Configurer Google Cloud pour qu'il fonctionne avec l'environnement de votre solution Bare Metal

Lorsque l'environnement de votre solution Bare Metal est prêt, vous en êtes averti par Google Cloud. La notification inclut les adresses IP internes de vos nouveaux serveurs.

Ces instructions vous montrent comment effectuer les tâches suivantes requises pour la connexion à votre environnement de solution Bare Metal :

• Créez des rattachements de VLAN redondants dans l'environnement de solution Bare Metal.
• Créez une instance de VM hôte intermédiaire dans votre réseau VPC.
• Connectez-vous à vos serveurs de solution Bare Metal à partir de l'instance de VM de l'hôte intermédiaire à l'aide de SSH ou de RDP.

Une fois que vous êtes connecté à vos serveurs, validez la configuration de votre commande de solution Bare Metal.

Avant de commencer

Pour vous connecter à l'environnement de votre solution Bare Metal et le configurer, vous avez besoin des éléments suivants :

• Un projet Google Cloud avec facturation activée. Vous pouvez créer un projet sur la page de sélection de projet de la console Google Cloud.
• Un réseau cloud privé virtuel (VPC). Il s'agit du réseau VPC que vous avez nommé lorsque vous avez commandé votre solution Bare Metal. Si vous devez créer le réseau VPC, consultez la section Utiliser des réseaux VPC.
• Les informations suivantes qui vous sont fournies par Google Cloud lorsque votre solution Bare Metal est prête :
  • Les adresses IP de vos serveurs Bare Metal.
  • Mots de passe temporaires pour chacun de vos serveurs Bare Metal.

Créer des rattachements de VLAN pour la connexion Cloud Interconnect

Pour accéder à votre serveur de solution Bare Metal, vous devez créer et configurer des rattachements de VLAN (également appelés InterconnectAttachments) dans la même région que votre serveur. Un VLAN est un objet logique dans Cloud Interconnect qui permet de connecter votre environnement de solution Bare Metal à Google Cloud.

Nous vous recommandons de créer des rattachements de VLAN en paires redondantes pour assurer une haute disponibilité. Le rattachement de VLAN principal et le rattachement de VLAN secondaire d'une paire sont chacun provisionnés dans un domaine de disponibilité de périphérie (EAD) distinct dans des racks physiques et matériels distincts. Cela garantit une haute disponibilité lors d'événements tels que la maintenance.

Un seul rattachement de VLAN accepte une vitesse maximale de 10 Gbit/s. Une paire de rattachements de VLAN (c'est-à-dire les rattachements de VLAN primaire et secondaire) peut prendre en charge une vitesse maximale de 20 Gbit/s. Pour obtenir un débit plus élevé entre votre environnement de solution Bare Metal et votre réseau VPC, vous pouvez configurer plusieurs paires de rattachements VLAN.

Pour privilégier un rattachement de VLAN par rapport aux autres, vous pouvez mettre à jour la priorité de base des routes sur le routeur Cloud Router.

Après avoir créé les rattachements de VLAN, vous devez les pré-activer et les ajouter à la VRF de votre solution Bare Metal. Pour créer et configurer vos rattachements de VLAN, procédez comme suit:

Vous pouvez vérifier l'état des Cloud Routers et des routes annoncées dans la console Cloud. Pour en savoir plus, consultez la section Afficher l'état des routeurs et des routes annoncées.

Configurer le routage entre la solution Bare Metal et Google Cloud

Dès que vos rattachements de VLAN sont actifs, vos sessions BGP arrivent à destination et les routes de l'environnement de la solution Bare Metal sont reçues sur les sessions BGP.

Ajouter une route annoncée personnalisée pour une plage d'adresses IP par défaut à vos sessions BGP

Pour configurer le routage du trafic à partir de l'environnement de la solution Bare Metal, nous vous recommandons d'ajouter une route annoncée personnalisée d'un routage par défaut, telle que 0.0.0.0/0, dans vos sessions BGP vers l'environnement de solution Bare Metal.

