(Heredado) Configura conexiones privadas

El acceso privado a servicios es una conexión privada entre tu red de nube privada virtual (VPC) y las redes en VMware Engine. En esta página, se explica cómo configurar el acceso privado a los servicios en Google Cloud VMware Engine y cómo conectar una red de VPC a una nube privada.

El acceso privado a los servicios permite el siguiente comportamiento:

  • Comunicación exclusiva por dirección IP interna para instancias de máquina virtual (VM) en tu red de VPC y las VM de VMware. Las instancias de VM no necesitan acceso a Internet o direcciones IP externas para alcanzar los servicios que están disponibles a través del acceso privado a los servicios.
  • La comunicación entre las VM de VMware y los servicios compatibles de Google Cloud admite el acceso privado a los servicios mediante direcciones IP internas.
  • Uso de conexiones locales existentes para conectarte a tu nube privada de VMware Engine, si tienes conectividad local mediante Cloud VPN o Cloud Interconnect a tu red de VPC.

Puedes configurar el acceso privado a los servicios y crear las nubes privadas de VMware Engine por separado. La conexión privada se puede crear antes o después de la creación de la nube privada a la que deseas conectar tu red de VPC.

Permisos

  1. Make sure that you have the following role or roles on the project: Compute > Network Admin

    Check for the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.

    3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

    4. For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.

    Grant the roles

    1. In the Google Cloud console, go to the IAM page.

      Ir a IAM
    2. Selecciona el proyecto.
    3. Haz clic en Grant access.

    4. En el campo Principales nuevas, ingresa tu identificador de usuario. Esta suele ser la dirección de correo electrónico de una Cuenta de Google.

    5. En la lista Seleccionar un rol, elige un rol.
    6. Para otorgar funciones adicionales, haz clic en Agregar otro rol y agrega cada rol adicional.
    7. Haz clic en Guardar.

    Antes de comenzar

    1. Debes tener una red de VPC existente.
    2. Activa la API de Service Networking en el proyecto.

    3. Configura el acceso a servicios privados en la red de VPC a la que deseas conectarte.

    4. Para encontrar el ID del proyecto con intercambio de tráfico de tu red de VPC, haz lo siguiente:

      1. En la consola de Google Cloud, ve a Intercambio de tráfico entre redes de VPC. En la tabla de intercambio de tráfico, se muestra una conexión de intercambio de tráfico entre redes de VPC con el nombre servicenetworking-googleapis-com.
      2. Copia el ID de proyecto de intercambio de tráfico para poder usarlo mientras configuras una conexión privada en la consola de Google Cloud.

    Conectividad de VPC múltiple

    VMware Engine te permite acceder a la misma nube privada desde diferentes VPC sin necesidad de cambiar las arquitecturas de VPC existentes implementadas en Google Cloud. Por ejemplo, la conectividad de varias VPC es útil cuando tienes redes de VPC independientes para probar y desarrollar.

    Esta situación requiere que las VPC se comuniquen con las VM de VMware y otras direcciones de destino en grupos de recursos de vSphere independientes en la misma nube privada o en varias nubes privadas.

    De forma predeterminada, puedes intercambiar 3 redes de VPC por región. Este límite de intercambio de tráfico incluye el intercambio de tráfico de VPC que usa el servicio de red de acceso a Internet. Para aumentar este límite, comunícate con el equipo de atención al cliente de Cloud.

    Unicidad de la dirección IP

    Cuando conectes tu red de VPC a una red regional de VMware Engine, sigue estos lineamientos para garantizar la unicidad de las direcciones IP:

    • Los rangos de IP y las subredes de VMware Engine en tu red de VPC no pueden usar los mismos rangos de direcciones IP.

    • Los rangos de IP de VMware Engine no se pueden ajustar a un rango de direcciones IP de subred en tu red de VPC. Las rutas de subred de tu red de VPC deben tener los rangos de direcciones IP más específicos.

    • Revisa cuidadosamente la descripción general de las rutas de la red de VPC para obtener detalles sobre cómo funcionan las rutas de la red de VPC.

    • Si necesitas conectar dos o más redes de VMware Engine a la misma red de VPC, debes usar rangos de IP únicos para cada red de VMware Engine o solo debes habilitar la conectividad de NSX-T para una de las redes de VMware Engine con los mismos rangos de IP que otra red de VMware Engine.

    Crea una conexión privada

    Crea una conexión privada en la consola, Google Cloud CLI o la API de REST. En tu solicitud, establece el tipo de conexión en PRIVATE_SERVICE_ACCESS y el modo de enrutamiento en GLOBAL.

    Console

    1. En la consola de Google Cloud, ve a la página Conexiones privadas.

      Ir a Conexiones privadas

    2. Haz clic en Crear.

    3. Proporciona un Nombre y una Descripción para la conexión.

    4. Selecciona la red de VMware Engine a la que deseas conectarte.

    5. En el campo ID de proyecto de intercambio de tráfico, pega el ID de proyecto de intercambio de tráfico que copiaste en los requisitos previos.

