您可以為 Looker (Google Cloud Core) 執行個體選擇多種網路設定，滿足組織的安全、架構和資料存取需求。建立執行個體時，必須選取網路設定。部分網路設定在建立後可以修改，其他則無法。每種設定選項對設定複雜度、持續維護，以及執行個體如何連線至外部資源和資料來源，都有不同的影響。
總覽
Looker (Google Cloud Core) 提供下列網路設定選項：
- 使用公開安全連線：使用可透過網際網路存取的外部 IP 位址。
使用私人連線：私人連線會使用私人網路，存取 Looker (Google Cloud Core) 執行個體，以及從執行個體存取其他資源。使用私人網路有兩種選項：
- Private Service Connect：啟用 Private Service Connect 的執行個體會使用 Google 代管的內部虛擬私有雲 (VPC) IP 位址，並透過 Private Service Connect 私下連線至 Google 和第三方服務。
- 私人服務存取權：啟用私人服務存取權的執行個體會使用由 Google 代管的內部虛擬私有雲 (VPC) IP 位址，並透過私人服務存取權私密連線至 Google 和第三方服務。
使用混合連線：執行個體支援公開 IP 位址 (用於輸入)，以及由 Google 代管的內部虛擬私有雲 IP 位址和私人服務存取權或 Private Service Connect (用於輸出)。
為 Looker (Google Cloud Core) 執行個體選擇網路設定時，下列資訊可能有助於您做出決定：
- 建立執行個體時，必須設定網路。執行個體建立後，即無法變更設為公開安全連線的執行個體。執行個體建立後，您可以將混合式連線設定變更為私人連線，或將私人連線設定變更為混合式連線。
- 功能可用性因網路選項而異。詳情請參閱「Looker (Google Cloud Core) 的功能可用性」說明文件頁面。
- 無論網路設定為何，所有連至 BigQuery 的連線都會透過 Google 的私人網路進行。
- 如果第三方識別資訊提供者已設定單一登入，使用者的瀏覽器會與識別資訊提供者通訊，然後重新導向至 Looker (Google Cloud Core) 執行個體。只要使用者可以透過網路存取重新導向網址，第三方識別資訊提供者就能用於所有網路設定。
此外，請參閱本說明文件頁面「如何選擇網路選項」一節中的表格，進一步瞭解如何為團隊決定合適的網路設定。
公開安全連線
Looker (Google Cloud Core) 部署為公開安全連線執行個體後，可透過可存取網際網路的外部 IP 位址存取。這項設定除了支援 Looker (Google Cloud Core) 傳出 (南向) 存取網際網路端點，也支援傳入 (北向) 流量至 Looker (Google Cloud Core)。這項設定與 Looker 代管的 Looker (原始) 執行個體設定類似。
公開安全連線僅允許 HTTPS 流量進入 Looker (Google Cloud Core)。CNAME 更新後，Google 會自動佈建 SSL 憑證，並找出 DIG 記錄。這項憑證每四個月會自動輪替一次。如要從公開安全連線 Looker (Google Cloud Core) 執行個體，安全連線至外部資料庫，可以設定加密的 SSL 連線。
公開安全連線設定簡單，容易設定和連線，不需要進階網路設定或專業知識。
如要建立 Looker (Google Cloud Core) 公開安全連線執行個體，請參閱「建立公開安全連線 Looker (Google Cloud Core) 執行個體」說明文件頁面。
建立公開安全連線執行個體後， Google Cloud 控制台中的執行個體「詳細資料」分頁會顯示「已啟用公開 IP」欄位為 true，「已啟用私人 IP」和「已啟用 PSC」欄位為 false。
私人連線
Looker (Google Cloud Core) 執行個體若設為使用私人連線，會採用由 Google 代管的內部虛擬私有雲 IP 位址。您可以使用這個位址，與可存取虛擬私有雲的其他資源通訊。有了私人連線，您不必透過公開網際網路或使用外部 IP 位址，就能連上服務。由於不經過網際網路，私人連線通常能縮短延遲時間，並減少攻擊向量。
在私人連線設定中，內部憑證完全由 Google 管理，不會向任何人公開。如果您使用自訂憑證佈建私人連線執行個體，就不需要管理內部私人憑證。請改用自己的自訂憑證，並確保該憑證會定期輪換。
在私人連線設定中，Looker (Google Cloud Core) 沒有公開網址。您可以控管所有傳入 (北向) 流量，而所有傳出 (南向) 流量都會透過虛擬私有雲轉送。
