Übersicht

Google Cloud Virtual Private Cloud (VPC) bietet Netzwerkfunktionen für Compute Engine-VM-Instanzen, Kubernetes Engine-Container und die flexible App Engine-Umgebung. Anders ausgedrückt: Ohne VPC-Netzwerk können Sie keine VM-Instanzen, Container oder App Engine-Anwendungen erstellen. Deshalb gibt es für jedes Google Cloud-Projekt ein Standardnetzwerk vom Typ default, sodass Sie sofort loslegen können.

Ein VPC-Netzwerk gleicht einem physischen Netzwerk, ist aber nur virtuell in Google Cloud vorhanden. VPC-Netzwerke sind globale Ressourcen und bestehen aus regionalen virtuellen Subnetzwerken (Subnetzen) in Rechenzentren, die über ein globales Wide Area Network (WAN) verbunden sind. VPC-Netzwerke sind in Google Cloud logisch voneinander isoliert.

In diesem Lab erstellen Sie ein VPC-Netzwerk im automatischen Modus mit Firewallregeln und zwei VM-Instanzen. Anschließend prüfen Sie die Konnektivität zwischen den VM-Instanzen.

Lernziele

Aufgaben in diesem Lab:

• VPC-Standardnetzwerk kennenlernen
• Netzwerk im automatischen Modus mit Firewallregeln erstellen
• VM-Instanzen mit der Compute Engine erstellen
• Konnektivität zwischen den VM-Instanzen prüfen

Einrichtung und Anforderungen

Für jedes Lab werden Ihnen ein neues Google Cloud-Projekt und die entsprechenden Ressourcen für eine bestimmte Zeit kostenlos zur Verfügung gestellt.

1. Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Pop-up-Fenster geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können. Auf der linken Seite befindet sich der Bereich Details zum Lab mit diesen Informationen:

   • Schaltfläche Google Cloud Console öffnen
   • Restzeit
   • Temporäre Anmeldedaten für das Lab
   • Ggf. weitere Informationen für dieses Lab

2. Klicken Sie auf Google Cloud Console öffnen (oder klicken Sie mit der rechten Maustaste und wählen Sie Link in Inkognitofenster öffnen aus, wenn Sie Chrome verwenden).

   Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite Anmelden geöffnet.

   Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.

   Hinweis: Wird das Dialogfeld Konto auswählen angezeigt, klicken Sie auf Anderes Konto verwenden.

3. Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.

   {{{user_0.username | "Username"}}}

   Sie finden den Nutzernamen auch im Bereich Details zum Lab.

4. Klicken Sie auf Weiter.

5. Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.

   {{{user_0.password | "Password"}}}

   Sie finden das Passwort auch im Bereich Details zum Lab.

6. Klicken Sie auf Weiter.

   Wichtig: Sie müssen die für das Lab bereitgestellten Anmeldedaten verwenden. Nutzen Sie nicht die Anmeldedaten Ihres Google Cloud-Kontos. Hinweis: Wenn Sie Ihr eigenes Google Cloud-Konto für dieses Lab nutzen, können zusätzliche Kosten anfallen.

7. Klicken Sie sich durch die nachfolgenden Seiten:

   • Akzeptieren Sie die Nutzungsbedingungen.
   • Fügen Sie keine Wiederherstellungsoptionen oder Zwei-Faktor-Authentifizierung hinzu (da dies nur ein temporäres Konto ist).
   • Melden Sie sich nicht für kostenlose Testversionen an.

Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.

Hinweis: Wenn Sie eine Liste der Google Cloud-Produkte und ‑Dienste aufrufen möchten, klicken Sie oben links auf das Navigationsmenü oder geben Sie den Namen des Produkts oder Dienstes in das Feld Suchen ein.

Aufgabe 1: Standardnetzwerk entdecken

Jedes Google Cloud-Projekt hat ein Standardnetzwerk vom Typ default mit Subnetzen, Routen und Firewallregeln.

Subnetze ansehen

Das Standardnetzwerk default hat in jeder Google Cloud-Region ein Subnetz.

