
Before you begin
- Labs create a Google Cloud project and resources for a fixed time
- Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
- On the top left of your screen, click Start lab to begin
Create a custom network, subnetworks and firewall rules
/ 50
Dans cet atelier, vous allez apprendre à effectuer des tâches élémentaires de gestion de réseaux sur Google Cloud (ce qui inclut les instances Compute Engine). Vous découvrirez en outre les différences entre une configuration Google Cloud et une configuration sur site. Vous allez développer un réseau composé de trois sous-réseaux, ce qui aura pour résultat la création de l'environnement final suivant :
Enfin, vous apprendrez à créer des règles de pare-feu et à utiliser des tags d'instance pour les appliquer.
Lisez ces instructions. Les ateliers sont minutés, et vous ne pouvez pas les mettre en pause. Le minuteur, qui démarre lorsque vous cliquez sur Démarrer l'atelier, indique combien de temps les ressources Google Cloud resteront accessibles.
Cet atelier pratique vous permet de suivre vous-même les activités dans un véritable environnement cloud, et non dans un environnement de simulation ou de démonstration. Nous vous fournissons des identifiants temporaires pour vous connecter à Google Cloud le temps de l'atelier.
Pour réaliser cet atelier :
Cliquez sur le bouton Démarrer l'atelier. Si l'atelier est payant, un pop-up s'affiche pour vous permettre de sélectionner un mode de paiement. Sur la gauche, vous trouverez le panneau Détails concernant l'atelier, qui contient les éléments suivants :
Cliquez sur Ouvrir la console Google Cloud (ou effectuez un clic droit et sélectionnez Ouvrir le lien dans la fenêtre de navigation privée si vous utilisez le navigateur Chrome).
L'atelier lance les ressources, puis ouvre la page Se connecter dans un nouvel onglet.
Conseil : Réorganisez les onglets dans des fenêtres distinctes, placées côte à côte.
Si nécessaire, copiez le nom d'utilisateur ci-dessous et collez-le dans la boîte de dialogue Se connecter.
Vous trouverez également le nom d'utilisateur dans le panneau Détails concernant l'atelier.
Cliquez sur Suivant.
Copiez le mot de passe ci-dessous et collez-le dans la boîte de dialogue Bienvenue.
Vous trouverez également le mot de passe dans le panneau Détails concernant l'atelier.
Cliquez sur Suivant.
Accédez aux pages suivantes :
Après quelques instants, la console Cloud s'ouvre dans cet onglet.
Cloud Shell est une machine virtuelle qui contient de nombreux outils pour les développeurs. Elle comprend un répertoire d'accueil persistant de 5 Go et s'exécute sur Google Cloud. Cloud Shell vous permet d'accéder via une ligne de commande à vos ressources Google Cloud.
Une fois connecté, vous êtes en principe authentifié et le projet est défini sur votre ID_PROJET. Le résultat contient une ligne qui déclare YOUR_PROJECT_ID (VOTRE_ID_PROJET) pour cette session :
gcloud
est l'outil de ligne de commande pour Google Cloud. Il est préinstallé sur Cloud Shell et permet la complétion par tabulation.
Cliquez sur Autoriser.
Vous devez à présent obtenir le résultat suivant :
Résultat :
Résultat :
Exemple de résultat :
gcloud
, dans Google Cloud, accédez au guide de présentation de la gcloud CLI.
Certaines ressources Compute Engine sont hébergées dans des régions ou des zones. Une région est un emplacement géographique spécifique où vous pouvez exécuter vos ressources. Chaque région se compose d'une ou plusieurs zones. Par exemple, la région "us-central1" est une région située au centre des États-Unis qui comprend les zones us-central1-a
, us-central1-b
, us-central1-c
et us-central1-f
.
Régions | Zones |
---|---|
Ouest des États-Unis | us-west1-a, us-west1-b |
Centre des États-Unis | us-central1-a, us-central1-b, us-central1-d, us-central1-f |
Est des États-Unis | us-east1-b, us-east1-c, us-east1-d |
Europe de l'Ouest | europe-west1-b, europe-west1-c, europe-west1-d |
Asie orientale | asia-east1-a, asia-east1-b, asia-east1-c |
Les ressources contenues dans des zones sont des ressources dites "zonales". Par exemple, les instances de machines virtuelles et les disques persistants sont deux types de ressources situées dans des zones. Pour associer un disque persistant à une instance de machine virtuelle, vous devez placer ces deux ressources dans la même zone. Si vous souhaitez attribuer une adresse IP statique à une instance, l'instance doit se trouver dans la même région que l'adresse IP statique.
