Varias interfaces de red

En esta página se ofrece una descripción general de las interfaces de red de las instancias de máquina virtual de Compute Engine. Las instancias con varias interfaces de red se denominan instancias con varias NICs.

Una instancia siempre tiene al menos una interfaz de red virtual (vNIC). En función del tipo de máquina, puedes configurar interfaces de red adicionales.

Casos prácticos

Las instancias con varias NICs son útiles en los siguientes casos:

• Para conectarse a recursos de redes de VPC independientes: las instancias con varias NICs pueden conectarse a recursos ubicados en diferentes redes de VPC que no estén conectadas entre sí mediante el emparejamiento entre redes de VPC o Network Connectivity Center.

  • Como cada interfaz de una instancia con varias NICs está en una red de VPC independiente, puedes usar cada interfaz para un propósito único. Por ejemplo, puedes usar algunas interfaces para enrutar paquetes entre redes de VPC que transportan tráfico de producción y otra interfaz para tareas de gestión o configuración.

  • En el SO invitado de cada instancia con varias NICs, debes configurar políticas de ruta y tablas de rutas locales.

• Enrutamiento de paquetes entre redes de VPC: las instancias de varias NIC se pueden usar como saltos siguientes de las rutas para conectar dos o más redes de VPC.

  • El software que se ejecuta en el SO invitado de una instancia con varias NICs puede realizar inspecciones de paquetes, traducciones de direcciones de red (NAT) u otras funciones de seguridad de red.

  • Cuando se conectan redes de VPC mediante instancias de varias NIC, es recomendable configurar dos o más instancias de varias NIC y usarlas como back-ends de un balanceador de carga de red interno de transferencia directa en cada red de VPC. Para obtener más información, consulta los casos prácticos de la documentación sobre balanceadores de carga de red de transferencia internos como próximos saltos.

También puedes usar instancias de varias NICs con interfaces de Private Service Connect para conectar redes de productores y consumidores de servicios en diferentes proyectos.

Tipos de interfaces de red

Google Cloud admite los siguientes tipos de interfaces de red:

• vNICs las interfaces de red virtuales de las instancias de Compute Engine. Cada instancia debe tener al menos una interfaz de red virtual. Las interfaces de red virtuales de las redes VPC normales pueden ser GVNIC, VIRTIO_NET o IDPF. Solo puedes configurar las vNICs al crear una instancia.

• Interfaces de red dinámicas (vista previa): una interfaz secundaria de una interfaz de red virtual principal. Puedes configurar NICs dinámicas al crear una instancia o añadirlas más adelante. Para obtener más información, consulta NICs dinámicas.

También puedes configurar instancias con varias NICs usando tipos de máquina que incluyan interfaces de red RDMA (MRDMA), que deben adjuntarse a una red VPC con un perfil de red RDMA. Otros tipos de interfaces de red, incluidas las NICs dinámicas, no se admiten en redes de VPC con un perfil de red RDMA.

Especificaciones

Las siguientes especificaciones se aplican a las instancias con varias interfaces de red:

• Instancias e interfaces de red: cada instancia tiene una interfaz nic0. El número máximo de interfaces de red varía en función del tipo de máquina de la instancia.

  • Cada interfaz tiene un tipo de pila asociado, que determina los tipos de pila de subred y las versiones de dirección IP admitidos. Para obtener más información, consulta Tipo de pila y direcciones IP.

• Red única para cada interfaz de red: excepto en el caso de las redes de VPC que se crean con un perfil de red RDMA, cada interfaz de red debe usar una subred en una red de VPC única.

  • En las redes de VPC creadas con un perfil de red RDMA, varias NICs RDMA pueden usar la misma red de VPC, siempre que cada NIC RDMA use una subred única.

  • Debes tener una red VPC y una subred para poder crear una instancia cuya interfaz de red use la red y la subred. Para obtener más información sobre cómo crear redes y subredes, consulta el artículo Crear y gestionar redes de VPC.

• Proyecto de la instancia y las subredes: en el caso de las instancias con varias NICs en proyectos independientes, cada interfaz de red debe usar una subred ubicada en el mismo proyecto que la instancia.

  • En el caso de las instancias de proyectos host o de servicio de VPC compartida, consulta VPC compartida .

  • Las interfaces de Private Service Connect permiten que una instancia con varias NICs tenga interfaces de red en subredes de diferentes proyectos. Para obtener más información, consulta Información sobre los adjuntos de red.