1. Klicken Sie in der Cloud Console im Navigationsmenü () auf VPC-Netzwerk > VPC-Netzwerke.

2. Klicken Sie auf Standard.

3. Klicken Sie auf Subnetze.

Sie sehen nun das Standardnetzwerk default und seine Subnetze.
Jedes Subnetz ist einer Google Cloud-Region und einem privaten CIDR-Block gemäß RFC 1918 für den internen IP-Adressbereich und einem Gateway zugeordnet.

Routen ansehen

Mithilfe von Routen wird für die VM-Instanzen und das VPC-Netzwerk festgelegt, wie Traffic von einer Instanz an ein Ziel innerhalb des Netzwerks oder außerhalb von Google Cloud gesendet werden soll. Jedes VPC-Netzwerk hat einige Standardrouten, um Traffic zwischen den Subnetzen weiterzuleiten und von berechtigten Instanzen an das Internet zu senden.

1. Klicken Sie links auf Routen.

2. Klicken Sie unter Aktive Routen auf Netzwerk und wählen Sie default aus.

3. Klicken Sie auf Region und wählen Sie die Ihnen von Qwiklabs zugewiesene Lab-Region aus.

4. Klicken Sie auf Ansehen.

   Sie sehen eine Route für jedes Subnetz.
   Diese Routen werden für Sie verwaltet. Sie können jedoch benutzerdefinierte statische Routen erstellen, um einige Pakete an bestimmte Ziele zu leiten. Beispielsweise können Sie eine Route erstellen, die den gesamten ausgehenden Traffic an eine als NAT-Gateway konfigurierte Instanz sendet.

Firewallregeln ansehen

Jedes VPC-Netzwerk enthält eine verteilte virtuelle Firewall, die konfiguriert werden kann. Mit Firewallregeln steuern Sie, welche Pakete zu welchen Zielen weitergeleitet werden können. Jedes VPC-Netzwerk hat zwei implizite Firewallregeln, die alle eingehenden Verbindungen blockieren und alle ausgehenden Verbindungen zulassen.

• Klicken Sie im linken Bereich auf Firewall.
  Für das Standardnetzwerk default gibt es vier Firewallregeln für eingehenden Traffic:
  • default-allow-icmp
  • default-allow-rdp
  • default-allow-ssh
  • default-allow-internal

Hinweis: Diese Firewallregeln lassen eingehenden Traffic über ICMP, RDP und SSH aus allen Quellen (0.0.0.0/0) sowie den gesamten Traffic über TCP, UDP und ICMP innerhalb des Netzwerks (10.128.0.0/9) zu. In den Spalten Ziele, Filter, Protokolle/Ports und Aktion sind diese Regeln erläutert.

Firewallregeln löschen

1. Wählen Sie sämtliche Firewallregeln des Standardnetzwerks aus.
2. Klicken Sie auf Löschen.
3. Klicken Sie zur Bestätigung noch einmal auf Löschen.

Standardnetzwerk löschen

1. Klicken Sie in der Cloud Console im Navigationsmenü () auf VPC-Netzwerk > VPC-Netzwerke.
2. Wählen Sie das Netzwerk default aus.
3. Klicken Sie auf VPC-Netzwerk löschen.
4. Klicken Sie zur Bestätigung noch einmal auf Löschen.
   Warten Sie, bis das Netzwerk gelöscht ist, bevor Sie fortfahren.
5. Klicken Sie links auf Routen.
   Wie Sie sehen, sind keine Routen vorhanden.
6. Klicken Sie im linken Bereich auf Firewall.
   Wie Sie sehen, sind keine Firewallregeln vorhanden.

Hinweis: Ohne VPC-Netzwerk gibt es keine Routen und Firewallregeln.

VM-Instanz ohne VPC-Netzwerk erstellen

Sie werden sehen, dass Sie ohne VPC-Netzwerk keine VM-Instanz erstellen können.

1. Klicken Sie im Navigationsmenü () auf Compute Engine > VM-Instanzen.
2. Klicken Sie auf Instanz erstellen.
3. Übernehmen Sie die Standardwerte und klicken Sie auf Erstellen. Im Tab Netzwerk wird ein Fehler angezeigt.
4. Klicken Sie auf Zu den Problemen.
5. Unter Netzwerkschnittstellen sehen Sie die Fehler „Keine weiteren Netzwerke verfügbar“ und „Kein Netzwerk verfügbar“.
6. Klicken Sie auf Abbrechen.

