(מאמר שמתייחס לגרסה הקודמת) הגדרת חיבורים פרטיים

שימו לב: הפעלת גישה לשירותים פרטיים נדרשת רק ברשתות מדור קודם. לא צריך להפעיל שירותים פרטיים ברשתות רגילות.

גישה לשירותים פרטיים היא חיבור פרטי בין הרשת של הענן הווירטואלי הפרטי (VPC) שלכם לבין רשתות ב-VMware Engine. בדף הזה מוסבר איך להגדיר גישה לשירותים פרטיים ל-Google Cloud VMware Engine ואיך לחבר את רשת ה-VPC לענן הפרטי.

הגישה לשירותים פרטיים מאפשרת את הפעולות הבאות:

• תקשורת בלעדית באמצעות כתובת IP פנימית למכונות וירטואליות ברשת ה-VPC ולמכונות וירטואליות של VMware. מכונות וירטואליות לא צריכות גישה לאינטרנט או כתובות IP חיצוניות כדי להגיע לשירותים שזמינים דרך גישה לשירותים פרטיים.
• תקשורת בין מכונות וירטואליות של VMware לבין שירותים נתמכים שלGoogle Cloud, שתומכים בגישה לשירותים פרטיים באמצעות כתובות IP פנימיות.
• שימוש בחיבורים מקומיים קיימים כדי להתחבר לענן הפרטי של VMware Engine, אם יש לכם קישוריות מקומית באמצעות Cloud VPN או Cloud Interconnect לרשת ה-VPC שלכם.

אפשר להגדיר גישה לשירותים פרטיים בלי קשר ליצירת ענן פרטי ב-VMware Engine. אפשר ליצור את החיבור הפרטי לפני או אחרי יצירת הענן הפרטי שאליו רוצים לחבר את רשת ה-VPC.

הרשאות

1. צריך לוודא שיש לכם בפרויקט את התפקיד או התפקידים הבאים: Compute > אדמין רשת

   בדיקת התפקידים

   1. נכנסים לדף IAM במסוף Google Cloud .

      כניסה לדף IAM
   2. בוחרים את הפרויקט.

   3. בעמודה Principal (חשבון המשתמש), מוצאים את כל השורות שבהן מופיע השם שלכם או של קבוצה שאתם נכללים בה. כדי לברר באילו קבוצות אתם נכללים, פנו לאדמין.

   4. בודקים את העמודה Role בכל השורות שבהן מצוין או מופיע השם שלכם, כדי לראות אם רשימת התפקידים כוללת את התפקידים הנדרשים.

   מתן התפקידים

   1. נכנסים לדף IAM במסוף Google Cloud .

      כניסה לדף IAM
   2. בוחרים את הפרויקט.
   3. לוחצים על Grant access.

   4. בשדה New principals, מזינים את מזהה המשתמש. ‫ בדרך כלל מזהה המשתמש הוא כתובת האימייל של חשבון Google.

      ‫
   5. לוחצים על Select a role ומחפשים את התפקיד.
   6. כדי לתת עוד תפקידים, לוחצים על Add another role ומוסיפים אותם.
   7. לוחצים על Save.

לפני שמתחילים

1. צריכה להיות לכם רשת VPC קיימת.
2. מפעילים את Service Networking API בפרויקט.

3. מגדירים גישה לשירותים פרטיים ברשת ה-VPC שאליה רוצים להתחבר.

   הערה: אתם צריכים להקצות טווחי כתובות לחיבור הפרטי לשירות, לניהול הענן הפרטי ולפלחים של רשת עומסי העבודה. כך לא יהיו התנגשויות בין כתובות ה-IP של תת-הרשתות ברשת ה-VPC לבין כתובות ה-IP שבהן אתם משתמשים ב-VMware Engine.

4. כדי לאתר את מזהה הפרויקט המקביל של רשת ה-VPC, מבצעים את הפעולות הבאות:

   1. ב Google Cloud console, עוברים אל קישור בין רשתות VPC שכנות (peering). חיבור רשת VPC network peering עם השם servicenetworking-googleapis-com מופיע בטבלת ה-peering.
   2. מעתיקים את מזהה הפרויקט המקשר כדי להשתמש בו בהגדרת חיבור פרטי במסוף Google Cloud .

קישוריות בין כמה רשתות VPC

‫VMware Engine מאפשר לכם לגשת לאותו ענן פרטי מרשתות VPC שונות בלי שתצטרכו לשנות ארכיטקטורות VPC קיימות שנפרסו ב- Google Cloud. לדוגמה, קישוריות בין כמה רשתות VPC שימושית אם יש לכם רשתות VPC נפרדות לבדיקות ולפיתוח.

