השבתת ניתוב היברידי של רשתות משנה

בדף הזה מוסבר איך להשבית ניתוב של רשתות משנה היברידיות אחרי שמסיימים העברה שנתמכת על ידי Hybrid Subnets.

אם אתם לא צריכים יותר את הפונקציונליות של Hybrid Subnets – למשל, כי כל עומסי העבודה ברשת המקומית עברו ל-Google Cloud או הוצאו משימוש – אתם יכולים להשבית את הניתוב של Hybrid Subnets. השבתה של ניתוב היברידי של רשתות משנה משחזרת את התנהגות הניתוב הרגילה של רשת המשנה שמשתמשת בניתוח היברידי של רשתות משנה, ומאפשרת להסיר הגדרת העברה זמנית.

אפשר להשאיר את האפשרות 'ניתוב היברידי של רשתות משנה' מופעלת ללא הגבלת זמן, אבל Google ממליצה להשבית אותה כדי להימנע מחיובים מיותרים, לפשט את ארכיטקטורת הרשת ולהסיר מורכבויות כמו ניהול של מסלולי ניתוב מותאמים אישית שפורסמו.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות להשבתת ניתוב של רשתות משנה היברידיות, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של רשת Compute (roles/compute.networkAdmin) בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

עדכון של פרסום מסלולים ב-Cloud Router

אם רוצים להשבית את הניתוב של רשתות משנה היברידיות תוך שמירה על קישוריות בין עומסי העבודה שהועברו לבין הרשת המקומית, צריך לעדכן את הפרסומים של המסלולים המותאמים אישית.

כדי לעדכן פרסומים של מסלולים מותאמים אישית ב-Cloud Router:

1. מסירים את המסלולים המותאמים אישית לפרסום שהגדרתם לעומסי עבודה שהועברו.

2. חשוב לוודא שאתם ממשיכים לפרסם את טווח תת-הרשת של תת-הרשת שבה הופעל ניתוב היברידי של תת-רשתות. אפשר לעשות זאת באחת מהדרכים הבאות:

   • מגדירים את סשני ה-BGP הרלוונטיים כך שישתמשו בפרסום של טווח רשתות משנה.

   • מגדירים את סשני ה-BGP הרלוונטיים לשימוש בפרסום בהתאמה אישית, אבל ממשיכים לפרסם טווחי רשתות משנה.

   • מגדירים את סשני ה-BGP הרלוונטיים לשימוש בפרסום בהתאמה אישית בלי לפרסם טווחי רשתות משנה, אבל משתמשים בנתיבים מפורסמים בהתאמה אישית שכוללים את טווח רשתות המשנה.

   מידע על הגדרת סשן BGP לשימוש באחת משיטות הפרסום האלה זמין במאמר פרסום של טווחי כתובות מותאמים אישית.

השבתת ניתוב היברידי של רשתות משנה

כדי להשבית ניתוב של רשת משנה היברידית, מבצעים את הפעולות הבאות.

המסוף

1. נכנסים לדף VPC networks במסוף Google Cloud .

   מעבר לרשתות VPC

2. לוחצים על השם של רשת ה-VPC שמכילה את רשת המשנה שרוצים לעדכן.

3. לוחצים על הכרטיסייה Subnets.

4. לוחצים על רשת המשנה שרוצים לעדכן.

5. לוחצים על Edit.

6. בקטע Hybrid subnet, בוחרים באפשרות Off.

7. לוחצים על Save.

gcloud

משתמשים בפקודה gcloud compute networks subnets update.

gcloud compute networks subnets update SUBNET \
    --region=REGION \
    --no-allow-cidr-routes-overlap

מחליפים את מה שכתוב בשדות הבאים:

• ‫SUBNET: שם רשת המשנה.
• ‫REGION: האזור של תת-הרשת.

API

1. מוצאים את מזהה רשת המשנה fingerprint.

   לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

   • ‫PROJECT_ID: מזהה הפרויקט
   • ‫REGION: האזור של תת-הרשת
   • ‫SUBNET_NAME: השם של תת-הרשת

   ה-method של ה-HTTP וכתובת ה-URL:

   GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME

   כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

   ‫Curl (Linux,‏ macOS או Cloud Shell)

   הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

   מריצים את הפקודה הבאה:

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"

   ‎PowerShell (Windows)

   הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

   מריצים את הפקודה הבאה:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME" | Select-Object -Expand Content

   אתם אמורים לקבל תגובת JSON שדומה לזו:

   {
     "kind": "compute#subnetwork",
     "id": "5514771331600183201",
     "creationTimestamp": "2022-09-16T12:41:02.010-07:00",
     "name": "subnet-name",
     "network": "https://www.googleapis.com/compute/v1/projects/project-name/global/networks/network-name",
     "ipCidrRange": "10.6.0.0/16",
     "gatewayAddress": "10.6.0.1",
     "region": "https://www.googleapis.com/compute/v1/projects/project-name/regions/us-central1",
     "selfLink": "https://www.googleapis.com/compute/v1/projects/project-name/regions/us-central1/subnetworks/subnet-name",
     "privateIpGoogleAccess": true,
     "fingerprint": "YiItidAFRsA5",
     "allowSubnetCidrRoutesOverlap": false,
     "enableFlowLogs": true,
     "privateIpv6GoogleAccess": "DISABLE_GOOGLE_ACCESS",
     "purpose": "PRIVATE",
     "stackType": "IPV4_ONLY"
   }
   

2. השבתה של allowSubnetCidrRoutesOverlap.

   לפני שמשתמשים בנתוני הבקשה, מחליפים את SUBNET_FINGERPRINT במזהה טביעת האצבע של רשת המשנה שמצאתם בבקשה הקודמת – לדוגמה, YiItidAFRsA5.

   ה-method של ה-HTTP וכתובת ה-URL:

   PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME

   תוכן בקשת JSON:

   {
     "allowSubnetCidrRoutesOverlap": false,
     "fingerprint": "SUBNET_FINGERPRINT"
   }
   

   כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

   ‫Curl (Linux,‏ macOS או Cloud Shell)

   הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

   שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"

   ‎PowerShell (Windows)

   הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

   שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME" | Select-Object -Expand Content

   אתם אמורים לקבל תגובת JSON שדומה לזו:

   {
     "kind": "compute#operation",
     "id": "5973660558170953708",
     "name": "operation-1680288003494-5f8368991917a-59bf1c92-1897c7c6",
     "operationType": "compute.subnetworks.patch",
     "targetLink": "https://www.googleapis.com/compute/v1/projects/test-project/regions/us-central1/subnetworks/subnet-name-abceefg",
     "targetId": "5514771331600183201",
     "status": "RUNNING",
     "user": "[e-mail]",
     "progress": 0,
     "insertTime": "2023-03-31T11:40:03.882-07:00",
     "startTime": "2023-03-31T11:40:03.893-07:00",
     "selfLink": "https://www.googleapis.com/compute/v1/projects/test-project/regions/us-central1/operations/operation-1680288003494-5f8368991917a-59bf1c92-1897c7c6",
     "region": "https://www.googleapis.com/compute/v1/projects/test-project/regions/us-central1"
   }
   

3. כדי לוודא ש-allowSubnetCidrRoutesOverlap מושבת ברשת המשנה, שולחים בקשת GET נוספת ומוודאים שהתשובה כוללת את הפרטים הבאים:

   • "allowSubnetCidrRoutesOverlap": false

הסרת הגדרות לא נחוצות

כמה נקודות שכדאי לחשוב עליהן:

• אם אתם לא צריכים פרוקסי ARP למטרה אחרת, אתם יכולים להשבית אותו. מידע על השבתת proxy ARP זמין במסמכי העזרה של פתרון proxy ARP.

• אם כבר לא צריך קישוריות בין הרשת המקומית לרשתות ה-VPC, אפשר לנתק את שתי הרשתות. כדי לנתק את הרשתות, מבצעים את השלבים הבאים.

  1. מבצעים אחת מהפעולות הבאות, בהתאם לאופן שבו הגדרתם את הקישוריות:

     • מחיקת שער HA VPN
     • מחיקת צירוף ל-VLAN עבור Partner Interconnect
     • מחיקת חיבור Dedicated Interconnect

  2. אם אתם לא צריכים יותר נתבי Cloud שהגדרתם עבור Hybrid Subnets, אתם יכולים למחוק אותם.

  3. אם אתם לא צריכים יותר את הגדרת חומת האש שהוספתם כדי לתמוך ב-Hybrid Subnets, אתם יכולים להסיר אותה.