
Before you begin
- Labs create a Google Cloud project and resources for a fixed time
- Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
- On the top left of your screen, click Start lab to begin
Create a custom network, subnetworks and firewall rules
/ 50
In diesem Lab lernen Sie, wie Sie einfache Netzwerkaufgaben in Google Cloud (einschließlich Compute Engine-Instanzen) erledigen und wie sich Google Cloud von einer lokalen Konfiguration unterscheidet. Sie entwickeln ein Netzwerk und drei Subnetzwerke. Am Ende sieht Ihre Umgebung dann so aus:
Abschließend erfahren Sie, wie Sie Firewallregeln erstellen und diese mithilfe von Instanz-Tags anwenden.
Lesen Sie diese Anleitung. Labs sind zeitlich begrenzt und können nicht pausiert werden. Der Timer beginnt zu laufen, wenn Sie auf Lab starten klicken, und zeigt Ihnen, wie lange die Ressourcen für das Lab verfügbar sind.
In diesem praxisorientierten Lab können Sie die Lab-Aktivitäten in einer echten Cloud-Umgebung selbst durchführen – nicht in einer Simulations- oder Demo-Umgebung. Dazu erhalten Sie neue, temporäre Anmeldedaten, mit denen Sie für die Dauer des Labs auf Google Cloud zugreifen können.
Für dieses Lab benötigen Sie Folgendes:
Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Pop-up-Fenster geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können. Auf der linken Seite befindet sich der Bereich Details zum Lab mit diesen Informationen:
Klicken Sie auf Google Cloud Console öffnen (oder klicken Sie mit der rechten Maustaste und wählen Sie Link in Inkognitofenster öffnen aus, wenn Sie Chrome verwenden).
Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite Anmelden geöffnet.
Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.
Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.
Sie finden den Nutzernamen auch im Bereich Details zum Lab.
Klicken Sie auf Weiter.
Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.
Sie finden das Passwort auch im Bereich Details zum Lab.
Klicken Sie auf Weiter.
Klicken Sie sich durch die nachfolgenden Seiten:
Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.
Cloud Shell ist eine virtuelle Maschine, auf der Entwicklertools installiert sind. Sie bietet ein Basisverzeichnis mit 5 GB nichtflüchtigem Speicher und läuft auf Google Cloud. Mit Cloud Shell erhalten Sie Befehlszeilenzugriff auf Ihre Google Cloud-Ressourcen.
Wenn Sie verbunden sind, sind Sie bereits authentifiziert und das Projekt ist auf Ihre Project_ID,
gcloud
ist das Befehlszeilentool für Google Cloud. Das Tool ist in Cloud Shell vorinstalliert und unterstützt die Tab-Vervollständigung.
Ausgabe:
Ausgabe:
gcloud
finden Sie in Google Cloud in der Übersicht zur gcloud CLI.
Bestimmte Compute Engine-Ressourcen befinden sich in Regionen oder Zonen. Eine Region ist ein bestimmter Ort, an dem Sie Ihre Ressourcen ausführen können. Jede Region hat eine oder mehrere Zonen. „us-central1“ bezeichnet zum Beispiel eine Region in der Mitte der USA und umfasst die Zonen us-central1-a
, us-central1-b
, us-central1-c
und us-central1-f
.
Regionen | Zonen |
---|---|
Westen der USA | us-west1-a, us-west1-b |
Mitte der USA | us-central1-a, us-central1-b, us-central1-d, us-central1-f |
Osten der USA | us-east1-b, us-east1-c, us-east1-d |
Westeuropa | europe-west1-b, europe-west1-c, europe-west1-d |
Ostasien | asia-east1-a, asia-east1-b, asia-east1-c |
Ressourcen, die sich in einer Zone befinden, werden als zonale Ressourcen bezeichnet. VM-Instanzen und nichtflüchtige Speicher befinden sich in einer Zone. Möchten Sie einen nichtflüchtigen Speicher an eine VM-Instanz anbinden, müssen sich beide Ressourcen in derselben Zone befinden. Ebenso verhält es sich, wenn Sie einer Instanz eine statische IP-Adresse zuweisen möchten: Die Instanz muss sich auch hier in derselben Region wie die statische IP-Adresse befinden.
In Google Cloud ermöglichen Netzwerke Datenverbindungen zu und von Ihren Cloudressourcen (hauptsächlich Compute Engine-Instanzen). Das Sichern Ihrer Netzwerke ist entscheidend für den Datenschutz und die Zugriffssteuerung für Ihre Ressourcen.
Google Cloud unterstützt Projekte, Netzwerke und Subnetzwerke und ermöglicht so eine flexible, logische Isolierung unabhängiger Ressourcen.
