Configurar redes con IP privada

Cloud Composer 3 | Cloud Composer 2 | Cloud Composer 1

En esta página se proporciona información sobre cómo configurar la red de tu proyecto para entornos de IP privada. Google Cloud

En los entornos de IP privada, Cloud Composer solo asigna direcciones IP privadas (RFC 1918) a las VMs de Google Kubernetes Engine y Cloud SQL gestionadas de tu entorno.

También puedes usar direcciones IP públicas usadas de forma privada y el agente de enmascaramiento de IP para ahorrar espacio de direcciones IP y usar direcciones que no sean RFC 1918.

Para obtener información sobre cómo conectarse a los recursos de tu entorno, consulta IP privada.

Antes de empezar

• Asegúrate de que tienes los permisos de usuario y de cuenta de servicio adecuados para crear un entorno.
• Comprueba que no se hayan definido políticas de organización incompatibles en tu proyecto.

Comprobar los requisitos de red

Comprueba que la red de VPC de tu proyecto cumpla los siguientes requisitos:

• Asegúrate de que no haya conflictos de bloqueo de IP privadas. Si tu red VPC y sus peers de VPC establecidos tienen bloques de IP superpuestos con la red VPC del proyecto de inquilino gestionado por Google, Cloud Composer no podrá crear tu entorno. Consulta la tabla de intervalos de IP predeterminados para ver los valores predeterminados que se usan en cada región.

• Asegúrate de que haya suficientes intervalos de IP secundarios para los pods y servicios de GKE de Cloud Composer. GKE busca intervalos de IPs secundarias para el alias de IP. Si GKE no encuentra ningún intervalo, Cloud Composer no podrá crear tu entorno.

• Asegúrate de que el número de intervalos secundarios de tu subred no supere los 30. Ten en cuenta lo siguiente:

  • El clúster de GKE de tu entorno de IP privada crea dos intervalos secundarios en la subred. Puedes crear varias subredes en la misma región para la misma red de VPC.
  • El número máximo de intervalos secundarios admitidos es 30. Cada entorno de IP privada requiere dos intervalos secundarios para los pods y servicios de GKE de Cloud Composer.

• Asegúrate de que la red de tu proyecto pueda admitir el límite del número máximo de conexiones a una red de VPC única. El número máximo de entornos de IP privada que puedes crear depende del número de conexiones de emparejamiento entre redes de VPC que ya haya en tu red de VPC.

• Cada entorno de IP privada usa como máximo dos emparejamientos de VPC por entorno. Cloud Composer crea un emparejamiento de VPC para la red del proyecto de arrendatario. El segundo emparejamiento lo crea el clúster de GKE de tu entorno y los clústeres de GKE pueden reutilizar esta conexión.

Elegir una red, una subred y rangos de red

Elige los intervalos de red de tu entorno de IP privada (o usa los predeterminados). Estos intervalos de red se usan más adelante al crear un entorno de IP privada.

Para crear un entorno de IP privada, necesitas la siguiente información:

• ID de tu red de VPC
• El ID de tu subred de VPC
• Dos intervalos de IP secundarios en tu subred de VPC:
  • Intervalo de IP secundarias para pods
  • Intervalo de IP secundario para servicios

• Intervalos de IP de los componentes del entorno:

  • Intervalo de IPs del plano de control de GKE. Intervalo de IPs del plano de control de GKE.
    • Intervalo de IP del servidor web.
  • Intervalo de IPs del servidor web. Intervalo de IPs de la instancia del servidor web de Airflow.

  • Intervalo de IP de Cloud SQL. Intervalo de IPs de la instancia de Cloud SQL.

    Precaución: El intervalo 172.17.0.0/16 está reservado en Cloud SQL.

Consulta la tabla de intervalos de IP predeterminados para ver los valores predeterminados que se usan en cada región.