Hinweis: Wie erwartet, können Sie ohne VPC-Netzwerk keine VM-Instanz erstellen.

Aufgabe 2: VPC-Netzwerk und VM-Instanzen erstellen

Erstellen Sie zuerst ein VPC-Netzwerk und dann VM-Instanzen.

VPC-Netzwerk im automatischen Modus mit Firewallregeln erstellen

Replizieren Sie das Standardnetzwerk default. Erstellen Sie dazu ein Netzwerk im automatischen Modus.

1. Klicken Sie im Navigationsmenü () auf VPC-Netzwerk > VPC-Netzwerke.
2. Klicken Sie auf VPC-Netzwerk erstellen.
3. Geben Sie unter Name die Bezeichnung mynetwork ein.
4. Klicken Sie unter Modus für Subnetzerstellung auf Automatisch. Von Netzwerken im automatischen Modus werden automatisch Subnetze in den einzelnen Regionen erstellt.
5. Wählen Sie bei Firewallregeln alle verfügbaren Regeln aus. Es sind dieselben wie beim Standardnetzwerk. Die Regeln deny-all-ingress und allow-all-egress sind ebenfalls aufgelistet, können aber nicht ausgewählt oder deaktiviert werden, da es implizite Regeln sind. Da diese beiden Regeln eine geringere Priorität haben (je höher der Zahlenwert, desto geringer die Priorität), werden zuerst die Regeln angewendet, die ICMP, benutzerdefinierten Traffic, RDP und SSH zulassen.
6. Klicken Sie auf Erstellen. Sobald das neue Netzwerk bereitsteht, können Sie erkennen, dass für jede Region ein Subnetz erstellt wurde.
7. Sehen Sie sich den IP-Adressbereich für die Subnetze in und an.

Hinweis: Wenn Sie das Standardnetzwerk einmal versehentlich löschen sollten, können Sie es problemlos neu erstellen. Dazu folgen Sie einfach den obigen Schritten und erstellen ein Netzwerk im automatischen Modus. Aus der Firewallregel „allow-internal“ wird dann die Regel „allow-custom“.

VM-Instanz in erstellen

Erstellen Sie eine VM-Instanz in der Region . Durch Auswählen einer Region und Zone wird das Subnetz festgelegt und die interne IP-Adresse aus dem IP-Adressbereich des Subnetzes zugewiesen.

1. Klicken Sie im Navigationsmenü () auf Compute Engine > VM-Instanzen.

2. Klicken Sie auf Instanz erstellen.

3. Geben Sie Folgendes an:

   Attribut	Wert (Wert eingeben bzw. Option auswählen)
   Name	mynet-us-vm
   Region
   Zone

4. Wählen Sie unter Reihe die Option E2 aus.

5. Wählen Sie als Maschinentyp die Option e2-micro (2 vCPUs, 1 GB Arbeitsspeicher) aus.

6. Klicken Sie auf Erstellen.

VM-Instanz in erstellen

Erstellen Sie eine VM-Instanz in der Region .

1. Klicken Sie auf Instanz erstellen.

2. Geben Sie Folgendes an und lassen Sie ansonsten die Standardeinstellungen unverändert:

   Attribut	Wert (Wert eingeben bzw. Option auswählen)
   Name	mynet-r2-vm
   Region
   Zone

3. Wählen Sie unter Reihe die Option E2 aus.

4. Wählen Sie als Maschinentyp die Option e2-micro (2 vCPUs, 1 GB Arbeitsspeicher) aus.

5. Klicken Sie auf Erstellen.

Hinweis: Die externen IP-Adressen beider VM-Instanzen sind sitzungsspezifisch. Wird eine Instanz gestoppt, werden sitzungsspezifische externe IP-Adressen wieder für den Compute Engine-Pool freigegeben und stehen für andere Projekte zur Verfügung.

Wird eine gestoppte Instanz wieder gestartet, erhält sie eine neue sitzungsspezifische externe IP-Adresse. Alternativ können Sie eine statische externe IP-Adresse reservieren, die Ihrem Projekt so lange zugewiesen bleibt, bis Sie sie explizit freigeben.

