GSP210

Übersicht

Google Cloud Virtual Private Cloud (VPC) bietet Netzwerkfunktionen für Compute Engine-VM-Instanzen, Kubernetes Engine-Container und App Engine – Flex. Anders ausgedrückt: Ohne VPC-Netzwerk können Sie keine VM-Instanzen, Container oder App Engine-Anwendungen erstellen. Deshalb gibt es für jedes Google Cloud-Projekt ein Standardnetzwerk vom Typ default, sodass Sie sofort loslegen können.

Ein VPC-Netzwerk gleicht einem physischen Netzwerk, ist aber nur virtuell in Google Cloud vorhanden. VPC-Netzwerke sind eine globale Ressource und bestehen aus regionalen virtuellen Subnetzwerken (Subnetzen) in Rechenzentren, die über ein globales Wide Area Network (WAN) verbunden sind. VPC-Netzwerke sind in Google Cloud logisch voneinander isoliert.

In diesem Lab erstellen Sie ein VPC-Netzwerk im automatischen Modus mit Firewallregeln und zwei VM-Instanzen. Anschließend prüfen Sie die Konnektivität zwischen den VM-Instanzen.

Lernziele

Aufgaben in diesem Lab:

• VPC-Standardnetzwerk erkunden
• Netzwerk im automatischen Modus mit Firewallregeln erstellen
• VM-Instanzen mit der Compute Engine erstellen
• Konnektivität zwischen den VM-Instanzen prüfen

Einrichtung und Anforderungen

Vor dem Klick auf „Start Lab“ (Lab starten)

Lesen Sie diese Anleitung. Labs sind zeitlich begrenzt und können nicht pausiert werden. Der Timer beginnt zu laufen, wenn Sie auf Lab starten klicken, und zeigt Ihnen, wie lange Google Cloud-Ressourcen für das Lab verfügbar sind.

In diesem praxisorientierten Lab können Sie die Lab-Aktivitäten in einer echten Cloud-Umgebung durchführen – nicht in einer Simulations- oder Demo-Umgebung. Dazu erhalten Sie neue, temporäre Anmeldedaten, mit denen Sie für die Dauer des Labs auf Google Cloud zugreifen können.

Für dieses Lab benötigen Sie Folgendes:

• Einen Standardbrowser (empfohlen wird Chrome)

Hinweis: Nutzen Sie den privaten oder Inkognitomodus (empfohlen), um dieses Lab durchzuführen. So wird verhindert, dass es zu Konflikten zwischen Ihrem persönlichen Konto und dem Teilnehmerkonto kommt und zusätzliche Gebühren für Ihr persönliches Konto erhoben werden.

• Zeit für die Durchführung des Labs – denken Sie daran, dass Sie ein begonnenes Lab nicht unterbrechen können.

Hinweis: Verwenden Sie für dieses Lab nur das Teilnehmerkonto. Wenn Sie ein anderes Google Cloud-Konto verwenden, fallen dafür möglicherweise Kosten an.

Lab starten und bei der Google Cloud Console anmelden

1. Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Dialogfeld geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können. Auf der linken Seite befindet sich der Bereich „Details zum Lab“ mit diesen Informationen:

   • Schaltfläche „Google Cloud Console öffnen“
   • Restzeit
   • Temporäre Anmeldedaten für das Lab
   • Ggf. weitere Informationen für dieses Lab

2. Klicken Sie auf Google Cloud Console öffnen (oder klicken Sie mit der rechten Maustaste und wählen Sie Link in Inkognitofenster öffnen aus, wenn Sie Chrome verwenden).

   Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite „Anmelden“ geöffnet.

   Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.

   Hinweis: Wird das Dialogfeld Konto auswählen angezeigt, klicken Sie auf Anderes Konto verwenden.

3. Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.

   {{{user_0.username | "Username"}}}

   Sie finden den Nutzernamen auch im Bereich „Details zum Lab“.

4. Klicken Sie auf Weiter.

5. Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.

