NCC einrichten und Hub erstellen

Auf dieser Seite wird beschrieben, wie Sie einen Network Connectivity Center-Hub (NCC) mit der hybriden Prüftopologie erstellen, damit Sie dem Hub NCC-Gateway-Spokes und VPC-Spokes hinzufügen können.

Eine Einführung in das NCC-Gateway finden Sie in der Übersicht zum NCC-Gateway.

Hinweis

Lesen Sie zuerst die folgenden Abschnitte, bevor Sie beginnen.

Projekt erstellen oder auswählen

Geben Sie ein gültiges Projekt an, um die Konfiguration des NCC zu vereinfachen.

  1. Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. Verify that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init

  12. Wenn Sie die Google Cloud CLI verwenden, legen Sie Ihre Projekt-ID mit dem Befehl gcloud config set fest.

    gcloud config set project PROJECT_ID

    Ersetzen Sie PROJECT_ID durch Ihre eindeutige Projekt-ID.

    Die Anleitung für die gcloud CLI auf dieser Seite setzt voraus, dass Sie Ihre Projekt-ID festgelegt haben.

  13. Prüfen Sie mit dem Befehl gcloud config list, ob die Projekt-ID korrekt festgelegt ist.

    gcloud config list --format='text(core.project)'

Network Connectivity API aktivieren

Bevor Sie irgendwelche Aufgaben mit NCC Gateway ausführen können, müssen Sie die Network Connectivity API aktivieren.

Console

So aktivieren Sie die Network Connectivity API:

  1. Rufen Sie in der Google Cloud Console die Seite Network Connectivity Center auf.

    Zum Network Connectivity Center

  2. Klicken Sie auf Aktivieren.

Alternativ können Sie die API mithilfe der Google Cloud Console API-Bibliothek aktivieren, wie unter APIs aktivieren beschrieben.

Zugriff erhalten

Wenn Sie mit NCC und NCC Gateway arbeiten möchten, benötigen Sie die unter Rollen und Berechtigungen beschriebenen Berechtigungen.

Ressourcen identifizieren

Verwenden Sie die Konventionen, die in der folgenden Tabelle beschrieben werden, wenn Sie mit der gcloud CLI oder der API auf Ressourcen verweisen.

Kongress Unterstützt für Hinweise Beispiel
Vollständiger URI Alle Ressourcen Verwenden Sie eine dieser Methoden, um auf Router-Appliance-Instanzen zu verweisen. 
"https://www.googleapis.com/compute/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
Relativer Ressourcenname Alle Ressourcen 
"projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
Name Regionale und globale Ressourcen Verwenden Sie diese Methode für Hubs, Spokes, VPN-Tunnel und VLAN-Anhänge. 
 "HUB_NAME"

NCC-Hub erstellen

So erstellen Sie einen NCC-Hub mit der voreingestellten hybriden Prüftopologie:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Network Connectivity Center auf.

    Zum Network Connectivity Center

  2. Wählen Sie im Projektmenü ein Projekt aus.

  3. Klicken Sie auf Hub erstellen.

  4. Optional: Wählen Sie den Hub-Richtlinienmodus aus.

  5. Füllen Sie den Abschnitt Grundkonfiguration des Formulars aus:

    1. Geben Sie einen Hub-Namen ein.
    2. Optional: Geben Sie eine Beschreibung ein.
    3. Optional: Zum Hinzufügen eines Labels klicken Sie auf Element hinzufügen und geben Sie dann einen Schlüssel und einen Wert ein.
    4. Prüfen Sie, ob im Formular die richtige Projekt-ID angezeigt wird. Wenn die Projekt-ID falsch ist, wählen Sie ein anderes Projekt über das Menü oben auf der Seite aus.

  6. Optional: Wenn Sie die Private Service Connect-Verbindungsweitergabe aktivieren möchten, klicken Sie im Feld Private Service Connect-Verbindungsweitergabe auf Ein.

