为连接配置静态出站 IP 地址
本页面介绍了如何为连接分配静态 IP 地址。通过使用静态 IP 地址,您可以限制对后端系统的访问,从而提高连接的安全性。
如果您希望 Integration Connectors 连接到后端系统,则可以使用专用连接。但是,如果您不想执行设置专用连接的复杂步骤,则可以考虑通过公共 IP 地址公开您的后端系统,然后通过防火墙规则限制其访问。在防火墙规则中,您可以仅允许来自 Integration Connectors 的 IP 地址连接到后端系统。如需允许连接到公共端点,您必须执行以下大致步骤:
- 创建防火墙,并通过防火墙路由出站流量。
- 为连接分配一个静态 IP 地址。
- 将防火墙中分配的静态 IP 地址列入许可名单。
创建和配置防火墙的步骤不在本页面的讨论范围内。本页面仅介绍如何为连接分配静态 IP 地址。
默认情况下,Integration Connectors 会自动分配 IP 地址。但是,您可以将 Integration Connectors 配置为生成静态 IP 地址而不是自动 IP 地址。Integration Connectors 在区域级别分配静态 IP 地址。例如,us-east1
区域的静态 IP 地址将与 us-west2
区域中的静态 IP 地址不同。
如需为连接分配静态 IP 地址,请执行以下步骤:
- 获取要为其分配静态 IP 地址的连接区域。您可以在“连接”页面的
Location
列中查看连接区域。 -
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
- 配置 Integration Connectors,为您在第 1 步中获取的区域分配静态 IP 地址。在 Cloud Shell 中运行以下命令。
curl -X PATCH -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Content-Type: application/json" \ -d '{"networkConfig": {"egressMode": "static_ip"}}' \ https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/regionalSettings
将 LOCATION 设置为您在第 1 步中获得的区域。
运行此命令,将返回类似于以下内容的响应:
{ "name": "projects/test-01/locations/us-central1/operations/operation-1696840994443-6074494b6d138-8215226d-516faaf8", "metadata": { "@type": "type.googleapis.com/google.cloud.connectors.v1.OperationMetadata", "createTime": "2023-10-09T08:43:14.467058513Z", "target": "projects/test-01/locations/us-central1/regionalSettings", "verb": "update", "requestedCancellation": false, "apiVersion": "v1" }, "done": false }
此命令会返回一个操作 ID,并启动一项长时间运行的操作 (LRO),该操作可能需要一些时间才能完成。等待 LRO 完成。您可以使用以下命令跟踪操作的进度:
curl -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Content-Type: application/json" \ https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
如果静态 IP 地址分配成功,您将收到类似于以下内容的响应:
... ... "response": { "@type": "type.googleapis.com/google.cloud.connectors.v1.RegionalSettings", "name": "projects/test-01/locations/us-central1/regionalSettings", "networkConfig": { "egressMode": "STATIC_IP", "egressIps": [ "35.193.227.203", "34.133.63.9", "35.223.253.58", "34.170.27.253" ] } }
在此示例响应中,为
us-central1
区域分配了四个静态 IP 地址,该区域的egressMode
设置为STATIC_IP
。 - 将防火墙规则中的静态 IP 地址(在第 4 步中获得)列入许可名单。
获取区域的静态 IP 地址
如果您想随时获取分配给某个区域(位置)的静态 IP 地址,请运行以下命令:
curl -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Content-Type: application/json" \ https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/regionalSettings
运行此命令会返回类似于以下内容的响应:
"response": { "@type": "type.googleapis.com/google.cloud.connectors.v1.RegionalSettings", "name": "projects/test-01/locations/us-central1/regionalSettings", "networkConfig": { "egressMode": "STATIC_IP", "egressIps": [ "35.193.227.203", "34.133.63.9", "35.223.253.58", "34.170.27.253" ] } }
向区域分配自动 IP 地址
如果要移除某个区域的静态 IP 地址配置并自动分配 IP 地址,您必须在终端运行以下命令:
curl -X PATCH -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Content-Type: application/json" \ -d '{"networkConfig": {"egressMode": "auto_ip"}}' \ https://connectors.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/regionalSettings
与上一个用于配置静态 IP 地址的命令类似,此命令也会返回操作 ID 并启动长时间运行的操作 (LRO),此操作可能需要一些时间才能完成。等待 LRO 完成。
注意事项
在为区域分配静态 IP 地址时,请考虑以下几点:
- 对于项目中的不同区域,预留的静态 IP 地址集是不同的。
- 将区域的出站流量模式从
STATIC_IP
更改为AUTO_IP
时,原始一组静态 IP 地址将不会保留,因此,当您再次将出站流量模式从AUTO_IP
更改为STATIC_IP
时,系统会分配一组新的静态 IP 地址。 - 当您将出站流量模式从
AUTO_IP
更改为STATIC_IP
时(反之亦然),将会发生大约几秒的停机时间。