Dans Google Cloud Platform, les réseaux fournissent des connexions de données vers et depuis vos ressources cloud (en général ces ressources sont des instances Compute Engine). Il est primordial de sécuriser vos réseaux pour protéger vos données et contrôler l'accès à vos ressources.
Google Cloud Platform, compatible avec les projets, les réseaux et les sous-réseaux, vous permet d'isoler des ressources non associées de façon flexible et logique.
Les projets constituent le type de conteneurs de plus haut niveau de la hiérarchie. Ils permettent de regrouper les ressources qui partagent les mêmes limites de confiance. Chaque projet possédant ses propres règles d'accès (IAM) et sa liste de membres, de nombreux développeurs décident de mapper leurs projets à des équipes. Les projets servent également à rassembler toutes les informations relatives à la facturation et aux quotas, qui reflètent la consommation de vos ressources. Les projets contiennent des réseaux (qui contiennent eux-mêmes des sous-réseaux), des règles de pare-feu ainsi que des routes. Les diagrammes d'architecture ci-dessous illustrent ce système.
Les réseaux connectent directement vos ressources les unes aux autres ainsi qu'au monde extérieur. Ils utilisent des pare-feu et hébergent également les règles d'accès relatives aux connexions entrantes et sortantes. Ils peuvent être soit mondiaux (auquel cas ils offrent une évolutivité horizontale sur plusieurs régions), soit régionaux (auquel cas ils offrent une latence faible au sein d'une unique région).
Les sous-réseaux vous permettent de regrouper des ressources associées (instances Compute Engine) dans des espaces d'adressage RFC1918 privés. Ils sont exclusivement régionaux, et vous pouvez les configurer en mode automatique ou personnalisé.
Certaines ressources Compute Engine sont hébergées dans des régions et des zones. Une région est un emplacement géographique spécifique où vous pouvez exécuter vos ressources. Chaque région se compose d'une ou plusieurs zones.
Exécutez les commandes gcloud
suivantes dans Cloud Shell pour définir la région et la zone par défaut de votre atelier :
Lorsque vous créez un projet, une configuration réseau par défaut dote chaque région d'un réseau de sous-réseaux automatiquement provisionnés. Vous pouvez créer jusqu'à quatre réseaux supplémentaires dans un projet. Il peut s'agir de réseaux de sous-réseaux automatiquement provisionnés ou personnalisés, ou encore d'anciens réseaux.
Chaque instance que vous créez au sein d'un sous-réseau obtient une adresse IPv4 appartenant à la plage d'adresses de ce sous-réseau.
Pour savoir comment isoler des sous-réseaux à l'aide de règles de pare-feu, consultez les pages concernant les sous-réseaux et les règles de pare-feu.
Chaque réseau dispose d'un pare-feu par défaut qui bloque l'ensemble du trafic entrant vers les instances. Pour autoriser ce trafic, vous devez créer des règles "allow". En outre, le pare-feu par défaut autorise le trafic en provenance des instances, sauf si vous le configurez de façon qu'il bloque les connexions sortantes à l'aide d'une configuration "egress". Vous pouvez donc créer par défaut des règles "allow" pour le trafic entrant que vous souhaitez laisser passer, et des règles "deny" pour le trafic sortant que vous souhaitez restreindre. Vous avez également la possibilité de définir une règle de refus par défaut pour le trafic sortant afin d'empêcher toute connexion externe.
De manière générale, il est préférable de configurer la règle de pare-feu la moins permissive possible, adaptée au trafic que vous souhaitez laisser passer. Par exemple, si vous avez besoin d'autoriser le trafic à accéder à des instances spécifiques, mais de l'empêcher d'accéder à d'autres, vous devez créer des règles n'autorisant le trafic que vers les instances en question. Cette configuration plus restrictive est bien plus prévisible qu'une règle de pare-feu étendue autorisant le trafic à accéder à toutes les instances. Si vous souhaitez que certaines règles "deny" prévalent sur certaines règles "allow", vous pouvez assigner un niveau de priorité à chacune d'elles. Ainsi, la règle ayant la valeur la plus faible (et la priorité la plus élevée) sera évaluée en premier. Créer des ensembles complexes et étendus de règles de priorité peut entraîner l'autorisation ou le blocage involontaire de certains types de trafic.
Le réseau par défaut définit automatiquement des règles de pare-feu, décrites ci-dessous. Les réseaux manuellement créés, quel que soit leur type, ne définissent pas automatiquement de règles de pare-feu. Vous devez donc définir vous-même les règles de pare-feu dont vous avez besoin pour vos réseaux, hormis le réseau par défaut.
