Private Service Connect מאפשר לצרכנים לגשת לשירותים מנוהלים באופן פרטי מתוך רשת הענן הפרטי הווירטואלי (VPC) שלהם. באופן דומה, הוא מאפשר לבעלים של שירותים מנוהלים לארח את השירותים האלה ברשתות VPC ובפרויקטים נפרדים משלהם, ולהציע חיבור פרטי לצרכנים שלהם. חיבורי Private Service Connect לא עוברים בין רשתות VPC. הפצת שירותי Private Service Connect דרך המרכז של Network Connectivity Center (NCC) מאפשרת גישה לשירותים האלה מכל רשת VPC אחרת מסוג Spoke באותו מרכז, דרך טבלת המסלולים.
בנוסף, NCC תומך ביכולות הבאות:
- הפצה של נקודות קצה אזוריות. מידע נוסף על נקודות קצה אזוריות זמין במאמר מידע על גישה לנקודות קצה אזוריות דרך נקודות קצה של Private Service Connect.
- יומני VPC Flow לחיבורי Private Service Connect שהופצו למאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי. מידע מפורט על היכולת הזו זמין בקטע תהליכים בין מכונות וירטואליות דרך Private Service Connect במסמכי התיעוד של יומני הזרימה של VPC.
התכונה "הפצת חיבורים" של Private Service Connect ב-NCC מתאימה לתרחישים הבאים:
אתם יכולים להשתמש ברשת VPC של שירותים משותפים כדי ליצור כמה נקודות קצה של צרכני Private Service Connect. אם מוסיפים לרכזת NCC רשת VPC אחת של שירותים נפוצים, כל נקודות הקצה של הצרכנים ב-Private Service Connect ברשת ה-VPC הופכות לנגישות באופן טרנזיטיבי ל-VPC spokes אחרים דרך רכזת NCC. הקישוריות הזו מייתרת את הצורך לנהל בנפרד כל נקודת קצה של Private Service Connect בכל רשת VPC.
אתם יכולים לגשת לשירותים מנוהלים ברשת VPC Spoke מרשתות מקומיות שאפשר להגיע אליהן באמצעות רשתות Spoke היברידיות.
כשמחברים VPC spoke ל-hub שמופעלים בו חיבורים מופצים, NCC יוצר חיבורים מופצים ב-spoke הזה לכל נקודות הקצה שמחוברות לאותו hub, אלא אם רשת המשנה של נקודת הקצה הוחרגה מהייצוא. אחרי שמוסיפים רשת VPC ל-NCC hub בתור VPC spoke, גם נקודות קצה חדשות של Private Service Connect מופצות, אלא אם רשת המשנה של נקודת הקצה לא נכללת בייצוא.
כדי להגדיר רכזת עם חיבור מופץ של Private Service Connect, מנהל הרכזת צריך ליצור רכזת עם הפצה של Private Service Connect או לעדכן את הגדרת ההפצה באמצעות הדגל --export-psc. לאחר מכן, האדמין של המרכז צריך להוסיף את רשתות ה-VPC כרשתות Spoke למרכז. הבעלים של ה-spoke יכולים להשתמש בדגלים --exclude-export-ranges ו---include-export-ranges כדי להחריג רשתות משנה ספציפיות שהוקצו ל-Private Service Connect מהניתוב של NCC, כך שלא תהיה גישה לרשתות המשנה שצוינו מרשתות VPC אחרות, והן יישארו פרטיות ברשת ה-VPC המקומית.
מידע נוסף על חיבורים מופצים של Private Service Connect זמין במאמר מידע על חיבורים מופצים.
מידע נוסף על הדגלים --exclude-export-ranges ו---include-export-ranges זמין במאמר קישוריות VPC עם מסנני ייצוא.
מידע מפורט על הגדרת רכזת לחיבור מופץ של Private Service Connect זמין במאמר הגדרת רכזת.
מגבלת הפצת החיבורים
לפרטים על מגבלות החיבורים המופצים, ראו מגבלת החיבורים המופצים.
