סקירה כללית על רשתות למכונות וירטואליות

במסמך הזה מפורטת סקירה כללית על פונקציונליות הרשת של מכונות וירטואליות (VM). הוא מספק הבנה בסיסית של האופן שבו המכונות הווירטואליות (VM) פועלות עם רשתות של ענן וירטואלי פרטי (VPC). מידע נוסף על רשתות VPC ותכונות קשורות זמין בסקירה הכללית על רשת VPC.

רשתות ורשתות משנה

כל מכונה וירטואלית היא חלק מרשת VPC. רשתות VPC מספקות קישוריות למכונות הווירטואליות שלכם למוצרים אחרים של Cloud de Confiance by S3NS ולאינטרנט. רשתות VPC יכולות להיות במצב אוטומטי או במצב מותאם אישית.

  • רשתות VPC במצב אוטומטי כוללות תת-רשת אחת בכל אזור. כל רשתות המשנה כלולות בטווח כתובות ה-IP הזה: 10.128.0.0/9. רשתות VPC במצב אוטומטי תומכות רק בטווחי רשתות משנה של IPv4.
  • לרשתות במצב מותאם אישית אין הגדרה ספציפית של רשתות משנה. אתם מחליטים אילו רשתות משנה ליצור באזורים שתבחרו, באמצעות טווחי כתובות ה-IP שתציינו. רשתות במצב מותאם אישית תומכות גם בטווחים של רשתות משנה ב-IPv6.

אלא אם משביתים את האפשרות הזו, לכל פרויקט יש רשת default, שהיא רשת VPC במצב אוטומטי. אתם יכולים להשבית את היצירה של רשתות ברירת מחדל על ידי יצירת מדיניות ארגונית.

כל תת-רשת ברשת VPC משויכת לאזור ומכילה טווח אחד או יותר של כתובות IP. אפשר ליצור יותר מרשת משנה אחת לכל אזור. כל אחד מממשקי הרשת של ה-VM צריך להיות מחובר לרשת משנה.

כשיוצרים מכונה וירטואלית, אפשר לציין רשת VPC ותת-רשת. אם לא מציינים את ההגדרה הזו, נעשה שימוש ברשת default וברשת המשנה שלה. מערכתCloud de Confiance מקצה למכונה הווירטואלית החדשה כתובת IPv4 פנימית מטווח כתובות ה-IPv4 הראשי של רשת המשנה שנבחרה. אם לרשת המשנה יש גם טווח כתובות IPv6 (שנקרא מחסנית כפולה), או אם יצרתם רשת משנה של IPv6 בלבד, אתם יכולים להקצות כתובת IPv6 למכונה הווירטואלית.

מידע נוסף על רשתות VPC זמין במאמר סקירה כללית על רשתות VPC. במאמר דוגמה לרשת VPC מופיעה דוגמה מאוירת למכונות וירטואליות שמשתמשות ברשת VPC עם שלוש רשתות משנה בשני אזורים.

בקרי ממשק רשת (NIC)

לכל מכונה ברשת VPC יש ממשק רשת וירטואלי (vNIC) שמוגדר כברירת מחדל. כשמגדירים vNIC, בוחרים רשת VPC ותת-רשת בתוך רשת ה-VPC הזו כדי לחבר את הממשק. אתם יכולים ליצור ממשקי רשת נוספים למכונות שלכם.

כמה ממשקי רשת מאפשרים ליצור הגדרות שבהן מכונה מתחברת ישירות לכמה רשתות VPC. ממשקי רשת מרובים שימושיים כשאפליקציות שפועלות במכונה דורשות הפרדת תנועה, כמו הפרדה של תנועת מישור הנתונים מתנועת מישור הניהול. מידע נוסף על שימוש בכמה ממשקי רשת מופיע במאמר בנושא ממשקי רשת מרובים.

אי אפשר להשתמש בכמה vNIC במכונות Bare Metal. בנוסף, אפשר להוסיף vNIC למכונה רק בזמן יצירת המכונה. באמצעות ממשקי רשת דינמיים, אפשר ליצור תת-ממשקים של רשת מבוססת-VLAN לכל vNIC חשוף, וכך להגדיל את מספר ממשקי הרשת ואת החיבורים לרשת ה-VPC. אפשר להוסיף או להסיר ממשקי רשת דינמיים בלי להפעיל מחדש או ליצור מחדש את המכונה. מידע נוסף על NIC דינמי זמין במאמר יצירת מכונות וירטואליות עם כמה ממשקי רשת.

