-Hub als VPC-Spoke hinzugefügt wurde, werden auch neue Private Service Connect-Endpunkte weitergegeben, es sei denn, das Subnetz des Endpunkts ist vom Export ausgeschlossen.

Wenn Sie einen Hub mit einer aktivierten weitergegebenen Private Service Connect-Verbindung einrichten möchten, muss der Hub-Administrator einen Hub mit Private Service Connect-Weitergabe erstellen oder die Weitergabeeinstellung mit dem Flag --export-psc aktualisieren. Anschließend muss der Hub-Administrator die VPC-Netzwerke als Spokes zum Hub hinzufügen. Der Spoke-Inhaber kann die Flags --exclude-export-ranges und --include-export-ranges verwenden, um bestimmte Private Service Connect-zugewiesene Subnetze vom NCC-Routing auszuschließen, sodass die angegebenen Subnetze nicht von anderen VPC-Netzwerken aus erreicht werden können und somit privat für das lokale VPC-Netzwerk bleiben.

Informationen zu von Private Service Connect propagierten Verbindungen finden Sie unter Propagierte Verbindungen.

Informationen zu den Flags --exclude-export-ranges und --include-export-ranges finden Sie unter VPC-Konnektivität mit Exportfiltern.

Ausführliche Informationen zum Einrichten eines Hubs für eine weitergegebene Private Service Connect-Verbindung finden Sie unter Hub konfigurieren.

Limit für die Verbindungsweitergabe

Weitere Informationen zu den Limits für weitergegebene Verbindungen finden Sie unter Limit für weitergegebene Verbindungen.

Hinweise

Beachten Sie Folgendes, bevor Sie eine weitergegebene Private Service Connect-Verbindung aktivieren:

  • Eine weitergegebene Private Service Connect-Verbindung funktioniert nur mit VPC-Spokes.

  • Private Service Connect-IPv6-Verbindungen, die über VPC-Spokes weitergegeben werden, werden nicht unterstützt.

  • Wenn Sie weitergegebene Private Service Connect-Netzwerkverbindungen für lokale Netzwerke verfügbar machen müssen, die mit Hybrid-Spokes verbunden sind:

    • Ihr NCC-Hub darf nur ein Routing-VPC-Netzwerk enthalten, das alle Hybrid-Spokes enthält.

    • Das einzelne Routing-VPC-Netzwerk des Hubs muss ebenfalls ein VPC-Spoke sein.

    Wenn ein Hub zwei oder mehr Routing-VPC-Netzwerke hat, kann keines der Routing-VPC-Netzwerke auch ein VPC-Spoke sein. Daher können Hubs mit zwei oder mehr Routing-VPC-Netzwerken keine weitergeleiteten Private Service Connect-Verbindungen für lokale Netzwerke verfügbar machen.

  • Damit die Private Service Connect-Weitergabe mit Hybrid-Spokes funktioniert, muss das Routing-VPC-Netzwerk auch als VPC-Spoke hinzugefügt werden.

  • Private Service Connect-Endpunkte, die privat genutzte öffentliche IP-Adressbereiche verwenden, werden nicht an den NCC-Hub weitergegeben.

  • Wenn ein Subnetz in einem VPC-Spoke mit Private NAT für den Zugriff auf den NCC-Hub konfiguriert ist, wird der Traffic vom Subnetz zum weitergegebenen Private Service Connect-Dienst verworfen. Wenn das Private NAT-Gateway mit --nat-all-subnet-ip-ranges konfiguriert ist, funktioniert die Private Service Connect-Weitergabe über NCC nicht für alle Subnetze in dieser Spoke-VPC. Damit es von sich nicht überschneidenden Subnetzen dieses VPC-Spoke aus funktioniert, verwenden Sie --nat-custom-subnet-ip-ranges für das Private NAT-Gateway. Verwenden Sie NAT nicht, um Traffic von sich nicht überschneidenden Subnetzen an den NCC-Hub weiterzuleiten.

  • Der Propagierungsstatus ist möglicherweise ungenau, wenn Sie den Private Service Connect-Endpunkt innerhalb kurzer Zeit erstellen, löschen und neu erstellen. Nach einiger Zeit wird der Propagierungsstatus jedoch korrekt und spiegelt den tatsächlichen Status der propagierten Verbindung wider. Dies kann bis zu 15 Minuten dauern.

  • Die Private Service Connect-Verbindungsweitergabe erfolgt asynchron nach dem Erstellen oder Löschen eines Spokes. Wenn ein VPC-Spoke aus einem Hub entfernt wird, kann es einige Zeit dauern, bis die weitergeleiteten Private Service Connect-Verbindungen aktualisiert werden. Während die Aktualisierung der Private Service Connect-Weiterleitungsverbindung läuft, kann Traffic von der VM im VPC-Netzwerk zum Backend fließen, auch nachdem der VPC-Spoke einem neuen Hub hinzugefügt wurde. Damit kein Traffic zum Backend fließt, müssen Sie vor dem Hinzufügen des Spokes zu einem anderen Hub alle Einträge für den Weitergabestatus des VPC-Netzwerk im vorherigen Hub löschen, unabhängig davon, ob es sich um einen Quell- oder Ziel-Spoke handelt.

