Reserva una dirección IP externa estática

Si una instancia de máquina virtual (VM) requiere una dirección IP externa fija que no cambie, puedes obtener una dirección IP externa estática para esa instancia con una de las siguientes opciones:

A través de la reserva de una dirección IP externa estática nueva y, luego, con la asignación de la dirección a una instancia de VM nueva.
Mediante la promoción de una dirección IP externa efímera existente para que se convierta en una dirección IP externa estática.

Si necesitas una dirección IP estática en tu red interna de Compute Engine, consulta Reserva una dirección interna estática, en su lugar.

En Compute Engine, cada instancia de VM puede tener varias interfaces de red. Cada interfaz puede tener direcciones IP internas y externas. Las reglas de reenvío pueden tener direcciones IP externas destinadas al balanceo de cargas externo o direcciones internas para el balanceo de cargas interno. Para obtener más información sobre las direcciones IP estáticas, consulta Direcciones IP externas.

Antes de comenzar

Si deseas usar los ejemplos de línea de comandos de esta guía, haz lo siguiente:
1. Instala la versión más reciente de la herramienta de línea de comandos de gcloud.
2. Configura una región y una zona predeterminadas.
Si deseas usar los ejemplos de API de esta guía, configura el acceso a la API.
Lee sobre las direcciones IP.
Lee sobre cuotas y límites para direcciones IP externas estáticas.
Lee sobre los precios de las direcciones IP externas.

Reserva una dirección IP externa estática nueva

Una dirección IP externa estática es una dirección IP que se reserva para tu proyecto hasta que decidas liberarla. Si tienes una dirección IP en la que tus clientes o usuarios confíen a fin de acceder a tu servicio, puedes reservarla para que solo tu proyecto pueda usarla. También puedes subir la categoría de una dirección IP externa efímera a una dirección IP externa estática.

Puedes reservar dos tipos de direcciones IP externas:

Las instancias de VM o los balanceadores de cargas de red pueden usar una dirección IP regional con una o más interfaces de red.
Una dirección IP global que se puede usar para balanceadores de cargas globales.

Para obtener una lista de los balanceadores de cargas regionales y globales, consulta Resumen de los balanceadores de cargas de Google Cloud.

Reserva una dirección IP externa estática con la herramienta de línea de comandos de gcloud o la API. Después de reservar la dirección, asígnala a una instancia nueva mientras la creas o a una instancia existente.

Restricciones

Solo un recurso a la vez puede usar una dirección IP externa estática.
No hay forma de verificar si una dirección IP es estática o efímera después de que se asigna a un recurso. Puedes comparar la dirección IP con la lista de direcciones IP externas estáticas reservadas para ese proyecto. Usa el subcomando compute addresses list a fin de ver una lista de direcciones IP externas estáticas disponibles para el proyecto.
Cada instancia de VM puede tener varias interfaces de red, pero cada interfaz de red puede tener solo una dirección IP externa que sea efímera o estática.

Nota: Las interfaces de red pueden recibir tráfico de varias reglas de reenvío, que pueden entregar a otras direcciones IP externas. Cualquier número de direcciones IP externas puede hacer referencia a una interfaz de red a través de estas reglas de reenvío, sin embargo, cada interfaz de red puede tener solo una dirección IP externa que convierta los paquetes en la dirección IP interna de la interfaz.

Para obtener más información sobre el balanceo de cargas y las reglas de reenvío, consulta la documentación de balanceo de cargas.

Console

En Cloud Console, ve a la página Reserva una dirección estática.

Ir a Reserva una dirección estática
Elige un nombre para la dirección nueva.
Especifica si se trata de una dirección IPv4 o IPv6. Las direcciones IPv6 solo pueden ser globales y solo se pueden usar con balanceadores de cargas globales.
Elige si esta dirección IP será regional o global. Si reservas una dirección IP estática para una instancia o un balanceador de cargas de red, elige Regional. Si reservas una dirección IP estática para un balanceador de cargas global, elige Global.
Si se trata de una dirección IP regional, selecciona la región a fin de crear la dirección.
Como alternativa, puedes seleccionar un recurso para conectar la IP.
Haz clic en Reservar si deseas reservar la IP.

gcloud

Para reservar una dirección IP externa estática mediante gcloud compute, usa el comando compute addresses create.

