Várias interfaces de rede

Esta página fornece uma vista geral das várias interfaces de rede para instâncias de VMs do Compute Engine. As instâncias com várias interfaces de rede são denominadas instâncias com várias NICs.

Uma instância tem sempre, pelo menos, uma interface de rede virtual (vNIC). Consoante o tipo de máquina, pode configurar interfaces de rede adicionais.

Exemplos de utilização

As instâncias com várias NICs são úteis nos seguintes cenários:

• Para estabelecer ligação a recursos em redes VPC separadas: as instâncias com várias NICs podem estabelecer ligação a recursos localizados em diferentes redes VPC que não estão ligadas entre si através do intercâmbio da rede VPC ou do Network Connectivity Center.

  • Uma vez que cada interface de uma instância com várias NICs está numa rede VPC separada, pode usar cada interface para um objetivo único. Por exemplo, pode usar algumas interfaces para encaminhar pacotes entre redes VPC que transportam tráfego de produção e outra interface para fins de gestão ou configuração.

  • No SO convidado de cada instância com várias NICs, tem de configurar políticas de encaminhamento e tabelas de encaminhamento locais.

• Encaminhamento de pacotes entre redes VPC: as instâncias com vários NICs podem ser usadas como saltos seguintes para rotas de ligação de duas ou mais redes VPC.

  • O software executado no SO convidado de uma instância com várias NICs pode realizar a inspeção de pacotes, a tradução de endereços de rede (NAT) ou outra função de segurança de rede.

  • Quando ligar redes VPC através de instâncias com vários NICs, é uma prática recomendada configurar duas ou mais instâncias com vários NICs, usando-as como back-ends para um equilibrador de carga de rede de passagem interno em cada rede VPC. Para mais informações, consulte os Exemplos de utilização na documentação sobre os balanceadores de carga de rede de encaminhamento interno como próximos saltos.

Também pode usar instâncias de vários NICs com interfaces do Private Service Connect para ligar redes de produtores e consumidores de serviços em projetos diferentes.

Tipos de interface de rede

Trusted Cloud suporta os seguintes tipos de interfaces de rede:

• vNICs: as interfaces de rede virtual das instâncias do Compute Engine. Cada instância tem de ter, pelo menos, uma vNIC. As vNICs em redes da VPC normais podem ser GVNIC, VIRTIO_NET ou IDPF. Só pode configurar vNICs quando cria uma instância.

• NICs dinâmicas (pré-visualização): uma interface secundária de uma vNIC principal. Pode configurar NICs dinâmicas quando cria uma instância ou adicioná-las mais tarde. Para mais informações, consulte o artigo NICs dinâmicas.

Também pode configurar instâncias com várias NICs através de tipos de máquinas que incluem interfaces de rede RDMA (IRDMA ou MRDMA), que têm de estar anexadas a uma rede VPC com um perfil de rede RDMA. Outros tipos de interfaces de rede, incluindo NICs dinâmicos, não são suportados em redes VPC com um perfil de rede RDMA.

Especificações

As seguintes especificações aplicam-se a instâncias com várias interfaces de rede:

• Instâncias e interfaces de rede: cada instância tem uma interface nic0. O número máximo de interfaces de rede varia consoante o tipo de máquina da instância.

  • Cada interface tem um tipo de pilha associado, que determina os tipos de pilhas de sub-redes e as versões de endereços IP suportados. Para mais informações, consulte o artigo Tipo de pilha e endereços IP.

• Rede única para cada interface de rede: exceto para redes VPC criadas com um perfil de rede RDMA, cada interface de rede tem de usar uma sub-rede numa rede VPC única.

  • Para redes VPC criadas com um perfil de rede RDMA, várias NICs RDMA podem usar a mesma rede VPC, desde que cada NIC RDMA use uma sub-rede exclusiva.

  • Tem de existir uma rede e uma sub-rede da VPC antes de poder criar uma instância cuja interface de rede use a rede e a sub-rede. Para mais informações sobre como criar redes e sub-redes, consulte o artigo Crie e faça a gestão de redes VPC.

• Projeto da instância e das sub-redes: para instâncias com várias NICs em projetos autónomos, cada interface de rede tem de usar uma sub-rede localizada no mesmo projeto que a instância.

  • Para instâncias em projetos de serviço ou anfitrião de VPC partilhada, consulte o artigo VPC partilhada .

  • As interfaces do Private Service Connect oferecem uma forma de uma instância com vários NICs ter interfaces de rede em sub-redes em projetos diferentes. Para mais informações, consulte o artigo Acerca das associações de rede.