如果執行個體僅使用私人連線，則須進行額外設定，才能設定自訂網域和執行個體的使用者存取權、使用部分 Looker (Google Cloud Core) 功能，或連線至 Git 供應商等外部資源。規劃及執行這項設定時，內部網路專業知識會很有幫助。
Looker (Google Cloud Core) 支援下列兩種私人連線選項：
建立執行個體時，必須決定要使用私人服務存取權或 Private Service Connect。
Private Service Connect
如要搭配使用 Private Service Connect 與 Looker (Google Cloud Core)，必須在建立執行個體時設定。
如要建立 Looker (Google Cloud Core) Private Service Connect 執行個體，請參閱「建立 Looker (Google Cloud Core) Private Service Connect 執行個體」說明文件頁面。
建立 Private Service Connect 執行個體後， Google Cloud 控制台中的執行個體「詳細資料」分頁會顯示「PSC Enabled」欄位為「true」
與 Looker (Google Cloud Core) 搭配使用時，Private Service Connect 與私人服務存取權有下列差異：
- 端點和後端支援公開或私人存取方法。
- Looker (Google Cloud Core) 可連線至其他 Google 服務，例如可透過 Private Service Connect 存取的 Cloud SQL。
- 不需要分配大型 IP 區塊。
- 直接連線可進行傳遞通訊。
- 不必與其他服務共用網路。
- 支援多租戶。
- 支援全域存取。
- 支援自訂網域的 Google 代管憑證。
具備內部網路專業知識，有助於規劃及執行 Private Service Connect 設定。
如要進一步瞭解 Private Service Connect 執行個體，請參閱「搭配使用 Private Service Connect 與 Looker (Google Cloud Core)」說明文件頁面。
使用 Private Service Connect 存取 Looker (Google Cloud Core) 執行個體
Private Service Connect 後端可用於私下存取 Looker (Google Cloud Core) Private Service Connect 執行個體，或透過公開網際網路存取 Looker (Google Cloud Core)。
受控原生輸出
使用「Global FQDN」(全域 FQDN) 設定或「Enable connection to Looker Marketplace」(啟用 Looker Marketplace 連線) 設定時，Looker (Google Cloud Core) 會使用受控的原生輸出。這項內建的代管解決方案可簡化 Private Service Connect 部署作業的網際網路 (HTTPS) 輸出連線。有了受控原生輸出功能，您就不必在虛擬私有雲 (VPC) 中建立網際網路輸出供應商服務。受控的原生輸出功能會透過 Google 代管的 Looker VPC 轉送網路流量，這項功能有幾項主要優點，主要是簡化設定，並提升安全環境客戶的可用性。
以下是受控原生輸出功能的主要優點：
- 簡化設定複雜度：移除必要條件 (例如部署負載平衡器和 NAT 閘道，或為 Private Service Connect 生產端服務分配子網路空間)，簡化設定程序。受控的原生輸出由 Looker (Google Cloud Core) 管理，可促進 HTTPS 網際網路輸出。
- 免除複雜的因應措施：提供簡化的方式，讓您不必部署網路基礎架構，即可連線至 Marketplace 等服務。
- 支援重要外部服務：可為客戶指定的完整網域名稱 (FQDN) 設定原生輸出，例如 Looker 代管的 Marketplace、github.com 和 gitlab.com。
選擇受控的原生輸出時，請考量下列事項：
- 受控的原生輸出功能支援公開端點的 HTTPS 網際網路輸出。
