透過 NCC 傳播 Private Service Connect 連線

Private Service Connect 可讓消費者從虛擬私有雲 (VPC) 網路內部，以私密方式存取代管服務。同樣地，代管服務生產端也能在自己的獨立虛擬私有雲網路和專案中代管這些服務，並為消費者提供私人連線。Private Service Connect 連線不會在虛擬私有雲輪輻之間傳輸。透過 Network Connectivity Center (NCC) 中樞傳播 Private Service Connect 服務後，這些服務即可透過路由表，供同一個中樞內的任何其他輪輻虛擬私有雲存取。

NCC 也支援區域端點傳播。如要進一步瞭解區域性端點，請參閱「透過 Private Service Connect 端點存取區域性端點」。

NCC Private Service Connect 連線傳播功能適用於下列用途：

  • 您可以使用共用服務虛擬私有雲網路，建立多個 Private Service Connect 消費者端點。只要將單一通用服務虛擬私有雲網路新增至 NCC 中樞，虛擬私有雲網路中的所有 Private Service Connect 消費者端點，即可透過 NCC 中樞供其他虛擬私有雲輪輻間接存取。這種連線方式可免除個別管理各個虛擬私有雲網路中每個 Private Service Connect 端點的需求。

  • 您可以透過混合式輪輻，從可連線的內部部署網路存取虛擬私有雲輪輻網路中的代管服務。

將 VPC 輪輻連至已啟用傳播連線的中樞時，NCC 會在該輪輻中為附加至相同中樞的任何端點建立傳播連線，除非端點的子網路已排除在匯出範圍外。將虛擬私有雲網路以虛擬私有雲輪輻的形式新增至 NCC 中樞後，系統也會傳播新的 Private Service Connect 端點，除非端點的子網路已排除在匯出範圍外。

如要設定啟用 Private Service Connect 傳播連線的中心，中心管理員必須建立中心，並使用 Private Service Connect 傳播或 --export-psc 旗標更新傳播設定。接著，中樞管理員必須將虛擬私有雲網路新增為中樞的輪輻。輪輻擁有者可以使用 --exclude-export-ranges 和 --include-export-ranges 標記，從 NCC 路由中排除特定的 Private Service Connect 已分配子網路，這樣其他虛擬私有雲網路就無法連線至指定的子網路，確保這些子網路僅供本機虛擬私有雲網路使用。

如要瞭解 Private Service Connect 傳播連線，請參閱「關於傳播連線」。

如要瞭解 --exclude-export-ranges 和 --include-export-ranges 標記，請參閱「VPC 連線與匯出篩選器」。

如要進一步瞭解如何為 Private Service Connect 傳播的連線設定中繼站，請參閱「設定中繼站」。

連線傳播限制

如要進一步瞭解傳播連線限制，請參閱「傳播連線限制」。

注意事項

啟用 Private Service Connect 傳播連線前，請注意下列事項：

  • Private Service Connect 傳播連線僅適用於虛擬私有雲輪輻。

  • 不支援透過虛擬私有雲輪輻傳播的 Private Service Connect IPv6 連線。

  • 如要讓連線至混合式 Spoke 的地端部署網路使用傳播的 Private Service Connect 連線，請按照下列步驟操作：

    • NCC 中樞只能有一個路由虛擬私有雲網路，其中包含所有混合式輪輻。

    • 中樞的單一路由虛擬私有雲網路也必須是虛擬私有雲輪輻。

    如果中樞有一個以上的路由虛擬私有雲網路，則這些路由虛擬私有雲網路都不能是虛擬私有雲輪輻。因此，如果中樞有兩個以上的路由虛擬私有雲網路，就無法將傳播的 Private Service Connect 連線提供給地端部署網路。

  • 如要讓 Private Service Connect 傳播功能與混合式輪輻搭配運作，也必須將路由虛擬私有雲網路新增為虛擬私有雲輪輻。

  • 使用私用公開 IP 位址範圍的 Private Service Connect 端點不會傳播至 NCC 中樞。

  • 如果虛擬私有雲輪輻中的子網路已設定 Private NAT 來存取 NCC 中樞，則子網路傳送至傳播的 Private Service Connect 服務的流量會遭到捨棄。如果 Private NAT 閘道設定為 --nat-all-subnet-ip-ranges，則透過 NCC 傳播 Private Service Connect 的功能，不適用於這個輪輻虛擬私有雲中的所有子網路。如要從這個虛擬私有雲端 Spoke 的不重疊子網路運作，請使用 Private NAT 閘道的 --nat-custom-subnet-ip-ranges。請勿使用 NAT 將流量從不重疊的子網路路由至 NCC 中樞。

  • 如果在短時間內建立、刪除及重新建立 Private Service Connect 端點，傳播狀態可能不準確。不過一段時間後，傳播狀態就會準確反映傳播連線的實際狀態。這項程序最多需要 15 分鐘。

  • 建立或刪除 Spoke 後，Private Service Connect 連線傳播作業會以非同步方式進行。從中樞移除 VPC 輪輻後，系統可能需要一段時間才能更新傳播的 Private Service Connect 連線。Private Service Connect 傳播連線更新作業進行期間，即使虛擬私有雲輪輻已新增至新的中樞，虛擬私有雲網路中的 VM 流量仍可流向後端。為避免流量流向後端，請先刪除先前中樞網路中虛擬私有雲網路的所有傳播狀態項目 (無論是來源輪輻或目標輪輻)，再將輪輻新增至其他中樞網路。

Private Service Connect 連線傳播狀態

您可以在 NCC 中樞內查看 Private Service Connect 連線傳播狀態。您可以查看狀態摘要，或深入瞭解特定錯誤，查看錯誤詳細資料。

下表列出傳播狀態碼及其意義。

程式碼 訊息
準備 傳播的 Private Service Connect 連線已就緒。
傳播 Private Service Connect 連線傳播作業尚未完成。這是暫時狀態。
錯誤：超過供應端傳播連線限制 無法傳播 Private Service Connect 連線，因為目標輪輻的專案或虛擬私有雲網路已超過供應商設定的傳播連線限制。如要解決這個問題，請參閱製作人的說明文件或聯絡支援團隊。
錯誤：供應端 NAT IP 空間已用盡 無法傳播 Private Service Connect 連線，因為網路位址轉譯 (NAT) IP 子網路空間已用盡。這相當於 PSC 連線的Needs attention狀態。詳情請參閱 Private Service Connect 說明文件中的連線狀態。
錯誤：超過供應端配額 無法傳播 Private Service Connect 連線，因為已超過供應商虛擬私有雲網路的 PSC_ILB_CONSUMER_FORWARDING_RULES_PER_PRODUCER_NETWORK 配額。
錯誤：超過用戶端配額 無法傳播 Private Service Connect 連線，因為已超過用戶虛擬私有雲網路的PSC_PROPAGATED_CONNECTIONS_PER_VPC_NETWORK配額。

如要瞭解如何查看 Private Service Connect 連線傳播狀態，請參閱「查看 Private Service Connect 連線傳播狀態」。如要瞭解如何排解 Private Service Connect 連線傳播問題，請參閱「排解 Private Service Connect 連線傳播錯誤」。

後續步驟