В GCP делят VPN-шлюз с другими проектами

Question

Я нахожусь в процессе запуска проектирования сетей (VPC, подсетей и т. П.) Как часть процесса перемещения довольно сложной организационной локальной структуры в облако.

выбранный провайдер - GCP, и я прочитал и прошел курсы в качестве младшего инженера. Тем не менее, курсы, которые я прошел, не вдавались в подробности технических аспектов выполнения чего-то подобного, просто представили вам возможные варианты.

Мой опыт работы - старший бэкэнд, затем полный стек, разработчик,Поэтому, к сожалению, мне не хватает некоторых очень интересных и полезных знаний системного администратора.

Наш случай таков:

• На виртуальных машинах в помещении на нескольких стойках, доступных только внутри VPN
• Несколько проектов в облаке GCP
• Два из них должны подключаться к локальной VPN, но может быть больше
• Некоторые проекты видят ресурсы друг друга (виртуальные машины, SQLи т. д.) с использованием VPC Peering
• Постепенно мы откажемся от локального приложения, если только не найдем какое-то устаревшее приложение, которое действительно испортилось

Теперь я мог бы просто создать новый VPNподключение для каждого проекта из Hybrid Connectivity -> VPN, но я бы предпочел создать проект, посвященный настройке шлюза VPN, и позволить другим проектам использовать эти ресурсы.

Это возможная конфигурация? Это действительный дизайн? Поскольку я исследовал создание VPN, мне кажется, что мне нужно будет создать виртуальную машину, которая будет предоставлять IP, выступающий в качестве шлюза, если в этом случае я думал использовать пиринг VPC, чтобы позволить другим проектам выйти вна предпосылке VPN. Понятия не имею, говорю ли я здесь бессмысленно. Я все еще жду некоторую информацию (общий ключ IKE и т. Д.), Прежде чем пытаться что-либо предпринять, поэтому сейчас я немного растерялся.

Answer 1

Вы должны принять во внимание несколько аспектов:

• Стоимость: если вы устанавливаете VPN в каждом проекте, и если вам нужно удвоить ваше подключение для HA , это будет дорого. Если у вас есть только 1 проект шлюза, он дешевле

• Дешевле, подразумевает компромисс. VPN имеют ограниченную пропускную способность: 3Gbps (Cloud Interconnect также, но выше и дороже). Если все ваши проекты используют один и тот же VPN благодаря взаимному согласованию, позаботьтесь об этом узком месте.

Если вы хотите объединиться, по крайней мере для проекта DEV / UAT, я рекомендую вам использовать VPCПиринг, я имею в виду 1 VPN-проект и другие с VPC пиринг . Будьте внимательны при назначении диапазона IP-адресов для пиринга. Если вам интересно, Я написал статью об этом

Также можно использовать Shared VPC , что здорово! Однако совместимость с несколькими продуктами ниже (например, безсерверный VPC-коннектор для облачной функции и App Engine еще не совместимы с общим VPC).