Configurare NCC e creare un hub

Questa pagina descrive come creare un hub Network Connectivity Center (NCC) utilizzando la topologia di ispezione ibrida in modo da poter aggiungere spoke del gateway NCC e spoke VPC all'hub.

Per un'introduzione al gateway NCC, consulta la panoramica del gateway NCC.

Prima di iniziare

Prima di iniziare, consulta le sezioni seguenti.

Crea o seleziona un progetto

Per semplificare la configurazione di NCC, inizia identificando un progetto valido.

Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

1. Se utilizzi Google Cloud CLI, imposta l'ID progetto utilizzando il comando gcloud config set.

   gcloud config set project PROJECT_ID

   Sostituisci PROJECT_ID con l'ID progetto univoco.

   Le istruzioni di gcloud CLI in questa pagina presuppongono che tu abbia impostato l'ID progetto.

2. Per verificare di aver impostato correttamente l'ID progetto, utilizza il comando gcloud config list.

   gcloud config list --format='text(core.project)'

Abilita l'API Network Connectivity

Prima di poter eseguire qualsiasi attività utilizzando NCC Gateway, devi abilitare l'API Network Connectivity.

Console

Per abilitare l'API Network Connectivity, segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina Network Connectivity Center.

   Vai a Network Connectivity Center

2. Fai clic su Attiva.

In alternativa, puoi abilitare l'API utilizzando la libreria API della console Google Cloud , come descritto in Abilitare le API.

Richiedi l'accesso

Per lavorare con NCC e NCC Gateway, devi disporre delle autorizzazioni descritte in Ruoli e autorizzazioni.

Identificare le risorse

Quando fai riferimento alle risorse utilizzando gcloud CLI o l'API, utilizza le convenzioni descritte nella tabella seguente.

Convegno	Supportato per	Note	Esempio
URI completo	Tutte le risorse	Utilizza uno di questi metodi per fare riferimento alle istanze dell'appliance router.	"https://www.googleapis.com/compute/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
Nome della risorsa relativo	Tutte le risorse		"projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME"
Nome	Risorse regionali e globali	Utilizza questo metodo per hub, spoke, tunnel VPN e collegamenti VLAN.	"HUB_NAME"

Crea un hub NCC

Per creare un hub NCC con la topologia di ispezione ibrida preimpostata, segui questi passaggi:

Console

1. Nella console Google Cloud , vai alla pagina Network Connectivity Center.

   Vai a Network Connectivity Center

2. Nel menu del progetto, seleziona un progetto.

3. Fai clic su Crea hub.

4. (Facoltativo) Scegli la modalità delle norme dell'hub.

5. Completa la sezione Configurazione di base del modulo:

   1. Inserisci un nome hub.
   2. Facoltativo: inserisci una descrizione.
   3. (Facoltativo) Per aggiungere un'etichetta, fai clic su Aggiungi elemento e poi inserisci una chiave e un valore.
   4. Verifica che nel modulo venga visualizzato l'ID progetto corretto. Se l'ID progetto non è corretto, seleziona un altro progetto utilizzando il menu nella parte superiore della pagina.

6. (Facoltativo) Per attivare la propagazione della connessione Private Service Connect, nel campo Propagazione della connessione Private Service Connect, fai clic su On.

7. Esegui una delle seguenti operazioni:

   • Se vuoi creare uno spoke, fai clic su Passaggio successivo e completa la sezione di creazione dello spoke del modulo. Per istruzioni, vedi Creare uno spoke gateway NCC.
   • Se non vuoi creare uno spoke in questo momento, fai clic su Crea per completare la creazione del nuovo hub.

gcloud

Utilizza il comando gcloud network-connectivity hubs create e specifica la topologia di ispezione ibrida preimpostata.

gcloud beta network-connectivity hubs create HUB_NAME \
    --preset-topology=hybrid-inspection

Sostituisci HUB_NAME con un nome per il nuovo hub.

