VCF-Software-Depot konfigurieren

Wenn Sie VMware Cloud Foundation (VCF) in der VMware-Lösung in Google Cloudbereitstellen und aktualisieren möchten, benötigen Ihre VCF-Installations- und SDDC-Manager-Appliances Zugriff auf VCF-Softwarepakete, Patches und Kompatibilitätsmetadaten. In diesem Dokument werden die verfügbaren VCF-Software-Repository-Architekturen verglichen und es wird erläutert, wie Sie mit Private Service Connect eine private Konnektivität zum von Google bereitgestellten Offline-Depot konfigurieren.

Repository-Architektur auswählen

Sie können VCF-Softwarepakete mit einer der folgenden Methoden in Ihrer VMware-Lösungsumgebung bereitstellen:

  • Öffentliches Broadcom-Repository (Online-Depot): Verbinden Sie Ihre VCF Installer- und SDDC Manager-Appliances direkt über das Internet mit dem Broadcom-Online-Depot (z. B. mithilfe von Cloud NAT oder einem ausgehenden Webproxy). Authentifizieren Sie sich mit Ihren Anmeldedaten für das Broadcom Support Portal und dem Download-Token. Weitere Informationen finden Sie in der Broadcom-Dokumentation zum Herstellen einer Verbindung zum Online-Depot.
  • Von Google bereitgestelltes Offline-Depot (Private Service Connect): Stellen Sie über einen Private Service Connect-Endpunkt eine private Verbindung zu einem regionalen Software-Repository her, das von Google Cloudgehostet wird. Alle Softwaredownloads verbleiben im internen Netzwerk von Google Cloud , ohne dass ausgehender Internettraffic erforderlich ist.

In der folgenden Tabelle werden die beiden Repository-Architekturen verglichen:

Funktion Broadcom-Online-Depot Von Google bereitgestelltes Offline-Depot
Netzwerkpfad Ausgehender Internetzugriff (Cloud NAT oder Proxy) Private VPC-Verbindung (Private Service Connect-Endpunkt)
Authentifizierung Broadcom Support Portal-Downloadtoken Zugriffssteuerung auf VPC-Ebene über Private Service Connect
Bandbreite und Latenz Abhängig von der Konfiguration des ausgehenden Internet-Traffics Regionaler Transfer mit hohem Durchsatz innerhalb von Google Cloud
Unterstützung für Air Gap Ohne externen Jump Host nicht unterstützt Unterstützt für isolierte VPC-Umgebungen

Hinweis

Bevor Sie einen Private Service Connect-Endpunkt für das von Google bereitgestellte Offline-Depot konfigurieren, müssen Sie die folgenden Voraussetzungen erfüllen:

  1. Aktivieren Sie die erforderlichen Google Cloud APIs in Ihrem Projekt. In der folgenden Tabelle sind die erforderlichen APIs aufgeführt:

    Dienstname API-Kennung Zweck
    Compute Engine API compute.googleapis.com Stellt Subnetze, interne IP-Adressen und Weiterleitungsregeln bereit
    Cloud DNS API dns.googleapis.com Erstellt private DNS-Zonen und ‑Einträge für die Depotauflösung
    Service Directory API servicedirectory.googleapis.com Registriert Private Service Connect-Endpunkte

    Führen Sie den folgenden Befehl aus, um diese APIs mit der Google Cloud CLI zu aktivieren:

    gcloud services enable compute.googleapis.com \
   dns.googleapis.com \
   servicedirectory.googleapis.com \
   --project=PROJECT_ID

    Ersetzen Sie vor dem Ausführen des Befehls Folgendes:

    • PROJECT_ID: die ID Ihres Projekts in Google Cloud .

  2. Prüfen Sie, ob Ihr Nutzerkonto oder Dienstkonto die folgenden IAM-Rollen (Identity and Access Management) für das Zielprojekt hat:

    • Compute-Netzwerkadminstrator (roles/compute.networkAdmin)
    • DNS-Administrator (roles/dns.admin)

  3. Richten Sie Ihr VPC-Netzwerk (Virtual Private Cloud) ein und planen Sie die IP-Adressbereiche des Subnetzes für Verwaltung, vSAN, vMotion und NSX-Tunnelendpunkte (TEP). Legen Sie die MTU des VPC-Netzwerks auf 8896 Byte fest, bevor Sie die Knoten bereitstellen, und erstellen Sie neue Subnetze in der VMware-Lösung, während Sie die Knoten erstellen.

