VPC-Spoke in einem anderen Projekt vorschlagen

Wenn Sie einen Spoke erstellen, müssen Sie ihn mit einem Hub verknüpfen. Befindet sich der Spoke in einem anderen Projekt als der Hub, muss der Hub-Administrator den vorgeschlagenen Spoke genehmigen, bevor er aktiv werden kann. So erstellen Sie einen VPC-Spoke, den Sie mit einem Hub in einem anderen Projekt verbinden möchten:

Informationen zum Arbeiten mit Spokes, wie z. B. zum Erstellen, Auflisten, Aktualisieren und Löschen von Spokes, finden Sie unter Mit Spokes arbeiten.

Hinweise

Lesen Sie zuerst die folgenden Abschnitte, bevor Sie beginnen.

Projekt erstellen oder auswählen

Geben Sie ein gültiges Projekt an, um die Konfiguration des NCC zu vereinfachen.

  1. Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Install the Google Cloud CLI.

  5. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  8. Verify that billing is enabled for your Google Cloud project.

  9. Install the Google Cloud CLI.

  10. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init

  12. Wenn Sie die Google Cloud CLI verwenden, legen Sie Ihre Projekt-ID mit dem Befehl gcloud config set fest.

    gcloud config set project PROJECT_ID

    Ersetzen Sie PROJECT_ID durch Ihre eindeutige Projekt-ID.

    Die Anleitung für die gcloud CLI auf dieser Seite setzt voraus, dass Sie Ihre Projekt-ID festgelegt haben.

  13. Prüfen Sie mit dem Befehl gcloud config list, ob die Projekt-ID korrekt festgelegt ist.

    gcloud config list --format='text(core.project)'

Network Connectivity API aktivieren

Bevor Sie mit Network Connectivity Center (NCC) beliebige Aufgaben ausführen können, müssen Sie die Network Connectivity API aktivieren.

Console

So aktivieren Sie die Network Connectivity API:

  1. Rufen Sie in der Google Cloud Console die Seite Network Connectivity Center auf.

    Zum Network Connectivity Center

  2. Klicken Sie auf Aktivieren.

Alternativ können Sie die API mithilfe der Google Cloud Console API-Bibliothek aktivieren, wie unter APIs aktivieren beschrieben.

Spoke vorschlagen

So erstellen Sie einen VPC-Spoke im selben Projekt wie der Hub oder in einem anderen Projekt:

Wenn Sie Ausschlussbereiche für den Export oder Einschlussbereiche für den Export zuweisen möchten, verwenden Sie die entsprechenden Optionen beim Erstellen des Spokes.

Hinweis: Ein Hub-Administrator kann einen vorgeschlagenen VPC-Spoke (Virtual Private Cloud) eines Produzenten erst dann am Hub akzeptieren, wenn er den zugehörigen VPC-Spoke für das Peering-Nutzernetzwerk akzeptiert hat.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Network Connectivity Center auf.

    Zum Network Connectivity Center

  2. Wählen Sie im Projektmenü ein Projekt aus, in dem Sie den Spoke erstellen möchten.

  3. Klicken Sie auf den Tab Spokes.

  4. Klicken Sie auf Spoke hinzufügen.

  5. Wählen Sie im Abschnitt Hub auswählen In einem anderen Projekt aus, um den neuen Spoke an einen Hub in einem anderen Projekt anzuhängen.

  6. Geben Sie die Projekt-ID und den Hub-Namen ein, an den Sie den neuen Spoke anhängen möchten.

  7. Geben Sie einen Spoke-Namen und optional eine Beschreibung ein.

  8. Wenn der Hub, mit dem Sie sich verbinden, für die Sterntopologie konfiguriert ist, wählen Sie den Namen der Spoke-Gruppe für Ihren Spoke aus oder geben Sie ihn ein. Informationen zur Sterntopologie finden Sie unter Sterntopologie. Informationen zu Spoke-Gruppen finden Sie unter Spoke-Gruppen.