API

Utilizza il metodo projects.locations.global.hubs.create.

POST https://networkconnectivity.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/hubs
{
  "name":"HUB_NAME",
  "description":"DESCRIPTION",
  "labels": {
    "KEY": "VALUE"
  },
  "presetTopology": "HYBRID_INSPECTION"
}

Sostituisci quanto segue:

• PROJECT_ID: l'ID progetto del progetto che contiene il nuovo hub
• HUB_NAME: il nome del nuovo hub
• DESCRIPTION: testo facoltativo che descrive l'hub
• KEY: la chiave nella coppia chiave-valore per il testo dell'etichetta facoltativa
• VALUE: il valore nella coppia chiave-valore per il testo dell'etichetta facoltativa

Connetti le reti VPC all'hub

La procedura per connettere le reti VPC a un hub varia a seconda che la rete e l'hub si trovino nello stesso progetto.

Connetti reti VPC e hub di progetti diversi

Per connettere reti VPC di progetti diversi, segui questi passaggi:

• Un amministratore spoke VPC propone uno spoke VPC in un progetto diverso
• Un amministratore dell'hub esamina gli spoke VPC proposti

Connetti reti VPC e hub nello stesso progetto

Se le reti VPC e l'hub si trovano nello stesso progetto, procedi nel seguente modo:

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o dei seguenti ruoli IAM.

Autorizzazioni

• compute.networks.use sulla rete VPC aggiunta a uno spoke
• networkconnectivity.groups.use sull'hub a cui è associato lo spoke
• networkconnectivity.spokes.create nel progetto in cui si trova la rete VPC
• networkconnectivity.groups.create sull'hub per creare un gruppo
• networkconnectivity.groups.use sull'hub per creare spoke associati a un gruppo in un progetto diverso dall'hub

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sulla rete VPC da aggiungere a uno spoke
• Utente del gruppo (roles/networkconnectivity.groupUser) sull'hub a cui è associato lo spoke
• Spoke Admin (roles/networkconnectivity.spokeAdmin) nel progetto in cui si trova la rete VPC

Per connettere più reti VPC all'interno di un determinato progetto, connetti una rete VPC a uno spoke e connettila a un hub.

Se stai creando un VPC per connetterti a un hub configurato per la topologia a stella, devi ottenere l'ID progetto, il nome o l'URI dell'hub e il nome del gruppo dall'amministratore dell'hub.

Se vuoi assegnare intervalli di esclusione dall'esportazione o intervalli di esportazione da includere, utilizza le opzioni appropriate durante la creazione dello spoke.

Per creare un VPC spoke:

Console

1. Nella console Google Cloud , vai alla pagina Network Connectivity Center.

   Vai a Network Connectivity Center

2. Nel menu del progetto, seleziona un progetto in cui vuoi creare lo spoke.

3. Fai clic sulla scheda Raggi.

4. Fai clic su Aggiungi raggi.

5. Nella sezione Seleziona hub, seleziona la posizione dell'hub come segue:

   • Per collegare il nuovo spoke a un hub nello stesso progetto, seleziona Nel progetto PROJECT_NAME e seleziona il nome dell'hub dall'elenco.
   • Se vuoi collegare il nuovo spoke a un hub in un altro progetto, seleziona In un altro progetto. Inserisci l'ID progetto e il nome dell'hub a cui vuoi collegare il nuovo spoke.

   Quando scegli un hub in un progetto diverso, lo spoke diventa attivo solo quando l'amministratore dell'hub esamina e accetta lo spoke proposto. Per ulteriori dettagli sulla creazione di spoke collegati a un hub in un progetto diverso, consulta la panoramica degli spoke VPC. Se crei uno spoke VPC nello stesso progetto dell'hub, questo viene accettato e attivato automaticamente.

