Connectivity Tests è uno strumento di diagnostica che consente di verificare la connettività tra gli endpoint di rete. Analizza la tua configurazione e, in alcuni casi, esegue l'analisi del piano dati in tempo reale tra gli endpoint. Un endpoint è un'origine o una destinazione del traffico di rete, ad esempio una VM, un cluster Google Kubernetes Engine (GKE), una regola di forwarding del bilanciatore del carico o un indirizzo IP su internet.
Per analizzare le configurazioni di rete, Connectivity Tests simula il percorso di forwarding previsto di un pacchetto attraverso la rete Virtual Private Cloud (VPC), i tunnel Cloud VPN o i collegamenti VLAN. Connectivity Tests può anche simulare il percorso di andata in entrata previsto per le risorse nella tua rete VPC.
Per alcuni scenari di connettività, Connectivity Tests esegue anche l'analisi del piano dati in tempo reale. Questa funzionalità invia pacchetti attraverso il piano dati per convalidare la connettività e fornisce una diagnostica di base della latenza e della perdita di pacchetti. Se la route è supportata per la funzionalità, ogni test eseguito include un risultato dell'analisi del piano dati in tempo reale.
Per scoprire come creare ed eseguire test per vari scenari, consulta Crea ed esegui Connectivity Tests.
L'API per Connectivity Tests è l'API Network Management. Per saperne di più, consulta la documentazione dell'API.
Perché utilizzare Connectivity Tests?
Connectivity Tests può aiutarti a risolvere i seguenti problemi di connettività di rete:
- Configurazioni incoerenti non intenzionali
- Configurazioni obsolete causate da modifiche o migrazioni della configurazione di rete
- Errori di configurazione per una serie di servizi e funzioni di rete
Durante i test dei servizi gestiti da Google, Connectivity Tests può anche aiutarti a determinare se esiste un problema nella tua rete VPC o nella rete VPC di proprietà di Google utilizzata per le risorse del servizio.
In che modo Connectivity Tests analizza le configurazioni
Quando analizza le configurazioni di rete, Connectivity Tests utilizza una macchina a stati astratti per modellare il modo in cui una rete VPC deve elaborare i pacchetti. Google Cloud elabora un pacchetto in diversi passaggi logici.
L'analisi può seguire molti percorsi possibili
A causa della varietà di servizi e funzionalità di rete VPC supportati dall'analisi della configurazione, un pacchetto di test che attraversa una configurazione di rete VPC può seguire molti percorsi possibili.
Il seguente diagramma mostra un modello di come l'analisi della configurazione simula il traffico di traccia tra due istanze di Compute Engine, una a sinistra e l'altra a destra.
L'analisi dipende dall'infrastruttura di rete
A seconda delle configurazioni della rete e delle risorse Google Cloud , questo traffico potrebbe passare attraverso un tunnel Cloud VPN, una rete VPC, un bilanciatore del carico Google Cloud o una rete VPC in peering prima di raggiungere l'istanza Compute Engine di destinazione.
L'analisi segue uno dei tanti stati finiti
Il numero limitato di passaggi tra stati discreti fino a quando un pacchetto non viene consegnato o eliminato è modellato come una macchina a stati finiti. Questa macchina a stati finiti può trovarsi in uno solo di molti stati finiti in qualsiasi momento e potrebbe avere più stati successivi.
Ad esempio, quando Connectivity Tests trova più route in base alla precedenza delle route, Google Cloud può scegliere una route tra più route in base a una funzione di hashing non specificata nel piano dati. Se è configurata una route basata su policy, Connectivity Tests instrada il pacchetto all'hop successivo, che è un bilanciatore del carico interno.
Nel caso precedente, la traccia di Connectivity Tests restituisce tutte le route possibili, ma non può determinare il metodo utilizzato da Google Cloud per restituire le route. Questo perché il metodo è interno a Google Cloud ed è soggetto a modifiche.
Servizi gestiti da Google
I servizi gestiti da Google, come Cloud SQL e Google Kubernetes Engine (GKE), allocano risorse per i clienti in progetti e reti VPC di proprietà e gestiti da Google. I clienti non dispongono dell'autorizzazione per accedere a queste risorse.
