Freigegebene VPC-Connector zu ausgehendem VPC Direct-Traffic migrieren

Diese Seite richtet sich an Netzwerkexperten, die Netzwerkverkehr in einer freigegebene VPC vom Verwenden von Connectors für serverlosen VPC-Zugriff zur Verwendung von ausgehendem Direct VPC-Traffic migrieren möchten, wenn sie Traffic zu einem freigegebene VPC-Netzwerk senden.

Ausgehender Direct VPC-Traffic ist schneller und kann mehr Traffic als Connectors verarbeiten. Dies bietet eine geringere Latenz und einen höheren Durchsatz, da er einen neuen, direkten Netzwerkpfad anstelle von Connector-Instanzen verwendet.

Wir empfehlen Ihnen, sich vor der Migration mit den Voraussetzungen für ausgehenden Direct-VPC-Traffic Voraussetzungen, Einschränkungen, der Zuweisung von IP-Adressen und IAM-Berechtigungen vertraut zu machen.

Connectors verursachen auch dann Kosten, wenn sie keinen Traffic haben und nicht verbunden sind. Weitere Informationen finden Sie unter Preise. Wenn Sie den Connector nicht mehr benötigen, können Sie ihn löschen , um weitere Kosten zu vermeiden.

Dienste schrittweise zu ausgehendem Direct VPC-Traffic migrieren

Wenn Sie Cloud Run-Dienste von Connectors für serverlosen VPC-Zugriff zum ausgehenden Direct VPC-Traffic migrieren, empfehlen wir dies eine graduelle Umstellung.

So wechseln Sie schrittweise:

1. Folgen Sie der Anleitung in diesem Leitfaden, um Ihren Dienst oder Job so zu aktualisieren, dass er ausgehenden Direct VPC-Traffic verwendet.
2. Spalten Sie einen kleinen Prozentsatz des Traffics ab um zu testen, ob dieser korrekt verarbeitet wird.
3. Aktualisieren Sie die Aufteilung des Traffics, um den gesamten Traffic über die neue Version mit ausgehendem Direct VPC zu senden.

Verwenden Sie die Google Cloud Console oder die Google Cloud CLI, um Traffic mit ausgehendem Direct VPC-Traffic für einen Dienst zu migrieren:

Console

1. Rufen Sie in der Google Cloud Console die Seite Dienste für Cloud Run auf:

   Zu Cloud Run

2. Klicken Sie auf den Dienst, den Sie von einem Connector zu ausgehendem Direct VPC-Traffic migrieren möchten, und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

3. Klicken Sie auf den Tab Netzwerk.

4. Klicken Sie unter Mit einer VPC für ausgehenden Traffic verbinden auf Traffic direkt an eine VPC senden.

5. Wählen Sie Für mich freigegebene Netzwerke aus.

6. Wählen Sie im Feld Netzwerk das freigegebene VPC-Netzwerk aus, an das Sie Traffic senden möchten.

7. Wählen Sie im Feld Subnetz das Subnetz aus, von dem Ihr Dienst IP-Adressen empfängt. Sie können mehrere Dienste im selben Subnetz bereitstellen.

8. Optional: Geben Sie die Namen der Netzwerk-Tags ein, die Sie Ihrem Dienst oder Ihren Diensten zuordnen möchten. Netzwerktags werden auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.

9. Wählen Sie für Traffic-Routing eine der folgenden Optionen:

   • Nur Anfragen an private IPs an die VPC weiterleiten , um nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk zu senden.
   • Gesamten Traffic an die VPC weiterleiten , um den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk zu senden.

10. Klicken Sie auf Bereitstellen.

11. Klicken Sie auf den Dienst und dann auf den Tab Netzwerk, um zu prüfen, ob sich der Dienst in Ihrem freigegebene VPC-Netzwerk befindet. Netzwerk und Subnetz werden auf der VPC-Karte aufgeführt.

