Configurazione del peering di rete VPC

Puoi configurare Gemini Enterprise Agent Platform per eseguire il peering con Virtual Private Cloud (VPC) per connetterti direttamente con determinate risorse in Agent Platform, tra cui:

Questa guida mostra come configurare il peering di rete VPC per eseguire il peering della tua rete con le risorse della piattaforma agente. Questa guida è consigliata agli amministratori di rete che hanno già familiarità con i concetti di networking di Cloud de Confiance by S3NS.

Panoramica

Questa guida illustra le seguenti attività:

  • Configura l'accesso privato ai servizi per il VPC. In questo modo viene stabilita una connessione in peering tra il tuo VPC e la rete VPC condivisa di Google.
  • Considera l'intervallo IP che devi prenotare per Agent Platform.
  • Se applicabile, esporta le route personalizzate in modo che la piattaforma dell'agente possa importarle.

Prima di iniziare

  • Seleziona un VPC con cui eseguire il peering con le risorse di Agent Platform. Agent Platform può essere sottoposta a peering con una sola rete per regione alla volta.
  • Seleziona o crea un progetto Cloud de Confiance da utilizzare per Agent Platform.

  • Verifica che la fatturazione sia attivata per il tuo progetto Cloud de Confiance .

  • Abilita l'API Compute Engine, l'API Agent Platform e le API Service Networking, se non sono già abilitate.

    Ruoli richiesti per abilitare le API

    Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente hai già questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

    Abilita le API

  • Facoltativamente, puoi utilizzare un VPC condiviso. Se utilizzi un VPC condiviso, in genere utilizzi Agent Platform in un progettoCloud de Confiance by S3NSseparato dal progetto host del VPC. Abilita l'API Compute Engine e le API Service Networking in entrambi i progetti. Scopri come eseguire il provisioning del VPC condiviso.
  • Installa gcloud CLI se vuoi eseguire gli esempi di gcloud in questa guida.

Ruoli obbligatori

Se non sei un Project Owner o un Project Editor, assicurati di disporre del ruolo Compute Network Admin (roles/compute.networkAdmin), che include i ruoli necessari per gestire le risorse di networking.

Peering con una rete on-premise

Per il peering di rete VPC con una rete on-premise, sono previsti passaggi aggiuntivi:

  1. Connettere la rete on-premise al VPC. Puoi utilizzare un tunnel VPN o Interconnect.
  2. Configura route personalizzate dal VPC alla tua rete on-premise.
  3. Esporta le route personalizzate in modo che Agent Platform possa importarle.

Configura l'accesso privato ai servizi per il VPC

Quando configuri l'accesso privato ai servizi, stabilisci una connessione privata tra la tua rete e una rete di proprietà di Google o di un servizio di terze parti (producer di servizi). In questo caso, Agent Platform è un producer di servizi. Per configurare l'accesso privato ai servizi, prenota un intervallo IP per i producer di servizi, quindi crea una connessione di peering con Agent Platform.

Se hai già un VPC con l'accesso privato ai servizi configurato, passa all'esportazione delle route personalizzate.

  1. Imposta le variabili di ambiente per l'ID progetto, il nome dell'intervallo riservato e il nome della rete. Se utilizzi un VPC condiviso, utilizza l'ID progetto del progetto host VPC. In caso contrario, utilizza l'ID progetto Cloud de Confiance che utilizzi per Agent Platform.
  2. Abilita le API richieste. Se utilizzi il VPC condiviso, consulta Utilizza il VPC condiviso con Agent Platform.
  3. Imposta un intervallo riservato utilizzando gcloud compute addresses create.

  4. Stabilisci una connessione in peering tra il tuo progetto host VPC e Service Networking di Google utilizzando gcloud services vpc-peerings connect.

    Per gli endpoint di inferenza privati, ti consigliamo di prenotare almeno un blocco /21 per la subnet per l'hosting del modello. La prenotazione di un blocco più piccolo può causare errori di deployment dovuti a un numero insufficiente di indirizzi IP.

    La subnet 172.16.0.0/16 è riservata a Vertex AI Training. Devi specificare una subnet che non si sovrapponga a questo intervallo CIDR.