    6. En Private connection type, selecciona Private services access.

    7. Selecciona el modo de enrutamiento para esta conexión de intercambio de tráfico entre redes de VPC. En la mayoría de los casos, recomendamos el modo de enrutamiento global. Si no quieres que los servicios de Google que intercambian tráfico con tu red de VPC se comuniquen entre regiones, selecciona el modo de enrutamiento Regional. Esta selección anula el modo de enrutamiento existente.

    8. Haz clic en Enviar.

    Cuando se crea la conexión, puedes seleccionar la conexión específica de la lista de conexiones privadas. En la página de detalles de cada conexión privada, se muestra el modo de enrutamiento de la conexión privada y las rutas aprendidas durante el intercambio de tráfico entre VPC.

    En la tabla Exported routes, se muestran las nubes privadas aprendidas en la región y que se exportaron a través del intercambio de tráfico entre VPC. Cuando varias redes de VPC intercambian tráfico en la misma red regional de VMware Engine, las rutas recibidas de una red de VPC no se anuncian en la otra red de VPC.

    gcloud

    1. Ejecuta el comando gcloud vmware private-connections create para crear una conexión privada:

      gcloud vmware private-connections create PRIVATE_CONNECTION_ID \
  --location=REGION\
  --description="" \
  --vmware-engine-network=NETWORK_ID \
  --service-project=SERVICE_NETWORKING_TENANT_PROJECT\
  --type=PRIVATE_SERVICE_ACCESS \
  --routing-mode=MODE

      Reemplaza lo siguiente:

      • PRIVATE_CONNECTION_ID: Es el nombre de la conexión privada que se creará.
      • REGION: Es la región en la que se creará esta conexión privada. Debe coincidir con la región de la red de VMware Engine.
      • NETWORK_ID: Es el nombre de la red de VMware Engine.
      • SERVICE_NETWORKING_TENANT_PROJECT: Es el nombre del proyecto para el VPC del usuario de la red de servicios. Puedes encontrar el SNTP en la columna PEER_PROJECT del nombre de intercambio de tráfico servicenetworking-googleapis-com.
      • MODE: Es el modo de enrutamiento, ya sea GLOBAL o REGIONAL.

    2. Opcional: Si deseas obtener una lista de tus conexiones privadas, ejecuta el comando gcloud vmware private-connections list:

      gcloud vmware private-connections list \
    --location=REGION

      Reemplaza lo siguiente:

      • REGION: Es la región de la red que se enumerará.

    API

    Para crear una VPC de Compute Engine y una conexión de acceso privado a servicios con la API de VMware Engine, haz lo siguiente:

    1. Para crear una conexión privada, realiza una solicitud POST:

      POST "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections?private_connection_id=PRIVATE_CONNECTION_ID"

'{
  "description": "My first private connection",
  "vmware_engine_network":
"projects/PROJECT_ID/locations/REGION/vmwareEngineNetworks/NETWORK_ID
  "type": "PRIVATE_SERVICE_ACCESS",
  "routing_mode": "MODE",
  "service_network":
"projects/SERVICE_NETWORKING_TENANT_PROJECT/global/networks/SERVICE_NETWORK"
}'

      Reemplaza lo siguiente:

      • PRIVATE_CONNECTION_ID: El nombre de la conexión privada para esta solicitud
      • REGION: Es la región en la que se creará esta conexión privada.
      • NETWORK_ID: La red de VMware Engine para esta solicitud
      • SERVICE_NETWORKING_TENANT_PROJECT: Es el nombre del proyecto de la VPC del usuario de la red de servicios. Puedes encontrar el SNTP en la columna PEER_PROJECT del nombre del intercambio de tráfico.servicenetworking-googleapis-com
      • SERVICE_NETWORK: Es la red del proyecto de usuario.

    2. Opcional: Si deseas obtener una lista de tus conexiones privadas, realiza una solicitud GET:

      GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections"

      Reemplaza lo siguiente:

      • PROJECT_ID: Es el nombre del proyecto de esta solicitud.
      • REGION: Es la región en la que se enumerarán las conexiones privadas.

    Cómo editar una conexión privada

    Puedes editar una conexión privada después de crearla. Una vez creado, puedes cambiar el modo de enrutamiento entre GLOBAL y REGIONAL. En Google Cloud CLI o la API, también puedes actualizar la descripción de la conexión privada.

    Console

    1. En la consola de Google Cloud, ve a la página Conexiones privadas.

      Ir a Conexiones privadas

    2. Haz clic en el nombre de la conexión privada que deseas editar.

    3. En la página de detalles, haz clic en Editar.

    4. Actualiza la descripción o el modo de enrutamiento de la conexión.

    5. Guarde sus cambios.

    gcloud

    Ejecuta el comando gcloud vmware private-connections update para editar una conexión privada:

    gcloud vmware private-connections update PRIVATE_CONNECTION_ID \
   --location=REGION \
   --description=DESCRIPTION \
   --routing-mode=MODE

    Reemplaza lo siguiente:

    • PROJECT_ID: Es el nombre del proyecto de esta solicitud.
    • REGION: Es la región en la que se actualizará esta conexión privada.
    • DESCRIPTION: Es la descripción nueva que se usará.
    • PRIVATE_CONNECTION_ID: Es el ID de la conexión privada para esta solicitud.
    • MODE: Es el modo de enrutamiento, ya sea GLOBAL o REGIONAL.