    Sie können nun Anfragen von Ihrem Cloud Run-Dienst an eine beliebige Ressource im freigegebene VPC-Netzwerk senden, je nach Ihren Firewallregeln.

gcloud

So migrieren Sie einen Cloud Run-Dienst von einem Connector zum ausgehenden Direct VPC-Traffic mithilfe der Google Cloud CLI:

1. Aktualisieren Sie Ihren Dienst im gemeinsam genutzten Subnetz. Geben Sie dazu mit dem folgenden Befehl die vollständig qualifizierten Ressourcennamen für das freigegebene VPC-Netzwerk und das Subnetz an:

   gcloud run services update SERVICE_NAME \
     --clear-network \
     --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
     --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
     --network-tags NETWORK_TAG_NAMES \
     --vpc-egress=EGRESS_SETTING \
     --region REGION \
     --max-instances MAX
     

   Ersetzen Sie Folgendes:

   • SERVICE_NAME: Der Name Ihres Cloud Run-Dienstes.
   • IMAGE_URL: Die Image-URL des Dienstes.
   • HOST_PROJECT_ID: Die ID Ihres freigegebene VPC-Projekts.
   • VPC_NETWORK: Der Name Ihres freigegebene VPC-Netzwerks.
   • REGION durch die Region für Ihren Cloud Run-Dienst; diese muss der Region Ihres Subnetzes entsprechen.
   • SUBNET_NAME: Der Name Ihres Subnetzes.
   • Optional: NETWORK_TAG_NAMES durch die durch Kommas getrennten Namen der Netzwerk-Tags ersetzen, die Sie mit einem Dienst verknüpfen möchten. Bei Diensten werden Netzwerk-Tags auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
   • EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
     • all-traffic: Sendet den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk.
     • private-ranges-only: Sendet nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk.
   • MAX: Die maximale Anzahl an Instanzen, die für das freigegebene VPC-Netzwerk verwendet werden sollen. Die maximale Anzahl von Instanzen für Dienste beträgt 100.

   Weitere Informationen und optionale Argumente finden Sie in der gcloud-Referenz.

2. Führen Sie folgenden Befehl aus, um zu prüfen, ob sich Ihr Dienst in Ihrem freigegebene VPC-Netzwerk befindet:

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   Ersetzen Sie:

   • SERVICE_NAME durch den Namen des Dienstes.
   • REGION durch die Region, die Sie im vorherigen Schritt für Ihren Dienst angegeben haben.

   Die Ausgabe sollte die Einstellung für Netzwerk, Subnetz und ausgehenden Traffic enthalten, zum Beispiel:

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

Sie können nun Anfragen von Ihrem Cloud Run-Dienst an eine beliebige Ressource im freigegebene VPC-Netzwerk senden, je nach Ihren Firewallregeln.

Jobs zu ausgehendem VPC Direct-Traffic migrieren

Wichtig: Connectors verursachen auch dann Kosten, wenn sie keinen Traffic haben und nicht verbunden sind. Weitere Informationen finden Sie unter Preise. Wenn Sie den Connector nicht mehr benötigen, können Sie ihn löschen , um weitere Kosten zu vermeiden.

Sie können Traffic mit ausgehendem Direct VPC-Traffic für einen Job mit der Google Cloud Console oder der Google Cloud CLI migrieren.

Console

1. Rufen Sie in der Google Cloud Console die Seite Jobs für Cloud Run auf:

   Zu Cloud Run

2. Klicken Sie auf den Job, den Sie von einem Connector zu ausgehendem Direct VPC-Traffic migrieren möchten, und dann auf Bearbeiten.

3. Klicken Sie auf den Tab Netzwerk.

4. Klicken Sie auf Container, Variablen und Secrets, Verbindungen, Sicherheit, um die Seite mit den Jobattributen zu maximieren.

5. Klicken Sie auf den Tab Verbindungen.

6. Klicken Sie unter Mit einer VPC für ausgehenden Traffic verbinden auf Traffic direkt an eine VPC senden.

7. Wählen Sie Für mich freigegebene Netzwerke aus.

8. Wählen Sie im Feld Netzwerk das freigegebene VPC-Netzwerk aus, an das Sie Traffic senden möchten.

9. Wählen Sie im Feld Subnetz das Subnetz aus, von dem Ihr Job IP-Adressen empfängt. Sie können mehrere Dienste im selben Subnetz bereitstellen.