6. Inserisci un nome dello spoke e, facoltativamente, una descrizione.

7. In base alla topologia dell'hub a cui ti connetti, scegli il gruppo spoke per lo spoke. Puoi scegliere tra i seguenti valori:

   • Predefinita per un hub con topologia mesh
   • Centrale o Edge per un hub di topologia a stella. Questo campo è obbligatorio per i gruppi di spoke che utilizzano la topologia a stella
   • Prod, Non-prod o Servizi per un hub che utilizza la topologia di ispezione ibrida (solo per gli spoke NCC Gateway)

   Per informazioni dettagliate sui gruppi di spoke, consulta Gruppi di spoke.

8. Seleziona Rete VPC come Tipo di spoke.

9. Per aggiungere una rete VPC allo spoke, selezionala dall'elenco Rete VPC associata.

10. (Facoltativo) Aggiungi un filtro dello spoke VPC per personalizzare la modalità di annuncio delle route specificando gli intervalli di indirizzi IP da escludere o includere nell'esportazione dallo spoke all'hub. Puoi configurare lo spoke in modo che esporti solo gli intervalli di subnet che utilizzano indirizzi IPv4 privati, solo gli intervalli di subnet IPv6 (interni ed esterni) o entrambi gli intervalli di subnet che utilizzano indirizzi IPv4 privati e intervalli di subnet IPv6 interni ed esterni.

    1. Intervalli IPv4: configura l'esportazione degli intervalli di subnet IPv4.

       • Includi gli intervalli di subnet IPv4 per l'esportazione dallo spoke all'hub: per impostazione predefinita, questa casella di controllo è selezionata e vengono esportati tutti gli intervalli di subnet che utilizzano indirizzi IPv4 privati.

         Se non vuoi esportare gli intervalli di subnet IPv4, deseleziona questa casella di controllo.

         Se vuoi esportare solo intervalli di subnet IPv4 specifici, seleziona Specifica intervalli IPv4 e inserisci gli intervalli di indirizzi che vuoi esportare. Gli intervalli di subnet IPv4 che specifichi devono essere intervalli di indirizzi IPv4 privati, esclusi gli indirizzi IPv4 pubblici utilizzati privatamente. Per saperne di più, consulta Intervalli IPv4 validi.

       • Escludi gli intervalli di subnet IPv4 per l'esportazione dallo spoke nell'hub: se lo spoke esporta intervalli di subnet e vuoi escludere intervalli specifici dall'esportazione, inserisci questi intervalli in questo campo.

    2. Intervalli IPv6: configura l'esportazione degli intervalli di subnet IPv6 (interni ed esterni).

       • Includi tutti gli intervalli di subnet IPv6 per l'esportazione dallo spoke nell'hub: per esportare tutti gli intervalli di subnet IPv6 nell'hub, seleziona la casella di controllo.

         Se vuoi esportare solo intervalli di subnet IPv6 specifici, seleziona Specifica intervalli IPv6 e inserisci gli intervalli di indirizzi che vuoi esportare.

       • Escludi gli intervalli di subnet IPv6 per l'esportazione dallo spoke nell'hub: se lo spoke esporta intervalli di subnet e vuoi escludere intervalli specifici dall'esportazione, inseriscili in questo campo.

11. Fai clic su Fine.

12. Se vuoi aggiungere altri raggi, fai clic su Aggiungi raggio e ricomincia la procedura, iniziando con l'inserimento di un nome del raggio.