   {{{user_0.password | "Password"}}}

   Sie finden das Passwort auch im Bereich „Details zum Lab“.

6. Klicken Sie auf Weiter.

   Wichtig: Sie müssen die für das Lab bereitgestellten Anmeldedaten verwenden. Nutzen Sie nicht die Anmeldedaten Ihres Google Cloud-Kontos. Hinweis: Wenn Sie Ihr eigenes Google Cloud-Konto für dieses Lab nutzen, können zusätzliche Kosten anfallen.

7. Klicken Sie sich durch die nachfolgenden Seiten:

   • Akzeptieren Sie die Nutzungsbedingungen.
   • Fügen Sie keine Wiederherstellungsoptionen oder Zwei-Faktor-Authentifizierung hinzu (da dies nur ein temporäres Konto ist).
   • Melden Sie sich nicht für kostenlose Testversionen an.

Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.

Hinweis: Wenn Sie auf Google Cloud-Produkte und ‑Dienste zugreifen möchten, klicken Sie auf das Navigationsmenü oder geben Sie den Namen des Produkts oder Dienstes in das Feld Suchen ein.

Aufgabe 1: Standardnetzwerk erkunden

Jedes Google Cloud-Projekt hat ein Standardnetzwerk vom Typ default mit Subnetzen, Routen und Firewallregeln.

Subnetze ansehen

Das Standardnetzwerk default hat in jeder Google Cloud-Region ein Subnetz.

1. Öffnen Sie in der Cloud Console das Navigationsmenü () und klicken Sie dann auf VPC‑Netzwerk > VPC‑Netzwerke.

2. Klicken Sie auf das Standardnetzwerk default. Sie sehen nun die Details des Standardnetzwerks default und seine Subnetze.

Hinweis: Jedes Subnetz ist einer Google Cloud-Region und einem privaten CIDR-Block gemäß RFC 1918 für den internen IP-Adressbereich und einem Gateway zugeordnet.

Routen ansehen

Mithilfe von Routen wird für die VM-Instanzen und das VPC-Netzwerk festgelegt, wie Traffic von einer Instanz an ein Ziel innerhalb des Netzwerks oder außerhalb von Google Cloud gesendet werden soll.

Jedes VPC-Netzwerk verfügt über einige Standardrouten, um Traffic zwischen den Subnetzen weiterzuleiten und von berechtigten Instanzen an das Internet zu senden.

1. Klicken Sie links auf Routen.

2. Wählen Sie auf dem Tab Aktive Routen das Netzwerk default und die aus.

Sie sehen eine Route für jedes Subnetz und eine für das Standard-Internetgateway (0.0.0.0./0).

Hinweis: Diese Routen werden für Sie verwaltet. Sie können jedoch benutzerdefinierte statische Routen erstellen, um einige Pakete an bestimmte Ziele zu leiten. Beispielsweise können Sie eine Route erstellen, die den gesamten ausgehenden Traffic an eine als NAT-Gateway konfigurierte Instanz sendet.

Firewallregeln ansehen

Jedes VPC-Netzwerk enthält eine verteilte virtuelle Firewall, die konfiguriert werden kann. Mit Firewallregeln steuern Sie, welche Pakete zu welchen Zielen weitergeleitet werden können.

Jedes VPC-Netzwerk hat zwei implizite Firewallregeln, die alle eingehenden Verbindungen blockieren und alle ausgehenden Verbindungen zulassen.

1. Klicken Sie links auf Firewallregeln.

Für das Standardnetzwerk default gibt es vier Firewallregeln für eingehenden Traffic:

• default-allow-icmp
• default-allow-internal
• default-allow-rdp
• default-allow-ssh

Hinweis: Diese Firewallregeln lassen eingehenden Traffic über ICMP, RDP und SSH aus allen Quellen (0.0.0.0/0) sowie den gesamten Traffic über TCP, UDP und ICMP innerhalb des Netzwerks (10.128.0.0/9) zu. In den Spalten Ziele, Quellfilter, Protokolle/Ports und Aktion sind diese Regeln erläutert.