• Considerações sobre o encaminhamento de IP, a MTU e o encaminhamento: as instâncias com várias NICs requerem um planeamento cuidadoso para as seguintes opções de configuração específicas da instância e da interface:

  • A opção de encaminhamento de IP é configurável por instância e aplica-se a todas as interfaces de rede. Para mais informações, consulte o artigo Ative o encaminhamento de IP para instâncias.

  • Cada interface de rede pode usar uma unidade de transmissão máxima (MTU) exclusiva, que corresponde à MTU da rede VPC associada. Para mais informações, consulte o artigo Unidade de transmissão máxima.

  • Cada instância recebe uma rota predefinida através da opção 121 do DHCP, conforme definido pela RFC 3442. A rota predefinida está associada a nic0. Salvo configuração manual em contrário, todo o tráfego que sai de uma instância para qualquer destino que não seja uma sub-rede diretamente ligada sai da instância através da rota predefinida em nic0.

    Nos sistemas Linux, pode configurar regras e rotas personalizadas no SO convidado através do ficheiro /etc/iproute2/rt_tables e dos comandos ip rule e ip route. Para mais informações, consulte a documentação do SO convidado. Por exemplo, consulte o seguinte tutorial: Configure o encaminhamento para uma interface adicional.

NICs dinâmicas

As NICs dinâmicas são úteis nos seguintes cenários:

• Tem de adicionar ou remover interfaces de rede de instâncias existentes. A adição ou a remoção de NICs dinâmicas não requer o reinício nem a recriação da instância.

• Precisa de mais interfaces de rede. O número máximo de vNICs para a maioria dos tipos de máquinas no Google Cloud é 10. No entanto, pode configurar até 16 interfaces no total através de NICs dinâmicas. Trusted Cloud Para mais informações, consulte o artigo Número máximo de interfaces de rede.

• Tem de configurar instâncias bare metal do Compute Engine com várias NICs, que só têm uma vNIC.

Propriedades das NICs dinâmicas

Consulte as seguintes informações acerca das propriedades das NICs dinâmicas:

• As NICs dinâmicas são interfaces de VLAN que usam o formato de pacote padrão IEEE 802.1Q. Veja as seguintes considerações:

  • O ID da VLAN de uma NIC dinâmica tem de ser um número inteiro entre 2 e 255.
  • O ID da VLAN de uma NIC dinâmica tem de ser exclusivo numa vNIC principal. No entanto, as NICs dinâmicas pertencentes a vNICs principais diferentes podem usar o mesmo ID de VLAN.

• Trusted Cloud usa o seguinte formato para o nome de uma NIC dinâmica: nicNUMBER.VLAN_ID, onde

  • nicNUMBER é o nome da vNIC principal, como nic0.
  • VLAN_ID é o ID de VLAN que definiu, como 4.

  Um exemplo de um nome de NIC dinâmico é nic0.4.

• A criação de uma instância com NICs dinâmicos ou a adição de NICs dinâmicos a uma instância existente requer passos adicionais para instalar e gerir as interfaces VLAN correspondentes no SO convidado. Pode usar um dos seguintes métodos:

  • Configure a gestão automática de NICs dinâmicos através do agente convidado da Google.
  • Configurar o SO convidado manualmente.

  Para mais informações, consulte o artigo Configure o SO convidado para NICs dinâmicas.

• As NICs dinâmicas partilham a largura de banda da respetiva vNIC principal e não existe isolamento do tráfego numa vNIC principal. Para impedir que qualquer uma das interfaces de rede consuma toda a largura de banda, tem de criar uma política de tráfego específica da aplicação no SO convidado para dar prioridade ou distribuir o tráfego, por exemplo, através do controlo de tráfego (TC) do Linux.

• As NICs dinâmicas partilham as mesmas filas de receção e transmissão que a respetiva vNIC principal.

Limitações das NICs dinâmicas

Veja as seguintes limitações das NICs dinâmicas:

• Não pode modificar as seguintes propriedades de uma NIC dinâmica depois de criada:

  • A vNIC principal à qual a NIC dinâmica pertence.
  • O ID da VLAN da NIC dinâmica.

