Criar VMs com várias interfaces de rede

Por padrão, cada instância de máquina virtual (VM) em uma rede de nuvem privada virtual (VPC) tem uma única interface de rede. No entanto, é possível configurar uma instância com várias interfaces de rede. Ao usar várias interfaces de rede de uma instância, cada interface precisa ser anexada a uma sub-rede de uma rede VPC diferente. Não é possível anexar várias interfaces de rede à mesma sub-rede ou às sub-redes que estão na mesma rede VPC.

Só é possível configurar interfaces de VM com endereços IPv4 (pilha única) ou endereços IPv4 e IPv6 (pilha dupla).

Se você não precisar de várias interfaces de rede, siga o procedimento em Como criar e iniciar uma instância para criar instâncias com a configuração de rede padrão.

Para mais informações sobre várias interfaces de rede e como elas funcionam, consulte Várias interfaces de rede.

Especificações

• Só é possível configurar uma interface de rede quando você cria uma instância.
• Não é possível configurar várias interfaces de rede para o Compute Engine instâncias bare metal.
• Se você criar uma instância com várias interfaces de rede, cada interface precisará se conectar a uma rede VPC diferente. As redes podem ser VPC independentes ou VPC compartilhadas.
• Uma interface de rede precisa se conectar a uma sub-rede que tenha um intervalo de endereços IP que não se sobreponha ao intervalo de endereços IP de outra interface na mesma instância.
• Se você quiser criar uma VM conectada a sub-redes em várias redes VPC, todas as redes e sub-redes precisam existir antes de criar a instância. Para mais informações sobre como criar redes e sub-redes, consulte Criar e gerenciar redes VPC.
• Não é possível excluir uma interface de rede sem excluir a instância a que ela está anexada.

• Cada instância precisa ter no mínimo uma interface de rede e no máximo oito, dependendo do tipo de máquina da instância.

  • nic0 é obrigatório e precisa ser configurado na criação da instância.
  • nic1 a nic7 são opcionais, mas também precisam ser configurados na criação da instância.

  Para mais informações, consulte Número máximo de interfaces.

• Toda interface pode ter um endereço IPv4 externo.

• Se você conectar uma VM a uma sub-rede que tenha um intervalo de sub-rede IPv6 interno ou externo, será possível configurar um endereço IPv6 interno ou externo.

• O servidor DHCP do Google Cloud envia uma rota padrão (RFC 3442, "rota estática sem classificação") somente para a interface de rede padrão, nic0. Se uma rota padrão for necessária em outra interface de rede, configure o roteamento de políticas na instância. Para um exemplo de como fazer isso, consulte o seguinte tutorial: Configurar o roteamento para uma interface adicional.

• Todas as interfaces de rede da VM precisam se conectar a sub-redes em redes que estão no mesmo projeto que a VM ou a uma rede VPC compartilhada que foi compartilhada com o projeto.

Limitações

• Não é possível adicionar ou remover interfaces de rede a partir de uma VM atual.

• O encaminhamento de IP é ativado no nível da VM, não sendo possível aplicá-lo a interfaces individuais.

Permissões, IAM e instâncias com várias interfaces de rede

Para criar uma instância com várias interfaces de rede, você precisa ter um dos seguintes papéis:

• Papel de editor ou proprietário de projeto
• Papel Administrador de instâncias do Compute (v1) (roles/compute.instanceAdmin.v1)

Como criar e excluir instâncias e modelos de instância com várias interfaces em um projeto que não usa um ambiente de VPC compartilhada: um usuário que tem o papel proprietário, editor ou administrador da instância do Compute (v1) no nível do projeto pode criar uma instância com várias interfaces associadas a redes e sub-redes VPC que fazem parte desse mesmo projeto.

Como criar e excluir instâncias e modelos de instância com várias interfaces em ambientes de VPC compartilhada: um usuário com o papel de proprietário, editor ou administrador de instâncias do Compute (v1) no projeto pode criar uma instância com várias interfaces. Se alguma das interfaces estiver anexada a uma sub-rede em um projeto host de VPC compartilhada, você também terá o Papel Usuário de rede do Compute (roles/compute.networkUser ) no nível do projeto host da VPC compartilhada ou no nível da sub-rede da VPC compartilhada.

