Propagazione della connessione Private Service Connect tramite NCC

Private Service Connect consente ai consumer di accedere ai servizi gestiti privatamente dall'interno della propria rete Virtual Private Cloud (VPC). Allo stesso modo, consente ai producer di servizi gestiti di ospitare questi servizi nelle proprie reti e progetti VPC separati e di offrire una connessione privata ai propri consumer. Le connessioni Private Service Connect non sono transitive tra gli spoke VPC. La propagazione dei servizi Private Service Connect tramite l'hub Network Connectivity Center (NCC) consente a questi servizi di essere raggiungibili da qualsiasi altro spoke VPC nello stesso hub tramite la tabella di routing.

NCC supporta anche le seguenti funzionalità:

La funzionalità di propagazione della connessione Private Service Connect di NCC avvantaggia i seguenti casi d'uso:

  • Puoi utilizzare una rete VPC di servizi comuni per creare più endpoint consumer Private Service Connect. Se aggiungi una singola rete VPC di servizi comuni all'hub NCC, tutti gli endpoint consumer di Private Service Connect nella rete VPC diventano accessibili in modo transitivo ad altri spoke VPC tramite l'hub NCC. Questa connettività elimina la necessità di gestire individualmente ogni endpoint Private Service Connect in ogni rete VPC.

  • Puoi accedere ai servizi gestiti in una rete VPC spoke da reti on-premise raggiungibili dagli spoke ibridi.

Quando connetti uno spoke VPC a un hub con le connessioni propagate attive, NCC crea connessioni propagate nello spoke per tutti gli endpoint collegati allo stesso hub, a meno che la subnet dell'endpoint non sia esclusa dall'esportazione. Dopo che una rete VPC viene aggiunta a un hub NCC come spoke VPC, vengono propagati anche i nuovi endpoint Private Service Connect, a meno che la subnet dell'endpoint non sia esclusa dall'esportazione.

Per configurare un hub con una connessione propagata di Private Service Connect attivata, l'amministratore dell'hub deve creare un hub con la propagazione di Private Service Connect o aggiornare l'impostazione di propagazione utilizzando il flag --export-psc. L'amministratore dell'hub deve quindi aggiungere le reti VPC come spoke all'hub. Il proprietario dello spoke può utilizzare i flag --exclude-export-ranges e --include-export-ranges per escludere subnet allocate di Private Service Connect specifiche dal routing NCC in modo che le subnet specificate non siano raggiungibili da altre reti VPC, mantenendole così private per la rete VPC locale.

Per informazioni sulle connessioni propagate di Private Service Connect, consulta Informazioni sulle connessioni propagate.

Per informazioni sui flag --exclude-export-ranges e --include-export-ranges, consulta Connettività VPC con filtri di esportazione.

Per informazioni dettagliate sulla configurazione di un hub per una connessione propagata di Private Service Connect, consulta Configurare un hub.

Limite di propagazione della connessione

Per informazioni dettagliate sui limiti delle connessioni propagate, consulta Limite di connessioni propagate.

Considerazioni

Prima di attivare una connessione propagata di Private Service Connect, tieni presente quanto segue:

  • Una connessione propagata di Private Service Connect funziona solo con gli spoke VPC.

  • Le connessioni propagate IPv6 di Private Service Connect tra gli spoke VPC non sono supportate.

  • Se devi rendere disponibili le connessioni Private Service Connect propagate alle reti on-premise connesse agli spoke ibridi:

    • L'hub NCC deve avere una sola rete VPC di routing che contenga tutti i suoi spoke ibridi.

    • La singola rete VPC di routing dell'hub deve essere anche uno spoke VPC.

    Se un hub ha due o più reti VPC di routing, nessuna delle reti VPC di routing può essere anche spoke VPC. Di conseguenza, gli hub con due o più reti VPC di routing non possono rendere disponibili le connessioni Private Service Connect propagate alle reti on-premise.

  • Affinché la propagazione di Private Service Connect funzioni con gli spoke ibridi, è necessario aggiungere anche la rete VPC di routing come spoke VPC.

  • Gli endpoint di Private Service Connect che utilizzano intervalli di indirizzi IP pubblici utilizzati privatamente non vengono propagati all'hub NCC.

  • Se una subnet in uno spoke VPC è configurata con NAT privato per accedere all'hub NCC, il traffico dalla subnet al servizio Private Service Connect propagato viene eliminato. Se il gateway Private NAT è configurato con --nat-all-subnet-ip-ranges, la propagazione di Private Service Connect tramite NCC non funziona per tutte le subnet in questo VPC spoke. Per farlo funzionare da subnet non sovrapposte di questo VPC spoke, utilizza --nat-custom-subnet-ip-ranges per il gateway Private NAT. Non utilizzare NAT per instradare il traffico da subnet non sovrapposte all'hub NCC.