Klicken Sie auf Fortschritt prüfen. VPC-Netzwerk und VM-Instanz erstellen

Aufgabe 3: Konnektivität zwischen den VM-Instanzen prüfen

Prüfen Sie die Konnektivität zwischen den VM-Instanzen. Prüfen Sie insbesondere die SSH-Verbindung zu Ihren VM-Instanzen mithilfe von tcp:22 und kontaktieren Sie die internen und externen IP-Adressen Ihrer VM-Instanzen mithilfe von ICMP. Sehen Sie sich dann die Auswirkungen der Firewallregeln auf die Konnektivität an, indem Sie sie einzeln entfernen.

Konnektivität zwischen den VM-Instanzen prüfen

Die Firewallregeln, die Sie mit mynetwork erstellt haben, lassen eingehenden SSH- und ICMP-Traffic innerhalb von mynetwork (interne IP-Adresse) und außerhalb dieses Netzwerks (externe IP-Adresse) zu.

1. Klicken Sie im Navigationsmenü () auf Compute Engine > VM-Instanzen.
   Notieren Sie sich die interne und externe IP-Adresse für mynet-r2-vm.

2. Klicken Sie für mynet-us-vm auf SSH, um ein Terminal zu starten und eine Verbindung herzustellen.

3. Wenn das Pop-up Autorisieren angezeigt wird, klicken Sie auf Autorisieren.

Hinweis: Sie können SSH aufgrund der Firewallregel allow-ssh verwenden. Diese Regel lässt eingehenden Traffic aus allen Quellen (0.0.0.0/0) für tcp:22 zu. Die SSH-Verbindung funktioniert nahtlos, da die Compute Engine einen SSH-Schlüssel für Sie generiert und an einem der folgenden Orte speichert:

• Standardmäßig wird der generierte Schlüssel von der Compute Engine zu den Metadaten von Projekten oder Instanzen hinzugefügt.
• Wenn im Konto die Verwendung von OS Login konfiguriert wurde, wird der generierte Schlüssel von der Compute Engine im Nutzerkonto gespeichert.

Alternativ können Sie den Zugriff auf Linux-Instanzen steuern. Dazu erstellen Sie SSH-Schlüssel und bearbeiten öffentliche Metadaten.

3. Testen Sie die Konnektivität zur internen IP-Adresse von mynet-r2-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die interne IP-Adresse von mynet-r2-vm einsetzen:

ping -c 3 <Enter mynet-r2-vm's internal IP here>

Aufgrund der Firewallregel allow-custom können Sie die interne IP-Adresse von mynet-r2-vm kontaktieren.

4. Testen Sie die Konnektivität zur externen IP-Adresse von mynet-r2-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die externe IP-Adresse von mynet-r2-vm einsetzen:

ping -c 3 <Enter mynet-r2-vm's external IP here>

Hinweis: Sie können wie erwartet eine SSH-Verbindung zu mynet-us-vm herstellen und die interne und externe IP-Adresse von mynet-r2-vm kontaktieren. Außerdem können Sie eine SSH-Verbindung zu mynet-r2-vm herstellen und die interne und externe IP-Adresse von mynet-us-vm kontaktieren.

Firewallregel „allow-icmp“ entfernen

Entfernen Sie die Firewallregel allow-icmp und versuchen Sie, die interne und externe IP-Adresse von mynet-r2-vm zu kontaktieren.

1. Klicken Sie im Navigationsmenü () auf VPC-Netzwerk > Firewall.

2. Wählen Sie die Regel mynetwork-allow-icmp aus.

3. Klicken Sie auf Löschen.

4. Klicken Sie zur Bestätigung noch einmal auf Löschen.
   Warten Sie, bis die Firewallregel gelöscht ist.

5. Kehren Sie zum SSH-Terminal für mynet-us-vm zurück.

6. Testen Sie die Konnektivität zur internen IP-Adresse von mynet-r2-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die interne IP-Adresse von mynet-r2-vm einsetzen:

ping -c 3 <Enter mynet-r2-vm's internal IP here>

Aufgrund der Firewallregel allow-custom können Sie die interne IP-Adresse von mynet-r2-vm kontaktieren.