  7. Führen Sie einen der folgenden Schritte aus:

    • Wenn Sie einen Spoke erstellen möchten, klicken Sie auf Nächster Schritt und füllen Sie den Abschnitt zur Spoke-Erstellung des Formulars aus. Eine Anleitung finden Sie unter NCC-Gateway-Spoke erstellen.
    • Wenn Sie noch keinen Spoke erstellen möchten, klicken Sie auf Erstellen, um den neuen Hub zu erstellen.

gcloud

Verwenden Sie den Befehl gcloud network-connectivity hubs create und geben Sie die voreingestellte Topologie für die hybride Prüfung an.

gcloud beta network-connectivity hubs create HUB_NAME \
    --preset-topology=hybrid-inspection

Ersetzen Sie HUB_NAME durch einen Namen für den neuen Hub.

API

Verwenden Sie die Methode projects.locations.global.hubs.create:

POST https://networkconnectivity.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/hubs
{
  "name":"HUB_NAME",
  "description":"DESCRIPTION",
  "labels": {
    "KEY": "VALUE"
  },
  "presetTopology": "HYBRID_INSPECTION"
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: Projekt-ID des Projekts, das den neuen Hub enthält
  • HUB_NAME: Name des neuen Hubs
  • DESCRIPTION: Optionaler Text zur Beschreibung des Hubs
  • KEY: Schlüssel im Schlüssel/Wert-Paar für den optionalen Labeltext
  • VALUE: Wert im Schlüssel/Wert-Paar für den optionalen Labeltext

VPC-Netzwerke mit dem Hub verbinden

Der Prozess zum Verbinden von VPC-Netzwerken mit einem Hub hängt davon ab, ob sich das Netzwerk und der Hub im selben Projekt befinden.

VPC-Netzwerke und Hub aus verschiedenen Projekten verbinden

So verbinden Sie VPC-Netzwerke aus verschiedenen Projekten:

VPC-Netzwerke und Hub im selben Projekt verbinden

Wenn sich die VPC-Netzwerke und der Hub im selben Projekt befinden, gehen Sie so vor:

Zum Verbinden mehrerer VPC-Netzwerke innerhalb eines bestimmten Projekts verbinden Sie ein VPC-Netzwerk mit einem Spoke und verbinden ihn mit einem Hub.

Wenn Sie eine VPC erstellen, um eine Verbindung zu einem Hub herzustellen, der für die Sterntopologie konfiguriert ist, müssen Sie die Projekt-ID, den Hubnamen oder ‑URI und den Gruppennamen vom Hubadministrator abrufen.

Wenn Sie Ausschlussbereiche für den Export oder Einschlussbereiche für den Export zuweisen möchten, verwenden Sie die entsprechenden Optionen beim Erstellen des Spokes.

So erstellen Sie einen VPC-Spoke:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Network Connectivity Center auf.

    Zum Network Connectivity Center

  2. Wählen Sie im Projektmenü ein Projekt aus, in dem Sie den Spoke erstellen möchten.

  3. Klicken Sie auf den Tab Spokes.

  4. Klicken Sie auf Spoke hinzufügen.

  5. Wählen Sie im Abschnitt Hub auswählen den Hub-Standort so aus:

    • Wählen Sie Im Projekt PROJECT_NAME aus und wählen Sie den Hub-Namen aus der Liste aus, um den neuen Spoke an einen Hub im selben Projekt anzuhängen.
    • Wenn Sie den neuen Spoke an einen Hub in einem anderen Projekt anhängen möchten, wählen Sie In einem anderen Projekt aus. Geben Sie die Projekt-ID und den Hub-Namen ein, an den Sie den neuen Spoke anhängen möchten.

    Wenn Sie einen Hub in einem anderen Projekt auswählen, wird der Spoke nur aktiviert, wenn der Hub-Administrator den vorgeschlagenen Spoke überprüft und akzeptiert. Weitere Informationen zum Erstellen von Spokes, die mit einem Hub in einem anderen Projekt verbunden sind, finden Sie unter Übersicht über VPC-Spokes. Wenn Sie einen VPC-Spoke im selben Projekt wie den Hub erstellen, wird er automatisch akzeptiert und aktiviert.

  6. Geben Sie einen Spoke-Namen und optional eine Beschreibung ein.

  7. Wählen Sie basierend auf der Topologie des Hubs, mit dem Sie eine Verbindung herstellen, die Spoke-Gruppe für Ihren Spoke aus. Sie können einen der folgenden Werte auswählen:

    • Standard für einen Hub mit Mesh-Netzwerktopologie
    • Center oder Edge für einen Hub in einer Sterntopologie. Dieses Feld ist für Spoke-Gruppen erforderlich, die eine Sterntopologie verwenden.
    • Prod, Nicht-Prod oder Dienste für einen Hub, der die Hybridprüfungstopologie verwendet (nur für NCC-Gateway-Spokes)

    Ausführliche Informationen zu Spoke-Gruppen finden Sie unter Spoke-Gruppen.

