设置 Google Cloud 以与您的 Bare Metal 解决方案环境搭配使用

当裸金属解决方案环境准备就绪后，Google Cloud 会通知您。该通知包含新服务器的内部 IP 地址。

以下说明介绍如何执行以下任务，这些任务需要连接到裸金属解决方案环境：

• 为裸金属解决方案环境创建冗余 VLAN 连接。
• 在您的 VPC 网络中创建一个跳转主机虚拟机实例。
• 使用 SSH 或 RDP 从该跳转主机虚拟机实例登录您的裸金属解决方案服务器。

连接到服务器后，验证裸金属解决方案订单的配置。

准备工作

要连接到和配置裸金属解决方案环境，您需要：

• 启用了结算功能的 Google Cloud 项目。您可以在 Google Cloud 控制台中的项目选择器页面上创建项目。
• Virtual Private Cloud (VPC) 网络。这是您订购裸金属解决方案时命名的 VPC 网络。如果您需要创建 VPC 网络，请参阅使用 VPC 网络。
• 裸金属解决方案准备就绪后 Google Cloud 提供的以下信息：
  • Bare Metal 服务器的 IP 地址。
  • 每台 Bare Metal 服务器的临时密码。

为 Cloud Interconnect 连接创建 VLAN 连接

如需访问裸金属解决方案服务器，您需要在服务器所在的区域中创建和设置 VLAN 连接（也称为 InterconnectAttachments）。VLAN 连接是 Cloud Interconnect 中的逻辑对象，用于将您的裸金属解决方案环境连接到 Google Cloud。

我们建议以冗余对的形式创建 VLAN 连接，以实现高可用性。 一对主 VLAN 连接和辅助 VLAN 连接分别在单独的 EAD（边缘可用性网域）中预配，位于单独的硬件和物理机架中。这可确保在维护等事件期间实现高可用性。

单个 VLAN 连接支持的最高速度为 10 Gbps。一对 VLAN 连接（即主 VLAN 连接和辅助 VLAN 连接）支持的最高速度为 20 Gbps。如需在裸金属解决方案环境和 VPC 网络之间实现更高的吞吐量，您可以配置多个 VLAN 连接对。

如需让某个 VLAN 连接优先于其他连接，您可以在 Cloud Router 上更新路由基准优先级。

创建 VLAN 连接后，您需要预先激活这些连接，并将其添加到裸金属解决方案 VRF。如需创建和设置 VLAN 连接，请按以下步骤操作：

您可以在 Cloud 控制台中查看 Cloud Router 和通告路由的状态。如需了解详情，请参阅查看路由器状态和通告路由。

设置裸金属解决方案和 Google Cloud 之间的路由

您的 VLAN 连接激活后，您的 BGP 会话就会启动，Bare Metal Solution 环境的路由会通过 BGP 会话接收。

为 BGP 会话添加一个默认 IP 范围的自定义通告路由

如需为来自裸金属解决方案环境的流量设置路由，建议您在 BGP 会话上将默认路由的自定义通告路由（例如 0.0.0.0/0）添加到裸金属解决方案环境。

如需在现有 BGP 会话中指定通告，请执行以下操作：

gcloud compute routers update-bgp-peer router-name \
   --peer-name bgp-session-name \
   --advertisement-mode custom \
   --set-advertisement-ranges 0.0.0.0/0

gcloud compute routers update-bgp-peer router-name \
   --peer-name bgp-session-name \
   --add-advertisement-ranges 0.0.0.0/0

（可选）将 VPC 网络动态路由模式设置为 global

如果您在两个不同区域中存在裸金属解决方案服务器，请考虑在 VPC 网络上启用全局路由模式，以使您的裸金属解决方案区域直接通过 VPC 网络相互通信。

还需要全局路由模式，以在连接到一个 Google Cloud 区域的本地环境和另一个 Google Cloud 区域的裸金属解决方案环境之间进行通信。

如需设置全局路由模式，请参阅设置 VPC 网络动态路由模式。

VPC 防火墙设置

新的 VPC 网络具有活跃的默认防火墙规则，用于限制 VPC 网络中的大多数流量。

要连接到裸金属解决方案环境，必须在以下各项之间启用网络流量：

• 裸金属解决方案环境和 Google Cloud 上的网络目标。
• 您的本地环境和 Google Cloud 上的资源，例如可用于连接到裸金属解决方案环境的任何跳转主机虚拟机实例。

