Private Service Connect-Verbindungsweitergabe über das NCC

Mit Private Service Connect können Nutzer privat aus ihrem VPC-Netzwerk (Virtual Private Cloud) auf verwaltete Dienste zugreifen. Ebenso können Ersteller verwalteter Dienste diese Dienste in ihren eigenen separaten VPC-Netzwerken und ‑Projekten hosten und ihren Nutzern eine private Verbindung bieten. Private Service Connect-Verbindungen sind nicht transitiv zwischen VPC-Spokes. Durch die Weiterleitung von Private Service Connect-Diensten über den Network Connectivity Center-Hub (NCC) können diese Dienste über die Routingtabelle von jedem anderen Spoke-VPC im selben Hub erreicht werden.

NCC unterstützt auch die folgenden Funktionen:

Die Funktion zur Weitergabe von NCC Private Service Connect-Verbindungen bietet Vorteile für die folgenden Anwendungsfälle:

  • Sie können ein VPC-Netzwerk für gemeinsame Dienste verwenden, um mehrere Private Service Connect-Nutzerendpunkte zu erstellen. Wenn Sie dem NCC-Hub ein einzelnes VPC-Netzwerk für gemeinsame Dienste hinzufügen, sind alle Private Service Connect-Nutzerendpunkte im VPC-Netzwerk über den NCC-Hub transitiv für andere VPC-Spokes zugänglich. Durch diese Verbindung müssen Sie nicht jeden Private Service Connect-Endpunkt in jedem VPC-Netzwerk einzeln verwalten.

  • Sie können über lokale Netzwerke, die über Hybrid-Spokes erreichbar sind, auf verwaltete Dienste in einem VPC-Spoke-Netzwerk zugreifen.

Wenn Sie einen VPC-Spoke mit einem Hub verbinden, für den weitergeleitete Verbindungen aktiviert sind, erstellt NCC weitergeleitete Verbindungen in diesem Spoke für alle Endpunkte, die mit demselben Hub verbunden sind, sofern das Subnetz des Endpunkts nicht vom Export ausgeschlossen ist. Nachdem ein VPC-Netzwerk als VPC-Spoke zu einem NCC-Hub hinzugefügt wurde, werden auch neue Private Service Connect-Endpunkte weitergegeben, sofern das Subnetz des Endpunkts nicht vom Export ausgeschlossen ist.

Um einen Hub mit einer weitergegebenen Private Service Connect-Verbindung einzurichten, muss der Hubadministrator einen Hub mit Private Service Connect-Weitergabe erstellen oder die Weitergabeeinstellung mit dem Flag --export-psc aktualisieren. Anschließend muss der Hub-Administrator die VPC-Netzwerke als Spokes zum Hub hinzufügen. Der Spoke-Inhaber kann die Flags --exclude-export-ranges und --include-export-ranges verwenden, um bestimmte für Private Service Connect zugewiesene Subnetze aus dem NCC-Routing auszuschließen. So kann verhindert werden, dass bestimmte Subnetze von anderen VPC-Netzwerken aus erreicht werden können. Sie bleiben also privat für das lokale VPC-Netzwerk.

Informationen zu von Private Service Connect weitergegebenen Verbindungen finden Sie unter Weitergegebene Verbindungen.

Informationen zu den Flags --exclude-export-ranges und --include-export-ranges finden Sie unter VPC-Konnektivität mit Exportfiltern.

Ausführliche Informationen zum Einrichten eines Hubs für eine über Private Service Connect weitergegebene Verbindung finden Sie unter Hub konfigurieren.

Limit für die Weitergabe von Verbindungen

Weitere Informationen zu Limits für weitergegebene Verbindungen finden Sie unter Limit für weitergegebene Verbindungen.

Hinweise

Beachten Sie Folgendes, bevor Sie eine über Private Service Connect weitergegebene Verbindung aktivieren:

  • Eine weitergeleitete Private Service Connect-Verbindung funktioniert nur mit VPC-Spokes.

  • Private Service Connect-IPv6-Verbindungen, die über VPC-Spokes weitergegeben werden, werden nicht unterstützt.