13. Al termine dell'aggiunta dei raggi, fai clic su Crea. La pagina NCC si aggiorna per mostrare i dettagli degli spoke che hai creato.

gcloud

Per creare uno spoke VPC, utilizza il comando gcloud network-connectivity spokes linked-vpc-network create.

gcloud network-connectivity spokes linked-vpc-network create SPOKE_NAME \
    --hub=HUB \
    --description=DESCRIPTION \
    --vpc-network=VPC_URI \
    --include-export-ranges=[INCLUDE_EXPORT_RANGES] \
    --exclude-export-ranges=[EXCLUDE_EXPORT_RANGES] \
    --global \
    --group=GROUP_NAME

Sostituisci quanto segue:

• SPOKE_NAME: il nome dello spoke che stai creando, ad esempio vpc-spoke1
• HUB: l'hub per lo spoke
• DESCRIPTION: una descrizione facoltativa dello spoke
• VPC_URI: la rete VPC a cui punta questo spoke

• INCLUDE_EXPORT_RANGES: un elenco delimitato da virgole di parole chiave, intervalli di indirizzi IP o una combinazione di parole chiave e intervalli di indirizzi IP che definiscono quali intervalli di indirizzi IP della subnet possono essere esportati nell'hub.

  • La parola chiave ALL_PRIVATE_IPV4_RANGES aggiunge tutti gli intervalli di subnet che utilizzano indirizzi IPv4 privati all'elenco degli intervalli di esportazione inclusi.

  • La parola chiave ALL_IPV4_RANGES include tutti gli indirizzi IPv4, equivalenti al CIDR 0.0.0.0/0. Sono inclusi tutti gli intervalli IPv4 validi per gli intervalli di subnet, inclusi gli intervalli di indirizzi IPv4 pubblici utilizzati privatamente. Puoi perfezionare l'elenco utilizzando il flag --exclude-export-ranges.

  • La parola chiave ALL_IPV6_RANGES include tutti gli indirizzi IPv6, equivalenti al CIDR ::/0.

  • Gli intervalli di esportazione inclusi supportano fino a 16 CIDR univoci e non sovrapposti. Nessun CIDR negli intervalli di esportazione inclusi può corrispondere o contenere un altro CIDR.

  • Se ometti --include-export-ranges per un VPC spoke, gli intervalli per l'esportazione da includere predefiniti sono gli stessi di se avessi specificato ALL_PRIVATE_IPV4_RANGES.

  • Gli intervalli di subnet nello spoke VPC, gli intervalli di esportazione da includere e gli intervalli di esportazione da escludere devono rispettare le regole del filtro di esportazione per gli spoke VPC.

• EXCLUDE_EXPORT_RANGES: un elenco delimitato da virgole di intervalli di indirizzi IP che definiscono quali intervalli di indirizzi IP della subnet non vengono mai esportati nell'hub.

  • Gli intervalli di esportazione esclusi supportano fino a 16 CIDR univoci e non sovrapposti. Nessun CIDR negli intervalli di esportazione da escludere può corrispondere o contenere un altro CIDR.

  • Ogni CIDR specificato negli intervalli di esportazione esclusi deve espandersi in indirizzi IP completamente contenuti da CIDR o parole chiave negli intervalli di esportazione inclusi (o negli intervalli di esportazione inclusi predefiniti, se non ne specifichi esplicitamente).

  • Gli intervalli di esportazione esclusi non supportano le parole chiave.

  • Se ometti --exclude-export-ranges, NCC utilizza un elenco vuoto come intervalli di esportazione esclusi predefiniti.

  • Gli intervalli di subnet nello spoke VPC, i relativi intervalli di esportazione da includere e i relativi intervalli di esportazione da escludere devono seguire le regole dei filtri di esportazione per gli spoke VPC.

• GROUP_NAME: il gruppo a cui appartiene questo spoke. I valori supportati sono:

  • Default per un hub di topologia mesh
  • Center o edge per un hub con topologia a stella. Questo campo è obbligatorio per i gruppi di spoke che utilizzano la topologia a stella
  • Prod, non-prod o services per un hub che utilizza la topologia di ispezione ibrida (solo per gli spoke gateway NCC)

  Per informazioni dettagliate sui gruppi di spoke, consulta Gruppi di spoke.

API

Per creare uno spoke VPC, utilizza il metodo projects.locations.spokes.create.

