إعداد الشبكات الخاصة لـ BYOC على GCP

إعداد VPC Peering أو Private Service Connect لـ BYOC على GCP

يدعم ClickHouse BYOC على GCP خيارين للاتصال الخاص، هما VPC Peering وPSC ‏(Private Service Connect).

​

المتطلبات الأساسية

الخطوات المشتركة اللازمة لكلٍّ من VPC peering وPSC.

​

فعّل موازن التحميل الخاص لـ ClickHouse BYOC

في وحدة تحكم ClickHouse Cloud، فعّل موازن التحميل الخاص للبنية التحتية لـ BYOC الخاصة بك.

​

إعداد VPC peering

يُرجى الاطلاع على ميزة GCP VPC peering والانتباه إلى قيود VPC peering (على سبيل المثال، لا يمكن أن تتداخل نطاقات IP للشبكات الفرعية بين شبكات VPC المترابطة). يستخدم ClickHouse BYOC موازن تحميل خاصًا لإتاحة الاتصال الشبكي عبر peering إلى خدمات ClickHouse.

لإنشاء VPC peering أو حذفه في ClickHouse BYOC، اتبع الخطوات التالية:

خطوات هذا المثال مخصّصة لسيناريو بسيط. أما في السيناريوهات المتقدمة، مثل peering مع اتصال on-premise، فقد يلزم إجراء بعض التعديلات.

1. إنشاء peering connection

   في هذا المثال، نُعدّ peering بين شبكة BYOC VPC وشبكة VPC أخرى موجودة بالفعل.

   1. انتقل إلى “VPC Network” في مشروع Google Cloud الخاص بـ ClickHouse BYOC.
   2. اختر “VPC network peering”.
   3. انقر على “Create connection”.
   4. أدخل الحقول المطلوبة وفقًا لاحتياجاتك. في ما يلي لقطة شاشة لإنشاء peering داخل مشروع GCP نفسه.

   يتطلب GCP VPC peering وجود اتصالين بين الشبكتين لكي يعمل (أي اتصال من شبكة BYOC إلى شبكة VPC الحالية، واتصال من شبكة VPC الحالية إلى شبكة BYOC). لذلك، تحتاج أيضًا إلى إنشاء اتصال آخر مماثل في الاتجاه المعاكس. في ما يلي لقطة شاشة لإنشاء peering connection الثاني:

   بعد إنشاء الاتصالين، يجب أن تصبح حالة الاتصالين “Active” بعد تحديث صفحة Google Cloud Console:

   يجب أن تصبح خدمة ClickHouse الآن متاحة من شبكة VPC المترابطة.

2. الوصول إلى خدمة ClickHouse عبر peering connection

   للوصول إلى ClickHouse بشكل خاص، يتم توفير موازن تحميل خاص ونقطة النهاية لاتصال آمن من شبكة VPC المترابطة الخاصة بالمستخدم. وتتبع نقطة النهاية الخاصة تنسيق نقطة النهاية العامة نفسه مع اللاحقة -private. على سبيل المثال:

   • نقطة النهاية العامة: h5ju65kv87.mhp0y4dmph.us-east1.gcp.clickhouse-byoc.com
   • نقطة النهاية الخاصة: h5ju65kv87-private.mhp0y4dmph.us-east1.gcp.clickhouse-byoc.com

​

إعداد PSC ‏(Private Service Connect)

يوفّر GCP PSC ‏(Private Service Connect) اتصالاً آمناً وخاصاً بخدمات ClickHouse BYOC دون الحاجة إلى VPC peering أو بوابات الإنترنت. تمرّ جميع حركة البيانات داخل شبكة GCP، مما يضمن عدم مرورها عبر الإنترنت العام مطلقاً.

1. تمكين الرابط الخاص في وحدة تحكم ClickHouse

   تأكد من تفعيل موازن التحميل الخاص كمتطلب مسبق.

   إذا كانت البنية التحتية لديك تعمل ضمن customer-managed VPC (BYO-VPC)، فأنشئ شبكة فرعية NAT خاصة بـ Private Service Connect قبل تمكين الرابط الخاص. لا يمكن لـ ClickHouse Cloud إنشاء شبكات فرعية داخل VPC الخاص بك، ويخصّص GCP عنوان IP لـ NAT من هذه الشبكة الفرعية لكل اتصال PSC وارد.