在裸金属解决方案环境中，如果您需要控制 Bare Metal 服务器之间或 Google Cloud 上的服务器和目的地之间的网络流量，则需要自行实现控制机制。

如需在 Google Cloud 的 VPC 网络中创建防火墙规则，请执行以下操作：

gcloud compute firewall-rules create rule-name \
    --project=your-project-id \
    --direction=INGRESS \
    --priority=1000 \
    --network=your-network-name \
    --action=ALLOW \
    --rules=protocol:port \
    --source-ranges=ip-range \
    --target-tags=instance-network-tag

如需详细了解如何创建防火墙规则，请参阅创建防火墙规则。

连接到 Bare Metal 服务器

裸金属解决方案环境中的服务器不会预配外部 IP 地址。

在创建防火墙规则以允许流量从裸金属解决方案环境进入您的 VPC 网络后，您可以使用跳转主机虚拟机实例连接到服务器。

在 Google Cloud 上创建跳转主机虚拟机实例

如需快速连接到您的 Bare Metal 服务器，请创建一个 Compute Engine 虚拟机 (VM) 作为 Jump 主机。在与裸金属解决方案环境相同的 Google Cloud 区域中创建虚拟机。

如果您需要更安全的连接方法，请参阅使用堡垒主机进行连接。

如需创建跳转主机虚拟机实例，请根据您在裸金属解决方案环境中使用的操作系统选择以下说明。

如需详细了解如何创建 Compute Engine 虚拟机实例，请参阅创建和启动虚拟机实例。

首次登录裸金属解决方案服务器

设置对公共互联网的访问权限

裸金属解决方案不提供互联网接入。您可以根据业务要求、现有基础架构等各种因素，从以下方法中选择一种来设置访问权限：

• 使用 Compute Engine 虚拟机作为代理虚拟机服务器访问互联网。

• 通过充当代理服务器的 Compute Engine 虚拟机路由流量。

  您可以通过以下方式使用 Compute Engine 虚拟机来路由流量：

  • 方法 1：使用 Compute Engine 虚拟机和 Cloud NAT 访问互联网。
  • 方法 2：使用冗余的 Compute Engine 虚拟机、Cloud NAT、内部直通式网络负载平衡器和基于政策的路由访问互联网。
  • 方法 3：在单独的 VPC 中使用冗余的 Compute Engine 虚拟机、Cloud NAT、内部直通式网络负载平衡器和基于政策的路由访问互联网。

• 通过 Cloud VPN 或专用互连将流量路由到本地网关，再到互联网。

使用 Compute Engine 虚拟机和 Cloud NAT 访问互联网

以下说明介绍了如何在 Compute Engine 虚拟机上设置 NAT 网关，以将裸金属解决方案环境中的服务器连接到互联网，用于接收软件更新。

这些说明使用 VPC 网络的默认互联网网关访问互联网。

以下说明中显示的 Linux 命令适用于 Debian 操作系统。如果您使用不同的操作系统，则需要使用的命令也可能不同。

在裸金属解决方案环境使用的 VPC 网络中，执行以下步骤：

1. 打开 Cloud Shell：

   转到 Cloud Shell

2. 创建并配置 Compute Engine 虚拟机以充当 NAT 网关。

   1. 创建一个虚拟机：

      gcloud compute instances create instance-name \
        --machine-type=machine-type-name \
        --network vpc-network-name \
        --subnet=subnet-name \
        --can-ip-forward \
        --zone=your-zone \
        --image-family=os-image-family-name \
        --image-project=os-image-project \
        --tags=natgw-network-tag \
        --service-account=optional-service-account-email
      