Para saber mais sobre permissões, leia a Documentação do IAM do Compute Engine.

Usar várias interfaces de rede com diferentes tipos de rede VPC

• O uso de várias interfaces de rede não é compatível com redes legadas.
• Quando você configurar várias interfaces de rede, conecte cada interface a uma rede VPC de modo automático ou a uma rede VPC de modo personalizado.

Alocação de endereço IP da interface de rede

• É necessário configurar cada interface de rede com um endereço IP interno principal alocado a partir do intervalo de endereço IP principal de uma sub-rede.
  • O endereço interno principal alocado para cada uma das interfaces em uma única instância não pode ser o mesmo.
• É possível optar por configurar cada uma das interfaces virtuais (NIC, na sigla em inglês) com um endereço IP externo exclusivo. Os endereços externos podem ser temporários ou reservados.

Número máximo de interfaces de rede

O número de interfaces de rede virtual é escalonado com o número de vCPUs com um mínimo de 2 e máximo de 8.

Use a tabela a seguir para determinar quantas interfaces de rede podem ser anexadas a uma instância:

Antes de começar

• Verifique se todas as redes e sub-redes necessárias foram criadas antes de criar a instância. Se você precisar criar redes ou sub-redes, consulte Criar e gerenciar redes VPC.

• Verifique se cada rede tem regras de firewall adequadas para permitir o tráfego que você quer permitir da VM e que ela tem várias interfaces. Se você precisar criar regras de firewall, consulte Usar regras de firewall da VPC.

• Se você estiver conectando uma VM a várias redes usando endereços IPv6, instale a versão google-guest-agent 20220603.00 ou posterior. Para saber mais, consulte Não consigo me conectar ao endereço IPv6 de uma interface secundária.

Criar instâncias de VM com várias interfaces de rede

Para instruções gerais sobre como criar instâncias, consulte Criar e iniciar uma instância de VM.

É possível adicionar várias interfaces de rede ao criar uma instância:

• No console do Google Cloud, adicione interfaces de rede na página Criar uma instância, na seção Rede > Interfaces de rede.
• Na CLI gcloud, use o comando instances create. Inclua a sinalização --network-interface para cada interface, seguida por qualquer chave de rede apropriada, como ([network | subnet], private-network-ip, address, external-ipv6-address).

A primeira interface sempre é criada como nic0 e padrão. Isso é importante para alguns outros aspectos da rede do Google Cloud. Por exemplo, os balanceadores de carga do Google Cloud (exceto os balanceadores de carga de rede de passagem ) só distribuem tráfego para nic0.

gcloud compute instances create INSTANCE_NAME \
    --zone ZONE \
    --network-interface \
        network=NETWORK,subnet=SUBNET, \
        stack-type=STACK_TYPE, \
        address=EXTERNAL_IPV4_ADDRESS | no-address, \
        private-network-ip=INTERNAL_IPV4_ADDRESS \
        internal-ipv6-address=INTERNAL_IPV6_ADDRESS \
    ...
    --network-interface \
        network=NETWORK,subnet=SUBNET, \
        stack-type=STACK_TYPE, \
        external-ipv6-address=EXTERNAL_IPV6_ADDRESS, \
        external-ipv6-prefix-length=96 \
        ipv6-network-tier=PREMIUM \
    ...

resource "google_compute_instance" "default" {
  project      = var.project_id # Replace with your project ID in quotes
  zone         = "us-central1-b"
  name         = "backend-instance"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    subnetwork = var.subnet_1 # Replace with self link to a subnetwork in quotes
    network_ip = "10.0.0.14"
  }
  network_interface {
    subnetwork = var.subnet_2 # Replace with self link to a subnetwork in quotes
    network_ip = "10.10.20.14"
  }
}

Exemplos de configurações

As seções a seguir mostram como criar VMs com várias interfaces.