Pour spécifier des annonces sur une session BGP existante, procédez comme suit :

gcloud compute routers update-bgp-peer router-name \
   --peer-name bgp-session-name \
   --advertisement-mode custom \
   --set-advertisement-ranges 0.0.0.0/0

gcloud compute routers update-bgp-peer router-name \
   --peer-name bgp-session-name \
   --add-advertisement-ranges 0.0.0.0/0

Vous pouvez également définir le mode de routage dynamique du réseau VPC sur global.

Si vous disposez de serveurs de solution Bare Métal dans deux régions différentes, envisagez d'activer le mode de routage global sur le réseau VPC pour que vos régions de la solution Bare Metal s'adressent directement les unes aux autres via le réseau VPC.

Le mode de routage global est également nécessaire pour permettre les communications entre un environnement sur site connecté à une région Google Cloud et un environnement de solution Bare Metal dans une autre région.

Pour définir le mode de routage global, consultez la section Définir le mode de routage dynamique d'un réseau VPC.

Configuration du pare-feu VPC

Les nouveaux réseaux VPC sont soumis à des règles de pare-feu par défaut actives qui restreignent la majeure partie du trafic au sein du réseau VPC.

Pour se connecter à l'environnement de votre solution Bare Metal, le trafic réseau doit être activé entre :

• L'environnement de votre solution Bare Metal et vos destinations réseau sur Google Cloud.
• Votre environnement local et vos ressources sur Google Cloud, par exemple n'importe quelle instance de VM hôte intermédiaire que vous pouvez utiliser pour vous connecter à votre environnement de solution Bare S Metall.

Dans votre environnement de solution Bare Metal, si vous avez besoin de contrôler le trafic réseau entre les serveurs Bare Metal ou entre les serveurs et les destinations hors Google Cloud, vous devez mettre en œuvre vous-même un mécanisme de contrôle.

Pour créer une règle de pare-feu dans votre réseau VPC sur Google Cloud, procédez comme suit :

gcloud compute firewall-rules create rule-name \
    --project=your-project-id \
    --direction=INGRESS \
    --priority=1000 \
    --network=your-network-name \
    --action=ALLOW \
    --rules=protocol:port \
    --source-ranges=ip-range \
    --target-tags=instance-network-tag

Pour plus d'informations sur la création de règles de pare-feu, consultez la page Créer des règles de pare-feu.

Connexion à votre serveur Bare Metal

Les serveurs de l'environnement de votre solution Bare Metal ne disposent pas d'adresses IP externes.

Après avoir créé une règle de pare-feu pour autoriser le trafic dans votre réseau VPC à partir de l'environnement de la solution Bare Metal, vous pouvez vous connecter à votre serveur à l'aide d'une instance de VM hôte intermédiaire.

Créer une instance de VM hôte intermédiaire sur Google Cloud

Pour vous connecter rapidement à vos serveurs physiques, créez une machine virtuelle (VM) Compute Engine à utiliser comme hôte intermédiaire. Créez la VM dans la même région Google Cloud que votre environnement de solution Bare Metal.

Si vous avez besoin d'une méthode de connexion plus sécurisée, consultez la section Se connecter à l'aide d'un hôte bastion.

Pour créer une instance de VM hôte intermédiaire, suivez les instructions ci-dessous en fonction du système d'exploitation que vous utilisez dans votre environnement de solution Bare metal.

Pour plus d'informations sur la création d'instances de VM Compute Engine, consultez la section Créer et démarrer une instance de VM.

Se connecter pour la première fois à un serveur utilisant la solution Bare Metal

Configurer l'accès à l'Internet public

La solution Bare Metal ne dispose pas d'un accès à Internet. Vous pouvez choisir parmi les méthodes suivantes pour configurer l'accès en fonction de divers facteurs, y compris vos exigences métier et votre infrastructure existante:

• Accès à Internet à l'aide d'une VM Compute Engine en tant que serveur proxy

• Acheminer le trafic via une VM Compute Engine servant de serveur proxy.

