Cloud Interconnect: connettività fisica dedicata

Cloud Interconnect estende la rete on-prem dentro Google Cloud a livello di rete privata, evitando la public internet. Esistono tre varianti:

  • Dedicated Interconnect: connessione fisica diretta tra il tuo router e Google in una colocation facility, con circuiti da 10 o 100 Gbps. È la scelta per volumi elevati, presenza in una struttura di peering e necessità di banda dedicata.
  • Partner Interconnect: connessione tramite un service provider supportato (L2 o L3), quando non raggiungi fisicamente una colocation oppure ti basta banda inferiore. I VLAN attachment vanno da 50 Mbps fino a 50 Gbps.
  • Cross-Cloud Interconnect: connessione fisica dedicata tra Google Cloud e un altro cloud provider (AWS, Azure, Oracle), pensata per architetture multicloud senza passare da internet.

Ogni connessione espone il traffico tramite un VLAN attachment che collega un Cloud Router all’interconnect e scambia route via BGP. L’SLA dipende dalla topologia: una singola metro con due edge availability domain raggiunge il 99.9%; per il 99.99% servono connessioni ridondate su due metro distinte, con Cloud Router in global dynamic routing. Il traffico su Interconnect non è cifrato: se serve confidenzialità sul transport, si applica HA VPN over Cloud Interconnect.

HA VPN e Classic VPN (IPSec site-to-site)

La VPN IPSec collega la VPC a on-prem o ad altre VPC attraverso la public internet.

  • HA VPN: gateway con due interfacce, ciascuna con il proprio IP esterno, e SLA 99.99%. Richiede Cloud Router e BGP (dynamic routing): niente route statiche. Verso on-prem si usano due tunnel su due peer gateway (o un peer con due interfacce); verso un’altra VPC si collegano due HA VPN gateway.
  • Classic VPN: gateway a interfaccia singola, SLA 99.9%, supporta routing route-based o policy-based (utile quando l’apparato remoto non parla BGP). È l’opzione legacy: dove possibile si preferisce sempre HA VPN.

Cloud Router e BGP

Il Cloud Router realizza il dynamic routing BGP: annuncia le subnet della VPC e impara le route del peer, senza riconfigurare tunnel o VLAN quando cambiano gli indirizzi.

Attributi chiave:

  • ASN: quello locale (ASN privato) e quello del peer.
  • Route priority / MED: influenza la preferenza; la priorità più bassa (MED minore) è preferita per il traffico in ingresso verso GCP.
  • Dynamic routing mode della VPC: regional annuncia solo le subnet della regione del router; global annuncia e applica route su tutte le regioni.
  • Custom advertised routes: annunci manuali oltre alle subnet (es. range per Private Google Access); custom learned routes: route imparate forzate con una priorità scelta.
  • BFD: rilevazione rapida dei guasti del vicino, per un failover più veloce del keepalive BGP standard.

Network Connectivity Center

NCC è il modello hub-and-spoke per connettività enterprise e multi-network. Gli hybrid spoke collegano tunnel HA VPN, VLAN attachment di Interconnect o un router appliance (NVA/SD-WAN di terze parti che parla BGP col Cloud Router). La funzione site-to-site data transfer consente a sedi on-prem collegate a spoke diversi di scambiarsi traffico attraverso il backbone Google: fornisce la transitività che il VPC Network Peering non offre. Gli VPC spoke danno connettività transitiva tra più VPC tramite l’hub.

Trappole tipiche d’esame

  • Serve SLA 99.99% su Interconnect → topologia ridondata: una sola connessione o una sola metro dà 99.9%; il 99.99% richiede connessioni su due metro distinte con Cloud Router in global dynamic routing.
  • Traffico Interconnect da cifrare → HA VPN over Cloud Interconnect: l’Interconnect di per sé non cifra; abilitare solo TLS applicativo non soddisfa un requisito di cifratura del transport.
  • Transitività tra VPC o tra sedi on-prem → Network Connectivity Center: VPC Network Peering NON è transitivo; NCC (VPC spoke o site-to-site data transfer) risolve, senza incatenare peering.
  • Il peer non supporta BGP → Classic VPN policy-based: HA VPN esige BGP; se l’apparato remoto non lo parla, l’unica opzione nativa è Classic VPN route/policy-based, che però non offre il 99.99%.
  • Preferire un path BGP in ingresso verso GCP → MED/route priority: si regola con la priorità sulle route annunciate dal Cloud Router, non con la dynamic routing mode (che governa solo lo scope regional/global).
  • Collegare un SD-WAN/NVA di terze parti alla rete ibrida → router appliance spoke in NCC: l’appliance si integra con BGP verso il Cloud Router, non con un semplice tunnel VPN statico.