비공개 Google 액세스에서는 비공개 IP 주소를 사용하여 Google API와 서비스에 액세스하는 VPC 네트워크 또는 온프레미스 네트워크에서 호스팅하는 비공개 연결을 제공합니다. VPC 서비스 제어 서비스 경계를 네트워크의 호스트로 확장하면 보호된 리소스에 대한 액세스를 제어할 수 있습니다.
VPC 네트워크의 호스트에는 비공개 IP 주소만 있고 공개 IP 주소는 없어야 하고 이 호스트는 비공개 Google 액세스가 사용 설정된 서브넷에 있어야 합니다.
온프레미스 호스트가 제한된 Google API 서비스에 연결되려면 Google API에 대한 요청은 Cloud VPN 터널 또는 Cloud Interconnect 연결과 같은 VPC 네트워크를 통해 전송되어야 합니다.
두 경우 모두 Google API 및 서비스에 대한 모든 요청을 restricted.googleapis.com의 가상 IP(VIP) 주소 범위로 전송하는 것이 좋습니다. IP 주소 범위는 인터넷에 공개되지 않습니다. VIP로 전송된 트래픽은 Google 네트워크에만 그대로 머뭅니다.
private.googleapis.com 및 restricted.googleapis.com VIP에 대한 자세한 내용은 비공개 Google 액세스 구성을 참조하세요.
restricted.googleapis.com의 IP 주소 범위
restricted.googleapis.com 도메인과 연결된 IP 주소 범위는 2개입니다.
- IPv4 범위:
199.36.153.4/30 - IPv6 범위:
2600:2d00:0002:1000::/64
IPv6 범위를 사용하여 Google API에 액세스하는 방법에 대한 자세한 내용은 IPv6 지원을 참조하세요.
VPC 네트워크 예시
다음 예시에서는 서비스 경계에 승인된 VPC 네트워크가 있는 프로젝트와 보호된 Cloud Storage 리소스가 있는 프로젝트가 있습니다. VPC 네트워크에서 VM 인스턴스는 비공개 Google 액세스가 사용 설정된 서브넷에 있어야 하고 VPC 서비스 제어가 제한된 서비스에만 액세스해야 합니다. 승인된 VPC 네트워크의 VM 인스턴스에서 Google API와 서비스로의 쿼리는 restricted.googleapis.com으로 확인되고 보호된 리소스에 액세스할 수 있습니다.
- DNS는
*.googleapis.com요청이199.36.153.4/30으로 확인된restricted.googleapis.com에 매핑되도록 VPC 네트워크에서 구성되었습니다. - 커스텀 정적 경로는 대상
199.36.153.4/30의 트래픽이 다음 홉으로default-internet-gateway에 이동하는 VPC 네트워크에 추가되었습니다.default-internet-gateway가 다음 홉으로 사용되더라도 트래픽은 Google 네트워크를 통해 비공개로 적절한 API 또는 서비스로 라우팅됩니다. - 두 프로젝트 모두 같은 서비스 경계에 있으므로 VPC 네트워크가
My-authorized-gcs-project에 액세스하도록 승인되었습니다.
온프레미스 네트워크 예시
온프레미스 라우터에 정적 경로를 구성하거나 Cloud Router의 Border Gateway Protocol(BGP)을 통해 제한된 Google API 주소 범위를 공개하면 정적 라우팅을 사용할 수 있습니다.
VPC 서비스 제어와 함께 온프레미스 호스트에 비공개 Google 액세스를 사용하려면 온프레미스 호스트에 비공개 연결을 설정한 후 VPC 서비스 제어를 구성합니다. 온프레미스 네트워크에 연결된 VPC 네트워크를 포함하는 프로젝트의 서비스 경계를 정의합니다.
다음 시나리오에서 sensitive-buckets 프로젝트의 스토리지 버킷은 main-project 프로젝트의 VM 인스턴스 및 연결된 온프레미스 애플리케이션에서만 액세스될 수 있습니다. 온프레미스 호스트는 트래픽이 sensitive-buckets과 동일한 서비스 경계 내에 있는 VPC 네트워크를 통해 이동하므로 sensitive-buckets 프로젝트의 스토리지 버킷에 액세스할 수 있습니다.
- 온프레미스 DNS 구성은
*.googleapis.com요청을199.36.153.4/30으로 확인되는restricted.googleapis.com에 매핑합니다. - Cloud Router는 VPN 터널을 통해
199.36.153.4/30IP 주소 범위를 알리도록 구성되었습니다. Google API로 이동하는 트래픽은 터널을 통해 VPC 네트워크로 라우팅됩니다. - 커스텀 정적 경로는 대상
199.36.153.4/30의 트래픽이 다음 홉으로default-internet-gateway에 이동하는 VPC 네트워크에 추가되었습니다.default-internet-gateway가 다음 홉으로 사용되더라도 트래픽은 Google 네트워크를 통해 비공개로 적절한 API 또는 서비스로 라우팅됩니다. - VPC 네트워크는
sensitive-buckets프로젝트에 액세스하도록 승인되었으므로 온프레미스 호스트에는 동일한 액세스 권한이 있습니다. - 온프레미스 호스트는 서비스 경계 외부에 있는 다른 리소스에 액세스할 수 없습니다.
온프레미스 네트워크에 연결하는 프로젝트는 서비스 경계에 속해야 제한된 리소스에 도달할 수 있습니다. 관련 프로젝트가 경계 브리지로 연결되면 온프레미스 액세스도 작동합니다.
다음 단계
- 비공개 연결을 구성하려면 비공개 연결 설정을 참조하세요.