Projekte sind die äußersten Container und werden dazu verwendet, Ressourcen mit derselben Vertrauensgrenze zu gruppieren. Viele Entwickler ordnen Projekte Teams zu, weil jedes Projekt eine eigene Zugriffsrichtlinie (IAM) und Mitgliederliste hat. Projekte dienen auch zum Erfassen von Abrechnungs- und Kontingentdetails, die den Ressourcenverbrauch widerspiegeln. Sie enthalten Netzwerke, die wiederum Subnetzwerke, Firewallregeln und Routen umfassen (wie in den Architekturdiagrammen unten dargestellt).
Netzwerke verbinden Ihre Ressourcen direkt miteinander und mit der Außenwelt. In den Firewalls von Netzwerken werden auch die Zugriffsrichtlinien für ein- und ausgehende Verbindungen angewendet. Netzwerke können global sein (und horizontale Skalierbarkeit über mehrere Regionen hinweg bieten) oder regional (mit niedriger Latenz in einer einzigen Region).
Subnetzwerke ermöglichen es Ihnen, ähnliche Ressourcen (Compute Engine-Instanzen) zu privaten RFC1918-Adressbereichen zu gruppieren. Subnetzwerke können nur regional sein und werden im automatischen oder benutzerdefinierten Modus verwendet.
Bestimmte Compute Engine-Ressourcen befinden sich in Regionen und Zonen. Eine Region ist ein bestimmter Ort, an dem Sie Ihre Ressourcen ausführen können. Jede Region hat eine oder mehrere Zonen.
Führen Sie die folgenden gcloud
-Befehle in Cloud Shell aus, um die Standardregion und ‑zone für Ihr Lab festzulegen:
Wenn ein neues Projekt erstellt wird, gilt eine Standard-Netzwerkkonfiguration, durch die jede Region ein automatisches Subnetzwerk erhält. Sie können in einem Projekt bis zu vier weitere Netzwerke erstellen. Zusätzliche Netzwerke können automatische oder benutzerdefinierte Subnetzwerke oder alte Netzwerke sein.
Jeder Instanz, die innerhalb eines Subnetzwerks erstellt wird, wird eine IPv4-Adresse aus dem Bereich dieses Subnetzwerks zugewiesen.
Weitere Informationen zum Isolieren von Subnetzwerken anhand von Firewallregeln finden Sie in diesen Artikeln zu Subnetzen und Firewallregeln.
Jedes Netzwerk hat eine Standardfirewall, die den gesamten eingehenden Traffic zu Instanzen blockiert. Damit Traffic in eine Instanz weitergeleitet werden kann, müssen Sie „allow“-Regeln für die Firewall erstellen. Darüber hinaus lässt die Standardfirewall Traffic von Instanzen zu, es sei denn, Sie konfigurieren sie mit einer „egress“-Firewallkonfiguration so, dass ausgehende Verbindungen blockiert werden. Standardmäßig ist es daher sinnvoll, für eingehenden Traffic, den Sie zulassen möchten, „allow“-Regeln zu erstellen, und „deny“-Regeln für ausgehenden Traffic, den Sie unterbinden möchten. Sie können auch eine Standard-Deny-Richtlinie für ausgehenden Traffic erstellen und externe Verbindungen vollständig verbieten.
Es ist normalerweise empfehlenswert, die Firewallregel so einzurichten, dass sie den Traffic möglichst strikt einschränkt, aber den von Ihnen gewünschten Traffic noch passieren lässt. Wenn der Traffic beispielsweise bei bestimmten Instanzen ankommen muss, bei anderen aber nicht ankommen darf, erstellen Sie die Regeln so, dass er nur zu den gewünschten Instanzen gelangt. Diese restriktivere Konfiguration ist berechenbarer als eine umfassende Firewallregel, die den Traffic zu allen Instanzen durchlässt. Wenn Sie möchten, dass „deny“-Regeln bestimmte „allow“-Regeln außer Kraft setzen, können Sie Prioritätsstufen für jede Regel festlegen. Die Regel mit dem niedrigsten Prioritätswert wird dann zuerst ausgewertet. Umfangreiche, komplizierte Sätze von Regeln, die andere Regeln außer Kraft setzen, können jedoch dazu führen, dass Traffic unbeabsichtigt zugelassen oder blockiert wird.
Das Standardnetzwerk enthält automatisch erstellte Firewallregeln, die unten dargestellt werden. Manuell erstellte Netzwerke beliebigen Typs haben keine automatisch erstellten Firewallregeln. Für alle Netzwerke mit Ausnahme des Standardnetzwerks müssen Sie die erforderlichen Firewallregeln selbst erstellen.
