Configura e gestisci il peering di rete VPC

Il peering di rete VPC di Google Cloud consente la connettività con indirizzi IP interni su due reti Virtual Private Cloud (VPC), indipendentemente dal fatto che appartengano allo stesso progetto o alla stessa organizzazione. Il peering supporta la connettività tra reti con subnet dual stack.

Per ulteriori informazioni, consulta Peering di rete VPC.

Crea una configurazione di peering

Prima di iniziare, devi avere il nome della rete VPC con la quale eseguirai il peering. Se la rete si trova in un altro progetto, devi anche avere l'ID progetto di quel progetto. Non puoi elencare le richieste di peering per la tua rete VPC. Se necessario, chiedi all'amministratore della rete con cui vuoi eseguire il peering i nomi della rete e del progetto.

Una configurazione del peering stabilisce l'intenzione di connettersi a un'altra rete VPC. La tua rete e l'altra rete non sono collegate fino a quando ciascuna non ha una configurazione di peering per l'altra. Quando l'altra rete ha una configurazione corrispondente per il peering con la tua rete, lo stato del peering diventa ACTIVE in entrambe le reti e le reti sono connesse. Se non esiste una configurazione di peering corrispondente nell'altra rete, lo stato del peering rimane INACTIVE, a indicare che la tua rete non è collegata all'altra.

Google Cloud consente una sola attività correlata al peering alla volta tra le reti con peering. Ad esempio, se configuri il peering con una rete e provi immediatamente a configurarne un'altra, l'operazione non va a buon fine con il seguente messaggio: Error: There is a peering operation in progress on the local or peer network. Try again later.

Una volta connesse, le due reti VPC scambiano sempre route di subnet IPv4 (intervalli di subnet IPv4 principali e secondari) che utilizzano intervalli di indirizzi IPv4 privati. Per saperne di più sulle opzioni di scambio di route delle sottoreti, consulta Opzioni per lo scambio di route delle sottoreti. Per informazioni dettagliate sullo scambio di route statici o dinamici, vedi Opzioni per lo scambio di route statici e Opzioni per lo scambio di route dinamici.

gcloud compute networks peerings create PEERING_NAME \
    --network=NETWORK \
    --peer-project=PEER_PROJECT_ID \
    --peer-network=PEER_NETWORK_NAME \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--import-subnet-routes-with-public-ip] \
    [--export-subnet-routes-with-public-ip]

module "peering1" {
  source        = "terraform-google-modules/network/google//modules/network-peering"
  version       = "~> 9.0"
  local_network = var.local_network # Replace with self link to VPC network "foobar" in quotes
  peer_network  = var.peer_network  # Replace with self link to VPC network "other" in quotes
}

Verificare che il traffico passi tra le reti VPC in peering

Puoi utilizzare i log di flusso VPC per visualizzare i flussi di rete inviati e ricevuti dalle istanze VM. Puoi anche utilizzare il logging delle regole firewall per verificare che il traffico passi tra le reti. Crea regole firewall VPC che consentano (o neghino) il traffico tra le reti in peering e attiva la registrazione delle regole firewall per queste regole. Puoi quindi visualizzare le regole firewall che sono state interessate utilizzando Cloud Logging.

Aggiorna una connessione in peering

Quando aggiorni una connessione di peering di rete VPC esistente, puoi eseguire le seguenti operazioni:

• Modifica l'opzione che consente alla rete VPC di esportare o importare route personalizzate o route di subnet IPv4 pubblici utilizzati privatamente verso o dalla rete VPC peer.
• Aggiorna una connessione in peering esistente per attivare o disattivare lo scambio di route IPv6 tra le reti in peering.

La tua rete importa le route solo se la rete peer le esporta e la rete peer le riceve solo se le importa.

gcloud compute networks peerings update PEERING_NAME \
    --network=NETWORK \
    [--stack-type=STACK_TYPE] \
    [--import-custom-routes] \
    [--export-custom-routes] \
    [--export-subnet-routes-with-public-ip] \
    [--import-subnet-routes-with-public-ip]

Elenca le connessioni in peering

Elenca le connessioni in peering esistenti per visualizzarne lo stato e se stanno importando o esportando route personalizzate.

gcloud compute networks peerings list

Elenca le route di peering

gcloud compute networks peerings list-routes PEERING_NAME \
    --network=NETWORK \
    --region=REGION \
    --direction=DIRECTION

Eliminare una connessione di peering di rete VPC

Tu o un amministratore di rete della rete VPC di destinazione potete eliminare una configurazione di peering. Quando una configurazione di peering viene eliminata, la connessione di peering passa a INACTIVE nell'altra rete e tutti i percorsi condivisi tra le reti vengono rimossi.

gcloud compute networks peerings delete PEERING_NAME \
    --network=NETWORK

Risoluzione dei problemi

Le sezioni seguenti descrivono come risolvere i problemi relativi al peering di reti VPC.

Le VM peer non sono raggiungibili

Una volta che la connessione in peering è attiva, potrebbe essere necessario fino a un minuto per configurare tutti i flussi di traffico tra le reti in peering. Questo tempo dipende dalle dimensioni delle reti in peering. Se di recente hai configurato la connessione di peering, attendi fino a un minuto e riprova. Inoltre, assicurati che non siano presenti regole firewall che blocchino l'accesso ai/dai CIDR delle sottoreti della rete VPC peer.

Le route personalizzate mancano

Questa sezione descrive come risolvere i problemi relativi ai percorsi personalizzati mancanti.

