Configure e faça a gestão do intercâmbio da rede da VPC

Trusted Cloud by S3NS O intercâmbio da rede da VPC permite a conetividade de endereços IP internos em duas redes da nuvem virtual privada (VPC), independentemente de pertencerem ao mesmo projeto ou à mesma organização. O peering suporta a conetividade entre redes com qualquer combinação de sub-redes apenas IPv4, de pilha dupla e apenas IPv6.

Para mais informações, consulte o artigo Intercâmbio da rede da VPC.

Crie uma configuração de peering

Antes de começar, tem de ter o nome da rede VPC com a qual vai estabelecer peering. Se essa rede estiver localizada noutro projeto, também tem de ter o ID do projeto desse projeto. Não pode listar pedidos de peering para a sua rede de VPC. Se necessário, peça ao administrador da rede com a qual pretende estabelecer uma relação de intercâmbio os nomes da rede e do projeto.

Uma configuração de peering estabelece a intenção de estabelecer ligação a outra rede VPC. A sua rede e a outra rede não estão ligadas até que cada uma tenha uma configuração de peering para a outra. Depois de a outra rede ter uma configuração correspondente para estabelecer uma relação de pares com a sua rede, o estado da relação de pares muda para ACTIVE em ambas as redes, e estas ficam ligadas. Se não existir uma configuração de peering correspondente na outra rede, o estado de peering permanece INACTIVE, o que indica que a sua rede não está ligada à outra.

Trusted Cloud permite apenas uma atividade relacionada com o intercâmbio de cada vez nas redes com intercâmbio. Por exemplo, se configurar o peering com uma rede e tentar configurar imediatamente outra, a operação falha com a seguinte mensagem: Error: There is a peering operation in progress on the local or peer network. Try again later.

Após a ligação, as duas redes VPC trocam sempre rotas de sub-rede IPv4 (intervalos de sub-rede IPv4 primários e secundários) que usam intervalos de endereços IPv4 privados. Para mais informações sobre as opções de troca de rotas de sub-rede, consulte o artigo Opções para trocar rotas de sub-rede. Para ver detalhes sobre a troca de rotas estáticas ou dinâmicas, consulte as Opções para trocar rotas estáticas e as Opções para trocar rotas dinâmicas.

Atualize a estratégia

A estratégia de atualização é uma propriedade de uma configuração de peering. O intercâmbio da rede da VPC suporta duas estratégias de atualização: INDEPENDENT (predefinição) e CONSENSUS. Por predefinição, qualquer um dos lados de uma ligação de peering pode atualizar ou eliminar a ligação em qualquer altura. Opcionalmente, pode restringir este comportamento configurando a estratégia de atualização da associação de pares.CONSENSUS

O seguinte aplica-se às associações de peering que usam a estratégia de atualização CONSENSUS:

• Depois de iniciar um pedido para configurar a CONSENSUSestratégia de atualização para uma associação de pares, não é possível propor outras alterações até o pedido ser aceite ou revertido.
• Para eliminar uma associação de peering, ambas as partes da associação têm de enviar um pedido de eliminação antes de a associação poder ser eliminada. Se um pedido de eliminação estiver em curso, todos os pedidos de atualização são rejeitados.
• Os pedidos pendentes não causam tempo de inatividade e a associação permanece ativa enquanto o pedido está em curso.
• Limitação: não é suportada a atualização de uma associação de peering configurada para usar a estratégia de atualização CONSENSUS.

Crie uma configuração

Para criar uma configuração de peering, faça o seguinte.

gcloud compute networks peerings create PEERING_NAME \
    --network=NETWORK \
    --peer-project=PEER_PROJECT_ID \
    --peer-network=PEER_NETWORK_NAME \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--import-subnet-routes-with-public-ip] \
    [--export-subnet-routes-with-public-ip]

gcloud beta compute networks peerings create PEERING_NAME \
    --network=NETWORK \
    --peer-project=PEER_PROJECT_ID \
    --peer-network=PEER_NETWORK_NAME \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--import-subnet-routes-with-public-ip] \
    [--export-subnet-routes-with-public-ip] \
    [--update-strategy=UPDATE_STRATEGY]

module "peering1" {
  source        = "terraform-google-modules/network/google//modules/network-peering"
  version       = "~> 12.0"
  local_network = var.local_network # Replace with self link to VPC network "foobar" in quotes
  peer_network  = var.peer_network  # Replace with self link to VPC network "other" in quotes
}

Verifique se o tráfego está a passar entre redes VPC interligadas

Pode usar os registos de fluxo de VPC para ver os fluxos de rede enviados e recebidos pelas instâncias de VMs. Também pode usar o registo de regras de firewall para verificar se o tráfego está a passar entre as redes. Crie regras de firewall de VPC que permitam (ou recusem) o tráfego entre as redes em peering e ative o registo de regras de firewall para essas regras. Em seguida, pode ver que regras de firewall foram atingidas através do Cloud Logging.