  • Lo stato di propagazione potrebbe non essere accurato se crei, elimini e ricrei l'endpoint Private Service Connect in un breve periodo di tempo. Tuttavia, dopo un po' di tempo, lo stato di propagazione diventa preciso e riflette lo stato effettivo della connessione propagata. L'operazione potrebbe richiedere fino a 15 minuti.

  • La propagazione della connessione Private Service Connect è asincrona dopo la creazione o l'eliminazione dello spoke. Quando uno spoke VPC viene rimosso da un hub, potrebbe essere necessario del tempo per aggiornare le connessioni Private Service Connect propagate. Mentre l'aggiornamento della connessione di propagazione di Private Service Connect è in corso, il traffico dalla VM all'interno della rete VPC può fluire verso il backend, anche dopo che lo spoke VPC è stato aggiunto a un nuovo hub. Per evitare il flusso di traffico verso il backend, prima di aggiungere lo spoke a un altro hub, assicurati che tutte le voci di stato di propagazione per la rete VPC nell'hub precedente, sia come spoke di origine che come spoke di destinazione, vengano eliminate.

Stato di propagazione della connessione Private Service Connect

NCC consente di visualizzare lo stato della propagazione della connessione Private Service Connect all'interno di un hub NCC. Puoi visualizzare un riepilogo degli stati o visualizzare in dettaglio errori specifici per visualizzarne i dettagli.

La tabella seguente elenca i codici di stato di propagazione e il relativo significato.

Codice Messaggio
Pronto La connessione Private Service Connect propagata è pronta.
Propagazione La propagazione della connessione Private Service Connect è in attesa. Si tratta di uno stato temporaneo.
Errore, limite di connessioni propagate dal producer superato La propagazione della connessione Private Service Connect propagata non è riuscita perché la rete VPC o il progetto dello spoke di destinazione ha superato il limite di connessioni di propagazione impostato dal producer. Per risolvere il problema, consulta la documentazione del produttore o contatta il suo team di assistenza.
Errore, spazio IP NAT del producer esaurito La propagazione della connessione Private Service Connect non è riuscita perché lo spazio IP NAT della subnet è esaurito. È equivalente allo stato Needs attention della connessione PSC. Per informazioni dettagliate, consulta Stati della connessione nella documentazione di Private Service Connect.
Errore, quota del producer superata La propagazione della connessione Private Service Connect non è riuscita perché la quota PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK nella rete VPC producer è stata superata.
Errore, quota consumer superata La propagazione della connessione Private Service Connect non è riuscita perché la quota PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK nella rete VPC consumer è stata superata.

Per informazioni su come visualizzare gli stati di propagazione della connessione Private Service Connect, consulta Visualizzare lo stato di propagazione della connessione Private Service Connect. Per informazioni sulla risoluzione dei problemi di propagazione della connessione Private Service Connect, consulta Risolvere gli errori di propagazione della connessione Private Service Connect.

Accedere alle API di Google globali tramite endpoint Private Service Connect

Gli spoke VPC possono esportare le API di Google globali tramite gli endpoint Private Service Connect per la propagazione ad altri spoke nell'hub. Puoi abilitare questa funzionalità sulle API di Google tramite gli endpoint Private Service Connect utilizzando il flag --export-psc-global-google-apis sull'hub per consentire l'accesso alle API di Google negli spoke. Puoi anche escludere gli endpoint dell'API di Google Private Service Connect dalla propagazione aggiungendo il relativo indirizzo IP /32 al filtro di esclusione.

Le attività per configurare la propagazione delle API di Google globali tramite gli endpoint Private Service Connect ad altri spoke includono quanto segue:

  1. Crea un hub NCC utilizzando il comando gcloud network-connectivity hubs create.
  2. Crea una rete VPC e collegala all'hub NCC utilizzando il comando gcloud network-connectivity spokes linked-vpc-network create.
  3. Crea un indirizzo IP globale Private Service Connect sulla rete VPC utilizzando il comando gcloud compute addresses create.
  4. Crea un endpoint API di Google globale utilizzando il comando gcloud compute forwarding-rules create.

  5. Aggiorna l'hub per abilitare la propagazione degli endpoint API globali di Google di Private Service Connect ad altri spoke con il comando gcloud beta network-connectivity hubs update

    Quando abiliti l'opzione di propagazione, qualsiasi endpoint Private Service Connect dell'API di Google globale in qualsiasi spoke VPC che non si trova in un intervallo escluso viene propagato a ogni spoke VPC dell'hub NCC. Altri spoke VPC collegati direttamente all'hub possono accedere ai servizi API di Google inviando traffico all'indirizzo IP di un endpoint API di Google globale Private Service Connect in fase di propagazione.

Per informazioni dettagliate sulle connessioni propagate di Private Service Connect, consulta Informazioni sulle connessioni propagate.

Passaggi successivi