• As NICs dinâmicas não suportam o seguinte:

  • Proteção avançada contra DDoS de rede e políticas de segurança de limite de rede para o Google Cloud Armor
  • Configurar endereços IP através de configurações por instância para MIGs
  • Interfaces apenas IPv6 (pré-visualização)
  • Funcionalidades que dependem da interceção de pacotes, como pontos finais de firewall
  • Sistemas operativos (SO) Windows

• Uma NIC dinâmica com uma vNIC principal cujo tipo seja GVNIC pode ter perda de pacotes com alguns tamanhos de MTU personalizados. Para evitar a perda de pacotes, não use os seguintes tamanhos de MTU: 1986 bytes, 3986 bytes, 5986 bytes e 7986 bytes.

• Para VMs de terceira geração, uma NIC dinâmica com um ID de VLAN de 255 não pode aceder ao endereço IP do servidor de metadados. Se precisar de aceder ao servidor de metadados, certifique-se de que usa um ID de VLAN diferente.

• Para VMs de terceira geração, a eliminação e a adição de uma NIC dinâmica com o mesmo ID da VLAN podem permitir o acesso não autorizado em diferentes redes da VPC. Para mais informações, consulte Problemas conhecidos.

Tipos de pilha e endereços IP

Quando cria uma vNIC, especifica um dos seguintes tipos de pilha de interface:

• Apenas IPv4
• Dupla pilha

• Apenas IPv6

A tabela seguinte descreve os tipos de pilha de sub-redes suportados e os detalhes do endereço IP para cada tipo de pilha de interface:

Interface	Sub-rede apenas IPv4	Sub-rede de pilha dupla	Sub-rede apenas IPv6	Detalhes do endereço IP
Apenas IPv4 (pilha única)				Apenas endereços IPv4. Consulte os detalhes do endereço IPv4.
IPv4 e IPv6 (pilha dupla)				Endereços IPv4 e IPv6. Veja os detalhes do endereço IPv4 e os detalhes do endereço IPv6
Apenas IPv6 (pilha única)				Apenas endereços IPv6. Consulte os detalhes do endereço IPv6.

Alterar o tipo de pilha da interface de rede

Pode alterar o tipo de pilha de uma interface de rede da seguinte forma:

• Pode converter uma interface apenas IPv4 em pilha dupla se a sub-rede da interface for uma sub-rede de pilha dupla ou se parar a instância e atribuir a interface a uma sub-rede de pilha dupla.

• Pode converter uma interface de pilha dupla para apenas IPv4.

Não pode alterar o tipo de pilha de uma interface apenas IPv6. As interfaces apenas IPv6 só são suportadas quando cria instâncias.

Detalhes do endereço IPv4

Cada interface de rede apenas IPv4 ou de pilha dupla recebe um endereço IPv4 interno principal. Cada interface suporta opcionalmente intervalos de IP de alias e um endereço IPv4 externo. Seguem-se as especificações e os requisitos de IPv4:

• Endereço IPv4 interno principal: o Compute Engine atribui à interface de rede um endereço IPv4 interno principal a partir do intervalo de endereços IPv4 principal da sub-rede da interface. O endereço IPv4 interno principal é atribuído pelo DHCP.

  • Pode controlar o endereço IPv4 interno principal que é atribuído configurando um endereço IPv4 interno estático ou especificando um endereço IPv4 interno efémero personalizado.

  • Numa rede VPC, o endereço IPv4 interno principal de cada interface de rede da VM é exclusivo.

• Intervalos de IP de alias: opcionalmente, pode atribuir à interface um ou mais intervalos de IP de alias. Cada intervalo de IPs de alias pode ser proveniente do intervalo de endereços IPv4 principal ou de um intervalo de endereços IPv4 secundário da sub-rede da interface.

  • Numa rede VPC, o intervalo de IPs de alias de cada interface tem de ser exclusivo.

• Endereço IPv4 externo: opcionalmente, pode atribuir à interface um endereço IPv4 externo efémero ou reservado. Trusted Cloud garante a unicidade de cada endereço IPv4 externo.

Detalhes do endereço IPv6

O Compute Engine atribui a cada interface de rede de pilha dupla ou apenas IPv6 um /96intervalo de endereços IPv6 do /64intervalo de endereços IPv6 da sub-rede da interface:

• Se o intervalo de endereços /96 IPv6 é interno ou externo, depende do tipo de acesso IPv6 da sub-rede da interface. Trusted Cloud garante a unicidade de cada intervalo de endereços IPv6 interno e externo. Para mais informações, consulte as especificações IPv6.

