הגדרת קישור בין רשתות VPC שכנות (peering)

אתם יכולים להגדיר את Gemini Enterprise Agent Platform כך שתתחבר ישירות לענן וירטואלי פרטי (VPC), כדי להתחבר ישירות למשאבים מסוימים ב-Agent Platform, כולל:

במדריך הזה מוסבר איך להגדיר קישור בין רשתות VPC כדי לקשר את הרשת שלכם למשאבים של Agent Platform. המדריך הזה מומלץ למנהלי רשתות שכבר מכירים את המושגים של רשתות ב- Cloud de Confiance by S3NS.

סקירה כללית

המדריך הזה כולל את המשימות הבאות:

  • מגדירים גישה לשירותים פרטיים ל-VPC. כך נוצר חיבור בין רשת ה-VPC שלכם לרשת ה-VPC המשותפת של Google.
  • חשוב להביא בחשבון את טווח כתובות ה-IP שצריך להקצות ל-Agent Platform.
  • אם רלוונטי, מייצאים את הנתיבים בהתאמה אישית כדי ש-Agent Platform תוכל לייבא אותם.

לפני שמתחילים

  • בוחרים את ה-VPC שרוצים לקשר עם המשאבים של Agent Platform. אפשר לקשר את Agent Platform רק לרשת אחת בכל אזור בכל פעם.
  • בוחרים או יוצרים פרויקט ב- Cloud de Confiance לשימוש ב-Agent Platform.

  • מוודאים שהחיוב מופעל בפרויקט ב- Cloud de Confiance .

  • מפעילים את Compute Engine API, את Agent Platform API ואת Service Networking API, אם הם עדיין לא מופעלים.

    התפקידים שנדרשים כדי להפעיל ממשקי API

    כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

    הפעלת ממשקי ה-API

  • אפשר גם להשתמש ב-VPC משותף. אם אתם משתמשים ב-VPC משותף, בדרך כלל אתם משתמשים ב-Agent Platform בפרויקטCloud de Confiance by S3NSנפרד מהפרויקט המארח של ה-VPC. מפעילים את Compute Engine API ואת Service Networking API בשני הפרויקטים. איך מקצים VPC משותף
  • אם אתם רוצים להריץ את הדוגמאות של gcloud במדריך הזה, אתם צריכים להתקין את ה-CLI של gcloud.

התפקידים הנדרשים

אם אתם לא הבעלים או העורכים של הפרויקט, ודאו שיש לכם את התפקיד "אדמין רשת ב-Compute" (roles/compute.networkAdmin), שכולל את התפקידים הנדרשים לניהול משאבי הרשת.

קישור בין רשתות (peering) עם רשת מקומית

כדי לקשר בין רשתות VPC שכנות לרשת מקומית, צריך לבצע את השלבים הבאים:

  1. מחברים את הרשת המקומית ל-VPC. אפשר להשתמש במנהרת VPN או ב-Interconnect.
  2. מגדירים מסלולים בהתאמה אישית מה-VPC לרשת המקומית.
  3. מייצאים את הנתיבים בהתאמה אישית כדי ש-Agent Platform תוכל לייבא אותם.

הגדרת גישה לשירותים פרטיים ב-VPC

כשמגדירים גישה לשירותים פרטיים, יוצרים חיבור פרטי בין הרשת שלכם לבין רשת שבבעלות Google או שירות של צד שלישי (בעלים של שירותים מנוהלים). במקרה הזה, Agent Platform היא הבעלים של השירות המנוהל. כדי להגדיר גישה לשירותים פרטיים, צריך להקצות טווח כתובות IP לבעלים של השירות המנוהל, ואז ליצור חיבור בין רשתות שכנות (peering) עם Agent Platform.

אם כבר יש לכם VPC עם גישה לשירותים פרטיים, אתם יכולים לדלג לשלב של ייצוא נתיבים בהתאמה אישית.

