Configurazione dell'accesso privato Google
In questa pagina viene descritto come attivare e configurare l'accesso privato Google. Per impostazione predefinita, quando una VM di Compute Engine non ha un indirizzo IP esterno assegnato alla sua interfaccia di rete, può inviare pacchetti solo ad altre destinazioni di indirizzi IP interni. Puoi consentire a queste VM di connettersi all'insieme di indirizzi IP esterni utilizzati dalle API e dai servizi di Google abilitando l'accesso privato Google sulla subnet utilizzata dall'interfaccia di rete della VM.
L'accesso privato Google consente inoltre di accedere agli indirizzi IP esterni utilizzati da App Engine, inclusi i servizi di terze parti basati su App Engine.
Per visualizzare le API e i servizi idonei che puoi utilizzare con l'accesso privato Google, consulta i servizi supportati nella panoramica dell'accesso privato Google.
Vedi Opzioni di accesso privato per i servizi per informazioni di base sull'accesso privato Google e su altre opzioni di connettività privata offerte da Google Cloud.
Specifiche
L'interfaccia di una VM può inviare pacchetti agli indirizzi IP esterni delle API e dei servizi Google utilizzando l'accesso privato Google se sono soddisfatte tutte le seguenti condizioni:
L'interfaccia della VM è connessa a una subnet in cui l'accesso privato Google è abilitato.
La rete VPC che contiene la subnet soddisfa i requisiti di rete per le API e i servizi Google.
All'interfaccia della VM non è assegnato un indirizzo IP esterno.
L'indirizzo IP di origine dei pacchetti inviati dalla VM corrisponde a uno dei seguenti indirizzi IP.
- L'indirizzo IPv4 interno principale dell'interfaccia VM
- L'indirizzo IPv6 interno dell'interfaccia VM
- Un indirizzo IPv4 interno da un intervallo IP alias
Una VM con un indirizzo IPv4 o IPv6 esterno assegnato alla propria interfaccia di rete non ha bisogno dell'accesso privato Google per connettersi alle API e ai servizi Google. Tuttavia, la rete VPC deve soddisfare i requisiti per l'accesso alle API e ai servizi Google.
Puoi annullare l'assegnazione di un indirizzo IP esterno a un'istanza VM esistente, anche mentre è in esecuzione.
Per annullare l'assegnazione di un indirizzo IPv4, consulta Annullare l'assegnazione di un indirizzo IP esterno statico.
Per annullare l'assegnazione di un intervallo di indirizzi IPv6, consulta Modificare il tipo di stack di una VM.
Requisiti di rete
L'accesso privato Google prevede i seguenti requisiti:
- Poiché l'accesso privato Google viene abilitato per ogni subnet, devi utilizzare una rete VPC. Le reti legacy non sono supportate perché non supportano le subnet.
- Devi abilitare le API di Google che devi utilizzare nella pagina API e servizi della console Google Cloud.
Se vuoi connetterti alle API e ai servizi Google utilizzando IPv6, devi soddisfare entrambi i requisiti:
La VM deve essere configurata con un intervallo di indirizzi IPv6
/96
.Il software in esecuzione sulla VM deve inviare pacchetti le cui origini corrispondono a uno di questi indirizzi IPv6 di quell'intervallo.
- A seconda della configurazione scelta, potrebbe essere necessario aggiornare le voci, le route e le regole del firewall DNS. Per maggiori informazioni, consulta il riepilogo delle opzioni di configurazione.
Autorizzazioni
I proprietari, gli editor e le entità IAM del progetto con il ruolo Amministratore rete possono creare o aggiornare le subnet e assegnare indirizzi IP.
Per ulteriori informazioni sui ruoli, consulta la documentazione relativa ai ruoli IAM.
Logging
Cloud Logging acquisisce tutte le richieste API effettuate da istanze VM nelle subnet in cui è abilitato l'accesso privato Google. Le voci di log identificano l'origine della richiesta API come indirizzo IP interno dell'istanza chiamante.