כשמגדירים את ה-vNIC למכונה, אפשר לציין את סוג מנהל ההתקן של הרשת שבו רוצים להשתמש עם הממשק.

  • בסדרות מכונות מהדור הראשון והשני, ברירת המחדל היא VirtIO.
  • סדרות מכונות מדור שלישי ומעלה מוגדרות לשימוש ב-gVNIC כברירת מחדל, ולא תומכות ב-VirtIO עבור ממשק הרשת.
  • מכונות Bare Metal משתמשות ב-IDPF.
  • בסדרות מכונות נתמכות, כמו H4D ו-Z4M, אפשר להשתמש ב-Cloud RDMA (IRDMA) במכונות. מנהל ההתקן של הרשת לגישה מרחוק לזיכרון נתונים (RDMA) מאפשר יכולות העברת הודעות אמינות עם זמן אחזור נמוך למופעי Compute Engine. ‫Cloud RDMA מעביר נתונים בין מכונות מרוחקות לזיכרון מקומי דרך ממשק הרשת, בלי להשתמש במעבד (CPU) של המארח או במאגרי נתונים זמניים (buffers) של מארח ביניים.

בנוסף, אתם יכולים לבחור להשתמש בביצועי רשת Tier_1 לכל מכונה וירטואלית, עם מכונה שמשתמשת ב-gVNIC או ב-IPDF. רשת Tier_1 מאפשרת מגבלות גבוהות יותר של תפוקת הרשת להעברות נתונים נכנסות ויוצאות.

רוחב הפס של הרשת

Cloud de Confiance מחשב את רוחב הפס לכל מכונה וירטואלית, ולא לכל ממשק רשת (NIC) או כתובת IP. רוחב הפס נמדד בשני ממדים: כיוון התנועה (תעבורת נתונים נכנסת ותעבורת נתונים יוצאת) וסוג כתובת ה-IP של היעד. קצב התעבורה היוצאת המקסימלי האפשרי נקבע לפי סוג המכונה ששימשה ליצירת המכונה, אבל אפשר להגיע לקצב התעבורה היוצאת המקסימלי האפשרי רק במצבים ספציפיים. מידע נוסף זמין במאמר רוחב פס של הרשת.

כדי לתמוך ברוחבי פס גבוהים יותר ברשת – כמו 200Gbps לסדרות מכונות מהדור השלישי ואילך – נדרש Google Virtual NIC ‏ (gVNIC).

  • המגבלות הסטנדרטיות על רוחב הפס המקסימלי לתעבורת נתונים יוצאת (egress) הן בין 1 Gbps ל-100 Gbps.
  • הביצועים של רשת Tier_1 לכל מכונה וירטואלית מגדילים את מגבלת רוחב הפס המקסימלית של תעבורת הנתונים היוצאת ל-200 Gbps, בהתאם לגודל ולסוג המכונה של מופע החישוב.

לסדרות מסוימות של מכונות יש מגבלות שונות, כפי שמתואר בטבלת הסיכום של רוחב הפס.

אם משתמשים בממשקי הרשת gVNIC ו-IRDMA במכונה, מגבלת רוחב הפס של הרשת במכונה משותפת בין שתי שיטות התקשורת ברשת. תעבורת נתונים של Cloud RDMA מקבלת עדיפות על פני תעבורת נתונים של gVNIC.

כתובות IP

לכל מכונה וירטואלית מוקצית כתובת IP מרשת המשנה שמשויכת לממשק הרשת. ברשימה הבאה מפורט מידע נוסף על הדרישות להגדרת כתובות IP.

  • עבור רשתות משנה מסוג IPv4 בלבד, כתובת ה-IP היא כתובת IPv4 פנימית. אפשר גם להגדיר כתובת IPv4 חיצונית למכונה הווירטואלית.
  • אם ממשק הרשת מתחבר לרשת משנה בשני פרוטוקולים עם טווח IPv6, צריך להשתמש ברשת VPC במצב בהתאמה אישית. למכונה הווירטואלית יש את כתובות ה-IP הבאות:
    • כתובת IPv4 פנימית. אפשר גם להגדיר כתובת IPv4 חיצונית למכונה הווירטואלית.
    • כתובת IPv6 פנימית או חיצונית, בהתאם לסוג הגישה של רשת המשנה.
  • ברשתות משנה עם IPv6 בלבד, צריך להשתמש ברשת VPC במצב מותאם אישית. למכונה הווירטואלית יש כתובת IPv6 פנימית או חיצונית, בהתאם לסוג הגישה של רשת המשנה.
  • כדי ליצור מכונה וירטואלית עם IPv6 בלבד, עם כתובת IPv6 פנימית וחיצונית, צריך לציין שני ממשקי רשת כשיוצרים את המכונה הווירטואלית. אי אפשר להוסיף ממשקי רשת למכונה קיימת.