  1. מגדירים משתני סביבה למזהה הפרויקט, לשם של הטווח השמור ולשם של הרשת. אם אתם משתמשים ב-VPC משותף, השתמשו במזהה הפרויקט של הפרויקט המארח של ה-VPC. אחרת, משתמשים במזהה הפרויקט של הפרויקט Cloud de Confiance שמשמש ל-Agent Platform.
  2. מפעילים את ממשקי ה-API הנדרשים. אם אתם משתמשים ב-VPC משותף, קראו את המאמר שימוש ב-VPC משותף עם Agent Platform.
  3. מגדירים טווח שמור באמצעות gcloud compute addresses create.

  4. יוצרים חיבור בין רשתות שכנות (peering) בין הפרויקט המארח של ה-VPC לבין Service Networking של Google, באמצעות gcloud services vpc-peerings connect.

    בנקודות קצה פרטיות להסקה, מומלץ להקצות בלוק /21 לפחות לרשת המשנה לאירוח המודל. אם תשריינו בלוק קטן יותר, יכול להיות שיהיו שגיאות בפריסה בגלל שאין מספיק כתובות IP.

    רשת המשנה 172.16.0.0/16 שמורה לאימון של Vertex AI. צריך לציין רשת משנה שלא חופפת לטווח ה-CIDR הזה.

    PROJECT_ID=YOUR_PROJECT_ID
gcloud config set project $PROJECT_ID

# This is for display only; you can name the range anything.
PEERING_RANGE_NAME=google-reserved-range

NETWORK=YOUR_NETWORK_NAME

# NOTE: `prefix-length=16` means a CIDR block with mask /16 will be
# reserved for use by Google services, such as Agent Platform.
gcloud compute addresses create $PEERING_RANGE_NAME \
  --global \
  --prefix-length=16 \
  --description="peering range for Google service" \
  --network=$NETWORK \
  --purpose=VPC_PEERING

# Create the VPC connection.
gcloud services vpc-peerings connect \
  --service=servicenetworking.googleapis.com \
  --network=$NETWORK \
  --ranges=$PEERING_RANGE_NAME \
  --project=$PROJECT_ID

מידע נוסף על גישה לשירותים פרטיים

פלטפורמת הסוכנים משתמשת באותה גישה לשירותים פרטיים כמו Cloud SQL. אם אתם מגדירים את שניהם באותה רשת VPC, ודאו שאתם מקצים מספיק כתובות IP לשני השירותים. לחלופין, אתם יכולים להעביר את הפרמטר reserved_ip_ranges כדי להגדיר קבוצת משנה של ההזמנה לשימוש במשימות אימון.

שימוש ב-VPC משותף עם Agent Platform

אם אתם משתמשים ב-VPC משותף בפרויקט, קראו את המאמר הקצאת VPC משותף וודאו שאתם מבצעים את השלבים הבאים:

  1. מפעילים את Compute Engine API ואת Service Networking API בפרויקט המארח ובפרויקט השירות. צריך להפעיל את Agent Platform API בפרויקט השירות.

  2. יוצרים את החיבור בין רשתות VPC שכנות (peering) בין רשת ה-VPC לשירותי Google בפרויקט המארח.

  3. כשיוצרים את Agent Platform, צריך לציין את שם הרשת שאתם רוצים של-Agent Platform תהיה גישה אליה ב-VPC המשותף.

  4. מוודאים שלחשבון השירות או לחשבון המשתמש שבו משתמשים יש את התפקיד Compute Network User (roles/compute.networkUser).

הקצאת טווחי כתובות IP ל-Agent Platform

כשאתם שומרים טווח כתובות IP לבעלים של שירותים מנוהלים, אפשר להשתמש בטווח הזה ב-Agent Platform ובשירותים אחרים. אם אתם מתחברים לכמה בעלים של שירותים מנוהלים באמצעות אותו טווח, הקצו טווח גדול יותר כדי להכיל אותם, וכך להימנע ממיצוי כתובות ה-IP.