    Für die VMware-Lösung muss die Eigenschaft Subnetzmaske auflösen der Subnetze Ihres VPC-Netzwerk auf Primären Bereich nur mit Lernen übertragen festgelegt sein, um VLAN-basiertes Netzwerk zu unterstützen. Öffnen Sie im Google Cloud Console-Supportcenter ein Support-Ticket mit den folgenden Informationen:

    • Produkt: Google Cloud VMware Engine
    • Priorität: P2
    • Kategorie: Network Connectivity
    • Auswirkungen auf das Geschäft: Allgemeine technische Frage
    • Geben Sie weitere Details an: Allowlist L2 network connectivity for my project, zusammen mit Ihrer Projekt-ID, Projektnummer und der Zielregion und -zone für Ihre Bereitstellung.

    Weitere Informationen zur Unterstützung von VLAN-basierten Netzwerken finden Sie unter Layer-2-Emulation: ARP-Broadcasting und benutzerdefiniertes MAC-Learning.

Von Google bereitgestelltes Offline-Depot konfigurieren

Wenn Sie privaten Zugriff auf das regionale VCF-Offline-Depot einrichten möchten, stellen Sie ein dediziertes Standardsubnetz (kein Layer-2-Broadcast) bereit, stellen Sie einen Private Service Connect-Endpunkt bereit und konfigurieren Sie die Cloud DNS-Auflösung.

Subnetz für das Offline-Depot bereitstellen

Erstellen Sie ein dediziertes Standardsubnetz (kein Layer-2-Broadcast) mit einer Mindest-CIDR-Größe von /29 in derselben Region wie Ihre Bare-Metal-Knoten:

gcloud compute networks subnets create SUBNET_NAME \
    --network=VPC_NETWORK_NAME \
    --region=REGION \
    --range=SUBNET_CIDR \
    --project=PROJECT_ID

Ersetzen Sie vor dem Ausführen des Befehls Folgendes:

  • SUBNET_NAME: der Name des Standardsubnetzes für den Offline-Depot-Endpunkt (z. B. snet-offline-depot).
  • VPC_NETWORK_NAME: der Name des VPC-Netzwerks
  • REGION: die Google Cloud -Region, in der sich Ihre Bare-Metal-Knoten befinden (z. B. us-central1).
  • SUBNET_CIDR: ein nicht verwendeter CIDR-Block mit /29 oder größer (z. B. 192.168.10.0/29).
  • PROJECT_ID: die ID Ihres Projekts in Google Cloud .

Private Service Connect-Endpunkt bereitstellen

Reservieren Sie eine interne IP-Adresse für den Endpunkt und erstellen Sie eine Weiterleitungsregel, die auf den regionalen Offline-Depot-Dienstanhang verweist:

  1. Reservieren Sie eine regionale interne IP-Adresse mit dem Zweck GCE_ENDPOINT:

    gcloud compute addresses create offline-depot-ip \
   --region=REGION \
   --subnet=SUBNET_NAME \
   --purpose=GCE_ENDPOINT \
   --project=PROJECT_ID

    Ersetzen Sie vor dem Ausführen des Befehls Folgendes:

    • REGION: die Google Cloud -Region (z. B. us-central1).
    • SUBNET_NAME: der Name Ihres Standard-Offline-Depot-Subnetzes.
    • PROJECT_ID: die ID Ihres Projekts in Google Cloud .

  2. Rufen Sie die reservierte interne IP-Adresse ab, damit Sie sie beim Konfigurieren des DNS verwenden können:

    gcloud compute addresses describe offline-depot-ip \
   --region=REGION \
   --format='get(address)' \
   --project=PROJECT_ID

    Ersetzen Sie vor dem Ausführen des Befehls Folgendes:

    • REGION: die Google Cloud -Region.
    • PROJECT_ID: die ID Ihres Projekts in Google Cloud .

