Tema 10 de 11
Conectividad y balanceo de carga
El resto del apartado 2.3: establecer conectividad de red (Cloud VPN, VPC Network Peering y Cloud Interconnect), elegir y desplegar balanceadores de carga y diferenciar los Network Service Tiers. El peering entre VPC está en el artículo anterior.
Contenido
Opciones de conectividad híbrida
| Opción | Por dónde va el tráfico | Cuándo |
|---|---|---|
| Cloud VPN | Internet, cifrado con IPsec | Conexión rápida y económica; no reduce costes de salida |
| Dedicated Interconnect | Conexión física directa con Google | Mucho ancho de banda y puedes llegar a una instalación de colocation |
| Partner Interconnect | A través de un proveedor de servicios | No puedes llegar a la colocation o necesitas menos capacidad |
| Cross-Cloud Interconnect | Conexión física entre Google y otra nube | Conectar con AWS, Azure, OCI o Alibaba Cloud |
| Direct Peering y Carrier Peering | Peering con la red perimetral de Google | Casos concretos; Google recomienda Cloud Interconnect en su lugar |
Cloud VPN
Extiende tu red a la VPC mediante una conexión IPsec cifrada. También sirve para conectar dos VPC. No se puede usar para enrutar tráfico a internet: es para comunicación entre redes privadas.
| HA VPN | Classic VPN | |
|---|---|---|
| SLA | 99,99 % en la mayoría de topologías | 99,9 % |
| Enrutamiento | Solo dinámico (BGP) | Solo estático (basado en políticas o en rutas) |
| IP externas | Dos, elegidas automáticamente de pools distintos; sin reglas de reenvío | Hay que crear la IP y las reglas de reenvío |
| IPv6 | Sí (dual stack o solo IPv6) | No |
| Recurso de la API | vpn-gateway | target-vpn-gateway |
- Para el SLA del 99,99 %, configura dos túneles, uno desde cada interfaz del gateway; con una sola interfaz activa no hay SLA.
- Cada túnel admite unos 250 000 paquetes por segundo, entre 1 y 3 Gbps según el tamaño de los paquetes.
- Requiere un gateway VPN del otro lado (on-premises u otra nube) con redundancia adecuada.
- HA VPN sobre Cloud Interconnect añade cifrado IPsec al tráfico de Interconnect, que nunca pasa por internet.
Cloud Interconnect
Conexiones de baja latencia y alta disponibilidad en las que el tráfico no pasa por internet. Las IP internas de la VPC son accesibles directamente desde on-premises, sin NAT ni túneles VPN.
Dedicated Interconnect
- Conexión física entre tu red y la de Google en una instalación de colocation.
- Circuitos Ethernet de 10, 100 o 400 Gbps, hasta 8 circuitos por conexión.
- Tienes que instalar y mantener equipos de enrutamiento en la colocation.
Partner Interconnect
- Conexión a través de un proveedor de servicios compatible, con más puntos de conexión.
- VLAN attachments de 50 Mbps a 50 Gbps.
- Sin equipos propios en la colocation. Para requisitos de cumplimiento con terceros, añade cifrado IPsec.
| Nivel de fiabilidad | SLA |
|---|---|
| Producción crítica | 99,99 % |
| Producción no crítica y desarrollo | 99,9 % |
| Sin nivel indicado | Sin SLA |
Interconnect puede reducir los costes de salida; Cloud VPN por sí solo no. Con Private Google Access para hosts on-premises, estos llegan a las APIs de Google con IP internas. Cross-Site Interconnect conecta entre sí tus sedes on-premises a través de la red de Google.
Cloud Router
Servicio distribuido y totalmente gestionado que habla BGP con tu red para crear rutas dinámicas en la VPC. No reenvía paquetes (eso lo hace Andromeda): solo gestiona las sesiones BGP y los anuncios de rutas.
| Producto | Cloud Router |
|---|---|
| Dedicated, Partner y Cross-Cloud Interconnect | Obligatorio |
| HA VPN | Obligatorio |
| Classic VPN | Opcional (normalmente con rutas estáticas) |
| Cloud NAT | Lo usa como plano de control, sin sesiones BGP |
Cloud Load Balancing
Para elegir balanceador, primero se decide el tipo de tráfico:
Application Load Balancer
HTTP o HTTPS, capa 7, con un conjunto flexible de funciones.
Proxy Network Load Balancer
TCP con descarga SSL opcional, hacia backends en una o varias regiones.
Passthrough Network Load Balancer
TCP, UDP, ESP, GRE, ICMP. Conserva la IP de origen del cliente.