    PROJECT_ID=YOUR_PROJECT_ID
gcloud config set project $PROJECT_ID

# This is for display only; you can name the range anything.
PEERING_RANGE_NAME=google-reserved-range

NETWORK=YOUR_NETWORK_NAME

# NOTE: `prefix-length=16` means a CIDR block with mask /16 will be
# reserved for use by Google services, such as Agent Platform.
gcloud compute addresses create $PEERING_RANGE_NAME \
  --global \
  --prefix-length=16 \
  --description="peering range for Google service" \
  --network=$NETWORK \
  --purpose=VPC_PEERING

# Create the VPC connection.
gcloud services vpc-peerings connect \
  --service=servicenetworking.googleapis.com \
  --network=$NETWORK \
  --ranges=$PEERING_RANGE_NAME \
  --project=$PROJECT_ID

Scopri di più sull'accesso privato ai servizi.

La piattaforma agente utilizza lo stesso accesso privato ai servizi di Cloud SQL. Se li configuri entrambi nella stessa rete VPC, assicurati di allocare un numero sufficiente di indirizzi IP per entrambi i servizi. In alternativa, puoi nominare un sottoinsieme della prenotazione da utilizzare per i job di addestramento passando il parametro reserved_ip_ranges.

Utilizza il VPC condiviso con Agent Platform

Se utilizzi il VPC condiviso nel tuo progetto, scopri come eseguire il provisioning del VPC condiviso e assicurati di completare i seguenti passaggi:

  1. Abilita l'API Compute Engine e le API Service Networking nel progetto host e di servizio. L'API Agent Platform deve essere abilitata per il progetto di servizio.

  2. Crea la connessione di peering di rete VPC tra il tuo VPC e i servizi Google all'interno del progetto host.

  3. Durante la creazione di Agent Platform, devi specificare il nome della rete a cui vuoi che Agent Platform abbia accesso al VPC condiviso.

  4. Verifica che l'account di servizio o l'account utente utilizzato disponga del ruolo Compute Network User (roles/compute.networkUser).

Prenota intervalli IP per Agent Platform

Quando prenoti un intervallo IP per i producer di servizi, l'intervallo può essere utilizzato dalla piattaforma Agent e da altri servizi. Se ti connetti a più producer di servizi utilizzando lo stesso intervallo, alloca un intervallo più ampio per ospitarli, in modo da evitare l'esaurimento degli IP.

Consulta la tabella dei suggerimenti per le subnet per assicurarti che la prenotazione IP per l'accesso privato ai servizi sia sufficientemente ampia da supportare il tuo workload.

Se un job viene avviato con il parametro --network, verrà avviato in una rete gestita da Google connessa in peering al tuo VPC:

--network = "projects/${host_project}/global/networks/${network}"

I job che non devono accedere alle tue reti possono essere avviati senza questa dichiarazione, preservando così le allocazioni IP.

Se non riesci a prenotare un intervallo IP sufficientemente ampio, valuta la possibilità di eseguire la migrazione da Gemini Enterprise Agent Platform con accesso privato ai servizi a Gemini Enterprise Agent Platform con Private Service Connect

Esporta route personalizzate

Se utilizzi route personalizzate, devi esportarle in modo che Agent Platform possa importarle. Se non utilizzi route personalizzate, salta questa sezione.

Per esportare route personalizzate, aggiorna la connessione in peering nel tuo VPC. L'esportazione delle route personalizzate invia tutte le route statiche e dinamiche idonee che si trovano nella tua rete VPC, ad esempio le route alla tua rete on-premise, alle reti dei producer di servizi (in questo caso Agent Platform). In questo modo vengono stabilite le connessioni necessarie e i job di addestramento possono inviare il traffico alla tua rete on-premise.

Assicurati che la tua rete on-premise abbia route di ritorno agli intervalli di indirizzi IP allocati per Agent Platform, in modo che le risposte vengano indirizzate correttamente ad Agent Platform. Ad esempio, utilizza gli annunci di route personalizzate del router Cloud che includono gli intervalli di indirizzi IP di Agent Platform.

Scopri di più sulle connessioni private con le reti on-premise.