   أنشئ الشبكة الفرعية في نفس VPC والمنطقة الخاصين بالبنية التحتية، وفي المشروع المضيف إذا كنت تستخدم Shared VPC:

   gcloud compute networks subnets create <psc-subnet-name> \
       --project=<vpc-project-id> \
       --network=<vpc-network-name> \
       --region=<region> \
       --range=<cidr-range> \
       --purpose=PRIVATE_SERVICE_CONNECT
   

   يجب ألا يقل <cidr-range> عن /29؛ راجع إرشادات تحديد حجم الشبكة الفرعية لـ NAT من GCP عند تحديد الحجم بما يتناسب مع عدد الاتصالات المتوقع.

   عند تمكين الرابط الخاص على بنية تحتية بنمط BYO-VPC، تطلب منك وحدة التحكم اسم الشبكة الفرعية لـ PSC. أدخل اسم الشبكة الفرعية التي أنشأتها.

   لا يمكن تغيير الشبكة الفرعية لـ PSC أثناء تمكين الرابط الخاص. للتبديل إلى شبكة فرعية أخرى، عطّل الرابط الخاص ثم مكّنه مجددًا بالاسم الجديد.

2. الحصول على Service name لنقطة النهاية

   1. في وحدة تحكم ClickHouse Cloud، انتقل إلى صفحة Settings للخدمة التي تريد الاتصال بها عبر PSC.
   2. انقر على “Set up private endpoint”.
   3. في اللوحة المنبثقة، انسخ قيمتي Service name وDNS name — ستستخدمهما في الخطوة التالية. (قد يستغرق إنشاء هذه القيم بعض الوقت بعد تمكين الرابط الخاص.)
3. إنشاء نقطة نهاية في شبكتك

   1. افتح وحدة تحكم GCP الخاصة بك (أي حساب GCP الذي يوجد فيه تطبيق العميل) → Network Services → Private Service Connect → Connected Endpoints.

   2. افتح مربع حوار إنشاء Private Service Connect بالنقر على زر “Connect Endpoint”.

   3. أدخل الحقول التالية:

      • الهدف: استخدم Published service
      • الخدمة المستهدفة: استخدم Service name الذي حصلت عليه في الخطوة السابقة
      • اسم نقطة النهاية: أدخل اسمًا صالحًا لنقطة النهاية
      • الشبكة/الشبكة الفرعية: اختر الشبكة التي تريد استخدامها للاتصال؛ وهي الشبكة التي سيتصل منها تطبيق العميل
      • عنوان IP: اختر أو أنشئ عنوان IP جديدًا لنقطة النهاية؛ ستحتاج إلى استخدامه في خطوة تعيين اسم DNS خاص لنقطة النهاية
      • (اختياري) تمكين الوصول العام: فعّله إذا أردت إتاحة نقطة النهاية من أي Region
      • انقر على زر “ADD ENDPOINT” لإنشاء نقطة النهاية.

   4. ستتغير حالة عمود Status من Pending إلى Accepted بمجرد الموافقة على الاتصال.

   5. بعد إنشاء نقطة النهاية، انسخ قيمة PSC Connection ID — ستستخدمها في الخطوة التالية.

4. إضافة Endpoint ID إلى قائمة السماح لخدمة ClickHouse

   1. في وحدة تحكم ClickHouse Cloud، انتقل إلى صفحة Settings للخدمة التي تريد الاتصال بها عبر PSC.
   2. انقر على “Set up private endpoint”.
   3. في اللوحة المنبثقة، أدخل PSC Connection ID الذي حصلت عليه في الخطوة السابقة في حقل Endpoint ID، مع إضافة وصف اختياري.
   4. انقر على “Create endpoint”.

   إذا أردت السماح بالوصول من اتصال PSC موجود، فاستخدم القائمة المنسدلة لنقطة النهاية الموجودة. ستعرض القائمة المنسدلة اتصالات PSC الحالية بالخدمات ضمن البنية التحتية نفسها.

5. تعيين اسم DNS خاص لنقطة النهاية

   توجد عدة طرق لإعداد DNS. يُرجى إعداد DNS بما يتناسب مع حالة الاستخدام الخاصة بك.

   يجب توجيه جميع النطاقات الفرعية (wildcard) لـ “DNS name” إلى عنوان IP لنقطة نهاية GCP PSC. ويضمن ذلك تمكّن الخدمات/المكوّنات ضمن VPC/الشبكة من حلّ الاسم بشكل صحيح.

6. الوصول إلى مثيل باستخدام PSC

   1. في وحدة تحكم ClickHouse Cloud، انتقل إلى صفحة Settings للخدمة.
   2. انقر على “Set up private endpoint”.
   3. في اللوحة المنبثقة، انسخ DNS name.
      يخضع الوصول إلى خدمات ClickHouse عبر PSC للتحكم بواسطة Istio Authorization Policy على مستوى الخدمة، والتي يديرها ClickHouse ضمن البنية التحتية لـ BYOC لديك.