Atualize uma ligação de intercâmbio

Quando atualiza uma ligação de intercâmbio da rede da VPC existente, pode fazer o seguinte:

• Altere se a sua rede VPC exporta ou importa trajetos personalizados ou trajetos de sub-rede IPv4 públicos usados de forma privada para ou a partir da rede VPC de pares.
• Atualize uma associação de peering existente para ativar ou desativar a troca de rotas IPv6 entre as redes em peering.
• Altere a estratégia de atualização da ligação de peering de INDEPENDENT (predefinição) para CONSENSUS. A alteração da estratégia de atualização de CONSENSUS para INDEPENDENT não é suportada.

A sua rede importa encaminhamentos apenas se a rede de pares também exportar os encaminhamentos e a rede de pares receber encaminhamentos apenas se os importar.

Atualize uma associação

gcloud compute networks peerings update PEERING_NAME \
    --network=NETWORK \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--export-subnet-routes-with-public-ip] \
    [--import-subnet-routes-with-public-ip]

Altere a estratégia de atualização predefinida

Para alterar a estratégia de atualização de uma ligação de intercâmbio de rede de INDEPENDENT (predefinição) para CONSENSUS, tem de atualizar os lados local e de intercâmbio de rede da ligação. Antes de alterar a estratégia de atualização, certifique-se de que a configuração de ambos os lados corresponde. Se algum valor não corresponder, atualize-o previamente ou como parte do pedido de atualização que altera a estratégia de atualização da associação.

Liste as associações de peering

Liste as associações de peering existentes para ver o respetivo estado e se estão a importar ou exportar rotas personalizadas.

gcloud compute networks peerings list

Veja uma ligação de peering

gcloud beta compute networks describe NETWORK

Liste rotas de peering

gcloud compute networks peerings list-routes PEERING_NAME \
    --network=NETWORK \
    --region=REGION \
    --direction=DIRECTION

Elimine uma ligação de intercâmbio

A forma como elimina uma ligação de intercâmbio de rede VPC depende da estratégia de atualização da ligação:

• Se a estratégia de atualização estiver definida como INDEPENDENT (predefinição), o utilizador ou um administrador de rede da rede VPC de pares pode eliminar a ligação em qualquer altura. Consulte o artigo Elimine uma associação (independente).
• Se a estratégia de atualização estiver definida como CONSENSUS, tanto o utilizador como um administrador de rede da rede VPC de pares têm de enviar um pedido de eliminação antes de a ligação poder ser eliminada. Consulte o artigo Elimine uma associação (consenso).

Quando uma configuração de intercâmbio é eliminada na sua rede, a ligação de intercâmbio torna-se INACTIVE na outra rede e todas as rotas partilhadas entre as redes são removidas.

Elimine uma associação (independente)

Para eliminar uma ligação de intercâmbio configurada com a estratégia de atualização predefinida (INDEPENDENT), faça o seguinte.

gcloud compute networks peerings delete PEERING_NAME \
    --network=NETWORK

Elimine uma associação (consenso)

Para eliminar uma associação de peering configurada com a CONSENSUSestratégia de atualização, faça o seguinte.

Resolução de problemas

As secções seguintes descrevem como resolver problemas com a interligação de redes VPC.

Não é possível alcançar as VMs de pares

Depois de a ligação de peering estar ATIVA, pode demorar até um minuto para que todos os fluxos de tráfego sejam configurados entre as redes em peering. Este tempo depende da dimensão das redes que estão a estabelecer relações de intercâmbio. Se configurou recentemente a ligação de peering, aguarde até um minuto e tente novamente. Além disso, certifique-se de que não existem regras de firewall a bloquear o acesso a/de CIDRs de sub-redes da rede VPC de pares.

Os trajetos personalizados estão em falta

Esta secção descreve como resolver problemas de rotas personalizadas em falta.

Verifique o estado da ligação de peering

Para verificar o estado da sua ligação de peering, faça o seguinte:

1. Listar associações de peering.
2. Identifique a associação de pares a resolver e reveja o respetivo estado de associação de pares.
   1. Se o estado for ACTIVE, siga os passos na secção seguinte.
   2. Se o estado de peering for INACTIVE, um administrador de rede da outra rede tem de criar uma configuração de peering para a sua rede VPC.

Resolva problemas de ligação ACTIVE

Para resolver problemas de rotas personalizadas em falta numa ligação de peering do ACTIVE:

1. Indique os trajetos de intercâmbio na sua rede VPC. No separador Rotas eficazes, faça o seguinte:

   1. Tenha em atenção que as regiões nas quais as rotas dinâmicas são programadas dependem do modo de encaminhamento dinâmico da rede VPC que exporta rotas personalizadas. Para mais detalhes, consulte o artigo Efeitos do modo de encaminhamento dinâmico. No modo de encaminhamento dinâmico global, apenas a rota dinâmica com a classificação mais elevada é programada em regiões que não correspondem à região do próximo salto.