  8. Wählen Sie VPC-Netzwerk als Spoke-Typ aus.

  9. Wenn Sie dem Spoke ein VPC-Netzwerk hinzufügen möchten, wählen Sie eines aus der Liste Verknüpftes VPC-Netzwerk aus.

  10. Optional: Fügen Sie einen VPC-Spoke-Filter hinzu, um das Bewerben von Routen anzupassen. Geben Sie dazu IP-Adressbereiche ein, um den Export vom Spoke in den Hub aus- oder einzuschließen. Sie können den Spoke so konfigurieren, dass nur Subnetzbereiche mit privaten IPv4-Adressen, nur IPv6-Subnetzbereiche (intern und extern) oder sowohl Subnetzbereiche mit privaten IPv4-Adressen als auch interne und externe IPv6-Subnetzbereiche exportiert werden.

    1. IPv4-Bereiche: Konfigurieren Sie den Export von IPv4-Subnetzbereichen.

      • Export von IPv4-Subnetzbereichen vom Spoke zum Hub einschließen: Dieses Kästchen ist standardmäßig aktiviert und alle Subnetzbereiche, die private IPv4-Adressen verwenden, werden exportiert.

        Wenn Sie keine IPv4-Subnetzbereiche exportieren möchten, deaktivieren Sie dieses Kästchen.

        Wenn Sie nur bestimmte IPv4-Subnetzbereiche exportieren möchten, wählen Sie IPv4-Bereiche angeben aus und geben Sie die Adressbereiche ein, die Sie exportieren möchten. Die von Ihnen angegebenen IPv4-Subnetzbereiche müssen private IPv4-Adressbereiche sein, mit Ausnahme von privat verwendeten öffentlichen IPv4-Adressen. Weitere Informationen finden Sie unter Gültige IPv4-Bereiche.

      • Export von IPv4-Subnetzbereichen vom Spoke zum Hub ausschließen: Wenn der Spoke Subnetzbereiche exportiert und Sie bestimmte Bereiche vom Export ausschließen möchten, geben Sie diese Bereiche in dieses Feld ein.

    2. IPv6-Bereiche: Konfigurieren Sie den Export von IPv6-Subnetzbereichen (intern und extern).

      • Export aller IPv6-Subnetzbereiche vom Spoke zum Hub einschließen: Aktivieren Sie das Kästchen, um alle IPv6-Subnetzbereiche zum Hub zu exportieren.

        Wenn Sie nur bestimmte IPv6-Subnetzbereiche exportieren möchten, wählen Sie IPv6-Bereiche angeben aus und geben Sie die Adressbereiche ein, die Sie exportieren möchten.

      • Export von IPv6-Subnetzbereichen vom Spoke zum Hub ausschließen: Wenn der Spoke Subnetzbereiche exportiert und Sie bestimmte Bereiche vom Export ausschließen möchten, geben Sie diese Bereiche in dieses Feld ein.

  11. Klicken Sie auf Fertig.

  12. Wenn Sie weitere Spokes hinzufügen möchten, klicken Sie auf Spoke hinzufügen und starten Sie den Vorgang noch einmal. Beginnen Sie mit der Eingabe eines Spoke-Namens.

  13. Wenn Sie alle Spokes hinzugefügt haben, klicken Sie auf Erstellen. Die NCC-Seite wird aktualisiert und zeigt Details zu den von Ihnen erstellten Spokes an.

gcloud

Verwenden Sie zum Erstellen eines VPC-Spoke den Befehl gcloud network-connectivity spokes linked-vpc-network create.

gcloud network-connectivity spokes linked-vpc-network create SPOKE_NAME \
    --hub=HUB \
    --description=DESCRIPTION \
    --vpc-network=VPC_URI \
    --include-export-ranges=[INCLUDE_EXPORT_RANGES] \
    --exclude-export-ranges=[EXCLUDE_EXPORT_RANGES] \
    --global \
    --group=GROUP_NAME