Puoi configurare l'utilizzo giornaliero e i report di aggregazione mensili in modo che vengano inviati a un bucket Cloud Storage. Consulta la pagina Visualizzazione dei report di utilizzo per i dettagli.
Riepilogo delle opzioni di configurazione
La seguente tabella riassume i diversi modi in cui puoi configurare l'accesso privato Google. Per informazioni più dettagliate sulla configurazione, consulta Configurazione di rete.
Opzione dominio | Configurazione DNS | Configurazione del routing | Configurazione del firewall |
---|---|---|---|
Domini predefiniti | Non è richiesta alcuna configurazione DNS speciale. | Assicurati che la tua rete VPC possa instradare il traffico agli intervalli di indirizzi IP utilizzati dalle API e dai servizi Google.
|
Assicurati che le regole firewall consentano il traffico in uscita verso gli intervalli di indirizzi IP utilizzati dalle API e dai servizi Google. La regola firewall predefinita di autorizzazione in uscita consente questo traffico, se non esiste una regola con priorità più elevata che lo blocchi. |
private.googleapis.com
|
Configura i record DNS in una zona DNS privata per inviare richieste ai seguenti indirizzi IP: Per il traffico IPv4:
Per il traffico IPv6:
|
Assicurati che la tua rete VPC abbia route ai seguenti intervalli IP: Per il traffico IPv4:
Per il traffico IPv6:
|
Assicurati che le regole firewall consentano il traffico in uscita verso i seguenti intervalli IP: Per il traffico IPv4:
Per il traffico IPv6:
|
restricted.googleapis.com
|
Configura i record DNS per inviare richieste ai seguenti indirizzi IP: Per il traffico IPv4:
Per il traffico IPv6:
|
Assicurati che la tua rete VPC abbia route ai seguenti intervalli IP: Per il traffico IPv4:
Per il traffico IPv6:
|
Assicurati che le regole firewall consentano il traffico in uscita verso i seguenti intervalli IP: Per il traffico IPv4:
Per il traffico IPv6:
|
Configurazione di rete
Questa sezione descrive i requisiti di rete di base da soddisfare per consentire a una VM nella rete VPC di accedere alle API e ai servizi Google.
Opzioni dominio
Scegli il dominio che vuoi utilizzare per accedere alle API e ai servizi Google.
Gli indirizzi IP virtuali (VIP) private.googleapis.com
e restricted.googleapis.com
supportano solo protocolli basati su HTTP su TCP (HTTP, HTTPS e HTTP/2). Tutti gli altri protocolli, inclusi MQTT e ICMP, non sono supportati.
Intervalli di indirizzi IP e di dominio | Servizi supportati | Esempio di utilizzo |
---|---|---|
Domini predefiniti. Tutti i nomi di dominio per le API e i servizi Google, tranne
Vari intervalli di indirizzi IP: puoi determinare un insieme di intervalli IP che contiene i possibili indirizzi utilizzati dai domini predefiniti facendo riferimento agli indirizzi IP per i domini predefiniti. |
Abilita l'accesso API alla maggior parte delle API e dei servizi Google, indipendentemente dal fatto che siano supportati dai Controlli di servizio VPC. Include l'accesso API a Google Maps, Google Ads e Google Cloud. Include le applicazioni web di Google Workspace, come Gmail e Documenti Google, e altre applicazioni web. |
I domini predefiniti vengono utilizzati quando non configuri i record DNS per
|
|
Abilita l'accesso API alla maggior parte delle API e dei servizi Google, indipendentemente dal fatto che siano supportati dai Controlli di servizio VPC. Include l'accesso API a Google Maps, Google Ads, Google Cloud e alla maggior parte delle altre API di Google, incluso il seguente elenco. Non supporta le applicazioni web di Google Workspace come Gmail e Documenti Google. Non supporta alcun sito web interattivo. Nomi di dominio corrispondenti:
|
Utilizza Scegli
|
|
Abilita l'accesso API alle API e ai servizi Google supportati dai Controlli di servizio VPC. Blocca l'accesso alle API e ai servizi Google che non supportano i Controlli di servizio VPC. Non supporta le API Google Workspace o le applicazioni web di Google Workspace come Gmail e Documenti Google. |
Utilizza Scegli Il dominio |
restricted.googleapis.com
. Sebbene i Controlli di servizio VPC vengano applicati per i servizi compatibili e configurati, indipendentemente dal dominio utilizzato, restricted.googleapis.com
offre un'ulteriore mitigazione del rischio per l'esfiltrazione dei dati. L'utilizzo di restricted.googleapis.com
nega l'accesso alle API e ai servizi Google non supportati dai Controlli di servizio VPC. Per ulteriori dettagli, consulta la sezione Configurazione della connettività privata nella documentazione relativa ai Controlli di servizio VPC.