      在后续步骤中，您将使用在此步骤中定义的网络标记来将流量路由到此虚拟机。

      如果您未指定服务账号，请移除 --service-account= 标志。Compute Engine 使用项目的默认服务账号。

   2. 创建 Cloud NAT 以便虚拟机访问互联网

      如需了解如何为虚拟机创建 Cloud NAT，请参阅此处

   3. 通过 SSH 连接到 NAT 网关虚拟机并配置 iptables：

      $ sudo sysctl -w net.ipv4.ip_forward=1

      $ sudo iptables -t nat -A POSTROUTING \
         -o $(/bin/ip -o -4 route show to default | awk '{print $5}') -j MASQUERADE
      

      第一条 sudo 命令告诉内核，您希望允许 IP 转发。第二条 sudo 命令伪装从内部实例接收到的数据包，就像这些数据包是从 NAT 网关实例发送的一样。

   4. 检查 iptables：

      $ sudo iptables -v -L -t nat

   5. 要在重新启动后保留 NAT 网关设置，请在 NAT 网关虚拟机上执行以下命令：

      $ sudo -i
      

      $ echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/70-natgw.conf
      

      $ apt-get install iptables-persistent
      

      $ exit
      

3. 在 Cloud Shell 中，创建通往 0.0.0.0/0 的路由，其中使用默认互联网网关作为下一个跃点。指定您在上一步的 --tags 参数中定义的网络标记。为路由分配高于任何其他默认路由的优先级。

   gcloud compute routes create default-internet-gateway-route-name \
       --destination-range=0.0.0.0/0 \
       --network=network-name \
       --priority=default-igw-route-priority \
       --tags=natgw-network-tag,default-igw-tags \
       --next-hop-gateway=default-internet-gateway
   

   natgw-network-tag 应与第 2 步中标记的 natgw-vm 相同。您在第 2 步中创建的 natvm 将使用默认的互联网网关访问互联网。

4. 将刚创建的网络标记 (default-igw-tags) 添加到 VPC 网络中需要访问互联网的任何现有虚拟机，以便在创建裸金属解决方案服务器也可以使用的新默认路由后，它们可以继续访问互联网。

5. 可选：移除您在上一步中创建的路由之前存在的互联网路由，包括默认情况下创建的路由。

6. 确认您网络中的任何现有虚拟机和 NAT 网关虚拟机都可以通过从每个虚拟机 ping 某个外部 IP 地址（如 8.8.8.8、Google DNS）来访问互联网。

7. 创建通往 0.0.0.0/0 的默认路由，其中将 NAT 网关虚拟机用作下一个跃点。将该路由的优先级设置为低于为创建的第一个路由指定的优先级。

   gcloud compute routes create natgw-route-name \
       --destination-range=0.0.0.0/0 \
       --network=network-name \
       --priority=natgw-route-priority \
       --next-hop-instance=natgw-vm-name \
       --next-hop-instance-zone=natgw-vm-zone
   

8. 登录裸金属解决方案服务器，并 ping 外部 IP 地址，以确认它们可以访问互联网。

   如果 ping 失败，请确保您已创建允许从裸金属解决方案环境访问您的 VPC 网络的防火墙规则。

使用冗余的 Compute Engine 虚拟机、Cloud NAT、内部直通式网络负载平衡器和基于政策的路由访问互联网

本部分介绍了如何设置内部直通网络负载平衡器，并将 Compute Engine 虚拟机和 Cloud NAT 配置为后端。基于政策的路由会将互联网流量转发到内部直通式网络负载平衡器的前端。

下图展示了此设置。

在裸金属解决方案环境的 VPC 网络中，执行以下步骤：

1. 创建并配置 Compute Engine 虚拟机和 Cloud NAT 以充当 NAT 网关。 完成方法 1：使用单个 Compute Engine 虚拟机和 Cloud NAT 中所述的步骤。

   轻量级 HTTP 服务器可用于为内部直通式网络负载平衡器执行健康检查。

   
   # Installing http server
   
   sudo yum install httpd
   sudo systemctl restart httpd
   
   # Testing
   
   curl http://127.0.0.1:80
   
   
   

