Interfaces de red múltiples

En esta página, se proporciona una descripción general de las múltiples interfaces de red para las instancias de VM de Compute Engine. Las instancias con varias interfaces de red se denominan instancias con varias NIC.

Una instancia siempre tiene al menos una interfaz de red virtual (vNIC). Según el tipo de máquina, puedes configurar interfaces de red adicionales.

Casos de uso

Las instancias de varias NIC son útiles en las siguientes situaciones:

• Para conectarse a recursos en redes de VPC independientes: Las instancias con varias NIC pueden conectarse a recursos ubicados en diferentes redes de VPC que no están conectadas entre sí a través del intercambio de tráfico entre redes de VPC o Network Connectivity Center.

  • Debido a que cada interfaz de una instancia de varias NIC se encuentra en una red de VPC distinta, puedes usar cada interfaz para un propósito único. Por ejemplo, puedes usar algunas interfaces para enrutar paquetes entre redes de VPC que transportan tráfico de producción y otra interfaz para fines de administración o configuración.

  • Dentro del SO invitado de cada instancia multi-NIC, debes configurar las políticas de ruta y las tablas de ruta locales.

• Enrutamiento de paquetes entre redes de VPC: Las instancias de varias NIC se pueden usar como próximos saltos para que las rutas conecten dos o más redes de VPC.

  • El software que se ejecuta dentro del SO invitado de una instancia de varias NIC puede realizar la inspección de paquetes, la traducción de direcciones de red (NAT) o alguna otra función de seguridad de red.

  • Cuando se conectan redes de VPC con instancias de varias NIC, se recomienda configurar dos o más instancias de varias NIC y usarlas como backends para un balanceador de cargas de red de transferencia interno en cada red de VPC. Para obtener más información, consulta Casos de uso en la documentación de los balanceadores de cargas de red de transferencia interna como próximos saltos.

También puedes usar instancias de varias NIC con interfaces de Private Service Connect para conectar redes de productores y consumidores de servicios en diferentes proyectos.

Tipos de interfaz de red

Google Cloud admite los siguientes tipos de interfaces de red:

• vNICs: Son las interfaces de red virtual de las instancias de Compute Engine. Cada instancia debe tener al menos una vNIC. Las vNIC en redes de VPC normales pueden ser GVNIC, VIRTIO_NET o IDPF. Solo puedes configurar las vNIC cuando creas una instancia.

• NIC dinámicas (versión preliminar): Una interfaz secundaria de una vNIC superior. Puedes configurar las NIC dinámicas cuando creas una instancia o agregarlas más adelante. Para obtener más información, consulta NICs dinámicas.

También puedes configurar instancias con varias NIC con tipos de máquinas que incluyen interfaces de red RDMA (MRDMA), que deben adjuntarse a una red de VPC con un perfil de red RDMA. Otros tipos de interfaces de red, incluidas las NIC dinámicas, no son compatibles con las redes de VPC que tienen un perfil de red RDMA.

Especificaciones

Las siguientes especificaciones se aplican a las instancias con varias interfaces de red:

• Instancias e interfaces de red: Cada instancia tiene una interfaz nic0. La cantidad máxima de interfaces de red varía según el tipo de máquina de la instancia.

  • Cada interfaz tiene un tipo de pila asociado, que determina los tipos de pila de subred y las versiones de direcciones IP compatibles. Para obtener más información, consulta Tipo de pila y direcciones IP.

• Red única para cada interfaz de red: Excepto por las redes de VPC que se crean con un perfil de red de RDMA, cada interfaz de red debe usar una subred en una red de VPC única.

  • En el caso de las redes de VPC creadas con un perfil de red RDMA, varias NIC RDMA pueden usar la misma red de VPC, siempre que cada NIC RDMA use una subred única.

  • Una red de VPC y una subred deben existir antes de que puedas crear una instancia cuya interfaz de red use la red y la subred. Para obtener más información sobre la creación de redes y subredes, consulta Crea y administra redes de VPC.

• Proyecto de instancias y subredes: En el caso de las instancias multi-NIC en proyectos independientes, cada interfaz de red debe usar una subred ubicada en el mismo proyecto que la instancia.

  • Para instancias en proyectos de servicio o host de VPC compartida, consulta VPC compartida .

  • Las interfaces de Private Service Connect proporcionan una forma para que una instancia de varias NIC tenga interfaces de red en subredes de diferentes proyectos. Para obtener más información, consulta Acerca de los adjuntos de red.