  9. Für Spoke-Typ sind die folgenden Optionen verfügbar:

    • Bei einem Hub in einem anderen Projekt ist der Standard-Spoke-Typ VPC-Spoke.
    • Bei einem Hub im selben Projekt werden zulässige Spoke-Typen durch bereits vorhandene Spoke-Typen bestimmt.
    • Wenn keine Spokes vorhanden sind, können Sie einen beliebigen Spoke-Typ auswählen. Die vorab ausgewählte Option ist jedoch „Cloud VPN-Tunnel“.

  10. Wählen Sie zum Hinzufügen eines VPC-Netzwerks zum Spoke das VPC-Netzwerk aus der Liste aus.

  11. Optional: Im Feld VPC-Spoke-Filter können Sie einen Filter hinzufügen, um das Bewerben von Routen anzupassen. Geben Sie dazu IP-Adressbereiche an, um den Export vom Spoke in den Hub aus- oder einzuschließen. Sie können den Spoke so konfigurieren, dass nur Subnetzbereiche exportiert werden, die private IPv4-Adressen verwenden, nur IPv6-Subnetzbereiche (intern und extern) oder sowohl Subnetzbereiche, die private IPv4-Adressen verwenden, als auch interne und externe IPv6-Subnetzbereiche.

    1. IPv4-Bereiche: Konfigurieren Sie den Export von IPv4-Subnetzbereichen.

      • Export von IPv4-Subnetzbereichen vom Spoke zum Hub einschließen: Dieses Kästchen ist standardmäßig aktiviert und alle Subnetzbereiche, die private IPv4-Adressen verwenden, werden exportiert.

        Wenn Sie keine IPv4-Subnetzbereiche exportieren möchten, deaktivieren Sie dieses Kästchen.

        Wenn Sie nur bestimmte IPv4-Subnetzbereiche exportieren möchten, wählen Sie IPv4-Bereiche angeben aus und geben Sie die Adressbereiche ein, die Sie exportieren möchten. Die von Ihnen angegebenen IPv4-Subnetzbereiche müssen private IPv4-Adressbereiche sein, mit Ausnahme von privat verwendeten öffentlichen IPv4-Adressen. Weitere Informationen finden Sie unter Gültige IPv4-Bereiche.

      • Export von Subnetzbereichen vom Spoke zum Hub ausschließen: Wenn der Spoke alle Subnetzbereiche exportiert, die private IPv4-Adressen verwenden, und Sie bestimmte Bereiche vom Export ausschließen möchten, geben Sie diese Bereiche in dieses Feld ein.

    2. IPv6-Bereiche: Konfigurieren Sie den Export von IPv6-Subnetzbereichen.

      • Export aller IPv6-Subnetzbereiche vom Spoke zum Hub einschließen: Wenn Sie alle internen und externen IPv6-Subnetzbereiche zum Hub exportieren möchten, aktivieren Sie das Kästchen.

  12. Klicken Sie auf Fertig.

  13. Wenn Sie weitere Spokes hinzufügen möchten, klicken Sie auf Spoke hinzufügen und starten Sie den Vorgang noch einmal. Beginnen Sie mit der Eingabe eines Spoke-Namens.

  14. Wenn Sie alle Spokes hinzugefügt haben, klicken Sie auf Erstellen. Die NCC-Seite wird aktualisiert und zeigt Details zu den von Ihnen erstellten Spokes an.

    Der Spoke-Status bleibt Inactive, bis der Hub-Administrator den vorgeschlagenen Spoke überprüft und akzeptiert.

gcloud

Verwenden Sie zum Erstellen eines VPC-Spoke den Befehl gcloud network-connectivity spokes linked-vpc-network create.

gcloud network-connectivity spokes linked-vpc-network create SPOKE_NAME \
    --hub=HUB_URI \
    --global \
    --vpc-network=VPC_NETWORK \
    --include-export-ranges=[INCLUDE_EXPORT_RANGES] \
    --exclude-export-ranges=[EXCLUDE_EXPORT_RANGES] \
    --group=GROUP_NAME

Ersetzen Sie Folgendes:

  • SPOKE_NAME: Name für den Spoke, den Sie erstellen.
  • HUB_URI: URI eines Hubs in einem anderen Projekt, in dem Sie den Spoke erstellen möchten.
  • VPC_NETWORK: das VPC-Netzwerk, zu dem dieser Spoke eine Verbindung bietet. Das VPC-Netzwerk muss sich im selben Projekt wie der Spoke befinden.