  • Se uma instância precisar de um intervalo de endereços IPv6 interno e um intervalo de endereços IPv6 externo, tem de configurar duas interfaces de pilha dupla, duas interfaces apenas IPv6 ou uma interface de pilha dupla e uma interface apenas IPv6. A sub-rede usada por uma interface tem de ter um intervalo de endereços IPv6 externo, e a sub-rede usada pela outra interface tem de ter um intervalo de endereços IPv6 interno.

• O primeiro endereço IPv6 (/128) é configurado na interface pelo DHCP. Para mais informações, consulte a atribuição de endereços IPv6.

• Pode controlar o /96intervalo de endereços IPv6 atribuído configurando um intervalo de endereços IPv6 interno ou externo estático. Para endereços IPv6 internos, pode especificar um endereço IPv6 interno efémero personalizado.

Se estiver a associar uma instância a várias redes através de endereços IPv6, instale a versão google-guest-agent20220603.00 ou posterior. Para mais informações, consulte o artigo Não consigo estabelecer ligação ao endereço IPv6 de uma interface secundária.

Número máximo de interfaces de rede

Para a maioria dos tipos de máquinas, o número máximo de interfaces de rede que pode associar a uma instância é dimensionado com o número de vCPUs, conforme descrito nas tabelas seguintes.

Seguem-se as exceções específicas da máquina:

• As instâncias bare metal do Compute Engine suportam uma única vNIC.

• O número máximo de vNICs é diferente para alguns tipos de máquinas otimizadas para aceleradores, como A3, A4 e A4X. Para mais informações, consulte o artigo Família de máquinas otimizada para aceleradores.

Exemplos de distribuições de NICs dinâmicas

Não tem de distribuir as NICs dinâmicas uniformemente pelas NICs virtuais. No entanto, pode querer uma distribuição uniforme porque as NICs dinâmicas partilham a largura de banda da respetiva vNIC principal.

Uma instância tem de ter, pelo menos, uma vNIC. Por exemplo, uma instância com 2 vCPUs pode ter uma das seguintes configurações:

• 1 vNIC
• 2 vNICs
• 1 vNIC e 1 NIC dinâmico

As tabelas seguintes fornecem exemplos de configurações que distribuem uniformemente as NICs dinâmicas pelas vNICs enquanto usam o número máximo de interfaces de rede para um determinado número de vCPUs.

Interações com o produto

Esta secção descreve as interações entre instâncias com várias NICs e outros produtos e funcionalidades no Trusted Cloud.

VPC partilhada

Exceto para interfaces do Private Service Connect, a relação entre a sub-rede e o projeto de uma instância com vários NICs num projeto anfitrião ou de serviço de uma VPC partilhada é a seguinte:

• Cada interface de rede de uma instância com vários NIC localizada num projeto anfitrião de VPC partilhada tem de usar uma sub-rede de uma rede de VPC partilhada no projeto anfitrião.

• Cada interface de rede de uma instância com vários NIC localizada num projeto de serviço de uma VPC partilhada pode usar qualquer uma das seguintes opções:

  • Uma sub-rede de uma rede de VPC no projeto de serviço.
  • Uma sub-rede de uma rede de VPC partilhada no projeto anfitrião.

Para mais informações sobre a VPC partilhada, consulte:

• Vista geral da VPC partilhada
• Aprovisione a VPC partilhada

DNS interno do Compute Engine

O Compute Engine cria registos A e PTR de nomes DNS internos apenas para o endereço IPv4 interno principal da interface de rede nic0 de uma instância. O Compute Engine não cria registos DNS internos para qualquer endereço IPv4 ou IPv6 associado a uma interface de rede diferente de nic0.

Para mais informações, consulte o artigo DNS interno do Compute Engine.

Rotas estáticas

As rotas estáticas podem ser delimitadas a instâncias específicas através da utilização de etiquetas de rede. Quando uma etiqueta de rede está associada a uma instância, a etiqueta aplica-se a todas as interfaces de rede da instância. Consequentemente, adicionar ou remover uma etiqueta de rede de uma instância pode alterar as rotas estáticas que se aplicam a qualquer uma das interfaces de rede da instância.

Balanceadores de carga

Os backends de grupos de instâncias e os backends de NEG zonais têm cada um uma rede VPC associada da seguinte forma:

• Para grupos de instâncias geridas (MIGs), a rede VPC do grupo de instâncias é a rede VPC atribuída à interface no modelo de instância.nic0

• Para grupos de instâncias não geridos, a rede VPC do grupo de instâncias é a rede VPC usada pela nic0interface de rede da primeira instância que adiciona ao grupo de instâncias não gerido.