Intervalos de IP predeterminados

Región	Intervalo de IPs del plano de control de GKE	Intervalo de IPs del servidor web	Intervalo de direcciones IP de Cloud SQL
africa-south1	172.16.64.0/23	172.31.223.0/24	10.0.0.0/12
asia‑east1	172.16.42.0/23	172.31.255.0/24	10.0.0.0/12
asia‑east2	172.16.0.0/23	172.31.255.0/24	10.0.0.0/12
asia‑northeast1	172.16.2.0/23	172.31.254.0/24	10.0.0.0/12
asia‑northeast2	172.16.32.0/23	172.31.239.0/24	10.0.0.0/12
asia‑northeast3	172.16.30.0/23	172.31.240.0/24	10.0.0.0/12
asia‑south1	172.16.4.0/23	172.31.253.0/24	10.0.0.0/12
asia‑south2	172.16.50.0/23	172.31.230.0/24	10.0.0.0/12
asia‑southeast1	172.16.40.0/23	172.31.235.0/24	10.0.0.0/12
asia-southeast2	172.16.44.0/23	172.31.233.0/24	10.0.0.0/12
australia‑southeast1	172.16.6.0/23	172.31.252.0/24	10.0.0.0/12
australia‑southeast2	172.16.56.0/23	172.31.227.0/24	10.0.0.0/12
europe-central2	172.16.36.0/23	172.31.237.0/24	10.0.0.0/12
europe‑north1	172.16.48.0/23	172.31.231.0/24	10.0.0.0/12
europe-southwest1	172.16.58.0/23	172.31.226.0/24	10.0.0.0/12
europe‑west1	172.16.8.0/23	172.31.251.0/24	10.0.0.0/12
europe-west10	172.16.62.0/23	172.31.224.0/24	10.0.0.0/12
europe-west12	172.16.62.0/23	172.31.224.0/24	10.0.0.0/12
europe‑west2	172.16.10.0/23	172.31.250.0/24	10.0.0.0/12
europe‑west3	172.16.12.0/23	172.31.249.0/24	10.0.0.0/12
europe‑west4	172.16.42.0/23	172.31.234.0/24	10.0.0.0/12
europe-west6	172.16.14.0/23	172.31.248.0/24	10.0.0.0/12
europe-west8	172.16.60.0/23	172.31.225.0/24	10.0.0.0/12
europe-west9	172.16.46.0/23	172.31.232.0/24	10.0.0.0/12
me-central1	172.16.58.0/23	172.31.226.0/24	10.0.0.0/12
me-central2	172.16.64.0/23	172.31.223.0/24	10.0.0.0/12
me-west1	172.16.54.0/23	172.31.228.0/24	10.0.0.0/12
northamerica‑northeast1	172.16.16.0/23	172.31.247.0/24	10.0.0.0/12
northamerica-northeast2	172.16.46.0/23	172.31.232.0/24	10.0.0.0/12
northamerica-south1	172.16.68.0/23	172.31.221.0/24	10.0.0.0/12
southamerica-east1	172.16.18.0/23	172.31.246.0/24	10.0.0.0/12
southamerica-west1	172.16.58.0/23	172.31.226.0/24	10.0.0.0/12
us-central1	172.16.20.0/23	172.31.245.0/24	10.0.0.0/12
us‑east1	172.16.22.0/23	172.31.244.0/24	10.0.0.0/12
us‑east4	172.16.24.0/23	172.31.243.0/24	10.0.0.0/12
us-east5	172.16.52.0/23	172.31.229.0/24	10.0.0.0/12
us-south1	172.16.56.0/23	172.31.227.0/24	10.0.0.0/12
us‑west1	172.16.38.0/23	172.31.236.0/24	10.0.0.0/12
us‑west2	172.16.34.0/23	172.31.238.0/24	10.0.0.0/12
us-west3	172.16.26.0/23	172.31.242.0/24	10.0.0.0/12
us-west4	172.16.28.0/23	172.31.241.0/24	10.0.0.0/12

(Opcional) Configurar la conectividad con las APIs y los servicios de Google

También puedes enrutar todo el tráfico a las APIs y los servicios de Google a través de varias direcciones IP que pertenezcan al dominio private.googleapis.com. En esta configuración, tu entorno accede a las APIs y los servicios de Google solo a través de direcciones IP enrutables desde Google Cloud.

