RoCE VPC 네트워크의 방화벽 규칙 만들기 및 관리

콘솔

1. Trusted Cloud 콘솔에서 VPC 네트워크 페이지로 이동합니다.

   VPC 네트워크로 이동

2. VPC 네트워크 만들기를 클릭합니다.

3. 이름 필드에 네트워크의 이름을 입력합니다.

4. 최대 전송 단위 (MTU) 필드에서 8896을 선택합니다.

5. 네트워크 프로필 구성을 선택하고 다음을 실행합니다.

   1. 영역 필드에서 사용할 네트워크 프로필의 영역을 선택합니다. 만드는 VPC 네트워크는 이 영역으로 제한됩니다. 즉, 이 영역의 네트워크에서만 리소스를 만들 수 있습니다.
   2. 이전에 선택한 영역의 RDMA 네트워크 프로필(예: europe-west1-b-vpc-roce)을 선택합니다.
   3. 선택한 네트워크 프로필에 지원되는 기능 집합을 보려면 네트워크 프로필 기능 미리보기를 클릭합니다.

6. 새 서브넷 섹션에서 서브넷에 다음 구성 매개변수를 지정합니다.

   1. 이름 필드에 서브넷 이름을 입력합니다.
   2. 리전 필드에서 서브넷을 만들 리전을 선택합니다. 이 리전은 구성한 네트워크 프로필의 영역과 일치해야 합니다. 예를 들어 europe-west1-b의 네트워크 프로필을 구성한 경우 europe-west1에서 서브넷을 만들어야 합니다.

   3. IPv4 범위를 입력합니다. 이 범위는 서브넷의 기본 IPv4 범위입니다.

      RFC 1918 주소가 아닌 범위를 선택하는 경우 범위가 기존 구성과 충돌하지 않는지 확인합니다. 자세한 내용은 IPv4 서브넷 범위를 참조하세요.

   4. 완료를 클릭합니다.

7. 서브넷을 추가하려면 서브넷 추가를 클릭하고 이전 단계를 반복합니다. 네트워크를 만든 후에 네트워크에 서브넷을 더 추가할 수도 있습니다.

8. 만들기를 클릭합니다.

gcloud

1. 네트워크를 만들려면 gcloud compute networks create 명령어를 사용하고 --network-profile 플래그를 지정합니다.

     gcloud compute networks create NETWORK \
         --subnet-mode=custom \
         --network-profile=NETWORK_PROFILE
   

   다음을 바꿉니다.

   • NETWORK: VPC 네트워크의 이름입니다.

   • NETWORK_PROFILE: 네트워크 프로필의 영역별 이름입니다(예: europe-west1-b-vpc-roce).

     일부 영역에서는 RDMA 네트워크 프로필을 사용할 수 없습니다. 사용 가능한 네트워크 프로필의 영역별 인스턴스를 보려면 안내에 따라 네트워크 프로필을 나열하세요.

2. 서브넷을 추가하려면 gcloud compute networks subnets create 명령어를 사용합니다.

     gcloud compute networks subnets create SUBNET \
         --network=NETWORK \
         --range=PRIMARY_RANGE \
         --region=REGION
   

   다음을 바꿉니다.

   • SUBNET: 새 서브넷의 이름
   • NETWORK: 새 서브넷이 포함된 VPC 네트워크의 이름
   • PRIMARY_RANGE: CIDR 표기법으로 표시된 새 서브넷의 기본 IPv4 주소 범위. 자세한 내용은 IPv4 서브넷 범위를 참조하세요.
   • REGION: 새 서브넷이 생성되는 Trusted Cloud 리전입니다. 이 리전은 구성한 네트워크 프로필의 영역과 일치해야 합니다. 예를 들어 europe-west1-b-vpc-roce라는 네트워크 프로필을 사용하여 europe-west1-b 영역에서 네트워크 프로필을 구성한 경우 europe-west1 리전에서 서브넷을 만들어야 합니다.

API

1. 네트워크를 만들려면 POST 요청을 networks.insert 메서드로 보내고 networkProfile 속성을 지정합니다.

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks
   {
   "autoCreateSubnetworks": false,
   "name": "NETWORK",
   "networkProfile": "NETWORK_PROFILE"
   }
   

   다음을 바꿉니다.

   • PROJECT_ID: VPC 네트워크가 생성된 프로젝트의 ID
   • NETWORK: VPC 네트워크의 이름입니다.

   • NETWORK_PROFILE: 네트워크 프로필의 영역별 이름입니다(예: europe-west1-b-vpc-roce).

     일부 영역에서는 RDMA 네트워크 프로필을 사용할 수 없습니다. 사용 가능한 네트워크 프로필의 영역별 인스턴스를 보려면 안내에 따라 네트워크 프로필을 나열하세요.

2. 서브넷을 추가하려면 POST 요청을 subnetworks.insert 메서드에 보냅니다.