• Consideraciones sobre el reenvío de IP, la MTU y el enrutamiento: las instancias con varias NICs requieren una planificación minuciosa de las siguientes opciones de configuración específicas de la instancia y la interfaz:

  • La opción de reenvío de IP se puede configurar por instancia y se aplica a todas las interfaces de red. Para obtener más información, consulta Habilitar el reenvío de IP para instancias.

  • Cada interfaz de red puede usar una unidad de transmisión máxima (MTU) única que coincida con la MTU de la red de VPC asociada. Para obtener más información, consulta Unidad máxima de transmisión.

  • Cada instancia recibe una ruta predeterminada mediante la opción 121 de DHCP, tal como se define en el RFC 3442. La ruta predeterminada está asociada a nic0. A menos que se configure manualmente de otro modo, todo el tráfico que salga de una instancia hacia cualquier destino que no sea una subred conectada directamente saldrá de la instancia mediante la ruta predeterminada en nic0.

    En los sistemas Linux, puedes configurar reglas y rutas personalizadas en el SO invitado mediante el archivo /etc/iproute2/rt_tables y los comandos ip rule y ip route. Para obtener más información, consulta la documentación del SO invitado. Por ejemplo, consulta el siguiente tutorial: Configurar el enrutamiento de una interfaz adicional.

NICs dinámicas

Las NICs dinámicas son útiles en los siguientes casos:

• Debes añadir o quitar interfaces de red de las instancias. Para añadir o quitar NICs dinámicas, no es necesario reiniciar ni volver a crear la instancia.

• Necesitas más interfaces de red. El número máximo de vNICs para la mayoría de los tipos de máquinas en Google Cloud es 10. Sin embargo, puedes configurar hasta 16 interfaces en total mediante NICs dinámicas. Para obtener más información, consulta el artículo Número máximo de interfaces de red.

• Debes configurar instancias de hardware desnudo de Compute Engine con varias NIC, que solo tienen una vNIC.

Propiedades de las NICs dinámicas

Consulte la siguiente información sobre las propiedades de las NICs dinámicas:

• Las NICs dinámicas son interfaces VLAN que usan el formato de paquete estándar IEEE 802.1Q. Tenga en cuenta lo siguiente:

  • El ID de VLAN de una NIC dinámica debe ser un número entero comprendido entre 2 y 255.
  • El ID de VLAN de una NIC dinámica debe ser único en una NIC virtual principal. Sin embargo, las NICs dinámicas que pertenecen a diferentes NICs virtuales principales pueden usar el mismo ID de VLAN.

• Google Cloud usa el siguiente formato para el nombre de una NIC dinámica: nicNUMBER.VLAN_ID, donde

  • nicNUMBER es el nombre de la vNIC principal, como nic0.
  • VLAN_ID es el ID de VLAN que has definido, como 4.

  Un ejemplo de nombre de NIC dinámico es nic0.4.

• Para crear una instancia con NICs dinámicas o añadir NICs dinámicas a una instancia ya creada, debes seguir pasos adicionales para instalar y gestionar las interfaces de VLAN correspondientes en el SO invitado. Puedes usar uno de los siguientes métodos:

  • Configura la gestión automática de NICs dinámicas mediante el agente invitado de Google.
  • Configura el SO invitado manualmente.

  Para obtener más información, consulta Configurar el SO invitado para NICs dinámicas.

• Las NICs dinámicas comparten el ancho de banda de su NIC virtual principal y no hay aislamiento del tráfico en una NIC virtual principal. Para evitar que alguna de las interfaces de red consuma todo el ancho de banda, debes crear una política de tráfico específica de la aplicación en el SO invitado para priorizar o distribuir el tráfico. Por ejemplo, puedes usar Linux Traffic Control (TC).

• Las NICs dinámicas comparten las mismas colas de recepción y transmisión que su vNIC principal.

Limitaciones de las NICs dinámicas

Consulta las siguientes limitaciones de las NICs dinámicas:

• No puedes modificar las siguientes propiedades de una NIC dinámica después de crearla:

  • La vNIC principal a la que pertenece la NIC dinámica.
  • El ID de VLAN de la interfaz de red dinámica.