Supporto IPv6 per private.googleapis.com
e restricted.googleapis.com
I seguenti intervalli di indirizzi IPv6 possono essere utilizzati per indirizzare il traffico dai client IPv6 alle API e ai servizi Google:
private.googleapis.com
:2600:2d00:0002:2000::/64
restricted.googleapis.com
:2600:2d00:0002:1000::/64
Considera la possibilità di configurare gli indirizzi IPv6 se vuoi utilizzare il dominio private.googleapis.com
o restricted.googleapis.com
e hai client che utilizzano indirizzi IPv6. I client IPv6 che hanno anche indirizzi IPv4 configurati possono raggiungere le API e i servizi Google utilizzando gli indirizzi IPv4. Non tutti i servizi accettano traffico
dai client IPv6.
Configurazione DNS
Per la connettività ai servizi e alle API Google, puoi scegliere di inviare pacchetti agli indirizzi IP associati al VIP private.googleapis.com
o restricted.googleapis.com
. Per utilizzare un VIP, devi configurare il DNS in modo che le VM nella tua rete VPC risolvano le richieste a *.googleapis.com
e a eventuali altri domini a cui devi accedere. Ad esempio, se
utilizzi Google Kubernetes Engine (GKE), devi configurare anche *.gcr.io
e *.pkg.dev
oppure, se utilizzi Cloud Run, devi configurare *.run.app
.
La sezione seguente descrive come utilizzare le zone DNS per inviare pacchetti agli indirizzi IP associati al VIP scelto.
Quando configuri i record DNS per i VIP, utilizza solo gli indirizzi IP descritti nei passaggi seguenti. Non combinare indirizzi dai VIP
private.googleapis.com
e restricted.googleapis.com
. Ciò può causare errori intermittenti perché i servizi offerti variano in base alla destinazione del pacchetto.
Crea una zona e record DNS per googleapis.com
:
- Crea una zona DNS privata per
googleapis.com
. Valuta la possibilità di creare una zona privata di Cloud DNS per questo scopo. Nella zona
googleapis.com
, crea i seguenti record DNS perprivate.googleapis.com
orestricted.googleapis.com
, a seconda del dominio che hai scelto di utilizzare.Per
private.googleapis.com
:Crea un record
A
perprivate.googleapis.com
che punta ai seguenti indirizzi IP:199.36.153.8
,199.36.153.9
,199.36.153.10
,199.36.153.11
.Per connetterti alle API utilizzando indirizzi IPv6, configura anche un record
AAAA
perprivate.googleapis.com
che punta a2600:2d00:0002:2000::
.
Per
restricted.googleapis.com
:Crea un record
A
perrestricted.googleapis.com
che punta ai seguenti indirizzi IP:199.36.153.4
,199.36.153.5
,199.36.153.6
,199.36.153.7
.Per connetterti alle API utilizzando indirizzi IPv6, crea anche un record
AAAA
perrestricted.googleapis.com
che punta a2600:2d00:0002:1000::
.