• Consideraciones sobre el reenvío de IP, la MTU y el enrutamiento: Las instancias con varias NIC requieren una planificación cuidadosa para las siguientes opciones de configuración específicas de la instancia y la interfaz:

  • La opción de reenvío de IP se puede configurar por instancia y se aplica a todas las interfaces de red. Para obtener más información, consulta Habilita el reenvío de IP para instancias.

  • Cada interfaz de red puede usar una unidad de transmisión máxima (MTU) única que coincida con la MTU de la red de VPC asociada. Para obtener más información, consulta Unidad de transmisión máxima.

  • Cada instancia recibe una ruta predeterminada con la opción 121 de DHCP, como se define en la RFC 3442. La ruta predeterminada está asociada con nic0. A menos que se configure manualmente de otra manera, el tráfico que salga de una instancia hacia un destino que no sea una subred conectada de forma directa lo hará a través de la ruta predeterminada en nic0.

    En los sistemas Linux, puedes configurar reglas y rutas personalizadas dentro del SO invitado con el archivo /etc/iproute2/rt_tables y los comandos ip rule y ip route. Para obtener más información, consulta la documentación del SO invitado. Para ver un ejemplo, consulta el siguiente instructivo: Configura el enrutamiento para una interfaz adicional.

NICs dinámicas

Las NIC dinámicas son útiles en las siguientes situaciones:

• Debes agregar o quitar interfaces de red a las instancias existentes o desde ellas. Agregar o quitar NIC dinámicas no requiere reiniciar ni volver a crear la instancia.

• Necesitas más interfaces de red. La cantidad máxima de vNIC para la mayoría de los tipos de máquinas en Google Cloud es de 10. Sin embargo, puedes configurar hasta 16 interfaces totales con NIC dinámicas. Para obtener más información, consulta Cantidad máxima de interfaces de red.

• Debes configurar instancias de Compute Engine de varias NIC, que solo tienen una vNIC.

Propiedades de las NIC dinámicas

Consulta la siguiente información sobre las propiedades de las NIC dinámicas:

• Las NIC dinámicas son interfaces de VLAN que usan el formato de paquete estándar IEEE 802.1Q. Ten en cuenta las siguientes consideraciones:

  • El ID de VLAN de una NIC dinámica debe ser un número entero entre 2 y 255.
  • El ID de VLAN de una NIC Dinámica debe ser único dentro de una vNIC superior. Sin embargo, las NIC dinámicas que pertenecen a diferentes vNIC superiores pueden usar el mismo ID de VLAN.

• Google Cloud usa el siguiente formato para el nombre de una NIC dinámica: nicNUMBER.VLAN_ID, en el que

  • nicNUMBER es el nombre de la vNIC superior, como nic0.
  • VLAN_ID es el ID de VLAN que configuraste, como 4.

  Un ejemplo de nombre de NIC dinámico es nic0.4.

• Crear una instancia con NIC dinámicas o agregarlas a una instancia existente requiere pasos adicionales para instalar y administrar las interfaces de VLAN correspondientes en el SO invitado. Puedes usar uno de los siguientes métodos:

  • Configura la administración automática de las NIC dinámicas con el agente invitado de Google.
  • Configura el SO invitado de forma manual.

  Para obtener más información, consulta Configura el SO invitado para las NIC dinámicas.

• Las NIC dinámicas comparten el ancho de banda de su vNIC superior y no hay aislamiento de tráfico dentro de una vNIC superior. Para evitar que ninguna de las interfaces de red consuma todo el ancho de banda, debes crear una política de tráfico específica de la aplicación en el SO huésped para priorizar o distribuir el tráfico, por ejemplo, con el Control de tráfico (TC) de Linux.

• Las NIC dinámicas comparten las mismas colas de recepción y transmisión que su vNIC superior.

Limitaciones de las NIC dinámicas

Consulta las siguientes limitaciones de las NIC dinámicas:

• No puedes modificar las siguientes propiedades de una NIC dinámica después de crearla:

  • La vNIC superior a la que pertenece la NIC dinámica.
  • El ID de VLAN de la NIC dinámica.

