בדיקות קישוריות הן כלי אבחון שמאפשר לבדוק את הקישוריות בין נקודות קצה ברשת. הוא מנתח את ההגדרות האישיות ובמקרים מסוימים מבצע ניתוח של מישור הנתונים בזמן אמת בין נקודות הקצה. נקודת קצה היא מקור או יעד של תנועה ברשת, כמו מכונה וירטואלית, אשכול Google Kubernetes Engine (GKE), כלל העברה של מאזן עומסים או כתובת IP באינטרנט.
כדי לנתח את הגדרות הרשת, הכלי "בדיקות קישוריות" מדמה את נתיב ההעברה הצפוי של חבילה דרך רשת הענן הווירטואלי הפרטי (VPC), מנהרות Cloud VPN או צירופים ל-VLAN. בנוסף, אפשר להשתמש בבדיקות הקישוריות כדי לדמות את נתיב ההעברה הנכנסת הצפוי למשאבים ברשת ה-VPC.
בתרחישי קישוריות מסוימים, בדיקות הקישוריות מבצעות גם ניתוח של מישור הנתונים בזמן אמת. התכונה הזו שולחת חבילות דרך מישור הנתונים כדי לאמת את הקישוריות, ומספקת אבחון בסיסי של זמן האחזור ואובדן המנות. אם התכונה תומכת בנתיב, כל בדיקה שתריצו תכלול תוצאה של ניתוח מישור נתונים בזמן אמת.
במאמר יצירה והרצה של בדיקות קישוריות מוסבר איך ליצור ולהריץ בדיקות לתרחישים שונים.
ה-API של בדיקות הקישוריות הוא Network Management API. מידע נוסף זמין במאמרי העזרה של ה-API.
למה כדאי להשתמש ב-Connectivity Tests?
בעזרת בדיקות הקישוריות תוכלו לפתור את הבעיות הבאות בקישוריות לרשת:
- הגדרות לא עקביות לא מכוונות
- הגדרות מיושנות שנובעות משינויים בהגדרות הרשת או מהעברות
- שגיאות בהגדרות של מגוון שירותים ופונקציות של הרשת
כשבודקים שירותים שמנוהלים על ידי Google, אפשר להשתמש בבדיקות הקישוריות גם כדי לקבוע אם יש בעיה ברשת ה-VPC שלכם או ברשת ה-VPC שבבעלות Google, שמשמשת למשאבי השירות.
איך בדיקות קישוריות מנתחות הגדרות
כדי לנתח את הגדרות הרשת, בכלי לבדיקת הקישוריות נעשה שימוש במכונת מצבים מופשטת כדי ליצור מודל של האופן שבו רשת VPC צריכה לעבד חבילות. Google Cloud מעבדת חבילה בכמה שלבים לוגיים.
הניתוח יכול להתבצע בכמה דרכים אפשריות
בגלל המגוון של שירותי רשת VPC והתכונות שנתמכות בניתוח ההגדרות האישיות, חבילת בדיקה שעוברת דרך הגדרות אישיות של רשת VPC יכולה לעבור בהרבה נתיבים אפשריים.
בתרשים הבא מוצג מודל של ניתוח התצורה שמדמה תנועת מעקב בין שני מכונות של Compute Engine – אחת משמאל ואחת מימין.
הניתוח תלוי בתשתית הרשת שלכם
בהתאם להגדרות הרשת והמשאבים של Google Cloud , יכול להיות שתעבורת הנתונים הזו תעבור דרך מנהרת Cloud VPN, רשת VPC, מאזן עומסים של Google Cloud או רשת VPC שכנה (peered) לפני שתגיע למכונה של Compute Engine ביעד.
הניתוח מתבצע לפי אחד מהמצבים הסופיים הרבים
מספר השלבים המוגבל בין מצבים נפרדים עד למסירה או להשמטה של חבילה, מיוצג כמכונת מצבים סופית. מכונת המצבים הסופיים הזו יכולה להיות בדיוק באחד מהמצבים הסופיים הרבים בכל זמן נתון, ויכולים להיות לה כמה מצבים עוקבים.
