靜態路徑

本頁將概述靜態路徑在 Cloud de Confiance中的運作方式。

如要瞭解 Cloud de Confiance中的路徑，請參閱「路徑總覽」。

建立靜態路徑時的注意事項

建立靜態路徑的方法有二種：

您可以與對等互連的虛擬私有雲網路交換靜態路徑，詳情請參閱虛擬私有雲網路對等互連說明文件中的「交換自訂靜態路徑的選項」。

路徑參數

靜態路徑支援下列屬性：

  • 「名稱」和「說明」。這些欄位用來標示路徑。名稱為必要元件，但說明為選用元件。您的「專案」中的每個路徑名稱皆不得重複。

  • 電視網。每個路徑皆只能與一個虛擬私有雲網路相關聯。

  • 下一個躍點。下一個躍點會識別封包傳送目的地的網路資源。所有下一個躍點類型都支援 IPv4 目的地，部分下一個躍點類型則支援 IPv6 目的地。詳情請參閱「下一個躍點和功能」。

  • 目的地範圍。目的地範圍是單一 IPv4 或 IPv6 CIDR 標記法。

    靜態路由的目的地必須遵守「子網路路由與靜態路由之間的互動」和「虛擬私有雲網路對等互連子網路和靜態路由互動」一節所述規則。IPv4 靜態路徑最廣的可能目的地為 0.0.0.0/0。IPv6 靜態路徑最廣的可能目的地為 ::/0。

  • 優先檔案區。數字越小，優先順序越高。最高優先順序為 0，最低優先順序為 65,535。

  • 網路標記。您可以讓靜態路徑僅適用於虛擬私有雲網路中以網路標記識別的特定 VM 執行個體：

下一個躍點和功能

下表依下一個躍點類型，列出靜態路徑功能支援情形：

下一個躍點類型 IPv4 IPv6 ECMP1
下一個躍點閘道 (next-hop-gateway)
：指定預設網際網路閘道，定義外部 IP 位址的路徑。
依名稱和區域指定下一個躍點執行個體 (next-hop-instance)
將封包傳送至依名稱和區域識別的下一個躍點 VM，該 VM 與路徑位於同一專案。詳情請參閱下一個躍點執行個體的注意事項。
依位址指定下一個躍點執行個體 (next-hop-address)
：將封包傳送至下一個躍點 VM，該 VM 的識別依據是網路介面的主要內部 IPv4 位址，或是內部或外部 IPv6 位址。詳情請參閱下一個躍點執行個體的注意事項。
依轉送規則名稱 (next-hop-ilb) 和區域 (next-hop-ilb-region) 指定下一個躍點內部直通式網路負載平衡器
將封包傳送至內部直通式網路負載平衡器的後端，該負載平衡器由轉送規則的名稱、區域和 (選用) 專案識別。詳情請參閱內部直通式網路負載平衡器下一個躍點的注意事項。
依位址 (next-hop-ilb) 下一個躍點內部直通式網路負載平衡器
將封包傳送至內部直通式網路負載平衡器的後端，該負載平衡器是由負載平衡器轉送規則的 IP 位址所識別。詳情請參閱內部直通式網路負載平衡器下一個躍點的注意事項。		 2
下一個躍點傳統版 VPN 通道 (next-hop-vpn-tunnel)
使用政策型轉送或路徑型 VPN，將封包傳送至下一個躍點傳統版 VPN 通道。詳情請參閱傳統版 VPN 通道下一個躍點的注意事項。
1等價多路徑 (ECMP) 是指兩個以上的靜態路徑可以共用相同的目的地範圍和優先順序。雖然您可以在虛擬私有雲網路中建立兩個以上的靜態路徑，這些路徑具有相同的目的地、優先順序和預設網際網路閘道下一個躍點，但效果與單一靜態路徑相同，也就是針對該目的地和優先順序使用預設網際網路閘道下一個躍點。
2IPv6 支援取決於下一個躍點專案和網路。