A tabela seguinte mostra que back-ends suportam a distribuição de ligações ou pedidos a qualquer interface de rede.

Balanceador de carga	Grupos de instâncias	GCE_VM_IP NEGs	GCE_VM_IP_PORT NEGs
Balanceador de carga de rede de encaminhamento externo baseado em serviços de back-end O serviço de back-end não está associado a uma rede VPC. Para mais informações, consulte o artigo Serviços de back-end e redes VPC.	Apenas nic0	Qualquer NIC	N/A
Balanceador de carga de rede de passagem interno O serviço de back-end está associado a uma rede VPC. Para mais informações, consulte os artigos Especificação da rede de serviços de back-end e Regras de rede de serviços de back-end.	Qualquer NIC	Qualquer NIC	N/A
Balanceador de carga de rede de proxy externo Para mais informações sobre os requisitos de rede e de serviço de back-end, consulte Back-ends e redes VPC.	Apenas nic0	N/A	Qualquer NIC
Balanceador de carga de rede de proxy interno Para mais informações acerca dos requisitos de rede e do serviço de back-end, consulte Back-ends e redes VPC.	Apenas nic0	N/A	Qualquer NIC
Balanceador de carga de aplicações externo Para mais informações sobre os requisitos de rede e de serviço de back-end, consulte Back-ends e redes VPC.	Apenas nic0	N/A	Qualquer NIC
Balanceador de carga de aplicações interno Para mais informações sobre os requisitos de rede e de serviço de back-end, consulte Back-ends e redes VPC.	Apenas nic0	N/A	Qualquer NIC

Os balanceadores de carga de rede de encaminhamento externo baseados em pools não usam grupos de instâncias nem NEGs e só suportam o balanceamento de carga para nic0 interfaces de rede.

Regras de firewall

O conjunto de regras de firewall, provenientes de políticas de firewall hierárquicas, políticas de firewall de rede global, políticas de firewall de rede regional e regras de firewall da VPC, é exclusivo de cada interface de rede. Certifique-se de que cada rede tem regras de firewall adequadas para permitir o tráfego que quer permitir de e para uma instância com várias NICs. Para determinar que regras de firewall se aplicam a uma interface de rede e a origem de cada regra, consulte o artigo Obtenha regras de firewall eficazes para uma interface de VM.

Pode definir o âmbito das regras de firewall para instâncias de VM específicas através de etiquetas de rede ou etiquetas seguras, que se aplicam a todas as interfaces de rede de uma instância. Para mais informações, consulte o artigo Comparação entre etiquetas seguras e etiquetas de rede.

Problemas conhecidos

Esta secção descreve problemas conhecidos relacionados com a utilização de várias interfaces de rede no Trusted Cloud.

Interações da firewall quando reutiliza um ID de VLAN com NICs dinâmicos

Para VMs de terceira geração, a eliminação e a adição de uma NIC dinâmica com o mesmo ID da VLAN podem permitir o acesso não autorizado em diferentes redes da VPC.

Considere o seguinte cenário que inclui duas redes (network-1 e network-2) e um ID de VLAN A:

1. Elimina uma NIC dinâmica com o ID de VLAN A de network-1.
2. No período de acompanhamento da ligação do NGFW da nuvem de 10 minutos, cria uma nova NIC dinâmica com o mesmo ID da VLAN A em network-2.
3. O tráfego originário do novo NIC dinâmico em network-2 pode corresponder a uma entrada de acompanhamento de ligações existente que foi criada anteriormente pelo NIC dinâmico eliminado em network-1.

Se isto acontecer, o tráfego enviado ou recebido pela nova NIC dinâmica em network-2 pode ser permitido se corresponder a uma entrada na tabela de monitorização de ligações do NGFW da nuvem, onde a entrada foi criada para uma ligação usada pela NIC dinâmica eliminada em network-1. Para evitar este problema, consulte a seguinte solução alternativa.

Solução alternativa:

Para evitar este problema, faça uma das seguintes ações:

• Depois de eliminar uma NIC dinâmica, não reutilize o respetivo ID da VLAN quando criar uma nova NIC dinâmica.
• Depois de eliminar uma NIC dinâmica, aguarde, pelo menos, 10 minutos para criar uma nova NIC dinâmica que use o mesmo ID da VLAN.

Para mais informações sobre a monitorização de ligações e as regras de firewall, consulte as especificações na documentação da firewall de nova geração do Google Cloud.

O que se segue?

• Crie VMs com várias interfaces de rede