Si tu entorno de IP privada también usa Controles de Servicio de VPC, sigue las instrucciones para entornos con Controles de Servicio de VPC.

Los entornos de Cloud Composer usan los siguientes dominios:

• *.googleapis.com se usa para acceder a otros servicios de Google.

• *.pkg.dev se usa para obtener imágenes de entorno, como al crear o actualizar un entorno.

• *.gcr.io GKE requiere conectividad con el dominio de Container Registry, independientemente de la versión de Cloud Composer.

Nota: Si no configuras reglas de DNS para las APIs y los servicios de Google, se resolverán mediante la opción de dominio para los dominios predeterminados.

Configura la conectividad con el endpoint private.googleapis.com:

Dominio	Nombre de DNS	Registro CNAME	Registro A
*.googleapis.com	googleapis.com.	Nombre de DNS: *.googleapis.com. Tipo de registro de recursos: CNAME Nombre canónico: googleapis.com.	Tipo de registro de recursos: A Direcciones IPv4: 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11
*.pkg.dev	pkg.dev.	Nombre de DNS: *.pkg.dev. Tipo de registro de recursos: CNAME Nombre canónico: pkg.dev.	Tipo de registro de recursos: A Direcciones IPv4: 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11
*.gcr.io	gcr.io.	Nombre de DNS: *.gcr.io. Tipo de registro de recursos: CNAME Nombre canónico: gcr.io.	Tipo de registro de recursos: A Direcciones IPv4: 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11

Para crear una regla de DNS, sigue estos pasos:

1. Crea una zona DNS y usa Nombre de DNS como nombre de DNS de esta zona.

   Ejemplo: pkg.dev.

2. Añade un conjunto de registros para Registro CNAME.

   Ejemplo:

   • Nombre de DNS: *.pkg.dev.
   • Tipo de registro de recursos: CNAME
   • Nombre canónico: pkg.dev.

3. Añade un conjunto de registros con un registro A:

   Ejemplo:

   • Tipo de registro de recursos: A
   • Direcciones IPv4: 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11

Para obtener más información, consulta el artículo sobre cómo configurar la conectividad privada en servicios y APIs de Google.

(Opcional) Configurar reglas de cortafuegos

Realiza este paso solo si tu proyecto tiene reglas de cortafuegos no predeterminadas, como reglas que anulan las reglas de cortafuegos implícitas o que modifican las reglas predefinidas de la red predeterminada.

Por ejemplo, Cloud Composer podría no crear un entorno si tienes una regla de firewall que deniega todo el tráfico de salida. Para evitar problemas, define reglas allow selectivas que sigan la lista y tengan una prioridad mayor que la regla deny global.

Importante: En función de cómo se configuren las reglas de cortafuegos en tu proyecto, la siguiente lista de reglas podría ser redundante. Por ejemplo, si tus reglas de cortafuegos solo bloquean el tráfico de entrada, no necesitas las reglas de salida que se indican.

Configura tu red de VPC para permitir el tráfico de tu entorno:

• Consulta Usar reglas de cortafuegos para saber cómo comprobar, añadir y actualizar reglas de tu red de VPC.
• Usa la herramienta de conectividad para validar la conectividad entre intervalos de IP.
• Puede usar etiquetas de red para limitar aún más el acceso. Puede definir estas etiquetas al crear un entorno.