下一個躍點專案和網路

靜態路徑下一個躍點會同時與虛擬私有雲網路和專案建立關聯：

  • 網路：除非下表另有說明，否則下一個躍點的虛擬私有雲網路必須與路由的虛擬私有雲網路相符。

  • 專案：除非下表另有說明，否則下一個中繼站必須位於包含下一個中繼站虛擬私有雲網路的專案中 (獨立專案或共用虛擬私有雲主專案)。部分下一個躍點可能位於 Shared VPC 服務專案中。

下一個躍點類型 可位於對等互連的虛擬私有雲網路中 可位於 NCC 中樞的不同 VPC 輪輻中 可位於 Shared VPC 服務專案中
下一個躍點閘道 (next-hop-gateway)
依名稱指定下一個躍點執行個體 (next-hop-instance)
依地址的下一個躍點執行個體 (next-hop-address)
依轉送規則名稱和區域取得下一個躍點內部直通式網路負載平衡器 (next-hop-ilb)
轉送規則資源連結的下一個躍點內部直通式網路負載平衡器 (next-hop-ilb)
依位址設定下一個躍點內部直通式網路負載平衡器 (next-hop-ilb)
僅限 IPv4
下一個躍點傳統版 VPN 通道 (next-hop-vpn-tunnel)

執行個體和內部直通式網路負載平衡器下一個躍點的常見注意事項

以執行個體為基礎的路由是指下一個躍點為 VM 執行個體 (next-hop-instance 或 next-hop-address) 的靜態路徑。

以內部直通式網路負載平衡器做為下一個躍點是指下一個躍點為內部直通式網路負載平衡器 (next-hop-ilb) 的靜態路徑。

設定以執行個體為基礎的路由或內部直通式網路負載平衡器做為下一個躍點時，請考量下列準則：

  • 您必須設定後端 VM 或下一個躍點執行個體，轉送來自任何來源 IP 位址的封包。如要設定轉送，請在建立 VM 時，根據不同 VM 來決定是否啟用 IP 轉送 (can-ip-forward)。如果是自動建立為代管執行個體群組一部分的 VM，請在執行個體群組使用的執行個體範本中啟用 IP 轉送。除了路由封包所需的任何作業系統設定外，您還必須進行這項設定變更。

  • 後端 VM 或下一個躍點執行個體上執行的軟體必須經過適當設定。舉例來說，如果第三方設備 VM 充當路由器或防火牆，就必須按照製造商的指示設定。

  • 後端 VM 或下一個躍點執行個體必須具有適當的防火牆規則。您必須設定適用於所路由封包的防火牆規則。請注意以下幾點：

    • 適用於執行轉送功能的執行個體的輸入防火牆規則，必須包含轉送封包來源的 IP 位址。默示拒絕輸入規則會封鎖所有傳入封包，因此您至少必須建立自訂允許輸入防火牆規則。
    • 適用於執行路由功能的執行個體的輸出防火牆規則，必須包含路由封包目的地的 IP 位址。除非您建立特定的拒絕輸出規則來覆寫，否則默示允許輸出規則會允許這項操作。
    • 建立防火牆規則時，請考量後端 VM 或下一個躍點執行個體是否執行網路位址轉譯 (NAT)。

    詳情請參閱「隱含防火牆規則」。

  • 後端 VM 或下一個躍點執行個體傳送的封包來源區域，就是後端 VM 或下一個躍點執行個體所在的區域。舉例來說，即使後端 VM 或下一個躍點執行個體最初是從 us-west1 以外區域的資源接收封包，由 us-west1 中的後端 VM 或下一個躍點執行個體處理的封包，仍可傳送至只能在 us-west1 中存取的目的地。只有與傳送封包的 VM 位於同一區域的資源才能存取，例如：

    • 已關閉全域存取權的內部直通式網路負載平衡器、內部應用程式負載平衡器，以及區域性內部 Proxy 網路負載平衡器
    • Cloud VPN 通道、Cloud Interconnect VLAN 連結，以及網路連線路由器設備 VM (如果虛擬私有雲網路使用區域動態轉送)

下一個躍點執行個體的注意事項

  • 依執行個體名稱和區域設定下一個躍點 (next-hop-instance)：建立靜態路由時，如果下一個躍點執行個體是依執行個體名稱和區域指定， Cloud de Confiance 會要求指定區域中存在該名稱的執行個體，且符合下列條件：