לתשומת ליבכם
לפני שמפעילים חיבור מופץ של Private Service Connect, חשוב להביא בחשבון את הדברים הבאים:
חיבור מופץ של Private Service Connect פועל רק עם רשתות VPC.
אי אפשר להפיץ חיבורי IPv6 של Private Service Connect בין רשתות VPC.
אם אתם צריכים להפיץ את החיבורים של Private Service Connect לרשתות מקומיות שמחוברות ל-spokes היברידיים:
ל-NCC Hub צריכה להיות רק רשת VPC אחת לניתוב שמכילה את כל ה-spokes ההיברידיים.
רשת ה-VPC היחידה לניתוב של ה-hub צריכה להיות גם VPC spoke.
אם ל-Hub יש שתי רשתות VPC לניתוב או יותר, אף אחת מהן לא יכולה להיות גם VPC Spoke. לכן, מרכזים עם שתי רשתות VPC לניתוב או יותר לא יכולים להפיץ חיבורי Private Service Connect לרשתות מקומיות.
כדי שההפצה של Private Service Connect תפעל עם רשתות VPC היברידיות, צריך להוסיף את רשת ה-VPC לניתוב גם כרשת VPC.
נקודות קצה של Private Service Connect שמשתמשות בטווחי כתובות IP ציבוריות בשימוש פרטי לא מופצות ל-NCC hub.
אם מגדירים רשת משנה ב-VPC Spoke עם Private NAT כדי לגשת ל-NCC Hub, התנועה מרשת המשנה לשירות Private Service Connect המופץ נמחקת. אם שער ה-NAT הפרטי מוגדר עם
--nat-all-subnet-ip-ranges, הפצת Private Service Connect דרך NCC לא פועלת בכל רשתות המשנה ב-VPC הזה של ה-spoke. כדי שהיא תפעל מרשתות משנה שלא חופפות ל-VPC spoke הזה, צריך להשתמש ב---nat-custom-subnet-ip-rangesלשער ה-NAT הפרטי. אל תשתמשו ב-NAT כדי לנתב תנועה מרשתות משנה שלא חופפות ל-NCC hub.יכול להיות שסטטוס ההפצה לא יהיה מדויק אם יוצרים, מוחקים ויוצרים מחדש את נקודת הקצה של Private Service Connect בפרק זמן קצר. עם זאת, אחרי זמן מה סטטוס ההפצה הופך למדויק ומשקף את המצב בפועל של החיבור שהופץ. התהליך עשוי להימשך עד 15 דקות.
ההפצה של חיבור Private Service Connect היא אסינכרונית אחרי יצירה או מחיקה של Spoke. כשמסירים VPC spoke מ-hub, יכול להיות שיעבור קצת זמן עד שהחיבורים המופצים של Private Service Connect יתעדכנו. בזמן שההפצה של עדכון החיבור של Private Service Connect מתבצעת, התנועה מה-VM ברשת ה-VPC יכולה לעבור לקצה העורפי, גם אחרי שה-VPC spoke נוסף ל-hub חדש. כדי למנוע תנועה ל-backend, לפני שמוסיפים את ה-spoke ל-hub אחר, צריך לוודא שכל רשומות סטטוס ההפצה של רשת ה-VPC ב-hub הקודם נמחקו, גם אם מדובר ב-spoke מקור וגם אם מדובר ב-spoke יעד.
סטטוס הפצת החיבור של Private Service Connect
ב-NCC אפשר לראות את סטטוס ההפצה של החיבור ל-Private Service Connect בתוך מרכז NCC. אתם יכולים לראות סיכום של הסטטוסים או להתעמק בשגיאות ספציפיות כדי לראות את פרטי השגיאה.