   2. Clique no botão Mostrar trajetos suprimidos para o ativar e, de seguida, procure o seu trajeto. Para ver o motivo pelo qual uma rota foi suprimida, posicione o ponteiro do rato sobre o ícone na coluna Estado. Trusted Cloud oferece resolução de conflitos de rotas com base em regiões na rede VPC que importa rotas através da interligação de redes VPC.

   3. Procure um aviso que indique que a sua rede VPC atingiu o limite de rotas dinâmicas por região por quota de grupo de peering. Se a sua rede VPC tiver atingido o limite desta quota, uma ou mais rotas dinâmicas de peering não são programadas. Uma vez que não é possível mostrar exatamente que rotas dinâmicas de peering não estão programadas, peça um aumento do limite de quota para as rotas dinâmicas por região por quota de grupo de peering.

2. Se ainda não vir o trajeto esperado, faça o seguinte:

   1. Reveja a configuração da interligação e atualize-a, se necessário, para que importe rotas personalizadas.

   2. Certifique-se de que a rota não é um dos seguintes tipos de rotas que não podem ser trocados através da interligação de redes VPC:

      • As sub-redes de intercâmbio, as rotas estáticas de intercâmbio e as rotas dinâmicas de intercâmbio numa rede da VPC com intercâmbio que são recebidas das respetivas outras redes de pares não podem ser trocadas com a sua rede da VPC através do intercâmbio das redes da VPC.

      • As rotas estáticas que usam o salto seguinte do gateway de Internet predefinido e as rotas estáticas com etiquetas de rede não podem ser trocadas através da interligação de redes VPC.

      Para mais informações, consulte as Opções de troca de rotas.

   3. Peça a um administrador de rede da rede de VPC com intercâmbio:

      1. Liste os trajetos na respetiva rede VPC e procure o trajeto que espera.

      2. Reveja a configuração de peering e atualize-a, se necessário, para que exporte rotas personalizadas.

O tráfego destinado a uma rede de pares está a ser ignorado

Pode usar os Connectivity Tests para ajudar a determinar o motivo pelo qual o tráfego destinado a uma rede de pares está a ser rejeitado. Se o tráfego deve ser enviado através de rotas personalizadas, consulte o artigo Faltam rotas personalizadas.

O tráfego está a ser enviado para um próximo salto inesperado

Pode usar os Connectivity Tests para ajudar a determinar por que motivo o tráfego está a ser enviado para um salto seguinte inesperado. Se o tráfego deve ser enviado através de rotas personalizadas, consulte o artigo Faltam rotas personalizadas.

Não é possível estabelecer intercâmbio com uma rede da VPC específica

Se não conseguir criar uma configuração de peering com determinadas redes VPC, uma política da organização pode estar a restringir as redes VPC com as quais a sua rede pode estabelecer peering. Na política da organização, adicione a rede à lista de pares permitidos ou contacte o administrador da sua organização. Para mais informações, consulte a restrição constraints/compute.restrictVpcPeering.

As rotas IPv6 não são trocadas

Primeiro, verifique se a sua ligação de peering e a ligação de peering da rede VPC com peering têm os respetivos tipos de pilha definidos como IPV4_IPV6. Se necessário:

• Atualize a ligação de peering para definir o respetivo tipo de pilha como IPV4_IPV6.
• Peça a um administrador de rede da VPC com peering que atualize a respetiva ligação de peering, definindo o tipo de pilha como IPV4_IPV6.

Depois de os tipos de pilha de ambas as ligações de peering serem definidos como IPV4_IPV6, são trocadas as rotas de sub-rede IPv6 (internas e externas). Os encaminhamentos de sub-redes IPv6 são únicos entre todas as redes VPC. Trusted Cloud

Para trocar encaminhamentos personalizados IPv6:

• Atualize a sua ligação de peering para importar e exportar encaminhamentos personalizados.
• Peça a um administrador de rede da VPC com peering que atualize a respetiva ligação de peering para importar e exportar rotas personalizadas.

O que se segue?

• Para mais informações sobre o encaminhamento de VPC, consulte o artigo Rotas.
• Para ver os limites relacionados com o intercâmbio da rede da VPC, consulte o artigo Limites do intercâmbio da rede da VPC.
• Para ver informações sobre como usar um Network Load Balancer de encaminhamento interno como o próximo salto para uma rota estática personalizada, consulte o artigo Use um Network Load Balancer de encaminhamento interno como um próximo salto.