Se utilizzi Cloud DNS, aggiungi i record alla zona privata
googleapis.com
.Nella zona
googleapis.com
, crea un recordCNAME
per*.googleapis.com
che punti al dominio che hai configurato:private.googleapis.com
orestricted.googleapis.com
.
Alcuni servizi e API di Google vengono forniti utilizzando nomi di dominio aggiuntivi, tra cui *.gcr.io
, *.gstatic.com
, *.pkg.dev
, pki.goog
e *.run.app
.
Fai riferimento alla tabella degli intervalli di dominio e indirizzo IP in Opzioni dominio per determinare se è possibile accedere ai servizi del dominio aggiuntivo utilizzando private.googleapis.com
o restricted.googleapis.com
. Quindi, per ciascuno dei domini aggiuntivi:
Crea una zona DNS per
DOMAIN
(ad esempio,gcr.io
). Se utilizzi Cloud DNS, assicurati che questa zona si trovi nello stesso progetto della zona privatagoogleapis.com
.In questa zona DNS, crea i seguenti record DNS per
private.googleapis.com
orestricted.googleapis.com
, a seconda del dominio che hai scelto di utilizzare:Per
private.googleapis.com
:Crea un record
A
perDOMAIN
che punta ai seguenti indirizzi IP:199.36.153.8
,199.36.153.9
,199.36.153.10
,199.36.153.11
.Per connetterti alle API utilizzando indirizzi IPv6, crea anche un record
AAAA
perDOMAIN
che punta a2600:2d00:0002:2000::
.
Per
restricted.googleapis.com
:Crea un record
A
perDOMAIN
che punta ai seguenti indirizzi IP:199.36.153.4
,199.36.153.5
,199.36.153.6
,199.36.153.7
.Per connetterti alle API utilizzando indirizzi IPv6, crea anche un record
AAAA
perrestricted.googleapis.com
che punta a2600:2d00:0002:1000::
.
Nella zona
DOMAIN
, crea un recordCNAME
per*.DOMAIN
che punta aDOMAIN
. Ad esempio, crea un recordCNAME
per*.gcr.io
che rimanda agcr.io
.
Opzioni di routing
La tua rete VPC deve avere route appropriate i cui hop successivi sono il gateway internet predefinito. Google Cloud non supporta il routing del traffico alle API e ai servizi Google tramite altre istanze VM o hop successivi personalizzati. Nonostante siano chiamati gateway internet predefinito, i pacchetti inviati dalle VM nella tua rete VPC alle API e ai servizi Google rimangono all'interno della rete Google.
Se selezioni i domini predefiniti, le istanze VM si connettono alle API e ai servizi Google utilizzando un sottoinsieme di indirizzi IP esterni di Google. Questi indirizzi IP sono instradabili pubblicamente, ma il percorso da una VM in una rete VPC a questi indirizzi rimane all'interno della rete Google.
Google non pubblica route su internet in nessuno degli indirizzi IP utilizzati dai domini
private.googleapis.com
orestricted.googleapis.com
. Di conseguenza, questi domini sono accessibili solo alle VM in una rete VPC o a sistemi on-premise connessi a una rete VPC.
Se la tua rete VPC contiene una route predefinita il cui hop successivo è il gateway internet predefinito, puoi utilizzarla per accedere alle API e ai servizi Google, senza dover creare route personalizzate. Per i dettagli, consulta la sezione relativa al routing con una route predefinita.
Se hai sostituito una route predefinita (destinazione 0.0.0.0/0
o ::0/0
) con una route personalizzata il cui hop successivo non è il gateway internet predefinito, puoi soddisfare i requisiti di routing per le API e i servizi Google utilizzando il routing personalizzato.
Se la tua rete VPC non ha una route predefinita IPv6, non avrai connettività IPv6 alle API e ai servizi Google. Aggiungi una route predefinita IPv6 per consentire la connettività IPv6.