  Vous pouvez utiliser une VM Compute Engine pour acheminer le trafic de différentes manières:

  • Méthode 1: Accédez à Internet à l'aide d'une VM Compute Engine et de Cloud NAT.
  • Méthode 2: Accédez à Internet à l'aide de VM Compute Engine redondantes, de Cloud NAT, d'un équilibreur de charge réseau passthrough interne et d'un routage basé sur des règles.
  • Méthode 3: Accédez à Internet à l'aide de VM Compute Engine redondantes, de Cloud NAT, d'un équilibreur de charge réseau passthrough interne et d'un routage basé sur des règles dans un VPC distinct.

• Acheminer le trafic via Cloud VPN ou l'interconnexion dédiée vers des passerelles sur site.

Accéder à Internet à l'aide d'une VM Compute Engine et de Cloud NAT

Les instructions ci-dessous permettent de configurer une passerelle NAT sur une VM Compute Engine afin de connecter les serveurs d'un environnement de solution Bare Metal à Internet pour leur permettre de recevoir des mises à jour logicielles.

Elles utilisent la passerelle Internet par défaut de votre réseau VPC pour accéder à Internet.

Les commandes Linux présentées dans les instructions ci-dessous concernent le système d'exploitation Debian. Si vous utilisez un autre système d'exploitation, les commandes à utiliser peuvent être différentes.

Dans le réseau VPC que vous utilisez avec votre environnement de solution Bare Metal, procédez comme suit :

1. Ouvrez Cloud Shell.

   Accéder à Cloud Shell

2. Créez et configurez une VM Compute Engine pour servir de passerelle NAT.

   1. Créez une VM :

      gcloud compute instances create instance-name \
        --machine-type=machine-type-name \
        --network vpc-network-name \
        --subnet=subnet-name \
        --can-ip-forward \
        --zone=your-zone \
        --image-family=os-image-family-name \
        --image-project=os-image-project \
        --tags=natgw-network-tag \
        --service-account=optional-service-account-email
      

      Lors des étapes suivantes, vous utiliserez le tag réseau que vous avez défini à cette étape pour acheminer le trafic vers cette VM.

      Si vous ne spécifiez pas de compte de service, supprimez l'option --service-account=. Compute Engine utilise le compte de service par défaut du projet.

   2. Créer un Cloud NAT pour l'accès Internet des VM

      Instructions pour créer un Cloud NAT pour la VM : ICI

   3. Connectez-vous en SSH à la VM de la passerelle NAT et configurez les règles iptables:

      $ sudo sysctl -w net.ipv4.ip_forward=1

      $ sudo iptables -t nat -A POSTROUTING \
         -o $(/bin/ip -o -4 route show to default | awk '{print $5}') -j MASQUERADE
      

      La première commande sudo indique au noyau que vous souhaitez autoriser le transfert IP. La seconde commande sudo fait passer les paquets reçus des instances internes pour des paquets envoyés depuis l'instance de passerelle NAT.

   4. Vérifiez les iptables :

      $ sudo iptables -v -L -t nat

   5. Pour conserver les paramètres de votre passerelle NAT lors d'un redémarrage, exécutez les commandes suivantes sur la VM de la passerelle NAT :

      $ sudo -i
      

      $ echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/70-natgw.conf
      

      $ apt-get install iptables-persistent
      

      $ exit
      

3. Dans Cloud Shell, créez une route vers 0.0.0.0/0 avec la passerelle Internet par défaut comme saut suivant. Spécifiez le tag réseau que vous avez défini à l'étape précédente pour l'argument --tags. Attribuez une priorité plus élevée à cette route qu'à n'importe quelle autre route par défaut.

   gcloud compute routes create default-internet-gateway-route-name \
       --destination-range=0.0.0.0/0 \
       --network=network-name \
       --priority=default-igw-route-priority \
       --tags=natgw-network-tag,default-igw-tags \
       --next-hop-gateway=default-internet-gateway
   

   natgw-network-tag doit être la même balise que celle attribuée à natgw-vm à l'étape 2. La VM NAT créée à l'étape 2 utilisera la passerelle Internet par défaut pour accéder à Internet.