כתובות IP חיצוניות ופנימיות יכולות להיות זמניות או סטטיות.

כתובות IP פנימיות הן מקומיות לאחד מהבאים:

  • רשת VPC
  • רשת VPC שמחוברת באמצעות קישור בין רשתות VPC שכנות (peering)
  • רשת מקומית שמחוברת לרשת VPC באמצעות Cloud VPN,‏ Cloud Interconnect או מכשיר נתב וירטואלי

מכונה יכולה לתקשר עם מכונות באותה רשת VPC, או עם רשת מחוברת כמו שמפורט ברשימה שלמעלה, באמצעות כתובת ה-IPv4 הפנימית של המכונה הווירטואלית. אם ממשק הרשת של המכונה הווירטואלית מתחבר לרשת משנה בשני פרוטוקולים או לרשת משנה עם תמיכה ב-IPv6 בלבד, אפשר להשתמש בכתובות IPv6 הפנימיות או החיצוניות של המכונה הווירטואלית כדי לתקשר עם מכונות אחרות באותה רשת. מומלץ להשתמש בכתובות IPv6 פנימיות לתקשורת פנימית. למידע נוסף על כתובות IP, קראו את הסקירה הכללית בנושא כתובות IP ב-Compute Engine.

כדי לתקשר עם האינטרנט או עם מערכות חיצוניות, צריך להשתמש בכתובת IPv4 חיצונית או בכתובת IPv6 חיצונית שמוגדרת במכונה הווירטואלית. כתובות IP חיצוניות הן כתובות IP שאפשר לנתב באופן ציבורי. אם למכונה אין כתובת IP חיצונית, אפשר להשתמש ב-Cloud NAT לתעבורת נתונים ב-IPv4.

אם יש לכם כמה שירותים שפועלים במכונה וירטואלית אחת, אתם יכולים להקצות לכל שירות כתובת IPv4 פנימית שונה באמצעות טווחי כתובות IP של כינויים. רשת ה-VPC מעבירה למכונה הווירטואלית המתאימה את החבילות שמיועדות לשירות מסוים. מידע נוסף זמין במאמר טווחי כתובות IP חלופיות.

Network Service Tiers

מסלולי שירות הרשת מאפשרים לכם לבצע אופטימיזציה של הקישוריות בין מערכות באינטרנט למכונות של Compute Engine. במסלול הפרימיום, תעבורת הנתונים עוברת דרך תשתית הפרימיום של Google, ובמסלול הרגיל היא עוברת דרך רשתות ISP רגילות. כדי לבצע אופטימיזציה של הביצועים, משתמשים במסלול פרימיום, וכדי לבצע אופטימיזציה לעלות, משתמשים במסלול הרגיל.

המסלול נבחר ברמת המשאב (למשל כתובת IP חיצונית למכונה וירטואלית), ולכן חלק מהמשאבים יכולים להיות במסלול הרגיל והשאר במסלול הפרימיום. אם לא מציינים מסלול, המערכת משתמשת במסלול פרימיום.

מכונות וירטואליות שמשתמשות בכתובות IP פנימיות ברשתות VPC כדי לתקשר תמיד משתמשות בתשתית הרישות במסלול פרימיום.

כשמשתמשים במסלול פרימיום או במסלול רגיל, לא חלים חיובים על העברת נתונים נכנסת. המחיר של העברת נתונים יוצאת הוא לכל GiB שנשלח, והוא שונה בכל אחד ממסלולי שירות הרשת. למידע על מחירים, קראו את המאמר מחירים של מסלולי שירות רשת.

מסלולי שירות הרשת שונים מביצועי הרשת של כל מכונה וירטואלית ברמה 1, שהיא אפשרות הגדרה שאפשר לבחור להשתמש בה עם מופעי מחשוב. יש עלות נוספת שקשורה לשימוש ברישות Tier_1, כפי שמתואר במאמר בנושא מחירים של רשת עם רוחב פס גבוה יותר Tier_1. מידע נוסף על רשתות Tier_1 זמין במאמר הגדרת ביצועי הרשת של Tier_1 לכל מכונה וירטואלית.