• Las NIC dinámicas no admiten lo siguiente:

  • Protección avanzada contra DSD de red y políticas de seguridad perimetral de red para Google Cloud Armor
  • Parámetros de configuración por instancia para MIG
  • Interfaces solo IPv6 (versión preliminar)
  • Funciones que dependen de la interceptación de paquetes, como los extremos de firewall
  • Sistemas operativos (SO) Windows

• Una NIC dinámica con una vNIC superior cuyo tipo es GVNIC podría experimentar una pérdida de paquetes con algunos tamaños de MTU personalizados. Para evitar la pérdida de paquetes, no uses los siguientes tamaños de MTU: 1,986 bytes, 3,986 bytes, 5,986 bytes y 7,986 bytes.

• En el caso de las VM de tercera generación, una NIC dinámica con un ID de VLAN de 255 no puede acceder a la dirección IP del servidor de metadatos. Si necesitas acceder al servidor de metadatos, asegúrate de usar un ID de VLAN diferente.

• En el caso de las VM de tercera generación, borrar y agregar una NIC dinámica que tenga el mismo ID de VLAN podría permitir el acceso no autorizado en diferentes redes de VPC. Para obtener más información, consulta Problemas conocidos.

Tipos de pila y direcciones IP

Cuando creas una vNIC, especificas uno de los siguientes tipos de pila de interfaz:

• Solo IPv4
• Pila doble

• Solo IPv6 (versión preliminar)

En la siguiente tabla, se describen los tipos de pila de subred compatibles y los detalles de la dirección IP para cada tipo de pila de interfaz:

Interfaz	Subred de solo IPv4	Subred de pila doble	Subred de solo IPv6 (Versión preliminar)	Detalles de la dirección IP
Solo IPv4 (pila única)				Solo direcciones IPv4. Consulta Detalles de las direcciones IPv4.
IPv4 e IPv6 (pila doble)				Direcciones IPv4 e IPv6. Consulta Detalles de las direcciones IPv4 y Detalles de las direcciones IPv6.
Solo IPv6 (pila única) (Versión preliminar)				Solo direcciones IPv6. Consulta Detalles de las direcciones IPv6.

Cómo cambiar el tipo de pila de la interfaz de red

Puedes cambiar el tipo de pila de una interfaz de red de la siguiente manera:

• Puedes convertir una interfaz de solo IPv4 a pila doble si la subred de la interfaz es una subred de pila doble o si detienes la instancia y asignas la interfaz a una subred de pila doble.

• Puedes convertir una interfaz de pila doble a solo IPv4.

No puedes cambiar el tipo de pila de una interfaz solo IPv6. Las interfaces solo IPv6 (versión preliminar) solo se admiten cuando se crean instancias.

Detalles de la dirección IPv4

Cada interfaz de red de solo IPv4 o de pila doble recibe una dirección IPv4 interna principal. De forma opcional, cada interfaz admite rangos de IP de alias y una dirección IPv4 externa. A continuación, se incluyen las especificaciones y los requisitos de IPv4:

• Dirección IPv4 interna principal: Compute Engine asigna a la interfaz de red una dirección IPv4 interna principal del rango de direcciones IPv4 principal de la subred de la interfaz. DHCP asigna la dirección IPv4 interna principal.

  • Puedes controlar qué dirección IPv4 interna principal se asigna configurando una dirección IPv4 interna estática o especificando una dirección IPv4 interna efímera personalizada.

  • Dentro de una red de VPC, la dirección IPv4 interna principal de cada interfaz de red de VM es única.

• Rangos de IP de alias: De manera opcional, puedes asignar a la interfaz uno o más rangos de IP de alias. Cada rango de IP de alias puede provenir del rango de direcciones IPv4 principal o de un rango de direcciones IPv4 secundario de la subred de la interfaz.

  • Dentro de una red de VPC, el rango de IP de alias de cada interfaz debe ser único.

• Dirección IPv4 externa: De forma opcional, puedes asignarle a la interfaz una dirección IPv4 externa efímera o reservada. Google Cloud garantiza la singularidad de cada dirección IPv4 externa.

Detalles de la dirección IPv6

Compute Engine asigna a cada interfaz de red de pila doble o solo IPv6 (versión preliminar) un rango de direcciones IPv6 /96 del rango de direcciones IPv6 /64 de la subred de la interfaz:

• El rango de direcciones IPv6 /96 es interno o externo según el tipo de acceso IPv6 de la subred de la interfaz. Google Cloud garantiza la unicidad de cada rango de direcciones IPv6 interno y externo. Para obtener más información, consulta las especificaciones de IPv6.

