Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Propagation de connexion Private Service Connect via NCC

Private Service Connect permet aux consommateurs d'accéder à des services gérés de manière privée depuis leur réseau de cloud privé virtuel (VPC). Similarly, it lets managed service producers host these services in their own separate VPC networks and projects and offer a private connection to their consumers. Les connexions Private Service Connect ne sont pas transitives entre les spokes VPC. La propagation des services Private Service Connect via le hub Network Connectivity Center (NCC) permet à ces services d'être accessibles par n'importe quel autre spoke VPC du même hub via la table de routage.

NCC est également compatible avec les fonctionnalités suivantes :

Propagation des points de terminaison régionaux. Pour en savoir plus sur les points de terminaison régionaux, consultez À propos de l'accès aux points de terminaison régionaux via les points de terminaison Private Service Connect.
Journaux de flux VPC pour les connexions Private Service Connect propagées à l'équilibreur de charge réseau passthrough interne. Pour en savoir plus sur cette fonctionnalité, consultez la section Flux de VM à VM via Private Service Connect dans la documentation sur les journaux de flux VPC.

La fonctionnalité de propagation des connexions Private Service Connect de NCC présente les avantages suivants :

Vous pouvez utiliser un réseau VPC de services communs pour créer plusieurs points de terminaison Private Service Connect pour les consommateurs. En ajoutant un seul réseau VPC de services communs au hub NCC, tous les points de terminaison Private Service Connect du consommateur dans le réseau VPC deviennent accessibles de manière transitive aux autres spokes VPC via le hub NCC. Cette connectivité élimine la nécessité de gérer individuellement chaque point de terminaison Private Service Connect dans chaque réseau VPC.
Vous pouvez accéder aux services gérés d'un réseau spoke VPC à partir de réseaux sur site accessibles par des spokes hybrides.

Lorsque vous connectez un spoke VPC à un hub pour lequel la propagation des connexions est activée, NCC crée des connexions propagées dans ce spoke pour tous les points de terminaison associés au même hub, sauf si le sous-réseau du point de terminaison est exclu de l'exportation. After a VPC network is added to a NCC hub as a VPC spoke, new Private Service Connect endpoints are also propagated, unless the endpoint's subnet is excluded from export.

To set up a hub with a Private Service Connect propagated connection enabled, the hub administrator must create a hub with Private Service Connect propagation or update the propagation setting by using the --export-psc flag. L'administrateur du hub doit ensuite ajouter les réseaux VPC en tant que spokes au hub. Le propriétaire du spoke peut utiliser les indicateurs --exclude-export-ranges et --include-export-ranges pour exclure des sous-réseaux alloués Private Service Connect spécifiques du routage NCC. Ainsi, les sous-réseaux spécifiés ne sont pas accessibles depuis d'autres réseaux VPC, ce qui les maintient privés au réseau VPC local.

Pour en savoir plus sur les connexions propagées Private Service Connect, consultez À propos des connexions propagées.

Pour en savoir plus sur les indicateurs --exclude-export-ranges et --include-export-ranges, consultez Connectivité VPC avec filtres d'exportation.

Pour en savoir plus sur la configuration d'un hub pour une connexion propagée Private Service Connect, consultez Configurer un hub.

Limite de propagation des connexions

For details about propagated connection limits, see Propagated connection limit.

Remarques

Consider the following before you enable a Private Service Connect propagated connection:

Une connexion propagée Private Service Connect ne fonctionne qu'avec les spokes VPC.
Les connexions propagées IPv6 Private Service Connect dans les spokes VPC ne sont pas prises en charge.
Si vous devez rendre les connexions Private Service Connect propagées disponibles pour les réseaux sur site connectés à des spokes hybrides :
- Votre hub NCC ne doit comporter qu'un seul réseau VPC de routage contenant tous ses spokes hybrides.
- Le réseau VPC de routage unique du hub doit également être un spoke VPC.
Si un hub comporte au moins deux réseaux VPC de routage, aucun d'eux ne peut également être un spoke VPC. Par conséquent, les hubs comportant au moins deux réseaux VPC de routage ne peuvent pas rendre les connexions Private Service Connect propagées disponibles pour les réseaux sur site.
Pour que la propagation Private Service Connect fonctionne avec les spokes hybrides, le réseau VPC de routage doit également être ajouté en tant que spoke VPC.
Les points de terminaison Private Service Connect utilisant des plages d'adresses IP publiques utilisées en mode privé ne sont pas propagés au hub NCC.
Si un sous-réseau d'un spoke VPC est configuré avec Private NAT pour accéder au hub NCC, le trafic du sous-réseau vers le service Private Service Connect propagé est abandonné. Si la passerelle Private NAT est configurée avec --nat-all-subnet-ip-ranges, la propagation Private Service Connect via NCC ne fonctionne pas pour tous les sous-réseaux de ce spoke VPC. Pour que cela fonctionne à partir de sous-réseaux qui ne se chevauchent pas dans ce VPC-hub, utilisez --nat-custom-subnet-ip-ranges pour la passerelle Private NAT. N'utilisez pas NAT pour acheminer le trafic des sous-réseaux non chevauchants vers le hub NCC.
L'état de propagation peut être inexact si vous créez, supprimez et recréez le point de terminaison Private Service Connect dans un court laps de temps. Toutefois, au bout d'un certain temps, l'état de propagation devient exact et reflète l'état réel de la connexion propagée. Cette opération peut prendre jusqu'à 15 minutes.
La propagation de la connexion Private Service Connect est asynchrone après la création ou la suppression d'un spoke. Lorsqu'un spoke VPC est supprimé d'un hub, la mise à jour des connexions Private Service Connect propagées peut prendre un certain temps. Tant que la mise à jour de la connexion de propagation Private Service Connect est en cours, le trafic de la VM au sein du réseau VPC peut transiter vers le backend, même après l'ajout du spoke VPC à un nouveau hub. Pour éviter le flux de trafic vers le backend, avant d'ajouter le spoke à un autre hub, assurez-vous que toutes les entrées d'état de propagation pour le réseau VPC dans le hub précédent, qu'il s'agisse d'un spoke source ou d'un spoke cible, sont supprimées.