L'analisi della configurazione di Connectivity Tests può comunque eseguire un test e fornire un risultato di raggiungibilità complessivo per i servizi gestiti da Google, ma non fornisce dettagli per le risorse testate nel progetto di proprietà di Google.
Il seguente diagramma mostra un modello di come l'analisi della configurazione simula il traffico di traccia da un'istanza Compute Engine in una rete VPC del cliente a un'istanza Cloud SQL nella rete VPC di proprietà di Google. In questo esempio, le reti sono connesse tramite il peering di rete VPC.
Analogamente a un test standard tra due istanze di Compute Engine, i passaggi logici includono il controllo delle regole firewall in uscita pertinenti e la corrispondenza della route. Quando esegui un test, l'analisi della configurazione di Connectivity Tests fornisce i dettagli di questi passaggi. Tuttavia, per il passaggio logico finale dell'analisi della configurazione nella rete VPC di proprietà di Google, l'analisi fornisce solo un risultato di raggiungibilità complessivo. Connectivity Tests non fornisce dettagli per le risorse nel progetto di proprietà di Google perché non hai l'autorizzazione per visualizzarle.
Per saperne di più, consulta gli esempi di test in Testa la connettività da e verso servizi gestiti da Google.
In che modo Connectivity Tests analizza il piano dati in tempo reale
L'analisi del piano dati in tempo reale testa la connettività inviando più pacchetti di probe TCP o UDP dall'endpoint di origine alla destinazione. Se la destinazione non è una risorsaGoogle Cloud , la connettività viene testata tra l'endpoint di origine e la località perimetrale della rete.
I risultati dell'analisi del piano dati in tempo reale mostrano il numero di probe inviati, il numero di probe che hanno raggiunto correttamente la destinazione e uno stato di raggiungibilità. Questo stato viene determinato in base al numero di probe inviati correttamente, come descritto nella tabella seguente.
| Stato | Numero di probe che hanno raggiunto la destinazione |
|---|---|
| Raggiungibile | Almeno il 95% |
| Non raggiungibile | Nessuno |
| Parzialmente raggiungibile | Maggiore di 0 e inferiore al 95% |
Oltre a mostrare il numero di pacchetti consegnati correttamente, l'analisi del piano dati in tempo reale mostra anche le informazioni sulla latenza unidirezionale mediana e del 95° percentile. Quando la destinazione è un indirizzo IP internet, l'analisi del piano dati in tempo reale invia probe e mostra i risultati per ogni router perimetrale della rete Google attraverso il quale potrebbe essere instradato il traffico.
L'analisi del piano dati in tempo reale potrebbe non coprire tutti i possibili percorsi di networking:
- Se l'endpoint di destinazione è un bilanciatore del carico Google Cloud con più backend, ogni probe di analisi del piano dati in tempo reale viene inviato a un backend casuale. Alcuni backend possono essere testati da molti probe, mentre altri potrebbero non essere testati affatto.
- In caso di routing ECMP (Equal-cost multipath), ogni probe di analisi del piano dati in tempo reale viene inoltrato da una route casuale. Alcuni percorsi di routing possono essere testati da molti probe, mentre altri potrebbero non essere testati affatto.
- Il numero di probe di analisi del piano dati in tempo reale non dipende dal numero di percorsi di networking esistenti e potrebbe non esserci un numero sufficiente di probe di analisi del piano dati in tempo reale per testare ogni possibile percorso.
Se noti discrepanze evidenti tra i risultati dell'analisi della configurazione e quelli dell'analisi del piano dati in tempo reale, consulta Risolvi i problemi di Connectivity Tests.
Endpoint supportati
Le tabelle nelle sezioni seguenti riepilogano gli endpoint di origine e di destinazione supportati da Connectivity Tests. Per le configurazioni e le funzionalità di rete diGoogle Cloud analizzate da Connectivity Tests durante l'esecuzione dei test, consulta Configurazioni di rete supportate.