בטבלה הבאה מפורטים קודי הסטטוס של ההפצה והמשמעות שלהם.
| קוד | הודעה |
|---|---|
| מוכן | החיבור המופץ של Private Service Connect מוכן. |
| בהפצה | הפצת החיבור של Private Service Connect בהמתנה. זהו מצב זמני. |
| שגיאה, חריגה ממגבלת החיבורים שהופצו על ידי היצרן | הפצת החיבור של Private Service Connect נכשלה כי רשת ה-VPC או הפרויקט של ה-spoke לטירגוט חרגו ממגבלת החיבורים להפצה שהוגדרה על ידי היצרן. כדי לפתור את הבעיה, צריך לעיין במסמכי התיעוד של היצרן או לפנות לצוות התמיכה שלו. |
| Error, producer NAT IP space exhausted | הפצת החיבור של Private Service Connect נכשלה כי נגמר המקום בתת-הרשת של כתובות ה-IP של ה-NAT. הוא מקביל לסטטוס Needs attention של חיבור ה-PSC. לפרטים, קראו את הקטע סטטוסים של חיבורים במסמכי התיעוד של Private Service Connect.
|
| שגיאה, חריגה ממכסת היצרן | הפצת החיבור של Private Service Connect נכשלה כי חרגתם מהמכסה של PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK ברשת ה-VPC של ספק השירות.
|
| שגיאה, חריגה ממכסת הצרכן | הפצת החיבור של Private Service Connect נכשלה כי חרגתם מהמכסה של PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK ברשת ה-VPC של הצרכן.
|
איך בודקים את סטטוס ההפצה של חיבור Private Service Connect למידע על פתרון בעיות בהפצת חיבורים של Private Service Connect, קראו את המאמר פתרון בעיות בהפצת חיבורים של Private Service Connect.
גישה לממשקי Google APIs גלובליים דרך נקודות קצה (endpoints) של Private Service Connect
ספוקים של VPC יכולים לייצא ממשקי Google APIs גלובליים דרך נקודות קצה של Private Service Connect כדי להפיץ אותם לספוקים אחרים ב-hub. כדי להפעיל את התכונה הזו בממשקי Google API דרך נקודות קצה של Private Service Connect, משתמשים בדגל --export-psc-global-google-apis ברכזת כדי לאפשר גישה ל-Google API דרך רשתות Spoke.
אפשר גם להחריג מההפצה נקודות קצה של Private Service Connect Google API, על ידי הוספת כתובת ה-IP שלהן (/32) למסנן ההחרגה.
כדי להגדיר את ההפצה של ממשקי Google APIs גלובליים דרך נקודות קצה של Private Service Connect ל-spokes אחרים, צריך לבצע את הפעולות הבאות:
- יוצרים רכזת NCC באמצעות הפקודה
gcloud network-connectivity hubs create. - יוצרים רשת VPC ומחברים אותה ל-NCC hub באמצעות הפקודה
gcloud network-connectivity spokes linked-vpc-network create. - יוצרים כתובת IP גלובלית של Private Service Connect ברשת ה-VPC באמצעות הפקודה
gcloud compute addresses create. - יוצרים נקודת קצה גלובלית ל-Google API באמצעות הפקודה
gcloud compute forwarding-rules create. מעדכנים את ה-hub כדי לאפשר הפצה של נקודות קצה גלובליות של Google API ב-Private Service Connect ל-spokes אחרים באמצעות הפקודה
gcloud beta network-connectivity hubs updateכשמפעילים את אפשרות ההפצה, כל נקודת קצה גלובלית של Google API ב-Private Service Connect בכל VPC spoke שלא נמצא בטווח מוחרג מופצת לכל VPC spoke של ה-NCC hub. ספוקים אחרים של VPC שמחוברים ישירות ל-hub יכולים לגשת לשירותי Google API על ידי שליחת תנועה לכתובת ה-IP של נקודת קצה גלובלית של Google API ב-Private Service Connect שמופצת.
מידע מפורט על חיבורים מופצים של Private Service Connect זמין במאמר מידע על חיבורים מופצים.
המאמרים הבאים
- במאמר עבודה עם רכזות ורכיבי Spoke מוסבר איך יוצרים רכזות ורכיבי Spoke.
- ברשימה הזו מופיעים השותפים שהפתרונות שלהם משולבים ב-NCC.
- כדי למצוא פתרונות לבעיות נפוצות, ראו פתרון בעיות.
- במאמר ממשקי API והפניות מוסבר איך משתמשים בפקודות של ה-API ושל Google Cloud CLI.