  • INCLUDE_EXPORT_RANGES: eine durch Kommas getrennte Liste von Schlüsselwörtern, CIDRs oder eine Kombination aus Schlüsselwörtern und CIDRs, die definieren, welche Subnetz-IP-Adressbereiche in den Hub exportiert werden können.

    • Mit dem Schlüsselwort ALL_PRIVATE_IPV4_RANGES werden alle Subnetzbereiche, die private IPv4-Adressen verwenden, der Liste der zu exportierenden Bereiche hinzugefügt.

    • Mit dem Schlüsselwort ALL_IPV6_RANGES werden alle IPv6-Subnetzbereiche zur Liste der Exportbereiche hinzugefügt.

    • Die Liste der Exportbereiche unterstützt bis zu 16 eindeutige, nicht überlappende IPv4- oder IPv6-CIDR-Bereiche. Kein CIDR in der Liste darf mit einem anderen CIDR in der Liste übereinstimmen oder einen anderen CIDR in der Liste enthalten. Jeder aktuelle und zukünftige Subnetzbereich im VPC-Spoke-Netzwerk, der sich mit einem CIDR in der Liste der zu exportierenden Bereiche überschneidet, muss eine der folgenden Bedingungen erfüllen:

      • Eine CIDR-Adresse muss exakt mit einer CIDR-Adresse in der Liste „In Export einzuschließende Bereiche“ übereinstimmen.

      • Sie müssen in einen CIDR-Bereich in der Liste der in den Export einzuschließenden Bereiche passen. In diesem Fall hat ein Subnetzbereich eine längere Subnetzmaske als der CIDR-Bereich in der Liste der in den Export eingeschlossenen Bereiche. Wenn das VPC-Spoke-Netzwerk beispielsweise den Subnetzbereich 10.1.2.0/24 hat, ist 10.1.0.0/16 ein gültiger CIDR für die Liste der zu exportierenden Bereiche, aber 10.1.2.0/25 nicht.

    • Wenn Sie die Liste INCLUDE_EXPORT_RANGES weglassen, verhält sich NCC so, als ob die Liste der in den Export einzuschließenden Bereiche [ALL_PRIVATE_IPV4_RANGES] wäre.

  • EXCLUDE_EXPORT_RANGES: eine durch Kommas getrennte Liste von CIDRs, die definieren, welche IP-Adressbereiche von Subnetzen niemals in den Hub exportiert werden.

    • Die Liste der auszuschließenden Bereiche unterstützt bis zu 16 eindeutige, nicht überlappende CIDRs. Kein CIDR in der Liste darf mit einem anderen CIDR in der Liste übereinstimmen oder es enthalten.

    • Jeder in der Liste der ausgeschlossenen Bereiche angegebene CIDR muss auf IP-Adressen erweitert werden, die vollständig in der Liste der eingeschlossenen Exportbereiche enthalten sind.

    • Wenn Sie die Liste EXCLUDE_EXPORT_RANGES weglassen, verhält sich NCC so, als wäre die Liste „Bereiche für Export ausschließen“ leer ([]).

  • GROUP_NAME: Die Gruppe, zu der dieser Spoke gehört. Die unterstützten Werte sind default für einen Hub mit Mesh-Netzwerktopologie oder center oder edge für einen Hub mit Sterntopologie. Dieses Feld ist für Spoke-Gruppen erforderlich, die eine Sterntopologie verwenden. Ausführliche Informationen zu Spoke-Gruppen finden Sie unter Spoke-Gruppen.

API

Verwenden Sie zum Erstellen eines VPC-Spoke die Methode networkconnectivity.spokes.create.