Endpoint di origine
La tabella seguente riassume gli endpoint di origine supportati dall'analisi della configurazione e del piano dati in tempo reale di Connectivity Tests.
| Endpoint di origine | Analisi della configurazione | Analisi del piano dati in tempo reale |
|---|---|---|
| Istanza VM di Compute Engine | (solo per le istanze in esecuzione) |
|
| Control plane del cluster GKE | ||
| Pod GKE | ||
| Servizio Cloud Run | 1 | |
| Job Cloud Run | 1 | |
| Cloud Run Functions (1ª generazione.) | 1 | |
| ambiente standard App Engine | 1 | |
| Istanza Cloud SQL | ||
| Connessione privata Database Migration Service | ||
| Indirizzo IP interno in una rete VPC2 | (solo per le risorse Google Cloud supportate) |
|
| Indirizzo IP esterno3 | (solo per le risorse Google Cloud supportate) |
|
| Indirizzo IP interno in una rete nonGoogle Cloud (connessa a una rete VPC tramite Cloud Interconnect, Cloud VPN o appliance router) |
Agli endpoint di origine si applicano le seguenti considerazioni aggiuntive:
- Per le istanze VM di Compute Engine, l'analisi del piano dati in tempo reale è supportata solo per le istanze in esecuzione. Non è supportato quando gli endpoint di origine e di destinazione sono la stessa istanza VM.
- Per i control plane dei cluster GKE e le istanze Cloud SQL, Connectivity Tests supporta solo gli endpoint che non utilizzano Private Service Connect.
- Cloud Run Functions, in precedenza Cloud Functions (2nd gen), non è supportato. Tuttavia, puoi testare la connettività da una funzione Cloud Run creando un Connectivity Test per la revisione Cloud Run sottostante. Viene creata una revisione Cloud Run ogni volta che viene eseguito il deployment di una funzione Cloud Run.
Endpoint di destinazione
La tabella seguente riassume gli endpoint di destinazione supportati dalla configurazione di Connectivity Tests e dall'analisi del piano dati in tempo reale.
| Endpoint di destinazione | Analisi della configurazione | Analisi del piano dati in tempo reale |
|---|---|---|
| Istanza VM di Compute Engine | (solo per le istanze in esecuzione) |
|
| Control plane del cluster GKE | (solo per indirizzi IP interni) |
|
| Pod GKE | ||
| Bilanciatore del carico delle applicazioni interno ed esterno | ||
| Bilanciatore del carico di rete proxy interno ed esterno | ||
| Bilanciatore del carico di rete passthrough interno | ||
| Bilanciatore del carico di rete passthrough esterno | ||
| Endpoint Private Service Connect | (solo per i servizi pubblicati con un bilanciatore del carico di rete passthrough interno del producer) |
|
| Istanza Cloud SQL | (solo per indirizzi IP interni) |
|
| Istanza Memorystore for Redis | ||
| Memorystore for Redis Cluster | ||
| Indirizzo IP interno in una rete VPC1 | (solo per le risorse Google Cloud supportate) |
|
| Indirizzo IP esterno2 | (solo per indirizzi IP internet e risorse Google Cloud supportate) |
|
| Indirizzo IP interno in una rete nonGoogle Cloud (connessa a una rete VPC tramite Cloud Interconnect) | ||
| Indirizzo IP interno in una rete nonGoogle Cloud (connessa a una rete VPC tramite Cloud VPN o appliance router) |
Le seguenti considerazioni aggiuntive si applicano agli endpoint di destinazione:
- Per le istanze VM di Compute Engine, l'analisi del piano dati in tempo reale è supportata solo per le istanze in esecuzione. Non è supportato quando gli endpoint di origine e di destinazione sono la stessa istanza VM.
- Connectivity Tests supporta le repliche di server esterni Cloud SQL definite dagli indirizzi IP.
- Per gli indirizzi IP internet e gli indirizzi IP interni in una rete nonGoogle Cloud connessa tramite Cloud Interconnect, l'analisi del piano dati in tempo reale testa la connettività fino alla località perimetrale della rete o al collegamento VLAN per Cloud Interconnect, rispettivamente.
Considerazioni e vincoli
Valuta le seguenti considerazioni quando decidi se utilizzare Connectivity Tests.
- L'analisi della configurazione eseguita da Connectivity Tests si basa interamente sulle informazioni di configurazione delle risorse Google Cloud e potrebbe non rappresentare la condizione o lo stato effettivo del piano dati di una rete VPC.