מסלול פרימיום

במסלול פרימיום, תעבורת הנתונים נשלחת ממערכות שמחוץ למשאבי Cloud de Confiance דרך הרשת הגלובלית האמינה ובעלת זמן הטעינה הקצר של Google. ברשת יש טולרנטיות לכמה כשלים ושיבושים בלי שיש פגיעה בשליחה של תעבורת נתונים. מסלול הפרימיום מתאים ללקוחות שיש להם משתמשים בכמה מיקומים ברחבי העולם שצריכים רשת מאוד אמינה ושמספקת ביצועים מיטביים.

רשת מסלול פרימיום מורכבת מרשת כבלים פרטית ונרחבת עם יותר מ-100 נקודות נוכחות (PoP) ברחבי העולם. ברשת של Google, תעבורת הנתונים מנותבת מנקודת ה-PoP הזו למכונה ברשת ה-VPC. תעבורת נתונים יוצאת נשלחת דרך הרשת של Google ויוצאת בנקודת ה-PoP שהכי קרובה ליעד שלה. שיטת הניתוב הזו מצמצמת את העומס וממקסמת את הביצועים באמצעות הפחתה של מספר הצעדים בין משתמשי הקצה לנקודות PoP שהכי קרובות אליהם.

רמת Standard

ברשת במסלול הרגיל, תעבורת הנתונים ממערכות חיצוניות מנותבת דרך האינטרנט למשאביCloud de Confiance . מנות שיוצאות מהרשת של Google מועברות באמצעות האינטרנט הציבורי, והן כפופות למהימנות של ספקי ההעברה וספקי ה-ISP שמעורבים בתהליך. במסלול הרגיל, האיכות והמהימנות של הרשת דומות לאיכות ולמהימנות של ספקי שירותי ענן אחרים.

המחיר של המסלול הרגיל נמוך מהמחיר של מסלול הפרימיום, כי תעבורת הנתונים ממערכות באינטרנט מנותבת דרך רשתות העברה (ISP) לפני שהיא נשלחת למופעי מחשוב ברשת ה-VPC. בדרך כלל, תעבורת נתונים יוצאת במסלול הרגיל יוצאת מהרשת של Google מאותו אזור שמופע החישוב ששולח את תעבורת הנתונים נמצא בו, לא משנה מה היעד שלה.

המסלול הרגיל כולל 200GB לשימוש בחינם בכל חודש בכל אזור שאתם משתמשים בו בכל הפרויקטים שלכם, לכל משאב.

שמות פנימיים של מערכת DNS

כשיוצרים מכונה וירטואלית (VM),‏ Cloud de Confiance נוצר שם DNS פנימי משם המכונה הווירטואלית. אם לא מציינים שם מארח בהתאמה אישית, השירותCloud de Confiance משתמש בשם ה-DNS הפנימי שנוצר באופן אוטומטי כשם המארח שהוא מספק ל-VM.

כדי לתקשר בין מכונות וירטואליות באותה רשת VPC, אתם יכולים לציין את שם הדומיין המלא (FQDN) של מכונת היעד במקום להשתמש בכתובת ה-IP הפנימית שלה. Cloud de Confiance פותר באופן אוטומטי את ה-FQDN לכתובת ה-IP הפנימית של המכונה.

מידע נוסף על שמות דומיין שמוגדרים במלואם (FQDN) זמין במאמר שמות DNS פנימיים אזוריים וגלובליים.

מסלולים

Cloud de Confiance מסלולים מגדירים את הנתיבים של תנועת הרשת ממכונה וירטואלית (VM) ליעדים אחרים. היעדים האלה יכולים להיות בתוך רשת ה-VPC (לדוגמה, במכונה וירטואלית אחרת) או מחוץ לה. טבלת הניתוב של רשת VPC מוגדרת ברמת הרשת. לכל מכונה וירטואלית יש בקר שמקבל עדכונים לגבי כל המסלולים הרלוונטיים מטבלת הניתוב של הרשת. כל מנה (packet) שיוצאת מ-VM מועברת לצעד הבא המתאים של נתיב רלוונטי, על סמך סדר הניתוב.

נתיבים של רשתות משנה מגדירים נתיבים למשאבים כמו מכונות וירטואליות ומאזני עומסים פנימיים ברשת VPC. לכל רשת משנה יש לפחות נתיב אחד ברשת המשנה, שהיעד שלו תואם לטווח ה-IP הראשי של רשת המשנה. למסלולים של תת-רשתות תמיד יש יעדים ספציפיים יותר. אי אפשר לשנות אותם באמצעות נתיבים אחרים, גם אם לנתיב אחר יש עדיפות גבוהה יותר. הסיבה לכך היא ש- Cloud de Confianceבוחר מסלול לפי מידת הספציפיות של היעד, ורק אחר כך לפי העדיפות. למידע נוסף על טווחי כתובות IP של רשתות משנה, קראו את הסקירה הכללית על רשתות משנה.