Ersetzen Sie Folgendes:

  • SPOKE_NAME: der Name des Spoke, den Sie erstellen, z. B. vpc-spoke1
  • HUB: der Hub für den Spoke
  • DESCRIPTION: eine optionale Beschreibung des Spoke
  • VPC_URI: das VPC-Netzwerk, auf das dieser Spoke verweist

  • INCLUDE_EXPORT_RANGES: Eine durch Kommas getrennte Liste von Keywords, IP-Adressbereichen oder einer Kombination aus Keywords und IP-Adressbereichen, die definieren, welche Subnetz-IP-Adressbereiche in den Hub exportiert werden können.

    • Mit dem Keyword ALL_PRIVATE_IPV4_RANGES werden alle Subnetzbereiche, die private IPv4-Adressen verwenden, der Liste der zu exportierenden Bereiche hinzugefügt.

    • Das Keyword ALL_IPV4_RANGES umfasst alle IPv4-Adressen, was dem CIDR-Bereich 0.0.0.0/0 entspricht. Alle gültigen IPv4-Bereiche für Subnetzbereiche, einschließlich privat verwendeter öffentlicher IPv4-Adressbereiche, sind enthalten. Mit dem Flag --exclude-export-ranges können Sie die Liste eingrenzen.

    • Das Schlüsselwort ALL_IPV6_RANGES umfasst alle IPv6-Adressen, was dem CIDR ::/0 entspricht.

    • Die Exportbereiche für die Einbeziehung unterstützen bis zu 16 eindeutige, nicht überlappende CIDRs. Kein CIDR in den Exportbereichen darf mit einem anderen CIDR übereinstimmen oder es enthalten.

    • Wenn Sie --include-export-ranges für einen VPC-Spoke weglassen, sind die Standardbereiche für den Export dieselben, als hätten Sie ALL_PRIVATE_IPV4_RANGES angegeben.

    • Subnetzbereiche im VPC-Spoke, die in den Export eingeschlossenen Bereiche und die vom Export ausgeschlossenen Bereiche müssen den Regeln für Exportfilter für VPC-Spokes entsprechen.

  • EXCLUDE_EXPORT_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen, die definieren, welche Subnetz-IP-Adressbereiche niemals zum Hub exportiert werden.

    • Die auszuschließenden Exportbereiche unterstützen bis zu 16 eindeutige, nicht überlappende CIDRs. Kein CIDR in den auszuschließenden Exportbereichen darf mit einem anderen CIDR übereinstimmen oder ein anderes CIDR enthalten.

    • Jeder CIDR, der in den vom Export ausgeschlossenen Bereichen angegeben ist, muss zu IP-Adressen erweitert werden, die vollständig in CIDRs oder Keywords in den in den Export eingeschlossenen Bereichen enthalten sind (oder in den standardmäßig in den Export eingeschlossenen Bereichen, wenn Sie keine Bereiche explizit angeben).

    • Für ausgeschlossene Exportbereiche werden keine Keywords unterstützt.

    • Wenn Sie --exclude-export-ranges weglassen, verwendet NCC standardmäßig eine leere Liste als Ausschlussbereiche für den Export.

    • Subnetzbereiche im VPC-Spoke, die eingeschlossenen Exportbereiche und die ausgeschlossenen Exportbereiche müssen den Exportfilterregeln für VPC-Spokes entsprechen.

  • GROUP_NAME: Die Gruppe, zu der dieser Spoke gehört. Unterstützte Werte sind:

    • Default für einen Hub mit Mesh-Netzwerktopologie
    • Center oder edge für einen Hub in einer Sterntopologie. Dieses Feld ist für Spoke-Gruppen erforderlich, die die Sterntopologie verwenden.
    • Prod, non-prod oder services für einen Hub, der die Hybrid-Prüfungstopologie verwendet (nur für NCC Gateway-Spokes)

    Ausführliche Informationen zu Spoke-Gruppen finden Sie unter Spoke-Gruppen.

API

Verwenden Sie zum Erstellen eines VPC-Spoke die Methode projects.locations.spokes.create.