  3. Erstellen Sie die Private Service Connect-Weiterleitungsregel, die auf den regionalen Offline-Depot-Dienstanhang verweist:

    gcloud compute forwarding-rules create offline-depot-endpoint \
   --region=REGION \
   --network=VPC_NETWORK_NAME \
   --address=offline-depot-ip \
   --target-service-attachment=projects/smve-prod-offline-depot/regions/REGION/serviceAttachments/offline-depot-service-attachment-REGION \
   --project=PROJECT_ID

    Ersetzen Sie vor dem Ausführen des Befehls Folgendes:

    • REGION: die Google Cloud -Region, in der Ihre Bare-Metal-Knoten bereitgestellt werden (z. B. us-central1).
    • VPC_NETWORK_NAME: der Name des VPC-Netzwerks
    • PROJECT_ID: die ID Ihres Projekts in Google Cloud .

Cloud DNS-Auflösung konfigurieren

Der HTTPS-Server des Offline-Depots stellt ein TLS-Zertifikat für offline-depot.REGION.selfmanagedvmwareengine.goog bereit. Erstellen Sie eine private Cloud DNS-Zone und einen A-Eintrag, damit Ihre VCF-Appliances diesen voll qualifizierten Domainnamen (FQDN) in die IP-Adresse Ihres Private Service Connect-Endpunkts auflösen:

  1. Erstellen Sie eine private verwaltete DNS-Zone für die regionale Domain:

    gcloud dns managed-zones create offline-depot-zone \
   --dns-name=REGION.selfmanagedvmwareengine.goog. \
   --description='Private DNS zone for the regional VCF offline depot' \
   --visibility=private \
   --networks=VPC_NETWORK_NAME \
   --project=PROJECT_ID

    Ersetzen Sie vor dem Ausführen des Befehls Folgendes:

    • REGION: die Google Cloud -Region (z. B. us-central1).
    • VPC_NETWORK_NAME: der Name des VPC-Netzwerks
    • PROJECT_ID: die ID Ihres Projekts in Google Cloud .

  2. Erstellen Sie einen A-Eintrag für offline-depot.REGION.selfmanagedvmwareengine.goog., der Ihrer reservierten Private Service Connect-IP-Adresse zugeordnet ist:

    gcloud dns record-sets create offline-depot.REGION.selfmanagedvmwareengine.goog. \
   --zone=offline-depot-zone \
   --type=A \
   --ttl=300 \
   --rrdatas=PSC_INTERNAL_IP \
   --project=PROJECT_ID

    Ersetzen Sie vor dem Ausführen des Befehls Folgendes:

    • REGION: die Google Cloud -Region.
    • PSC_INTERNAL_IP: die interne IP-Adresse, die für offline-depot-ip reserviert ist.
    • PROJECT_ID: die ID Ihres Projekts in Google Cloud .

DNS-Zone mit verbundenen VPC-Netzwerken verknüpfen

Wenn sich Ihre VCF-Verwaltungs-Appliances oder Ihr Jump Host in einer freigegebene VPC oder einem Peering-VPC-Netzwerk befinden, autorisieren Sie diese Netzwerke, die private Zone offline-depot-zone abzufragen. Eine Anleitung zum Binden zusätzlicher VPC-Netzwerke oder zum Konfigurieren von projektübergreifendem DNS-Peering finden Sie unter Private Zonen in VPC-Netzwerken verwalten.

Konnektivität prüfen

Prüfen Sie von einem Jump Host oder einer Verwaltungs-VM in Ihrem VPC-Netzwerk aus, ob die DNS-Auflösung und die HTTPS-Verbindung zum regionalen Offline-Depot erfolgreich sind:

  1. Prüfen Sie, ob der regionale FQDN in Ihre interne IP-Adresse von Private Service Connect aufgelöst wird:

    nslookup offline-depot.REGION.selfmanagedvmwareengine.goog

  2. Testen Sie die HTTPS-Konnektivität zum Offline-Depot-Endpunkt:

    curl -I https://offline-depot.REGION.selfmanagedvmwareengine.goog

    Ersetzen Sie vor dem Ausführen der Befehle Folgendes:

    • REGION: die Google Cloud -Region, in der Sie den Endpunkt konfiguriert haben (z. B. us-central1).

    Bei einer erfolgreichen Verbindung wird vom Depot-Webserver eine HTTP-Antwort vom Typ 200 OK oder 301/302 zurückgegeben.

Nächste Schritte