Descripción	Dirección	Acción	Origen o destino	Protocolos	Puertos
DNS	Salida	Permitir	Cualquier destino (0.0.0.0/0) o direcciones IP de servidores DNS	TCP, UDP	53
APIs y servicios de Google	Salida	Permitir	Intervalo de direcciones IP del dominio que has elegido para las APIs y los servicios de Google. Consulta las direcciones IP de los dominios predeterminados si usas los valores predeterminados.	TCP	443
Nodos del clúster del entorno	Salida	Permitir	Intervalo de direcciones IP principales de la subred del entorno	TCP, UDP	todos
Pods de clúster del entorno	Salida	Permitir	Intervalo de direcciones IP secundario para los pods de la subred del entorno	TCP, UDP	todos
Plano de control del clúster del entorno	Salida	Permitir	Intervalo de IPs del plano de control de GKE	TCP, UDP	todos
Servidor web	Salida	Permitir	Intervalo de IP de red del servidor web	TCP	3306, 3307

Precaución: El servicio de GKE crea automáticamente una serie de reglas de cortafuegos de entrada y salida para que el clúster de tu entorno funcione correctamente (por ejemplo, las reglas de entrada y salida de Google Cloud comprobaciones de estado). Consulta la página Reglas de cortafuegos de GKE para obtener más información y no elimines ni bloquees las reglas de cortafuegos creadas por los servicios de GKE. Puede que veas que tu entorno se comunica con el intervalo de IPs 34.126.0.0/18, que es un intervalo de IPs de acceso privado de Google. Este tráfico pertenece al servicio de GKE que usa el clúster del entorno.

Para obtener los intervalos de IPs del clúster del entorno, sigue estos pasos:

• Los intervalos de direcciones de pods, servicios y planos de control están disponibles en la página Clústeres del clúster de tu entorno:

  1. En la Google Cloud consola, ve a la página Entornos.

     Ir a Entornos

  2. En la lista de entornos, haz clic en el nombre del entorno. Se abrirá la página Detalles del entorno.

  3. Ve a la pestaña Configuración del entorno.

  4. Sigue el enlace Ver los detalles del clúster.

• Puede ver el intervalo de IPs del servidor web del entorno en la pestaña Configuración del entorno.

• Puedes ver el ID de red del entorno en la pestaña Configuración del entorno. Para obtener los intervalos de IP de una subred, ve a la página Redes de VPC y haz clic en el nombre de la red para ver los detalles:

  Ir a redes de VPC

Configuración de clúster nativo de VPC

Cloud Composer admite clústeres de GKE nativos de VPC en tu entorno.

Durante la creación del entorno, puedes habilitar la VPC nativa (mediante una IP de alias) y configurar la red, como la asignación de IP, sin habilitar la IP privada.

Como se necesita un clúster nativo de VPC para que las tareas de Airflow se comuniquen con otras máquinas virtuales a las que se puede acceder mediante IPs privadas, también debes habilitar la VPC nativa para configurar un entorno de IPs privadas.

Configurar variables de servidor proxy

Importante: El enrutamiento con variables proxy se realiza en la medida de lo posible. No se garantiza que todas las solicitudes pasen por el proxy. En su lugar, te recomendamos que enrutes el tráfico creando tu entorno en una red de VPC y configurando reglas de enrutamiento del tráfico en esta red.

Puedes definir las variables de entorno http_proxy y https_proxy en tu entorno. Los clientes web que se ejecutan en contenedores del clúster de tu entorno usan estas variables estándar de Linux para enrutar el tráfico a través de los proxies especificados.

La variable NO_PROXY se define de forma predeterminada como una lista de dominios de Google y localhost para que se excluyan del proxy: .google.com,.googleapis.com,metadata.google.internal,localhost. Esta configuración permite crear un entorno con las variables de entorno http_proxy y https_proxy en los casos en los que el proxy no esté configurado para gestionar el tráfico a los servicios de Google.

Siguientes pasos

• Conectar un entorno a una red de VPC
• [Configurar el acceso a Internet al instalar paquetes de PyPI][cc-packages-internet-access]