Status der Private Service Connect-Verbindungsweitergabe

Mit dem NCC können Sie den Status der Private Service Connect-Verbindungsweitergabe innerhalb eines NCC-Hubs aufrufen. Sie können sich eine Zusammenfassung der Status ansehen oder bestimmte Fehler aufschlüsseln, um Fehlerdetails aufzurufen.

In der folgenden Tabelle sind die Statuscodes für die Weitergabe und ihre Bedeutung aufgeführt.

Code Nachricht
Bereit Die weitergegebene Private Service Connect-Verbindung ist bereit.
Wird übertragen Die Private Service Connect-Verbindungsweitergabe steht aus. Dies ist ein vorübergehender Zustand.
Fehler: Limit für weitergegebene Verbindungen des Erstellers überschritten Die Weitergabe der Private Service Connect-Verbindung ist fehlgeschlagen, weil das VPC-Netzwerk oder das Projekt des Ziel-Spokes das vom Ersteller festgelegte Verbindungslimit überschritten hat. Informationen zur Behebung dieses Problems finden Sie in der Dokumentation des Herstellers oder wenden Sie sich an dessen Supportteam.
Fehler: NAT-IP-Bereich des Erstellers erschöpft Die Private Service Connect-Verbindungsweitergabe ist fehlgeschlagen, weil der NAT-IP-Subnetzbereich ausgeschöpft ist. Dies entspricht dem Status Needs attention der PSC-Verbindung. Weitere Informationen finden Sie in der Private Service Connect-Dokumentation unter Verbindungsstatus.
Fehler: Erstellerkontingent überschritten Die Private Service Connect-Verbindungsweitergabe ist fehlgeschlagen, weil das Kontingent PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK im Ersteller-VPC-Netzwerk überschritten wurde.
Fehler: Nutzerkontingent überschritten Die Private Service Connect-Verbindungsweitergabe ist fehlgeschlagen, weil das Kontingent PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK im Nutzer-VPC-Netzwerk überschritten wurde.

Informationen zum Aufrufen des Status der Private Service Connect-Verbindungsweitergabe finden Sie unter Status der Private Service Connect-Verbindungsweitergabe aufrufen. Informationen zur Fehlerbehebung bei der Private Service Connect-Verbindungsweitergabe finden Sie unter Fehler bei der Private Service Connect-Verbindungsweitergabe beheben.

Über Private Service Connect-Endpunkte auf globale Google APIs zugreifen

VPC-Spokes können globale Google APIs über Private Service Connect-Endpunkte exportieren, um sie an andere Spokes im Hub weiterzugeben. Sie können diese Funktion für Google APIs über Private Service Connect-Endpunkte aktivieren, indem Sie das Flag --export-psc-global-google-apis auf dem Hub verwenden, um den Zugriff auf Google APIs über Spokes hinweg zu ermöglichen. Sie können auch Private Service Connect-Google API-Endpunkte von der Weitergabe ausschließen, indem Sie ihre /32-IP-Adresse dem „Ausschließen“-Filter hinzufügen.

Die Aufgaben zum Konfigurieren der Weitergabe globaler Google APIs über Private Service Connect-Endpunkte an andere Spokes umfassen Folgendes:

  1. Erstellen Sie einen NCC-Hub mit dem Befehl gcloud network-connectivity hubs create.
  2. Erstellen Sie ein VPC-Netzwerk und hängen Sie es mit dem Befehl gcloud network-connectivity spokes linked-vpc-network create an den NCC-Hub an.
  3. Erstellen Sie mit dem Befehl gcloud compute addresses create eine globale IP-Adresse für Private Service Connect im VPC-Netzwerk.
  4. Erstellen Sie mit dem Befehl gcloud compute forwarding-rules create einen globalen Google API-Endpunkt.

  5. Aktualisieren Sie den Hub, um die Weitergabe globaler Google API-Endpunkte von Private Service Connect an andere Spokes mit dem Befehl gcloud beta network-connectivity hubs update zu aktivieren.

    Wenn Sie die Weitergabeoption aktivieren, wird jeder globale Google API-Endpunkt von Private Service Connect in jedem VPC-Spoke, der sich nicht in einem ausgeschlossenen Bereich befindet, an jeden VPC-Spoke des NCC-Hubs weitergegeben. Andere VPC-Spokes, die direkt mit dem Hub verbunden sind, können auf Google API-Dienste zugreifen, indem sie Traffic an die IP-Adresse eines globalen Google API-Endpunkt von Private Service Connect senden, der propagiert wird.

Ausführliche Informationen zu von Private Service Connect propagierten Verbindungen finden Sie unter Propagierte Verbindungen.

Nächste Schritte

  • Informationen zum Erstellen von Hubs und Spokes finden Sie unter Mit Hubs und Spokes arbeiten.
  • Eine Liste der Partner, deren Lösungen in das NCC eingebunden sind, finden Sie unter NCC-Partner.
  • Lösungen für häufige Probleme finden Sie unter Fehlerbehebung.
  • Ausführliche Informationen zur API und zu Google Cloud CLI-Befehlen finden Sie unter APIs und Referenz.