  • Wenn Sie weitergegebene Private Service Connect-Verbindungen für lokale Netzwerke verfügbar machen müssen, die mit Hybrid-Spokes verbunden sind, gehen Sie so vor:

    • Ihr NCC-Hub darf nur ein Routing-VPC-Netzwerk haben, das alle Hybrid-Spokes enthält.

    • Das einzelne Routing-VPC-Netzwerk des Hubs muss auch ein VPC-Spoke sein.

    Wenn ein Hub zwei oder mehr VPC-Routingnetzwerke hat, kann keines der VPC-Routingnetzwerke auch ein VPC-Spoke sein. Daher können Hubs mit zwei oder mehr Routing-VPC-Netzwerken keine weitergeleiteten Private Service Connect-Verbindungen für lokale Netzwerke bereitstellen.

  • Damit die Private Service Connect-Weiterleitung mit Hybrid-Spokes funktioniert, muss das Routing-VPC-Netzwerk auch als VPC-Spoke hinzugefügt werden.

  • Private Service Connect-Endpunkte, die privat verwendete öffentliche IP-Adressbereiche verwenden, werden nicht an den NCC-Hub weitergegeben.

  • Wenn ein Subnetz in einem VPC-Spoke mit Private NAT für den Zugriff auf den NCC-Hub konfiguriert ist, wird der Traffic vom Subnetz zum weitergegebenen Private Service Connect-Dienst verworfen. Wenn das Private NAT-Gateway mit --nat-all-subnet-ip-ranges konfiguriert ist, funktioniert die Private Service Connect-Weitergabe über NCC nicht für alle Subnetze in dieser Spoke-VPC. Damit es in sich nicht überschneidenden Subnetzen dieses VPC-Spokes funktioniert, verwenden Sie --nat-custom-subnet-ip-ranges für das Private NAT-Gateway. Verwenden Sie NAT nicht, um Traffic von nicht überlappenden Subnetzen zum NCC-Hub weiterzuleiten.

  • Der Weiterleitungsstatus ist möglicherweise ungenau, wenn Sie den Private Service Connect-Endpunkt innerhalb kurzer Zeit erstellen, löschen und neu erstellen. Nach einiger Zeit wird der Weiterleitungsstatus jedoch korrekt und spiegelt den tatsächlichen Status der weitergeleiteten Verbindung wider. Das kann bis zu 15 Minuten dauern.

  • Die Weitergabe von Private Service Connect-Verbindungen erfolgt nach dem Erstellen oder Löschen von Spoke-VPCs asynchron. Wenn ein VPC-Spoke aus einem Hub entfernt wird, kann es einige Zeit dauern, bis weitergegebene Private Service Connect-Verbindungen aktualisiert werden. Während die Aktualisierung der Private Service Connect-Weiterleitungsverbindung läuft, kann der Traffic von der VM im VPC-Netzwerk zum Backend fließen, auch nachdem der VPC-Spoke einem neuen Hub hinzugefügt wurde. Damit kein Traffic an das Backend gesendet wird, müssen Sie vor dem Hinzufügen des Spoke zu einem anderen Hub alle Einträge zum Weitergabestatus für das VPC-Netzwerk im vorherigen Hub löschen, unabhängig davon, ob es sich um einen Quell- oder Ziel-Spoke handelt.

Status der Private Service Connect-Verbindungsweitergabe

Im NCC können Sie den Status der Private Service Connect-Verbindungsweitergabe in einem NCC-Hub ansehen. Sie können eine Zusammenfassung der Statusmeldungen aufrufen oder bestimmte Fehler aufschlüsseln, um Fehlerdetails zu sehen.

In der folgenden Tabelle sind die Codes für den Weiterleitungsstatus und ihre Bedeutung aufgeführt.