    • 執行個體與路徑位於相同專案。
    • 執行個體在路徑的虛擬私有雲網路中具有網路介面 (NIC)，而非對等互連的虛擬私有雲網路。

    只要靜態路徑存在，就會發生下列情況：

    • Cloud de Confiance 在下列任一情況下，自動更新下一個躍點的程式設計：

      • 下一個躍點執行個體的主要內部 IPv4 位址變更，或
      • 您替換下一個躍點執行個體，且替換後的執行個體名稱相同、位於相同可用區和專案，並在路徑的虛擬私有雲網路中具有網路介面。

    • 在下列情況下，Cloud de Confiance 不會更新下一個躍點的程式設計：

      • 刪除執行個體時。
      • 指派給執行個體 NIC 的 IPv6 位址範圍會變更。
      • 執行個體的 IPv4 或 IPv6 位址未指派。

  • 下一個躍點執行個體 IP 位址 (next-hop-address)：有效的下一個躍點 VM IP 位址如下：

    • 虛擬機器網路介面的主要內部 IPv4 位址。
    • 指派給 VM 網路介面的 /96 IPv6 位址範圍內的任何內部或外部 IPv6 位址。

    建立靜態路由時，如果下一個躍點執行個體是由 IP 位址指定， Cloud de Confiance 會接受任何符合路由所在虛擬私有雲網路子網路範圍的 VM 指派 IP 位址。不過，只有在下一個躍點位址是有效的「下一個躍點」VM IP 位址時，才會設定路徑。 Cloud de Confiance 舉例來說，如果您建立路徑，並將下一個躍點指定為來自別名 IP 範圍的 IP 位址，系統就會建立路徑。不過，別名 IP 位址並非有效的下一個躍點 VM IP 位址，因此系統不會設定路由。

    如果下一個躍點 IP 位址移至其他 VM，且該 IP 位址仍是有效的下一個躍點 VM IP 位址，則Cloud de Confiance 會自動更新下一個躍點的程式設計。

    以 IP 位址指定下一個躍點執行個體時，封包會路由至執行個體的網路介面，而非特定 IP 位址。

  • 共用虛擬私有雲服務專案中的下一個躍點執行個體：依 IP 位址指定下一個躍點 VM 時，VM 可以位於任一專案，包括與路徑相同的專案 (獨立專案或共用虛擬私有雲主專案)，或位於共用虛擬私有雲服務專案。如果依執行個體名稱和區域指定下一個躍點 VM，下一個躍點 VM 必須與路由和虛擬私有雲網路位於同一個專案 (獨立專案或共用虛擬私有雲主專案)。

  • 區域對區域的成本和延遲：使用 VM 做為下一個躍點時，下一個躍點會位於某個區域的可用區。使用下一個躍點的路徑適用於相同虛擬私有雲網路中的所有執行個體，或適用於具有相符網路標記的特定執行個體。 Cloud de Confiance 不會考量使用執行個體做為下一個躍點的路徑的地區距離，因此建立的路徑可以將流量傳送到位在不同地區的下一個躍點 VM。從一個區域傳送封包到另一個區域，會增加輸出資料移轉費用，並造成網路延遲。

  • 不進行健康狀態檢查，也不驗證設定： Cloud de Confiance 絕不會檢查下一個躍點執行個體是否符合「適用於執行個體和內部直通式網路負載平衡器下一個躍點的常見考量事項」一節中列出的所有規定。即使您設定執行個體的客體作業系統來停用 VM 的網路介面，也不會導致 Cloud de Confiance 忽略下一個躍點執行個體。

  • 連線至兩個 VPC 網路時，不會進行對稱雜湊： Cloud de Confiance 在符合下列所有條件的設定中，使用兩個或多個具有多個網路介面的下一個中繼站 VM 時，不會進行對稱雜湊：

    • 這些 VM 在一個虛擬私有雲網路中各有一個網路介面，
    • 在每個虛擬私有雲網路中，至少有一組目的地相同、優先順序相同，但下一個躍點 VM 各不相同的自訂靜態路徑。