Folgende Firewallregeln für eingehenden Traffic werden für das Standardnetzwerk automatisch erstellt:
|
Lässt Netzwerkverbindungen mit beliebigem Protokoll und Port zwischen Instanzen im Netzwerk zu. |
|
Lässt SSH-Verbindungen von einer beliebigen Quelle zu jeder Instanz im Netzwerk über TCP-Port 22 zu. |
|
Lässt RDP-Verbindungen von einer beliebigen Quelle zu jeder Instanz im Netzwerk über TCP-Port 3389 zu. |
|
Lässt ICMP-Traffic von einer beliebigen Quelle zu einer beliebigen Instanz im Netzwerk zu. |
Alle Netzwerke haben automatisch erstellte Routen zum Internet (Standardroute) und zu den IP-Bereichen im Netzwerk. Der Routenname wird automatisch generiert und sieht für jedes Projekt anders aus.
Bei der manuellen Zuweisung von Subnetzwerkbereichen richten Sie zuerst ein benutzerdefiniertes Netzwerk ein. Danach erstellen Sie die gewünschten Subnetze innerhalb einer Region. Sie müssen die Subnetzwerke für alle Regionen nicht sofort oder überhaupt angeben. Sie können aber keine Instanzen in Regionen erstellen, für die kein Subnetzwerk definiert ist.
Wenn Sie ein Subnetzwerk erstellen, muss dessen Name in diesem Projekt für diese Region und selbst über Netzwerke hinweg eindeutig sein. Derselbe Name kann in einem Projekt zweimal verwendet werden, solange er zu unterschiedlichen Regionen gehört. Da dies ein Subnetzwerk ist, gibt es keinen IPv4-Bereich und keine Gateway-IP-Adresse auf Netzwerkebene, sodass auch nichts dergleichen angezeigt wird.
Sie können Ihr benutzerdefiniertes Netzwerk mit der Console oder mit Cloud Shell erstellen. Wir stellen Ihnen beide Möglichkeiten vor, aber Sie müssen sich im Lab für eine Methode entscheiden. Sie können beispielsweise nicht einen Abschnitt mit der Anleitung für die Console durchgehen und dann denselben Abschnitt mit der gcloud
-Befehlszeile.
So erstellen Sie ein benutzerdefiniertes Netzwerk:
Klicken Sie auf das Navigationsmenü und dann auf VPC-Netzwerk.
Klicken Sie auf VPC-Netzwerk erstellen und nennen Sie das neue Netzwerk taw-custom-network
.
Auf dem Tab Benutzerdefiniert erstellen Sie Folgendes:
10.0.0.0/16
Klicken Sie auf Fertig.
Klicken Sie nun auf Subnetz hinzufügen und fügen Sie zwei weitere Subnetze in den entsprechenden Regionen hinzu:
Klicken Sie auf Erstellen, um den Vorgang abzuschließen.
An dieser Stelle verfügt das Netzwerk über Routen zum Internet und zu allen Instanzen, die Sie erstellen. Es hat aber keine Firewallregeln, die den Zugriff auf Instanzen zulassen, auch nicht von anderen Instanzen. Um Zugriff zu gewähren, müssen Sie Firewallregeln erstellen.
Fahren Sie mit dem Abschnitt Firewallregeln hinzufügen fort.
Um den Zugriff auf VM-Instanzen zuzulassen, müssen Sie Firewallregeln anwenden. In diesem Lab verwenden Sie ein Instanz-Tag, um die Firewallregel auf Ihre VM-Instanzen anzuwenden. Die Firewallregel gilt für alle VMs mit demselben Instanz-Tag.
Feld |
Wert |
Kommentare |
Name |
nw101-allow-http |
Name der neuen Regel |
Ziele |
Angegebene Zieltags |
Die Instanzen, für die die Firewallregel gelten soll |
Zieltags |
http |
Das von uns erstellte Tag |
Quellfilter |
IPv4-Bereiche |
Firewall ist für alle IP-Adressen geöffnet |
Quell-IPv4-Bereiche |
0.0.0.0/0 |
Firewall ist für alle IP-Adressen geöffnet |
Protokolle und Ports |
Wählen Sie Angegebene Protokolle und Ports und dann tcp aus und geben Sie 80 ein |
Nur HTTP |
Ihr Bildschirm sieht dann so aus:
Diese zusätzlichen Firewallregeln lassen ICMP, interne Kommunikation, SSH und RDP zu. Sie können sie mit der Console erstellen.
