专用服务访问通道是 Google Cloud 虚拟私有云 (VPC) 网络与 Google 管理或第三方服务之间的安全专用连接。它允许 VPC 网络中的虚拟机实例使用内部 IP 地址与这些服务通信,而不会将流量暴露给公共互联网。
准备工作
如需建立专用连接,请先满足以下前提条件:
- 您必须具有可用于连接到服务提供方网络的现有 VPC 网络。虚拟机实例必须使用此 VPC 网络通过专用连接接入服务。
- 按照 Live Stream API 的准备工作页面中的步骤,创建一个正确配置的 Google Cloud 项目(或选择现有项目)。
为 Live Stream API 启用专用服务访问通道
Virtual Private Cloud 文档提供了配置专用服务访问通道的一般过程。本页根据 Live Stream API 调整该流程。
启用 Service Networking API。
执行以下命令:
Linux、macOS 或 Cloud Shell
gcloud services enable servicenetworking.googleapis.com
Windows (PowerShell)
gcloud services enable servicenetworking.googleapis.com
Windows (cmd.exe)
gcloud services enable servicenetworking.googleapis.com
如需获取设置专用连接所需的权限,请让管理员向您授予 VPC 网络所在 Google Cloud 项目的 Compute Engine Network Admin (
roles/compute.networkAdmin
) IAM 角色。如需详细了解如何授予角色,请参阅管理访问权限。在 VPC 网络中,使用
addresses create
命令分配已命名的 IP 范围,如以下示例所示。如需指定地址范围和前缀长度(也是子网掩码),请使用
addresses
和prefix-length
标志。例如,如需分配 CIDR 块 192.168.0.0/13,请指定192.168.0.0
作为地址,并指定13
作为前缀长度。在使用下面的命令数据之前,请先进行以下替换:
RESERVED_RANGE_NAME
:分配的范围的名称,例如my-allocated-range
DESCRIPTION
:范围的说明,例如allocated for my-service
VPC_NETWORK
:您的 VPC 网络的名称,例如my-vpc-network
执行以下命令:
Linux、macOS 或 Cloud Shell
gcloud compute addresses create RESERVED_RANGE_NAME \ --global \ --purpose=VPC_PEERING \ --addresses=192.168.0.0 \ --prefix-length=13 \ --description="DESCRIPTION" \ --network=VPC_NETWORK
Windows (PowerShell)
gcloud compute addresses create RESERVED_RANGE_NAME ` --global ` --purpose=VPC_PEERING ` --addresses=192.168.0.0 ` --prefix-length=13 ` --description="DESCRIPTION" ` --network=VPC_NETWORK
Windows (cmd.exe)
gcloud compute addresses create RESERVED_RANGE_NAME ^ --global ^ --purpose=VPC_PEERING ^ --addresses=192.168.0.0 ^ --prefix-length=13 ^ --description="DESCRIPTION" ^ --network=VPC_NETWORK
您应该会收到类似如下所示的响应:
Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses/RESERVED_RANGE_NAME].
如需仅指定前缀长度,请使用
prefix-length
标志。如果您省略地址范围,则 Google Cloud 会自动选择您的 VPC 网络中未使用的地址范围。以下示例选择的是前缀长度为 13 位的未使用的 IP 地址范围。在使用下面的命令数据之前,请先进行以下替换:
RESERVED_RANGE_NAME
:分配的范围的名称,例如my-allocated-range
DESCRIPTION
:范围的说明,例如allocated for my-service
VPC_NETWORK
:您的 VPC 网络的名称,例如my-vpc-network
执行以下命令:
Linux、macOS 或 Cloud Shell
gcloud compute addresses create RESERVED_RANGE_NAME \ --global \ --purpose=VPC_PEERING \ --prefix-length=13 \ --description="DESCRIPTION" \ --network=VPC_NETWORK
Windows (PowerShell)
gcloud compute addresses create RESERVED_RANGE_NAME ` --global ` --purpose=VPC_PEERING ` --prefix-length=13 ` --description="DESCRIPTION" ` --network=VPC_NETWORK
Windows (cmd.exe)
gcloud compute addresses create RESERVED_RANGE_NAME ^ --global ^ --purpose=VPC_PEERING ^ --prefix-length=13 ^ --description="DESCRIPTION" ^ --network=VPC_NETWORK
您应该会收到类似如下所示的响应:
Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses/RESERVED_RANGE_NAME].