Standardnetzwerk löschen

1. Wählen Sie alle Firewallregeln aus und klicken Sie auf Löschen.

2. Öffnen Sie in der Cloud Console das Navigationsmenü () und klicken Sie dann auf VPC‑Netzwerk > VPC‑Netzwerke.

3. Klicken Sie auf das Standardnetzwerk default.

4. Klicken Sie oben auf der Seite auf VPC-Netzwerk löschen.

5. Klicken Sie zur Bestätigung noch einmal auf Löschen.

   Hinweis: Warten Sie, bis das Netzwerk gelöscht ist, bevor Sie fortfahren.

6. Klicken Sie links auf Routen.

   Wie Sie sehen, sind keine vorhanden. Klicken Sie gegebenenfalls oben auf der Seite auf Aktualisieren.

Hinweis: Ohne VPC-Netzwerk existieren auch keine Routen.

VM-Instanz ohne VPC-Netzwerk erstellen

Sie werden sehen, dass Sie ohne VPC-Netzwerk keine VM-Instanz erstellen können.

1. Öffnen Sie in der Cloud Console das Navigationsmenü () und klicken Sie dann auf Compute Engine > VM‑Instanzen.

2. Klicken Sie auf Instanz erstellen, um eine neue Instanz zu erstellen.

3. Behalten Sie für alle Werte die Standardeinstellung bei und klicken Sie auf Erstellen.

   Hinweis: Es wird ein Fehler angezeigt.

4. Klicken Sie auf Netzwerke.

5. Gehen Sie zum Abschnitt Netzwerkschnittstellen.

   Hinweis: Folgender Fehler wird angezeigt: Kein Netzwerk verfügbar. Bevor Sie eine Instanz erstellen können, müssen Sie zuerst ein Netzwerk erstellen.

6. Klicken Sie auf Abbrechen.

Hinweis: Wie erwartet können Sie ohne VPC-Netzwerk keine VM-Instanz erstellen.

Aufgabe 2: VPC-Netzwerk und VM-Instanzen erstellen

Erstellen Sie zuerst ein VPC-Netzwerk und dann VM-Instanzen.

VPC-Netzwerk im automatischen Modus mit Firewallregeln erstellen

Replizieren Sie das Standardnetzwerk default. Erstellen Sie dazu ein Netzwerk im automatischen Modus.

1. Öffnen Sie in der Konsole das Navigationsmenü (). Klicken Sie auf VPC-Netzwerk, dann auf VPC-Netzwerke und dann auf VPC-Netzwerk erstellen.

2. Legen Sie als Name mynetwork fest.

3. Klicken Sie unter Modus für Subnetzerstellung auf Automatisch.

   Von Netzwerken im automatischen Modus werden automatisch Subnetze in den einzelnen Regionen erstellt.

4. Wählen Sie bei Firewallregeln alle verfügbaren Regeln aus.

   Es sind dieselben wie beim Standardnetzwerk.

Hinweis: Die Regeln deny-all-ingress und allow-all-egress sind ebenfalls aufgelistet, können aber nicht ausgewählt oder deaktiviert werden, da es implizite Regeln sind. Da diese beiden Regeln eine geringere Priorität haben (je höher der Zahlenwert, desto geringer die Priorität), werden zuerst die Regeln angewendet, die ICMP, benutzerdefinierten Traffic, RDP und SSH zulassen.

5. Klicken Sie auf Erstellen und warten Sie, bis das Netzwerk mynetwork erstellt ist.

   Sie sehen, dass für jede Region ein eigenes Subnetz erstellt wurde.

6. Klicken Sie auf den Namen mynetwork und kopieren Sie sich den IP-Adressbereich für die Subnetze in und . Sie benötigen ihn später im Lab.