Routing con una route predefinita
Ogni rete VPC contiene una route predefinita IPv4 (0.0.0.0/0
) al momento della creazione. Se abiliti gli indirizzi IPv6 esterni su una subnet, a questa rete VPC viene aggiunta una route predefinita IPv6 generata dal sistema (::/0
).
Le route predefinite forniscono un percorso per gli indirizzi IP per le seguenti destinazioni:
I domini predefiniti.
private.googleapis.com
:199.36.153.8/30
e2600:2d00:0002:2000::/64
.restricted.googleapis.com
:199.36.153.4/30
e2600:2d00:0002:1000::/64
.
Per verificare la configurazione di un percorso predefinito in una determinata rete, segui queste indicazioni stradali.
Console
Nella console Google Cloud, vai alla pagina Route.
Filtra l'elenco delle route per mostrare solo quelle per la rete che devi ispezionare.
Cerca una route la cui destinazione è
0.0.0.0/0
per il traffico IPv4 o::/0
per il traffico IPv6 e il cui hop successivo sia il gateway internet predefinito.
gcloud
Usa il comando gcloud
seguente, sostituendo NETWORK_NAME
con il nome della rete da ispezionare:
gcloud compute routes list \ --filter="default-internet-gateway NETWORK_NAME"
Se devi creare una route IPv4 predefinita sostitutiva, consulta Aggiunta di una route statica.
Se devi creare una route IPv6 predefinita sostitutiva, consulta Aggiunta di una route predefinita IPv6.
Routing personalizzato
In alternativa a una route predefinita, puoi utilizzare route statiche personalizzate, ciascuna con una destinazione più specifica e ognuna utilizzando l'hop successivo del gateway internet predefinito. Il numero di route necessarie e i relativi indirizzi IP di destinazione dipendono dal dominio che scegli.
- Domini predefiniti: devi avere route per gli intervalli di indirizzi IP per le API e i servizi Google.
private.googleapis.com
:199.36.153.8/30
e2600:2d00:0002:2000::/64
restricted.googleapis.com
:199.36.153.4/30
e2600:2d00:0002:1000::/64
Inoltre, ti consigliamo di aggiungere route per 34.126.0.0/18
e 2001:4860:8040::/42
. Per ulteriori informazioni, consulta il riepilogo delle opzioni di configurazione.
Per verificare la configurazione delle route personalizzate per le API e i servizi Google in una determinata rete, segui queste istruzioni.
Console
Nella console Google Cloud, vai alla pagina Route.
Utilizza il campo di testo Filtra tabella per filtrare l'elenco delle route utilizzando i seguenti criteri, sostituendo
NETWORK_NAME
con il nome della rete VPC.- Rete:
NETWORK_NAME
- Tipo di hop successivo:
default internet gateway
- Rete:
Esamina la colonna Intervallo IP di destinazione per ogni route. Se hai scelto i domini predefiniti, verifica la presenza di diverse route statiche personalizzate, una per ogni intervallo di indirizzi IP utilizzato dal dominio predefinito. Se hai scelto
private.googleapis.com
orestricted.googleapis.com
, cerca l'intervallo IP di quel dominio.
gcloud
Usa il comando gcloud
seguente, sostituendo NETWORK_NAME
con il nome della rete da ispezionare:
gcloud compute routes list \ --filter="default-internet-gateway NETWORK_NAME"
Le route sono elencate in formato tabella, a meno che non personalizzi il comando con il flag --format
. Cerca nella colonna DEST_RANGE
la destinazione di ogni
percorso. Se hai scelto i domini predefiniti, verifica la presenza di diverse route statiche personalizzate, una per ogni intervallo di indirizzi IP utilizzato dal dominio predefinito. Se hai scelto private.googleapis.com
o
restricted.googleapis.com
, cerca l'intervallo IP di quel dominio.
Se devi creare route, consulta Aggiunta di una route statica.
Configurazione del firewall
La configurazione del firewall della rete VPC deve consentire l'accesso dalle VM agli indirizzi IP utilizzati dalle API e dai servizi Google. La regola allow egress
implicita soddisfa questo requisito.
