VPC-Netzwerk-Peering einrichten und verwalten

Mit dem Google Cloud VPC-Netzwerk-Peering sind Verbindungen über interne IP-Adressen zwischen zwei VPC-Netzwerken (Virtual Private Cloud) möglich, unabhängig davon, ob sie zum selben Projekt oder zur selben Organisation gehören. Peering unterstützt die Konnektivität zwischen Netzwerken mit Dual-Stack-Subnetzen.

Weitere Informationen finden Sie unter VPC-Netzwerk-Peering.

Peering-Konfiguration erstellen

Bevor Sie beginnen, müssen Sie den Namen des VPC-Netzwerks kennen, zu dem Sie eine Peering-Verbindung herstellen möchten. Wenn sich dieses Netzwerk in einem anderen Projekt befindet, müssen Sie auch die Projekt-ID dieses Projekts kennen. Sie können keine Peering-Anfragen für Ihr VPC-Netzwerk auflisten. Fragen Sie gegebenenfalls den Administrator des Netzwerks, mit dem Sie eine Peering-Verbindung herstellen möchten, nach den Netzwerk- und Projektnamen.

Mit einer Peering-Konfiguration wird die Absicht festgeschrieben, eine Verbindung zu einem anderen VPC-Netzwerk herzustellen. Ihr Netzwerk und das andere Netzwerk sind erst dann miteinander verbunden, wenn beide eine Peering-Konfiguration für das jeweils andere Netzwerk haben. Nachdem auch das andere Netzwerk eine entsprechende Konfiguration für das Peering mit Ihrem Netzwerk hat, wechselt der Peering-Status in beiden Netzwerken zu ACTIVE und sie sind verbunden. Wenn im anderen Netzwerk keine entsprechende Peering-Konfiguration vorhanden ist, bleibt der Peering-Status INACTIVE und Ihr Netzwerk ist nicht mit dem anderen verbunden.

In Google Cloud ist in Peering-Netzwerken jeweils nur eine Peering-Aktivität zulässig. Wenn Sie beispielsweise eine Peering-Verbindung zu einem Netzwerk einrichten und sofort im Anschluss versuchen, ein weiteres Peering einzurichten, schlägt der Vorgang mit der folgenden Meldung fehl: Error: There is a peering operation in progress on the local or peer network. Try again later.

Nach der Verbindung tauschen die beiden VPC-Netzwerke immer IPv4-Subnetzrouten (primäre und sekundäre IPv4-Subnetzbereiche) aus, die private IPv4-Adressbereiche verwenden. Weitere Informationen zu den Optionen für den Austausch von Subnetzrouten finden Sie unter Optionen für den Austausch von Subnetzrouten. Weitere Informationen zum Austausch statischer oder dynamischer Routen finden Sie unter Optionen für den Austausch statischer Routen und Optionen für den Austausch dynamischer Routen.

gcloud compute networks peerings create PEERING_NAME \
    --network=NETWORK \
    --peer-project=PEER_PROJECT_ID \
    --peer-network=PEER_NETWORK_NAME \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--import-subnet-routes-with-public-ip] \
    [--export-subnet-routes-with-public-ip]

module "peering1" {
  source        = "terraform-google-modules/network/google//modules/network-peering"
  version       = "~> 9.0"
  local_network = var.local_network # Replace with self link to VPC network "foobar" in quotes
  peer_network  = var.peer_network  # Replace with self link to VPC network "other" in quotes
}

Prüfen, ob Traffic zwischen Peering-VPC-Netzwerken weitergeleitet wird

Sie können VPC-Flusslogs verwenden, um die von VM-Instanzen gesendeten und empfangenen Netzwerkflüsse anzuzeigen. Sie können auch mit dem Logging von Firewallregeln überprüfen, ob der Traffic zwischen den Netzwerken übertragen wird. Erstellen Sie Firewallregeln, die Traffic zwischen den verbundenen Peering-Netzwerken zulassen oder ablehnen, und aktivieren Sie das Logging von Firewallregeln für diese Regeln. Sie können dann mit Cloud Logging prüfen, welche Firewallregeln verwendet wurden.

Peering-Verbindung aktualisieren

Wenn Sie eine vorhandene VPC-Netzwerk-Peering-Verbindung aktualisieren, können Sie Folgendes tun:

• Ändern Sie, ob Ihr VPC-Netzwerk benutzerdefinierte Routen oder privat verwendete öffentliche IPv4-Subnetzrouten in das oder aus dem Peering-VPC-Netzwerk exportiert oder importiert.
• Aktualisieren Sie eine vorhandene Peering-Verbindung, um den Austausch von IPv6-Routen zwischen den Peering-Netzwerken zu aktivieren oder zu deaktivieren.