10. Optional: Geben Sie die Namen der Netzwerk-Tags ein, die Sie einem Job zuordnen möchten. Für Jobs werden Netzwerk-Tags auf Ausführungsebene angegeben. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.

11. Wählen Sie für Traffic-Routing eine der folgenden Optionen:

    • Nur Anfragen an private IPs an die VPC weiterleiten , um nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk zu senden.
    • Gesamten Traffic an die VPC weiterleiten , um den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk zu senden.

12. Klicken Sie auf Aktualisieren.

13. Klicken Sie auf den Job und dann auf den Tab Konfiguration, um zu prüfen, ob sich der Job in Ihrem freigegebene VPC-Netzwerk befindet. Netzwerk und Subnetz werden auf der VPC-Karte aufgeführt.

Sie können Ihren Cloud Run-Job jetzt ausführen und Anfragen vom Job an eine beliebige Ressource im freigegebene VPC-Netzwerk senden, je nach Firewallregeln.

gcloud

So migrieren Sie einen Cloud Run-Job mit der Google Cloud CLI von einem Connector zu ausgehendem Direct VPC-Traffic:

1. Trennen Sie Ihren Job vom freigegebene VPC-Netzwerk, indem Sie den gcloud run jobs update Befehl mit folgendem Flag ausführen:

   gcloud run jobs update JOB_NAME --region=REGION \
   --clear-network

   Ersetzen Sie Folgendes:

   • JOB_NAME: Der Name Ihres Cloud Run-Jobs.
   • REGION: Die Region für Ihren Cloud Run-Job.

2. Aktualisieren Sie Ihren Job im gemeinsam genutzten Subnetz. Geben Sie dazu mit dem folgenden Befehl die voll qualifizierten Ressourcennamen für das freigegebene VPC-Netzwerk und das Subnetz an:

   gcloud run jobs create JOB_NAME \
     --clear-network \
     --image IMAGE_URL \
     --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
     --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
     --network-tags NETWORK_TAG_NAMES \
     --vpc-egress=EGRESS_SETTING \
     --region REGION \
     --max-instances MAX
     

   Ersetzen Sie Folgendes:

   • JOB_NAME: Der Name Ihres Cloud Run-Jobs.
   • IMAGE_URL: Die Image-URL des Jobs.
   • HOST_PROJECT_ID: Die ID Ihres freigegebene VPC-Projekts.
   • VPC_NETWORK: Der Name Ihres freigegebene VPC-Netzwerks.
   • REGION: durch Die Region für Ihren Cloud Run-Job, die der Region des Subnetzes entsprechen muss.
   • SUBNET_NAME: Der Name Ihres Subnetzes.
   • Optional: NETWORK_TAG_NAMES durch die durch Kommas getrennten Namen der Netzwerk-Tags ersetzen, die Sie mit einem Job verknüpfen möchten. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
   • EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
     • all-traffic: Sendet den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk.
     • private-ranges-only: Sendet nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk.

   Weitere Informationen und optionale Argumente finden Sie in der gcloud-Referenz.

3. Führen Sie folgenden Befehl aus, um zu prüfen, ob sich Ihr Job in Ihrem freigegebene VPC-Netzwerk befindet:

   gcloud run jobs describe JOB_NAME \
   --region=REGION

   Ersetzen Sie:

   • JOB_NAME durch den Namen des Jobs.
   • REGION durch die Region für Ihren Job, die Sie im vorherigen Schritt angegeben haben.

   Die Ausgabe sollte die Einstellung für Netzwerk, Subnetz und ausgehenden Traffic enthalten, zum Beispiel:

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

Sie können nun Anfragen von Ihrem Cloud Run-Dienst an eine beliebige Ressource im freigegebene VPC-Netzwerk senden, je nach Ihren Firewallregeln.