Hinweis: Wenn Sie das Standardnetzwerk einmal versehentlich löschen sollten, können Sie es problemlos neu erstellen. Dazu folgen Sie einfach den obigen Schritten und erstellen ein Netzwerk im automatischen Modus.

Abgeschlossene Aufgabe testen

Klicken Sie auf Fortschritt prüfen. Falls Sie die Aufgabe erfolgreich abgeschlossen haben, erhalten Sie ein Testergebnis.

VPC-Netzwerk erstellen

VM-Instanz in erstellen

Erstellen Sie eine VM-Instanz in der Region . Durch Auswählen einer Region und Zone wird das Subnetz festgelegt und die interne IP-Adresse aus dem IP-Adressbereich des Subnetzes zugewiesen.

1. Öffnen Sie in der Console das Navigationsmenü () und klicken Sie dann auf Compute Engine > VM-Instanzen.

2. Klicken Sie auf Instanz erstellen.

3. In der Maschinenkonfiguration:

   Legen Sie die folgenden Werte fest:

   Attribut	Wert (Wert eingeben bzw. Option auswählen)
   Name	mynet-us-vm
   Region
   Zone
   Reihe	E2
   Maschinentyp	e2-micro

4. Klicken Sie auf Erstellen und warten Sie, bis die Instanz erstellt ist.

5. Prüfen Sie, ob die interne IP-Adresse aus dem IP-Adressbereich des Subnetzes zugewiesen wurde.

Abgeschlossene Aufgabe testen

Klicken Sie auf Fortschritt prüfen. Falls Sie die Aufgabe erfolgreich abgeschlossen haben, erhalten Sie ein Testergebnis.

VM-Instanz in erstellen

VM-Instanz in erstellen

Erstellen Sie eine VM-Instanz in der Region .

1. Klicken Sie auf Instanz erstellen.

2. In der Maschinenkonfiguration:

3. Legen Sie die folgenden Werte fest:

   Attribut	Wert (Wert eingeben bzw. Option auswählen)
   Name	mynet-second-vm
   Region
   Zone
   Reihe	E2
   Maschinentyp	e2-micro

4. Klicken Sie auf Erstellen und warten Sie, bis die Instanz erstellt ist.

Hinweis: Wenn Sie eine Fehlermeldung erhalten, dass in dieser Zone nicht genügend Ressourcen vorhanden sind, um die Anfrage zu erfüllen, wiederholen Sie die Schritte 1 bis 3 mit einer anderen Zone.

5. Prüfen Sie, ob die interne IP-Adresse aus dem IP-Adressbereich des Subnetzes zugewiesen wurde.

   Die interne IP-Adresse sollte lauten, weil x.x.x.1 für das Gateway reserviert ist und Sie keine anderen Instanzen in diesem Subnetz konfiguriert haben.

Hinweis: Die externen IP-Adressen beider VM-Instanzen sind sitzungsspezifisch. Wird eine Instanz gestoppt, werden sitzungsspezifische externe IP-Adressen wieder für den Compute Engine-Pool freigegeben und stehen für andere Projekte zur Verfügung.

Wird eine gestoppte Instanz wieder gestartet, erhält sie eine neue sitzungsspezifische externe IP-Adresse. Alternativ können Sie eine statische externe IP-Adresse reservieren, die Ihrem Projekt so lange zugewiesen bleibt, bis Sie sie explizit freigeben.

Abgeschlossene Aufgabe testen

Klicken Sie auf Fortschritt prüfen. Falls Sie die Aufgabe erfolgreich abgeschlossen haben, erhalten Sie ein Testergebnis.

VM-Instanz in erstellen

Aufgabe 3: Konnektivität zwischen den VM-Instanzen prüfen

Prüfen Sie die Konnektivität zwischen den VM-Instanzen. Prüfen Sie insbesondere die SSH-Verbindung zu Ihren VM-Instanzen mithilfe von tcp:22 und pingen Sie die internen und externen IP-Adressen Ihrer VM-Instanzen mithilfe von ICMP an. Sehen Sie sich dann die Auswirkungen der Firewallregeln auf die Konnektivität an, indem Sie sie nacheinander entfernen.

