Private IP-Adressen – Übersicht

Wenn Sie den Datenbanktraffic in einem privaten Netzwerk halten und die Angriffsfläche minimieren möchten, können Sie über private IP-Adressen eine Verbindung zu Ihren AlloyDB for PostgreSQL-Instanzen herstellen. Da private IP-Adressen intern in Ihrem Netzwerk sind und nicht über das öffentliche Internet zugänglich sind, beschränken sie den Netzwerkzugriff auf autorisierte private Endpunkte.

Methoden für private IP-Verbindungen

Für den Zugriff auf Ihre AlloyDB-Instanzen über eine private IP-Adresse können Sie entweder den Zugriff auf private Dienste oder Private Service Connect verwenden. Da jede Verbindungsmethode unterschiedliche Vorteile und Nachteile bietet, sollten Sie die Informationen in diesem Dokument verwenden, um den besten Ansatz für Ihre spezifischen Anforderungen auszuwählen.

Zugriff auf private Dienste

Der Zugriff auf private Dienste wird als VPC-Peering-Verbindung (Virtual Private Cloud) zwischen Ihrem VPC-Netzwerk und dem zugrunde liegenden Google Cloud VPC-Netzwerk implementiert, in dem sich Ihre AlloyDB for PostgreSQL-Instanz befindet. Die private Verbindung ermöglicht VM-Instanzen in Ihrem VPC-Netzwerk und den Diensten, auf die Sie zugreifen, ausschließlich über interne IP-Adressen zu kommunizieren. VM-Instanzen erfordern keinen Internetzugriff und keine externen IP-Adressen, um Dienste zu erreichen, die über den Zugriff auf private Dienste verfügbar sind.

Informationen zum Automatisieren der Einrichtung von AlloyDB-Clustern mit Zugriff auf private Dienste mithilfe von Terraform finden Sie unter AlloyDB mit Terraform bereitstellen.

Weitere Informationen zur Verwendung des Zugriffs auf private Dienste für die Verbindung finden Sie unter Zugriff auf private Dienste – Übersicht.

Private Service Connect

Mit Private Service Connect können Sie private und sichere Verbindungen zwischen Ihren VPC-Netzwerken und einem Google Cloud -Dienst wie AlloyDB for PostgreSQL herstellen. Sie können eine Verbindung zu Ihrer AlloyDB-Instanz von mehreren VPC-Netzwerken aus herstellen, die zu verschiedenen Gruppen, Teams, Projekten oder Organisationen gehören. Wenn Sie einen AlloyDB-Cluster erstellen, können Sie ihn für die Unterstützung von Private Service Connect aktivieren. Wenn Sie eine AlloyDB-Instanz im Cluster erstellen, geben Sie an, welche Projekte aus Ihrem VPC-Netzwerk darauf zugreifen können.

Weitere Informationen zur Verwendung von Private Service Connect finden Sie in der Übersicht zu Private Service Connect und im Video Was ist Private Service Connect?.

Zwischen den zu verwendenden Methoden wählen

Bevor Sie sich für den Zugriff auf private Dienste oder Private Service Connect als Verbindungsmethode entscheiden, sollten Sie den folgenden Vergleich berücksichtigen:

Zugriff auf private Dienste Private Service Connect
Erfordert die Reservierung eines CIDR-Bereichs (mindestens /24) aus dem VPC-Netzwerk des Nutzers. Ein Bereich von IP-Adressen wird unabhängig davon reserviert, ob sie verwendet werden. Alle IP-Adressen im Bereich werden gesperrt. Erfordert eine einzelne IP-Adresse, um eine Weiterleitungsregel am Endpunkt pro VPC-Netzwerk zu erstellen.
Unterstützt nur Verbindungen von Clients in RFC 1918-IP-Bereichen (10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16). Wenn Sie Verbindungen von Clients außerhalb von RFC 1918-Bereichen benötigen, verwenden Sie Private Service Connect. Sowohl RFC 1918- als auch Nicht-RFC 1918-Bereiche können für Endpunkte verwendet werden.
Stellt eine Verbindung zu Projekten im selben VPC-Netzwerk her. Verbindet mehrere VPC-Netzwerke oder Projekte.
Gut geeignet für kleine Szenarien mit einer einzelnen VPC. Gut geeignet für umfangreiche Setups mit mehreren VPCs.
Minimale Kosten, da Sie das in Ihrem Projekt enthaltene VPC-Peering verwenden. Höhere Kosten im Vergleich zum Zugriff auf private Dienste aufgrund der Kosten für jeden Endpunkt pro Stunde und der Datenübertragung pro GiB.
Weniger isoliert als Private Service Connect aufgrund von VPC-Netzwerk-Peering. Besser isoliert, da Nutzer- und Ersteller-VPC-Netzwerke getrennt sind.
Verbindungen sind bidirektional und lassen sowohl eingehenden als auch ausgehenden Traffic zu. Standardmäßig sind Verbindungen unidirektional und lassen nur eingehende Verbindungen zu. Für ausgehende Verbindungen ist eine zusätzliche Konfiguration erforderlich.

Nächste Schritte