Voici les règles de pare-feu de trafic entrant automatiquement définies pour le réseau par défaut :
|
Autorise les connexions réseau à partir de tous les ports et protocoles entre les instances du réseau. |
|
Autorise les connexions SSH à partir de toutes les sources vers toutes les instances du réseau via le port TCP 22. |
|
Autorise les connexions RDP à partir de toutes les sources vers toutes les instances du réseau via le port TCP 3389. |
|
Autorise le trafic ICMP à partir de toutes les sources vers toutes les instances du réseau. |
Tous les réseaux disposent de routes automatiquement créées qui dirigent le trafic vers Internet (route par défaut) et vers les plages d'adresses IP du réseau. Les noms des routes sont générés automatiquement et diffèrent pour chaque projet.
Lorsque vous affectez manuellement des plages de sous-réseaux, vous créez tout d'abord un réseau personnalisé, puis les sous-réseaux que vous souhaitez utiliser au sein d'une région. Vous n'avez pas besoin de spécifier immédiatement (ni même du tout) de sous-réseaux pour chaque région. Toutefois, vous ne pouvez pas créer d'instances dans une région ne comportant pas de sous-réseaux.
Lorsque vous créez un sous-réseau, son nom doit être unique dans le projet pour la région, mais aussi entre les différents réseaux de cette région. Le même nom peut apparaître deux fois dans un projet tant que les deux sous-réseaux se situent dans une région différente. Comme les sous-réseaux ne disposent ni de plage IPv4 au niveau du réseau, ni d'adresse IP de passerelle, ces informations n'apparaissent pas.
Vous pouvez créer votre réseau personnalisé à l'aide de la console ou de Cloud Shell. Nous allons vous expliquer la marche à suivre avec les deux méthodes, mais c'est à vous de décider celle que vous allez employer lors de cet atelier. Par exemple, vous ne pouvez pas effectuer une section en suivant les instructions relatives à la console, puis réaliser les étapes de la même section à l'aide de la ligne de commande gcloud
.
Pour créer un réseau personnalisé :
Cliquez sur le menu de navigation > Réseau VPC.
Cliquez sur Créer un réseau VPC et nommez-le taw-custom-network
.
Dans l'onglet Personnalisé, définissez les éléments suivants :
10.0.0.0/16
Cliquez sur OK.
Cliquez sur Ajouter un sous-réseau et ajoutez deux autres sous-réseaux dans leur région respective :
Cliquez sur Créer pour terminer la procédure.
À ce stade, le réseau dispose de routes vers Internet et vers les instances que vous êtes susceptible de créer. Il ne possède toutefois aucune règle de pare-feu autorisant l'accès aux instances, même depuis d'autres instances. Pour autoriser l'accès, vous devez créer des règles de pare-feu.
Passez à la section Ajouter des règles de pare-feu.
Pour autoriser l'accès aux instances de VM, vous devez appliquer des règles de pare-feu. Dans cet atelier, vous allez utiliser des tags d'instance pour appliquer les règles de pare-feu à vos instances de VM. Ces règles s'appliqueront à toutes les VM utilisant le même tag d'instance.
Champ |
Valeur |
Commentaires |
Nom |
nw101-allow-http |
Nom de la nouvelle règle |
Cibles |
Tags cibles spécifiés |
Instances auxquelles s'applique la règle de pare-feu |
Tags cibles |
http |
Tag que nous avons créé |
Filtre source |
Plages IPv4 |
Nous allons ouvrir le pare-feu à toutes les adresses IP provenant d'Internet. |
Plages IPv4 sources |
0.0.0.0/0 |
Vous allez ouvrir le pare-feu à toutes les adresses IP provenant d'Internet. |
Protocoles et ports |
Sélectionnez Protocoles et ports spécifiés, cochez la case tcp, puis saisissez 80. |
HTTP uniquement |
Votre écran ressemblera à ceci :
Ces règles de pare-feu supplémentaires vont autoriser les connexions ICMP, SSH, RDP ainsi que les communications internes. Vous pouvez les créer à l'aide de la console.