  • Si una instancia necesita un rango de direcciones IPv6 interno y un rango de direcciones IPv6 externo, debes configurar dos interfaces de pila doble, dos interfaces solo para IPv6 o una interfaz de pila doble y una interfaz solo para IPv6. La subred que usa una interfaz debe tener un rango de direcciones IPv6 externo, y la subred que usa la otra interfaz debe tener un rango de direcciones IPv6 interno.

• DHCP configura la primera dirección IPv6 (/128) en la interfaz. Para obtener más información, consulta Asignación de direcciones IPv6.

• Para controlar qué rango de direcciones IPv6 /96 se asigna, configura un rango de direcciones IPv6 interno o externo estático. Para las direcciones IPv6 internas, puedes especificar una dirección IPv6 interna efímera personalizada.

Si conectas una instancia a varias redes con direcciones IPv6, instala la versión 20220603.00 de google-guest-agent o una posterior. Para obtener más información, consulta No puedo conectarme a la dirección IPv6 de una interfaz secundaria.

Cantidad máxima de interfaces de red

En la mayoría de los tipos de máquinas, la cantidad máxima de interfaces de red que puedes conectar a una instancia se escala con la cantidad de CPU virtuales, como se describe en las siguientes tablas.

Las siguientes son excepciones específicas de la máquina:

• Las instancias de Bare Metal de Compute Engine admiten una sola vNIC.

• La cantidad máxima de vNIC es diferente para algunos tipos de máquinas optimizados para aceleradores, como A3, A4 y A4X. Para obtener más información, consulta Familia de máquinas optimizadas para aceleradores.

Ejemplos de distribuciones de NIC dinámicas

No tienes que distribuir las NIC dinámicas de manera uniforme entre las vNIC. Sin embargo, es posible que desees una distribución uniforme, ya que las NIC dinámicas comparten el ancho de banda de su vNIC superior.

Una instancia debe tener, al menos, una vNIC. Por ejemplo, una instancia que tiene 2 vCPUs puede tener una de las siguientes configuraciones:

• 1 vNIC
• 2 vNIC
• 1 vNIC y 1 NIC dinámica

En las siguientes tablas, se proporcionan ejemplos de configuraciones que distribuyen de manera uniforme las NIC dinámicas entre las vNIC mientras usan la cantidad máxima de interfaces de red para una cantidad determinada de vCPU.

Interacciones de productos

En esta sección, se describen las interacciones entre las instancias de varias NIC y otros productos y funciones en Google Cloud.

VPC compartida

Excepto por las interfaces de Private Service Connect, la relación entre la subred y el proyecto de una instancia de varias NIC en un host o proyecto de servicio de VPC compartida es la siguiente:

• Cada interfaz de red de una instancia multi-NIC ubicada en un proyecto de host de VPC compartida debe usar una subred de una red de VPC compartida en el proyecto host.

• Cada interfaz de red de una instancia multi-NIC ubicada en un proyecto de servicio de VPC compartida puede usar cualquiera de las siguientes opciones:

  • Una subred de una red de VPC en el proyecto de servicio
  • Una subred de una red de VPC compartida en el proyecto host.

Para obtener más información sobre la VPC compartida, consulta los siguientes recursos:

• Descripción general de la VPC compartida
• Aprovisiona la VPC compartida

DNS interno de Compute Engine

Compute Engine crea registros A y PTR de nombres de DNS internos solo para la dirección IPv4 interna principal de la interfaz de red nic0 de una instancia. Compute Engine no crea registros DNS internos para ninguna dirección IPv4 o IPv6 asociada con una interfaz de red diferente de nic0.

Para obtener más información, consulta DNS interno de Compute Engine.

Rutas estáticas

Las rutas estáticas se pueden limitar a instancias específicas mediante el uso de etiquetas de red. Cuando una etiqueta de red se asocia con una instancia, la etiqueta se aplica a todas las interfaces de red de la instancia. En consecuencia, agregar o quitar una etiqueta de red de una instancia puede cambiar las rutas estáticas que se aplican a cualquiera de las interfaces de red de la instancia.

Balanceadores de cargas

Los backends de grupos de instancias y los backends de NEG zonales tienen una red de VPC asociada de la siguiente manera:

• En los grupos de instancias administrados (MIG), la red de VPC para el grupo de instancias es la red de VPC asignada a la interfaz nic0 en la plantilla de instancias.

• En los grupos de instancias no administrados, la red de VPC para el grupo de instancias es la red de VPC que usa la interfaz de red nic0 de la primera instancia que agregas al grupo de instancias no administrado.

