Elige una opción de conectividad

Para seleccionar la topología de red y el método de conexión adecuados para tu carga de trabajo de AlloyDB para PostgreSQL, compara la IP privada (acceso privado a servicios o Private Service Connect), la IP pública, las conexiones directas, el proxy de autenticación de AlloyDB y los conectores de lenguajes para AlloyDB:

  • Qué tipo de configuración de red usar con AlloyDB
  • Cómo conectarse de forma segura.
  • Prácticas recomendadas para la conexión
  • Cómo afecta la ubicación de tu carga de trabajo a tus requisitos de conectividad

Para obtener más información, consulta la descripción general de la conexión.

Opciones recomendadas para conectarse a AlloyDB

Usa la siguiente tabla para conocer las opciones de conectividad recomendadas para tus cargas de trabajo:

Evalúa tu carga de trabajo

Antes de elegir una opción de conectividad, evalúa tu carga de trabajo. AlloyDB admite la conectividad para tu entorno de carga de trabajo en los siguientes casos:

  • Cloud Run, Cloud Shell y productos de SaaS que no son de Google
  • Cloud Run Functions
  • Entorno flexible de App Engine y entorno estándar de App Engine
  • Google Kubernetes Engine y Compute Engine

  • Entornos locales

    Entorno de carga de trabajo IP privada IP pública Descripción
    Directo Conector Directo Conector
    Laptop de desarrollador ❌️ ❌️ ✅ ✅ Te recomendamos que uses el comando gcloud beta alloydb connect. Como alternativa, puedes usar el proxy de autenticación con una IP pública. Es posible conectarse a una IP privada, pero requiere una configuración adicional.
    Cloud Shell ❌ ❌ ✅ ✅ Te recomendamos que uses el comando gcloud beta alloydb connect. Como alternativa, puedes usar el Auth Proxy con IP pública desde Cloud Shell. Es posible conectarse a una IP privada, pero requiere una configuración adicional.
    Cloud Run, Cloud Run Functions ✅ ✅ ✅ ✅ Requiere un conector de Acceso a VPC sin servidores o una salida de VPC directa.
    Entorno estándar y flexible de App Engine ✅ ✅ ✅ ✅ Requiere un conector de Acceso a VPC sin servidores.
    GKE, Compute Engine ✅ ✅ ✅ ✅ Te recomendamos que uses una IP privada. Usa el acceso privado a servicios cuando no necesites el intercambio de tráfico entre redes de VPC transitivo. De lo contrario, usa Private Service Connect.
    Local ✅ ✅ ✅ ✅ La IP privada requiere una ruta de acceso de red desde las instalaciones locales hasta la instancia de destino. La IP pública con conectores de lenguaje o con el proxy de autenticación es una alternativa segura que no requiere una configuración de red extensa.

Prácticas recomendadas para la conectividad según tu carga de trabajo

Cuando te conectes a AlloyDB, ten en cuenta lo siguiente según tu entorno de carga de trabajo.

Cloud Shell

  • Usa el Auth Proxy con una IP pública para conectarte con Cloud Shell. Cloud Shell no admite la conexión a una red de nube privada virtual (VPC). No tiene conectividad con las instancias de acceso privado a servicios ni de Private Service Connect. Además, Cloud Shell no tiene una dirección IP de salida estable para usar en redes externas autorizadas. Si no usas el proxy de autenticación ni los conectores de lenguaje, debes permitir todos los rangos de direcciones IP, por ejemplo, 0.0.0.0/0. No recomendamos este enfoque para las instancias de producción.

Cloud Run y Cloud Run Functions

  • Para la IP privada, tanto las conexiones directas como los conectores de lenguaje o el proxy de autenticación deben usar la salida de VPC directa.
  • Para la IP pública, debes usar conectores de lenguaje o el proxy de autenticación. Como alternativa, puedes permitir todos los rangos de direcciones IP, por ejemplo, 0.0.0.0/0, en redes externas autorizadas, pero no se recomienda ese enfoque para las instancias de producción debido al riesgo de seguridad.

Entorno estándar y entorno flexible de App Engine

  • Usa un conector de Acceso a VPC sin servidores para la IP privada, independientemente de si usas un conector de lenguaje o el proxy de autenticación.
  • Para la IP pública, debes usar conectores de lenguaje o el proxy de autenticación. Como alternativa, puedes permitir todos los rangos de direcciones IP (por ejemplo, 0.0.0.0/0) en las redes externas autorizadas. Sin embargo, debido a los riesgos de seguridad, no recomendamos este enfoque para las instancias de producción.

GKE y Compute Engine

  • Puedes usar conexiones directas y conectores de lenguaje o el proxy de autenticación para conectarte a AlloyDB.

