Configura l'accesso a internet per le VM dei carichi di lavoro

gcloud

1. Imposta l'ID progetto predefinito:

   gcloud config set project PROJECT_ID
   

2. Imposta una regione e una zona predefinite:

   gcloud config set compute/region REGION
   

   gcloud config set compute/zone ZONE
   

Per saperne di più sullo strumento gcloud vmware, consulta la documentazione di riferimento di Cloud SDK.

API

Gli esempi di API in questo set di documentazione utilizzano lo strumento a riga di comando cURL per interrogare l'API. È necessario un token di accesso valido nell'ambito della richiesta cURL. Esistono molti modi per ottenere un token di accesso valido. I seguenti passaggi utilizzano lo strumento gcloud per generare un token di accesso:

1. Accedi a Google Cloud:

   gcloud auth login
   

2. Genera token di accesso ed esportalo in TOKEN:

   export TOKEN=`gcloud auth print-access-token`
   

3. Verifica che TOKEN sia impostato correttamente:

   echo $TOKEN
   

Ora utilizza il token di autorizzazione nelle richieste all'API. Ad esempio:

curl -X GET -H "Authorization: Bearer \"$TOKEN\"" -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations

Python

Gli esempi di codice Python in questa documentazione utilizzano la libreria VMware Engine per comunicare con l'API. Per poter utilizzare questo approccio, la libreria deve essere installata e le credenziali predefinite dell'applicazione devono essere configurate.

1. Scarica e installa la libreria Python:

   pip install google-cloud-vmwareengine
   

2. Configura le informazioni ADC eseguendo questi comandi nella shell:

   gcloud auth application-default login
   

   In alternativa, utilizza un file di chiave del service account:

   export GOOGLE_APPLICATION_CREDENTIALS="FILE_PATH"
   

Per maggiori informazioni sulla libreria, visita la pagina di riferimento o visualizza gli esempi di codice su GitHub.

Console

Per attivare il servizio di accesso a internet in una regione:

1. Nella console Google Cloud , vai alla pagina Policy di rete.

   Vai a Policy di rete

2. Fai clic su Seleziona un progetto e poi seleziona l'organizzazione, la cartella o il progetto che contiene la rete VMware Engine per cui vuoi attivare il servizio di accesso a internet.

3. Fai clic su Crea per creare una nuova policy. Se vuoi modificare un criterio di rete esistente, fai clic sull'icona Altromore_vert alla fine di una riga e seleziona Modifica.

4. Compila i dettagli del criterio di rete, inclusa la scelta della rete e della regione a cui si applica il criterio.

5. Imposta Accesso a internet su Attivato e, facoltativamente, attiva Servizio di indirizzi IP esterni.

6. Nel campo CIDR dei servizi edge, inserisci l'intervallo di indirizzi da utilizzare quando indirizzi il gateway internet VMware Engine (intervallo di indirizzi /26).

7. Fai clic su Crea.

Lo stato del servizio cambia in Attivato al termine dell'operazione, in genere dopo diversi minuti.

gcloud

Utilizzando lo strumento gcloud, esegui il seguente comando per creare una policy di rete:

gcloud vmware network-policies create NETWORK_POLICY_NAME \
    --vmware-engine-network projects/PROJECT_ID/locations/LOCATIONS/vmwareEngineNetworks/NETWORK_ID \
    --edge-services-cidr=IP_RANGE \
    --location=LOCATION \
    --internet-access

Sostituisci quanto segue:

• NETWORK_POLICY_NAME: il nome di questa policy di rete.
• NETWORK_ID: la rete a cui si applica questo criterio di rete
• IP_RANGE: l'intervallo CIDR da utilizzare per l'accesso a internet e i gateway di accesso IP esterni, nella notazione CIDR. È richiesto un blocco CIDR RFC 1918 con un prefisso "/26".
• LOCATION: global per le reti legacy o la regione di una rete standard

API

curl -X POST -H "Authorization: Bearer TOKEN"  -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/networkPolicies?networkPolicyId=NETWORK_POLICY_NAME

'{
  "vmwareEngineNetwork":"projects/PROJECT_ID/locations/LOCATION/vmwareEngineNetworks/NETWORK_ID",
  "edgeServiceCidr":IP_RANGE,
  "internetAccess: {
    "enabled": true
   },
   "externalIp": {
     "enabled": true
   }
}"

Sostituisci quanto segue:

