Méi Google Cloud-Projeten, een hybrides VPN? Entschied Iech fir d'éischt
Gedeelte VPC, Peering an en Konnektivitéitshub beäntweren ënnerschiddlech Proprietéitsfroen. Wielt d'Netzwierkgrenz, ier Dir een VPN pro Projet asetzt.
Wann méi Google Cloud-Projeten hybriden Zougang brauchen, ass den Instinkt een VPN pro Projet, an dat ass bal ëmmer déi falsch Form. D'Projetsproprietéit an d'Paketroutung si verbonne, awer ënnerschiddlech Froen, an déi nëtzlech Architektur behält déi administrativ Grenzen, déi Dir braucht, an gëtt de virgesinnene Präfixen een bewossene Wee an d'Büro oder an den Datacenter. Dës Kontrollen entscheeden, wéi ee Netzwierkmodel Dir tatsächlech wëllt, an der Rei, déi Nomaarbecht vermeit. All eenzel kann d'Diskussioun fréi ophalen, an dat ass de Punkt.
Eng Projektsgrenz erfuerdert net automatesch hiren eegene Tunnel.
Iwwerpréift, ob d'gedeelte Objet d'Netzwierk ass
Fänkt mat enger Fro iwwer d'Proprietéit un, net iwwer d'Konnektivitéit: kann d'zentral Netzwierkproprietéit dës Aarbechtslaascht droen? Wann d'Äntwert jo ass an d'Organisatioun eng gëeegent Konfiguratioun huet, besëtzt en Hostprojet de VPC, d'Subnetzer an d'Konnektivitéit, während Serviceprojeten hir Applikatiounsressourcen besëtzen. Eng Cloud VPN-Verbindung an deem gedeelten Netzwierk kann dann déi virgesinne Aarbechtslaaschtpräfixen déngen, ënnert der Viraussetzung vun de Routing- a Sécherheetsrichtlinien .
Sidd genee dobäi, wat d'Associatioun mécht. D'Unhänken vun engem Serviceprojet fusionéiert säin existéierenden onofhängege VPC net mam Hostnetzwierk, an et verréckelt net all Ressource automatesch. D'Aarbechtslaascht-Unhänken, d'Berechtegungen, den Adressraum an den DNS sinn all en Deel vun der Architektur, net Konsequenze vun der Astellung. Liest d'Associatioun éischt als Berechtegungsännerung an duerno als Routingännerung, well d'Equippen den Ënnerscheed meeschtens beim Ëmstieges entdecken.
Wann d'zentral Proprietéit fir d'betraffe Equippen net akzeptabel ass, stoppt hei an behandelt de Rescht als Peering- oder Hub-Design. Shared VPC enger Grupp opzedrécken, déi onofhängeg Netzwierkliewenszyklusen braucht, produzéiert e politescht Problem mat engem techneschen Numm.
Iwwerpréift, ob onofhängeg VPCen onofhängeg kënne bleiwen
Peering hält getrennt VPCen, an dat ass genee firwat et Equippen ugezitt, déi hir eege Adresspläng an hir eege Ännerungskontroll wëllen. De Fallefong ass, dass Peering net transitiv ass: Peering A-zu-B an B-zu-C schaafen net vun sech aus A-zu-C-Routing duerch B. Wann dräi Projete mussen een hybriden Zil erreechen, braucht Dir en bewossenen Austauschplang anstatt eng Kette vu Peeringen.
D'Deelen vun der hybrider Erreechbarkeet hänkt och vum dokumentéierten Austausch vu personaliséierte Routen an vun de virgesinnen Cloud Router-Annoncen of. De Peeringstatus aktiv beweist, dass d'Peering existéiert, net dass d'Präfixen, déi all Säit wichteg sinn, iergendwann exportéiert goufen. Iwwerpréift déi exportéiert Beräicher op béide Säiten vum Peer, an der Konfiguratioun, déi den Export mécht, a vergläicht se mat den Adressen, déi Är Aarbechtslaascht tatsächlech benotzt. Eng Onstëmmegkeet do ass dee heefegste Grond, firwat eng Peering gesond ausgesäit, während e Präfix onerreechbar bleift.
Schreift den Adressplang virun allem anescht. Net iwwerlappend Beräicher, d'Routen zu all virgesinnem Zil an d'Réckannoncen sinn déi dräi Artefakten, op deenen dëse Modell lieft oder stierft.
Iwwerpréift, ob en Hubmodell op d'Topologie passt
Fir en gréisseren oder anescht segmentéierten Design beschreift dem Google säin Iwwerbléck iwwer den Network Connectivity Center d'Hub- a Speiche-Modeller. Liest en fir dat, wat déi aktuell Versioun ënnerstëtzt, an net fir dat, wat den Diagramm implizéiert: wéi eng VPC- an hybrid Kombinatiounen, wéi eng Routefamilljen a wéi eng Politiken all Speichetyp erlaabt.
Iwwerpréift d'Adressfamill explizit. D'Plangbeispiller a meeschten Guide, dorënner dësen, betreffen IPv4, an eng Funktioun, déi fir een Speichetyp existéiert, gëlt net automatesch onverännert fir en aneren. Wann Är Ëmfeld duebel Stack ass, gehéiert déi Fro zu der Modellwahl, net zu enger spéiderer Migratioun.
D'Tabell hei drënner ass d'Zesummefaassung vun den dräi Modeller an d'Fro, déi all eenzel entscheet.
| Model | Network relationship | Planning question |
|---|---|---|
| Shared VPC | Service projects use subnets of a host project's VPC | Can central network ownership support these workloads? |
| VPC Network Peering | Independent VPCs exchange supported routes through explicit peers | Are direct peer and hybrid route exchanges sufficient? |
| Network Connectivity Center | Supported VPC and hybrid spokes join a managed hub | Does the required topology fit current routing and policy? |
Iwwerpréift, wat Routing net gëtt
Routenaustausch ass net eng allgemeng Vertrauensgewährung. DNS-Opléisung, Firewall-Berechtegung an Applikatiounsautorisatioun bleiwe hir eege Verantwortung, an all eenzel gëtt a meeschten Organisatiounen vun engem anere Proprietär konfiguréiert. En Design, deen unhëlt, datt Erreechbarkeet Autorisatioun bedeit, wäert säin Konnektivitéitstest passéieren an a senger Sécherheetsrevisioun duerchfal.
Bestätegt och d'DNS-Geschicht fir all Modell, well d'Zon- an d'Weiderleedungsarrangementer sech tëscht engem gedeelten Netzwierk an gepeerte Netzwierker ënnerscheeden. Privat Nimm, déi an engem Projet opgeléist ginn, follegen net enger Route an en aneren.
Hält d'Entscheedung an hire Proprietär fest
Zentraliséiert do, wou d'Organisatioun en gedeelten Netzwierkproprietär wëllt; behält getrennt VPCen, wou de Liewenszyklus oder d'Politik et verlaangt. Wielt duerno eng ënnerstëtzte Konnektivitéitsbezéiung a schreift op, wéi eng Dir gewielt hutt, wien de gedeelten Netzwierk besëtzt a wat all Projet annoncéiere kann.
Projete zielen an ee VPN fir all eenzel ze kafen ass keen Ersatz fir déi Proprietéitsentscheedung. Et ass déiselwecht Entscheedung, méi spéit geholl, vun deem, deen d'Rechnung an d'Routentabelle ierft.