4. Ajoutez le tag réseau (default-igw-tags) que vous venez de créer aux VM existantes de votre réseau VPC qui ont besoin d'accéder à Internet, afin qu'elles puissent continuer à accéder à Internet lorsque vous aurez créé une route par défaut que vos serveurs de solution Bare Metal peuvent également utiliser.

5. Facultatif : Supprimez les routes vers Internet qui existaient avant la route que vous avez créée à l'étape précédente, y compris celles créées par défaut.

6. Vérifiez que les VM existantes de votre réseau et la passerelle NAT peuvent accéder à Internet en pinguant une adresse IP externe, telle que 8.8.8.8, le DNS de Google, depuis chaque VM.

7. Créez une route par défaut vers 0.0.0.0/0 en utilisant la VM de passerelle NAT comme saut suivant. Attribuez à cette route une priorité inférieure à celle que vous avez spécifiée pour la première route que vous avez créée.

   gcloud compute routes create natgw-route-name \
       --destination-range=0.0.0.0/0 \
       --network=network-name \
       --priority=natgw-route-priority \
       --next-hop-instance=natgw-vm-name \
       --next-hop-instance-zone=natgw-vm-zone
   

8. Connectez-vous à vos serveurs de solution Bare Metal et pingez une adresse IP externe pour vérifier qu'ils peuvent accéder à Internet.

   Si le ping échoue, vérifiez que vous avez créé une règle de pare-feu qui autorise l'accès à votre réseau VPC depuis votre environnement de solution Bare Metal.

Accédez à Internet à l'aide de VM Compute Engine redondantes, de Cloud NAT, d'un équilibreur de charge réseau passthrough interne et d'un routage basé sur des règles.

Cette section explique comment configurer un équilibreur de charge réseau passthrough interne avec des VM Compute Engine et Cloud NAT configurés en tant que backend. Le routage basé sur des règles achemine le trafic Internet vers l'interface de l'équilibreur de charge réseau passthrough interne.

Le schéma suivant illustre cette configuration.

Dans le réseau VPC de votre environnement de solution Bare Metal, procédez comme suit:

1. Créez et configurez une VM Compute Engine et Cloud NAT pour servir de passerelle NAT. Suivez la procédure décrite dans la section Méthode 1: Utiliser une seule VM Compute Engine et Cloud NAT.

   Un serveur HTTP léger peut être utilisé pour effectuer une vérification de l'état de l'équilibreur de charge réseau passthrough interne.

   
   # Installing http server
   
   sudo yum install httpd
   sudo systemctl restart httpd
   
   # Testing
   
   curl http://127.0.0.1:80
   
   
   

2. Créer un groupe d'instances

   gcloud compute instance-groups unmanaged create INSTANCE_GROUP_NAME --project=PROJECT_ID --zone=ZONE
   

   Remplacez les éléments suivants :

   • INSTANCE_GROUP_NAME: nom du groupe d'instances.
   • PROJECT_ID : ID du projet
   • ZONE: zone dans laquelle créer le groupe d'instances

3. Ajoutez la VM au groupe d'instances.

   gcloud compute instance-groups unmanaged add-instances INSTANCE_GROUP_NAME --project=PROJECT_ID --zone=ZONE --instances=VM_NAME
   

   Remplacez les éléments suivants :

   • INSTANCE_GROUP_NAME: nom du groupe d'instances.
   • PROJECT_ID : ID du projet
   • ZONE: zone dans laquelle créer le groupe d'instances
   • VM_NAME : nom de la VM

4. Créez un équilibreur de charge réseau passthrough interne:

   Démarrer la configuration

   1. Dans Google Cloud Console, accédez à la page Équilibrage de charge.

      Accéder à la page "Équilibrage de charge"

   2. Cliquez sur Créer un équilibreur de charge.
   3. Sous Type d'équilibreur de charge, sélectionnez Équilibreur de charge réseau (TCP/UDP/SSL), puis cliquez sur Suivant.
   4. Pour Proxy ou passthrough, sélectionnez Équilibreur de charge passthrough, puis cliquez sur Suivant.
   5. Pour Public ou interne, sélectionnez Interne, puis cliquez sur Suivant.
   6. Cliquez sur Configurer.