Cómo elegir el balanceador
| Aspecto | Opciones |
|---|---|
| Externo o interno | Externo: tráfico de internet. Interno: clientes de la misma VPC o conectados por peering, Cloud VPN o Interconnect |
| Global, entre regiones o regional | Global: solo externos, una IP anycast y terminación IPv6. Entre regiones (cross-region): internos con backends en varias regiones. Regional: backends en una región, solo IPv4, o requisitos de que el tráfico y el TLS se queden en una región |
| Proxy o passthrough | Proxy: termina la conexión en el balanceador (Google Front Ends o Envoy) y abre otra hacia el backend. Passthrough: el paquete llega intacto al backend y la respuesta va directa al cliente (direct server return) |
| Nivel de red | Premium o Standard (ver más abajo) |
- Resiliencia: un balanceador global o entre regiones resiste la caída de una región; uno regional, la de una zona. La resiliencia total depende también de la redundancia de los backends.
- Los balanceadores proxy no conservan la IP del cliente por defecto. Para autenticar en balanceadores de aplicaciones, Google recomienda Identity-Aware Proxy (IAP).
Resumen de balanceadores
| Balanceador | Modos | Nivel de red |
|---|---|---|
| Application Load Balancer | Externo global, externo regional, clásico, interno regional, interno entre regiones | Externo global solo Premium; externo regional Premium o Standard; internos Premium |
| Proxy Network Load Balancer | Externo global, externo regional, clásico, interno regional, interno entre regiones | Externo global solo Premium; externo regional Premium o Standard |
| Passthrough Network Load Balancer | Externo regional, interno, externo global (vista previa) | Según el modo |
Si no indicas nivel, el balanceador usa Premium. Los balanceadores internos siempre usan la red troncal de Google (Premium), sin los cargos de salida a internet de Premium.
Network Service Tiers
| Premium | Standard | |
|---|---|---|
| Enrutamiento | Por la red troncal de Google; el tráfico entra y sale por el punto de peering más cercano al cliente | Por redes de ISP y tránsito; entra y sale cerca de la región del recurso |
| Optimiza | Rendimiento y latencia | Coste |
| Funciones | Todas | Básicas: Cloud NAT, balanceador de aplicaciones externo regional, balanceador de red de paso externo regional |
| SLA | 99,99 % | 99,9 % |
- El nivel se elige por recurso (la IP externa de una VM o de un balanceador), así que se pueden mezclar.
- El balanceador de aplicaciones externo global y el proxy de red externo global solo existen en Premium. Los gateways de Cloud VPN solo admiten Premium.
- En cualquier nivel, el tráfico entre VM de Google Cloud se queda en la red de Google.
- Cloud CDN siempre es Premium.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Conexión cifrada y barata a on-premises por internet con 99,99 % | HA VPN | Dos interfaces, BGP y SLA del 99,99 %. |
| 10 Gbps privados sin pasar por internet y con equipo propio en una instalación de colocation | Dedicated Interconnect | Conexión física directa con Google. |
| Conexión privada pero no puedes llegar a una instalación de colocation de Google | Partner Interconnect | A través de un proveedor de servicios. |
| Conectar con una VPC en otra nube de forma directa | Cross-Cloud Interconnect | Conexión física entre Google y el otro proveedor. |
| Cifrar el tráfico que va por Interconnect | HA VPN sobre Cloud Interconnect | IPsec sobre los VLAN attachments. |
| Web HTTPS global con una sola IP anycast y backends en varias regiones | Balanceador de aplicaciones externo global | Capa 7, Premium Tier. |
| Juego que usa UDP y necesita la IP de origen del cliente | Balanceador de red de paso externo | No termina la conexión y admite UDP. |
| Terminar TLS solo en una región por cumplimiento | Balanceador regional | TLS se termina en la región desplegada. |
| Reducir costes de salida en una app sin requisitos estrictos de latencia | Standard Tier | Usa redes de ISP en lugar de la red troncal de Google. |
Trampas frecuentes del examen
❓ ¿HA VPN admite rutas estáticas?
No. HA VPN solo usa enrutamiento dinámico con BGP (Cloud Router). Classic VPN usa rutas estáticas.
❓ ¿El tráfico de Cloud Interconnect va cifrado?
No por sí mismo. Para cifrarlo se usa HA VPN sobre Cloud Interconnect.
❓ ¿Cloud VPN reduce los costes de salida?
No. Dedicated y Partner Interconnect sí pueden reducirlos.
❓ ¿Un balanceador interno puede ser global?
No. Para internos con backends en varias regiones se usa el modo entre regiones (cross-region).
❓ ¿Un balanceador de aplicaciones conserva la IP de origen del cliente?
No por defecto, porque es un proxy. Los balanceadores de red de paso sí la conservan.
❓ ¿Se puede usar Standard Tier con el balanceador de aplicaciones externo global?
No. Solo existe en Premium Tier.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una tienda online tiene backends en us-central1 y europe-west1. Quiere una única IP para todos sus usuarios del mundo, terminar HTTPS cerca de ellos y repartir el tráfico entre los backends. ¿Qué balanceador despliega?
¿Listo para poner a prueba "Conectividad y balanceo de carga"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro