Nifer o brosiectau Google Cloud, un VPN hybrid? Penderfynwch yn gyntaf
Mae VPC a rennir, peering a hwb cysylltedd yn ateb cwestiynau perchnogaeth gwahanol. Dewiswch ffin y rhwydwaith cyn i chi osod un VPN ym mhob prosiect.
Pan fo nifer o brosiectau Google Cloud angen mynediad hybrid, y reddf yw un VPN ym mhob prosiect, ac mae hynny bron bob amser yn y siâp anghywir. Mae perchnogaeth prosiect a llwybro pecynnau yn gysylltiedig ond yn gwestiynau gwahanol, ac mae'r bensaernïaeth ddefnyddiol yn cadw'r ffiniau gweinyddol sydd eu hangen arnoch tra'n rhoi un llwybr bwriadol i'r rhagddodiaid a fwriedir at y swyddfa neu'r ganolfan ddata. Mae'r gwiriadau hyn yn setlo pa fodel rhwydwaith rydych chi ei eisiau mewn gwirionedd, yn y drefn sy'n osgoi ailwaith. Gall pob un ohonynt ddod â'r drafodaeth i ben yn gynnar, a dyna'r pwynt.
Nid yw ffin prosiect yn gofyn yn awtomatig am ei thwnnel ei hun.
Gwiriwch a yw'r gwrthrych a rennir yn rhwydwaith
Dechreuwch â chwestiwn am berchnogaeth, nid cysylltedd: a all perchnogaeth ganolog o'r rhwydwaith gefnogi'r llwythi gwaith hyn? Os mai ie yw'r ateb ac mae gan y sefydliad ffurfweddiad addas, mae prosiect gwesteiwr yn berchen ar y VPC, yr is-rwydweithiau a'r cysylltedd, tra bod prosiectau gwasanaeth yn berchen ar eu hadnoddau cymhwysiad. Yna gall un cysylltiad Cloud VPN yn y rhwydwaith a rennir hwnnw wasanaethu'r rhagddodiaid llwyth gwaith a fwriedir, yn ddarostyngedig i bolisïau llwybro a diogelwch .
Byddwch yn fanwl am yr hyn y mae cysylltiad yn ei wneud. Nid yw atodi prosiect gwasanaeth yn uno ei VPC annibynnol presennol â'r rhwydwaith gwesteiwr, ac nid yw'n symud pob adnodd yn awtomatig. Mae atodi llwythi gwaith, caniatâd, gofod cyfeiriadau a DNS i gyd yn rhan o'r bensaernïaeth, nid yn ganlyniadau i'r gosodiad. Darllenwch y cysylltiad yn gyntaf fel newid caniatâd ac yn ail fel newid llwybro, oherwydd mae timau fel arfer yn darganfod y gwahaniaeth yn ystod y trosglwyddiad.
Os nad yw perchnogaeth ganolog yn dderbyniol i'r timau dan sylw, stopiwch yma a thriniwch y gweddill fel dyluniad peering neu hwb. Mae gorfodi Shared VPC ar grŵp sydd angen cylchoedd bywyd rhwydwaith annibynnol yn cynhyrchu problem wleidyddol ag enw technegol.
Gwiriwch a all VPC annibynnol aros yn annibynnol
Mae peering yn cadw VPC ar wahân, a dyna'n union pam mae'n denu timau sydd am eu cynlluniau cyfeiriadau eu hunain a'u rheolaeth newid eu hunain. Y dal yw nad yw peering yn drawsnewidiol: nid yw peering A-i-B a B-i-C ynddo'i hun yn creu llwybro A-i-C trwy B. Os oes angen i dri phrosiect gyrraedd un cyrchfan hybrid, mae angen cynllun cyfnewid bwriadol arnoch yn hytrach na chadwyn o beeringau.
Mae rhannu cyrraeddhywedd hybrid hefyd yn dibynnu ar y cyfnewid llwybrau personol a gofnodwyd a'r hysbysebion Cloud Router a fwriedir. Mae statws peering o actif yn profi bod y peering yn bodoli, nid bod y rhagddodiaid sy'n bwysig i bob ochr wedi'u hallforio erioed. Gwiriwch yr ystodau a allforiwyd ar ddwy ochr y peer, yn y ffurfweddiad sy'n gwneud yr allforio, a'u cymharu â'r cyfeiriadau y mae eich llwythi gwaith yn eu defnyddio mewn gwirionedd. Anghysondeb yno yw'r rheswm mwyaf cyffredin pam mae peering yn edrych yn iach tra bod rhagddodiad yn parhau'n uncyrraeddadwy.
Ysgrifennwch y cynllun cyfeiriadau cyn unrhyw beth arall. Yr ystodau nad ydynt yn gorgyffwrdd, y llwybrau tuag at bob cyrchfan a fwriedir a'r hysbysebion dychwelyd yw'r tri arteffact y mae'r model hwn yn byw neu'n marw arnynt.
Gwiriwch a yw model hwb yn ffitio'r topoleg
Ar gyfer dyluniad mwy neu wahanol ei segmentu, mae trosolwg Google Network Connectivity Center yn disgrifio'r modelau hwb a phaladr. Darllenwch ef am yr hyn y mae'r rhyddhau presennol yn ei gefnogi yn hytrach nag am yr hyn y mae'r diagram yn ei awgrymu: pa gyfuniadau VPC a hybrid, pa deuluoedd llwybrau a pha bolisïau y mae pob math o baladr yn eu caniatáu.
Gwiriwch y teulu cyfeiriadau yn benodol. Mae enghreifftiau cynllunio yn y rhan fwyaf o ganllawiau, gan gynnwys hwn, yn ymwneud ag IPv4, ac nid yw nodwedd sy'n bodoli ar gyfer un math o baladr yn berthnasol yn awtomatig heb newid i un arall. Os yw eich ystâd yn ddau-stac, mae'r cwestiwn hwnnw'n perthyn i ddewis y model, nid i fudo diweddarach.
Mae'r tabl isod yn grynodeb o'r tri model a'r cwestiwn sy'n penderfynu pob un.
| Model | Network relationship | Planning question |
|---|---|---|
| Shared VPC | Service projects use subnets of a host project's VPC | Can central network ownership support these workloads? |
| VPC Network Peering | Independent VPCs exchange supported routes through explicit peers | Are direct peer and hybrid route exchanges sufficient? |
| Network Connectivity Center | Supported VPC and hybrid spokes join a managed hub | Does the required topology fit current routing and policy? |
Gwiriwch beth nad yw llwybro yn ei roi
Nid yw cyfnewid llwybrau yn rhoi ymddiriedaeth yn gyffredinol. Mae datrys DNS, caniatâd mur cadarn a awdurdodi cymhwysiad yn parhau'n gyfrifoldebau eu hunain, ac mae pob un yn cael ei ffurfweddu gan berchnogion gwahanol yn y rhan fwyaf o sefydliadau. Bydd dyluniad sy'n tybio bod cyrraeddhywedd yn awgrymu awdurdodiad yn pasio ei brawf cysylltedd ac yn methu ei adolygiad diogelwch.
Cadarnhewch y stori DNS ar gyfer pob model hefyd, oherwydd mae trefniadau parthau ac anfon ymlaen yn wahanol rhwng rhwydwaith a rennir a rhwydweithiau peiriedig. Nid yw enwau preifat sy'n datrys mewn un prosiect yn dilyn llwybr i un arall.
Cofnodwch y penderfyniad a'i berchennog
Canolbwyntiwch lle mae'r sefydliad am berchnogion rhwydwaith a rennir; cadwch VPC ar wahân lle mae cylch bywyd neu bolisi yn gofyn amdano. Yna dewiswch berthynas cysylltedd a gefnogir ac ysgrifennwch pa un a ddewisoch, pwy sy'n berchen ar y rhwydwaith a rennir, a beth y caniateir i bob prosiect ei hysbysebu.
Nid yw cyfrif prosiectau a phrynu un VPN ar gyfer pob un yn cymryd lle'r penderfyniad perchnogaeth hwnnw. Yr un penderfyniad yw hwn, a wneir yn ddiweddarach, gan bwy bynnag sy'n etifeddu'r bil a'r tabl llwybro.