   Configuration de base

   1. Définissez le nom de l'équilibreur de charge.
   2. Sélectionnez une Région.
   3. Sélectionnez un réseau.

   Configurer le backend et l'interface

   1. Cliquez sur Configuration du backend et apportez les modifications suivantes :

      1. Pour ajouter des backends, procédez comme suit :
         1. Sous Nouveau backend, pour gérer uniquement le trafic IPv4, sélectionnez le type de pile d'adresses IP comme IPv4 (pile unique).
         2. Sélectionnez votre groupe d'instances, puis cliquez sur OK.

      2. Sélectionnez une vérification de l'état. Vous pouvez également créer une vérification de l'état, saisir les informations suivantes, puis cliquer sur Enregistrer:

         • Nom: saisissez un nom pour la vérification de l'état.
         • Protocole : HTTP
         • Port : 80
         • Protocole de proxy : NONE
         • Chemin de requête : /

   2. Cliquez sur Configuration de l'interface. Dans la section Nouveaux IP et port d'interface, apportez les modifications suivantes :

      1. Ports: sélectionnez Tous et saisissez 80,8008,8080,8088 pour le numéro de port.
      2. Cliquez sur OK.

   3. Cliquez sur Vérifier et finaliser.

   4. Vérifiez les paramètres de configuration de votre équilibreur de charge.

   5. Cliquez sur Créer.

5. Créez une route basée sur des règles pour Internet.

   gcloud network-connectivity policy-based-routes create ROUTE_NAME \
    --source-range=SOURCE_RANGE \
    --destination-range=0.0.0.0/0 \
    --ip-protocol=ALL \
    --network="projects/PROJECT_ID/global/networks/NETWORK" \
    --next-hop-ilb-ip=NEXT_HOP \
    --description="DESCRIPTION" \
    --priority=PRIORITY \
    --interconnect-attachment-region=REGION
   

   Remplacez les éléments suivants :

   • ROUTE_NAME : nom de la route basée sur des règles
   • SOURCE_RANGE : plage CIDR de l'adresse IP source Dans ce cas, il s'agit de l'adresse IP de la solution Bare Metal.
   • PROJECT_ID : ID du projet
   • NETWORK: réseau auquel la route basée sur des règles est appliquée
   • NEXT_HOP: adresse IPv4 du saut suivant de la route. Dans ce cas, il s'agit de l'adresse IP de l'interface de l'équilibreur de charge réseau passthrough interne.
   • DESCRIPTION: description de l'itinéraire
   • PRIORITY : priorité de la route basée sur des règles par rapport aux autres routes basées sur des règles.
   • REGION: région du rattachement de VLAN

6. Créez une route basée sur des règles pour ignorer la route basée sur des règles Internet pour les sous-réseaux sur site et les sous-réseaux locaux.

    gcloud network-connectivity policy-based-routes create ROUTE_NAME \
    --source-range=SOURCE_RANGE/32 \
    --destination-range=DESTINATION_RANGE \
    --ip-protocol=ALL \
    --network="projects/PROJECT_ID/global/networks/VPC_NAME" \
    --next-hop-other-routes="DEFAULT_ROUTING" \
    --description="DESCRIPTION" \
    --priority=PRIORITY \
    --interconnect-attachment-region=REGION
   

   Remplacez les éléments suivants :

   • ROUTE_NAME : nom de la route basée sur des règles
   • SOURCE_RANGE : plage CIDR de l'adresse IP source Dans ce cas, il s'agit de l'adresse IP de la solution Bare Metal.
   • DESTINATION_RANGE: plage CIDR de l'adresse IP de destination Dans ce cas, il s'agit du sous-réseau sur site ou d'un sous-réseau local.
   • PROJECT_ID : ID du projet
   • VPC_NAME : nom du réseau VPC.
   • DESCRIPTION: description de l'itinéraire
   • PRIORITY : priorité de la route basée sur des règles par rapport aux autres routes basées sur des règles. La priorité de cette route basée sur des règles doit être inférieure ou égale à celle de la route basée sur des règles pour Internet.
   • REGION: région du rattachement de VLAN

7. Mettez à jour le pare-feu pour autoriser le port HTTP 80 sur la VM.

   La vérification de l'état peut échouer si vous ne mettez pas à jour le pare-feu.