2. 创建实例组。

   gcloud compute instance-groups unmanaged create INSTANCE_GROUP_NAME --project=PROJECT_ID --zone=ZONE
   

   替换以下内容：

   • INSTANCE_GROUP_NAME：实例组的名称
   • PROJECT_ID：项目的 ID
   • ZONE：要在其中创建实例组的区域

3. 将虚拟机添加到实例组。

   gcloud compute instance-groups unmanaged add-instances INSTANCE_GROUP_NAME --project=PROJECT_ID --zone=ZONE --instances=VM_NAME
   

   替换以下内容：

   • INSTANCE_GROUP_NAME：实例组的名称
   • PROJECT_ID：项目的 ID
   • ZONE：要在其中创建实例组的区域
   • VM_NAME：虚拟机的名称

4. 创建内部直通式网络负载平衡器：

   开始配置

   1. 在 Google Cloud 控制台中，转到负载均衡页面。

      转到“负载均衡”

   2. 点击创建负载均衡器。
   3. 对于负载均衡器的类型，选择网络负载均衡器 (TCP/UDP/SSL)，然后点击下一步。
   4. 对于代理或直通，选择直通式负载均衡器，然后点击下一步。
   5. 在公共或内部字段中，选择内部，然后点击下一步。
   6. 点击配置。

   基本配置

   1. 设置负载平衡器名称。
   2. 选择区域。
   3. 选择网络。

   配置后端和前端

   1. 点击后端配置 并进行以下更改：

      1. 如需添加后端，请执行以下操作：
         1. 在新后端下，如需仅处理 IPv4 流量，请选择 IP 栈类型作为 IPv4（单栈）。
         2. 选择您的实例组，然后点击完成。

      2. 选择一项健康检查。您还可以创建健康检查，输入以下信息，然后点击保存：

         • 名称：输入健康检查的名称。
         • 协议：HTTP
         • 端口：80
         • 代理协议：NONE
         • 请求路径：/

   2. 点击前端配置。在新建前端 IP 和端口部分，进行以下更改：

      1. 端口：选择全部，然后输入 80,8008,8080,8088 作为端口号。
      2. 点击完成。

   3. 点击检查并最终确定。

   4. 查看负载均衡器配置设置。

   5. 点击创建。

5. 为互联网创建基于政策的路由。

   gcloud network-connectivity policy-based-routes create ROUTE_NAME \
    --source-range=SOURCE_RANGE \
    --destination-range=0.0.0.0/0 \
    --ip-protocol=ALL \
    --network="projects/PROJECT_ID/global/networks/NETWORK" \
    --next-hop-ilb-ip=NEXT_HOP \
    --description="DESCRIPTION" \
    --priority=PRIORITY \
    --interconnect-attachment-region=REGION
   

   替换以下内容：

   • ROUTE_NAME：基于政策的路由的名称
   • SOURCE_RANGE：来源 IP CIDR 范围。在本例中，这是裸金属解决方案 IP 地址。
   • PROJECT_ID：项目的 ID
   • NETWORK：要应用基于政策的路由的网络
   • NEXT_HOP：路由的下一个跃点的 IPv4 地址。在本例中，这是内部直通式网络负载平衡器前端的 IP 地址。
   • DESCRIPTION：路由的说明
   • PRIORITY：基于政策的路由与其他基于政策的路由相比的优先级
   • REGION：VLAN 连接的区域

6. 创建基于政策的路由，以跳过适用于本地子网和本地子网的基于政策的互联网路由。

    gcloud network-connectivity policy-based-routes create ROUTE_NAME \
    --source-range=SOURCE_RANGE/32 \
    --destination-range=DESTINATION_RANGE \
    --ip-protocol=ALL \
    --network="projects/PROJECT_ID/global/networks/VPC_NAME" \
    --next-hop-other-routes="DEFAULT_ROUTING" \
    --description="DESCRIPTION" \
    --priority=PRIORITY \
    --interconnect-attachment-region=REGION
   

