Acesso privado a serviços

O acesso a serviços particulares permite que você acesse serviços hospedados em VPC, ou seja, serviços em execução em instâncias do Compute Engine em uma rede VPC, sem expor o tráfego à Internet pública.

Para rotear o tráfego internamente, o acesso a serviços particulares cria uma conexão particular entre sua rede VPC e a rede VPC do produtor de serviços, que pode ser o Google ou um terceiro. Essa conexão particular é estabelecida usando uma conexão de peering de rede VPC.

Como o tráfego é transmitido internamente na rede do Google, as instâncias na sua rede VPC podem acessar o serviço usando os endereços IPv4 internos. As instâncias podem ter endereços IP externo, mas isso não é um requisito nem são usados pelo acesso a serviços privados.

Serviços compatíveis

Os seguintes serviços hospedados em VPC do Google são compatíveis com o acesso a serviços particulares:

Acesso a serviços particulares e peering de rede VPC

Em uma conexão particular, a rede do produtor de serviços e sua rede são conectadas por meio de peering de rede VPC. Para que o roteamento entre as duas redes funcione corretamente, elas precisam usar intervalos de endereços IP distintos. Para evitar sobreposições, crie um ou mais intervalos alocados na rede para usar com a conexão particular.

Quando você aloca um intervalo na sua rede VPC, ele não pode ser usado para outros recursos, como sub-redes ou destinos de rotas estáticas personalizadas.

Para informações sobre como escolher um intervalo alocado, consulte Escolher um intervalo de endereços IP para o intervalo alocado.

Fluxo de trabalho do acesso a serviços particulares

Quando você usa o acesso a serviços privados, os recursos são implantados na sua rede VPC e na rede do produtor de serviços. As etapas a seguir descrevem o processo:

  1. Como consumidor de serviço, você implanta uma instância de serviço com acesso a serviços particulares. Os detalhes podem variar de acordo com o serviço que você está implantando. As etapas a seguir podem ser realizadas por você ou automatizadas pelo produtor de serviços como parte da implantação da instância de serviço:

    1. Você aloca um intervalo de endereços IP na sua rede VPC. Esse intervalo alocado é reservado exclusivamente para o produtor de serviços.

    2. Crie uma conexão particular com o produtor de serviços, especificando o intervalo alocado que você criou.

    3. Você provisiona uma instância de serviço, por exemplo, uma instância do Cloud SQL, referenciando a conexão particular que você criou.

  2. O produtor de serviços provisiona recursos para sua instância de serviço.

    1. O produtor de serviços cria um projeto para sua instância de serviço. O projeto é isolado, o que significa que ele não é compartilhado com nenhum outro cliente e o consumidor do serviço é cobrado apenas pelos recursos que ele provisiona.

    2. Nesse projeto, o produtor de serviços cria uma rede VPC dedicada a você.

    3. Nessa rede, o produtor de serviços cria uma sub-rede. O intervalo de endereços IP dessa sub-rede é selecionado no intervalo alocado que você forneceu. O produtor de serviços normalmente escolhe um bloco CIDR de /29 a /24. Não é possível selecionar nem modificar o intervalo de endereços IP da sub-rede do produtor de serviços.

    4. A instância de serviço recebe um endereço IP da nova sub-rede.

  3. A conexão particular é ativada.

    1. A conexão de peering de rede VPC é estabelecida.

    2. Sua rede VPC importa rotas da rede do produtor de serviços.

    3. As VMs na sua rede podem se comunicar com a instância de serviço usando o endereço IP interno dela. O tráfego é transmitido inteiramente na rede do Google, e não pela Internet pública.

Depois que a implantação inicial for criada, você poderá realizar as seguintes ações:

  • Provisionamento de mais recursos: quando você provisiona mais recursos para o mesmo serviço, o produtor de serviços os coloca nas sub-redes atuais, se houver espaço. Se uma sub-rede estiver cheia, uma nova será criada nessa região com base no intervalo alocado.

  • Exclusão de recursos: uma sub-rede na rede do produtor de serviços só é excluída quando você exclui todos os recursos de serviço nela. Para informações sobre como excluir recursos, consulte a documentação do produtor de serviços relevante.

Exemplo

O diagrama a seguir mostra o uso de uma conexão particular para acessar instâncias de serviço.

Os recursos em uma rede de consumidor de serviço podem acessar uma instância do Cloud SQL por meio do acesso a serviços particulares.
Acesso privado a serviços (clique para ampliar)

Neste exemplo, a rede VPC do consumidor de serviço alocou o intervalo de endereços 10.240.0.0/16 para serviços do Google e estabeleceu uma conexão particular que usa o intervalo alocado.

  • A conexão particular é atribuída ao intervalo alocado 10.240.0.0/16.

  • O Google cria um projeto e uma rede VPC para os recursos do consumidor de serviço. As redes VPC são conectadas usando o peering de rede VPC.

  • O produtor de serviços cria uma sub-rede que usa o intervalo de endereços IP 10.240.0.0/24.

  • A instância do Cloud SQL recebe o endereço IP 10.240.0.2.

  • Depois que a sub-rede é criada, a rede do consumidor de serviço importa rotas da rede de serviço.

  • Na rede VPC do consumidor de serviço, as solicitações com o destino 10.240.0.2 são roteadas para a conexão particular na rede do produtor de serviços.