Si deseas reservar una dirección IP global, usa los campos --global y --ip-version. En el campo --ip-version, especifica IPV4 o IPV6. Las direcciones IPv6 solo pueden ser globales y solo se pueden usar con balanceadores de cargas globales.

Reemplaza ADDRESS_NAME por el nombre que deseas darle a esta dirección.

gcloud compute addresses create ADDRESS_NAME \
    --global \
    --ip-version [IPV4 | IPV6]

Si deseas reservar una dirección IP regional, usa el campo --region:

gcloud compute addresses create ADDRESS_NAME  \
    --region=REGION

Reemplaza lo siguiente:

ADDRESS_NAME: El nombre que quieres asignar a esta dirección.
REGION: Es la región en la que deseas reservar esta dirección. Esta región debe ser la misma que el recurso al que deseas conectar la dirección IP. Todas las direcciones IP regionales son IPv4.

Usa el comando compute addresses describe para ver el resultado:

gcloud compute addresses describe ADDRESS_NAME

API

Para crear una dirección IPv4 regional, invoca el método addresses.insert regional:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  "name": "ADDRESS_NAME"
}

Reemplaza lo siguiente:

ADDRESS_NAME: El nombre que quieres asignar a la dirección.
REGION: El nombre de la región para esta solicitud.
PROJECT_ID: El ID del proyecto de esta solicitud

Para direcciones IPv4 estáticas globales, llama al método globalAddresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  "name": "ADDRESS_NAME"
}

Para direcciones IPv6 estáticas globales, llama al método globalAddresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  "name": "ADDRESS_NAME",
  "ipVersion": "IPV6"
}

Usa el método addresses.get para ver el resultado.

Terraform

Puedes usar un módulo de Terraform para crear una dirección IP externa.

En el siguiente ejemplo, los argumentos de Terraform tienen valores de ejemplo que puedes cambiar. En el ejemplo, se crean tres direcciones IPv4 externas regionales.

examples/regional_external_address/main.tf

Ver en GitHub

module "address" {
  source       = "terraform-google-modules/address/google"
  version      = "3.0.0"
  project_id   = var.project_id # Replace this with your service project ID in quotes
  region       = "europe-west1"
  address_type = "EXTERNAL"
  names = [
    "regional-external-ip-address-1",
    "regional-external-ip-address-2",
    "regional-external-ip-address-3"
  ]
}

En el siguiente ejemplo, se crea una dirección IPv6 externa global:

examples/global_external_address/main.tf

Ver en GitHub

resource "google_compute_global_address" "default" {
  project      = var.project_id # Replace this with your service project ID in quotes
  name         = "ipv6-address"
  address_type = "EXTERNAL"
  ip_version   = "IPV6"
}

Asigna una dirección IP externa estática a una instancia de VM nueva

Cuando creas una instancia de VM, se le asigna una dirección IP externa efímera de forma automática. Si no quieres una dirección IP externa efímera, puedes asignar una dirección IP externa estática a la instancia de forma explícita.

Console

En Cloud Console, ve a la página Instancias de VM.
Ir a Instancias de VM
Haz clic en Crear instancia.
En la página Crear una instancia nueva, completa las propiedades que quieras para tu instancia.

Expande la sección Administración, seguridad, discos, herramientas de redes, instancia única.
Haz clic en Herramientas de redes.
En Interfaces de redes, haz clic en la interfaz de red predeterminada para editarla.
En la sección IP externa, selecciona la dirección IP externa estática que reservaste en el menú desplegable.
Haz clic en Listo para terminar la modificación de la interfaz de red predeterminada.
Haz clic en Crear para crear la instancia.

gcloud

Para asignar una dirección IP externa estática, usa la marca --address durante la creación de la instancia y proporciona la dirección IP externa estática:

gcloud compute instances create VM_NAME --address=IP_ADDRESS

Reemplaza lo siguiente:

VM_NAME: El nombre de la instancia de VM
IP_ADDRESS: La dirección IP que se asignará a la instancia. Usa la dirección IP externa estática reservada, no el nombre de la dirección.