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes
  {
    "name":"SPOKE_NAME",
    "hub":"HUB_URI",
    "linkedVpcNetwork": {
       "uri": VPC_URI,
       "include_export_ranges": "[INCLUDE_EXPORT_RANGES]",
       "exclude_export_ranges": "[EXCLUDE_EXPORT_RANGES]",
       "group": "GROUP_NAME"
    },
  }

Ersetzen Sie Folgendes:

  • PROJECT_ID: die Projekt-ID des Projekts, das den neuen Spoke enthält
  • SPOKE_NAME: Name für den Spoke, den Sie erstellen
  • HUB_URI: der vollständige Hub-URI einschließlich des Projekts, da sich der Hub in einem anderen Projekt als der Spoke befindet, z. B. projects/hub-project-ID/locations/global/hubs/hub-name
  • VPC_URI: das VPC-Netzwerk, auf das dieser Spoke verweist, z. B. vpc_uri

  • INCLUDE_EXPORT_RANGES: eine durch Kommas getrennte Liste von Schlüsselwörtern, CIDRs oder eine Kombination aus Schlüsselwörtern und CIDRs, die definieren, welche Subnetz-IP-Adressbereiche in den Hub exportiert werden können.

    • Mit dem Keyword ALL_PRIVATE_IPV4_RANGES werden alle Subnetzbereiche, die private IPv4-Adressen verwenden, der Liste der zu exportierenden Bereiche hinzugefügt.

    • Mit dem Keyword ALL_IPV6_RANGES werden alle IPv6-Subnetzbereiche der Liste der Exportbereiche hinzugefügt.

    • Die Liste der einzuschließenden Exportbereiche unterstützt bis zu 16 eindeutige, nicht überlappende CIDRs. Kein CIDR in der Liste darf mit einem anderen CIDR in der Liste übereinstimmen oder einen anderen CIDR in der Liste enthalten. Jeder aktuelle und zukünftige Subnetzbereich im VPC-Spoke-Netzwerk, der sich mit einem CIDR in der Liste der zu exportierenden Bereiche überschneidet, muss eine der folgenden Bedingungen erfüllen:

      • Eine CIDR-Adresse muss exakt mit einer CIDR-Adresse in der Liste „In Export einzuschließende Bereiche“ übereinstimmen.

      • Sie müssen in einen CIDR-Bereich in der Liste der in den Export einzuschließenden Bereiche passen. In diesem Fall hat ein Subnetzbereich eine längere Subnetzmaske als der CIDR-Bereich in der Liste der in den Export eingeschlossenen Bereiche. Wenn das VPC-Spoke-Netzwerk beispielsweise den Subnetzbereich 10.1.2.0/24 hat, ist 10.1.0.0/16 ein gültiger CIDR für die Liste der zu exportierenden Bereiche, aber 10.1.2.0/25 nicht.

    • Wenn Sie die Liste INCLUDE_EXPORT_RANGES weglassen, verhält sich NCC so, als ob die Liste der in den Export einzuschließenden Bereiche [ALL_PRIVATE_IPV4_RANGES] wäre.

  • EXCLUDE_EXPORT_RANGES: eine durch Kommas getrennte Liste von CIDRs, die definieren, welche IP-Adressbereiche von Subnetzen niemals in den Hub exportiert werden.

    • Die Liste der auszuschließenden Bereiche unterstützt bis zu 16 eindeutige, nicht überlappende CIDRs. Kein CIDR in der Liste darf mit einem anderen CIDR in der Liste übereinstimmen oder es enthalten.

    • Jeder in der Liste der ausgeschlossenen Bereiche angegebene CIDR muss auf IP-Adressen erweitert werden, die vollständig in der Liste der eingeschlossenen Exportbereiche enthalten sind.

    • Wenn Sie die Liste EXCLUDE_EXPORT_RANGES weglassen, funktioniert NCC so, als wäre die Liste der auszuschließenden Exportbereiche leer ([]).

  • GROUP_NAME: Die Gruppe, zu der dieser Spoke gehört, z. B. center oder edge. Dieses Feld ist für Spoke-Gruppen erforderlich, die eine Sterntopologie verwenden. Ausführliche Informationen zu Spoke-Gruppen finden Sie unter Spoke-Gruppen.

Nächste Schritte