במצב כזה, רשתות VPC צריכות לתקשר עם מכונות וירטואליות של VMware או עם כתובות יעד אחרות בקבוצות משאבים נפרדות של vSphere באותו ענן פרטי או בכמה עננים פרטיים.

כברירת מחדל, אפשר ליצור שילוב של 3 רשתות VPC לכל אזור. מגבלת ה-peering הזו כוללת את ה-VPC peering שמשמש את שירות הגישה לרשת האינטרנט. כדי להגדיל את המגבלה הזו, צריך לפנות ל-Cloud Customer Care.

ייחודיות של כתובת IP

כשמחברים את רשת ה-VPC לרשת אזורית של VMware Engine, חשוב לפעול לפי ההנחיות הבאות כדי לוודא שכתובות ה-IP הן ייחודיות:

• טווחים של כתובות IP ותת-רשתות ב-VMware Engine לא יכולים להשתמש באותם טווחים של כתובות IP ברשת ה-VPC.

• טווח כתובות ה-IP של VMware Engine לא יכול להתאים לטווח כתובות ה-IP של תת-רשת ברשת ה-VPC. למסלולים של רשתות משנה ברשת ה-VPC צריכים להיות טווחי כתובות ה-IP הספציפיים ביותר.

• כדאי לעיין בקפידה בסקירה הכללית על נתיבי רשת VPC כדי לקבל פרטים על האופן שבו פועלים נתיבי רשת VPC.

• אם אתם צריכים לקשר שתי רשתות או יותר של VMware Engine לאותה רשת VPC, אתם צריכים להשתמש בטווחים ייחודיים של כתובות IP לכל רשת של VMware Engine, או להפעיל קישוריות NSX רק לאחת מהרשתות של VMware Engine באמצעות אותם טווחים של כתובות IP כמו ברשת אחרת של VMware Engine.

זהירות: אי הקפדה על ההנחיות האלה עלולה לגרום להתנהגויות לא צפויות, כולל חוסר אפשרות להגיע לעננים הפרטיים של VMware Engine.

יצירת חיבור פרטי

יוצרים חיבור פרטי במסוף, ב-Google Cloud CLI או ב-API בארכיטקטורת REST. בבקשה, מגדירים את סוג החיבור ל-PRIVATE_SERVICE_ACCESS ואת מצב הניתוב למצב ניתוב GLOBAL.

המסוף

1. נכנסים לדף Private connections במסוף Google Cloud .

   כניסה לדף Private connections

2. לוחצים על יצירה.

3. מזינים שם ותיאור לחיבור.

4. בוחרים את רשת VMware Engine שאליה רוצים להתחבר.

5. בשדה Peered project ID (מזהה הפרויקט המקושר), מדביקים את מזהה הפרויקט המקושר שהעתקתם בדרישות המוקדמות.

6. בקטע סוג החיבור הפרטי, בוחרים באפשרות גישה לשירותים פרטיים.

7. בוחרים את מצב הניתוב לחיבור הזה של שיתוף פעולה בין רשתות VPC. ברוב המקרים, מומלץ להשתמש במצב הניתוב הגלובלי. אם אתם לא רוצים ששירותי Google שמוגדרים כרשתות שכנות לרשת ה-VPC שלכם יתקשרו בין אזורים, אתם צריכים לבחור במקום זאת את מצב הניתוב Regional. הבחירה הזו מבטלת את מצב הניתוב הקיים.

8. לוחצים על שליחה.

אחרי שיוצרים את הקישור, אפשר לבחור את הקישור הספציפי מתוך רשימת הקישורים הפרטיים. בדף הפרטים של כל חיבור פרטי מוצג מצב הניתוב של החיבור הפרטי וכל המסלולים שנלמדו באמצעות קישור VPC.

בטבלה Exported routes מוצגים עננים פרטיים שנלמדו מהאזור ויוצאו באמצעות קישור בין רשתות VPC שכנות (peering). כשכמה רשתות VPC מקושרות לאותה רשת אזורית של VMware Engine, מסלולים שמתקבלים מרשת VPC אחת לא מפורסמים ברשת ה-VPC השנייה.

gcloud

1. מריצים את הפקודה gcloud vmware private-connections create כדי ליצור חיבור פרטי:

   gcloud vmware private-connections create PRIVATE_CONNECTION_ID \
     --location=REGION\
     --description="" \
     --vmware-engine-network=NETWORK_ID \
     --service-project=SERVICE_NETWORKING_TENANT_PROJECT\
     --type=PRIVATE_SERVICE_ACCESS \
     --routing-mode=MODE
   

   הערה: בפקודה הזו יש דגל, --service-network, שמאוכלס אוטומטית ב-gcloud על סמך סוג החיבור הפרטי שנוצר. אם אתם משתמשים ב-API ישירות, אתם צריכים להעביר את השם המלא של service_network בפורמט: projects/PROJECT_ID/global/networks/NETWORK_ID.