Ihr Netzwerk importiert Routen nur, wenn das Peering-Netzwerk die Routen ebenfalls exportiert. Das Peering-Netzwerk empfängt Routen nur dann, wenn es sie auch importiert.

gcloud compute networks peerings update PEERING_NAME \
    --network=NETWORK \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--export-subnet-routes-with-public-ip] \
    [--import-subnet-routes-with-public-ip]

Peering-Verbindungen auflisten

Listen Sie vorhandene Peering-Verbindungen auf, um ihren Status aufzurufen und zu prüfen, ob sie benutzerdefinierte Routen importieren oder exportieren.

gcloud compute networks peerings list

Peering-Routen auflisten

gcloud compute networks peerings list-routes PEERING_NAME \
    --network=NETWORK \
    --region=REGION \
    --direction=DIRECTION

VPC-Netzwerk-Peering-Verbindung löschen

Sie oder ein Netzwerkadministrator für das Peering-VPC-Netzwerk können eine Peering-Konfiguration löschen. Wenn eine Peering-Konfiguration gelöscht wurde, wechselt die Peering-Verbindung im anderen Netzwerk zu INACTIVE und alle von den Netzwerken gemeinsam genutzten Routen werden entfernt.

gcloud compute networks peerings delete PEERING_NAME \
    --network=NETWORK

Fehlerbehebung

In den folgenden Abschnitten wird beschrieben, wie Sie Probleme mit dem VPC-Netzwerk-Peering beheben.

Peer-VMs sind nicht erreichbar

Nachdem die Peering-Verbindung den Status AKTIV hat, kann es bis zu einer Minute dauern, bis alle Trafficströme zwischen den über Peering verbundenen VPC-Netzwerken eingerichtet sind. Die Dauer hängt von der Größe der über Peering verbundenen VPC-Netzwerke ab. Wenn Sie die Peering-Verbindung erst kürzlich eingerichtet haben, warten Sie eine Minute und versuchen Sie es dann noch einmal. Achten Sie außerdem darauf, dass keine Firewallregeln den Traffic zu/von den Subnetz-CIDRs des Peering-VPC-Netzwerks blockieren.

Benutzerdefinierte Routen fehlen

In diesem Abschnitt wird beschrieben, wie Sie Probleme mit fehlenden benutzerdefinierten Routen beheben.

Status der Peering-Verbindung prüfen

So prüfen Sie den Status Ihrer Peering-Verbindung:

1. Listen Sie Peering-Verbindungen auf.
2. Identifizieren Sie die Peering-Verbindung, für die Sie die Fehlerbehebung durchführen möchten, und prüfen Sie den Peering-Status.
   1. Wenn der Status ACTIVE lautet, folgen Sie der Anleitung im nächsten Abschnitt.
   2. Wenn der Peering-Status INACTIVE lautet, muss ein Netzwerkadministrator für das andere Netzwerk eine Peering-Konfiguration für Ihr VPC-Netzwerk erstellen.

Probleme mit einer ACTIVE-Verbindung beheben

So beheben Sie Probleme mit fehlenden benutzerdefinierten Routen in einer ACTIVE-Peering-Verbindung:

1. Listen Sie Peering-Routen in Ihrem VPC-Netzwerk auf. Führen Sie auf dem Tab Aktive Routen folgende Schritte aus:

   1. Die Regionen, in denen dynamische Routen programmiert werden, hängen vom dynamischen Routingmodus des VPC-Netzwerk ab, das benutzerdefinierte Routen exportiert. Weitere Informationen finden Sie unter Auswirkungen des dynamischen Routingmodus. Im Modus für globales dynamisches Routing wird in Regionen, die nicht mit der Region des nächsten Hops übereinstimmen, nur die dynamische Route mit der höchsten Priorität programmiert.

   2. Aktivieren Sie die Option Unterdrückte Routen anzeigen und suchen Sie nach Ihrer Route. Den Grund für die Unterdrückung einer Route sehen Sie, wenn Sie den Mauszeiger auf das Symbol in der Spalte Status bewegen. Google Cloud bietet eine regionenspezifische Lösung von Routenkonflikten in dem VPC-Netzwerk, in dem Routen über VPC-Netzwerk-Peering importiert werden.

   3. Suchen Sie nach einer Warnung, dass Ihr VPC-Netzwerk das Limit für das Kontingent für dynamische Routen pro Region und Peering-Gruppe erreicht hat. Wenn das Limit für dieses Kontingent für Ihr VPC-Netzwerk erreicht ist, werden eine oder mehrere dynamische Peering-Routen nicht programmiert. Da nicht genau angegeben werden kann, welche dynamischen Peering-Routen nicht programmiert sind, beantragen Sie eine Erhöhung des Kontingentlimits für die dynamischen Routen pro Region und Peering-Gruppe.