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
  {
    "hub":"HUB_NAME",
    "linkedVpcNetwork": {
       "uri": VPC_URI,
       "include_export_ranges": "[INCLUDE_EXPORT_RANGES]",
       "exclude_export_ranges": "[EXCLUDE_EXPORT_RANGES]",
       "group": "GROUP_NAME"
    },
  }

Sostituisci i seguenti valori:

• PROJECT_ID: l'ID progetto del progetto che contiene il nuovo spoke.
• SPOKE_NAME: il nome del nuovo spoke.
• HUB_NAME: il nome dell'hub a cui stai collegando lo spoke.
• VPC_URI: la rete VPC a cui punta questo spoke, ad esempio vpc_uri.

• INCLUDE_EXPORT_RANGES: un elenco delimitato da virgole di parole chiave, intervalli di indirizzi IP o una combinazione di parole chiave e intervalli di indirizzi IP che definiscono quali intervalli di indirizzi IP della subnet possono essere esportati nell'hub.

  • La parola chiave ALL_PRIVATE_IPV4_RANGES aggiunge tutti gli intervalli di subnet che utilizzano indirizzi IPv4 privati all'elenco degli intervalli di esportazione inclusi.

  • La parola chiave ALL_IPV4_RANGES include tutti gli indirizzi IPv4, equivalenti al CIDR 0.0.0.0/0. Sono inclusi tutti gli intervalli IPv4 validi per gli intervalli di subnet, inclusi gli intervalli di indirizzi IPv4 pubblici utilizzati privatamente. Puoi perfezionare l'elenco utilizzando il flag --exclude-export-ranges.

  • La parola chiave ALL_IPV6_RANGES include tutti gli indirizzi IPv6, equivalenti al CIDR ::/0.

  • Gli intervalli di esportazione inclusi supportano fino a 16 CIDR univoci e non sovrapposti. Nessun CIDR negli intervalli di esportazione inclusi può corrispondere o contenere un altro CIDR.

  • Se ometti include_export_ranges per un VPC spoke, gli intervalli per l'esportazione da includere predefiniti sono gli stessi di se avessi specificato ALL_PRIVATE_IPV4_RANGES.

  • Gli intervalli di subnet nello spoke VPC, gli intervalli di esportazione da includere e gli intervalli di esportazione da escludere devono rispettare le regole del filtro di esportazione per gli spoke VPC.

• EXCLUDE_EXPORT_RANGES: un elenco delimitato da virgole di intervalli di indirizzi IP che definiscono quali intervalli di indirizzi IP della subnet non vengono mai esportati nell'hub.

  • Gli intervalli di esportazione esclusi supportano fino a 16 CIDR univoci e non sovrapposti. Nessun CIDR negli intervalli di esportazione da escludere può corrispondere o contenere un altro CIDR.

  • Ogni CIDR specificato negli intervalli di esportazione esclusi deve espandersi in indirizzi IP completamente contenuti da CIDR o parole chiave negli intervalli di esportazione inclusi (o negli intervalli di esportazione inclusi predefiniti, se non ne specifichi esplicitamente).

  • Gli intervalli di esportazione esclusi non supportano le parole chiave.

  • Se ometti exclude_export_ranges, NCC utilizza un elenco vuoto come intervalli di esportazione esclusi predefiniti.

  • Gli intervalli di subnet nello spoke VPC, i relativi intervalli di esportazione da includere e i relativi intervalli di esportazione da escludere devono seguire le regole dei filtri di esportazione per gli spoke VPC.

• GROUP_NAME: il gruppo a cui appartiene questo spoke. I valori supportati sono:

  • Default per un hub di topologia mesh
  • Center o edge per un hub con topologia a stella. Questo campo è obbligatorio per i gruppi di spoke che utilizzano la topologia a stella
  • Prod, non-prod o services per un hub che utilizza la topologia di ispezione ibrida (solo per gli spoke NCC Gateway)

  Per informazioni dettagliate sui gruppi hub, vedi Gruppi hub.