[gcp] Interconnect

안녕하세요, 지난글인 Cloud Router에서 BGP 서비스를 제공하는 제품 중 Interconnect에 대해 알아보겠습니다.  
Cloud Interconnect는 온프레미스 네트워크 또는 다른 크라우드 네트워크와 Google 네트워크 간 연결을 위한 서비스입니다.
 

Interconnect ?

Cloud Interconnect는 지연 시간(latency)이 짧고 가용성(availability)이 높은 연결을 제공하므로 Google Cloud Virtual Private Cloud(VPC) 네트워크와 다른 네트워크 간에 안정적으로 데이터를 전송할 수 있습니다. 또한 Cloud Interconnect 연결은 내부 IP 주소 통신을 제공하므로 양측 네트워크 모두에서 내부 IP 주소에 직접 액세스할 수 있습니다.
Cloud Interconnect는 Google Cloud를 포함하도록 네트워크를 확장할 수 있는 다음 옵션을 제공합니다.

• Dedicated Interconnect :  온프레미스 네트워크와 Google 네트워크 간에 물리적인 직접 연결을 제공
• Partner Interconnect : 지원되는 서비스 제공업체를 통해 온프레미스 네트워크와 VPC 네트워크 간의 연결을 제공
• Cross-Cloud Interconnect :  다른 클라우드의 네트워크와 Google 네트워크 간에 물리적인 직접 연결을 제공

 

이점

• 트래픽 보안 강화
  • 외부 네트워크와 VPC 네트워크 간의 트래픽이 공개 인터넷을 거치지 않고 트래픽은 전용 연결이나 전용 연결을 갖춘 서비스 제공업체를 통해 전달됨 공개 인터넷을 거치지 않아 트래픽 홉 수가 감소하므로 트래픽이 손실되거나 중단될 수 있는 장애 지점도 감소함

• 온프레미스 네트워크에서 직접 VPC 네트워크의 내부 IP 주소에 액세스 가능
  • 내부 IP 주소에 연결하기 위해 NAT 기기나 VPN 터널을 사용할 필요가 없음.(참고 : IP 주소 지정 및 동적 경로 )
• 요구사항에 맞게 연결 용량 확장가능

• Dedicated Interconnect, Partner Interconnect, 다이렉트 피어링, 이동통신사 피어링을 이용하면 VPC 네트워크의 이그레스 트래픽을 최적화하고 이그레스 비용을 줄일 수 있음(Cloud VPN만으로는 이그레스 비용을 줄이지 못함)

• Cloud Interconnect를 온프레미스 호스트의 비공개 Google 액세스와 함께 사용하면 온프레미스 호스트가 외부 IP 주소가 아닌 내부 IP 주소를 사용하여 Google API 및 서비스에 연결할 수 있음 (참고 :  VPC 문서의 서비스 비공개 액세스 옵션)

• Cloud Interconnect를 통한 HA VPN을 배포하여 Cloud Interconnect 트래픽에 IPsec 암호화를 적용할 수 있음

 
 

고려사항

Cloud VPN

전체 Cloud Interconnect 연결이 필요하지 않으면 Cloud VPN을 단독으로 사용하여 네트워크 간 IPsec VPN 터널을 설정하면 됩니다.
 
Network Connectivity Center
Network Connectivity Center를 사용하면 VLAN 연결을 사용하여 온프레미스 네트워크를 함께 연결하고 이러한 네트워크 간에 데이터 전송 네트워크로 트래픽을 전송할 수 있습니다. 각 온프레미스 위치의 Network Connectivity Center 스포크에 VLAN 연결을 연결하여 네트워크에 연결합니다. 그런 다음 각 스포크를 Network Connectivity Center 허브에 연결합니다.
(참고 :  Network Connectivity Center 개요)

Network Connectivity Center 개요  |  Google Cloud

 
Cloud Interconnect 트래픽 암호화
Cloud Interconnect는 기본적으로 트래픽을 암호화하지 않습니다. Cloud Interconnect에 MACsec를 사용하여 지원되는 Dedicated Interconnect 회선에서 온프레미스 라우터와 Google의 에지 라우터 간의 트래픽을 보호할 수 있습니다. (참고 :  Cloud Interconnect용 MACsec 개요)
 
VLAN 연결로 전달되는 트래픽을 암호화해야 하는 경우 Cloud Interconnect를 통한 HA VPN을 배포할 수도 있습니다. Cloud Interconnect를 통한 HA VPN은 Dedicated Interconnect와 Partner Interconnect 모두에서 지원됩니다. 특정 규정 또는 보안 요구사항을 해결하기 위해 Cloud Interconnect 트래픽을 암호화해야 할 수 있습니다. (참고 : Cloud Interconnect를 통한 HA VPN 개요)
 
 
GRE 트래픽 지원
Cloud Interconnect는 GRE 트래픽을 지원합니다. GRE 지원을 이용하면 인터넷(외부 IP 주소) 및 Cloud VPN 또는 Cloud Interconnect(내부 IP 주소)로부터 VM에서 GRE 트래픽을 종료할 수 있습니다. 그런 다음 캡슐화 해제된 트래픽을 연결 가능한 대상으로 전달할 수 있습니다. GRE를 통해 Secure Access Service Edge(SASE) 및 SD-WAN과 같은 서비스를 사용할 수 있습니다.
 