לדוגמה, כשבדיקות הקישוריות מתאימות לכמה מסלולים לפי קדימות המסלול, Google Cloud יכול לבחור מסלול מבין כמה מסלולים על סמך פונקציית גיבוב (hash) לא מוגדרת במישור הנתונים. אם מוגדר ניתוב על סמך מדיניות, בדיקת הקישוריות מנתבת את החבילה אל הצעד הבא, שהוא מאזן עומסים פנימי.
במקרה הקודם, המעקב של בדיקות קישוריות מחזיר את כל הנתיבים האפשריים, אבל לא יכול לקבוע באיזו שיטה Google Cloud השתמש כדי להחזיר את הנתיבים. הסיבה לכך היא שהשיטה הזו היא פנימית ל- Google Cloudועשויה להשתנות.
שירותים שמנוהלים על ידי Google
שירותים שמנוהלים על ידי Google, כמו Cloud SQL ו-Google Kubernetes Engine (GKE), מקצים משאבים ללקוחות בפרויקטים וברשתות VPC שבבעלות Google ובניהולה. ללקוחות אין הרשאת גישה למשאבים האלה.
בניתוח ההגדרות של בדיקות הקישוריות עדיין אפשר להריץ בדיקה ולקבל תוצאה כוללת של נגישות לשירותים שמנוהלים על ידי Google, אבל לא מסופקים פרטים על המשאבים שנבדקו בפרויקט שבבעלות Google.
בתרשים הבא מוצג מודל של האופן שבו ניתוח ההגדרות מדמה תעבורת נתונים של מעקב ממכונה של Compute Engine ברשת VPC של לקוח, למכונה של Cloud SQL ברשת VPC שבבעלות Google. בדוגמה הזו, הרשתות מחוברות באמצעות קישור בין רשתות VPC שכנות.
בדומה לבדיקה רגילה בין שני מכונות של Compute Engine, השלבים הלוגיים כוללים בדיקה של כללי חומת האש הרלוונטיים לתעבורת נתונים יוצאת והתאמה למסלול. כשמריצים בדיקה, ניתוח ההגדרות של בדיקות הקישוריות מספק פרטים על השלבים האלה. עם זאת, בשלב הלוגי האחרון של ניתוח ההגדרות ברשת ה-VPC שבבעלות Google, הניתוח מספק רק תוצאה כוללת של נגישות. בדיקות קישוריות לא מספקות פרטים על המשאבים בפרויקט שבבעלות Google, כי אין לכם הרשאה לצפות בהם.
למידע נוסף, קראו את דוגמאות הבדיקה במאמר בדיקת הקישוריות אל שירותים שמנוהלים על ידי Google וממנה.
איך בדיקות קישוריות מנתחות את מישור הנתונים הפעיל
בדיקת מישור נתונים בזמן אמת בודקת את הקישוריות על ידי שליחת כמה חבילות בדיקה של TCP או UDP מנקודת הקצה של המקור אל היעד. אם היעד הוא לא משאב שלGoogle Cloud , הקישוריות נבדקת בין נקודת הקצה של המקור לבין מיקום קצה הרשת.
בתוצאות הניתוח של מישור הנתונים בזמן אמת מוצגים מספר הבדיקות שנשלחו, מספר הבדיקות שהגיעו ליעד וסטטוס הנגישות. הסטטוס הזה נקבע לפי מספר הבדיקות שנשלחו בהצלחה, כפי שמתואר בטבלה הבאה.
| סטטוס | מספר הבדיקות שהגיעו ליעד שלהן |
|---|---|
| הגישה אפשרית | 95% לפחות |
| הגישה אינה אפשרית | ללא |
| ניתן להגיע לחלק מהיעדים | יותר מ-0% ופחות מ-95% |
בנוסף להצגת מספר החבילות שנמסרו בהצלחה, ניתוח מישור הנתונים בזמן אמת מציג גם מידע על החציון ועל האחוזון ה-95 של זמן האחזור בכיוון אחד. כשהיעד הוא כתובת IP באינטרנט, ניתוח בזמן אמת של מישור הנתונים שולח בדיקות ומציג את התוצאות לכל נתב קצה ברשת של Google שהתנועה עשויה לעבור דרכו.