API

En tu solicitud para crear una instancia nueva, debes proporcionar la propiedad networkInterfaces[].accessConfigs[].natIP y la IP externa que deseas usar de forma explícita. Por ejemplo:

{
  "name": "VM_NAME",
  "machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
  "networkInterfaces": [{
    "accessConfigs": [{
      "type": "ONE_TO_ONE_NAT",
      "name": "External NAT",
      "natIP": "IP_ADDRESS"
     }],
    "network": "global/networks/default"
  }],
  "disks": [{
     "autoDelete": "true",
     "boot": "true",
     "type": "PERSISTENT",
     "initializeParams": {
        "sourceImage": "projects/debian-cloud/global/images/v20150818"
     }
   }]
 }

Cambia o asigna una dirección IP externa a una instancia existente

Puedes cambiar o asignar una dirección IP externa, efímera o estática, a una instancia existente si modificas la configuración de acceso de la instancia.

Una instancia puede tener varias interfaces y cada una de estas puede tener una dirección IP externa. Si la instancia ya tiene una dirección IP externa, primero debes quitar esa dirección mediante la operación de borrado de la configuración de acceso anterior. Así podrás agregar una configuración de acceso nueva con la dirección IP externa nueva.

Console

En Cloud Console, ve a la página Instancias de VM.
Ir a Instancias de VM
Haz clic en el nombre de la instancia a la que quieres asignar una IP externa. Se mostrará la página de detalles de la instancia.
En la página de detalles de la instancia, completa los pasos siguientes:
1. Haz clic en Editar.
2. En Interfaces de redes (Network interfaces), haz clic en el botón Editar.
3. En IP externa (External IP), selecciona una dirección IP externa efímera o estática para asignar a la instancia.
4. Haz clic en Listo.
5. Haz clic en Guardar.

En gcloud

Como alternativa, puedes reservar una dirección IP externa estática.

Si quieres asignar una dirección IP externa estática, debes reservar una dirección y asegurarte de que no la use otro recurso. Si es necesario, sigue las instrucciones si necesitas reservar una nueva dirección IP externa estática o si deseas anular la asignación de una dirección IP externa estática.

Si planeas usar una dirección IP externa efímera, puedes omitir este paso y Compute Engine asigna de manera aleatoria una dirección IP externa efímera.
Borra la configuración de acceso existente.

Puedes establecer una configuración de acceso para cada instancia. Antes de que intentes asignar una configuración de acceso nueva a una instancia, verifica si tu instancia tiene una configuración de acceso mediante una solicitud gcloud compute instances describe:
```
gcloud compute instances describe VM_NAME
```
Si hay una configuración de acceso existente, esta aparecerá con el siguiente formato:
```
networkInterfaces:
- accessConfigs:
  - kind: compute#accessConfig
    name: external-nat
    natIP: 203.0.113.1
    type: ONE_TO_ONE_NAT
```
Nota: El name de tu configuración de acceso puede ser diferente de external-nat; asegúrate de verificar tu propio nombre de configuración de acceso. En algunos casos, se puede usar External NAT, una versión anterior del nombre de la configuración de acceso.

Antes de agregar una nueva configuración de acceso, debes borrar la existente con el subcomando instances delete-access-config:
```
gcloud compute instances delete-access-config VM_NAME \
    --access-config-name="ACCESS_CONFIG_NAME"
```
Reemplaza lo siguiente:
- VM_NAME: El nombre de la instancia de VM
- ACCESS_CONFIG_NAME: La configuración de acceso que se borrará. Asegúrate de incluir el nombre completo entre comillas.
Agrega la dirección IP externa nueva.

