Per impostazione predefinita, un servizio Cloud Run si connette a endpoint esterni su internet utilizzando un pool di indirizzi IP dinamici. Questa impostazione predefinita non è adatta se il servizio Cloud Run si connette a un endpoint esterno che richiede connessioni provenienti da un indirizzo IP statico, ad esempio un database o un'API utilizzando un firewall basato su indirizzi IP. Per queste connessioni, devi configurare il servizio Cloud Run per instradare le richieste attraverso un indirizzo IP statico.
Questa guida descrive come abilitare un servizio Cloud Run per inviare richieste utilizzando un indirizzo IP statico.
Panoramica delle attività
Per consentire a un servizio Cloud Run di instradare le richieste attraverso un indirizzo IP statico, configura il traffico in uscita VPC del servizio Cloud Run in modo da instradare tutto il traffico in uscita attraverso una rete VPC con un gateway Cloud NAT configurato con l'indirizzo IP statico.
Il routing del traffico tramite Cloud NAT non provoca un hop aggiuntivo nello stack di rete, poiché il gateway Cloud NAT e il router Cloud forniscono solo un piano di controllo e i pacchetti non vengono passati attraverso il gateway NAT o il router Cloud.
Tieni presente che tutti i servizi Cloud Run connessi alla stessa rete VPC condividono lo stesso indirizzo IP in uscita. Per utilizzare indirizzi IP in uscita diversi per servizi Cloud Run separati, segui questa guida per creare subnet separate e, facoltativamente, connettori di accesso VPC serverless.
Crea una subnet
Devi creare una subnet /28
dedicata per ospitare un connettore. Se utilizzi il traffico VPC diretto in uscita, utilizza una subnet esistente o creane un'altra.
Se utilizzi un connettore, la subnet dedicata impedisce ad altre risorse di computing nel VPC, ad esempio VM di Compute Engine o cluster Google Kubernetes Engine, di utilizzare per errore l'IP statico, se hai configurato l'accesso VPC serverless per accedere a internet.
gcloud
Trova il nome della tua rete VPC:
gcloud compute networks list
Dovresti vedere un output simile al seguente:
NAME SUBNET_MODE BGP_ROUTING_MODE default AUTO REGIONAL
Identifica la rete che collegherai al connettore di accesso VPC serverless.
Crea una subnet nel VPC per il connettore di accesso VPC serverless.
gcloud compute networks subnets create SUBNET_NAME \ --range=RANGE --network=NETWORK_NAME --region=REGION
Sostituisci i seguenti valori in questo comando:
SUBNET_NAME
con il nome che vuoi assegnare alla subnet.RANGE
con l'intervallo IP in formato CIDR che vuoi assegnare a questa subnet (ad es.10.124.0.0/28
)NETWORK_NAME
con il nome della rete VPC.REGION
con la regione in cui vuoi creare un connettore di accesso VPC serverless.
Terraform
Crea la rete VPC da utilizzare.
Sostituisci
cr-static-ip-network
con il nome della subnet.Crea una subnet nel VPC per il connettore di accesso VPC serverless.
Sostituisci
cr-static-ip
con il nome della tua subnet10.124.0.0/28
con il tuo intervallo CIDRus-central1
con la tua regione Google Cloud
Crea un connettore di accesso VPC serverless
Non è necessario creare un connettore se utilizzi l'integrazione del traffico VPC diretto in uscita. Se non utilizzi il traffico VPC diretto in uscita, è necessario un connettore di accesso VPC serverless per instradare il traffico in uscita del servizio Cloud Run a una rete VPC.
Per creare un connettore di accesso VPC serverless:
gcloud
Crea un connettore di accesso VPC serverless con una subnet creata in precedenza.
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \ --region=REGION \ --subnet-project=PROJECT_ID \ --subnet=SUBNET_NAME
Sostituisci i seguenti valori in questo comando:
CONNECTOR
con il nome che vuoi assegnare a questa risorsa.PROJECT_ID
con un nome che ospita la subnet.SUBNET_NAME
con il nome della subnet che hai creato.REGION
con la regione in cui vuoi creare un gateway NAT.
Terraform
Creare un connettore di accesso VPC serverless.
Sostituisci
cr-conn
con il nome del tuo connettore di accesso VPC serverless
Configurare Network Address Translation (NAT)
Se utilizzi un connettore VPC diretto in uscita o un connettore di accesso VPC serverless, le richieste dal servizio Cloud Run arrivano alla rete VPC. Se vuoi instradare le richieste in uscita a endpoint esterni tramite un IP statico, configura un gateway Cloud NAT.
gcloud
Crea un nuovo router Cloud per programmare un gateway NAT:
gcloud compute routers create ROUTER_NAME \ --network=NETWORK_NAME \ --region=REGION
Sostituisci i seguenti valori in questo comando:
ROUTER_NAME
con il nome della risorsa router Cloud che vuoi creare.NETWORK_NAME
con il nome della rete VPC che hai trovato in precedenza.REGION
con la regione in cui vuoi creare un gateway NAT.