如要找出 Looker (Google Cloud Core) 用於控管原生輸出的 IP 位址，請前往 Google Cloud 控制台，在 Looker (Google Cloud Core) 執行個體的「執行個體」頁面中，點選「詳細資料」分頁標籤。用於網際網路輸出流量的 IP 位址會顯示在「Controlled Egress Configuration」(受控輸出設定) 專區的「Egress IPs」(輸出 IP) 欄位中。IP 位址是 Looker (Google Cloud Core) 執行個體專屬。這些 IP 位址是透過 Secure Web Proxy 分配，屬於動態位址，可能會在無預警的情況下變更。
傳送至受限制 VIP 支援的 Google API 的流量，會自動透過受控的原生 egress 轉送。如果 Google API 不支援受限制的 VIP，您可以新增全域 FQDN 輸出規則，允許流量透過受控的原生輸出傳送至該 API。
如果 Looker (Google Cloud Core) 執行個體位於 VPC Service Controls perimeter，VPC Service Controls 會封鎖受控的原生輸出流量，不讓其傳送至 VPC Service Controls 不支援的 Google API。這些服務必須發布為供應商服務，且必須將服務新增至本機 FQDN 許可清單，才能允許流量透過 Private Service Connect 傳輸。Google Maps API 就是這類服務。
受控原生輸出不支援 Looker Action Hub。
如要將連至非 Google 服務的傳出連線，設為使用受控的原生輸出，請將這些服務新增至全域 FQDN 許可清單。
使用受控原生輸出時，如果遇到連線逾時或外部服務驗證失敗，請參閱「排解 Looker (Google Cloud Core) 網路問題」。
如要比較使用受控原生輸出或 Private Service Connect 發布服務的傳出連線，請參閱「受控原生輸出與 Private Service Connect 連線的比較」一節。
使用 Private Service Connect 連線至外部服務
Looker (Google Cloud Core) Private Service Connect 執行個體可使用端點連線至 Google Cloud 或外部資源。如果資源位於外部，則必須一併設定網路端點群組 (NEG) 和負載平衡器。此外，每個連至不重複服務的傳出連線，都必須使用 Private Service Connect 發布。在 Looker (Google Cloud Core) 端，每個不重複的輸出連線都必須透過本機 FQDN 設定建立，並針對要連線的每項服務維護。
如需使用 Private Service Connect 連線至外部服務的範例，請參閱「Looker PSC 南向 HTTPS 網際網路 NEG」程式碼實驗室。
如要比較 Private Service Connect 的傳出連線類型，請參閱「受控原生輸出與 Private Service Connect 連線」一節。
受控原生輸出與 Private Service Connect 連線
下表比較透過受控的原生輸出或南向 Private Service Connect 連線，連至外部服務的主要功能。
| 功能 | 受控原生輸出 | 使用 Private Service Connect 的南向連線 |
|---|---|---|
| 主要目標 | 簡化存取特定常見公開外部服務 (例如 Marketplace、GitHub) 的設定。 | 啟用 Looker (Google Cloud Core) 做為服務消費者，與虛擬私有雲、多雲端網路或網際網路中的服務建立通訊。 |
| 管理和複雜度 | 內建的代管 Looker (Google Cloud Core) Private Service Connect 功能，可免除複雜的網路知識需求。 | 客戶必須手動進行詳細設定，才能設定南向連線。 |
| 指定服務 | 專為 HTTPS 網際網路輸出服務設計 (例如 Marketplace、github.com、gitlab.com) | 支援多種傳出服務 (私人和公開)，包括 Google 代管的資料庫 (例如 Cloud SQL)、地端部署資料庫和自行管理的服務。 |
私人服務存取權
建立執行個體時，必須設定 Looker (Google Cloud Core) 私人服務存取權私人連線。Looker (Google Cloud Core) 執行個體可視需要，在私人 (私人服務存取權) 連線中加入公開安全連線。建立使用私人服務存取的執行個體後，您可以新增或移除該執行個體的私人連線。
如要建立私人 (私人服務存取權) 連線，您必須在虛擬私有雲中，將 /22 CIDR 範圍分配給 Looker (Google Cloud Core)。