Accéder à Internet à l'aide de VM Compute Engine redondantes, de Cloud NAT, d'un équilibreur de charge réseau passthrough interne et d'un routage basé sur des règles dans un VPC distinct

Si vous ne souhaitez pas ajouter de routes basées sur des règles pour les sous-réseaux locaux, vous pouvez utiliser cette méthode pour accéder à Internet. Toutefois, pour utiliser cette méthode, vous devez créer un rattachement de VLAN et un VPC pour connecter la solution Bare Metal.

Le schéma suivant illustre cette configuration.

Procédez comme suit :

1. Créez un réseau VPC pour Internet.

   gcloud compute networks create NETWORK --project=PROJECT_ID --subnet-mode=custom --mtu=MTU --bgp-routing-mode=regional
   

   Remplacez les éléments suivants :

   • NETWORK: nom du réseau VPC.
   • PROJECT_ID : ID du projet
   • MTU: unité de transmission maximale (MTU), qui est la plus grande taille de paquets du réseau

2. Créez un sous-réseau.

   gcloud compute networks subnets create SUBNET_NAME --project=PROJECT_ID --range=RANGE --stack-type=IPV4_ONLY --network=NETWORK --region=REGION
   

   Remplacez les éléments suivants :

   • SUBNET_NAME: nom du sous-réseau
   • PROJECT_ID : ID du projet
   • RANGE: espace IP alloué à ce sous-réseau au format CIDR
   • NETWORK: réseau VPC auquel le sous-réseau appartient
   • REGION : la région du sous-réseau.

3. Créez deux routeurs Cloud Router pour la redondance et les annonces.

   gcloud compute routers create ROUTER_NAME --project=PROJECT_ID --region=REGION --network=NETWORK --advertisement-mode=custom --set-advertisement-ranges=0.0.0.0/0
   

   Remplacez les éléments suivants :

   • ROUTER_NAME: nom du routeur
   • PROJECT_ID : ID du projet
   • REGION: région du routeur
   • NETWORK: réseau VPC de ce routeur

4. Créez quatre rattachements de VLAN, deux pour chaque Cloud Router.

   Pour en savoir plus, consultez la section Créer des rattachements de VLAN.

5. Une fois les rattachements de VLAN actifs, suivez la méthode 2: Utilisation de VM Compute Engine redondantes, de Cloud NAT, d'un équilibreur de charge réseau passthrough interne et de routage basé sur des règles pour configurer l'infrastructure Internet. Toutefois, pour cette configuration, ne configurez pas la route basée sur les règles pour le trafic local. Ne créez une route basée sur des règles que pour Internet dans une table de routage du réseau VPC.

Configurer l'accès aux API et aux services Google Cloud

La solution Bare Metal n'inclut pas d'accès aux services Google Cloud. Vous pouvez choisir comment mettre en œuvre l'accès en fonction de divers facteurs, comme les exigences de votre entreprise et l'infrastructure existante.

Vous pouvez accéder en privé aux API et aux services Google Cloud à partir de l'environnement de votre solution Bare Metal.

Vous configurez un accès privé aux API et services Google Cloud à partir d'un environnement de solution Bare Metal comme vous le feriez pour un environnement sur site.

Suivez les instructions pour les environnements sur site en consultant la section Configurer l'accès privé à Google pour les hôtes sur site.

Les instructions vous guident à travers les étapes majeures suivantes :

1. Configurer des routes pour le trafic des API Google
2. Configurer votre DNS de solution Bare Metal pour résoudre *.googleapis.com en tant que CNAME en restricted.googleapis.com.

Étape suivante

Une fois que vous avez configuré l'environnement de votre solution Bare Metal, vous pouvez installer vos charges de travail.

Si vous envisagez d'exécuter des bases de données Oracle sur les serveurs de votre environnement de solution Bare Metal, vous pouvez utiliser le kit de solution Bare Metal Open Source pour installer votre logiciel Oracle.