Controllare lo stato della connessione di peering

Per controllare lo stato della connessione di peering:

1. Elenca le connessioni in peering.
2. Identifica la connessione di peering da risolvere e controllane lo stato.
   1. Se lo stato è ACTIVE, segui i passaggi descritti nella sezione successiva.
   2. Se lo stato del peering è INACTIVE, un amministratore di rete per l'altra rete deve creare una configurazione di peering per la tua rete VPC.

Risolvere i problemi di connessione a ACTIVE

Per risolvere i problemi relativi ai percorsi personalizzati mancanti in una connessione in peering ACTIVE:

1. Elenca le route di peering nella tua rete VPC. Nella scheda Route efficaci, segui questi passaggi:

   1. Tieni presente che le regioni in cui sono programmate le route dinamiche dipendono dalla modalità di routing dinamico della rete VPC che esporta le route personalizzate. Per maggiori dettagli, vedi Effetti della modalità di routing dinamico. In modalità di routing dinamico globale, viene programmata solo la route dinamica con il ranking più alto nelle regioni che non corrispondono alla regione dell'hop successivo.

   2. Fai clic sul pulsante di attivazione/disattivazione Mostra le route eliminate per attivarlo, quindi cerca il tuo percorso. Per visualizzare il motivo per cui un percorso è stato eliminato, posiziona il mouse sopra l'icona nella colonna Stato. Google Cloud fornisce la risoluzione dei conflitti di route su base regionale nella rete VPC che importa le route utilizzando il peering di rete VPC.

   3. Cerca un avviso che indica che la tua rete VPC ha raggiunto il limite per la quota di route dinamiche per regione per gruppo di peering. Se la rete VPC ha raggiunto il limite per questa quota, una o più route dinamiche di peering non sono programmate. Poiché non è possibile mostrare esattamente quali route dinamiche di peering non sono programmate, richiedi un aumento del limite di quota per le route dinamiche per regione per quota di gruppo di peering.

2. Se continui a non vedere il percorso previsto, procedi nel seguente modo:

   1. Esamina la configurazione del peering e aggiornala se necessario in modo che importi le route personalizzate.

   2. Assicurati che la route non sia uno dei seguenti tipi di route che non possono essere scambiati utilizzando il peering di rete VPC:

      • Le route di peering di subnet, peering statiche e peering dinamiche in una rete VPC in peering che vengono ricevute dalle altre reti peer non possono essere scambiate con la tua rete VPC utilizzando il peering di rete VPC.

      • Le route statiche che utilizzano l'hop successivo del gateway internet predefinito e le route statiche con tag di rete non possono essere scambiate utilizzando il peering di rete VPC.

      Per ulteriori informazioni, consulta Opzioni di scambio route.

   3. Chiedi a un amministratore di rete della rete VPC in peering di:

      1. Elenca i route nella rete VPC, cercando il route che ti aspetti.

      2. Esamina la configurazione del peering e aggiornala se necessario in modo che esegua l'esportazione delle route personalizzate.

Il traffico destinato a una rete peer viene abbandonato

Puoi utilizzare Connectivity Tests per determinare il motivo per cui il traffico destinato a una rete peer viene interrotto. Se il traffico deve essere inviato utilizzando route personalizzate, consulta Le route personalizzate mancano.

Il traffico viene inviato a un hop successivo imprevisto

Puoi utilizzare Connectivity Tests per determinare il motivo per cui il traffico viene inviato a un hop successivo imprevisto. Se il traffico deve essere inviato utilizzando route personalizzate, consulta Le route personalizzate mancano.

Impossibile eseguire il peering con una determinata rete VPC

Se non riesci a creare una configurazione di peering con determinate reti VPC, è possibile che un criterio dell'organizzazione stia limitando le reti VPC con cui la tua rete può eseguire il peering. Nel criterio dell'organizzazione, aggiungi la rete all'elenco di peer consentiti o contatta l'amministratore dell'organizzazione. Per ulteriori informazioni, consulta la vincolo constraints/compute.restrictVpcPeering.

Le route IPv6 non vengono scambiate

Innanzitutto, verifica che i tipi di stack siano impostati su IPV4_IPV6 sia per la connessione di peering che per la rete VPC con peering. Se necessario:

• Aggiorna la connessione in peering per impostare il tipo di istruzione su IPV4_IPV6.
• Chiedi a un amministratore di rete della rete VPC con peering di aggiornare la connessione di peering, impostando il tipo di stack su IPV4_IPV6.

Dopo aver impostato i tipi di stack su IPV4_IPV6 per entrambe le connessioni in peering, vengono scambiate le route di subnet IPv6 (interne ed esterne). Le route di subnet IPv6 sono uniche tra tutte le reti VPC Google Cloud.

Per scambiare route personalizzate IPv6:

• Aggiorna la connessione in peering per importare ed esportare route personalizzate.
• Chiedi a un amministratore di rete della rete VPC in peering di aggiornare la connessione in peering per importare ed esportare route personalizzate.

Passaggi successivi

• Per ulteriori informazioni sul routing VPC, consulta Route.
• Per i limiti relativi al peering di rete VPC, consulta Limiti di peering di rete VPC.
• Per informazioni su come utilizzare un bilanciatore del carico di rete passthrough interno come hop successivo per una route statica personalizzata, consulta Utilizzare un bilanciatore del carico di rete passthrough interno come hop successivo.