Prenotare un indirizzo IP statico. Una risorsa di indirizzo IP riservato conserva l'indirizzo IP sottostante quando la risorsa a cui è associata viene eliminata e ricreata:
gcloud compute addresses create ORIGIN_IP_NAME --region=REGION
Sostituisci i seguenti valori in questo comando:
ORIGIN_IP_NAME
con il nome che vuoi assegnare alla risorsa indirizzo IP.REGION
con la regione in cui verrà eseguito il router Cloud NAT. Possibilmente nella stessa regione del servizio Cloud Run, per ridurre al minimo la latenza e i costi di rete.
Crea una configurazione del gateway Cloud NAT su questo router per instradare il traffico proveniente dalla rete VPC utilizzando l'indirizzo IP statico che hai creato:
gcloud compute routers nats create NAT_NAME \ --router=ROUTER_NAME \ --region=REGION \ --nat-custom-subnet-ip-ranges=SUBNET_NAME \ --nat-external-ip-pool=ORIGIN_IP_NAME
Sostituisci i seguenti valori in questo comando:
NAT_NAME
con il nome della risorsa gateway Cloud NAT che vuoi creare.ROUTER_NAME
con il nome del tuo router Cloud.REGION
con la regione in cui vuoi creare un gateway NAT.ORIGIN_IP_NAME
con il nome della risorsa indirizzo IP prenotata che hai creato nel passaggio precedente.
Terraform
Crea un nuovo router Cloud per programmare un gateway NAT:
Sostituisci
cr-static-ip-router
con il nome della tua subnet.Prenotare un indirizzo IP statico. Una risorsa di indirizzo IP riservato conserva l'indirizzo IP sottostante quando la risorsa a cui è associata viene eliminata e ricreata:
Sostituisci
cr-static-ip-addr
con il nome della tua subnet.Crea una configurazione del gateway Cloud NAT su questo router per instradare il traffico proveniente dalla rete VPC utilizzando l'indirizzo IP statico che hai creato:
Sostituisci
cr-static-nat
con il nome del gateway Cloud NAT.
Instrada il traffico di Cloud Run attraverso la rete VPC
Dopo aver configurato NAT, esegui il deployment o aggiorna il servizio Cloud Run con il connettore Traffico VPC diretto o Accesso VPC serverless e imposta il traffico VPC in uscita per instradare tutto il traffico attraverso la rete VPC:
gcloud
Traffico VPC diretto in uscita
Per eseguire il deployment o aggiornare il servizio Cloud Run per utilizzare il VPC diretto in uscita e instradare tutto il traffico in uscita al suo interno, esegui questo comando:
gcloud run deploy SERVICE_NAME \ --image=IMAGE_URL \ --network=NETWORK \ --subnet=SUBNET \ --region=REGION \ --vpc-egress=all-traffic
Sostituisci i seguenti valori in questo comando:
- SERVICE_NAME con il nome del servizio Cloud Run di cui vuoi eseguire il deployment.
- IMAGE_URL con un riferimento all'immagine container,
ad esempio
us-docker.pkg.dev/cloudrun/container/hello:latest
. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già creato. L'URL ha la formaLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. - NETWORK con il nome della tua rete VPC.
- SUBNET con il nome della tua subnet.
- REGION con una regione per il tuo servizio.
Connettore di accesso VPC serverless
Per eseguire il deployment o aggiornare il servizio Cloud Run in modo che utilizzi un connettore di accesso VPC serverless e instrada tutto il traffico in uscita al suo interno, esegui questo comando:
gcloud run deploy SERVICE_NAME \ --image=IMAGE_URL \ --vpc-connector=CONNECTOR_NAME \ --region=REGION \ --vpc-egress=all-traffic
Sostituisci i seguenti valori in questo comando:
- SERVICE_NAME con il nome del servizio Cloud Run di cui vuoi eseguire il deployment.
- IMAGE_URL con un riferimento all'immagine container,
ad esempio
us-docker.pkg.dev/cloudrun/container/hello:latest
. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già creato. L'URL ha la formaLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
. - CONNECTOR_NAME con il nome del tuo connettore di accesso VPC serverless.
- REGION con una regione per il tuo servizio.
Terraform
Questo servizio Cloud Run utilizza un connettore VPC e instrada tutto il traffico in uscita attraverso il connettore:
Sostituisci us-docker.pkg.dev/cloudrun/container/hello
con un riferimento all'immagine container.
Verifica l'IP esterno statico
Dopo aver completato i passaggi precedenti, hai configurato Cloud NAT sulla rete VPC con un indirizzo IP statico predefinito e hai instradato tutto il traffico in uscita del servizio Cloud Run alla rete VPC. Le richieste dal tuo servizio Cloud Run viaggiano attraverso la rete VPC e raggiungono gli endpoint esterni utilizzando l'indirizzo IP statico.
Per verificare questo comportamento e confermare l'indirizzo IP di origine utilizzato dal tuo servizio, puoi effettuare una richiesta a un'API o a un sito web come curlmyip.org, che mostra l'indirizzo IP di origine.
Eliminazione dell'IP esterno statico
Se non hai più bisogno di un indirizzo IP esterno statico, consulta l'articolo Rilasciare un indirizzo IP esterno statico.