In alcune configurazioni del firewall, è necessario creare regole di autorizzazione in uscita specifiche.
Ad esempio, supponi di aver creato una regola di negazione in uscita che blocca il traffico verso
tutte le destinazioni (0.0.0.0
per IPv4 o ::/0
per IPv6). In questo caso, devi creare una regola firewall di autorizzazione in uscita la cui priorità sia superiore alla regola di negazione del traffico in uscita per ogni intervallo di indirizzi IP utilizzato dal dominio scelto per le API e i servizi Google.
- Domini predefiniti: tutti gli intervalli di indirizzi IP per le API e i servizi Google.
private.googleapis.com
:199.36.153.8/30
e2600:2d00:0002:2000::/64
restricted.googleapis.com
:199.36.153.4/30
e2600:2d00:0002:1000::/64
Inoltre, ti consigliamo di includere 34.126.0.0/18
e
2001:4860:8040::/42
nella regola firewall di autorizzazione in uscita. Per ulteriori informazioni, consulta Riepilogo delle opzioni di configurazione.
Per creare le regole firewall, consulta Creazione di regole firewall. Puoi limitare le VM a cui si applicano le regole firewall quando definisci il target di ogni regola di autorizzazione in uscita.
Indirizzi IP per i domini predefiniti
Questa sezione descrive come creare un elenco di intervalli di indirizzi IP di dominio predefiniti utilizzati dalle API e dai servizi Google. Questi intervalli vengono allocati in modo dinamico e cambiano spesso, pertanto non è possibile definire intervalli IP specifici per singoli servizi o API. Per mantenere un elenco accurato, configura l'automazione in modo da eseguire lo script ogni giorno. Per trovare alternative alla gestione di un elenco di intervalli di indirizzi IP, valuta l'utilizzo del servizio private.googleapis.com VIP o Private Service Connect.
Segui questi passaggi per determinare gli intervalli di indirizzi IP utilizzati dai domini predefiniti, come *.googleapis.com
e *.gcr.io
.
Google pubblica l'elenco completo degli intervalli IP che rende disponibili per gli utenti su internet in goog.json.
Google pubblica inoltre un elenco di intervalli di indirizzi IP esterni globali e a livello di regione disponibili per le risorse Google Cloud dei clienti in cloud.json.
Gli indirizzi IP utilizzati dai domini predefiniti per le API e i servizi Google rientrano nell'elenco di intervalli calcolato rimuovendo tutti gli intervalli in cloud.json
da quelli in goog.json
. Questi elenchi vengono aggiornati di frequente.
Puoi utilizzare il seguente script Python per creare un elenco di intervalli di indirizzi IP che includono quelli utilizzati dai domini predefiniti per le API e i servizi Google.
Per informazioni sull'esecuzione di questo script, consulta la sezione Come eseguire.
Configurazione dell'accesso privato Google
Puoi abilitare l'accesso privato Google dopo aver soddisfatto i requisiti di rete nella tua rete VPC.
Abilita l'accesso privato Google
Per attivare l'accesso privato Google:
Console
Nella console Google Cloud, vai alla pagina Reti VPC.
Fai clic sul nome della rete che contiene la subnet per cui devi abilitare l'accesso privato Google.
Per una subnet esistente:
- Fai clic sul nome della subnet. Viene visualizzata la pagina Dettagli subnet.
- Fai clic su Modifica.
- Nella sezione Accesso privato Google, seleziona On.
- Fai clic su Salva.
Per una nuova subnet:
- Fai clic su Aggiungi subnet.
- Inserisci un Nome.
- Seleziona una Regione.
- Per Tipo di stack IP, seleziona Solo IPv4 (stack singolo) o IPv4 e IPv6 (stack doppio).
Inserisci un intervallo IPv4. Questo è l'intervallo IPv4 principale per la subnet.