如要設定使用者存取權，讓使用者存取僅使用私人 (私人服務存取權) 連線的執行個體，您必須設定自訂網域，並根據組織需求設定網域存取權。如要連線至外部資源，您必須完成額外設定。規劃及執行這項設定時，最好具備內部網路專業知識。
如要建立 Looker (Google Cloud Core) 私人服務存取權執行個體，請參閱「建立私人連線執行個體」說明文件頁面。
建立私人服務存取權執行個體後，控制台中的執行個體「Details」(詳細資料) 分頁會顯示「Private IP Enabled」(已啟用私人 IP) 欄位為「true」。 Google Cloud
混合式連線設定
Looker (Google Cloud Core) 執行個體若使用私人服務存取權或 Private Service Connect 建立私人連線，則支援混合連線設定。
Looker (Google Cloud Core) 執行個體如果使用私人服務存取權，且具備混合連線，就會有公開網址，且所有傳入 (北向) 流量都會透過 HTTPS 經由公開連線傳輸。傳出 (南向) 流量會透過虛擬私有雲轉送，您可以設定虛擬私有雲，只允許使用 HTTPS 或加密的私人連線流量。所有傳輸中的流量都會經過加密。
啟用 Private Service Connect 的 Looker (Google Cloud Core) 執行個體，會使用客戶定義的 IP 位址，可透過虛擬私有雲存取，用於輸入。與虛擬私有雲和地端部署或多雲端工作負載通訊時，會使用您為輸出流量部署的服務連結。
建立使用混合連線設定的執行個體後，在 Google Cloud 控制台的執行個體「Details」(詳細資料)分頁中，「Public IP enabled」(已啟用公開 IP) 欄位會顯示 true，「Private IP Enabled」(已啟用私人 IP) 或「PSC Enabled」(已啟用 PSC) 欄位也會顯示 true。
如何選擇網路選項
下表列出不同網路選項的功能可用性。
| 網路需求 | |||||
|---|---|---|---|---|---|
| 功能 | 公開安全連線 | 混合連線 (PSA) | 私人連線 (PSA) | 混合連線 (PSC) | 私人連線 (PSC) |
| 必須分配 IP 範圍，才能建立執行個體 | 否 | 是 (每個區域、每個執行個體 /22) |
是 (每個區域的每個執行個體 /22)
|
否 | 否 |
| Google Cloud Armor | 可以。Looker (Google Cloud Core) 採用 Google 管理的預設 Google Cloud Armor 規則。這些規則無法設定。 | 可以。Looker (Google Cloud Core) 採用 Google 管理的預設 Google Cloud Armor 規則。這些規則無法設定。 | 否 | 可以。Looker (Google Cloud Core) 採用 Google 管理的預設 Google Cloud Armor 規則。這些規則無法設定。 | 支援客戶自行管理的區域性外部應用程式負載平衡器、Private Service Connect 後端，以及客戶自行管理的 Google Cloud Armor |
| 自訂網域 | 是 | 支援公開網址 | 是 | 支援公開網址 | 是 |
| 傳入存取權 | |||||
| 功能 | 公開安全連線 | 混合連線 (PSA) | 私人連線 (PSA) | 混合連線 (PSC) | 私人連線 (PSC) |
| 公開網路 | 是 | 是 | 否 | 支援 Google 代管的區域性外部應用程式負載平衡器 | 支援客戶自行管理的區域性外部應用程式負載平衡器、Private Service Connect 後端和自訂網域 |
| 虛擬私有雲對接 (私人服務連線) | 否 | 是 | 是 | 否 | 否 |
| PSC 轉送 | 否 | 否 | 否 |
支援下列項目：
支援全域存取 (使用強化服務連結 URI)，可從執行個體所在區域以外的地方存取執行個體。 |
|
| 混合式網路 | 否 | 是 | 是 | 是 | 是 |
| 傳出存取權 | |||||
| 功能 | 公開安全連線 | 混合連線 (PSA) | 私人連線 (PSA) | 混合連線 (PSC) | 私人連線 (PSC) |
| 網際網路 | 是 | 否 | 否 | 支援區域性 TCP Proxy 內部負載平衡器、網際網路 NEG 和 Cloud NAT 閘道。 | |
| 虛擬私有雲對接 (私人服務連線) | 否 | 是 | 是 | 否 | 否 |
| Private Service Connect 轉送 | 否 | 否 | 否 | 支援區域性 TCP Proxy 內部負載平衡器和混合式 NEG | |