• Las NICs dinámicas no admiten lo siguiente:

  • Protección de red avanzada contra DDoS y políticas de seguridad de perímetro de red para Google Cloud Armor
  • Configurar direcciones IP mediante configuraciones por instancia en grupos de instancias gestionados
  • Interfaces solo IPv6 (vista previa)
  • Funciones que dependen de la interceptación de paquetes, como los endpoints de cortafuegos
  • Sistemas operativos Windows

• Una NIC dinámica con una vNIC principal cuyo tipo sea GVNIC podría experimentar pérdida de paquetes con algunos tamaños de MTU personalizados. Para evitar la pérdida de paquetes, no utilices los siguientes tamaños de MTU: 1986 bytes, 3986 bytes, 5986 bytes y 7986 bytes.

• En las VMs de tercera generación, una NIC dinámica con un ID de VLAN de 255 no puede acceder a la dirección IP del servidor de metadatos. Si necesitas acceder al servidor de metadatos, asegúrate de usar un ID de VLAN diferente.

• En el caso de las VMs de tercera generación, si se elimina y se añade una NIC dinámica que tenga el mismo ID de VLAN, se podría permitir el acceso no autorizado a diferentes redes de VPC. Para obtener más información, consulta Problemas conocidos.

Tipos de pila y direcciones IP

Cuando creas una interfaz de red virtual, debes especificar uno de los siguientes tipos de pila de interfaces:

• Solo IPv4
• Pila dual

• Solo IPv6

En la siguiente tabla se describen los tipos de pila de subred admitidos y los detalles de las direcciones IP de cada tipo de pila de interfaz:

Interfaz	Subred solo IPv4	Subred de doble pila	Subred solo IPv6	Detalles de la dirección IP
Solo IPv4 (pila única)				Solo direcciones IPv4. Consulta los detalles de la dirección IPv4.
IPv4 e IPv6 (doble pila)				Direcciones IPv4 e IPv6. Consulta los detalles de la dirección IPv4 y los detalles de la dirección IPv6.
Solo IPv6 (pila única)				Solo direcciones IPv6. Consulta los detalles de la dirección IPv6.

Cambiar el tipo de pila de la interfaz de red

Puedes cambiar el tipo de pila de una interfaz de red de la siguiente manera:

• Puedes convertir una interfaz solo IPv4 en una de pila dual si la subred de la interfaz es de pila dual o si detienes la instancia y asignas la interfaz a una subred de pila dual.

• Puedes convertir una interfaz de pila dual a solo IPv4.

No puedes cambiar el tipo de pila de una interfaz solo IPv6. Las interfaces solo IPv6 solo se admiten al crear instancias.

Detalles de la dirección IPv4

Cada interfaz de red de solo IPv4 o de doble pila recibe una dirección IPv4 interna principal. Cada interfaz admite de forma opcional intervalos de IP alias y una dirección IPv4 externa. A continuación se indican las especificaciones y los requisitos de IPv4:

• Dirección IPv4 interna principal: Compute Engine asigna a la interfaz de red una dirección IPv4 interna principal del intervalo de direcciones IPv4 principal de la subred de la interfaz. La dirección IPv4 interna principal se asigna mediante DHCP.

  • Puedes controlar qué dirección IPv4 interna principal se asigna configurando una dirección IPv4 interna estática o especificando una dirección IPv4 interna efímera personalizada.

  • En una red VPC, la dirección IPv4 interna principal de cada interfaz de red de una VM es única.

• Intervalos de IP de alias: opcionalmente, puedes asignar a la interfaz uno o varios intervalos de IP de alias. Cada intervalo de IPs de alias puede proceder del intervalo de direcciones IPv4 principal o de un intervalo de direcciones IPv4 secundario de la subred de la interfaz.

  • En una red de VPC, el intervalo de IPs de alias de cada interfaz debe ser único.

• Dirección IPv4 externa: opcionalmente, puedes asignar a la interfaz una dirección IPv4 externa efímera o reservada. Google Cloud asegura la unicidad de cada dirección IPv4 externa.

Detalles de la dirección IPv6

Compute Engine asigna a cada interfaz de red de doble pila o solo IPv6 un /96 intervalo de direcciones IPv6 del /64 intervalo de direcciones IPv6 de la subred de la interfaz:

• Si el intervalo de direcciones IPv6 /96 es interno o externo depende del tipo de acceso IPv6 de la subred de la interfaz. Google Cloud asegura la unicidad de cada intervalo de direcciones IPv6 internas y externas. Para obtener más información, consulta las especificaciones de IPv6.

  • Si una instancia necesita un intervalo de direcciones IPv6 internas y otro de direcciones IPv6 externas, debes configurar dos interfaces de pila dual, dos interfaces solo IPv6 o una interfaz de pila dual y una interfaz solo IPv6. La subred utilizada por una interfaz debe tener un intervalo de direcciones IPv6 externas, y la subred utilizada por la otra interfaz debe tener un intervalo de direcciones IPv6 internas.