Konnektivität zwischen VM-Instanzen prüfen

Die Firewallregeln, die Sie mit mynetwork erstellt haben, lassen eingehenden SSH- und ICMP-Traffic von innerhalb mynetwork (interne IP-Adresse) und außerhalb dieses Netzwerks (externe IP-Adresse) zu.

1. Öffnen Sie in der Console das Navigationsmenü () und klicken Sie dann auf Compute Engine > VM-Instanzen.

   Kopieren Sie sich die interne und externe IP-Adresse für mynet-r2-vm.

2. Klicken Sie für mynet-us-vm auf SSH, um ein Terminal zu starten und eine Verbindung herzustellen. Möglicherweise müssen Sie zweimal auf SSH klicken.

   Sie können SSH aufgrund der Firewallregel allow-ssh verwenden. Diese Regel lässt eingehenden Traffic aus allen Quellen (0.0.0.0/0) für tcp:22 zu.

   Hinweis: Die SSH-Verbindung funktioniert nahtlos, da die Compute Engine einen SSH-Schlüssel für Sie generiert und an einem der folgenden Orte speichert:
   • Standardmäßig wird der generierte Schlüssel von der Compute Engine zu den Metadaten von Projekten oder Instanzen hinzugefügt.
   • Wenn im Konto die Verwendung von OS Login konfiguriert wurde, wird der generierte Schlüssel von der Compute Engine im Nutzerkonto gespeichert.
   Alternativ können Sie den Zugriff auf Linux-Instanzen steuern. Dazu erstellen Sie SSH-Schlüssel und bearbeiten öffentliche Metadaten.

3. Testen Sie die Konnektivität zur internen IP-Adresse von mynet-second-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die interne IP-Adresse von mynet-second-vm einsetzen:

   ping -c 3 <Enter mynet-second-vm's internal IP here>

   Die Firewallregel allow-custom erlaubt es Ihnen, die interne IP-Adresse von mynet-second-vm anzupingen.

4. Testen Sie die Konnektivität zur externen IP-Adresse von mynet-second-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die externe IP-Adresse von mynet-second-vm einsetzen:

   ping -c 3 <Enter mynet-second-vm's external IP here>

Aufgabe 4: Testen Sie Ihr Wissen

Im Folgenden stellen wir Ihnen einige Multiple-Choice-Fragen, um Ihr bisher erworbenes Wissen zu testen und zu festigen. Beantworten Sie die Fragen so gut Sie können.

Hinweis: Sie waren in der Lage, eine SSH-Verbindung zu mynet-us-vm herzustellen und die interne und externe IP-Adresse von mynet-second-vm anzupingen. Alternativ konnten Sie eine SSH-Verbindung zu mynet-second-vm herstellen und die interne und externe IP-Adresse von mynet-us-vm anpingen.

Aufgabe 5: Firewallregel „allow-icmp“ entfernen

Entfernen Sie die Firewallregel allow-icmp und versuchen Sie, die interne und externe IP-Adresse von mynet-r2-vm anzupingen.

1. Öffnen Sie in der Konsole das Navigationsmenü (). Klicken Sie auf VPC-Netzwerk und dann auf Firewall.

2. Sehen Sie sich die Regel mynetwork-allow-icmp an.

3. Klicken Sie auf Löschen.

4. Klicken Sie zur Bestätigung noch einmal auf Löschen.

   Warten Sie, bis die Firewallregel gelöscht ist.

5. Kehren Sie zum SSH-Terminal für mynet-us-vm zurück.

6. Testen Sie die Konnektivität zur internen IP-Adresse von mynet-second-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die interne IP-Adresse von mynet-second-vm einsetzen:

ping -c 3 <Enter mynet-second-vm's internal IP here>

Die Firewallregel allow-custom erlaubt es Ihnen, die interne IP-Adresse von mynet-second-vm anzupingen.