יכול להיות שניתוח מישור הנתונים בזמן אמת לא יכלול את כל נתיבי הרשת האפשריים:
- אם נקודת הקצה של היעד היא Google Cloud מאזן עומסים עם כמה קצוות עורפיים, כל בדיקת ניתוח של מישור נתונים בזמן אמת נשלחת לקצה עורפי אקראי. יכול להיות שחלק מה-backends ייבדקו על ידי הרבה בדיקות, ואחרים לא ייבדקו בכלל.
- במקרה של ניתוב מסוג Equal-Cost Multipath (ECMP), כל בדיקה של ניתוח נתונים במישור הנתונים הפעיל מועברת באמצעות ניתוב אקראי. יכול להיות שחלק מנתיבי הניתוב ייבדקו על ידי הרבה בדיקות, ואחרים לא ייבדקו בכלל.
- מספר בדיקות הניתוח של מישור הנתונים בזמן אמת לא תלוי במספר נתיבי הרשת הקיימים, ויכול להיות שלא יהיו מספיק בדיקות ניתוח של מישור הנתונים בזמן אמת כדי לבדוק כל נתיב אפשרי.
אם יש פערים בין תוצאות הניתוח של ההגדרות לבין תוצאות הניתוח של מישור הנתונים בזמן אמת, עיינו במאמר פתרון בעיות בבדיקות קישוריות.
נקודות קצה (endpoints) נתמכות
בטבלאות שבקטעים הבאים מפורטות נקודות הקצה של המקור והיעד שנתמכות בבדיקות הקישוריות. במאמר הגדרות נתמכות של רשתות מפורטותGoogle Cloud הגדרות הרישות והתכונות ש-בדיקות קישוריות מנתח בזמן הרצת הבדיקות.
נקודות קצה (endpoints) של מקורות
בטבלה הבאה מפורטות נקודות הקצה של המקור שנתמכות בניתוח של מישור הנתונים בזמן אמת ובהגדרות של בדיקות הקישוריות.
| נקודת הקצה של המקור | ניתוח הגדרות אישיות | ניתוח של מישור נתונים בזמן אמת |
|---|---|---|
| מכונה וירטואלית של Compute Engine | (רק למכונות שפועלות) |
|
| מישור הבקרה של אשכול GKE | ||
| Pod ב-GKE | ||
| שירות Cloud Run | 1 | |
| משימה ב-Cloud Run | 1 | |
| פונקציות Cloud Run (דור ראשון) | 1 | |
| סביבת ברירת המחדל ב-App Engine | 1 | |
| מכונה של Cloud SQL | ||
| חיבור פרטי של Database Migration Service | ||
| כתובת IP פנימית ברשת VPC2 | (רק למשאבים Google Cloud נתמכים) |
|
| כתובת IP חיצונית3 | (רק למשאבים Google Cloud נתמכים) |
|
| כתובת IP פנימית ברשת שהיא לאGoogle Cloud (מחוברת לרשת VPC באמצעות Cloud Interconnect, Cloud VPN או נתב וירטואלי) |
השיקולים הנוספים הבאים חלים על נקודות קצה של מקור:
- במכונות וירטואליות של Compute Engine, ניתוח בזמן אמת של מישור הנתונים נתמך רק במכונות שפועלות. אין תמיכה כשנקודות הקצה של המקור והיעד הן אותה מכונה וירטואלית.
- במישורי הבקרה של אשכולות GKE ובמכונות Cloud SQL, בדיקות קישוריות תומכות רק בנקודות קצה שלא משתמשות ב-Private Service Connect.
- אי אפשר להשתמש בפונקציות Cloud Run, שנקראו בעבר Cloud Functions (דור שני). עם זאת, אתם יכולים לבדוק את הקישוריות מפונקציית Cloud Run על ידי יצירת בדיקת קישוריות לגרסה הבסיסית של Cloud Run. גרסה של Cloud Run נוצרת בכל פעם שפורסים פונקציית Cloud Run.