 

Partner Interconnect 

Interconnect 연결 옵션 중 Partner Interconnect에 대해 알아보겠습니다. Partnet Interconnect는  지원되는 서비스 제공업체를 통해 온프레미스 네트워크와 VPC 네트워크 간의 연결을 제공합니다.
 

Partner Interconnect의 작동 방식

Partner Interconnect 연결

 
서비스 제공업체에서는 Google 네트워크에 대한 기존의 실제 연결을 고객이 사용할 수 있도록 제공합니다. 서비스 제공업체와 연결을 설정한 후 서비스 제공업체에 Partner Interconnect를 요청할 수 있습니다. 서비스 제공업체에서 연결을 프로비저닝하면 서비스 제공업체의 네트워크를 통해 조직의 네트워크 간에 트래픽을 전달할 수 있습니다.
 

VLAN 연결 MTU 옵션

동일한 VPC 네트워크에 연결된 모든 VLAN 연결에 동일한 MTU를 사용하고 VPC 네트워크의 MTU를 동일한 값으로 설정하는 것이 좋습니다.
 
 

프로비저닝

1. 서비스 제공업체와의 Partner Interconnect 연결을 프로비저닝하려면 먼저 파트너를 선택하고, Cloud Interconnect용 MACsec를 사용할지 여부를 선택한 후 온프레미스 네트워크를 지원되는 서비스 제공업체에 연결합니다. 서비스 제공업체와 협력하여 연결을 설정합니다.
2. 그런 다음 Google Cloud 프로젝트에서 Partner Interconnect 연결을 위한 VLAN 연결을 만들어 서비스 제공업체에 연결을 요청하는 데 사용하는 고유한 페어링 키를 생성합니다. 연결 위치, IP 스택 유형, 용량과 같은 다른 정보도 제공해야 합니다.
3. 서비스 제공업체에서 VLAN 연결을 구성하면 이를 사용할 수 있도록 활성화합니다. 연결에 따라 사용자 또는 서비스 제공업체에서 Border Gateway Protocol(BGP) 세션을 설정합니다.
 

Layer 2 연결과 Layer 3 연결 

- Layer 2 연결의 경우 VLAN 연결을 만들 때마다 Cloud Router와 온프레미스 라우터 간에 BGP 세션을 구성하고 설정해야 합니다. BGP 구성 정보는 서비스 제공업체에서 VLAN 연결을 구성한 후에 VLAN 연결에서 제공됩니다.

Layer 2 토폴로지

 
- Layer 3 연결의 경우에는 서비스 제공업체 측에서 각 VLAN 연결에 대해 조직 Cloud Router와 서비스 제공업체 온프레미스 라우터 간의 BGP 세션을 설정합니다. 조직 측에서 로컬 라우터에 대해 BGP를 구성할 필요가 없습니다. Google과 서비스 제공업체에서 올바른 BGP 구성을 자동으로 설정하기 때문입니다.
 

Layer 3 토폴로지

중복 및 SLA

중복 VLAN 연결을 통해 이그레스 트래픽 분산
 
99.99% 구성과 유사한 중복 토폴로지가 있으면 VPC 네트워크에서 온프레미스 네트워크로 트래픽을 전달하는 경로가 여러 개 있습니다.  Google Cloud에서는 ECMP를 사용하여 이그레스 트래픽을 연결 간에 분산합니다. ECMP를 사용하려면 VLAN 연결에서 사용하는 Cloud Router가 같은 비용의 동일한 공지(동일한 CIDR 범위 및 동일한 MED 값)를 수신해야 합니다.
 
Partner Interconnect 프로비저닝 
1. VLAN 연결 만들기

VLAN 연결 만들기  |  Cloud Interconnect  |  Google Cloud

 
2. 서비스 제공업체에 연결 요청

연결 요청  |  Cloud Interconnect  |  Google Cloud

 
3. 연결 활성화

연결 활성화  |  Cloud Interconnect  |  Google Cloud

 
4. 온프레미스 라우터 구성

온프레미스 라우터 구성  |  Cloud Interconnect  |  Google Cloud

 
5. 선택사항: Cloud Interconnect를 통한 HA VPN 구성

Cloud Interconnect를 통한 HA VPN 구성  |  Google Cloud

 
 
자세한 내용은 아래 Docs를 참고해주세요.
https://cloud.google.com/network-connectivity/docs/interconnect/how-to/partner/provisioning-overview?hl=ko

 
 
 
참고
GCP Cloud Interconnect Docs