Feld |
Wert |
Kommentare |
Name |
nw101-allow-icmp |
Name der neuen Regel |
Ziele |
Angegebene Zieltags |
Aus dem Drop-down-Menü „Ziele“ auswählen |
Zieltags |
Regeln |
Tag |
Quellfilter |
IPv4-Bereiche |
Wir öffnen die Firewall für jede IP-Adresse aus dieser Liste |
Quell-IPv4-Bereiche |
0.0.0.0/0 |
Firewall ist für alle IP-Adressen geöffnet |
Protokolle und Ports |
Wählen Sie Angegebene Protokolle und Ports, Andere Protokolle aus und geben Sie dann icmp ein |
Die Protokolle und Ports, auf die die Firewall angewendet wird |
Feld |
Wert |
Kommentare |
Name |
nw101-allow-internal |
Name der neuen Regel |
Ziele |
Alle Instanzen im Netzwerk |
Aus dem Drop-down-Menü „Ziele“ auswählen |
Quellfilter |
IPv4-Bereiche |
Der Filter, durch den die Regel auf bestimmte Zugriffsquellen angewendet wird |
Quell-IPv4-Bereiche |
10.0.0.0/16, 10.1.0.0/16, 10.2.0.0/16 |
Firewall ist für alle IP-Adressen geöffnet |
Protokolle und Ports |
Wählen Sie Angegebene Protokolle und Ports und dann tcp aus und geben Sie 0-65535 ein; wählen Sie udp aus und geben Sie 0-65535 ein; wählen Sie Andere Protokolle aus und geben Sie icmp ein |
Erlaubt tcp:0-65535, udp:0-65535, icmp |
Feld |
Wert |
Kommentare |
Name |
nw101-allow-ssh |
Name der neuen Regel |
Ziele |
Angegebene Zieltags |
ssh |
Zieltags |
ssh |
Die Instanzen, auf die die Firewallregel angewendet wird |
Quellfilter |
IPv4-Bereiche |
Der Filter, durch den die Regel auf bestimmte Zugriffsquellen angewendet wird |
Quell-IPv4-Bereiche |
0.0.0.0/0 |
Firewall ist für alle IP-Adressen geöffnet |
Protokolle und Ports |
Wählen Sie Angegebene Protokolle und Ports und dann tcp aus und geben Sie 22 ein |
Erlaubt tcp:22 |
Feld |
Wert |
Kommentare |
Name |
nw101-allow-rdp |
Name der neuen Regel |
Ziele |
Alle Instanzen im Netzwerk |
Aus dem Drop-down-Menü „Ziele“ auswählen |
Quellfilter |
IPv4-Bereiche |
IP-Adressen filtern |
Quell-IPv4-Bereiche |
0.0.0.0/0 |
Firewall ist für alle IP-Adressen geöffnet |
Protokolle und Ports |
Wählen Sie Angegebene Protokolle und Ports und dann tcp aus und geben Sie 3389 ein |
Erlaubt tcp:3389 |
Klicken Sie auf Fortschritt prüfen.
Wenn Sie das Lab abgeschlossen haben, klicken Sie auf Lab beenden. Ihr Konto und die von Ihnen genutzten Ressourcen werden von der Labplattform entfernt.
Anschließend erhalten Sie die Möglichkeit, das Lab zu bewerten. Wählen Sie die entsprechende Anzahl von Sternen aus, schreiben Sie einen Kommentar und klicken Sie anschließend auf Senden.
Die Anzahl der Sterne hat folgende Bedeutung:
Wenn Sie kein Feedback geben möchten, können Sie das Dialogfeld einfach schließen.
Verwenden Sie für Feedback, Vorschläge oder Korrekturen den Tab Support.
Sie wissen jetzt, wie sowohl Standardnetzwerke als auch von Nutzern erstellte Netzwerke konfiguriert werden, wie Sie Subnetze hinzufügen und Firewallregeln anwenden, um den Zugriff zu steuern.
In unseren Schulungen erfahren Sie alles zum optimalen Einsatz unserer Google Cloud-Technologien und können sich entsprechend zertifizieren lassen. Unsere Kurse vermitteln technische Fähigkeiten und Best Practices, damit Sie möglichst schnell mit Google Cloud loslegen und Ihr Wissen fortlaufend erweitern können. Wir bieten On-Demand-, Präsenz- und virtuelle Schulungen für Anfänger wie Fortgeschrittene an, die Sie individuell in Ihrem eigenen Zeitplan absolvieren können. Mit unseren Zertifizierungen weisen Sie nach, dass Sie Experte im Bereich Google Cloud-Technologien sind.
Handbuch zuletzt am 22. Oktober 2024 aktualisiert
Lab zuletzt am 22. Oktober 2024 getestet
© 2025 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.
Diese Inhalte sind derzeit nicht verfügbar
Bei Verfügbarkeit des Labs benachrichtigen wir Sie per E-Mail
Sehr gut!
Bei Verfügbarkeit kontaktieren wir Sie per E-Mail
One lab at a time
Confirm to end all existing labs and start this one