Configurar várias interfaces de rede com endereços IPv4

A amostra de comando a seguir cria uma instância com três interfaces de rede.

 gcloud compute instances create vm1 --machine-type=n1-standard-4 \
    --network-interface '' \
    --network-interface network=net1,subnet=subnet-a,private-network-ip=10.10.10.2,address=EXTERNAL_IPV4_ADDRESS \
    --network-interface network=net2,subnet=subnet-b,private-network-ip=10.10.20.2,no-address

As interfaces são criadas da seguinte forma:

• A conta nic0 é criada com as configurações padrão. A interface é anexada a uma sub-rede na rede VPC padrão, com um endereço IP interno alocado automaticamente e um temporário.

• nic1 está anexado à sub-rede subnet-a na rede net1, com um endereço IPv4 interno de 10.10.10.2 e um endereço IPv4 externo estático, EXTERNAL_IPV4_ADDRESS.

• nic2 está anexado à sub-rede subnet-b na rede net2, com um endereço IPv4 interno de 10.10.20.2 e nenhum endereço IP externo.

Para uma descrição completa do comando gcloud compute instances create e da sinalização --network-interface, leia a documentação para o comando.

É possível usar o endereço IP da interface de rede adicionada para configurar o encaminhamento de DNS. Para saber mais sobre como configurar zonas de encaminhamento do Cloud DNS, consulte Zonas de encaminhamento.

Configurar várias interfaces de rede com endereços IPv4 e IPv6

A amostra de comando a seguir cria uma instância de pilha dupla com duas interfaces de rede.

gcloud compute instances create vm1 \
--network-interface network=dual-int,subnet=int-subnet,stack-type=IPV4_IPV6 \
--network-interface network=dual-ext,subnet=ext-subnet,stack-type=IPV4_IPV6,ipv6-network-tier=PREMIUM \
--machine-type=n1-standard-4 --zone=us-west2-a

As interfaces são criadas da seguinte forma:

• nic0 está anexado à sub-rede int-subnet na rede dual-int, com um endereço IPv4 interno efêmero e um endereço IPv6 interno temporário.

• nic1 está anexado à sub-rede ext-subnet na rede dual-ext, com um endereço IPv4 interno temporário e um endereço IPv6 externo temporário.

Configurar várias interfaces de rede para grupos de instâncias

É possível usar instâncias com várias interfaces de rede em grupos de instâncias não gerenciadas e em grupos de instâncias gerenciadas.

Para grupos de instâncias não gerenciadas, crie cada instância individualmente, garantindo que a interface de rede nic0 de cada VM esteja anexada a mesma sub-rede. Em seguida, adicione as instâncias de VM ao grupo de instâncias não gerenciadas.

Para configurar várias interfaces de rede para grupos de instâncias gerenciadas, é preciso especificar a configuração de rede para cada interface no modelo de instância. Para isso, defina a sinalização --network-interface uma vez para cada interface. O exemplo a seguir cria um modelo de instância com três interfaces de rede:

gcloud compute instance-templates create template-1 \
    --network-interface subnet=net0-subnet-a \
    --network-interface subnet=net1-subnet-b,no-address \
    --network-interface subnet=net2-subnet-c,no-address \
    --region us-central1

Como os nomes das sub-redes em cada região de um projeto precisam ser exclusivos, a especificação de sub-redes por nome associa implicitamente cada interface a uma rede VPC. Cada interface precisa usar uma sub-rede que esteja em uma rede VPC exclusiva:

• nic0 usa a sub-rede net0-subnet-a
• nic1 usa a sub-rede net1-subnet-b
• nic2 usa a sub-rede net2-subnet-c

A opção no-address na sinalização --network-interface indica que a interface está configurada sem um endereço IP externo. O endereço IP interno vem da sub-rede usada pela interface. Para informações completas sobre as sinalizações e a sintaxe, consulte a sinalização --network-interface para o comando instance-templates create.

Solução de problemas

Não consigo criar uma VM com várias interfaces

Veja uma das seguintes mensagens de erro:

• Invalid value for field 'resource': ''. Too many network interfaces. The maximum number of network interfaces allowed for this machine type is.

  Se você receber essa mensagem de erro, está tentando criar mais interfaces do que o máximo aceito pelo tipo de máquina da sua instância. Consulte a tabela de número máximo de interfaces.

