Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Propagation de connexion Private Service Connect via NCC

Private Service Connect permet aux clients d'accéder à des services gérés en mode privé depuis leur réseau cloud privé virtuel (VPC). Similarly, it lets managed service producers host these services in their own separate VPC networks and projects and offer a private connection to their consumers. Les connexions Private Service Connect ne sont pas transitives entre les spokes VPC. La propagation des services Private Service Connect via le hub Network Connectivity Center (NCC) permet à ces services d'être accessibles par n'importe quel autre spoke VPC du même hub via la table de routage.

NCC est également compatible avec les fonctionnalités suivantes :

Propagation des points de terminaison régionaux. Pour en savoir plus sur les points de terminaison régionaux, consultez À propos de l'accès aux points de terminaison régionaux via les points de terminaison Private Service Connect.
Journaux de flux VPC pour les connexions Private Service Connect propagées à l'équilibreur de charge réseau passthrough interne. Pour en savoir plus sur cette fonctionnalité, consultez la section Flux de VM à VM via Private Service Connect dans la documentation sur les journaux de flux VPC.

La fonctionnalité de propagation des connexions Private Service Connect de NCC est utile dans les cas d'utilisation suivants :

Vous pouvez utiliser un réseau VPC de services communs pour créer plusieurs points de terminaison client Private Service Connect. En ajoutant un seul réseau VPC de services communs au hub NCC, tous les points de terminaison client Private Service Connect du réseau VPC deviennent accessibles de manière transitive aux autres spokes VPC via le hub NCC. Cette connectivité élimine la nécessité de gérer individuellement chaque point de terminaison Private Service Connect dans chaque réseau VPC.
Vous pouvez accéder aux services gérés d'un réseau spoke VPC à partir de réseaux sur site accessibles par des spokes hybrides.

Lorsque vous connectez un spoke VPC à un hub pour lequel la propagation des connexions est activée, NCC crée des connexions propagées dans ce spoke pour tous les points de terminaison associés au même hub, sauf si le sous-réseau du point de terminaison est exclu de l'exportation. Après l'ajout d'un réseau VPC à un hub NCC en tant que spoke VPC, les nouveaux points de terminaison Private Service Connect sont également propagés, sauf si le sous-réseau du point de terminaison est exclu de l'exportation.

To set up a hub with a Private Service Connect propagated connection enabled, the hub administrator must create a hub with Private Service Connect propagation or update the propagation setting by using the --export-psc flag. L'administrateur du hub doit ensuite ajouter les réseaux VPC en tant que spokes au hub. Le propriétaire du spoke peut utiliser les options --exclude-export-ranges et --include-export-ranges pour exclure des sous-réseaux alloués Private Service Connect spécifiques du routage NCC afin que les sous-réseaux spécifiés ne soient pas accessibles depuis d'autres réseaux VPC, ce qui les maintient privés pour le réseau VPC local.

Pour en savoir plus sur les connexions propagées Private Service Connect, consultez À propos des connexions propagées.

Pour en savoir plus sur les options --exclude-export-ranges et --include-export-ranges, consultez Connectivité VPC avec filtres d'exportation.

Pour en savoir plus sur la configuration d'un hub pour une connexion propagée Private Service Connect, consultez Configurer un hub.

Limite de propagation des connexions

For details about propagated connection limits, see Propagated connection limit.

Remarques

Consider the following before you enable a Private Service Connect propagated connection:

Une connexion propagée Private Service Connect ne fonctionne qu'avec les spokes VPC.
Les connexions propagées IPv6 Private Service Connect entre les spokes VPC ne sont pas acceptées.
Si vous devez rendre les connexions Private Service Connect propagées disponibles pour les réseaux sur site connectés à des spokes hybrides :
- Votre hub NCC ne doit comporter qu'un seul réseau VPC de routage contenant tous ses spokes hybrides.
- Le réseau VPC de routage unique du hub doit également être un spoke VPC.
Si un hub comporte au moins deux réseaux VPC de routage, aucun d'entre eux ne peut également être un spoke VPC. Par conséquent, les hubs comportant au moins deux réseaux VPC de routage ne peuvent pas mettre à disposition des réseaux sur site des connexions Private Service Connect propagées.
Pour que la propagation Private Service Connect fonctionne avec les spokes hybrides, le réseau VPC de routage doit également être ajouté en tant que spoke VPC.
Les points de terminaison Private Service Connect utilisant des plages d'adresses IP publiques utilisées en mode privé ne sont pas propagés au hub NCC.
Si un sous-réseau d'un spoke VPC est configuré avec Private NAT pour accéder au hub NCC, le trafic du sous-réseau vers le service Private Service Connect propagé est abandonné. Si la passerelle Private NAT est configurée avec --nat-all-subnet-ip-ranges, la propagation Private Service Connect via NCC ne fonctionne pas pour tous les sous-réseaux de ce spoke VPC. Pour que cela fonctionne à partir de sous-réseaux qui ne se chevauchent pas de ce spoke VPC, utilisez --nat-custom-subnet-ip-ranges pour la passerelle Private NAT. N'utilisez pas le NAT pour acheminer le trafic de sous-réseaux qui ne se chevauchent pas vers le hub NCC.
L'état de propagation peut être inexact si vous créez, supprimez et recréez le point de terminaison Private Service Connect dans un court laps de temps. Toutefois, après un certain temps, l'état de propagation devient précis et reflète l'état réel de la connexion propagée. Cela peut prendre jusqu'à 15 minutes.
La propagation de la connexion Private Service Connect est asynchrone après la création ou la suppression d'un spoke. Lorsqu'un spoke VPC est supprimé d'un hub, la mise à jour des connexions Private Service Connect propagées peut prendre un certain temps. Pendant la mise à jour de la connexion de propagation Private Service Connect, le trafic de la VM du réseau VPC peut circuler vers le backend, même après l'ajout du spoke VPC à un nouveau hub. Pour éviter que le trafic ne soit acheminé vers le backend, avant d'ajouter le spoke à un autre hub, assurez-vous que toutes les entrées d'état de propagation du réseau VPC dans le hub précédent, qu'il s'agisse d'un spoke source ou d'un spoke cible, sont supprimées.

