비공개 Google 액세스에서는 비공개 IP 주소를 사용하여 Google API와 서비스에 액세스하는 VPC 네트워크 또는 온프레미스 네트워크에서 호스팅하는 비공개 연결을 제공합니다. VPC 서비스 제어 서비스 경계를 네트워크의 호스트로 확장하면 보호된 리소스에 대한 액세스를 제어할 수 있습니다.
VPC 네트워크의 호스트에는 비공개 IP 주소만 있고 공개 IP 주소는 없어야 하고 이 호스트는 비공개 Google 액세스가 사용 설정된 서브넷에 있어야 합니다.
온프레미스 호스트가 제한된 Google API 서비스에 연결되려면 Google API에 대한 요청은 Cloud VPN 터널 또는 Cloud Interconnect 연결과 같은 VPC 네트워크를 통해 전송되어야 합니다.
private.googleapis.com 및 restricted.googleapis.com VIP에 대한 자세한 내용은 비공개 Google 액세스 구성을 참조하세요.
restricted.googleapis.com의 IP 주소 범위
restricted.googleapis.com 도메인과 연결된 IP 주소 범위는 2개입니다.
IPv4 범위: 199.36.153.4/30
IPv6 범위: 2600:2d00:0002:1000::/64
IPv6 범위를 사용하여 Google API에 액세스하는 방법에 대한 자세한 내용은 IPv6 지원을 참조하세요.
VPC 네트워크 예시
다음 예시에서는 서비스 경계에 승인된 VPC 네트워크가 있는 프로젝트와 보호된 Cloud Storage 리소스가 있는 프로젝트가 있습니다. VPC 네트워크에서 VM 인스턴스는 비공개 Google 액세스가 사용 설정된 서브넷에 있어야 하고 VPC 서비스 제어가 제한된 서비스에만 액세스해야 합니다. 승인된 VPC 네트워크의 VM 인스턴스에서 Google API와 서비스로의 쿼리는 restricted.googleapis.com으로 확인되고 보호된 리소스에 액세스할 수 있습니다.
VPC 서비스 제어에서 비공개 Google 액세스 사용(확대하려면 클릭)
DNS는 *.googleapis.com 요청이 199.36.153.4/30으로 확인된 restricted.googleapis.com에 매핑되도록 VPC 네트워크에서 구성되었습니다.
커스텀 정적 경로는 대상 199.36.153.4/30의 트래픽이 다음 홉으로 default-internet-gateway에 이동하는 VPC 네트워크에 추가되었습니다. default-internet-gateway가 다음 홉으로 사용되더라도 트래픽은 Google 네트워크를 통해 비공개로 적절한 API 또는 서비스로 라우팅됩니다.
두 프로젝트 모두 같은 서비스 경계에 있으므로 VPC 네트워크가 My-authorized-gcs-project에 액세스하도록 승인되었습니다.
온프레미스 네트워크 예시
온프레미스 라우터에서 정적 경로를 구성하거나 Cloud Router의 경계 게이트웨이 프로토콜(BGP)을 통해 제한된 Google API 주소 범위를 공개하면 정적 라우팅을 사용할 수 있습니다.
VPC 서비스 제어와 함께 온프레미스 호스트에 비공개 Google 액세스를 사용하려면 온프레미스 호스트에 비공개 연결을 설정한 후 VPC 서비스 제어를 구성합니다. 온프레미스 네트워크에 연결된 VPC 네트워크를 포함하는 프로젝트의 서비스 경계를 정의합니다.
다음 시나리오에서 sensitive-buckets 프로젝트의 스토리지 버킷은 main-project 프로젝트의 VM 인스턴스 및 연결된 온프레미스 애플리케이션에서만 액세스될 수 있습니다. 온프레미스 호스트는 트래픽이 sensitive-buckets과 동일한 서비스 경계 내에 있는 VPC 네트워크를 통해 이동하므로 sensitive-buckets 프로젝트의 스토리지 버킷에 액세스할 수 있습니다.
하이브리드 클라우드 사용 사례를 위한 비공개 Google 액세스(확대하려면 클릭)
온프레미스 DNS 구성은 *.googleapis.com 요청을 199.36.153.4/30으로 확인되는 restricted.googleapis.com에 매핑합니다.
Cloud Router는 VPN 터널을 통해 199.36.153.4/30 IP 주소 범위를 알리도록 구성되었습니다. Google API로 이동하는 트래픽은 터널을 통해 VPC 네트워크로 라우팅됩니다.
커스텀 정적 경로는 대상 199.36.153.4/30의 트래픽이 다음 홉으로 default-internet-gateway에 이동하는 VPC 네트워크에 추가되었습니다. default-internet-gateway가 다음 홉으로 사용되더라도 트래픽은 Google 네트워크를 통해 비공개로 적절한 API 또는 서비스로 라우팅됩니다.
VPC 네트워크는 sensitive-buckets 프로젝트에 액세스하도록 승인되었으므로 온프레미스 호스트에는 동일한 액세스 권한이 있습니다.
온프레미스 호스트는 서비스 경계 외부에 있는 다른 리소스에 액세스할 수 없습니다.
