Crear y gestionar reglas de cortafuegos para redes de VPC RoCE

Consola

1. En la Google Cloud consola, ve a la página Redes de VPC.

   Ir a redes de VPC

2. Haz clic en Crear red VPC.

3. En el campo Nombre, introduce un nombre para la red.

4. En el campo Unidad máxima de transmisión (MTU), selecciona 8896.

5. Selecciona Configurar perfil de red y haz lo siguiente:

   1. En el campo Zona, selecciona la zona del perfil de red que quieras usar. La red de VPC que crees estará limitada a esta zona, lo que significa que solo podrás crear recursos en la red de esta zona.
   2. Selecciona el perfil de red RDMA de la zona que has seleccionado anteriormente, como europe-west1-b-vpc-roce.
   3. Para ver el conjunto de funciones admitidas del perfil de red que ha seleccionado, haga clic en Vista previa de las funciones del perfil de red.

6. En la sección Nueva subred, especifica los siguientes parámetros de configuración de una subred:

   1. En el campo Nombre, escribe el nombre de la subred.
   2. En el campo Región, selecciona la región en la que quieras crear la subred. Esta región debe corresponder a la zona del perfil de red que hayas configurado. Por ejemplo, si has configurado el perfil de red para europe-west1-b, debes crear la subred en europe-west1.

   3. Introduce un intervalo de IPv4. Este intervalo es el intervalo IPv4 principal de la subred.

      Si seleccionas un intervalo que no es una dirección RFC 1918, confirma que no entra en conflicto con ninguna configuración. Para obtener más información, consulta Intervalos de subred IPv4.

   4. Haz clic en Listo.

7. Para añadir más subredes, haz clic en Añadir subred y repite los pasos anteriores. También puedes añadir más subredes a la red después de crearla.

8. Haz clic en Crear.

gcloud

1. Para crear la red, usa el comando gcloud compute networks create y especifica la marca --network-profile.

     gcloud compute networks create NETWORK \
         --subnet-mode=custom \
         --network-profile=NETWORK_PROFILE
   

   Haz los cambios siguientes:

   • NETWORK: nombre de la red de VPC

   • NETWORK_PROFILE: nombre específico de la zona del perfil de red, como europe-west1-b-vpc-roce

     El perfil de red RDMA no está disponible en todas las zonas. Para ver las instancias específicas de la zona del perfil de red que están disponibles, sigue las instrucciones para listar perfiles de red.

2. Para añadir subredes, usa el comando gcloud compute networks subnets create.

     gcloud compute networks subnets create SUBNET \
         --network=NETWORK \
         --range=PRIMARY_RANGE \
         --region=REGION
   

   Haz los cambios siguientes:

   • SUBNET: nombre de la nueva subred
   • NETWORK: el nombre de la red de VPC que contiene la nueva subred
   • PRIMARY_RANGE: el intervalo IPv4 principal de la nueva subred, en notación CIDR. Para obtener más información, consulta la sección sobre los intervalos de subredes IPv4.
   • REGION: la región en la que se crea la nueva subred. Google Cloud Debe corresponder a la zona del perfil de red que hayas configurado. Por ejemplo, si has configurado el perfil de red en la zona europe-west1-b con el nombre europe-west1-b-vpc-roce, debes crear la subred en la región europe-west1.

API

1. Para crear la red, haz una solicitud POST al método networks.insert y especifica la propiedad networkProfile.

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks
   {
   "autoCreateSubnetworks": false,
   "name": "NETWORK",
   "networkProfile": "NETWORK_PROFILE"
   }
   

   Haz los cambios siguientes:

   • PROJECT_ID: el ID del proyecto en el que se crea la red VPC
   • NETWORK: nombre de la red de VPC

   • NETWORK_PROFILE: nombre específico de la zona del perfil de red, como europe-west1-b-vpc-roce

     El perfil de red RDMA no está disponible en todas las zonas. Para ver las instancias específicas de la zona del perfil de red que están disponibles, sigue las instrucciones para listar perfiles de red.