Agrega una nueva dirección IP externa con el subcomando instances add-access-config:

Nota: No reemplaces IP_ADDRESS con el nombre de la IP estática. Debes usar la dirección IP real.
```
gcloud compute instances add-access-config VM_NAME \
   --access-config-name="ACCESS_CONFIG_NAME" --address=IP_ADDRESS
```
Reemplaza lo siguiente:
- VM_NAME: El nombre de la instancia de VM
- ACCESS_CONFIG_NAME: El nombre para llamar a esta configuración de acceso. Asegúrate de incluir el nombre completo entre comillas.
- IP_ADDRESS: La dirección IP que se agregará.
Si deseas que Compute Engine asigne una dirección IP externa efímera en lugar de usar una dirección IP externa estática, omite la propiedad --address IP_ADDRESS:
```
gcloud compute instances add-access-config VM_NAME \
    --access-config-name="ACCESS_CONFIG_NAME"
```

API

Si deseas cambiar la dirección IP externa de una VM, puedes agregar una configuración de acceso nueva para esa VM.

Verifica si tu VM tiene una configuración de acceso existente. Para verificar los detalles de la VM, realiza una solicitud GET al método instances.get.
```
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME
```
Reemplaza lo siguiente:
- PROJECT_ID: El ID del proyecto de esta solicitud
- ZONE: La zona donde se ubica la VM.
- VM_NAME: es el nombre de la VM. Si hay una configuración de acceso existente, la respuesta es similar a la siguiente:
```
"networkInterfaces": [
{
 "network":
  ...
 "networkIP": "192.0.2.1",
 "name": "nic0",
 "accessConfigs": [
  {
    "type": "ONE_TO_ONE_NAT",
    "name": "External NAT",
    "natIP": "203.0.113.1",
    "networkTier": "PREMIUM",
    "kind": "compute#accessConfig"
  }
],
 ...
}
```
El campo networkInterfaces[].accessConfigs[].natIP muestra la dirección IP externa estática de la instancia de VM.

Borra la configuración de acceso existente mediante una solicitud POST al método instances.deleteAccessConfig.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/deleteAccessConfig

Para agregar una nueva configuración de acceso a la interfaz de red de la instancia de VM, realiza una solicitud POST al método instances.addAccessConfig.
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/addAccessConfig