כדי לוודא שהקצאת ה-IP לגישה לשירותים פרטיים רחבה מספיק לעומס העבודה, אפשר לעיין בטבלה המלצות לרשתות משנה.

אם משיקים משימה עם הפרמטר --network, היא תושק ברשת בניהול Google שמקושרת באמצעות VPC ל-VPC שלכם:

--network = "projects/${host_project}/global/networks/${network}"

אפשר להפעיל משימות שלא צריכות גישה לרשתות שלכם בלי ההצהרה הזו, וכך לשמור על הקצאות ה-IP.

אם אתם לא יכולים להקצות טווח כתובות IP רחב מספיק, כדאי לעבור מ-Gemini Enterprise Agent Platform עם גישה לשירותים פרטיים ל-Gemini Enterprise Agent Platform עם Private Service Connect.

ייצוא של נתיבים מותאמים אישית

אם אתם משתמשים בנתיבים בהתאמה אישית, אתם צריכים לייצא אותם כדי ש-Agent Platform תוכל לייבא אותם. אם אתם לא משתמשים במסלולים בהתאמה אישית, אתם יכולים לדלג על הקטע הזה.

כדי לייצא מסלולים בהתאמה אישית, צריך לעדכן את חיבור ה-peering ב-VPC. כשמייצאים נתיבים בהתאמה אישית, כל הנתיבים הסטטיים והדינמיים שעומדים בדרישות ברשת ה-VPC שלכם, כמו נתיבים לרשת המקומית, נשלחים לרשתות של בעלים של שירות מנוהל (במקרה הזה, Agent Platform). כך נוצרים החיבורים הנדרשים, ומשימות האימון יכולות לשלוח תנועה בחזרה לרשת המקומית.

חשוב לוודא שברשת המקומית יש נתיבים חזרה לטווחי כתובות ה-IP שהוקצו ל-Agent Platform, כדי שהתגובות ינותבו בצורה נכונה חזרה ל-Agent Platform. לדוגמה, אפשר להשתמש בפרסומי ניתוב בהתאמה אישית של Cloud Router שכוללים את טווחי כתובות ה-IP של פלטפורמת הסוכן.

מידע נוסף על חיבורים פרטיים לרשתות מקומיות

המסוף

  1. נכנסים לדף VPC Network Peering במסוף Cloud de Confiance .
    כניסה לדף VPC Network Peering
  2. בוחרים את חיבור ה-peering שרוצים לעדכן.
  3. לוחצים על Edit.
  4. לוחצים על ייצוא מסלולים בהתאמה אישית.

gcloud

  1. מאתרים את השם של חיבור ה-Peering שרוצים לעדכן. אם יש לכם כמה חיבורי Peering, אל תשתמשו בדגל --format.

    gcloud services vpc-peerings list \
  --network=$NETWORK \
  --service=servicenetworking.googleapis.com \
  --project=$PROJECT_ID \
  --format "value(peering)"

  2. מעדכנים את חיבור ה-peering כדי לייצא נתיבים בהתאמה אישית.

    gcloud compute networks peerings update PEERING-NAME \
    --network=$NETWORK \
    --export-custom-routes \
    --project=$PROJECT_ID

בדיקת הסטטוס של חיבורי ה-peering

כדי לוודא שחיבורי ה-Peering פעילים, אפשר להציג אותם באמצעות הפקודה הבאה:

gcloud compute networks peerings list --network $NETWORK

הסטטוס של הקישור שיצרתם אמור להיות ACTIVE. מידע נוסף על חיבורי פירינג פעילים

פתרון בעיות

בקטע הזה מפורטות כמה בעיות נפוצות בהגדרת קישור בין רשתות VPC שכנות (peering) באמצעות Agent Platform.

  • כשמגדירים את פלטפורמת הסוכנים לשימוש ברשת VPC משותפת, צריך לציין את ה-URI של הרשת באופן הבא.