Champ |
Valeur |
Commentaires |
Nom |
nw101-allow-icmp |
Nom de la nouvelle règle |
Cibles |
Tags cibles spécifiés |
À sélectionner dans la liste déroulante "Cibles" |
Tags cibles |
règles |
tag |
Filtre source |
Plages IPv4 |
Nous allons ouvrir le pare-feu à toutes les adresses IP de cette liste. |
Plages IPv4 sources |
0.0.0.0/0 |
Nous allons ouvrir le pare-feu à toutes les adresses IP provenant d'Internet. |
Protocoles et ports |
Sélectionnez Protocoles et ports spécifiés, Autres protocoles, puis saisissez icmp. |
Protocoles et ports auxquels s'applique le pare-feu |
Champ |
Valeur |
Commentaires |
Nom |
nw101-allow-internal |
Nom de la nouvelle règle |
Cibles |
Toutes les instances du réseau |
À sélectionner dans la liste déroulante "Cibles" |
Filtre source |
Plages IPv4 |
Filtre permettant d'appliquer la règle à des sources de trafic spécifiques |
Plages IPv4 sources |
10.0.0.0/16, 10.1.0.0/16, 10.2.0.0/16 |
Nous allons ouvrir le pare-feu à toutes les adresses IP provenant d'Internet. |
Protocoles et ports |
Sélectionnez Protocoles et ports spécifiés, puis tcp, et saisissez 0-65535 ; cochez la case udp, saisissez 0-65535 ; cochez la case Autres protocoles, puis saisissez icmp. |
Autorise Tcp:0-65535, udp:0-65535 et ICMP |
Champ |
Valeur |
Commentaires |
Nom |
nw101-allow-ssh |
Nom de la nouvelle règle |
Cibles |
Tags cibles spécifiés |
ssh |
Tags cibles |
ssh |
Instances auxquelles vous appliquez la règle de pare-feu |
Filtre source |
Plages IPv4 |
Filtre permettant d'appliquer la règle à des sources de trafic spécifiques |
Plages IPv4 sources |
0.0.0.0/0 |
Nous allons ouvrir le pare-feu à toutes les adresses IP provenant d'Internet. |
Protocoles et ports |
Sélectionnez Protocoles et ports spécifiés, cochez la case tcp, puis saisissez 22. |
Autorise tcp:22 |
Champ |
Valeur |
Commentaires |
Nom |
nw101-allow-rdp |
Nom de la nouvelle règle |
Cibles |
Toutes les instances du réseau |
À sélectionner dans la liste déroulante "Cibles" |
Filtre source |
Plages IPv4 |
Filtrer les adresses IP |
Plages IPv4 sources |
0.0.0.0/0 |
Nous allons ouvrir le pare-feu à toutes les adresses IP provenant d'Internet. |
Protocoles et ports |
Sélectionnez Protocoles et ports spécifiés, cochez la case tcp, puis saisissez 3389. |
Autorise tcp:3389 |
Cliquez sur Vérifier ma progression pour valider l'objectif.
Une fois l'atelier terminé, cliquez sur Terminer l'atelier. Votre compte et les ressources utilisées sont alors supprimés de la plate-forme d'atelier.
Si vous le souhaitez, vous pouvez noter l'atelier. Sélectionnez un nombre d'étoiles, saisissez un commentaire, puis cliquez sur Envoyer.
Voici à quoi correspond le nombre d'étoiles que vous pouvez attribuer à un atelier :
Si vous ne souhaitez pas donner votre avis, vous pouvez fermer la boîte de dialogue.
Pour soumettre des commentaires, suggestions ou corrections, veuillez accéder à l'onglet Assistance.
Vous avez découvert la configuration des réseaux par défaut et créés par l'utilisateur. Vous avez également appris à ajouter des sous-réseaux et à appliquer des règles de pare-feu pour contrôler les accès.
Les formations et certifications Google Cloud vous aident à tirer pleinement parti des technologies Google Cloud. Nos cours portent sur les compétences techniques et les bonnes pratiques à suivre pour être rapidement opérationnel et poursuivre votre apprentissage. Nous proposons des formations pour tous les niveaux, à la demande, en salle et à distance, pour nous adapter aux emplois du temps de chacun. Les certifications vous permettent de valider et de démontrer vos compétences et votre expérience en matière de technologies Google Cloud.
Dernière mise à jour du manuel : 22 octobre 2024
Dernier test de l'atelier : 22 octobre 2024
Copyright 2025 Google LLC Tous droits réservés. Google et le logo Google sont des marques de Google LLC. Tous les autres noms d'entreprises et de produits peuvent être des marques des entreprises auxquelles ils sont associés.
Ce contenu n'est pas disponible pour le moment
Nous vous préviendrons par e-mail lorsqu'il sera disponible
Parfait !
Nous vous contacterons par e-mail s'il devient disponible
One lab at a time
Confirm to end all existing labs and start this one