Code Nachricht
Bereit Die weitergegebene Private Service Connect-Verbindung ist bereit.
Weitergabe Die Weitergabe der Private Service Connect-Verbindung steht noch aus. Dies ist ein vorübergehender Zustand.
Fehler: Vom Ersteller weitergegebenes Verbindungslimit überschritten Die Weitergabe der weitergeleiteten Private Service Connect-Verbindung ist fehlgeschlagen, weil das VPC-Netzwerk oder das Projekt des Ziel-Spokes das vom Ersteller festgelegte Weitergabe-Verbindungslimit überschritten hat. Informationen zur Behebung dieses Problems finden Sie in der Dokumentation des Herstellers oder wenden Sie sich an das Supportteam.
Fehler: NAT-IP-Bereich des Erstellers erschöpft Die Private Service Connect-Verbindungsweitergabe ist fehlgeschlagen, weil der NAT-IP-Subnetzbereich ausgeschöpft ist. Dies entspricht dem Status Needs attention der PSC-Verbindung. Weitere Informationen finden Sie in der Private Service Connect-Dokumentation unter Verbindungsstatus.
Fehler: Erstellerkontingent überschritten Die Private Service Connect-Verbindungsweitergabe ist fehlgeschlagen, weil das Kontingent PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK im Ersteller-VPC-Netzwerk überschritten wurde.
Fehler: Nutzerkontingent überschritten Die Weitergabe der Private Service Connect-Verbindung ist fehlgeschlagen, weil das Kontingent PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK im VPC-Netzwerk des Nutzers überschritten wurde.

Informationen zum Aufrufen von Private Service Connect-Verbindungsweitergabestatus finden Sie unter Private Service Connect-Verbindungsweitergabestatus ansehen. Informationen zur Fehlerbehebung bei der Weitergabe von Private Service Connect-Verbindungen finden Sie unter Fehlerbehebung bei der Weitergabe von Private Service Connect-Verbindungen.

Über Private Service Connect-Endpunkte auf globale Google APIs zugreifen

VPC-Spokes können globale Google APIs über Private Service Connect-Endpunkte exportieren, um sie an andere Spokes im Hub weiterzugeben. Sie können diese Funktion für Google APIs über Private Service Connect-Endpunkte aktivieren, indem Sie das Flag --export-psc-global-google-apis auf dem Hub verwenden, um den Google API-Zugriff über Spokes hinweg zu ermöglichen. Sie können auch Private Service Connect-Google API-Endpunkte aus der Weitergabe ausschließen, indem Sie ihre /32-IP-Adresse dem Ausschlussfilter hinzufügen.

Die Aufgaben zum Konfigurieren der Weiterleitung globaler Google APIs über Private Service Connect-Endpunkte an andere Spokes umfassen Folgendes:

  1. Erstellen Sie einen NCC-Hub mit dem Befehl gcloud network-connectivity hubs create.
  2. Erstellen Sie ein VPC-Netzwerk und hängen Sie es mit dem gcloud network-connectivity spokes linked-vpc-network create-Befehl an den NCC-Hub an.
  3. Erstellen Sie mit dem Befehl gcloud compute addresses create eine globale Private Service Connect-IP-Adresse im VPC-Netzwerk.
  4. Erstellen Sie mit dem Befehl gcloud compute forwarding-rules create einen globalen Google API-Endpunkt.

  5. Aktualisieren Sie den Hub, um die Weitergabe von globalen Google API-Endpunkten von Private Service Connect an andere Spokes mit dem Befehl gcloud beta network-connectivity hubs update zu aktivieren.

    Wenn Sie die Weitergabeoption aktivieren, wird jeder globale Google API-Endpunkt von Private Service Connect in jedem VPC-Spoke, der sich nicht in einem ausgeschlossenen Bereich befindet, an jeden VPC-Spoke des NCC-Hubs weitergegeben. Andere VPC-Spokes, die direkt mit dem Hub verbunden sind, können auf Google API-Dienste zugreifen, indem sie Traffic an die IP-Adresse eines globalen Google API-Endpunkt von Private Service Connect senden, der weitergegeben wird.

Ausführliche Informationen zu von Private Service Connect weitergegebenen Verbindungen finden Sie unter Weitergegebene Verbindungen.

Nächste Schritte

  • Informationen zum Erstellen von Hubs und Spokes finden Sie unter Mit Hubs und Spokes arbeiten.
  • Eine Liste der Partner, deren Lösungen in NCC eingebunden sind, finden Sie unter NCC-Partner.
  • Lösungen für häufige Probleme finden Sie unter Fehlerbehebung.
  • Ausführliche Informationen zur API und zu Google Cloud CLI-Befehlen finden Sie unter APIs und Referenz.