{
"natIP": "IP_ADDRESS",
"name": "ACCESS_CONFIG_NAME"
}
```
Reemplaza lo siguiente:
- IP_ADDRESS: La dirección IP externa que se asociará con la instancia. Especifica una dirección IP externa estática sin usar que esté disponible para el proyecto.
- ACCESS_CONFIG_NAME: Es el nombre de la configuración de acceso. El nombre predeterminado y recomendado es NAT externa.

Promueve una dirección IP externa efímera

Si tu instancia tiene una dirección IP externa efímera y deseas asignar la IP a tu proyecto de manera permanente, debes promover la dirección IP externa efímera a una dirección IP externa estática. Promover una dirección IP externa efímera a una reservada no implica que Google Cloud descarte los paquetes enviados a la instancia. Esto incluye los paquetes que se enviaron a la instancia directamente o mediante un balanceador de cargas.

Console

En Cloud Console, ve a la página Direcciones IP externas.
Ir a Direcciones IP externas
En la misma fila que la dirección IP que deseas ascender a estática, haz clic en Reservar.
Proporciona un nombre a la dirección IP estática nueva y haz clic en Reservar.

gcloud

A fin de ascender una dirección IP externa efímera a una dirección IP externa estática, proporciona la dirección IP externa efímera mediante la marca --addresses con el comando compute addresses create. Usa la marca region a fin de ascender una dirección IP regional efímera o la marca global a fin de ascender una dirección IP global efímera.

gcloud compute addresses create ADDRESS_NAME --addresses=IP_ADDRESS \
  [--region=REGION | --global]

Reemplaza lo siguiente:

ADDRESS_NAME: El nombre que quieres asignar a esta dirección.
IP_ADDRESS: La dirección IP que deseas ascender.
REGION: La región a la que pertenece la dirección IP regional.

API

Para ascender una dirección IP regional efímera, llama al método addresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

Si quieres promover una dirección IP global efímera, debes realizar una solicitud POST al siguiente URI:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

El cuerpo de la solicitud debe contener la siguiente información:

{
  "name": "ADDRESS_NAME",
  "address": "IP_ADDRESS"
}

Reemplaza lo siguiente:

ADDRESS_NAME: El nombre que quieres asignar a esta dirección.
IP_ADDRESS: La dirección IP que deseas ascender.
REGION: La región a la que pertenece la dirección IP.
PROJECT_ID: El ID del proyecto de esta solicitud

La dirección IP externa permanece adjunta a la instancia incluso después de que se haya asignado a una dirección IP externa estática. Si necesitas asignar la dirección IP externa estática nueva a otro recurso, anula la asignación de la dirección IP externa estática de la instancia existente.

Enumera direcciones IP externas estáticas

Si deseas crear una lista de las direcciones IP externas estáticas que reservaste para tu proyecto, usa la consola, ejecuta compute addresses list o realiza una solicitud GET a la API.

Console

En Cloud Console, ve a la página Direcciones IP externas para ver una lista de las direcciones IP del proyecto.

Ir a Direcciones IP externas

gcloud

Usa el comando compute addresses list

gcloud compute addresses list

API

Realiza una llamada al método addresses.list:

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

Reemplaza lo siguiente:

REGION: El nombre de la región para esta solicitud.
PROJECT_ID: El ID del proyecto de esta solicitud

Para enumerar todas las direcciones de todas las regiones, llama al método aggregatedList.

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/addresses

Describe una dirección IP externa estática

A fin de obtener información sobre una dirección IP externa estática, usa la consola, la herramienta de gcloud o la API.

Console

En Cloud Console, ve a la página Direcciones IP externas.
Ir a Direcciones IP externas
Haz clic en la dirección IP que la que quieres obtener más información.

gcloud

Usa el comando addresses describe y reemplaza ADDRESS_NAME por el nombre de la dirección IP externa que deseas describir.

gcloud compute addresses describe ADDRESS_NAME

API

Realiza una llamada al método addresses.get:

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME

Reemplaza lo siguiente:

ADDRESS_NAME: El nombre de la dirección IP.
REGION: El nombre de la región para esta solicitud.
PROJECT_ID: Es el ID del proyecto de la solicitud.

Anula la asignación de una dirección IP externa estática

Si deseas anular la asignación de una dirección IP externa estática, puedes cambiar la asignación de la dirección IP con Cloud Console o borrar la configuración de acceso adjunta a la VM que usa la dirección. Para anular la asignación de la dirección IP, también puedes borrar la instancia. Anular la asignación de una dirección IP externa estática te permite reasignarla a otro recurso.

Anular la asignación de una dirección IP la quita del recurso, pero conserva la dirección IP reservada para tu proyecto.

Console

En Cloud Console, ve a la página Direcciones IP externas.
Ir a Direcciones IP externas
Selecciona la dirección IP estática para la que deseas anular la asignación.
Haz clic en Cambiar para abrir el cuadro de diálogo Adjuntar dirección IP.
En la lista desplegable Adjuntar a, selecciona Ninguna.
Haga clic en Ok.

gcloud

Para verificar si una dirección IP estática está en uso, ejecuta el comando gcloud compute addresses list:

gcloud compute addresses list

El resultado es similar al siguiente:

NAME                 REGION    ADDRESS            STATUS
example-address      REGION    198.51.100.1       RESERVED
example-address-new  REGION    203.0.113.1        IN_USE

En este ejemplo, example-address-new se encuentra en uso.

Si quieres borrar la configuración de acceso de una instancia y anular la asignación de una dirección IP externa estática, sigue estos pasos:

Obtén el nombre de la configuración de acceso que quieres borrar. Para obtener el nombre, usa el comando gcloud compute instances describe. Reemplaza VM_NAME por el nombre de la VM.
```
gcloud compute instances describe VM_NAME
```
La configuración de acceso aparece en el siguiente formato:
```
networkInterfaces:
   - accessConfigs:
     - kind: compute#accessConfig
       name: external-nat
       natIP: 203.0.113.1
       type: ONE_TO_ONE_NAT
```
Nota: El name de tu configuración de acceso puede ser diferente de external-nat; asegúrate de verificar tu propio nombre de configuración de acceso. En algunos casos, se puede usar External NAT, una versión anterior del nombre de la configuración de acceso.
Borra la configuración de acceso.

Nota: Si una instancia no tiene una configuración de acceso, no puedes acceder a Internet.

Usa el comando gcloud compute instances delete-access-config:
```
gcloud compute instances delete-access-config VM_NAME \
--access-config-name="ACCESS_CONFIG_NAME"
```
Reemplaza lo siguiente:
- VM_NAME: Es el nombre de la instancia de máquina virtual.
- ACCESS_CONFIG_NAME: El nombre de la configuración de acceso que se borrará. Asegúrate de incluir el nombre completo entre comillas.

Comprueba que tu dirección IP externa estática ahora esté disponible y marcada como RESERVED, en lugar de IN_USE.

gcloud compute addresses list

Por ejemplo:

NAME                 REGION      ADDRESS           STATUS
example-address      REGION      198.51.100.1      RESERVED
example-address-new  REGION      203.0.113.1       RESERVED

Ya que tu dirección IP externa estática está disponible, puedes elegir asignarla a otra instancia.

API

Si deseas anular la asignación de una dirección IP externa estática, debes borrar la configuración de acceso adjunta a la VM que usa la dirección.

Para verificar los detalles de configuración de acceso de una VM, realiza una solicitud GET al método instances.get.
```
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME
```
Borra la configuración de acceso existente mediante una solicitud POST al método instances.deleteAccessConfig.
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/deleteAccessConfig
```
Reemplaza lo siguiente:
- PROJECT_ID: El ID del proyecto de esta solicitud
- ZONE: La zona donde se ubica la VM.
- VM_NAME: El nombre de la VM

