Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

設定 NCC 並建立中樞

本頁面說明如何使用混合式檢查拓撲建立 Network Connectivity Center (NCC) 中樞，以便將 NCC 閘道輪輻和 VPC 輪輻新增至中樞。

如需 NCC 閘道的簡介，請參閱「NCC 閘道總覽」。

事前準備

開始之前，請先詳閱下列各節。

建立或選取專案

如要輕鬆設定 NCC，請先找出有效的專案。

登入 Google Cloud 帳戶。如果您是 Google Cloud新手，歡迎建立帳戶，親自體驗產品的實際應用成效。新客戶還能獲得價值 $300 美元的免費抵免額，能用於執行、測試及部署工作負載。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

如果使用 Google Cloud CLI，請透過 gcloud config set 指令設定專案 ID。
```
gcloud config set project PROJECT_ID
```
將 PROJECT_ID 替換為您的專屬專案 ID。

本頁的 gcloud CLI 指令假設您已設定專案 ID。
如要確認專案 ID 設定正確，請使用 gcloud config list 指令。
```
gcloud config list --format='text(core.project)'
```

啟用 Network Connectivity API

您必須先啟用 Network Connectivity API，才能使用 NCC 閘道執行任何工作。

控制台

如要啟用 Network Connectivity API，請按照下列步驟操作：

前往 Google Cloud 控制台的「Network Connectivity Center」頁面。

前往 Network Connectivity Center
按一下「啟用」。

或者，您也可以使用Google Cloud 控制台 API 程式庫啟用 API，如「啟用 API」一文所述。

取得存取權

如要使用 NCC 和 NCC 閘道，您需要「角色和權限」一文所述的權限。

找出資源

使用 gcloud CLI 或 API 參照資源時，請採用下表所述的慣例。

集會/座談	僅支援	附註	範例
完整 URI	所有資源	請使用下列其中一種方法參照路由器設備執行個體。	"https://www.googleapis.com/compute/projects/`PROJECT_ID`/zones/`ZONE`/instances/`INSTANCE_NAME`"
相對資源名稱	所有資源	請使用下列其中一種方法參照路由器設備執行個體。	"projects/`PROJECT_ID`/zones/`ZONE`/instances/`INSTANCE_NAME`"
名稱	區域和全域資源	這個方法適用於中樞、輪輻、VPN 通道和 VLAN 連結。	"`HUB_NAME`"

建立 NCC 中樞

如要使用預設混合式檢查拓撲建立 NCC 中樞，請按照下列步驟操作：

控制台

前往 Google Cloud 控制台的「Network Connectivity Center」(網路連線中心) 頁面。

前往 Network Connectivity Center
在專案選單中選取專案。
點選「建立中樞」。
選用：選擇「中樞裝置政策模式」。
填寫表單的「基本設定」部分：
1. 輸入中樞名稱。
2. 選用：輸入說明。
3. 選用：如要新增標籤，請按一下「Add Item」(新增項目)，然後輸入「Key」(鍵) 和「Value」(值)。
4. 確認表單顯示的專案 ID 正確無誤。如果專案 ID 不正確，請使用頁面頂端的選單選取其他專案。
選用：如要啟用 Private Service Connect 連線傳播，請在「Private Service Connect connection propagation」(Private Service Connect 連線傳播) 欄位中，按一下「On」(開啟)。
執行下列其中一個步驟：
- 如要建立子網，請按一下「下一步」，然後填寫表單的子網建立部分。如需操作說明，請參閱「建立 NCC 閘道輪輻」。
- 如果目前不想建立 Spoke，請按一下「建立」，完成新 Hub 的建立程序。

gcloud

使用 gcloud network-connectivity hubs create 指令，並指定預設混合式檢查拓撲。

gcloud beta network-connectivity hubs create HUB_NAME \
    --preset-topology=hybrid-inspection

將 HUB_NAME 替換為新中樞的名稱。

API

請使用 projects.locations.global.hubs.create 方法。

POST https://networkconnectivity.googleapis.com/v1beta/projects/PROJECT_ID/locations/global/hubs
{
  "name":"HUB_NAME",
  "description":"DESCRIPTION",
  "labels": {
    "KEY": "VALUE"
  },
  "presetTopology": "HYBRID_INSPECTION"
}

更改下列內容：

PROJECT_ID：包含新中樞的專案 ID
HUB_NAME：新中樞的名稱
DESCRIPTION：描述中樞的選填文字
KEY：鍵/值組合中的鍵，用於選用標籤文字
VALUE：鍵/值組合中的值，用於選用標籤文字