  • O consumidor de serviço implanta uma instância de serviço para um serviço diferente do Google em europe-west1. Como o Google é o produtor de serviços, o mesmo projeto e a mesma rede podem ser usados. No entanto, como a instância está em uma região diferente, é necessária uma nova sub-rede. O Google cria uma nova sub-rede que usa o intervalo de endereços IP 10.240.10.0/24 e atribui à instância de serviço o endereço IP 10.240.10.2.

Acessibilidade de instâncias de serviço

Somente uma rede VPC de consumidor de serviço pode criar uma conexão particular com uma determinada instância de serviço gerenciado. No entanto, há maneiras de disponibilizar a conexão particular para recursos que estão fora dessa rede VPC:

Se nenhuma dessas opções funcionar para seu caso de uso, o produtor de serviços poderá oferecer outras maneiras de se conectar ao serviço que sejam mais adequadas, por exemplo, por meio do Private Service Connect. Para mais informações, consulte a documentação do serviço.

Acesso pelo NCC

Para alguns serviços disponíveis pelo acesso a serviços particulares, é possível usar o NCC para tornar o serviço acessível por outros spokes em um hub criando um spoke de VPC do produtor. Para mais informações, incluindo quais serviços são compatíveis, consulte Spokes de VPC do produtor.

Acesso por VPC compartilhada

Se você estiver usando a VPC compartilhada, crie o intervalo de IP alocado e a conexão particular no projeto host. Normalmente, um administrador da rede no projeto host precisa realizar essas tarefas. Depois que o projeto host for configurado, as instâncias de VM em projetos de serviço poderão usar a conexão particular.

Acesso por conectividade híbrida

Em cenários de rede híbrida, uma rede local é conectada a uma rede VPC por meio de uma conexão com o Cloud VPN ou o Cloud Interconnect. Por padrão, os hosts locais não podem acessar a rede do produtor de serviços usando o acesso a serviços privados.

Na rede VPC, é possível ter rotas personalizadas dinâmicas ou estáticas para direcionar corretamente o tráfego para a rede local. No entanto, a rede do produtor de serviços não contém essas mesmas rotas. Quando você cria uma conexão particular, a rede VPC e a rede do produtor de serviços apenas trocam rotas de sub-rede.

A rede do produtor de serviços contém uma rota padrão (0.0.0.0/0) que vai para a Internet. Se você exportar uma rota padrão para a rede do produtor de serviços, ela será ignorada porque é preterida pela rota padrão da rede do produtor de serviços. Em vez disso, defina e exporte uma rota personalizada com um destino mais específico.

Para mais informações, consulte Configurar a conectividade híbrida.

Rede do produtor de serviços

No lado do produtor de serviços, a conexão particular é uma rede VPC em que os recursos de serviço são provisionados. A rede do produtor de serviços é criada exclusivamente para você e contém apenas os seus recursos.

Um recurso na rede do produtor de serviços é semelhante a outros recursos na sua rede VPC. Por exemplo, pode ser acessado com endereços IP internos por outros recursos na sua rede VPC. É possível também criar regras de firewall em sua rede VPC para controlar o acesso à rede do produtor de serviços.

Para mais informações sobre o lado do produtor de serviços, consulte Ativar o acesso a serviços privados na documentação do Service Infrastructure. Essa documentação é apenas informativa e não é necessária para ativar ou usar o acesso privado a serviços.

Restringir conexões particulares com políticas da organização

É possível restringir conexões particulares usando políticas da organização. É possível usar as seguintes opções para restringir conexões particulares:

  • É possível usar a restrição de política da organização constraints/compute.restrictVpcPeering para restringir as conexões de peering à sua organização, pasta ou projeto.

    Se você usar essa restrição, a criação de uma conexão particular com um serviço do Google vai falhar, a menos que você adicione a organização produtor de serviços do Google (under:organizations/433637338589) à lista allowedValues da restrição.

  • É possível usar as restrições personalizadas da política da organização para definir restrições para conexões particulares. Por exemplo, configurar restrições personalizadas com o tipo de recurso servicenetworking.googleapis.com/Connection permite que você faça o seguinte:

    • Especificar quais redes VPC podem se conectar com conexões particulares
    • Especificar restrições para os nomes de intervalos alocados que podem ser usados para criar conexões particulares

Preços

Para preços de acesso a serviços particulares, consulte Acesso a serviços particulares na página de preços da VPC.

Limitações

As seguintes limitações se aplicam ao acesso a serviços particulares:

  • Como uma conexão particular é implementada como uma conexão de peering de rede VPC, os comportamentos e as restrições de conexões de peering também se aplicam a conexões particulares. Por exemplo, como o peering de rede VPC não é transitivo, uma conexão particular não está disponível para redes VPC com peering.

    Para mais informações, consulte Peering de rede VPC, Limitações de peering de rede VPC e Cotas e limites.

  • Somente uma rede VPC de consumidor de serviço pode criar uma conexão particular que se conecta a uma determinada instância de serviço gerenciado. No entanto, há maneiras de disponibilizar a conexão particular para recursos que estão fora dessa rede VPC. Para mais informações, consulte Acessibilidade de instâncias de serviço.

  • Não é possível alterar o intervalo de endereços IP associado a um intervalo alocado. No entanto, é possível modificar quais intervalos alocados estão associados a uma conexão particular.

  • Não é possível usar intervalos de endereços IPv6 com o acesso a serviços particulares.

A seguir