• Networks must be distinct for NICs attached to a VM.

  Se você receber essa mensagem, está tentando criar mais de uma interface na mesma rede. Cada interface de rede precisa ser anexada a uma rede VPC diferente.

• Subnetwork CIDR ranges must be non-overlapping for NICs attached to a VM.

  Se você receber essa mensagem, os intervalos CIDR associados às interfaces da sua VM estão sobrepostos. Esses intervalos CIDR incluem todos os intervalos primários de sub-redes associadas às interfaces da VM, bem como os intervalos secundários usados nos intervalos de IP de alias. Cada interface é anexada a uma sub-rede, cada uma em uma rede VPC diferente, que não pode se sobrepor a sub-redes de outras interfaces. Por exemplo, se você estiver tentando criar sua instância na região us-west1, poderá verificar os intervalos CIDR principais da sub-rede usando o seguinte comando ou o Console do Google Cloud.

  gcloud compute networks subnets list --regions us-west1
  NAME                REGION    NETWORK          RANGE
  default             us-west1  default          10.138.0.0/20
  overlapping-subnet  us-west1  test-network     10.138.8.0/24
  

  Para verificar os intervalos de CIDR de sub-rede secundária, use o seguinte comando ou o Console do Google Cloud.

  gcloud compute networks subnets describe overlapping-subnet --region us-west1
  

  ...
  ipCidrRange: 10.128.8.0/24
  ...
  secondaryIpRanges:
  - ipCidrRange: 10.138.8.0/24
    rangeName: conflicting-range
  

• Multiple network interfaces are not supported on legacy networks.

  Se você receber essa mensagem, está tentando criar sua instância em uma rede legada. Instâncias com várias interfaces não são compatíveis com redes legadas. Verifique se uma rede é legada usando o seguinte comando ou o Console do Google Cloud. O campo Modo indica o tipo de rede.

  gcloud compute networks list
  NAME             MODE    IPV4_RANGE     GATEWAY_IPV4
  default          auto
  legacy-network   legacy  10.240.0.0/16  10.240.0.1
  test-network     custom
  

• Required 'compute.instances.create' permission for 'projects/PROJECT_ID/zones/ZONE/instances/test-inst'

  Se você receber essa mensagem, a conta com que fez login não tem permissões do IAM necessárias para criar uma instância. Consulte Permissões do IAM para informações detalhadas sobre os papéis necessários para a criação de instâncias. Verifique se a política do IAM associada ao seu projeto concede a você os seguintes papéis: OWNER, EDITOR ou compute.instanceAdmin.v1. Para criar instâncias na VPC compartilhada, você também precisaria do papel compute.networkUser. No exemplo abaixo, a conta [email protected] não tem permissões de IAM suficientes para criar uma instância. Para ver instruções mais detalhadas, consulte o guia do IAM Como conceder, alterar e revogar acesso a recursos.

  gcloud projects get-iam-policy PROJECT_ID
  bindings:
  - members:
    - user:[email protected]
      role: roles/owner
  - members:
    - serviceAccount:[email protected]
    - serviceAccount:[email protected]
      role: roles/editor
  - members:
    - user:[email protected]
      role: roles/viewer
  etag: BwUjMhXbSPU=
  version: 1
  

  Peça ao proprietário ou editor do seu projeto que conceda a você um papel de OWNER, EDITOR ou compute.instanceAdmin.v1. Você precisaria da função compute.networkUser também se estivesse associando qualquer interface a uma sub-rede pertencente à VPC compartilhada.

  gcloud projects set-iam_policy --member user:[email protected] --role roles/editor
  

Não consigo me conectar ao endereço IP interno de uma interface secundária

• Verifique as regras de firewall para ver se elas permitem a conectividade com a interface secundária da VM. Observe as regras de firewall para a rede que está conectada à interface secundária acessando o Console do Google Cloud e clicando na rede VPC apropriada ou usando o seguinte comando gcloud.

  gcloud compute firewall-rules list --filter='network:NETWORK_NAME'
  

• Verifique se você está tentando se conectar a uma interface secundária de um endereço de Internet ou de fora da rede da interface secundária. Só é possível se conectar ao IP interno de uma interface de dentro da respectiva rede. Se você precisa alcançar essa interface de fora da rede, é possível atribuir um endereço IP externo à interface secundária.