כללי העברה

המסלולים קובעים את תעבורת הנתונים שיוצאת ממכונה, וכללי ההעברה מפנים את תעבורת הנתונים למשאב Cloud de Confiance ברשת VPC על סמך כתובת IP, פרוטוקול ויציאה. חלק מכללי ההעברה מפנים תנועה מחוץ ל- Cloud de Confiance ליעד ברשת, וכללים אחרים מפנים תנועה מתוך הרשת.

אתם יכולים להגדיר כללי העברה למכונות כדי להטמיע אירוח וירטואלי לפי כתובות IP,‏ Cloud VPN, כתובות IP וירטואליות (VIP) פרטיות ואיזון עומסים. מידע נוסף על כללי העברה זמין במאמר שימוש בהעברת פרוטוקולים.

כללי חומת אש

כללי חומת האש של VPC מאפשרים לכם לאשר או לדחות חיבורים למכונה הווירטואלית או ממנה, על סמך ההגדרות שאתם בוחרים. Cloud de Confiance תמיד אוכפת את כללי חומת האש של VPC שמופעלים, ומגינה על המכונות הווירטואליות בלי קשר להגדרות ולמערכת ההפעלה שלהן, גם אם המכונה הווירטואלית לא הופעלה.

כברירת מחדל, לכל רשת VPC יש כללי חומת אש לתנועה נכנסת (ingress) ולתנועה יוצאת (egress), שחוסמים את כל החיבורים הנכנסים ומאפשרים את כל החיבורים היוצאים. ברשת default יש כללים נוספים של חומת האש, כולל הכלל default-allow-internal, שמאפשר תקשורת בין מופעים ברשת. אם אתם לא משתמשים ברשת default, אתם צריכים ליצור באופן מפורש כללי כניסה לחומת האש בעדיפות גבוהה יותר, כדי לאפשר למכונות לתקשר זו עם זו.

כל רשת VPC פועלת כחומת אש מבוזרת. כללי חומת האש מוגדרים ברמת ה-VPC, ויכולים לחול על כל המכונות ברשת. אפשר גם להשתמש בתגי יעד או בחשבונות שירות של יעד כדי להחיל כללים על מכונות ספציפיות. אפשר לחשוב על כללי חומת האש של VPC ככללים שקיימים לא רק בין המכונות שלכם לבין רשתות אחרות, אלא גם בין מכונות נפרדות באותה רשת VPC.

כללי מדיניות היררכיים של חומת אש מאפשרים ליצור ולאכוף מדיניות עקבית של חומת אש בכל הארגון. אפשר להקצות כללי מדיניות היררכיים של חומת אש לארגון כולו או לתיקיות ספציפיות. כללי המדיניות האלה מכילים כללים שיכולים לדחות או לאפשר חיבורים באופן מפורש, בדומה לכללי חומת האש של VPC. בנוסף, כללי מדיניות חומת אש היררכיים יכולים להעביר את ההערכה למדיניות ברמה נמוכה יותר או לכללי חומת אש של VPC באמצעות פעולת goto_next. כללים ברמה נמוכה יותר לא יכולים לבטל כלל מרמה גבוהה יותר בהיררכיית המשאבים. כך אדמינים ברמת הארגון יכולים לנהל כללי חומת אש קריטיים במקום אחד.

מכונות שעברו אופטימיזציה למאיצים והגדרות רשת

אם אתם משתמשים בסוגי מכונות שעברו אופטימיזציה לשימוש במאיצים (GPU או TPU), כדאי לעיין בדפים הבאים:

קבוצות מופעי מכונה מנוהלים והגדרות רשת

אם אתם משתמשים בקבוצות מופעי מכונה מנוהלים (MIG), הגדרות הרשת שציינתם בתבנית של הגדרות המכונה חלות על כל המכונות הווירטואליות שנוצרו באמצעות התבנית. אם יוצרים תבנית של הגדרות מכונה ברשת VPC במצב אוטומטי, Cloud de Confiance בוחרת באופן אוטומטי את תת-הרשת של האזור שבו יצרתם את קבוצת מופעי מכונה מנוהלים.

מידע נוסף זמין במאמרים בנושא רשתות ורשתות משנה ויצירת תבניות של הגדרות מכונה.

המאמרים הבאים