从其他 VPC 网络访问服务

本教程介绍如何以 服务使用方 身份创建 Private Service Connect 端点 来访问已发布的服务。当您向端点发送请求时，Private Service Connect 会将这些请求转发给已发布的服务。

本教程面向云架构师、网络架构师、网络管理员和 IT 管理员。

目标

• 为服务使用方资源配置网络
• 创建端点
• 测试访问端点

费用

在本文档中，您将使用的以下收费组件： Google Cloud

• Virtual Private Cloud
• Compute Engine

您可使用 价格计算器 根据您的预计使用情况来估算费用。

新 Google Cloud 用户可能有资格申请免费试用。

完成本文档中描述的任务后，您可以通过删除所创建的资源来避免继续计费。如需了解详情，请参阅清理。

准备工作

1. 完成本系列中的前两个教程：
   • 创建负载均衡服务。
   • 使 服务可从其他 VPC 网络访问。您需要 服务连接 ID 才能完成本教程。
2. 创建或选择一个项目以用于服务使用方资源。 此项目称为 CONSUMER_PROJECT

1. 在 Google Cloud 控制台中，前往项目选择器页面。

   转到“项目选择器”

2. 选择或创建 Google Cloud 项目。

   选择或创建项目所需角色

   • 选择项目：选择项目不需要特定的 IAM 角色，您可以选择已获授角色的任何项目。
   • 创建项目：如需创建项目，您需要 Project Creator 角色 (roles/resourcemanager.projectCreator)，该角色包含 resourcemanager.projects.create 权限。了解如何授予 角色。
   注意：如果您不打算保留在此过程中创建的 资源，请创建项目，而不是 选择现有项目。完成这些步骤后，您可以 删除该项目，移除与该项目关联的所有资源。

3. 启用 Compute Engine API。

   启用 API 所需的角色

   如需启用 API，您需要拥有 serviceusage.services.enable 权限。如果您 创建了项目，则可能已通过 Owner 角色 (roles/owner) 拥有此权限。否则，您可以通过 Service Usage Admin 角色 (roles/serviceusage.serviceUsageAdmin) 获得此权限。 了解如何授予角色。

   启用 API

4. 确保您在项目中拥有以下一个或多个角色： Compute Engine > Compute Network Admin、Compute Engine > Compute Instance Admin

   检查角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择项目。

   3. 在主账号 列中，找到标识您或您所属群组的所有行。如需了解您属于哪些群组，请与您的 管理员联系。

   4. 对于指定或包含您的所有行，请检查角色 列，以查看角色列表是否包含所需角色。

   授予角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择项目。
   3. 点击 授予访问权限。

   4. 在新的主账号 字段中，输入您的用户标识符。 这通常是员工身份池中的用户的标识符。如需了解详情， 请参阅 在 IAM 政策中表示员工池用户，或与您的管理员联系。

   5. 点击选择角色，然后搜索相应角色。
   6. 如需授予其他角色，请点击 添加其他角色 ，然后添加其他各个角色。
   7. 点击 Save （保存）。

配置网络

以下部分介绍了如何创建网络和子网来托管端点，以及如何创建防火墙规则以允许通过 SSH 访问用于测试端点的客户端虚拟机。

创建网络和子网

如需创建服务使用方网络和子网，请按照以下步骤操作。

控制台

1. 在 Google Cloud 控制台中，前往 VPC 网络页面。

   进入 VPC 网络页面

2. 点击创建 VPC 网络。

3. 对于名称，输入 consumer-network。

4. 对于子网创建模式 ，选择自定义 。

5. 在新建子网 部分，输入以下信息。

   1. 对于名称，输入consumer-subnet。
   2. 对于区域，选择与您 创建的已发布服务相同的区域。
   3. 对于 IP 栈类型 ，选择 IPv4（单栈） 。
   4. 对于 IPv4 范围，输入 192.168.10.0/24。
   5. 点击完成 。

6. 点击创建。

gcloud

1. 创建一个自定义模式 VPC 网络：

   gcloud compute networks create consumer-network --subnet-mode=custom
   

2. 在 consumer-network 网络中，创建一个子网。

   gcloud compute networks subnets create consumer-subnet \
       --network=consumer-network \
       --range=192.168.10.0/24 \
       --region=REGION
   

   将 REGION 替换为您创建的已发布服务所在的区域。

配置防火墙规则

创建一个名为 fw-allow-ssh 的防火墙规则，以允许来自 0.0.0.0/0 的 SSH 流量到达具有 allow-ssh 网络标记的虚拟机。

控制台

1. 在 Google Cloud 控制台中，前往 防火墙政策 页面。

   进入防火墙政策页面

2. 如需允许传入 SSH 连接，请点击创建防火墙规则 ，然后使用以下设置：

   • 对于名称 ，输入 fw-allow-ssh。
   • 对于网络，选择consumer-network。
   • 在优先级 字段中，输入 1000。
   • 对于流量方向，选择入站。
   • 对于对匹配项执行的操作 ，选择允许 。
   • 对于目标 ，选择 Specified target tags 。
   • 对于目标标记，输入allow-ssh。
   • 对于来源过滤条件，选择IPv4 范围。
   • 对于来源 IPv4 范围，输入0.0.0.0/0。
   • 对于协议和端口，选择 Specified protocols and ports， 然后选中 TCP 复选框。对于端口，输入22。