Se selezioni un intervallo che non è un indirizzo RFC 1918, verifica che l'intervallo non sia in conflitto con una configurazione esistente. Per maggiori informazioni, consulta Intervalli di subnet IPv4.
Se stai creando una subnet a doppio stack, seleziona un tipo di accesso IPv6: Interno o Esterno.
Se vuoi impostare il tipo di accesso su Interno, ma l'opzione Interno non è disponibile, verifica che sia assegnato un intervallo IPv6 interno sulla rete.
Seleziona altre opzioni per la nuova subnet in base alle tue esigenze. Ad esempio, potrebbe essere necessario creare intervalli IP di subnet secondari o abilitare i log di flusso VPC.
Seleziona On nella sezione Accesso privato Google.
Fai clic su Aggiungi.
gcloud
Per una subnet esistente:
Determina il nome e la regione della subnet. Per elencare le subnet per una determinata rete, utilizza il seguente comando:
gcloud compute networks subnets list --filter=NETWORK_NAME
Esegui questo comando per abilitare l'accesso privato Google:
gcloud compute networks subnets update SUBNET_NAME \ --region=REGION \ --enable-private-ip-google-access
Verifica che l'accesso privato Google sia abilitato eseguendo questo comando:
gcloud compute networks subnets describe SUBNET_NAME \ --region=REGION \ --format="get(privateIpGoogleAccess)"
In tutti i comandi riportati sopra, sostituisci quelli indicati di seguito con valori validi:
SUBNET_NAME
: il nome della subnetREGION
: la regione della subnetNETWORK_NAME
: il nome della rete VPC che contiene la subnet
Quando crei una nuova subnet, utilizza il flag --enable-private-ip-google-access
per abilitare l'accesso privato Google:
gcloud compute networks subnets create SUBNET_NAME \ --region=REGION \ --network=NETWORK_NAME \ --range=PRIMARY_IP_RANGE \ [ --stack-type=STACK_TYPE ] \ [ --ipv6-access-type=IPv6_ACCESS_TYPE ] \ --enable-private-ip-google-access
Sostituisci quanto segue con valori validi:
SUBNET_NAME
: il nome della subnetREGION
: la regione della subnetNETWORK_NAME
: il nome della rete VPC che contiene la subnetPRIMARY_IP_RANGE
: l'intervallo di indirizzi IP principali della subnetSTACK_TYPE
è il tipo di stack per la subnet:IPV4_ONLY
oIPV4_IPV6
.IPv6_ACCESS_TYPE
è il tipo di accesso IPv6:EXTERNAL
oINTERNAL
. Specifica il tipo di accesso IPv6 solo se hai specificato anche--stack-type=IPV4_IPV6
.
Disattivare l'accesso privato Google
Segui questi passaggi per disabilitare l'accesso privato Google per una subnet esistente:
Console
Nella console Google Cloud, vai alla pagina Reti VPC.
Fai clic sul nome della rete che contiene la subnet per cui devi disabilitare l'accesso privato Google.
Fai clic sul nome di una subnet esistente. Viene visualizzata la pagina Dettagli subnet.
Fai clic su Modifica.
Nella sezione Accesso privato Google, seleziona Off.
Fai clic su Salva.
gcloud
Determina il nome e la regione della subnet. Per elencare le subnet per una determinata rete, utilizza il seguente comando:
gcloud compute networks subnets list \ --filter=NETWORK_NAME
Esegui questo comando per disabilitare l'accesso privato Google:
gcloud compute networks subnets update SUBNET_NAME \ --region=REGION \ --no-enable-private-ip-google-access
Esegui questo comando per verificare che l'accesso privato Google sia disabilitato:
gcloud compute networks subnets describe SUBNET_NAME \ --region=REGION \ --format="get(privateIpGoogleAccess)"
In tutti i comandi riportati sopra, sostituisci quelli indicati di seguito con valori validi:
SUBNET_NAME
: il nome della subnetREGION
: la regione della subnetNETWORK_NAME
: il nome della rete VPC che contiene la subnet