온프레미스 네트워크에 연결하는 프로젝트는 서비스 경계에 속해야 제한된 리소스에 도달할 수 있습니다. 관련 프로젝트가 경계 브리지로 연결되면 온프레미스 액세스도 작동합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[],[],null,["# Private Google Access with VPC Service Controls\n\nPrivate Google Access offers private connectivity to hosts in either a\nVPC network or an on-premises network that uses private IP addresses\nto access [Google APIs and services](https://developers.google.com/apis-explorer/#p/). You can extend a\nVPC Service Controls service perimeter to hosts in those networks to control access\nto protected resources.\n\nHosts in a VPC network must have a private IP address\nonly (no public IP address) and be in a subnet with Private Google Access\nenabled.\n\nFor on-premises hosts to reach restricted Google API services, requests\nto Google APIs must be sent through a VPC network, either through\na [Cloud VPN](/network-connectivity/docs/vpn) tunnel or a\n[Cloud Interconnect](/network-connectivity/docs/interconnect) connection.\n\nIn both cases, we recommend that you send all requests to Google APIs and\nservices to the\n[virtual IP (VIP) address ranges for `restricted.googleapis.com`](#ip-ranges). The\nIP address ranges are not announced to the internet. Traffic sent to the VIP\nstays within Google's network only.\n| **Note:** If you require access to other Google APIs and services that aren't supported by VPC Service Controls, you can use `private.googleapis.com`. However, private VIP can allow access to services that are not compliant with VPC Service Controls that might have data exfiltration risks. We recommend that you use `restricted.googleapis.com`, which integrates with VPC Service Controls and mitigates data exfiltration risks. Using `restricted.googleapis.com` denies access to Google APIs and services that are not supported by VPC Service Controls.\n\nFor more information about the `private.googleapis.com` and\n`restricted.googleapis.com` VIPs, see [Configure\nPrivate Google Access](/vpc/docs/configure-private-google-access).\n\nIP address ranges for `restricted.googleapis.com`\n-------------------------------------------------\n\nThere are two IP address ranges associated with the `restricted.googleapis.com`\ndomain:\n\n- IPv4 range: `199.36.153.4/30`\n- IPv6 range: `2600:2d00:0002:1000::/64`\n\nFor information about using the IPv6 range to access Google APIs,\nsee [IPv6 support](/vpc-service-controls/docs/set-up-private-connectivity#ipv6-support).\n\nVPC network example\n-------------------\n\nIn the following example, the service perimeter contains two projects: one that\nhas an authorized VPC network and another with the protected\nCloud Storage resource. In the VPC network, VM instances\nmust be in a subnet with [Private Google Access](/vpc/docs/private-google-access#pga) enabled and only require\naccess to VPC Service Controls restricted services. Queries to Google APIs and\nservices from VM instances in the authorized VPC network resolve\nto `restricted.googleapis.com` and can access the protected resource.\n[](/static/vpc-service-controls/images/pga-for-vpc-service-controls-1.svg) Private Google Access with VPC Service Controls (click to enlarge)\n\n- DNS was configured in the VPC network to map `*.googleapis.com` requests to `restricted.googleapis.com`, which resolves to `199.36.153.4/30`.\n- A custom static route was added to the VPC network that directs traffic with the destination `199.36.153.4/30` to the `default-internet-gateway` as the next hop. Even though `default-internet-gateway` is used as the next hop, traffic is routed privately through Google's network to the appropriate API or service.\n- The VPC network was authorized to access the `My-authorized-gcs-project` because both projects are in the same service perimeter.\n\nOn-premises network example\n---------------------------\n\nYou can use either static routing, by simply configuring a static route in the\non-premises router, or by announcing the restricted Google API address range\nthrough border gateway protocol (BGP) from [Cloud Router](/compute/docs/cloudrouter).\n\nTo use Private Google Access for on-premises hosts with VPC Service Controls,\n[set up private connectivity](/vpc/docs/configure-private-google-access-hybrid) for on-premises hosts and then configure\nVPC Service Controls. Define a service perimeter for the project that\ncontains the VPC network that's connected to your on-premises\nnetwork.\n\nIn the following scenario, the storage buckets in project `sensitive-buckets`\ncan only be accessed from VM instances in the project `main-project` and from\nconnected on-premises applications. On-premises hosts can access storage buckets\nin the project `sensitive-buckets` because traffic goes through a\nVPC network that's inside the same service perimeter as\n`sensitive-buckets`.\n[](/static/vpc-service-controls/images/pga-hybrid-use-case1.svg) Private Google Access for hybrid cloud use case (click to enlarge)\n\n- The on-premises DNS configuration maps `*.googleapis.com` requests to `restricted.googleapis.com`, which resolves to the `199.36.153.4/30`.\n- The Cloud Router was configured to advertise the `199.36.153.4/30` IP address range through the VPN tunnel. Traffic going to Google APIs is routed through the tunnel to the VPC network.\n- A custom static route was added to the VPC network that directs traffic with the destination `199.36.153.4/30` to the `default-internet-gateway` as the next hop. Even though `default-internet-gateway` is used as the next hop, traffic is routed privately through Google's network to the appropriate API or service.\n- The VPC network was authorized to access the `sensitive-buckets` projects, and on-premises hosts have the same access.\n- On-premises hosts can't access other resources that are outside of the service perimeter.\n\nThe project that connects to your on-premises network must be a member of the\nservice perimeter to reach restricted resources. On-premises access also works\nif the relevant projects are connected by a perimeter bridge.\n\nWhat's next\n-----------\n\n- To configure private connectivity, refer to [Setting up private connectivity](/vpc-service-controls/docs/set-up-private-connectivity)."]]