נקודות קצה (endpoints) של היעד
בטבלה הבאה מפורטות נקודות הקצה של היעד שנתמכות בניתוח של נתוני התצורה והנתונים בזמן אמת של בדיקות קישוריות.
| נקודת הקצה של היעד | ניתוח הגדרות אישיות | ניתוח של מישור נתונים בזמן אמת |
|---|---|---|
| מכונה וירטואלית של Compute Engine | (רק למכונות שפועלות) |
|
| מישור הבקרה של אשכול GKE | (רק לכתובות IP פנימיות) |
|
| Pod ב-GKE | ||
| מאזן עומסים של אפליקציות (ALB) פנימי וחיצוני | ||
| מאזן עומסי רשת בשרת proxy פנימי וחיצוני | ||
| מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי | ||
| מאזן עומסי רשת חיצוני להעברת סיגנל ללא שינוי | ||
| נקודת קצה (endpoint) של Private Service Connect | (רק לשירותים שפורסמו עם מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי של היצרן) |
|
| מכונה של Cloud SQL | (רק לכתובות IP פנימיות) |
|
| מכונה של Memorystore for Redis | ||
| Memorystore for Redis Cluster | ||
| כתובת IP פנימית ברשת VPC1 | (רק למשאבים Google Cloud נתמכים) |
|
| כתובת IP חיצונית2 | (רק לכתובות IP באינטרנט ולמשאבים נתמכים ב- Google Cloud) |
|
| כתובת IP פנימית ברשת שאינה שלGoogle Cloud (מחוברת לרשת VPC באמצעות Cloud Interconnect) | ||
| כתובת IP פנימית ברשת שהיא לאGoogle Cloud (מחוברת לרשת VPC באמצעות Cloud VPN או נתב וירטואלי) |
השיקולים הנוספים הבאים חלים על נקודות קצה (endpoint) של יעדים:
- במכונות וירטואליות של Compute Engine, ניתוח בזמן אמת של מישור הנתונים נתמך רק במכונות שפועלות. אין תמיכה כשנקודות הקצה של המקור והיעד הן אותה מכונה וירטואלית.
- בדיקות קישוריות תומכות ברפליקות של שרתים חיצוניים ב-Cloud SQL שמוגדרות לפי כתובות IP.
- בכתובות IP באינטרנט ובכתובות IP פנימיות ברשת שאינה שלGoogle Cloud , שמחוברת באמצעות Cloud Interconnect, ניתוח מישור הנתונים בזמן אמת בודק את הקישוריות עד למיקום קצה הרשת או לצירוף ל-VLAN של Cloud Interconnect, בהתאמה.
שיקולים ואילוצים
כדי להחליט אם להשתמש בבדיקות קישוריות, כדאי להביא בחשבון את הנקודות הבאות:
- ניתוח התצורה שמתבצע על ידי בדיקות קישוריות מבוסס כולו על פרטי התצורה של משאבי Google Cloud , ויכול להיות שהוא לא מייצג את המצב או הסטטוס בפועל של מישור הנתונים ברשת VPC.
- למרות שבדיקות הקישוריות מקבלות מידע מסוים על הגדרות דינמיות, כמו מצב מנהרת Cloud VPN ונתיבים דינמיים ב-Cloud Router, הן לא ניגשות למצב התקינות של תשתית הייצור הפנימית ורכיבי מישור הנתונים של Google, ולא מתחזקות אותו.
- סטטוס
Packet could be deliveredבבדיקת קישוריות לא מבטיח שהתנועה יכולה לעבור דרך מישור הנתונים. מטרת הבדיקה היא לאמת בעיות בהגדרות שיכולות לגרום לירידה בתנועה.
במסלולים נתמכים, תוצאות הניתוח של מישור הנתונים בזמן אמת משלימות את תוצאות ניתוח ההגדרות האישיות, על ידי בדיקה אם החבילות שנשלחו מגיעות ליעד.
ל-בדיקות קישוריות אין מידע על רשתות מחוץ ל- Google Cloud
רשתות חיצוניות מוגדרות כך:
- רשתות מקומיות שנמצאות במרכז הנתונים או במתקן אחר שבו אתם מפעילים את מכשירי החומרה ואת יישומי התוכנה שלכם.