En la siguiente tabla, se muestra qué backends admiten la distribución de conexiones o solicitudes a cualquier interfaz de red.

Balanceador de cargas	Grupos de instancias	NEG de GCE_VM_IP	NEG de GCE_VM_IP_PORT
Balanceador de cargas de red de transferencia externo basado en servicios de backend El servicio de backend no está asociado con una red de VPC. Para obtener más información, consulta Servicios de backend y redes de VPC.	Solo nic0	Cualquier NIC	N/A
Balanceador de cargas de red de transferencia interna El servicio de backend está asociado con una red de VPC. Para obtener más información, consulta Especificación de la red del servicio de backend y Reglas de la red del servicio de backend.	Cualquier NIC	Cualquier NIC	N/A
Balanceador de cargas de red de proxy externo Para obtener más información sobre los requisitos de red y servicio de backend, consulta Backends y redes de VPC.	Solo nic0	N/A	Cualquier NIC
Balanceador de cargas de red de proxy interno Para obtener más información sobre los requisitos de red y servicio de backend, consulta Servicios de backend y redes de VPC.	Solo nic0	N/A	Cualquier NIC
Balanceador de cargas de aplicaciones externo Para obtener más información sobre los requisitos de la red y el servicio de backend, consulta Backends y redes de VPC.	Solo nic0	N/A	Cualquier NIC
Balanceador de cargas de aplicaciones interno Para obtener más información sobre los requisitos de la red y el servicio de backend, consulta Backends y redes de VPC.	Solo nic0	N/A	Cualquier NIC

Los balanceadores de cargas de red de transferencia externos basados en grupos de destino no usan grupos de instancias ni NEG, y solo admiten el balanceo de cargas en interfaces de red nic0.

Reglas de firewall

El conjunto de reglas de firewall, desde las políticas de firewall jerárquicas, las políticas de firewall de red globales, las políticas de firewall de red regionales y las reglas de firewall de VPC, es único para cada interfaz de red. Asegúrate de que cada red tenga reglas de firewall adecuadas para permitir el tráfico desde y hacia una instancia de varias NIC. Para determinar qué reglas de firewall se aplican a una interfaz de red y la fuente de cada regla, consulta Obtén reglas de firewall efectivas para una interfaz de VM.

Las reglas de firewall se pueden aplicar a instancias de VM específicas mediante etiquetas de red o etiquetas seguras, que se aplican a todas las interfaces de red de una instancia. Para obtener más información, consulta Comparación de etiquetas seguras y etiquetas de red.

Problemas conocidos

En esta sección, se describen los problemas conocidos relacionados con el uso de varias interfaces de red en Google Cloud.

Interacciones del firewall cuando se reutiliza un ID de VLAN con NIC dinámicas

En el caso de las VM de tercera generación, borrar y agregar una NIC dinámica que tenga el mismo ID de VLAN podría permitir el acceso no autorizado en diferentes redes de VPC.

Considera la siguiente situación que incluye dos redes (network-1 y network-2) y un ID de VLAN A:

1. Borras una NIC dinámica con el ID de VLAN A de network-1.
2. Dentro del período de seguimiento de conexiones de NGFW de Cloud de 10 minutos, creas una nueva NIC dinámica con el mismo ID de VLAN A en network-2.
3. El tráfico que proviene de la nueva NIC dinámica en network-2 puede coincidir con una entrada de seguimiento de conexión existente que creó la NIC dinámica borrada en network-1.

Si esto sucede, es posible que se permita el tráfico que envía o recibe la nueva NIC dinámica en network-2 si coincide con una entrada en la tabla de seguimiento de conexiones de NGFW de Cloud, donde se creó la entrada para una conexión que usa la NIC dinámica borrada en network-1. Para evitar este problema, consulta la siguiente solución.

Solución alternativa:

Para evitar este problema, realiza una de las siguientes acciones:

• Después de borrar una NIC dinámica, no vuelvas a usar su ID de VLAN cuando crees una nueva NIC dinámica.
• Después de borrar una NIC dinámica, espera al menos 10 minutos para crear una nueva NIC dinámica que use el mismo ID de VLAN.

Para obtener más información sobre el seguimiento de conexiones y las reglas de firewall, consulta Especificaciones en la documentación del firewall de nueva generación de Cloud.

¿Qué sigue?

• Crea VMs con interfaces de red múltiples