Liberar una dirección IP externa estática

Si ya no necesitas una dirección IP externa estática, puedes liberarla a fin de que se muestre al grupo de IP general para otros usuarios de Compute Engine.

Console

En Cloud Console, ve a la página Direcciones IP externas.
Ir a Direcciones IP externas
Marca la casilla que aparece junto a la dirección IP que deseas liberar.
Haz clic en Liberar dirección IP.

gcloud

Usa el comando compute addresses delete.

gcloud compute addresses delete ADDRESS_NAME

Reemplaza ADDRESS_NAME por el nombre de la dirección IP que deseas liberar.

API

Realiza una llamada al método addresses.delete:

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME

Reemplaza lo siguiente:

ADDRESS_NAME: El nombre de la dirección IP.
REGION: El nombre de la región para esta solicitud.
PROJECT_ID: El ID del proyecto de esta solicitud

Restringe direcciones IP externas a instancias de VM específicas

Para ciertas cargas de trabajo, puede que tengas requisitos esenciales que incluyen restricciones de seguridad y de red. Por ejemplo, es posible que desees restringir la dirección IP externa para que solo instancias de VM específicas puedan usarlas. Esta opción puede ayudar a evitar el robo de datos o mantener el aislamiento de red. Mediante una política de la organización, puedes restringir las direcciones IP externas a instancias de VM específicas con restricciones a fin de controlar el uso de direcciones IP externas para las VM dentro de una organización o un proyecto.

Esta es la restricción para controlar la dirección IP externa en las VM:

constraints/compute.vmExternalIpAccess

Para usar la restricción, especifica una política con una allowedList de VM que pueden tener direcciones IP externas. Si no se especifica ninguna política, se permitirán todas las direcciones IP externas para todas las VM. Cuando la política está vigente, solo a las VM que aparecen en la lista de allowedValues se les puede asignar una dirección IP externa, ya sea efímera o estática, y otras instancias de VM de Compute Engine en la organización o proyecto que no están definidas de forma explícita en la política tienen prohibido el uso de direcciones IP externas.

Las instancias de VM se identifican en las listas permitidas y denegadas mediante el URI de la VM:

projects/PROJECT_ID/zones/ZONE/instances/VM_NAME

Especificaciones

Solo puedes aplicar esta restricción de lista a instancias de VM.
No puedes aplicar la restricción de forma retroactiva. Todas las instancias de VM que tienen direcciones IP externas antes de que se habilite la política conservarán su dirección IP externa.
Esta restricción acepta una allowedList o una deniedList, pero no ambas en la misma política.
Depende de ti o de un administrador que cuente con los permisos necesarios para administrar y mantener el ciclo de vida y la integridad de la instancia. La restricción solo verifica el URI de la instancia y no evita que se alteren, borren o se vuelvan a crear las VM incluidas en la lista de anunciantes permitidos.