將虛擬私有雲網路連線至中樞

將虛擬私有雲網路連至中樞的程序，取決於網路和中樞是否位於相同專案。

連結不同專案中的虛擬私有雲網路和中樞

如要連結不同專案的虛擬私有雲網路，請按照下列步驟操作：

虛擬私有雲輪輻管理員在不同專案中提議虛擬私有雲輪輻
中樞管理員審查提議的 VPC 支點

連結同一專案中的虛擬私有雲網路和中樞

如果虛擬私有雲網路和中樞位於相同專案，請執行下列操作：

這項工作需要的權限

必須擁有下列權限「或」IAM 角色，才能執行這項工作。

權限

虛擬私有雲網路的 compute.networks.use 可新增至輪輻
輪輻要與哪個中樞建立關聯，請在該中樞上執行 networkconnectivity.groups.use
networkconnectivity.spokes.create：在虛擬私有雲網路所在的專案中須具備此角色
在中控螢幕上輕觸 networkconnectivity.groups.create 建立群組
中樞上的 networkconnectivity.groups.use，建立與中樞不同專案中群組相關聯的輪輻

角色

對要新增至輪輻的虛擬私有雲網路，具備 Compute 網路管理員 (roles/compute.networkAdmin) 權限
輪輻要與中樞建立關聯時，中樞上的群組使用者 (roles/networkconnectivity.groupUser)
虛擬私有雲網路所在專案的 Spoke 管理員 (roles/networkconnectivity.spokeAdmin)

如要在特定專案中連結多個虛擬私有雲網路，請將虛擬私有雲網路連至輪輻，然後連至中樞。

如果您建立虛擬私有雲，是為了連線至設定為星狀拓撲的中樞，則必須向中樞管理員取得專案 ID、中樞名稱或 URI，以及群組名稱。

如要指派排除匯出範圍或納入匯出範圍，請在建立子雲時使用適當的選項。

如要建立 VPC 支點，請按照下列步驟操作。

控制台

前往 Google Cloud 控制台的「Network Connectivity Center」頁面。

前往 Network Connectivity Center
在專案選單中，選取要建立 Spoke 的專案。
按一下「輪輻」分頁標籤。
按一下「Add spokes」(新增輪輻)。
在「Select hub」(選取中樞) 部分，按照下列方式選取中樞位置：
- 如要將新輪輻連結至同一專案中的中樞，請選取「In project PROJECT_NAME」(在專案「PROJECT_NAME」中)，然後從清單中選取中樞名稱。
- 如要將新輻射網路附加至其他專案中的中樞，請選取「在其他專案中」。輸入要附加新 Spoke 的專案 ID 和中樞名稱。
如果選擇其他專案中的中樞，只有在中樞管理員審查並接受您提議的輻輪後，輻輪才會啟用。如要進一步瞭解如何建立連結至其他專案中中樞的輪輻，請參閱「虛擬私有雲輪輻總覽」。如果您在與中樞相同的專案中建立虛擬私有雲輪輻，系統會自動接受並啟用。
輸入「Spoke 名稱」，並視需要輸入「說明」。
根據要連線的中心拓撲，為 Spoke 選擇Spoke 群組。您可以選擇下列值：
- 網狀拓撲中樞的預設設定
- 星狀拓撲中樞的「Center」或「Edge」。如果輪輻群組使用星狀拓撲，則必須填寫這個欄位
- Prod、Non-prod 或 Services，適用於使用混合式檢查拓撲的中樞 (僅適用於 NCC 閘道輪輻)
如要進一步瞭解輪輻群組，請參閱「輪輻群組」。
選取「虛擬私有雲網路」做為「Spoke type」。
如要將虛擬私有雲網路新增至輪輻，請從「Associated VPC network」(相關聯的虛擬私有雲網路) 清單中選取一個。
選用：新增虛擬私有雲輪輻篩選器，指定要排除或包含從輪輻匯出至中樞的 IP 位址範圍，自訂路由 advertise 方式。您可以設定輻射網路，只匯出使用私人 IPv4 位址的子網路範圍、只匯出 IPv6 子網路範圍 (內部和外部)，或同時匯出使用私人 IPv4 位址的子網路範圍，以及內部和外部 IPv6 子網路範圍。
1. IPv4 範圍：設定匯出 IPv4 子網路範圍。
  - 「Include export IPv4 subnet ranges from spoke to hub」(包含從輪輻匯出至中樞的 IPv4 子網路範圍)：根據預設，系統會勾選這個核取方塊，並匯出所有使用私人 IPv4 位址的子網路範圍。
    