上面的示例创建了与 Google 的专用连接,以便提供的 VPC 网络(例如
my-vpc-network
)中的虚拟机实例可以使用专用服务访问通道来访问支持专用连接的 Google 服务。Live Stream API 要求为每个区域分配一个 CIDR/13 地址块。如果您打算在多个区域中使用 Live Stream API,请分配一个更大的块。下表介绍了建议根据区域数量分配的块大小:
区域数量 prefix-length
标志的值1 13 2 12 3-4 11 5-8 10 7-16 9 在服务提供方网络与您的 VPC 网络之间创建专用连接:
创建专用连接。
在使用下面的命令数据之前,请先进行以下替换:
RESERVED_RANGE_NAME
:您在上一步中创建的分配范围的名称VPC_NETWORK
:您的 VPC 网络的名称PROJECT_ID
:您的 VPC 网络所在项目的 Google Cloud 项目 ID
执行以下命令:
Linux、macOS 或 Cloud Shell
gcloud services vpc-peerings connect \ --service=servicenetworking.googleapis.com \ --ranges=RESERVED_RANGE_NAME \ --network=VPC_NETWORK \ --project=PROJECT_ID
Windows (PowerShell)
gcloud services vpc-peerings connect ` --service=servicenetworking.googleapis.com ` --ranges=RESERVED_RANGE_NAME ` --network=VPC_NETWORK ` --project=PROJECT_ID
Windows (cmd.exe)
gcloud services vpc-peerings connect ^ --service=servicenetworking.googleapis.com ^ --ranges=RESERVED_RANGE_NAME ^ --network=VPC_NETWORK ^ --project=PROJECT_ID
您应该会收到类似如下所示的响应:
Operation "operations/OPERATION_ID" finished successfully.
此命令会创建一个长时间运行的操作 (LRO)。
如果命令成功,请跳到下一步。否则,请检查操作状态。
在使用下面的命令数据之前,请先进行以下替换:
OPERATION_ID
:上一步中返回的操作的 ID
执行以下命令:
Linux、macOS 或 Cloud Shell
gcloud services vpc-peerings operations describe \ --name=operations/OPERATION_ID
Windows (PowerShell)
gcloud services vpc-peerings operations describe ` --name=operations/OPERATION_ID
Windows (cmd.exe)
gcloud services vpc-peerings operations describe ^ --name=operations/OPERATION_ID
您应该会收到类似如下所示的响应:
Operation "operations/OPERATION_ID" finished successfully.
(可选)如果您使用的是 VPC Service Controls,则需要为刚刚创建的专用连接启用 VPC-SC。
在使用下面的命令数据之前,请先进行以下替换:
VPC_NETWORK
:您的 VPC 网络的名称
执行以下命令:
Linux、macOS 或 Cloud Shell
gcloud services vpc-peerings enable-vpc-service-controls \ --service=servicenetworking.googleapis.com \ --network=VPC_NETWORK
Windows (PowerShell)
gcloud services vpc-peerings enable-vpc-service-controls ` --service=servicenetworking.googleapis.com ` --network=VPC_NETWORK
Windows (cmd.exe)
gcloud services vpc-peerings enable-vpc-service-controls ^ --service=servicenetworking.googleapis.com ^ --network=VPC_NETWORK
您应该会收到类似如下所示的响应:
Operation "operations/OPERATION_ID" finished successfully.
(可选)如果您有已连接到 VPC 的本地网络,则可以配置对等互连连接,以便本地主机能够与服务提供方的网络进行通信。如需了解详情,请参阅本地主机问题排查。