Local

  • Puedes usar conexiones directas y conectores de lenguaje o el proxy de autenticación para conectarte a AlloyDB. Los conectores de lenguaje y el proxy de autenticación no crean una ruta de red. Asegúrate de que haya una ruta de red entre tu carga de trabajo y la instancia de AlloyDB.

Conexiones seguras con el proxy de autenticación y los conectores de AlloyDB

Los conectores de lenguajes para AlloyDB y el proxy de autenticación de AlloyDB proporcionan funciones de seguridad mejoradas, como la autenticación de la base de datos de Identity and Access Management (IAM) y mTLS, pero estas funciones requieren una configuración adicional. Las conexiones directas, si bien están encriptadas de forma predeterminada, no admiten certificados de cliente ni modos SSL más altos: verify-ca y verify-full. Te recomendamos que uses conectores de lenguaje o el proxy de autenticación con IP pública y que uses conexiones directas para la IP privada solo cuando los conectores de lenguaje o el proxy de autenticación no sean viables.

La autenticación de la base de datos de IAM admite dos enfoques: la autenticación individual y la autenticación de grupos. La autenticación de grupos es compatible con la versión POSTGRES_15 de la base de datos y versiones posteriores, y no admite la agrupación de conexiones administrada.

Método de conexión Conexión encriptada Autenticación de IAM Autorización con la IAM mTLS
Conexión directa ✅ ✅ ❌ ❌
Conectores de lenguaje o el proxy de autenticación ✅ ✅ ✅ ✅

Prácticas recomendadas para la conectividad segura

  • Cuando creas un clúster, debes especificar una interfaz de IP privada para que se pueda crear el clúster. Si deseas usar una IP pública, te recomendamos que elijas Private Service Connect como la interfaz de IP privada.
  • Usa conectores de lenguaje o el proxy de autenticación para funciones de seguridad, como la autorización y autenticación de IAM, y mTLS, aunque requieren cierta configuración. Por ejemplo, este enfoque es adecuado si deseas ejecutar el proxy de autenticación de AlloyDB como un archivo adicional o si deseas usar un conector de lenguajes para AlloyDB. Si usas conectores de lenguaje o el proxy de autenticación, es posible que la conexión de tu base de datos experimente un pequeño aumento en la latencia.
  • Usa conexiones directas para obtener un rendimiento óptimo y cuando los conectores de lenguaje o el proxy de autenticación no sean viables. Las conexiones directas se encriptan de forma predeterminada (sslmode=require), pero no admiten certificados de cliente ni modos SSL superiores. Usa conexiones directas solo cuando no se puedan usar los conectores de lenguaje o el proxy de autenticación.

Evalúa tu topología de red

En cuanto a la topología de red, te recomendamos que uses el acceso privado a servicios para las conexiones de AlloyDB. Usa Private Service Connect para evitar problemas de intercambio de tráfico transitivo con varias redes de VPC. La IP pública es adecuada para las conexiones desde productos que no son deGoogle Cloud SaaS, en especial cuando la IP privada no es práctica.

Topología de red Conexiones de varias VPC Clientes de SaaS que no son de Google Admite conexiones locales Descripción
Acceso privado a servicios ❌ ❌ ✅ La conectividad de VPC transitiva no se admite de forma predeterminada. Puedes ejecutar un proxy SOCKS5 de forma manual para la conectividad entre VPC, pero este enfoque es complejo.
Private Service Connect ✅ ❌ ✅ Proporciona la configuración más sencilla cuando quieres conectarte a AlloyDB desde más de una red de VPC.
IP pública ✅ ✅ ✅ Para evitar tener que identificar los rangos CIDR de la carga de trabajo de origen para las redes externas autorizadas, la IP pública se combina mejor con los conectores de lenguaje o el proxy de autenticación.

Prácticas recomendadas para la conectividad según tu topología de red

  • La opción predeterminada es el acceso privado a servicios.
  • Cuando trabajes con varias redes de VPC, usa Private Service Connect para evitar problemas de intercambio de tráfico transitivo.
  • Para productos que no son de SaaS deGoogle Cloud , elige una topología de red pública cuando te integres con productos de software como servicio (SaaS) que no estén alojados en Google Cloud, en especial si la conectividad de IP privada no es factible. La IP privada está habilitada de forma predeterminada, por lo que debes configurar de forma explícita la IP pública en estas situaciones.
  • Siempre que sea posible, usa los conectores de lenguaje o el proxy de autenticación cuando uses una IP pública para lograr una conexión segura sin tener que configurar redes externas autorizadas.

¿Qué sigue?