    如果您使用兩個以上的 VM (具備多個介面) 連接虛擬私有雲網路，且需要同一個 VM 處理特定連線的雙向封包，則必須使用對稱雜湊，而這只有下一個躍點內部直通網路負載平衡器支援。詳情請參閱「對稱雜湊」。

  • 執行個體停止或刪除時的行為： Cloud de Confiance 不會阻止您停止或刪除靜態路徑下一個躍點 VM (由名稱和區域或內部位址指定)。如果下一個躍點 VM 未執行，轉送作業會取決於是否存在完全相同的目的地的其他路由，以及這些路由的下一個躍點是否正在執行。為說明這項行為，請參考下列範例：

    • 您有下列路徑和 VM 狀態：

      • route-a、目的地 192.168.168.0/24、優先順序 10、下一個中繼 VM vm-a 已停止
      • route-b、目的地 192.168.168.0/24、優先順序 20、下一個中繼 VM vm-b 正在執行
      • route-c、目的地 192.168.168.0/24、優先順序 30、下一個中繼 VM vm-c 正在執行

      在本例中，目的地符合 192.168.168.0/24 的封包會傳送至 vm-b 下一個躍點，因為最高優先順序 route-a 的 vm-a 下一個躍點並未執行。這是因為在Cloud de Confiance 轉送順序中，「disregard static and dynamic routes with unusable next hops」步驟先於「disregard low priority routes」步驟。

    • 您有下列路徑和 VM 狀態：

      • route-x、目的地 192.168.168.0/24、優先順序 10、下一個中繼 VM vm-x 已停止
      • route-y、目的地 192.168.168.0/24、優先順序 20、下一個中繼 VM vm-y 已停止
      • route-z、目的地 192.168.0.0/16、優先順序 0、下一個躍點 VM vm-z 正在執行

      在本範例中，目的地符合 192.168.168.0/24 的封包會遭到捨棄，因為兩個 192.168.168.0/24 路由 (route-x 和 route-y) 的下一個躍點 VM 並未執行，即使較廣泛的 192.168.0.0/16 目的地有路由 (route-z)，且下一個躍點 VM 正在執行也一樣。這是因為在Cloud de Confiance 轉送順序中，「最明確的目的地」步驟先於「忽略下一個躍點無法使用的靜態和動態路徑」步驟。

內部直通式網路負載平衡器下一個躍點的注意事項

  • 支援的轉送規則。 Cloud de Confiance 僅支援下一個躍點內部直通式網路負載平衡器轉送規則。 Cloud de Confiance 不支援其他負載平衡器、通訊協定轉送或 Private Service Connect 端點使用的下一個躍點轉送規則。

  • 指定方法和轉送規則網路和專案。您可以使用下列三種方法之一，指定下一個躍點轉送規則。您使用的指定方法會決定轉送規則的網路是否必須與路徑的網路相符，以及轉送規則可位於哪個專案。

    請選擇下列其中一種方法，並確保轉送規則的 IP 版本與您建立的靜態路徑 IP 版本相符：

    • 依據轉送規則名稱 (--next-hop-ilb) 和區域 (--next-hop-ilb-region)：依據名稱和區域指定下一個躍點轉送規則時，轉送規則的網路必須與路徑的虛擬私有雲網路相符。轉送規則必須位於與轉送規則網路相同的專案中 (獨立專案或共用虛擬私有雲主專案)。

    • 透過轉送規則資源連結：轉送規則的資源連結採用 /projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME 格式，其中 PROJECT_ID 是包含轉送規則的專案 ID，REGION 是轉送規則的區域，FORWARDING_RULE_NAME 則是轉送規則的名稱。透過資源連結指定下一個躍點轉送規則時，轉送規則的網路必須與路由的 VPC 網路相符。轉送規則可位於任一專案，該專案包含轉送規則的網路 (獨立專案或共用虛擬私有雲主專案)，或共用虛擬私有雲服務專案。

