Propagação da conexão do Private Service Connect pelo NCC

O Private Service Connect permite que os consumidores acessem serviços gerenciados de maneira particular de dentro da rede de nuvem privada virtual (VPC). Da mesma forma, ele permite que os produtores de serviços gerenciados hospedem esses serviços em redes e projetos VPC separados e ofereçam uma conexão privada aos consumidores. As conexões do Private Service Connect não são transitivas entre spokes de VPC. A propagação dos serviços do Private Service Connect pelo hub do Network Connectivity Center (NCC) permite que esses serviços sejam acessados por qualquer outra VPC spoke no mesmo hub pela tabela de rotas.

O NCC também oferece suporte aos seguintes recursos:

O recurso de propagação de conexão do Private Service Connect do NCC beneficia os seguintes casos de uso:

  • É possível usar uma rede VPC de serviços comuns para criar vários endpoints do consumidor do Private Service Connect. Ao adicionar uma única rede VPC de serviços comuns ao hub do NCC, todos os endpoints do consumidor do Private Service Connect na rede VPC se tornam transitivamente acessíveis a outros spokes de VPC pelo hub do NCC. Essa conectividade elimina a necessidade de gerenciar individualmente cada endpoint do Private Service Connect em cada rede VPC.

  • É possível acessar serviços gerenciados em uma rede spoke VPC de redes locais que podem ser acessadas por spokes híbridos.

Quando você conecta um spoke VPC a um hub com conexões propagadas ativadas, o NCC cria conexões propagadas nesse spoke para qualquer endpoint anexado ao mesmo hub, a menos que a sub-rede do endpoint seja excluída da exportação. Depois que uma rede VPC é adicionada a um hub do NCC como um spoke VPC, os novos endpoints do Private Service Connect também são propagados, a menos que a sub-rede do endpoint seja excluída da exportação.

Para configurar um hub com uma conexão propagada do Private Service Connect ativada, o administrador do hub precisa criar um hub com propagação do Private Service Connect ou atualizar a configuração de propagação usando o --export-psc. Em seguida, o administrador do hub precisa adicionar as redes VPC como spokes ao hub. O proprietário do spoke pode usar as flags --exclude-export-ranges e --include-export-ranges para excluir sub-redes alocadas específicas do Private Service Connect do roteamento do NCC para que as sub-redes especificadas não possam ser acessadas por outras redes VPC, mantendo a privacidade delas à rede VPC local.

Para informações sobre conexões propagadas do Private Service Connect, consulte Sobre conexões propagadas.

Para informações sobre as flags --exclude-export-ranges e --include-export-ranges, consulte Conectividade de VPC com filtros de exportação.

Para informações detalhadas sobre como configurar um hub para uma conexão propagada do Private Service Connect, consulte Configurar um hub.

Limite de propagação da conexão

Para detalhes sobre os limites de conexão propagada, consulte Limite de conexão propagada.

Considerações

Considere o seguinte antes de ativar uma conexão propagada do Private Service Connect:

  • Uma conexão propagada do Private Service Connect só funciona com spokes de VPC.

  • Não há suporte para conexões propagadas IPv6 do Private Service Connect em spokes de VPC.

  • Se você precisar disponibilizar conexões de rede propagadas do Private Service Connect para redes locais conectadas a spokes híbridos:

    • O hub do NCC precisa ter apenas uma rede VPC de roteamento que contenha todos os spokes híbridos.

    • A rede VPC de roteamento único do hub também precisa ser um spoke VPC.

    Se um hub tiver duas ou mais redes VPC de roteamento, nenhuma delas poderá ser um spoke VPC. Consequentemente, hubs com duas ou mais redes VPC de roteamento não podem disponibilizar conexões propagadas do Private Service Connect para redes locais.

  • Para que a propagação do Private Service Connect funcione com spokes híbridos, a rede VPC de roteamento também precisa ser adicionada como um spoke de VPC.

  • Os endpoints do Private Service Connect que usam intervalos de endereços IP públicos usados de modo privado não são propagados para o hub do NCC.

  • Se uma sub-rede em um spoke de VPC estiver configurada com o Private NAT para acessar o hub do NCC, o tráfego da sub-rede para o serviço propagado do Private Service Connect será descartado. Se o gateway do Private NAT estiver configurado com --nat-all-subnet-ip-ranges, a propagação do Private Service Connect pelo NCC não vai funcionar para todas as sub-redes nessa VPC spoke. Para que ele funcione em sub-redes não sobrepostas desse spoke VPC, use --nat-custom-subnet-ip-ranges para o gateway do Private NAT. Não use NAT para rotear o tráfego de sub-redes não sobrepostas para o hub do NCC.

