En esta página, se muestra cómo configurar tu entorno de red para usar grupos privados en una red de VPC. Si no estás familiarizado con los grupos privados, consulta la descripción general de los grupos privados.
Información sobre las opciones de configuración de red
Los grupos privados se alojan en una red de nube privada virtual de Google llamada red de productor de servicios. Cuando configuras un grupo privado, puedes elegir usar la red del productor de servicios o configurar una conexión privada entre la red del productor de servicios y la red de VPC que contiene tus recursos.
Elige uno de los siguientes esquemas de configuración de red en función de las necesidades de la organización:
Usa la red del productor de servicios por sí sola: usa esta opción en los siguientes casos:
- No buscas compilaciones para acceder a recursos dentro de tu red privada.
- Deseas tamaños y tipos configurables de máquinas.
Esta es la opción de red predeterminada para crear el grupo privado y no que requieran cualquier configuración de red. Si te interesa esta opción, continúa con la creación del grupo privado.
Configurar una conexión privada entre la red del productor de servicios y la Red de VPC: la conexión privada habilita las instancias de VM tu red de VPC y los grupos privados se comuniquen de forma exclusiva con direcciones IP internas. Usa esta opción en los siguientes casos:
- Quieres que las compilaciones accedan a recursos de tu red de VPC.
- Deseas tipos y tamaños de máquinas configurables.
Configura una conexión privada entre tu red de VPC y la red del productor de servicios
Debes tener una red de VPC existente que usarás para conectarte a la red del productor de servicios.
Para usar los ejemplos de línea de comandos de esta guía, instala y Configura Google Cloud CLI.
Habilita la API:
Console
Habilita las API de Cloud Build and the Service Networking.
gcloud
Habilita las API de Cloud Build y Service Networking:
gcloud services enable cloudbuild.googleapis.com servicenetworking.googleapis.com
-
Para obtener los permisos que necesitas para establecer una conexión privada, haz lo siguiente: solicita a tu administrador que te otorgue el Rol de IAM Administrador de red de Compute Engine (
roles/compute.networkAdmin
) en el proyecto de Google Cloud en el que reside la red de VPC. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso.También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.
En la red de VPC, asigna un rango de IP internas con nombre:
El rango de IP que especifiques aquí estará sujeto a las reglas de firewall que se definen en la red de VPC.
Cloud Build reserva los rangos de IP
192.168.10.0/24
y172.17.0.0/16
para la red de puente de Docker Cuando asignes la IP para los recursos de tus proyectos, te recomendamos que selecciones un rango fuera de192.168.10.0/24
y172.17.0.0/16
en los casos en que Los compiladores de Cloud Build deben acceder a estos recursos.Por ejemplo, el rango de direcciones
192.168.10.96/28
del plano de control de Google Kubernetes Engine no se podría acceder a él desde el compiladorgke-deploy
de Cloud Build debido a a la superposición.Console
Ve a la página Redes de VPC en la consola de Google Cloud.
Selecciona la red de VPC que se conectará a la red de VPC del grupo privado.
Selecciona la pestaña Acceso privado a servicios.
En la pestaña Acceso privado a servicios, selecciona la opción IP asignada rangos para los servicios.
Haz clic en Asigna rangos de IP.
Ingresa un Nombre y una Descripción para el rango asignado.
Especifica un Rango de IP para la asignación:
- Para especificar un rango de direcciones IP, selecciona Personalizado y, luego, ingresa un bloque CIDR.
- Para especificar la longitud de un prefijo y permitir que Google seleccione un rango disponible, selecciona Automático y luego ingresa la longitud de un prefijo. El prefijo
La longitud debe ser de
/24
o menor, como/22
,/21
, etcétera.
Haz clic en Asignar para crear un rango asignado.
gcloud
Para especificar un rango de dirección y una longitud de prefijo (máscara de subred), usa las marcas
addresses
yprefix-length
. La longitud del prefijo debe ser de /24 o inferiores, como /22, /21, etc. Por ejemplo, para asignar el CIDR bloque192.168.0.0/16
, especifica192.168.0.0
para la dirección y16
para la longitud del prefijo.gcloud compute addresses create RESERVED_RANGE_NAME \ --global \ --purpose=VPC_PEERING \ --addresses=192.168.0.0 \ --prefix-length=16 \ --description=DESCRIPTION \ --network=VPC_NETWORK
Para especificar solo una longitud de prefijo (máscara de subred), usa la marca
prefix-length
. Cuando omites el rango de direcciones, Google Cloud selecciona de forma automática un rango de direcciones sin usar en tu red de VPC. En el siguiente ejemplo, se selecciona un rango de direcciones IP sin usar con una longitud de prefijo de16
bits.gcloud compute addresses create RESERVED_RANGE_NAME \ --global \ --purpose=VPC_PEERING \ --prefix-length=16 \ --description=DESCRIPTION \ --network=VPC_NETWORK
Reemplaza los valores de marcador de posición en el comando por los siguientes:
RESERVED_RANGE_NAME
: Un nombre para el rango asignado, comomy-allocated-range
DESCRIPTION
: Una descripción para el rango, comoallocated for my-service
VPC_NETWORK
: El nombre de la red de VPC, comomy-vpc-network
Crea una conexión privada entre la red del productor de servicios y tu red de VPC:
Console
Ve a la página Redes de VPC en la consola de Google Cloud.
Selecciona la red de VPC que se conectará a la red de VPC del grupo privado.
Selecciona la pestaña Acceso privado a servicios.
En la pestaña Acceso privado a servicios, selecciona la opción Acceso privado Conexiones a servicios.
Haz clic en Crear una conexión para crear una conexión privada entre tu red y la red del productor de servicios.
Para la Asignación designada, selecciona el rango asignado que creaste en el paso anterior.
Haz clic en Conectar para crear la conexión.
gcloud
Crea una conexión privada:
gcloud services vpc-peerings connect \ --service=servicenetworking.googleapis.com \ --ranges=ALLOCATED_RANGE_NAME \ --network=VPC_NETWORK \ --project=PROJECT_ID
Reemplaza los valores de marcador de posición en el comando por los siguientes:
ALLOCATED_RANGE_NAME
: El rango asignado de nombre que creaste en el paso anterior.VPC_NETWORK
: El nombre de tu red de VPCPROJECT_ID
: El ID del proyecto que contiene tu red de VPC
El comando inicia una operación de larga duración, y luego muestra un nombre de operación.
Reemplaza
OPERATION_NAME
por el nombre de la operación que se mostró en el paso anterior para comprobar si la operación se realizó de forma correcta.gcloud services vpc-peerings operations describe \ --name=OPERATION_NAME
[OPCIONAL: Situación de VPC compartida]. Si usas una VPC compartida, crea el rango de IP asignado y la conexión privada en el proyecto host. Por lo general, un administrador de red en el proyecto host debe realizar estas tareas. Después de configurar el proyecto host con la conexión privada, las instancias de VM en proyectos de servicio pueden usar la conexión privada con la red del productor de servicios. El proyecto que aloja la conexión de VPC y el proyecto que contiene el grupo privado deben ser parte de la misma organización.
[Opcional: Usa reglas de firewall]. Si creas una regla de firewall de entrada en la red de VPC, especifica el mismo rango de IP que asignas en filtro de origen. para la regla de entrada.
¿Qué sigue?
- Obtén más información para crear y administrar grupos privados.