    如不想匯出 IPv4 子網路範圍，請取消勾選這個核取方塊。
    
    如只要匯出特定 IPv4 子網路範圍，請選取「指定 IPv4 範圍」，然後輸入要匯出的位址範圍。您指定的 IPv4 子網路範圍必須是私人 IPv4 位址範圍，不包括私用公開 IPv4 位址。詳情請參閱「有效 IPv4 範圍」。
  - 排除從輪輻匯出至中樞的 IPv4 子網路範圍：如果輪輻匯出子網路範圍，且您想排除特定範圍，請在這個欄位中輸入這些範圍。
2. IPv6 範圍：設定 IPv6 子網路範圍 (內部和外部) 的匯出作業。
  - 包含從輪輻匯出至中樞的所有 IPv6 子網路範圍：如要將所有 IPv6 子網路範圍匯出至中樞，請勾選這個核取方塊。
    
    如要只匯出特定 IPv6 子網路範圍，請選取「指定 IPv6 範圍」，然後輸入要匯出的位址範圍。
  - 排除從輪輻匯出至中樞的 IPv6 子網路範圍：如果輪輻匯出子網路範圍，且您想排除特定範圍，請在這個欄位中輸入這些範圍。
按一下「完成」。
如要新增更多輪輻，請按一下「新增輪輻」，然後從輸入「輪輻名稱」開始，再次執行程序。
新增完所有輻輪後，按一下「建立」。NCC 頁面會更新，顯示您建立的 Spoke 詳細資料。

gcloud

如要建立虛擬私有雲輪輻，請使用 gcloud network-connectivity spokes linked-vpc-network create 指令。

gcloud network-connectivity spokes linked-vpc-network create SPOKE_NAME \
    --hub=HUB \
    --description=DESCRIPTION \
    --vpc-network=VPC_URI \
    --include-export-ranges=[INCLUDE_EXPORT_RANGES] \
    --exclude-export-ranges=[EXCLUDE_EXPORT_RANGES] \
    --global \
    --group=GROUP_NAME

更改下列內容：

SPOKE_NAME：您要建立的輪輻名稱，例如 vpc-spoke1
HUB：輪輻的中樞
DESCRIPTION：輪輻的選填說明
VPC_URI：這個 Spoke 指向的虛擬私有雲網路
INCLUDE_EXPORT_RANGES：以半形逗號分隔的關鍵字、IP 位址範圍清單，或關鍵字和 IP 位址範圍的組合，用於定義可匯出至中樞的子網路 IP 位址範圍。
- ALL_PRIVATE_IPV4_RANGES 關鍵字會將使用私人 IPv4 位址的所有子網路範圍，新增至包含匯出範圍清單。
- ALL_IPV4_RANGES 關鍵字包含所有 IPv4 位址，相當於 0.0.0.0/0 CIDR。子網路範圍的所有有效 IPv4 範圍，包括私人使用的公開 IPv4 位址範圍。您可以使用 --exclude-export-ranges 旗標縮小清單範圍。
- ALL_IPV6_RANGES 關鍵字包含所有 IPv6 位址，等同於 ::/0 CIDR。
- 匯出範圍最多可包含 16 個不重複且不重疊的 CIDR。匯出範圍內不得有任何 CIDR 與其他 CIDR 相符或包含其他 CIDR。
- 如果省略 VPC 支點的 --include-export-ranges，預設匯出範圍與指定 ALL_PRIVATE_IPV4_RANGES 時相同。
- 虛擬私有雲輪輻中的子網路範圍、納入的匯出範圍，以及排除的匯出範圍，都必須遵循虛擬私有雲輪輻的匯出篩選器規則。
EXCLUDE_EXPORT_RANGES：以半形逗號分隔的 IP 位址範圍清單，定義哪些子網路 IP 位址範圍一律不匯出至中樞。
- 排除的匯出範圍最多可支援 16 個不重複且不重疊的 CIDR。排除匯出範圍中的 CIDR 不得與其他 CIDR 相符或包含其他 CIDR。
- 在排除匯出範圍中指定的每個 CIDR，都必須展開為 IP 位址，且這些位址必須完全包含在納入匯出範圍 (如果您未明確指定任何納入匯出範圍，則為預設納入匯出範圍) 的 CIDR 或關鍵字中。
- 排除匯出範圍不支援關鍵字。
- 如果省略 --exclude-export-ranges，NCC 會使用空白清單做為預設的排除匯出範圍。
- 虛擬私有雲輪輻中的子網路範圍、納入的匯出範圍，以及排除的匯出範圍，都必須遵循虛擬私有雲輪輻的匯出篩選器規則。
GROUP_NAME：這個 Spoke 所屬的群組。支援的值如下：
- Default：網狀拓撲中樞
- Center 或 edge，適用於星狀拓撲中樞。如果輻射群組使用星狀拓撲，則必須填寫這個欄位
- 使用混合式檢查拓撲的中樞 (僅適用於 NCC 閘道輪輻) 的 Prod、non-prod 或 services
如要進一步瞭解輪輻群組，請參閱「輪輻群組」。