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PRIVATE_CONNECTION_ID: השם של החיבור הפרטי שרוצים ליצור
   • ‫REGION: האזור שבו יוצרים את החיבור הפרטי הזה. האזור הזה חייב להיות זהה לאזור הרשת של VMware Engine
   • ‫NETWORK_ID: השם של רשת VMware Engine
   • ‫SERVICE_NETWORKING_TENANT_PROJECT: שם הפרויקט של רשת ה-VPC של הדייר ב-Service Networking. אפשר למצוא את SNTP בעמודה PEER_PROJECT של שם הפירינג servicenetworking-googleapis-com.
   • ‫MODE: מצב הניתוב, GLOBAL או REGIONAL

2. אופציונלי: אם רוצים לראות רשימה של החיבורים הפרטיים, מריצים את הפקודה gcloud vmware private-connections list:

   gcloud vmware private-connections list \
       --location=REGION

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫REGION: האזור של הרשת שרוצים להציג.

API

כדי ליצור רשת VPC של Compute Engine וחיבור של גישה לשירות פרטי באמצעות VMware Engine API:

1. יוצרים חיבור פרטי על ידי שליחת בקשת POST:

   POST "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections?private_connection_id=PRIVATE_CONNECTION_ID"
   
   '{
     "description": "My first private connection",
     "vmware_engine_network":
   "projects/PROJECT_ID/locations/REGION/vmwareEngineNetworks/NETWORK_ID
     "type": "PRIVATE_SERVICE_ACCESS",
     "routing_mode": "MODE",
     "service_network":
   "projects/SERVICE_NETWORKING_TENANT_PROJECT/global/networks/SERVICE_NETWORK"
   }'
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PRIVATE_CONNECTION_ID: השם של החיבור הפרטי לבקשה הזו
   • ‫REGION: האזור שבו רוצים ליצור את החיבור הפרטי
   • ‫NETWORK_ID: רשת VMware Engine לבקשה הזו
   • ‫SERVICE_NETWORKING_TENANT_PROJECT: שם הפרויקט של רשת ה-VPC של הדייר ברשת השירות. אפשר למצוא את ה-SNTP בעמודה PEER_PROJECT של שם הפירינג servicenetworking-googleapis-com
   • ‫SERVICE_NETWORK: הרשת בפרויקט הדייר

2. אופציונלי: אם רוצים לראות את רשימת החיבורים הפרטיים, צריך לשלוח GETבקשה:

   GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections"
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: שם הפרויקט של הבקשה הזו.
   • ‫REGION: האזור שבו רוצים להציג את החיבורים הפרטיים.

עריכת חיבור פרטי

אפשר לערוך חיבור פרטי אחרי שיוצרים אותו. אחרי שיוצרים את הכלל, אפשר לשנות את מצב הניתוב בין GLOBAL ל-REGIONAL. ב-Google Cloud CLI או ב-API, אפשר גם לעדכן את התיאור של החיבור הפרטי.

המסוף

1. נכנסים לדף Private connections במסוף Google Cloud .

   כניסה לדף Private connections

2. לוחצים על שם החיבור הפרטי שרוצים לערוך.

3. בדף הפרטים, לוחצים על עריכה.

4. מעדכנים את התיאור או את מצב הניתוב של החיבור.

5. שומרים את השינויים.

gcloud

כדי לערוך חיבור פרטי, מריצים את הפקודה gcloud vmware private-connections update:

gcloud vmware private-connections update PRIVATE_CONNECTION_ID \
   --location=REGION \
   --description=DESCRIPTION \
   --routing-mode=MODE

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: שם הפרויקט של הבקשה הזו
• ‫REGION: האזור שבו רוצים לעדכן את החיבור הפרטי הזה
• ‫DESCRIPTION: התיאור החדש לשימוש
• ‫PRIVATE_CONNECTION_ID: המזהה של החיבור הפרטי לבקשה הזו
• ‫MODE: מצב הניתוב, GLOBAL או REGIONAL

API

כדי לערוך חיבור פרטי באמצעות VMware Engine API, שולחים בקשת PATCH:

PATCH "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID?update_mask=description, routing_mode"

'{
  "description": "Updated description for the private connection",
  "routing_mode": "MODE"
}'

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: שם הפרויקט של הבקשה הזו
• ‫REGION: האזור שבו רוצים לעדכן את החיבור הפרטי הזה
• ‫PRIVATE_CONNECTION_ID: השם של החיבור הפרטי לבקשה הזו
• ‫MODE: מצב הניתוב, GLOBAL או REGIONAL

תיאור של חיבור פרטי

אפשר לקבל את התיאור של כל חיבור פרטי באמצעות Google Cloud CLI או VMware Engine API.

gcloud

כדי לקבל תיאור של חיבור פרטי, מריצים את הפקודה gcloud vmware private-connections describe:

gcloud vmware private-connections describe PRIVATE_CONNECTION_ID \
    --location=REGION

מחליפים את מה שכתוב בשדות הבאים:

• ‫PRIVATE_CONNECTION_ID: השם של החיבור הפרטי לבקשה הזו
• ‫REGION: האזור של החיבור הפרטי.

API

כדי לקבל תיאור של חיבור פרטי באמצעות VMware Engine API, שולחים בקשת GET:

GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID"

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: שם הפרויקט של הבקשה הזו.
• PRIVATE_CONNECTION_ID: השם של החיבור הפרטי לבקשה הזו.
• ‫REGION: האזור של החיבור הפרטי.

אחרי שהחיבורים הפרטיים שמחקתם לא יופיעו יותר ברשימת החיבורים הפרטיים, תוכלו למחוק את החיבור הפרטי במסוףGoogle Cloud . ביצוע השלב הזה שלא לפי הסדר עלול לגרום לכך שיהיו רשומות DNS לא עדכניות בשני הפרויקטים, Google Cloud .

הצגת מסלולי פירינג לחיבור פרטי

כדי להציג את רשימת המסלולים של ה-Peering שהוחלפו עבור חיבור פרטי:

המסוף

1. נכנסים לדף Private connections במסוף Google Cloud .

   כניסה לדף Private connections

2. לוחצים על השם של החיבור הפרטי שרוצים להציג.

בדף הפרטים מוסבר על מסלולים מיובאים ומיוצאים.

gcloud

כדי להציג את מסלולי ה-peering שהוחלפו בחיבור פרטי, מריצים את הפקודה gcloud vmware private-connections routes list:

gcloud vmware private-connections routes list \
    --private-connection=PRIVATE_CONNECTION_ID \
    --location=REGION

מחליפים את מה שכתוב בשדות הבאים:

• PRIVATE_CONNECTION_ID: השם של החיבור הפרטי לבקשה הזו.
• ‫REGION: האזור של החיבור הפרטי.

API

כדי להציג רשימה של מסלולי פירינג שהוחלפו בחיבור פרטי באמצעות VMware Engine API, שולחים בקשת GET:

GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID/peeringRoutes"

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: שם הפרויקט של הבקשה הזו.
• ‫REGION: האזור של החיבור הפרטי.
• PRIVATE_CONNECTION_ID: השם של החיבור הפרטי לבקשה הזו.

מגבלות על ניתוב

המספר המקסימלי של מסלולים שניתן לקבל בענן פרטי הוא 200. לדוגמה, המסלולים האלה יכולים להגיע מרשתות מקומיות, מרשתות VPC שכנות ומקושרות ומעננים פרטיים אחרים באותה רשת VPC. מגבלת המסלולים הזו תואמת למספר המקסימלי של פרסומי מסלולים מותאמים אישית לכל מגבלת סשן BGP ב-Cloud Router.

באזור נתון, אפשר לפרסם לכל היותר 100 נתיבים ייחודיים מ-VMware Engine לרשת ה-VPC באמצעות גישה לשירותים פרטיים. לדוגמה, המסלולים הייחודיים האלה כוללים טווחי כתובות IP לניהול ענן פרטי, פלחים של רשת עומסי עבודה ב-NSX וטווחי כתובות IP פנימיות ב-HCX. מגבלת המסלולים הזו כוללת את כל העננים הפרטיים באזור, והיא תואמת למגבלת המסלולים הנלמדים של Cloud Router.

מידע על מגבלות הניתוב מופיע במאמר מכסות ומגבלות של Cloud Router.

פתרון בעיות

בסרטון הבא מוצגות הוראות לאימות ולפתרון בעיות בחיבורי פירינג בין Google Cloud VPC לבין Google Cloud VMware Engine.

המאמרים הבאים

• ניהול של משאבים ופעילות בענן פרטי.