2. Para añadir subredes, haz una solicitud POST al método subnetworks.insert.

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
   {
   "ipCidrRange": "IP_RANGE",
   "network": "NETWORK_URL",
   "name": "SUBNET"
   }
   

   Haz los cambios siguientes:

   • PROJECT_ID: el ID del proyecto que contiene la red VPC que se va a modificar
   • REGION: el nombre de la región Google Cloud donde se añade la subred. Esta región debe corresponder a la zona del perfil de red que hayas configurado. Por ejemplo, si has configurado el perfil de red en la zona europe-west1-b con el nombre europe-west1-b-vpc-roce, debes crear la subred en la región europe-west1.
   • IP_RANGE: el intervalo de direcciones IPv4 principal de la subred. Para obtener más información, consulta la sección sobre los intervalos de subredes IPv4.
   • NETWORK_URL: la URL de la red VPC en la que vas a añadir la subred
   • SUBNET: nombre de la subred

gcloud

Para crear una política de cortafuegos de red regional para una red de VPC de RoCE, usa el comando gcloud beta compute network-firewall-policies create:

  gcloud beta compute network-firewall-policies create FIREWALL_POLICY \
      --region REGION \
      --policy-type=RDMA_ROCE_POLICY

Haz los cambios siguientes:

• FIREWALL_POLICY: nombre de la política de cortafuegos de red
• REGION: una región a la que quieras aplicar la política. La región debe contener la zona del perfil de red RoCE que usa la red de VPC RoCE.

gcloud

Para crear una regla de entrada que use la marca --src-ip-ranges=0.0.0.0/0 y se aplique a todas las interfaces de red de la red de VPC de RoCE, usa el comando gcloud compute network-firewall-policies rules create:

  gcloud compute network-firewall-policies rules create PRIORITY \
      --direction=ingress \
      --layer4-configs=all \
      --enable-logging \
      --action ACTION \
      --firewall-policy FIREWALL_POLICY_NAME\
      --firewall-policy-region FIREWALL_POLICY_REGION \
      --src-ip-ranges=0.0.0.0/0

Para crear una regla de entrada que use una etiqueta segura de origen y se aplique a interfaces de red específicas de máquinas virtuales con un valor de etiqueta segura asociado, usa el comando gcloud compute network-firewall-policies rules create:

  gcloud compute network-firewall-policies rules create PRIORITY \
      --direction=ingress \
      --layer4-configs=all \
      --enable-logging \
      --action ALLOW \
      --firewall-policy FIREWALL_POLICY_NAME\
      --firewall-policy-region FIREWALL_POLICY_REGION \
      --src-secure-tag SRC_SECURE_TAG[,SRC_SECURE_TAG,...] \
      --target-secure-tag TARGET_SECURE_TAG[,TARGET_SECURE_TAG,...]

Haz los cambios siguientes:

• PRIORITY: la prioridad de la regla
• ACTION: la acción en la coincidencia de la regla
  • Si usas --src-ip-ranges=0.0.0.0/0, puedes usar ALLOW o DENY.
  • Si usas --src-secure-tag, solo puedes usar ALLOW.
• FIREWALL_POLICY_NAME: nombre de la política de cortafuegos de red regional en la que se crea la regla.
• FIREWALL_POLICY_REGION: la región que usa la política de cortafuegos de red regional en la que se crea la regla.
• SRC_SECURE_TAG: define el parámetro de origen de la regla de entrada mediante una lista de valores de etiquetas seguras separados por comas. Para obtener más información, consulta Etiquetas seguras para firewalls.
• TARGET_SECURE_TAG: define el parámetro de destino de la regla mediante una lista de valores de etiquetas seguras separados por comas. Para obtener más información, consulta Etiquetas seguras para firewalls.

gcloud

Para asociar una política de cortafuegos de red regional a una red de VPC RoCE, usa el comando gcloud compute network-firewall-policies associations create:

  gcloud compute network-firewall-policies associations create \
      --firewall-policy FIREWALL_POLICY \
      --network NETWORK \
      --firewall-policy-region FIREWALL_POLICY_REGION
  

Haz los cambios siguientes:

• FIREWALL_POLICY: nombre de la política de cortafuegos de red regional

  La política de cortafuegos de red regional debe tener el tipo de política RDMA_ROCE_POLICY.

• NETWORK: nombre de la red de VPC de RoCE

• FIREWALL_POLICY_REGION: la región de la política de cortafuegos

  La región debe contener la zona del perfil de red RoCE que usa la red de VPC RoCE.