• La primera dirección IPv6 (/128) se configura en la interfaz mediante DHCP. Para obtener más información, consulta el artículo sobre la asignación de direcciones IPv6.

• Puedes controlar qué intervalo de direcciones IPv6 /96 se asigna configurando un intervalo de direcciones IPv6 interno o externo estático. En el caso de las direcciones IPv6 internas, puede especificar una dirección IPv6 interna efímera personalizada.

Si vas a conectar una instancia a varias redes mediante direcciones IPv6, instala la versión google-guest-agent20220603.00 o una posterior. Para obtener más información, consulta No puedo conectarme a la dirección IPv6 de una interfaz secundaria.

Número máximo de interfaces de red

En la mayoría de los tipos de máquina, el número máximo de interfaces de red que puedes asociar a una instancia se ajusta al número de vCPUs, tal como se describe en las siguientes tablas.

Estas son las excepciones específicas de la máquina:

• Las instancias de hardware desnudo de Compute Engine admiten una sola vNIC.

• El número máximo de vNICs es diferente en algunos tipos de máquinas optimizadas para aceleradores, como A3, A4 y A4X. Para obtener más información, consulta la página Familia de máquinas optimizadas para aceleradores.

Ejemplos de distribuciones de NICs dinámicas

No es necesario que distribuyas las NICs dinámicas de forma uniforme entre las NICs virtuales. Sin embargo, puede que quieras una distribución uniforme porque las NICs dinámicas comparten el ancho de banda de su vNIC principal.

Una instancia debe tener al menos una interfaz de red virtual. Por ejemplo, una instancia que tenga 2 vCPUs puede tener una de las siguientes configuraciones:

• 1 vNIC
• 2 vNICs
• 1 vNIC y 1 NIC dinámica

En las siguientes tablas se muestran configuraciones de ejemplo que distribuyen las NICs dinámicas de forma uniforme entre las NICs virtuales, al tiempo que se usa el número máximo de interfaces de red para un número determinado de vCPUs.

Interacciones con el producto

En esta sección se describen las interacciones entre las instancias con varias NICs y otros productos y funciones de Google Cloud.

VPC compartida

A excepción de las interfaces de Private Service Connect, la relación entre la subred y el proyecto de una instancia de varias NICs en un proyecto de host o de servicio de VPC compartida es la siguiente:

• Cada interfaz de red de una instancia con varias NICs ubicada en un proyecto del host de una VPC compartida debe usar una subred de una red de VPC compartida en el proyecto del host.

• Cada interfaz de red de una instancia con varias NICs ubicada en un proyecto de servicio de una VPC compartida puede usar una de las siguientes opciones:

  • Una subred de una red de VPC en el proyecto de servicio.
  • Una subred de una red de VPC compartida en el proyecto del host.

Para obtener más información sobre la VPC compartida, consulta los siguientes artículos:

• Información general sobre las VPC compartidas
• Aprovisionar una VPC compartida

DNS interno de Compute Engine

Compute Engine crea registros A y PTR de nombres de DNS internos solo para la dirección IPv4 interna principal de la interfaz de red nic0 de una instancia. Compute Engine no crea registros DNS internos para ninguna dirección IPv4 o IPv6 asociada a una interfaz de red diferente de nic0.

Para obtener más información, consulta el artículo sobre el DNS interno de Compute Engine.

Rutas estáticas

Las rutas estáticas se pueden acotar a instancias específicas mediante etiquetas de red. Cuando se asocia una etiqueta de red a una instancia, la etiqueta se aplica a todas las interfaces de red de la instancia. Por lo tanto, añadir o quitar una etiqueta de red de una instancia puede cambiar las rutas estáticas que se aplican a cualquiera de las interfaces de red de la instancia.

Balanceadores de carga

Los backends de grupos de instancias y los backends de NEGs de zona tienen una red de VPC asociada de la siguiente manera:

• En el caso de los grupos de instancias gestionados (MIGs), la red de VPC del grupo de instancias es la red de VPC asignada a la interfaz nic0 de la plantilla de instancia.

• En el caso de los grupos de instancias no gestionados, la red VPC del grupo de instancias es la red VPC que usa la nic0 interfaz de red de la primera instancia que añadas al grupo de instancias no gestionado.

