Ringkasan akses layanan pribadi di Cloud SQL

Dokumen ini menjelaskan cara akses layanan pribadi menyediakan konektivitas IP pribadi untuk Cloud SQL, serta membahas alokasi alamat IP, pertimbangan jaringan dan keamanan, serta konektivitas multi-VPC.

Akses layanan pribadi diterapkan sebagai koneksi Peering Jaringan VPC antara jaringan VPC dan jaringan VPC penyedia layanan tempat instance Cloud SQL Anda berada. Koneksi jaringan pribadi ini memungkinkan instance VM di jaringan VPC Anda dan layanan Google Cloud yang Anda akses berkomunikasi secara eksklusif menggunakan alamat IP pribadi dengan instance Cloud SQL Anda. Instance VM tidak memerlukan akses internet atau alamat IP eksternal untuk menjangkau layanan yang tersedia melalui akses layanan pribadi.

Alamat IP

Untuk menggunakan akses layanan pribadi di jaringan VPC, satu atau beberapa rentang alamat IP harus tersedia untuk VPC (untuk mengetahui informasi selengkapnya tentang alamat IP, lihat Alamat IP). Rentang ini harus cukup besar untuk Cloud SQL dan layanan terkelola Google Cloud lainnya yang ingin Anda gunakan. Cloud SQL dan layanan Google Cloud lainnya masing-masing memerlukan blok IP khusus dari rentang yang dialokasikan. Ukuran minimum untuk blok tersebut adalah 256 alamat (panjang awalan /24), meskipun ukuran yang direkomendasikan adalah 65.536 alamat (panjang awalan /16).

Jika Anda akan membuat instance di beberapa region atau untuk jenis database yang berbeda, Anda harus memiliki setidaknya rentang alamat IP /24 yang tersedia untuk setiap region atau jenis database. Hal ini mencakup aplikasi lain seperti Filestore atau Memorystore.

Saat menyiapkan akses layanan pribadi, Anda dapat memilih rentang yang ada atau mengalokasikan rentang baru. Jika Anda mengizinkan Google Cloud mengalokasikan rentang untuk Anda, seperti yang dijelaskan di bagian berikutnya, Google Cloud akan mengalokasikan rentang panjang awalan /24 dengan nama default-ip-range.

Kapan harus menggunakan rentang CIDR terpisah

Karena Cloud SQL menggunakan rentang CIDR /24 sebagai unit rentang IP, ada beberapa kondisi yang memerlukan rentang /24 terpisah.

  • Pemisahan regional: Jika Anda membuat dua instance Cloud SQL di dua region terpisah, Anda harus mengalokasikan setidaknya dua rentang CIDR /24 yang terpisah. Setiap unit rentang IP hanya dapat digunakan untuk instance Cloud SQL dalam satu region.
  • Pemisahan arsitektur jaringan yang diterapkan: Instance yang Anda buat menggunakan tanda --enforce-new-sql-network-architecture (atau kolom API yang setara) tidak dapat berbagi unit rentang IP yang sama dengan instance dalam project yang sama yang menggunakan arsitektur jaringan lama. Instance yang Anda buat dengan arsitektur jaringan baru memerlukan rentang /24 khusus di setiap region.

Contoh akses layanan pribadi

Dalam contoh ini, jaringan VPC mengalokasikan rentang alamat IP 10.240.0.0/16 untuk layanan Google Cloud dan membuat koneksi pribadi menggunakan rentang tersebut. Setiap layanan Google Cloud (misalnya, Cloud SQL), membuat subnet dari blok yang dialokasikan untuk menyediakan resource baru di region tertentu, seperti instance Cloud SQL.

Ringkasan diagram konfigurasi IP pribadi.

Diagram ini mengilustrasikan aspek-aspek berikut dari konfigurasi akses layanan pribadi:

  • Koneksi pribadi diberi rentang 10.240.0.0/16 yang dialokasikan. Dengan menggunakan alokasi ini,layanan Google Cloud dapat membuat subnet tempat resource baru disediakan.
  • Di sisi layanan Google Cloud dari koneksi pribadi, Google Cloud membuat project untuk pelanggan. Project ini terisolasi, sehingga tidak ada pelanggan lain yang membagikannya dan pelanggan hanya ditagih untuk resource yang mereka sediakan.
  • Setiap layanan Google Cloud membuat subnet untuk menyediakan resource. Rentang alamat IP subnet biasanya adalah blok Classless Inter-Domain Routing (CIDR) /24 yang dipilih oleh layanan dan berasal dari rentang alamat IP yang dialokasikan. Anda tidak dapat mengubah subnet produsen layanan. Layanan menyediakan resource baru di subnet regional yang ada, yang sebelumnya dibuat oleh layanan tersebut. Jika subnet penuh, layanan akan membuat subnet baru di region yang sama.
  • Instance VM di jaringan pelanggan dapat mengakses resource layanan di region mana pun jika layanan mendukungnya. Beberapa layanan mungkin tidak mendukung komunikasi lintas region. Lihat dokumentasi layanan yang relevan untuk mengetahui informasi selengkapnya.
  • Biaya transfer data keluar untuk traffic lintas regional, tempat instance VM berkomunikasi dengan resource di region berbeda, masih berlaku.
  • Instance Cloud SQL diberi alamat IP 10.240.0.2. Di jaringan VPC Pelanggan, permintaan dengan tujuan 10.240.0.2 dirutekan ke koneksi pribadi melalui jaringan produsen layanan. Setelah permintaan mencapai jaringan layanan, jaringan layanan berisi rute yang mengarahkan permintaan ke resource yang benar.
  • Traffic antarjaringan VPC berjalan secara internal dalam jaringan Google Cloud , bukan melalui internet publik.

Pertimbangan jaringan

Cloud SQL mengalokasikan subnet /24 dari rentang IP akses layanan pribadi untuk setiap region. Misalnya, menempatkan instance MySQL di dua region mengharuskan rentang alamat IP yang dialokasikan menyertakan setidaknya dua subnet ukuran /24 yang tersedia.

Koneksi ke instance Cloud SQL yang menggunakan alamat IP pribadi akan otomatis diizinkan untuk rentang alamat RFC 1918. Dengan cara ini, semua klien pribadi dapat mengakses database tanpa melalui Proxy Auth Cloud SQL.

Cloud SQL tidak mempelajari rute subnet Non-RFC 1918 dari VPC Anda secara default. Anda harus memperbarui peering jaringan ke Cloud SQL untuk mengekspor rute Non-RFC 1918.

Pertimbangan keamanan

Traffic melalui akses layanan pribadi disediakan dengan tingkat enkripsi tertentu. Untuk mengetahui informasi selengkapnya, lihat Google Cloud enkripsi dan autentikasi jaringan virtual.

Cloud SQL Auth Proxy dapat dikonfigurasi untuk terhubung menggunakan akses layanan pribadi, dan memberikan autentikasi menggunakan kredensial IAM dan enkripsi end-to-end menggunakan sertifikat SSL/TLS yang berputar.

Jika persyaratan keamanan Anda mewajibkan sertifikat SSL/TLS yang dikelola sendiri, lihat petunjuk di Mengonfigurasi SSL/TLS.

Membuat satu jaringan VPC untuk setiap instance dengan alamat IP pribadi akan memberikan isolasi jaringan yang lebih baik daripada menempatkan semua instance dalam jaringan VPC "default".

Konektivitas beberapa VPC

Cloud SQL mendukung alamat IP pribadi melalui akses layanan pribadi. Saat Anda membuat instance Cloud SQL, Cloud SQL akan membuat instance tersebut dalam jaringan VPC-nya sendiri, yang disebut VPC Cloud SQL. Untuk mengaktifkan IP pribadi, Anda harus menyiapkan koneksi peering antara VPC Cloud SQL dan jaringan VPC. Hal ini memungkinkan resource dalam jaringan VPC Anda untuk mengakses alamat IP internal resource Cloud SQL di jaringan VPC Cloud SQL.

Dengan menggunakan Peering Jaringan VPC, Cloud SQL menerapkan akses layanan pribadi secara internal, yang memungkinkan alamat IP internal terhubung di dua jaringan VPC terlepas dari apakah keduanya berada dalam project atau organisasi yang sama. Namun, karena Peering Jaringan VPC tidak transitif, peering ini hanya menyiarkan rute antara dua VPC yang di-peering langsung. Jika Anda memiliki VPC tambahan, VPC tersebut tidak akan dapat mengakses resource Cloud SQL Anda menggunakan koneksi yang disiapkan dengan VPC asli Anda.

Untuk mengurangi batasan ini dan menghubungkan instance Cloud SQL ke beberapa VPC menggunakan alamat IP pribadi, Anda dapat menggunakan opsi koneksi berikut:

  • Terhubung menggunakan rute kustom yang diberitahukan
  • Terhubung menggunakan proxy menengah (SOCKS5)
  • Menghubungkan menggunakan Proxy Auth Cloud SQL sebagai layanan

Untuk mengetahui informasi selengkapnya tentang cara menghubungkan beberapa VPC, lihat Menghubungkan instance ke beberapa jaringan VPC.

Apa langkah selanjutnya?