7. Testen Sie die Konnektivität zur externen IP-Adresse von mynet-second-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die externe IP-Adresse von mynet-second-vm einsetzen:

   ping -c 3 <Enter mynet-second-vm's external IP here>

Hinweis: Der Paketverlust von 100% lässt erkennen, dass Sie die externe IP-Adresse von mynet-second-vm nicht anpingen konnten. Das war zu erwarten, weil Sie die Firewallregel allow-icmp gelöscht haben.

Aufgabe 6: Firewallregel „allow-custom“ entfernen

Entfernen Sie die Firewallregel allow-custom und versuchen Sie, die interne IP-Adresse von mynet-second-vm anzupingen.

1. Öffnen Sie in der Konsole das Navigationsmenü (). Klicken Sie auf VPC-Netzwerk und dann auf Firewall.

2. Sehen Sie sich die Regel mynetwork-allow-custom an und klicken Sie dann auf Löschen.

3. Klicken Sie zur Bestätigung noch einmal auf Löschen.

   Warten Sie, bis die Firewallregel gelöscht ist.

4. Kehren Sie zum SSH-Terminal für mynet-us-vm zurück.

5. Testen Sie die Konnektivität zur internen IP-Adresse von mynet-second-vm. Führen Sie dazu den folgenden Befehl aus, wobei Sie die interne IP-Adresse von mynet-second-vm einsetzen:

   ping -c 3 <Enter mynet-second-vm's internal IP here>

Hinweis: Der Paketverlust von 100% lässt erkennen, dass Sie die interne IP-Adresse von mynet-second-vm nicht anpingen konnten. Das war zu erwarten, da Sie die Firewallregel allow-custom gelöscht haben.

6. Schließen Sie das SSH-Terminal.

   exit

Aufgabe 7: Firewallregel „allow-ssh“ entfernen

Entfernen Sie die Firewallregel allow-ssh und versuchen Sie dann, eine SSH-Verbindung zu mynet-us-vm herzustellen.

1. Öffnen Sie in der Konsole das Navigationsmenü (). Klicken Sie auf VPC-Netzwerk und dann auf Firewall.

2. Sehen Sie sich die Regel mynetwork-allow-ssh an und klicken Sie dann auf Löschen.

3. Klicken Sie zur Bestätigung noch einmal auf Löschen.

   Warten Sie, bis die Firewallregel gelöscht ist.

4. Öffnen Sie in der Console das Navigationsmenü () und klicken Sie dann auf Compute Engine > VM-Instanzen.

5. Klicken Sie für mynet-us-vm auf SSH, um ein Terminal zu starten und eine Verbindung herzustellen.

Hinweis: An der Meldung Verbindung fehlgeschlagen sehen Sie, dass Sie keine SSH-Verbindung zu mynet-us-vm herstellen konnten. Das war zu erwarten, weil Sie die Firewallregel allow-ssh gelöscht haben.

Das wars! Sie haben das Lab erfolgreich abgeschlossen.

In diesem Lab haben Sie das Standardnetzwerk mit seinen Subnetzen, Routen und Firewallregeln erkundet. Sie haben das Standardnetzwerk gelöscht und festgestellt, dass Sie keine VM-Instanzen ohne VPC-Netzwerk erstellen können. Daher haben Sie ein neues VPC-Netzwerk im automatischen Netzwerk mit Subnetzen, Routen, Firewallregeln und zwei VM-Instanzen erstellt. Anschließend haben Sie die Konnektivität für die VM-Instanzen überprüft und die Auswirkungen der Firewallregeln auf die Konnektivität untersucht.

Weitere Informationen

Weitere Informationen zu Google VPCs finden Sie in der Übersicht zu Virtual Private Cloud-Netzwerken (VPC).

Anleitung zuletzt am 16. März 2025 aktualisiert

Lab zuletzt am 16. März 2025 getestet

© 2025 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.