    • 透過轉送規則 IP 位址：以 IPv4 或 IPv6 位址指定下一個躍點轉送規則時，轉送規則的網路可以是路由的虛擬私有雲網路，也可以是透過虛擬私有雲網路對等互連或 NCC 連線至路由虛擬私有雲網路的虛擬私有雲網路。NCC 支援虛擬私有雲輪輻中的下一個躍點內部直通式網路負載平衡器，但須符合連線的 NCC 需求。轉送規則可位於任一專案，該專案包含轉送規則的網路 (獨立專案或共用虛擬私有雲主專案)，或共用虛擬私有雲服務專案。

  • 全域存取權的影響。使用內部直通式網路負載平衡器下一個躍點的自訂靜態路徑，會在所有區域中進行程式設計。下一個躍點是否可用取決於負載平衡器的全域存取權設定。啟用全域存取權後，虛擬私有雲網路的所有區域都能存取負載平衡器下一個躍點。如果停用全域存取權，只有與負載平衡器位於相同區域的負載平衡器下一個躍點可供存取。如果停用全域存取權，從其他區域傳送至使用內部直通式網路負載平衡器下一個躍點的路由時，封包會遭到捨棄。

  • 所有後端健康狀態不良時。當內部直通式網路負載平衡器的所有後端都無法通過健康狀態檢查時，使用該負載平衡器下一個躍點的路由仍會生效。路徑處理的封包會根據流量分配，傳送至下一個躍點負載平衡器的其中一個後端。

  • 不支援使用共用內部 IP 位址的轉送規則 (--purpose=SHARED_LOADBALANCER_VIP)。下一個躍點內部直通式網路負載平衡器，以及使用通用 IP 位址參照不同後端服務 (不同內部直通式網路負載平衡器) 的內部直通式網路負載平衡器轉送規則，是互斥功能。下一個躍點內部直通式網路負載平衡器必須使用負載平衡器轉送規則專屬的 IP 位址，這樣才能明確參照單一後端服務 (一個負載平衡器)。如果傳送至下一個躍點的內部直通式網路負載平衡器已設定共用 IP 位址，流量會遭到捨棄，且不會顯示任何訊息。

  • 多個路由的目的地和優先順序相同，但下一個躍點內部直通式網路負載平衡器不同。 Cloud de Confiance 絕不會使用 ECMP，將流量分配到兩個以上的下一個躍點內部直通式網路負載平衡器。 Cloud de Confiance會使用內部演算法選取單一下一個躍點內部直通式網路負載平衡器，且Cloud de Confiance 無法保證一律選取同一個下一個躍點內部直通式網路負載平衡器。最佳做法是在同一個虛擬私有雲網路中，不要建立兩個以上的靜態路由，因為這類路由只會因下一個躍點內部直通式網路負載平衡器而有所不同。

  • 多個路由的目的地、優先順序和下一個躍點內部直通式網路負載平衡器相同。如果沒有網路標記， Cloud de Confiance 就不允許您建立多個靜態路徑，這些路徑的目的地、優先順序和內部直通式網路負載平衡器下一個躍點的組合相同。使用網路標記，您可以建立多個靜態路徑，這些路徑的目的地、優先順序和內部直通式網路負載平衡器下一個躍點組合相同。

傳統版 VPN 通道下一個躍點的注意事項

  • 區域間的費用和延遲時間： Cloud de Confiance 不會考量使用下一個躍點傳統版 VPN 通道的路徑區域距離。將流量傳送至其他區域的下一個躍點傳統版 VPN 通道，會產生傳出資料移轉費用，並造成網路延遲。最佳做法是使用高可用性 VPN 通道搭配動態轉送，因為這項設定會考量區域距離。

  • 傳統版 VPN 通道未運作時的行為：如果傳統版 VPN 通道未運作，下一個躍點為傳統版 VPN 通道的自訂靜態路由不會自動移除。如要瞭解通道停止運作時會發生什麼情況，請參閱傳統版 VPN 說明文件中的「通道關閉時」一節。

NCC 注意事項

  • 您可以從虛擬私有雲輪輻建立靜態路徑，連至可透過 NCC 中樞存取的內部直通網路負載平衡器。
  • 這些 NCC 靜態路徑有額外限制。詳情請參閱靜態路徑總覽。

後續步驟

  • 如要建立及管理路徑，請參閱「使用路徑」。
  • 如要概略瞭解路徑 Cloud de Confiance，請參閱「 路徑」。