Permisos

Para establecer una restricción en el proyecto o en el nivel de la organización, debes tener la función orgpolicy.policyAdmin en la organización.

Establece la restricción de políticas a nivel de la organización

Console

Ve a la página Políticas de organización.
Ir a Políticas de la organización
Si es necesario, selecciona la organización requerida en el menú desplegable del proyecto.
Haz clic en Definir IP externas permitidas para instancias de VM.
Haz clic en Editar para editar la política de IP externa. Si no puedes acceder a la herramienta Editar, no tienes los permisos correctos.
Selecciona Personalizar a fin de establecer la política de la organización para instancias de VM específicas.
Selecciona el Tipo de política y la Aplicación de política obligatorios.
En Valores de la política, selecciona Personalizar.
Ingresa un URI para una instancia de VM y presiona Intro. El URI debe tener el siguiente formato:
```
projects/PROJECT_ID/zones/ZONE/instances/VM_NAME
```
Haz clic en Nuevo valor de la política e ingresa los URI de las instancias de VM según sea necesario.
Haz clic en Guardar para aplicar la restricción.

gcloud

Primero necesitas el ID de tu organización si quieres establecer una restricción a fin de acceder a la IP externa. Puedes encontrar el ID de la organización si ejecutas el comando organizations list y buscas el ID numérico en la respuesta:

gcloud organizations list

La herramienta de gcloud muestra una lista de organizaciones en el siguiente formato:

DISPLAY_NAME               ID
example-organization1      29252605212
example-organization2      1234567890

Usa el comando gcloud resource-manager org-policies set-policy para establecer la política. Debes proporcionar tu política como un archivo JSON. Crea un archivo JSON en el siguiente formato:

{
"constraint": "constraints/compute.vmExternalIpAccess",
"listPolicy": {
  "allowedValues": [
     "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
     "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
     "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
  ]
 }
}

Reemplaza lo siguiente:

PROJECT_ID: El ID del proyecto de esta solicitud, como example-project. Ten en cuenta que esto es diferente de la configuración de políticas de la organización, que requieren el ID numérico de la organización.
ZONE: La zona de la instancia.
VM_NAME: Es el nombre de la instancia de máquina virtual

De manera alternativa, puedes especificar una lista deniedValues en la que se indiquen las instancias de VM que no quieres que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Luego, debes pasar el archivo con la solicitud:

gcloud resource-manager org-policies set-policy MY_POLICY.JSON --organization=ORGANIZATION_ID

Reemplaza ORGANIZATION_ID por el ID numérico de la organización.

Si no quieres que ninguna VM tenga acceso a una IP externa, puedes establecer una política con allValues establecido en DENY:

{
  "constraint": "constraints/compute.vmExternalIpAccess",
  "listPolicy": {
    "allValues": "DENY"
  }
}

API

Usa la API de setOrgPolicy() para definir la restricción. Las VM que aparecen en la lista allowedValue que especificas pueden tener direcciones IP externas. De manera alternativa, puedes especificar una lista deniedValues en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Por ejemplo, la siguiente es una solicitud para aplicar la restricción compute.vmExternalIpAccess en una organización en la que las instancias de VM de determinados proyectos dentro de la organización pueden tener direcciones IP externas:

POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORGANIZATION_ID:setOrgPolicy

En el ejemplo anterior, ORGANIZATION_ID es el ID numérico de la organización.

Ahora, en el cuerpo de la solicitud, debes proporcionar la política deseada para esta restricción:

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allowedValues": [
        "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
        "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
        "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
        ]
      }
    }
 }

Si no quieres que ninguna instancia tenga acceso a IP externa, puedes establecer una política con allValues establecido en DENY:

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allValues": "DENY"
      }
    }
 }

Establece la política a nivel de proyecto

Establecer una política a nivel de proyecto anula la política a nivel de organización. Por ejemplo, si el nivel de la organización tiene example-vm-1 en la lista allowedValues, pero la política en el nivel de proyecto tiene la misma VM en la lista deniedValues, a la instancia de VM no se le permite tener una dirección IP externa.