En la siguiente tabla se muestra qué back-ends admiten la distribución de conexiones o solicitudes a cualquier interfaz de red.

Balanceador de carga	Grupos de instancias	GCE_VM_IP NEGs	GCE_VM_IP_PORT NEGs
Balanceador de carga de red de paso a través externo basado en el servicio de backend El servicio de backend no está asociado a una red de VPC. Para obtener más información, consulta Servicios backend y redes de VPC.	Solo nic0	Cualquier NIC	N/A
Balanceador de carga de red de paso a través interno El servicio de backend está asociado a una red de VPC. Para obtener más información, consulta los artículos Especificación de la red del servicio backend y Reglas de la red del servicio backend.	Cualquier NIC	Cualquier NIC	N/A
Balanceador de carga de red del proxy externo Para obtener más información sobre los requisitos de los servicios de backend y de la red, consulta Backends y redes de VPC.	Solo nic0	N/A	Cualquier NIC
Balanceador de carga de red de proxy interno Para obtener más información sobre los requisitos de los servicios de backend y de la red, consulta Backends y redes de VPC.	Solo nic0	N/A	Cualquier NIC
Balanceador de carga de aplicaciones externo Para obtener más información sobre los requisitos de red y de servicios de backend, consulta Backends y redes de VPC.	Solo nic0	N/A	Cualquier NIC
Balanceador de carga de aplicación interno Para obtener más información sobre los requisitos de red y de servicio de backend, consulta los artículos sobre backends y redes de VPC.	Solo nic0	N/A	Cualquier NIC

Los balanceadores de carga de red de paso a través externos basados en grupos de destino no usan grupos de instancias ni NEGs, y solo admiten el balanceo de carga en nic0 interfaces de red.

Reglas de cortafuegos

El conjunto de reglas de cortafuegos (políticas de cortafuegos jerárquicas, políticas de cortafuegos de red globales, políticas de cortafuegos de red regionales y reglas de cortafuegos de VPC) es único para cada interfaz de red. Asegúrate de que cada red tenga las reglas de cortafuegos adecuadas para permitir el tráfico que quieras hacia y desde una instancia con varias NICs. Para determinar qué reglas de cortafuegos se aplican a una interfaz de red y cuál es la fuente de cada regla, consulta Obtener las reglas de cortafuegos efectivas de una interfaz de VM.

Las reglas de cortafuegos se pueden acotar a instancias de VM específicas mediante etiquetas de red o etiquetas seguras, que se aplican a todas las interfaces de red de una instancia. Para obtener más información, consulta la comparación entre etiquetas seguras y etiquetas de red.

Problemas conocidos

En esta sección se describen los problemas conocidos relacionados con el uso de varias interfaces de red en Google Cloud.

Interacciones del cortafuegos al reutilizar un ID de VLAN con NICs dinámicas

En el caso de las VMs de tercera generación, si se elimina y se añade una NIC dinámica que tenga el mismo ID de VLAN, se podría permitir el acceso no autorizado a diferentes redes de VPC.

Veamos el siguiente caso práctico, que incluye dos redes (network-1 y network-2) y un ID de VLAN A:

1. Eliminas una NIC dinámica con el ID de VLAN A de network-1.
2. Durante el periodo de seguimiento de conexiones de 10 minutos de Cloud NGFW, crea una NIC dinámica con el mismo ID de VLAN A en network-2.
3. El tráfico procedente de la nueva NIC dinámica de network-2 puede coincidir con una entrada de seguimiento de conexión que haya creado anteriormente la NIC dinámica eliminada de network-1.

Si esto ocurre, es posible que se permita el tráfico enviado o recibido por la nueva NIC dinámica en network-2 si coincide con una entrada de la tabla de seguimiento de conexiones de Cloud NGFW, donde la entrada se creó para una conexión utilizada por la NIC dinámica eliminada en network-1. Para evitar este problema, consulta la siguiente solución alternativa.

Solución alternativa:

Para evitar este problema, haz una de las siguientes acciones:

• Después de eliminar una NIC dinámica, no reutilices su ID de VLAN al crear una nueva NIC dinámica.
• Después de eliminar una NIC dinámica, espera al menos 10 minutos para crear una NIC dinámica que use el mismo ID de VLAN.

Para obtener más información sobre el seguimiento de conexiones y las reglas de cortafuegos, consulta las especificaciones en la documentación de Cloud Next Generation Firewall.

Siguientes pasos

• Crear VMs con varias interfaces de red