État de la propagation de connexion Private Service Connect

NCC vous permet d'afficher l'état de la propagation de la connexion Private Service Connect dans un hub NCC. Vous pouvez afficher un récapitulatif des états ou explorer des erreurs spécifiques pour en afficher les détails.

Le tableau suivant répertorie les codes d'état de propagation et leur signification.

Code	Message
Ready	La connexion Private Service Connect propagée est prête.
Propagation	La propagation de la connexion Private Service Connect est en attente. Il s'agit d'un état temporaire.
Erreur : limite de connexions propagées du producteur dépassée	La propagation de la connexion Private Service Connect propagée a échoué, car le réseau VPC ou le projet du spoke cible a dépassé la limite de connexion de propagation définie par le producteur. Pour résoudre ce problème, consultez la documentation de votre producteur ou contactez son équipe d'assistance.
Erreur : espace d'adresses IP NAT du producteur épuisé	La propagation de la connexion Private Service Connect a échoué, car l'espace de sous-réseau IP NAT est épuisé. Cela équivaut à l'état `Needs attention` de la connexion PSC. Pour en savoir plus, consultez États de connexion dans la documentation Private Service Connect.
Erreur : quota du producteur dépassé	La propagation de la connexion Private Service Connect a échoué, car le quota `PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK` du réseau VPC producteur a été dépassé.
Erreur : quota du consommateur dépassé	La propagation de la connexion Private Service Connect a échoué, car le quota `PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK` du réseau VPC de consommateur a été dépassé.

Pour savoir comment afficher l'état de propagation des connexions Private Service Connect, consultez Afficher l'état de propagation des connexions Private Service Connect. Pour en savoir plus sur le dépannage de la propagation de connexion Private Service Connect, consultez Résoudre les erreurs de propagation de connexion Private Service Connect.

Accéder aux API Google globales via des points de terminaison Private Service Connect

Les spokes VPC peuvent exporter des API Google globales via des points de terminaison Private Service Connect pour les propager vers d'autres spokes du hub. Vous pouvez activer cette fonctionnalité sur les API Google via des points de terminaison Private Service Connect en utilisant l'option --export-psc-global-google-apis sur le hub pour autoriser l'accès aux API Google sur les spokes. Vous pouvez également exclure de la propagation les points de terminaison d'API Google Private Service Connect en ajoutant leur adresse IP /32 au filtre d'exclusion.

Les tâches de configuration de la propagation des API Google mondiales via des points de terminaison Private Service Connect vers d'autres spokes sont les suivantes :

Créez un hub NCC à l'aide de la commande gcloud network-connectivity hubs create.
Créez un réseau VPC et associez-le au hub NCC à l'aide de la commande gcloud network-connectivity spokes linked-vpc-network create.
Créez une adresse IP globale Private Service Connect sur le réseau VPC à l'aide de la commande gcloud compute addresses create.
Créez un point de terminaison d'API Google global à l'aide de la commande gcloud compute forwarding-rules create.
Mettez à jour le hub pour activer la propagation des points de terminaison Private Service Connect des API Google globales vers d'autres spokes à l'aide de la commande gcloud beta network-connectivity hubs update.

Lorsque vous activez l'option de propagation, tout point de terminaison d'API Google mondial Private Service Connect dans un spoke VPC qui ne se trouve pas dans une plage exclue est propagé à chaque spoke VPC du hub NCC. Les autres spokes VPC directement connectés au hub peuvent accéder aux services d'API Google en envoyant du trafic vers l'adresse IP d'un point de terminaison de l'API Google globale Private Service Connect en cours de propagation.