Console

Sigue el mismo proceso documentado en Establece una restricción de política a nivel de la organización, pero elige el proyecto deseado del selector de proyectos, en lugar de la organización.

Selector de proyectos.

gcloud

Usa el comando gcloud resource-manager org-policies set-policy para establecer la política. Debes proporcionar tu política como un archivo JSON. Crea un archivo JSON en el siguiente formato:

{
 "constraint": "constraints/compute.vmExternalIpAccess",
 "listPolicy": {
  "allowedValues": [
   "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
  ]
 }
}

Reemplaza lo siguiente:

PROJECT_ID: El ID del proyecto de esta solicitud, como example-project. Ten en cuenta que esto es diferente de la configuración de políticas de la organización, que requieren el ID numérico de la organización.
ZONE: La zona de la instancia.
VM_NAME: Es el nombre de la instancia de máquina virtual.

De manera alternativa, puedes especificar una lista deniedValues de instancias de VM a las que deseas prohibir de manera explícita que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Luego, debes pasar el archivo con la solicitud:

gcloud resource-manager org-policies set-policy MY_POLICY.JSON --project=example-project

API

Usa la API de setOrgPolicy para definir la restricción. Las VM que aparecen en la lista allowedValue que especificas pueden tener direcciones IP externas. De manera alternativa, puedes especificar una lista deniedValues en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. Cualquier instancia que no esté en la lista, está autorizada de forma implícita a tener una dirección IP externa. Solo puedes especificar allowedValues o deniedValues, pero no ambos.

Por ejemplo, la siguiente es una solicitud para establecer la restricción compute.vmExternalIpAccess en un proyecto a fin de permitir que instancias de VM específicas tengan direcciones IP externas:

POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setOrgPolicy

Reemplaza PROJECT_ID por el ID del proyecto para esta solicitud.

El cuerpo de la solicitud contiene la política deseada de esta restricción:

{
 "policy": {
  "constraint": "constraints/compute.vmExternalIpAccess",
  "listPolicy": {
   "allowedValues": [
    "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
   ]
  }
 }
}

Prácticas recomendadas

Evita usar la lista deniedValues con esta restricción. Si defines los valores en la lista deniedValues implica que solo las instancias de VM en la lista deniedValues tienen restringido el uso de direcciones IP externas. Esto podría representar un problema de seguridad si quieres controlar con precisión qué VM pueden tener direcciones IP externas. Si deseas quitar ciertas VM de la lista allowedValues, actualiza la política existente para quitar las VM de allowedList, en lugar de colocarlas en la lista deniedValues en una jerarquía inferior.
Si deseas establecer una política en una gran parte de la jerarquía de recursos, pero eximir determinados proyectos, restablece la política predeterminada mediante el método setOrgPolicy y especifica el objeto restoreDefault para permitir que todas las VM de los proyectos se asocien con direcciones IP externas. Las políticas vigentes en la actualidad para los proyectos no se ven afectadas por la configuración predeterminada.
Usa esta política de organización junto con las funciones de IAM si quieres controlar mejor tu entorno. Esta política solo aplica a las instancias de VM, pero si deseas controlar y restringir mejor las direcciones IP externas en los dispositivos de red, puedes otorgar la función compute.networkAdmin a las partes correspondientes.
Todos los servicios y productos que se ejecutan en Compute Engine dentro de la organización o proyecto con la política habilitada están sujetos a esta política de la organización. En particular, los servicios como Google Kubernetes Engine, Dataflow, Dataproc y Cloud SQL se ven afectados por esta política. Si esto genera algún problema, Google recomienda configurar otros servicios y productos en un proyecto diferente que no tenga aplicada la política de la organización, y usar Cross Project Networking si es necesario.

¿Qué sigue?

Obtén más información sobre direcciones IP.
Obtén más información sobre redes y firewalls.
Obtén más información sobre cómo acceder a instancias de VM con DNS interno.
Revisa los precios de VPC.