7. Testen Sie die Konnektivität zur externen IP-Adresse von mynet-r2-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die externe IP-Adresse von mynet-r2-vm einsetzen:

ping -c 3 <Enter mynet-r2-vm's external IP here> Hinweis: Der Paketverlust von 100 % zeigt, dass ein Kontakt zur externen IP-Adresse von mynet-r2-vm nicht möglich ist. Das war zu erwarten, weil Sie die Firewallregel allow-icmp gelöscht haben.

Firewallregel „allow-custom“ entfernen

Entfernen Sie die Firewallregel allow-custom und versuchen Sie, die interne IP-Adresse von mynet-r2-vm zu kontaktieren.

1. Klicken Sie im Navigationsmenü () auf VPC-Netzwerk > Firewall.
2. Wählen Sie die Regel mynetwork-allow-custom aus.
3. Klicken Sie auf Löschen.
4. Klicken Sie zur Bestätigung noch einmal auf Löschen.
   Warten Sie, bis die Firewallregel gelöscht ist.
5. Kehren Sie zum SSH-Terminal für mynet-us-vm zurück.
6. Testen Sie die Konnektivität zur internen IP-Adresse von mynet-r2-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die interne IP-Adresse von mynet-r2-vm einsetzen:

ping -c 3 <Enter mynet-r2-vm's internal IP here> Hinweis: Der Paketverlust von 100 % zeigt, dass ein Kontakt zur internen IP-Adresse von mynet-r2-vm nicht möglich ist. Das war zu erwarten, da Sie die Firewallregel allow-custom gelöscht haben.

7. Schließen Sie das SSH-Terminal.

exit

Firewallregel „allow-ssh“ entfernen

Entfernen Sie die Firewallregel allow-ssh und versuchen Sie dann, eine SSH-Verbindung zu mynet-us-vm herzustellen.

1. Klicken Sie im Navigationsmenü () auf VPC-Netzwerk > Firewall.
2. Wählen Sie die Regel mynetwork-allow-ssh aus.
3. Klicken Sie auf Löschen.
4. Klicken Sie zur Bestätigung noch einmal auf Löschen.
5. Warten Sie, bis die Firewallregel gelöscht ist.
6. Klicken Sie im Navigationsmenü auf Compute Engine > VM-Instanzen.
7. Klicken Sie für mynet-us-vm auf SSH, um ein Terminal zu starten und eine Verbindung herzustellen.

Hinweis: Die Meldung Verbindung fehlgeschlagen zeigt, dass eine SSH-Verbindung zu mynet-us-vm nicht möglich ist, weil Sie die Firewallregel allow-ssh gelöscht haben.

Aufgabe 4: Zusammenfassung

In diesem Lab haben Sie das Standardnetzwerk mit seinen Subnetzen, Routen und Firewallregeln erkundet. Sie haben das Standardnetzwerk gelöscht und festgestellt, dass Sie keine VM-Instanzen ohne VPC-Netzwerk erstellen können.

Daher haben Sie ein neues VPC-Netzwerk im automatischen Modus mit Subnetzen, Routen, Firewallregeln und zwei VM-Instanzen erstellt. Anschließend haben Sie die Konnektivität zwischen den VM-Instanzen überprüft und die Auswirkungen der Firewallregeln auf die Konnektivität untersucht.

Lab beenden

Wenn Sie das Lab abgeschlossen haben, klicken Sie auf Lab beenden. Google Cloud Skills Boost entfernt daraufhin die von Ihnen genutzten Ressourcen und bereinigt das Konto.

Anschließend erhalten Sie die Möglichkeit, das Lab zu bewerten. Wählen Sie die entsprechende Anzahl von Sternen aus, schreiben Sie einen Kommentar und klicken Sie anschließend auf Senden.

Die Anzahl der Sterne hat folgende Bedeutung:

• 1 Stern = Sehr unzufrieden
• 2 Sterne = Unzufrieden
• 3 Sterne = Neutral
• 4 Sterne = Zufrieden
• 5 Sterne = Sehr zufrieden

Wenn Sie kein Feedback geben möchten, können Sie das Dialogfeld einfach schließen.

Verwenden Sie für Feedback, Vorschläge oder Korrekturen den Tab Support.

© 2021 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.