API

如要建立虛擬私有雲輪輻，請使用 projects.locations.spokes.create 方法。

  POST https://networkconnectivity.googleapis.com/v1/projects/PROJECT_ID/locations/global/spokes/SPOKE_NAME
  {
    "hub":"HUB_NAME",
    "linkedVpcNetwork": {
       "uri": VPC_URI,
       "include_export_ranges": "[INCLUDE_EXPORT_RANGES]",
       "exclude_export_ranges": "[EXCLUDE_EXPORT_RANGES]",
       "group": "GROUP_NAME"
    },
  }

替換下列值：

PROJECT_ID：包含新 Spoke 的專案 ID。
SPOKE_NAME：新輻射網路的名稱。
HUB_NAME：要將 Spoke 連接至的 Hub 名稱。
VPC_URI：這個輪輻指向的虛擬私有雲網路，例如 vpc_uri。
INCLUDE_EXPORT_RANGES：以半形逗號分隔的關鍵字、IP 位址範圍清單，或關鍵字和 IP 位址範圍的組合，用於定義可匯出至中樞的子網路 IP 位址範圍。
- ALL_PRIVATE_IPV4_RANGES 關鍵字會將所有使用私有 IPv4 位址的子網路範圍新增至匯出範圍排除清單。
- ALL_IPV4_RANGES 關鍵字包含所有 IPv4 位址，等同於 0.0.0.0/0 CIDR。包括私用公開 IPv4 位址範圍在內，所有子網路範圍的有效 IPv4 範圍都會納入。您可以使用 --exclude-export-ranges 旗標縮小清單範圍。
- ALL_IPV6_RANGES 關鍵字包含所有 IPv6 位址，等同於 ::/0 CIDR。
- 匯出範圍最多可包含 16 個不重複且不重疊的 CIDR。匯出範圍內不得有任何 CIDR 與其他 CIDR 相符或包含其他 CIDR。
- 如果省略 VPC 支點的 include_export_ranges，預設的匯出範圍與指定 ALL_PRIVATE_IPV4_RANGES 時相同。
- VPC 輪輻中的子網路範圍、納入的匯出範圍和排除的匯出範圍，都必須遵守 VPC 輪輻的匯出篩選器規則。
EXCLUDE_EXPORT_RANGES：以半形逗號分隔的 IP 位址範圍清單，定義哪些子網路 IP 位址範圍絕不會匯出至中樞網路。
- 排除的匯出範圍最多可支援 16 個不重複且不重疊的 CIDR。排除匯出範圍中的 CIDR 不得與其他 CIDR 相符或包含其他 CIDR。
- 在排除匯出範圍中指定的每個 CIDR，都必須展開為 IP 位址，且這些位址必須完全包含在納入匯出範圍 (如果您未明確指定任何納入匯出範圍，則為預設納入匯出範圍) 的 CIDR 或關鍵字中。
- 排除匯出範圍不支援關鍵字。
- 如果省略 exclude_export_ranges，NCC 會使用空白清單做為預設排除匯出範圍。
- VPC 輪輻中的子網路範圍、納入的匯出範圍和排除的匯出範圍，都必須遵守 VPC 輪輻的匯出篩選器規則。
GROUP_NAME：這個 Spoke 所屬的群組。支援的值如下：
- Default：網狀拓撲中樞
- Center 或 edge，適用於星狀拓撲中樞。如果輻射群組使用星狀拓撲，則必須填寫這個欄位
- Prod、non-prod 或 services，適用於使用混合檢查拓撲的中樞 (僅限 NCC 閘道輪輻)
如要進一步瞭解輪輻群組，請參閱「輪輻群組」。

建立 NCC 閘道輪輻

設定 NCC 並建立中樞 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

事前準備

建立或選取專案

啟用 Network Connectivity API

控制台

取得存取權

找出資源

建立 NCC 中樞

控制台

gcloud

API

將虛擬私有雲網路連線至中樞

連結不同專案中的虛擬私有雲網路和中樞

連結同一專案中的虛擬私有雲網路和中樞

這項工作需要的權限

控制台

gcloud

API

設定 NCC 並建立中樞