    API

    Para editar una conexión privada con la API de VMware Engine, realiza una solicitud PATCH:

    PATCH "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID?update_mask=description, routing_mode"

'{
  "description": "Updated description for the private connection",
  "routing_mode": "MODE"
}'

    Reemplaza lo siguiente:

    • PROJECT_ID: Es el nombre del proyecto de esta solicitud.
    • REGION: Es la región en la que se actualizará esta conexión privada.
    • PRIVATE_CONNECTION_ID: El nombre de la conexión privada para esta solicitud
    • MODE: Es el modo de enrutamiento, ya sea GLOBAL o REGIONAL.

    Describe una conexión privada

    Puedes obtener la descripción de cualquier conexión privada con Google Cloud CLI o la API de VMware Engine.

    gcloud

    Ejecuta el comando gcloud vmware private-connections describe para obtener una descripción de una conexión privada:

    gcloud vmware private-connections describe PRIVATE_CONNECTION_ID \
    --location=REGION

    Reemplaza lo siguiente:

    • PRIVATE_CONNECTION_ID: El nombre de la conexión privada para esta solicitud
    • REGION: Es la región de la conexión privada.

    API

    Para obtener una descripción de una conexión privada con la API de VMware Engine, realiza una solicitud GET:

    GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID"

    Reemplaza lo siguiente:

    • PROJECT_ID: Es el nombre del proyecto de esta solicitud.
    • PRIVATE_CONNECTION_ID: Es el nombre de la conexión privada para esta solicitud.
    • REGION: Es la región de la conexión privada.

    Una vez que las conexiones privadas que borraste ya no estén visibles en la lista de conexiones privadas, puedes borrar la conexión de acceso privado en la consola de Google Cloud. Si no sigues estos pasos en el orden descrito, pueden generarse entradas de DNS inactivas en ambos proyectos de Google Cloud.

    Enumera las rutas de intercambio de tráfico de una conexión privada

    Para enumerar las rutas de intercambio de tráfico que se intercambiaron por una conexión privada, haz lo siguiente:

    Console

    1. En la consola de Google Cloud, ve a la página Conexiones privadas.

      Ir a Conexiones privadas

    2. Haz clic en el nombre de la conexión privada que deseas ver.

    En la página de detalles, se describen las rutas importadas y exportadas.

    gcloud

    Ejecuta el comando gcloud vmware private-connections routes list para enumerar las rutas de intercambio de tráfico que se intercambiaron por una conexión privada:

    gcloud vmware private-connections routes list \
    --private-connection=PRIVATE_CONNECTION_ID \
    --location=REGION

    Reemplaza lo siguiente:

    • PRIVATE_CONNECTION_ID: Es el nombre de la conexión privada para esta solicitud.
    • REGION: Es la región de la conexión privada.

    API

    Para enumerar las rutas de enrutamiento de intercambio por una conexión privada con la API de VMware Engine, realiza una solicitud GET:

    GET "https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/privateConnections/PRIVATE_CONNECTION_ID/peeringRoutes"

    Reemplaza lo siguiente:

    • PROJECT_ID: Es el nombre del proyecto de esta solicitud.
    • REGION: Es la región de la conexión privada.
    • PRIVATE_CONNECTION_ID: Es el nombre de la conexión privada para esta solicitud.

    Límites de enrutamiento

    La cantidad máxima de rutas que una nube privada puede recibir es de 200. Por ejemplo, esas rutas pueden provenir de redes locales, redes de VPC con intercambio de tráfico y otras nubes privadas en la misma red de VPC. Este límite de ruta corresponde a la cantidad máxima de anuncios de ruta personalizados por sesión de BGP de Cloud Router.

    En una región determinada, puedes anunciar hasta 100 rutas únicas de VMware Engine a tu red de VPC mediante el acceso privado a los servicios. Por ejemplo, esas rutas únicas incluyen rangos de direcciones IP de administración de la nube privada, segmentos de red de carga de trabajo NSX-T y rangos de direcciones IP internos de HCX. Este límite de ruta incluye todas las nubes privadas en la región y corresponde al límite de ruta aprendidas de Cloud Router.

    Para obtener información sobre los límites de enrutamiento, consulta Cuotas y límites de Cloud Router.

    Soluciona problemas

    En el siguiente video, se muestra cómo verificar y solucionar problemas de conexión de intercambio de tráfico entre la VPC de Google Cloud y Google Cloud VMware Engine.

    ¿Qué sigue?