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
  {
    "hub":"HUB_NAME",
    "linkedVpcNetwork": {
       "uri": VPC_URI,
       "include_export_ranges": "[INCLUDE_EXPORT_RANGES]",
       "exclude_export_ranges": "[EXCLUDE_EXPORT_RANGES]",
       "group": "GROUP_NAME"
    },
  }

Ersetzen Sie die folgenden Werte:

  • PROJECT_ID: die Projekt-ID des Projekts, das den neuen Spoke enthält.
  • SPOKE_NAME: Name des neuen Spoke.
  • HUB_NAME: Name des Hubs, an den Sie den Spoke anhängen.
  • VPC_URI: das VPC-Netzwerk, auf das dieser Spoke verweist, z. B. vpc_uri.

  • INCLUDE_EXPORT_RANGES: eine durch Kommas getrennte Liste von Schlüsselwörtern, IP-Adressbereichen oder eine Kombination aus Schlüsselwörtern und IP-Adressbereichen, die definieren, welche Subnetz-IP-Adressbereiche in den Hub exportiert werden können.

    • Mit dem Keyword ALL_PRIVATE_IPV4_RANGES werden alle Subnetzbereiche, die private IPv4-Adressen verwenden, der Liste der zu exportierenden Bereiche hinzugefügt.

    • Das Schlüsselwort ALL_IPV4_RANGES umfasst alle IPv4-Adressen, was dem CIDR 0.0.0.0/0 entspricht. Alle gültigen IPv4-Bereiche für Subnetzbereiche, einschließlich privat verwendeter öffentlicher IPv4-Adressbereiche, sind enthalten. Mit dem Flag --exclude-export-ranges können Sie die Liste eingrenzen.

    • Das Schlüsselwort ALL_IPV6_RANGES umfasst alle IPv6-Adressen, was dem CIDR ::/0 entspricht.

    • Die Exportbereiche unterstützen bis zu 16 eindeutige, sich nicht überschneidende CIDRs. Kein CIDR in den Exportbereichen darf mit einem anderen CIDR übereinstimmen oder es enthalten.

    • Wenn Sie include_export_ranges für einen VPC-Spoke weglassen, sind die Standardbereiche für den Export dieselben, als hätten Sie ALL_PRIVATE_IPV4_RANGES angegeben.

    • Subnetzbereiche im VPC-Spoke, die in den Export eingeschlossenen Bereiche und die vom Export ausgeschlossenen Bereiche müssen den Regeln für Exportfilter für VPC-Spokes entsprechen.

  • EXCLUDE_EXPORT_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen, die definieren, welche Subnetz-IP-Adressbereiche niemals zum Hub exportiert werden.

    • Die auszuschließenden Exportbereiche unterstützen bis zu 16 eindeutige, nicht überlappende CIDRs. Kein CIDR in den auszuschließenden Exportbereichen darf mit einem anderen CIDR übereinstimmen oder ein anderes CIDR enthalten.

    • Jeder CIDR, der in den vom Export ausgeschlossenen Bereichen angegeben ist, muss zu IP-Adressen erweitert werden, die vollständig in CIDRs oder Keywords in den in den Export eingeschlossenen Bereichen enthalten sind (oder in den standardmäßig in den Export eingeschlossenen Bereichen, wenn Sie keine Bereiche explizit angeben).

    • Für ausgeschlossene Exportbereiche werden keine Keywords unterstützt.

    • Wenn Sie exclude_export_ranges weglassen, verwendet NCC standardmäßig eine leere Liste als Ausschlussbereiche für den Export.

    • Subnetzbereiche im VPC-Spoke, die eingeschlossenen Exportbereiche und die ausgeschlossenen Exportbereiche müssen den Exportfilterregeln für VPC-Spokes entsprechen.

  • GROUP_NAME: die Gruppe, zu der dieser Spoke gehört. Unterstützte Werte sind:

    • Default für einen Hub mit Mesh-Netzwerktopologie
    • Center oder edge für einen Hub in einer Sterntopologie. Dieses Feld ist für Spoke-Gruppen erforderlich, die die Sterntopologie verwenden.
    • Prod, non-prod oder services für einen Hub, der die Hybrid-Prüfungstopologie verwendet (nur für NCC-Gateway-Spokes)

    Ausführliche Informationen zu Spoke-Gruppen finden Sie unter Spoke-Gruppen.

Weiter
NCC-Gateway-Spoke erstellen