- Sebbene Connectivity Tests acquisisca alcune informazioni di configurazione dinamica, come lo stato del tunnel Cloud VPN e le route dinamiche presenti sul router Cloud, non accede né mantiene lo stato di integrità dell'infrastruttura di produzione interna e dei componenti del piano dati di Google.
- Uno stato
Packet could be deliveredper un Connectivity Test non garantisce che il traffico possa passare attraverso il piano dati. Lo scopo del test è convalidare i problemi di configurazione che possono causare un calo del traffico.
Per le route supportate, i risultati dell'analisi del piano dati in tempo reale integrano i risultati dell'analisi della configurazione verificando se i pacchetti trasmessi arrivano alla destinazione.
Connectivity Tests non ha informazioni sulle reti esterne a Google Cloud
Le reti esterne sono definite come segue:
- Reti on-premise che risiedono nel tuo data center o in un'altra struttura in cui gestisci i tuoi dispositivi hardware e le tue applicazioni software.
- Altri cloud provider in cui esegui le risorse.
- Un host su internet che invia traffico alla tua rete VPC.
Connectivity Tests non esegue il monitoraggio delle connessioni del firewall
Il monitoraggio della connessione per i firewall VPC memorizza le informazioni sulle connessioni nuove e stabilite e consente di consentire o limitare il traffico successivo in base a queste informazioni.
L'analisi della configurazione di Connectivity Tests non supporta il monitoraggio delle connessioni del firewall perché la tabella delle connessioni del firewall si trova nel piano dati di un'istanza Compute Engine ed è inaccessibile. Tuttavia, l'analisi della configurazione può simulare il monitoraggio delle connessioni consentendo una connessione di ritorno che normalmente verrebbe negata da una regola firewall in entrata, a condizione che Connectivity Tests avvii la connessione in uscita.
L'analisi del piano dati in tempo reale non supporta il test del monitoraggio della connessione del firewall.
Connectivity Tests non può testare le istanze Compute Engine configurate per modificare il comportamento di forwarding
Connectivity Tests non può testare le istanze di Compute Engine configurate per agire nel piano dati come router, firewall, gateway NAT o VPN. Questo tipo di configurazione rende difficile valutare l'ambiente in esecuzione sull'istanza Compute Engine. Inoltre, l'analisi del piano dati in tempo reale non supporta questo tipo di scenario di test.
I tempi dei risultati di Connectivity Tests possono variare
L'ottenimento dei risultati di Connectivity Tests può richiedere da 30 secondi a 10 minuti. Il tempo necessario per un test dipende dalle dimensioni della configurazione della rete VPC e dal numero di risorse Google Cloud che utilizzi.
La tabella seguente mostra i tempi di risposta che puoi aspettarti per tutti gli utenti che eseguono un test su una configurazione di esempio in una query. Questa configurazione contiene istanze di Compute Engine, un tunnel Cloud VPN e bilanciatori del carico Google Cloud.
| Dimensioni del progetto | Numero di risorse Google Cloud | Latenza di risposta |
|---|---|---|
| Progetto di piccole dimensioni | Meno di 50 | 60 secondi per il 95% delle query di tutti gli utenti |
| Progetto medio | Più di 50, ma meno di 5000 | 120 secondi per il 95% delle query di tutti gli utenti |
| Progetto di grandi dimensioni | Più di 5000 | 600 secondi per il 95% delle query di tutti gli utenti |
L'analisi del piano dati in tempo reale non è destinata al monitoraggio continuo
L'analisi del piano dati in tempo reale esegue una verifica una tantum della connessione di rete per scopi diagnostici. Per il monitoraggio continuo della connettività e della perdita di pacchetti, utilizza Performance Dashboard.
Supporto dei Controlli di servizio VPC
I Controlli di servizio VPC possono fornire una sicurezza aggiuntiva per Connectivity Tests per contribuire a mitigare il rischio di esfiltrazione di dati. Utilizzando i Controlli di servizio VPC, puoi aggiungere progetti ai perimetri di servizio che proteggono risorse e servizi da richieste provenienti dall'esterno del perimetro.
Per saperne di più sui perimetri di servizio, consulta la pagina Dettagli e configurazione del perimetro di servizio della documentazione sui Controlli di servizio VPC.