    "projects/YOUR_SHARED_VPC_HOST_PROJECT/global/networks/YOUR_SHARED_VPC_NETWORK"

  • אם אתם מציינים רשת VPC משותפת לשימוש של Agent Platform, ודאו שלכל משתמש או חשבון שירות של Agent Platform בפרויקט השירות הוקצה התפקיד compute.networkUser בפרויקט המארח.

  • חשוב לוודא שהקציתם טווח מספיק של כתובות IP לכל הבעלים של השירותים המנוהלים שהרשת שלכם מתחברת אליהם, כולל Agent Platform.

  • אם מופיעות הודעות השגיאה IP_SPACE_EXHAUSTED,‏ RANGES_EXHAUSTED או PEERING_RANGE_EXHAUSTED, צריך להגדיל את מספר כתובות ה-IP הזמינות להקצאה של servicenetworking ברשת. אתם יכולים להוסיף טווח חדש להגדרה הקיימת של קישור רשת VPC בין רשתות שכנות, או למחוק חלק מהמשאבים של Agent Platform כדי לשחרר כתובות IP שהוקצו.

  • זמן קצוב לתפוגה של חיבורים: אחרי שמייצאים נתיבים בהתאמה אישית, החיבורים מ-Agent Platform מנותבים דרך הרשת שלכם כדי להגיע לנקודות קצה ברשתות אחרות. עם זאת, יכול להיות שנקודות הקצה האלה לא ינתבו דרך הרשת שלכם כדי לשלוח תשובות בחזרה אל Agent Platform. חשוב לוודא שאתם מוסיפים גם נתיבים סטטיים או דינמיים ברשתות האלה לנתיב החזרה לטווח ה-IP שהוקצה לפלטפורמת הסוכן.

  • שגיאות של זמן קצוב לתפוגה של חיבורים או של מארח לא נגיש: מכיוון שאין תמיכה בקישור טרנזיטיבי בין רשתות שכנות, חיבורים מפלטפורמת הסוכנים לא יוכלו להגיע לנקודות קצה ברשתות אחרות שמקושרות ישירות לרשת שלכם, גם אם האפשרות Export custom routes מופעלת. כדאי לבקש ממנהל הרשת לוודא שאין ניסיונות לנתב ישירות את הרשת שלכם מרשת אחת עם קישור ישיר בין רשתות שכנות (direct peering) לרשת אחרת. במקרה הצורך, אפשר להחליף את אחד מהדילוגים האלה של קישור Peering בפתרון שתומך בנתיבים סטטיים או דינמיים.

  • שגיאות DNS מסוג Host Unreachable: אם המשימה של Gemini Enterprise Agent Platform צריכה לפתור שמות מארחים ב-VPC, ודאו שהשלמתם את ההגדרה של שיתוף תחומי DNS פרטיים עם בעלים של שירותים מנוהלים.

  • אם לא הצלחתם ליצור את משימת הצינור בגלל "שגיאה פנימית" שזוהתה ב-Logs Explorer, ודאו שפרסתם רשת VPC בנוסף לרשת המשנה של הגישה הפרטית לשירותים.

  • אתם יכולים לבדוק אילו שירותים משתמשים באילו כתובות IP, כדי לראות למשל אילו שירותים משתמשים בבלוקים גדולים של כתובות IP, וכך להימנע מניצול יתר של כתובות IP.

  • אם נתקלים בשגיאה Unable to create an instance within a Shared VPC network, אפשר לעיין במאמר פתרון בעיות ב-Agent Platform Workbench.

  • אם מופיעה הודעת השגיאה For the peered network $network_name, couldn't find a free blocks in allocated IP ranges. This is needed to create the cluster., צריך להגדיל את כמות הטווחים הזמינים שהוקצו לשירות. כדי לעשות את זה:

למידע נוסף על פתרון בעיות, עיינו במדריך לפתרון בעיות בקישור בין רשתות שכנות (peering) של רשת VPC.

המאמרים הבאים