2. Wenn die gewünschte Route immer noch nicht angezeigt wird, gehen Sie so vor:

   1. Prüfen Sie Ihre Peering-Konfiguration und aktualisieren Sie sie bei Bedarf, damit benutzerdefinierte Routen importiert werden.

   2. Die Route darf nicht zu den folgenden Routentypen gehören, die nicht über VPC-Netzwerk-Peering ausgetauscht werden können:

      • Peering-Subnetz-, Peering-statische und Peering-dynamische Routen in einem Peering-VPC-Netzwerk, die von anderen Peer-Netzwerken empfangen werden, können nicht mithilfe von VPC-Netzwerk-Peering in Ihr VPC-Netzwerk ausgetauscht werden.

      • Statische Routen, die den nächsten Hop des Standard-Internetgateways verwenden, und statische Routen mit Netzwerk-Tags können nicht über VPC-Netzwerk-Peering ausgetauscht werden.

      Weitere Informationen finden Sie unter Optionen für den Routenaustausch.

   3. Bitten Sie einen Netzwerkadministrator des VPC-Netzwerk mit Peering, Folgendes zu tun:

      1. Listen Sie die Routen in seinem VPC-Netzwerk auf und suchen Sie nach der erwarteten Route.

      2. Prüfen Sie die Peering-Konfiguration und aktualisieren Sie sie bei Bedarf, damit benutzerdefinierte Routen exportiert werden.

Traffic für ein Peering-Netzwerk wird abgewiesen

Mit Konnektivitätstests können Sie ermitteln, warum Traffic, der für ein Peering-Netzwerk bestimmt ist, abgewiesen wird. Wenn Traffic über benutzerdefinierte Routen gesendet werden soll, lesen Sie den Hilfeartikel Benutzerdefinierte Routen fehlen.

Traffic wird an einen unerwarteten nächsten Hop gesendet

Mit Konnektivitätstests können Sie ermitteln, warum Traffic an einen unerwarteten nächsten Hop gesendet wird. Wenn Traffic über benutzerdefinierte Routen gesendet werden soll, lesen Sie den Hilfeartikel Benutzerdefinierte Routen fehlen.

Peering mit einem bestimmten VPC-Netzwerk nicht möglich

Wenn Sie zu bestimmten VPC-Netzwerken keine Peering-Konfiguration herstellen können, könnten die VPC-Netzwerke, zu denen Ihr Netzwerk Peering-Verbindungen herstellen kann, durch eine Organisationsrichtlinie eingeschränkt sein. Fügen Sie das Netzwerk in der Organisationsrichtlinie der Liste der zulässigen Peering-Verbindungen hinzu oder wenden Sie sich an den Administrator Ihrer Organisation. Weitere Informationen finden Sie in der Einschränkung constraints/compute.restrictVpcPeering.

IPv6-Routen werden nicht ausgetauscht

Prüfen Sie zuerst, ob sowohl Ihre Peering-Verbindung als auch die Peering-Verbindung des Peering-VPC-Netzwerk den Stack-Typ IPV4_IPV6 haben. Bei Bedarf:

• Aktualisieren Sie die Peering-Verbindung, um den Stacktyp auf IPV4_IPV6 festzulegen.
• Bitten Sie einen Netzwerkadministrator des Peering-VPC-Netzwerk, die Peering-Verbindung zu aktualisieren und den Stacktyp auf IPV4_IPV6 festzulegen.

Nachdem die Stacktypen für beide Peering-Verbindungen auf IPV4_IPV6 gesetzt wurden, werden IPv6-Subnetzrouten (sowohl intern als auch extern) ausgetauscht. IPv6-Subnetzrouten sind in allen Google Cloud-VPC-Netzwerken eindeutig.

So tauschen Sie benutzerdefinierte IPv6-Routen aus:

• Aktualisieren Sie die Peering-Verbindung, um benutzerdefinierte Routen zu importieren und zu exportieren.
• Bitten Sie einen Netzwerkadministrator des Peering-VPC-Netzwerk, seine Peering-Verbindung so zu aktualisieren, dass benutzerdefinierte Routen importiert und exportiert werden.

Nächste Schritte

• Weitere Informationen zum VPC-Routing finden Sie unter Routen.
• Mehr zu den Limits in Bezug auf VPC-Netzwerk-Peering erfahren Sie unter Limits für VPC-Netzwerk-Peering.
• Informationen zur Verwendung eines internen Passthrough Network Load Balancers als nächsten Hop für eine benutzerdefinierte statische Route finden Sie unter Internen Passthrough Network Load Balancer als nächsten Hop verwenden.