- ספקי שירותי ענן אחרים שבהם אתם מפעילים משאבים.
- מארח באינטרנט ששולח תנועה לרשת ה-VPC שלכם.
בדיקות הקישוריות לא מבצעות מעקב אחרי חיבורים של חומת האש
מעקב אחרי חיבורים בחומות אש של VPC מאחסן מידע על חיבורים חדשים וקיימים, ומאפשר לאשר או להגביל תנועה על סמך המידע הזה.
ניתוח ההגדרות של בדיקות הקישוריות לא תומך במעקב אחרי חיבורים של חומת האש, כי טבלת החיבורים של חומת האש נמצאת במישור הנתונים של מכונה ב-Compute Engine ואי אפשר לגשת אליה. עם זאת, ניתוח ההגדרות יכול לדמות מעקב אחרי חיבורים על ידי מתן אפשרות לחיבור חוזר שבדרך כלל נדחה על ידי כלל חומת אש של תעבורת נתונים נכנסת, כל עוד בדיקות הקישוריות יוזמות את החיבור היוצא.
ניתוח של מישור נתונים פעיל לא תומך בבדיקת מעקב אחרי חיבורים של חומת אש.
בדיקות הקישוריות לא יכולות לבדוק מכונות של Compute Engine שמוגדרות לשנות את אופן ההעברה
בדיקות הקישוריות לא יכולות לבדוק מכונות של Compute Engine שהוגדרו לפעול במישור הנתונים כנתבים, חומות אש, שערים של NAT או רשתות VPN. בסוג כזה של הגדרה קשה להעריך את הסביבה שפועלת במכונה של Compute Engine. בנוסף, ניתוח בזמן אמת של מישור הנתונים לא תומך בתרחיש בדיקה מהסוג הזה.
הזמן שלוקח לקבל תוצאות של בדיקות קישוריות יכול להשתנות
קבלת התוצאות של בדיקות הקישוריות יכולה להימשך בין 30 שניות ל-10 דקות. משך הבדיקה תלוי בגודל של הגדרת רשת ה-VPC ובמספר המשאבים של Google Cloud שבהם אתם משתמשים.
בטבלה הבאה מוצגים זמני התגובה הצפויים לכל המשתמשים שמריצים בדיקה מול הגדרה לדוגמה בשאילתה. ההגדרה הזו מכילה מכונות של Compute Engine, מנהרת VPN של Cloud ו Google Cloudמאזני עומסים.
| גודל הפרויקט | מספר המשאבים ב- Google Cloud | זמן האחזור של התגובה |
|---|---|---|
| פרויקט קטן | פחות מ-50 | 60 שניות ל-95% מהשאילתות של כל המשתמשים |
| פרויקט בינוני | יותר מ-50 אבל פחות מ-5,000 | 120 שניות ל-95% מהשאילתות מכל המשתמשים |
| פרויקט גדול | יותר מ-5,000 | 600 שניות ל-95% מהשאילתות של כל המשתמשים |
ניתוח נתונים בזמן אמת לא מיועד למעקב רציף
ניתוח של מישור הנתונים בזמן אמת מבצע אימות חד-פעמי של הקישוריות לרשת למטרות אבחון. כדי לעקוב באופן רציף אחרי הקישוריות ואובדן המנות, אפשר להשתמש בלוח הבקרה לביצועי הענן.
תמיכה ב-VPC Service Controls
כדי להפחית את הסיכון לזליגת נתונים, אפשר להשתמש ב-VPC Service Controls כדי להוסיף עוד שכבת אבטחה לבדיקות הקישוריות. בעזרת VPC Service Controls, אתם יכולים להוסיף פרויקטים לגבולות גזרה לשירות שמגינים על המשאבים והשירותים מפני בקשות שמקורן מחוץ לגבולות הגזרה.
מידע נוסף על גבולות גזרה לשירות זמין בדף פרטים והגדרה של גבולות גזרה לשירות במסמכי התיעוד של VPC Service Controls.