• NETWORK_POLICY_NAME: il nome di questa policy di rete. Deve essere nel formato REGION-default.
• PROJECT_ID: l'ID progetto per questa richiesta
• LOCATION: global per le reti legacy o la regione di una rete standard
• IP_RANGE: l'intervallo CIDR da utilizzare per l'accesso a internet e i gateway di accesso IP esterni, nella notazione CIDR. È richiesto un blocco CIDR RFC 1918 con un prefisso "/26".
• NETWORK_ID: la rete per questa policy di rete

Python

from google.api_core import operation
from google.cloud import vmwareengine_v1


def create_network_policy(
    project_id: str,
    region: str,
    ip_range: str,
    internet_access: bool,
    external_ip: bool,
) -> operation.Operation:
    """
    Creates a new network policy in a given network.

    Args:
        project_id: name of the project you want to use.
        region: name of the region you want to use. I.e. "us-central1"
        ip_range: the CIDR range to use for internet access and external IP access gateways,
            in CIDR notation. An RFC 1918 CIDR block with a "/26" suffix is required.
        internet_access: should internet access be allowed.
        external_ip: should external IP addresses be assigned.

    Returns:
        An operation object representing the started operation. You can call its .result() method to wait for
        it to finish.

    Raises:
        ValueError if the provided ip_range doesn't end with /26.
    """
    if not ip_range.endswith("/26"):
        raise ValueError(
            "The ip_range needs to be an RFC 1918 CIDR block with a '/26' suffix"
        )

    network_policy = vmwareengine_v1.NetworkPolicy()
    network_policy.vmware_engine_network = f"projects/{project_id}/locations/{region}/vmwareEngineNetworks/{region}-default"
    network_policy.edge_services_cidr = ip_range
    network_policy.internet_access.enabled = internet_access
    network_policy.external_ip.enabled = external_ip

    request = vmwareengine_v1.CreateNetworkPolicyRequest()
    request.network_policy = network_policy
    request.parent = f"projects/{project_id}/locations/{region}"
    request.network_policy_id = f"{region}-default"

    client = vmwareengine_v1.VmwareEngineClient()
    return client.create_network_policy(request)

Console

1. Nella console Google Cloud , vai alla pagina Policy di rete.

   Vai a Policy di rete

2. Fai clic su Seleziona un progetto e poi seleziona l'organizzazione, la cartella o il progetto che contiene la rete VMware Engine per cui vuoi disattivare il servizio di accesso a internet.

3. Nella riga corrispondente al criterio di rete pertinente, fai clic sull'icona Altromore_vert.

4. Imposta l'opzione Accesso a internet su Disabilitato.

   • Devi disattivare il servizio IP pubblico prima di poter disattivare l'accesso a internet.
   • Prima di poter disattivare il servizio IP pubblico, devi eliminare tutti i gateway VPN point-to-site e gli indirizzi IP pubblici allocati.

5. Fai clic su Salva.

Lo stato del servizio cambia in Disabilitato al termine dell'operazione, in genere dopo diversi minuti.

gcloud

Utilizzando lo strumento gcloud, esegui il comando seguente per aggiornare la policy di rete:

gcloud vmware network-policies update NETWORK_POLICY_NAME \
  --no-internet-access \
  --location LOCATION

Sostituisci quanto segue:

• NETWORK_POLICY_NAME: il nome di questa policy di rete
• LOCATION: global per le reti legacy o la regione di una rete standard

API

curl -X PATCH -H "Authorization: Bearer TOKEN"  -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/networkPolicies/NETWORK_POLICY_NAME?updateMask=internetAccess.enabled,externalIp.enabled -d "{
  "internetAccess: {
    "enabled": false
 },
  "externalIp": {
    "enabled": false
   }
}"

Sostituisci quanto segue:

• PROJECT_ID: l'ID progetto per questa richiesta
• LOCATION: global per le reti legacy o la regione di una rete standard
• NETWORK_POLICY_NAME: il nome di questa policy di rete

Python

from google.api_core import operation
from google.cloud import vmwareengine_v1


def update_network_policy(
    project_id: str, region: str, internet_access: bool, external_ip: bool
) -> operation.Operation:
    """
    Updates a network policy in a given network.

    Args:
        project_id: name of the project you want to use.
        region: name of the region you want to use. I.e. "us-central1".
        internet_access: should internet access be allowed.
        external_ip: should external IP addresses be assigned.