3. 点击创建 。

gcloud

1. 创建 fw-allow-ssh 防火墙规则，以允许通过 SSH 连接到 网络标记为 allow-ssh 的虚拟机。

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=consumer-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=0.0.0.0/0 \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

创建端点

创建一个指向您创建的已发布服务的端点。

控制台

1. 在 Google Cloud 控制台中，前往 Private Service Connect 页面。

   转到 Private Service Connect

2. 点击已连接的端点标签页。

3. 点击连接端点。

4. 对于目标 ，选择已发布的服务 。

5. 对于目标服务，输入 projects/PRODUCER_PROJECT/regions/REGION/serviceAttachments/published-service。

   将 PRODUCER_PROJECT 替换为已发布服务的项目 ID。将 REGION 替换为已发布服务的区域。

6. 对于端点名称，输入ep-1。

7. 对于网络，选择consumer-network。

8. 对于子网，选择consumer-subnet。

9. 点击 IP 地址 下拉菜单，然后选择创建 IP 地址 。

   1. 对于名称，输入ep-ip-1。
   2. 对于静态 IP 地址，选择让我选择。
   3. 对于自定义 IP 地址，输入192.168.10.5。
   4. 点击预留 。

10. 点击添加端点。

gcloud

1. 预留要分配给该端点的内部 IP 地址。

   gcloud compute addresses create ep-ip-1 \
       --region=REGION \
       --subnet=consumer-subnet \
       --addresses=192.168.10.5
   

   将 REGION 替换为您创建的已发布服务所在的区域。

2. 创建转发规则，以将该端点连接到服务提供方的服务连接。

   gcloud compute forwarding-rules create ep-1 \
       --region=REGION \
       --network=consumer-network \
       --address=ep-ip-1 \
       --target-service-attachment=projects/PRODUCER_PROJECT/regions/REGION/serviceAttachments/published-service
   

   替换以下内容：

   • PRODUCER_PROJECT：服务提供方项目的项目 ID。

   • REGION：服务连接的区域。

测试访问端点

如需测试端点和已发布的服务是否正常运行，请创建一个测试虚拟机，并从该虚拟机向端点发送请求。

创建客户端虚拟机以进行测试

在与端点相同的区域中创建客户端虚拟机。

控制台

1. 在 Google Cloud 控制台中，前往虚拟机实例页面。

   转到虚拟机实例

2. 点击创建实例。

3. 对于名称，输入consumer-test。

4. 对于区域，选择与后端虚拟机相同的区域。

5. 在地区 部分，选择该区域内的一个地区。

6. 点击网络 并配置以下字段：

   1. 对于网络标记，请输入 allow-ssh。
   2. 对于网络接口，请选择以下内容：
      • 对于网络，选择consumer-network
      • 对于子网，选择consumer-subnet

7. 点击创建 。

gcloud

gcloud compute instances create consumer-test \
    --zone=ZONE \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=consumer-subnet

将 ZONE 替换为与后端虚拟机位于同一区域的地区。

测试连接性

此测试会从客户端虚拟机联系端点。预期行为是流量分布在负载均衡器的后端虚拟机中。

1. 连接到客户端虚拟机实例。

   gcloud compute ssh consumer-test --zone=ZONE
   

   将 ZONE 替换为客户端虚拟机的地区。
2. 使用 curl 连接端点的 IP 地址，通过这种方式向端点发送 Web 请求。重复该请求，您可以看到响应来自不同的后端虚拟机。根据每个后端虚拟机上 /var/www/html/index.html 的内容，生成响应的虚拟机的名称会显示在 HTML 响应的文本中。例如，预期 响应类似于 Page served from: vm-1 和 Page served from: vm-2。

   curl -s http://192.168.10.5
   

清理

为避免因本教程中使用的资源导致您的 Google Cloud 账号产生费用，请删除包含这些资源的项目，或者保留项目但删除各个资源。

删除项目

同时删除提供方项目 (PRODUCER_PROJECT) 和使用方项目 (CONSUMER_PROJECT)。

警告：删除项目会产生以下影响

• 项目中的所有内容都会被删除。如果您将现有项目用于本文档中的任务，则删除该项目后，还将删除您已在该项目中完成的任何其他工作。
• 自定义项目 ID 丢失。创建此项目时，您可能创建了要在将来使用的自定义项目 ID。要保留使用该项目 ID 的网址（例如 appspot.com 网址），请删除项目内的所选资源，而不是删除整个项目。

如果您打算探索多个架构、教程或快速入门，则重复使用项目 可以帮助您避免超出项目配额限制。

删除项目： Google Cloud

gcloud projects delete PROJECT_ID

后续步骤

• 详细了解 Private Service Connect 已发布的服务
• 详细了解如何通过端点访问已发布的服务
• 探索有关 Google Cloud 的参考架构、图表和最佳实践。 查看我们的 Cloud 架构中心。