| 混合式網路 (多雲端和地端部署) | 否 | 是 | 是 | 支援區域性 TCP Proxy 內部負載平衡器、混合式 NEG 和Google Cloud 網路產品 | |
| 應用程式 | |||||
| 功能 | 公開安全連線 | 混合連線 (PSA) | 私人連線 (PSA) | 混合連線 (PSC) | 私人連線 (PSC) |
| GitHub | 是 | 支援 TCP Proxy 內部負載平衡器和網際網路 NEG | 可以。如需範例，請參閱「Looker PSC 南向 HTTPS 網際網路 NEG 程式碼實驗室」。 | ||
| GitHub Enterprise | 否 | 是 | 是 | 是 | 是 |
| Cloud SQL | 是 | 支援與 Looker (Google Cloud Core) 部署在相同虛擬私有雲的 Cloud SQL | 是 | 是 | 是 |
| BigQuery | 是 | 是 | 是 | 是 | 是 |
| 嵌入 | 是 | 是 | 是 | 是 | 是 |
| Marketplace | 是 | 否 | 否 | 是 | 是 |
| Looker Action Hub | 是 | 是 | 否 | 是 | 否 |
| Looker 代管的 MCP 伺服器 | 是 | 是 | 是 | 是 | 是 |
| 連結試算表 | 是 | 是 | 是 | 是 | 是 |
| SMTP | 是 | 是 | 是 | 可以。需要傳出連線。 | |
| 優點 | |||||
| 功能 | 公開安全連線 | 混合連線 (PSA) | 私人連線 (PSA) | 混合連線 (PSC) | 私人連線 (PSC) |
| 優點 |
|
|
|
|
|
| 注意事項 | |||||
| 功能 | 公開安全連線 | 混合連線 (PSA) | 私人連線 (PSA) | 混合連線 (PSC) | 私人連線 (PSC) |
| 注意事項 | 如要使用自訂網址，必須設定完整網域名稱 (例如 looker.examplepetstore.com)，不能使用 examplepetstore.looker.com 這類自訂網址。 |
|
|
|
|
變更網路設定
建立 Looker (Google Cloud Core) 執行個體後，您可能需要變更網路設定，以因應不斷變化的安全性或基礎架構需求。視目前的網路設定和目標網路設定而定，您可以直接更新現有執行個體的設定，也可以使用更新後的設定建立新的執行個體，並遷移資料：
- 直接變更設定：在 Google Cloud 控制台編輯執行個體設定，即可切換私人連線和混合連線。
- 必須遷移：您無法直接將現有執行個體切換至公開安全連線，或從公開安全連線切換至現有執行個體，也無法變更私人服務存取權 (PSA) 和 Private Service Connect (PSC) 之間的基礎私人連線機制。在這種情況下，您必須建立新的 Looker (Google Cloud Core) 執行個體，並設定目標網路，然後從原始執行個體匯出資料，並匯入新的執行個體。
下表摘要說明切換網路設定的需求條件：
| 目前的網路設定 | 目標網路設定 | 如何變更 |
|---|---|---|
| 私人連線 | 混合式連線 | 在 Google Cloud 控制台中編輯執行個體設定。 |
| 混合式連線 | 私人連線 | 在 Google Cloud 控制台中編輯執行個體設定。 |
| 公開安全連線 | 私人連線 | 建立具有私人連線的新執行個體，然後匯出及匯入資料。 |
| 公開安全連線 | 混合式連線 | 建立具有混合連線的新執行個體，然後匯出及匯入資料。 |
| 私人連線 | 公開安全連線 | 建立新的執行個體，並使用公開安全連線，然後匯出及匯入資料。 |
| 混合式連線 | 公開安全連線 | 建立新的執行個體，並使用公開安全連線，然後匯出及匯入資料。 |
後續步驟
- 瞭解 Looker Core 的正確網路設定
- 建立公開安全連線 Looker (Google Cloud Core) 執行個體
- 搭配使用 Private Service Connect 與 Looker (Google Cloud Core)
- 建立 Looker (Google Cloud Core) 私人連線 Private Service Connect 執行個體
- 按照教學課程操作，瞭解如何從 PSC 建立連至 GitHub 的傳出 HTTPS 連線。
- 建立私人連線 (私人服務存取權) Looker (Google Cloud Core) 執行個體
- 排解 Looker (Google Cloud Core) 網路問題