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
   {
   "ipCidrRange": "IP_RANGE",
   "network": "NETWORK_URL",
   "name": "SUBNET"
   }
   

   다음을 바꿉니다.

   • PROJECT_ID: 수정할 VPC 네트워크가 포함된 프로젝트의 ID
   • REGION: 서브넷이 추가되는 Trusted Cloud 리전의 이름입니다. 이 리전은 구성한 네트워크 프로필의 영역과 일치해야 합니다. 예를 들어 europe-west1-b-vpc-roce라는 네트워크 프로필을 사용하여 europe-west1-b 영역에서 네트워크 프로필을 구성한 경우 europe-west1 리전에서 서브넷을 만들어야 합니다.
   • IP_RANGE: 서브넷의 기본 IPv4 주소 범위입니다. 자세한 내용은 IPv4 서브넷 범위를 참조하세요.
   • NETWORK_URL: 서브넷을 추가할 VPC 네트워크의 URL
   • SUBNET: 서브넷의 이름입니다.

gcloud

RoCE VPC 네트워크의 리전 네트워크 방화벽 정책을 만들려면 gcloud beta compute network-firewall-policies create 명령어를 사용합니다.

  gcloud beta compute network-firewall-policies create FIREWALL_POLICY \
      --region REGION \
      --policy-type=RDMA_ROCE_POLICY

다음을 바꿉니다.

• FIREWALL_POLICY: 네트워크 방화벽 정책의 이름입니다.
• REGION: 정책에 적용하려는 리전 리전에는 RoCE VPC 네트워크에서 사용하는 RoCE 네트워크 프로필의 영역이 포함되어야 합니다.

gcloud

--src-ip-ranges=0.0.0.0/0 플래그를 사용하고 RoCE VPC 네트워크의 모든 네트워크 인터페이스에 적용되는 인그레스 규칙을 만들려면 gcloud compute network-firewall-policies rules create 명령어를 사용합니다.

  gcloud compute network-firewall-policies rules create PRIORITY \
      --direction=ingress \
      --layer4-configs=all \
      --enable-logging \
      --action ACTION \
      --firewall-policy FIREWALL_POLICY_NAME\
      --firewall-policy-region FIREWALL_POLICY_REGION \
      --src-ip-ranges=0.0.0.0/0

소스 보안 태그를 사용하고 연결된 보안 태그 값이 있는 VM의 특정 네트워크 인터페이스에 적용되는 수신 규칙을 만들려면 gcloud compute network-firewall-policies rules create 명령어를 사용합니다.

  gcloud compute network-firewall-policies rules create PRIORITY \
      --direction=ingress \
      --layer4-configs=all \
      --enable-logging \
      --action ALLOW \
      --firewall-policy FIREWALL_POLICY_NAME\
      --firewall-policy-region FIREWALL_POLICY_REGION \
      --src-secure-tag SRC_SECURE_TAG[,SRC_SECURE_TAG,...] \
      --target-secure-tag TARGET_SECURE_TAG[,TARGET_SECURE_TAG,...]

다음을 바꿉니다.

• PRIORITY: 규칙의 우선순위
• ACTION: 규칙의 일치 시 작업
  • --src-ip-ranges=0.0.0.0/0를 사용하는 경우 ALLOW 또는 DENY를 사용할 수 있습니다.
  • --src-secure-tag를 사용하는 경우 ALLOW만 사용할 수 있습니다.
• FIREWALL_POLICY_NAME: 규칙이 생성된 리전 네트워크 방화벽 정책의 이름입니다.
• FIREWALL_POLICY_REGION: 규칙이 생성된 리전 네트워크 방화벽 정책에서 사용되는 리전입니다.
• SRC_SECURE_TAG: 보안 태그 값의 쉼표로 구분된 목록을 사용하여 인그레스 규칙의 소스 매개변수를 정의합니다. 자세한 내용은 방화벽 보안 태그를 참고하세요.
• TARGET_SECURE_TAG: 보안 태그 값의 쉼표로 구분된 목록을 사용하여 규칙의 타겟 매개변수를 정의합니다. 자세한 내용은 방화벽 보안 태그를 참고하세요.

gcloud

리전 네트워크 방화벽 정책을 RoCE VPC 네트워크와 연결하려면 gcloud compute network-firewall-policies associations create 명령어를 사용하세요.

  gcloud compute network-firewall-policies associations create \
      --firewall-policy FIREWALL_POLICY \
      --network NETWORK \
      --firewall-policy-region FIREWALL_POLICY_REGION
  

다음을 바꿉니다.

• FIREWALL_POLICY: 리전 네트워크 방화벽 정책의 이름입니다.

  리전 네트워크 방화벽 정책의 정책 유형은 RDMA_ROCE_POLICY이어야 합니다.

• NETWORK: RoCE VPC 네트워크의 이름

• FIREWALL_POLICY_REGION: 방화벽 정책의 리전

  리전에는 RoCE VPC 네트워크에서 사용하는 RoCE 네트워크 프로필의 영역이 포함되어야 합니다.