    Returns:
        An operation object representing the started operation. You can call its .result() method to wait for
        it to finish.
    """

    client = vmwareengine_v1.VmwareEngineClient()
    request = vmwareengine_v1.UpdateNetworkPolicyRequest()
    request.update_mask = "internetAccess.enabled,externalIp.enabled"
    network_policy = vmwareengine_v1.NetworkPolicy()
    network_policy.name = (
        f"projects/{project_id}/locations/{region}/networkPolicies/{region}-default"
    )
    network_policy.vmware_engine_network = f"projects/{project_id}/locations/{region}/vmwareEngineNetworks/{region}-default"
    network_policy.internet_access.enabled = internet_access
    network_policy.external_ip.enabled = external_ip

    request.network_policy = network_policy

    return client.update_network_policy(request)

Console

1. Nella console Google Cloud , vai alla pagina Policy di rete.

   Vai a Policy di rete

2. Fai clic su Seleziona un progetto e poi seleziona l'organizzazione, la cartella o il progetto che contiene la rete VMware Engine per cui vuoi attivare il servizio di accesso a internet.

3. Nella riga corrispondente al criterio di rete pertinente, fai clic sull'icona Altromore_vert.

4. Imposta l'opzione IP pubblico su Disabilitato.

5. Imposta l'opzione Accesso a internet su Disabilitato.

6. Fai clic su Salva.

7. Se utilizzi una rete VMware Engine legacy:abilita i controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings enable-vpc-service-controls:

   gcloud services vpc-peerings enable-vpc-service-controls \
      --network=VPC_NETWORK \
      --service=servicenetworking.googleapis.com

gcloud

Utilizzando lo strumento gcloud, esegui il comando seguente per aggiornare la policy di rete:

gcloud vmware network-policies update NETWORK_POLICY_NAME \
  --no-internet-access \
  --no-external-ip-address \
  --location LOCATION

Sostituisci quanto segue:

• NETWORK_POLICY_NAME: il nome di questa policy di rete
• LOCATION: global per le reti legacy o la regione di una rete standard

Se utilizzi una rete VMware Engine legacy:abilita i controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings enable-vpc-service-controls:

gcloud services vpc-peerings enable-vpc-service-controls \
   --network=VPC_NETWORK \
   --service=servicenetworking.googleapis.com

API

curl -X PATCH -H "Authorization: Bearer TOKEN"  -H "Content-Type: application/json; charset=utf-8" https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/networkPolicies/NETWORK_POLICY_NAME?updateMask=internetAccess.enabled,externalIp.enabled

"{
  "internetAccess: {
    "enabled": false
   },
  "externalIp: {
    "enabled": false
   }
}"

Se utilizzi una rete VMware Engine legacy:abilita i controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings enable-vpc-service-controls:

gcloud services vpc-peerings enable-vpc-service-controls \
   --network=VPC_NETWORK_NAME \
   --service=servicenetworking.googleapis.com

Python

Imposta internet_access e external_ip su False.

from google.api_core import operation
from google.cloud import vmwareengine_v1


def update_network_policy(
    project_id: str, region: str, internet_access: bool, external_ip: bool
) -> operation.Operation:
    """
    Updates a network policy in a given network.

    Args:
        project_id: name of the project you want to use.
        region: name of the region you want to use. I.e. "us-central1".
        internet_access: should internet access be allowed.
        external_ip: should external IP addresses be assigned.

    Returns:
        An operation object representing the started operation. You can call its .result() method to wait for
        it to finish.
    """

    client = vmwareengine_v1.VmwareEngineClient()
    request = vmwareengine_v1.UpdateNetworkPolicyRequest()
    request.update_mask = "internetAccess.enabled,externalIp.enabled"
    network_policy = vmwareengine_v1.NetworkPolicy()
    network_policy.name = (
        f"projects/{project_id}/locations/{region}/networkPolicies/{region}-default"
    )
    network_policy.vmware_engine_network = f"projects/{project_id}/locations/{region}/vmwareEngineNetworks/{region}-default"
    network_policy.internet_access.enabled = internet_access
    network_policy.external_ip.enabled = external_ip

    request.network_policy = network_policy

    return client.update_network_policy(request)

Se utilizzi una rete VMware Engine legacy:abilita i controlli di servizio VPC sulla connessione di peering VPC tra la tua rete VPC e VMware Engine utilizzando il comando gcloud services vpc-peerings enable-vpc-service-controls:

gcloud services vpc-peerings enable-vpc-service-controls \
   --network=VPC_NETWORK \
   --service=servicenetworking.googleapis.com