• Verifique se você está tentando se conectar ao IP interno da interface secundária de fora da sub-rede à qual a interface secundária está anexada, de uma outra sub-rede da mesma rede ou de uma rede com peering. Várias interfaces de rede por instância explicam a interação entre o peering da VPC e instâncias de VM com várias interfaces. Para alcançar interfaces secundárias de fora da sub-rede da interface, talvez seja necessário configurar rotas na VM. Consulte Comportamento do DHCP com várias interfaces de rede para mais detalhes sobre como o DHCP programa rotas padrão na VM.

• Se você estiver tentando acessar um endereço IPv6, consulte também Não consigo me conectar ao endereço IPv6 de uma interface secundária.

Não consigo me conectar a uma interface secundária usando um endereço IP externo

O servidor DHCP programa uma rota padrão somente na interface de rede principal da VM. Se você quiser se conectar à interface secundária usando um IP externo, há duas opções. Se você precisa apenas se conectar fora da rede na interface de rede secundária, é possível definir uma rota padrão nessa interface de rede. Caso contrário, use a abordagem descrita no tutorial Configurar o roteamento em uma interface extra para configurar uma tabela de roteamento separada usando o roteamento de políticas com base na origem na sua VM.

Se você estiver tentando acessar um endereço IPv6, consulte também Não consigo me conectar ao endereço IPv6 de uma interface secundária.

Não consigo me conectar ao endereço IPv6 de uma interface secundária

Se você estiver tentando acessar um endereço IPv6, verifique se a VM tem a versão google-guest-agent 20220603.00 ou posterior instalada. Para mais informações sobre como gerenciar versões google-guest-agent, consulte Ambiente convidado.

Se você tiver uma versão anterior do google-guest-agent, as interfaces secundárias não receberão uma rota de sub-rede IPv6. Recomendamos que você atualize o agente convidado para que as rotas sejam configuradas corretamente.

No entanto, como solução alternativa, é possível criar um script de inicialização para fazer a seguinte alteração de configuração em cada interface secundária.

sudo sysctl -w net.ipv6.conf.INTERFACE_NAME.accept_ra_rt_info_max_plen=128

Substitua INTERFACE_NAME pelo nome da interface, por exemplo, eth1 ou ens5.

Estou com problemas de conectividade ao usar uma máscara de rede que não seja /32

Por padrão, o servidor de metadados da instância responde apenas às solicitações ARP para o gateway padrão.

Para configurar interfaces com uma máscara de rede diferente de /32, crie uma imagem usando a sinalização --guest-os-features MULTI_IP_SUBNET e use-a para criar sua instância. Por exemplo, se você estiver usando uma imagem baseada em debian-9, poderá criar uma imagem usando o seguinte comando:

gcloud compute images create debian-9-multi-ip-subnet \
     --source-disk debian-9-disk \
     --source-disk-zone us-west1-a \
     --guest-os-features MULTI_IP_SUBNET

Para visualizar os recursos de convidado configurados na imagem, execute o comando gcloud compute images describe na imagem do convidado.

gcloud compute images describe debian-9-multi-ip-subnet

Para mais informações sobre como criar imagens personalizadas, consulte Criar, excluir e suspender o uso de imagens personalizadas.

Não consigo resolver o nome do host interno de uma VM com várias interfaces de rede

Quando uma consulta DNS é executada com um nome do host interno, ela é resolvida na interface de rede principal (nic0) da instância.

Se nic0 estiver anexado a uma rede VPC diferente da rede VPC da instância que emite a consulta DNS, a consulta DNS falhará. O DNS interno é resolvido somente dentro de uma determinada rede VPC. Para mais informações, consulte Resolução de DNS com várias interfaces de rede.

Como solucionar problemas usando o console serial

Muitas vezes, é recomendável ativar o console serial em uma VM para depurar problemas relacionados à configuração. É possível ativar o console serial para depuração interativa seguindo as etapas em Solução de problemas usando o console serial.