   替换以下内容：

   • ROUTE_NAME：基于政策的路由的名称
   • SOURCE_RANGE：来源 IP CIDR 范围。在本例中，这是裸金属解决方案 IP 地址。
   • DESTINATION_RANGE：目标 IP CIDR 范围。在本例中，这是本地子网或本地子网。
   • PROJECT_ID：项目的 ID
   • VPC_NAME：VPC 网络的名称
   • DESCRIPTION：路由的说明
   • PRIORITY：基于政策的路由与其他基于政策的路由相比的优先级。此基于政策的路由的优先级必须小于或等于互联网的基于政策的路由。
   • REGION：VLAN 连接的区域

7. 更新防火墙，以允许虚拟机上的 HTTP 端口 80。

   如果您不更新防火墙，健康检查可能会失败。

在单独的 VPC 中使用冗余的 Compute Engine 虚拟机、Cloud NAT、内部直通式网络负载平衡器和基于政策的路由访问互联网

如果您不想为本地子网添加基于政策的路由，可以使用此方法访问互联网。不过，若要使用此方法，您需要创建 VLAN 连接和 VPC 来连接裸金属解决方案。

下图展示了此设置。

请按照以下步骤操作：

1. 为互联网创建 VPC 网络。

   gcloud compute networks create NETWORK --project=PROJECT_ID --subnet-mode=custom --mtu=MTU --bgp-routing-mode=regional
   

   替换以下内容：

   • NETWORK：VPC 网络的名称。
   • PROJECT_ID：项目的 ID
   • MTU：最大传输单元 (MTU)，即该网络的最大数据包大小

2. 创建子网。

   gcloud compute networks subnets create SUBNET_NAME --project=PROJECT_ID --range=RANGE --stack-type=IPV4_ONLY --network=NETWORK --region=REGION
   

   替换以下内容：

   • SUBNET_NAME：子网的名称
   • PROJECT_ID：项目的 ID
   • RANGE：为此子网分配的 IP 地址空间（采用 CIDR 格式）
   • NETWORK：子网所属的 VPC 网络
   • REGION：子网的区域

3. 创建两个 Cloud Router 路由器以实现冗余和通告。

   gcloud compute routers create ROUTER_NAME --project=PROJECT_ID --region=REGION --network=NETWORK --advertisement-mode=custom --set-advertisement-ranges=0.0.0.0/0
   

   替换以下内容：

   • ROUTER_NAME：路由器的名称
   • PROJECT_ID：项目的 ID
   • REGION：路由器所在的区域
   • NETWORK：此路由器的 VPC 网络

4. 创建四个 VLAN 连接，每个 Cloud Router 路由器两个。

   如需了解相关说明，请参阅创建 VLAN 连接。

5. VLAN 连接处于活跃状态后，请按照方法 2：使用冗余的 Compute Engine 虚拟机、Cloud NAT、内部直通式网络负载平衡器和基于政策的路由中的步骤配置互联网基础架构。不过，对于此设置，请勿为本地流量配置基于政策的路由。仅在 VPC 网络的路由表中为互联网创建基于政策的路由。

设置对 Google Cloud API 和服务的访问权限

裸金属解决方案不提供对 Google Cloud 服务的访问权限。您可以根据各种因素（包括业务要求和现有基础架构）选择访问权限实现方式。

您可以从裸金属解决方案环境以私密方式访问 Google Cloud API 和服务。

您可以在裸金属解决方案环境中设置对 Google Cloud API 和服务的私有访问权限，就像在本地环境中一样。

按照为本地主机配置专用 Google 访问通道中针对本地环境的说明执行操作。

这些说明将指导您完成以下简要步骤：

1. 为 Google API 流量配置路由。
2. 配置裸金属解决方案 DNS，以将作为 CNAME 的 *.googleapis.com 解析为 restricted.googleapis.com。

后续步骤

设置 Bare Metal 解决方案环境后，您可以安装工作负载。

如果您计划在裸金属解决方案环境中的服务器上运行 Oracle 数据库，则可以使用开源的 Bare Metal 解决方案工具包来安装 Oracle 软件。