Console

  1. Vai alla pagina Peering di rete VPC nella console Cloud de Confiance .
    Vai a Peering di rete VPC
  2. Seleziona la connessione di peering da aggiornare.
  3. Fai clic su Modifica.
  4. Seleziona Esporta route personalizzate.

gcloud

  1. Trova il nome della connessione di peering da aggiornare. Se hai più connessioni di peering, ometti il flag --format.

    gcloud services vpc-peerings list \
  --network=$NETWORK \
  --service=servicenetworking.googleapis.com \
  --project=$PROJECT_ID \
  --format "value(peering)"

  2. Aggiorna la connessione in peering per esportare le route personalizzate.

    gcloud compute networks peerings update PEERING-NAME \
    --network=$NETWORK \
    --export-custom-routes \
    --project=$PROJECT_ID

Controlla lo stato delle connessioni in peering

Per verificare che le connessioni di peering siano attive, puoi elencarle utilizzando il seguente comando:

gcloud compute networks peerings list --network $NETWORK

Dovresti vedere che lo stato del peering appena creato è ACTIVE. Scopri di più sulle connessioni di peering attive.

Risoluzione dei problemi

Questa sezione elenca alcuni problemi comuni relativi alla configurazione del peering di rete VPC con Agent Platform.

  • Quando configuri Agent Platform per l'utilizzo di una rete VPC condiviso, specifica l'URI della rete nel seguente modo.

    "projects/YOUR_SHARED_VPC_HOST_PROJECT/global/networks/YOUR_SHARED_VPC_NETWORK"

  • Se specifichi una rete VPC condivisa da utilizzare per la piattaforma agente, assicurati che tutti gli attori utente o service account per la piattaforma agente nel progetto di servizio abbiano il ruolo compute.networkUser concesso nel progetto host.

  • Assicurati di aver allocato un intervallo IP sufficiente per tutti i producer di servizi a cui si connette la tua rete, inclusa Agent Platform.

  • Se visualizzi i messaggi di errore IP_SPACE_EXHAUSTED, RANGES_EXHAUSTED o PEERING_RANGE_EXHAUSTED, devi aumentare la quantità di indirizzi IP disponibili per la prenotazione servicenetworking nella tua rete. Puoi aggiungere un nuovo intervallo alla configurazione del peering di rete VPC esistente o eliminare alcune risorse della piattaforma agente per rilasciare gli indirizzi IP allocati.

  • Timeout della connessione: dopo l'esportazione delle route personalizzate, le connessioni dalla piattaforma dell'agente verranno instradate attraverso la tua rete per raggiungere gli endpoint in altre reti. Tuttavia, questi endpoint potrebbero non passare attraverso la tua rete per inviare risposte indietro alla piattaforma degli agenti. Assicurati di aggiungere anche route statiche o dinamiche in queste reti per il percorso di ritorno all'intervallo IP allocato della piattaforma agente.

  • Errori di timeout della connessione / host non raggiungibile: poiché il peering transitivo non è supportato, le connessioni dalla piattaforma agente non potranno raggiungere gli endpoint in altre reti che sono in peering diretto con la tua rete, anche con l'opzione "Esporta route personalizzate" abilitata. Collabora con l'amministratore di rete per assicurarti che non vengano effettuati tentativi di instradare direttamente la tua rete da una rete con peering diretto a un'altra. Se necessario, puoi sostituire uno di questi hop di peering con una soluzione che supporti route statiche o dinamiche.

  • Errori DNS di host non raggiungibile: se il job della piattaforma Gemini Enterprise Agent deve risolvere i nomi host nel tuo VPC, assicurati di aver completato la configurazione per condividere le zone DNS private con i producer di servizi.

  • Se la creazione del job della pipeline non riesce e in Esplora log viene identificato un "errore interno", assicurati di aver eseguito il deployment di una rete VPC oltre alla subnet di accesso privato ai servizi.

  • Puoi controllare quali servizi utilizzano determinati indirizzi IP in modo, ad esempio, da vedere quali servizi utilizzano blocchi di indirizzi IP di grandi dimensioni ed evitare l'esaurimento degli indirizzi IP.

  • Se riscontri l'errore Unable to create an instance within a Shared VPC network, consulta Risoluzione dei problemi di Agent Platform Workbench.

  • Se visualizzi il messaggio di errore For the peered network $network_name, couldn't find a free blocks in allocated IP ranges. This is needed to create the cluster., devi aumentare la quantità di intervalli allocati disponibili per il servizio. Puoi farlo nei seguenti modi:

Per ulteriori informazioni sulla risoluzione dei problemi, consulta la guida alla risoluzione dei problemi del peering di rete VPC.

Passaggi successivi