État de propagation de la connexion Private Service Connect

NCC vous permet d'afficher l'état de la propagation de la connexion Private Service Connect dans un hub NCC. Vous pouvez afficher un récapitulatif des états ou examiner des erreurs spécifiques pour en afficher les détails.

Le tableau suivant répertorie les codes d'état de propagation et leur signification.

Code	Message
Ready	La connexion Private Service Connect propagée est prête.
Propagation	La propagation de la connexion Private Service Connect est en attente. Il s'agit d'un état temporaire.
Erreur : limite de connexions propagées du producteur dépassée	La propagation de la connexion Private Service Connect propagée a échoué, car le réseau VPC ou le projet du spoke cible a dépassé la limite de connexion de propagation définie par le producteur. Pour résoudre ce problème, consultez la documentation de votre producteur ou contactez son équipe d'assistance.
Erreur : espace d'adresses IP NAT du producteur épuisé	La propagation de la connexion Private Service Connect a échoué, car l'espace de sous-réseau IP NAT est épuisé. Cela équivaut à l'état `Needs attention` de la connexion PSC. Pour en savoir plus, consultez États de connexion dans la documentation Private Service Connect.
Erreur : quota du producteur dépassé	La propagation de la connexion Private Service Connect a échoué, car le quota `PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK` du réseau VPC du producteur a été dépassé.
Erreur : quota du consommateur dépassé	La propagation de la connexion Private Service Connect a échoué, car le quota `PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK` du réseau VPC consommateur a été dépassé.

Pour savoir comment afficher l'état de propagation des connexions Private Service Connect, consultez Afficher l'état de propagation des connexions Private Service Connect. Pour obtenir des informations sur le dépannage de la propagation des connexions Private Service Connect, consultez Résoudre les erreurs de propagation des connexions Private Service Connect.

Accéder aux API Google mondiales via des points de terminaison Private Service Connect

Les spokes VPC peuvent exporter les API Google mondiales via des points de terminaison Private Service Connect pour les propager aux autres spokes du hub. Vous pouvez activer cette fonctionnalité sur les API Google via les points de terminaison Private Service Connect en utilisant l'indicateur --export-psc-global-google-apis sur le hub pour autoriser l'accès aux API Google sur les rayons. Vous pouvez également exclure les points de terminaison Private Service Connect des API Google de la propagation en ajoutant leur adresse IP /32 au filtre d'exclusion.

Pour configurer la propagation des API Google mondiales via les points de terminaison Private Service Connect vers d'autres spokes, vous devez effectuer les tâches suivantes :

Créez un hub NCC à l'aide de la commande gcloud network-connectivity hubs create.
Créez un réseau VPC et associez-le au hub NCC à l'aide de la commande gcloud network-connectivity spokes linked-vpc-network create.
Créez une adresse IP globale Private Service Connect sur le réseau VPC à l'aide de la commande gcloud compute addresses create.
Créez un point de terminaison de l'API Google global à l'aide de la commande gcloud compute forwarding-rules create.
Mettez à jour le hub pour activer la propagation des points de terminaison d'API Google mondiaux Private Service Connect vers d'autres spokes avec la commande gcloud beta network-connectivity hubs update.

Lorsque vous activez l'option de propagation, tout point de terminaison de l'API Google mondial Private Service Connect dans un spoke VPC qui ne se trouve pas dans une plage exclue est propagé à tous les spokes VPC du hub NCC. D'autres spokes VPC directement connectés au hub peuvent accéder aux services d'API Google en envoyant du trafic à l'adresse IP d'un point de terminaison de l'API Google globale Private Service Connect en cours de propagation.