  • O status de propagação pode ser impreciso se você criar, excluir e recriar o endpoint do Private Service Connect em um curto período. No entanto, depois de algum tempo, o status de propagação se torna preciso e reflete o estado real da conexão propagada. Isso pode levar até 15 minutos.

  • A propagação da conexão do Private Service Connect é assíncrona após a criação ou exclusão do spoke. Quando um spoke de VPC é removido de um hub, pode levar algum tempo para atualizar as conexões propagadas do Private Service Connect. Enquanto a atualização da conexão de propagação do Private Service Connect está em andamento, o tráfego da VM na rede VPC pode fluir para o back-end, mesmo depois que o spoke VPC é adicionado a um novo hub. Para evitar o fluxo de tráfego para o back-end, antes de adicionar o spoke a outro hub, verifique se todas as entradas de status de propagação da rede VPC no hub anterior, seja como spoke de origem ou de destino, foram excluídas.

Status de propagação da conexão do Private Service Connect

O NCC permite que você confira o status da propagação de conexão do Private Service Connect em um hub do NCC. É possível ver um resumo dos status ou detalhar erros específicos para ver os detalhes deles.

A tabela a seguir lista os códigos de status de propagação e o que eles significam.

Código Mensagem
Ready A conexão propagada do Private Service Connect está pronta.
Propagação A propagação da conexão do Private Service Connect está pendente. Esse é um estado temporário.
Erro: limite de conexões propagadas do produtor excedido A propagação de conexão do Private Service Connect falhou porque a rede VPC ou o projeto do spoke de destino excedeu o limite de conexão definido pelo produtor. Para resolver esse problema, consulte a documentação do produtor ou entre em contato com a equipe de suporte dele.
Erro: espaço de IP NAT do produtor esgotado A propagação da conexão do Private Service Connect falhou porque o espaço de sub-rede IP NAT foi esgotado. Isso equivale ao status Needs attention da conexão com o PSC. Para mais detalhes, consulte Status de conexão na documentação do Private Service Connect.
Erro, cota do produtor excedida A propagação de conexão do Private Service Connect falhou porque a cota PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK na rede VPC do produtor foi excedida.
Erro: cota do consumidor excedida A propagação de conexão do Private Service Connect falhou porque a cota PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK na rede VPC do consumidor foi excedida.

Para saber como visualizar os status de propagação de conexão do Private Service Connect, consulte Visualizar o status de propagação de conexão do Private Service Connect. Para informações sobre solução de problemas de propagação de conexão do Private Service Connect, consulte Resolver erros de propagação de conexão do Private Service Connect.

Acessar APIs globais do Google por endpoints do Private Service Connect

Os spokes VPC podem exportar APIs globais do Google por meio de endpoints do Private Service Connect para propagação para outros spokes no hub. É possível ativar esse recurso nas APIs do Google por meio de endpoints do Private Service Connect usando a flag --export-psc-global-google-apis no hub para permitir o acesso às APIs do Google em spokes. Também é possível excluir da propagação os endpoints de API do Google do Private Service Connect adicionando o endereço IP /32 ao filtro de exclusão.

As tarefas para configurar a propagação de APIs globais do Google por meio de endpoints do Private Service Connect para outros spokes incluem o seguinte:

  1. Crie um hub do NCC usando o comando gcloud network-connectivity hubs create.
  2. Crie uma rede VPC e anexe-a ao hub do NCC usando o comando gcloud network-connectivity spokes linked-vpc-network create.
  3. Crie um endereço IP global do Private Service Connect na rede VPC usando o comando gcloud compute addresses create.
  4. Crie um endpoint global de API do Google usando o comando gcloud compute forwarding-rules create.

  5. Atualize o hub para permitir a propagação de endpoints de API globais do Google do Private Service Connect para outros spokes com o comando gcloud beta network-connectivity hubs update.

    Quando você ativa a opção de propagação, qualquer endpoint global de API do Google do Private Service Connect em qualquer spoke VPC que não esteja em um intervalo excluído é propagado para todos os spokes VPC do hub do NCC. Outros spokes VPC conectados diretamente ao hub podem acessar os serviços de API do Google enviando tráfego para o endereço IP de um endpoint de API global do Google do Private Service Connect que está sendo propagado.

Para informações detalhadas sobre conexões propagadas do Private Service Connect, consulte Sobre conexões propagadas.

A seguir