Como configurar a conectividade particular com as APIs e os serviços do Google

Neste documento, descrevemos como configurar a conectividade privada de hosts em uma rede VPC ou local para APIs e serviços do Google compatíveis com o VPC Service Controls.

Antes de ler este documento, recomendamos que você familiarize-se com os conceitos de Acesso privado do Google, especificações e configuração de rede. Veja exemplos de diagramas de topologia sobre como usar o Acesso privado do Google com o VPC Service Controls.

Antes de começar

• Ative as APIs que você quer acessar na página de APIs e serviços do console do Google Cloud.
• Verifique se você tem o papel necessário para criar ou atualizar sub-redes. Proprietários de projetos, editores e membros do IAM com o papel Administrador de rede podem criar ou atualizar sub-redes e atribuir endereços IP. Para mais informações sobre papéis, leia a documentação sobre os papéis do IAM.
• Verifique se uma rede VPC está configurada para acesso privado do Google e acesso privado do Google para hosts locais. Redes VPC de modo automático e personalizado são compatíveis. Redes legadas não.
• Verifique se as instâncias de VM em uma rede VPC têm um endereço IP particular (sem endereço IP público) e se estão em uma sub-rede com Acesso privado do Google ativado.
• Para hosts locais, verifique se você tem um túnel do Cloud VPN existente ou uma conexão do Cloud Interconnect com sua rede VPC. Para aceitar hosts locais que tenham endereços IPv6, consulte suporte a IPv6.

Visão geral do procedimento

Para configurar a conectividade privada, conclua as seguintes tarefas:

• Configure rotas para os intervalos de endereços IP restricted.googleapis.com. Para saber mais informações, consulte Configurar rotas.
• Configure regras de firewall para permitir que o tráfego adequado alcance os intervalos de endereços IP restricted.googleapis.com. Para mais informações, consulte Configurar regras de firewall.
• Configure o DNS para que o tráfego para as APIs do Google seja resolvido para os intervalos de endereços IP restricted.googleapis.com. Para mais informações, consulte Configurar DNS.

Suporte a IPv6 para restricted.googleapis.com

É possível acessar as APIs do Google usando o intervalo de endereços IPv6 para o domínio restricted.googleapis.com: 2600:2d00:0002:1000::/64.

Considere configurar os endereços IPv6 se você quiser usar o domínio restricted.googleapis.com e tiver clientes que usam endereços IPv6. Os clientes IPv6 que também têm endereços IPv4 configurados podem acessar as APIs e serviços do Google usando os endereços IPv4. Nem todos os serviços aceitam o tráfego de clientes IPv6.

Para permitir que clientes IPv6 no ambiente local acessem as APIs do Google usando restricted.googleapis.com, configure a conexão com a rede VPC compatível com IPv6. Para mais informações, consulte as seguintes páginas:

• Suporte IPv6 à VPN de alta disponibilidade
• Os protocolos IP oferecem suporte do Cloud Router

Os clientes locais podem enviar solicitações de qualquer endereço IPv6 GUA ou ULA, exceto para o intervalo ULA fda3:e722:ac3:cc00::/64, que é reservado para uso interno.

Para mais informações sobre o VIP restricted.googleapis.com, consulte Configurar o Acesso privado do Google.

Conectividade direta com APIs e serviços

Alguns serviços e APIs do Google oferecem conectividade direta de instâncias de máquina virtual (VM) do Compute Engine, ignorando os Google Front Ends (GFEs). Para permitir esse tráfego, verifique se as rotas e regras de firewall permitem que o tráfego de saída chegue a 34.126.0.0/18 e 2001:4860:8040::/42. Não é necessário criar registros DNS para esses endereços. Vários serviços do Google Cloud oferecem suporte à conectividade direta para melhorar o desempenho das APIs gRPC do Google. Para ativar esse desempenho aprimorado, forneça acesso aos intervalos de endereços IP especificados.

A conectividade direta é aceita apenas de recursos do Google Cloud. Não é possível usar a conectividade direta de hosts locais.

Os serviços que oferecem conectividade direta têm suporte ao VPC Service Controls.

Configurar rotas para restricted.googleapis.com

Embora o VPC Service Controls seja aplicado a serviços compatíveis e configurados independentemente do domínio usado, o restricted.googleapis.com fornece mitigação de risco adicional para exfiltração de dados. restricted.googleapis.com nega acesso a APIs e serviços do Google que não são compatíveis com o VPC Service Controls.

Para Acesso privado do Google e Acesso privado do Google para hosts locais, sua rede VPC precisa incluir uma rota para um destino restricted.googleapis.com que tenha o gateway de Internet padrão como próximo salto. Embora o próximo salto seja um gateway padrão da Internet, o tráfego enviado para restricted.googleapis.com permanece dentro da rede do Google.

Se sua rede VPC não tiver uma rota padrão em que próximo salto seja o gateway de Internet padrão, crie uma rota estática personalizada que tenha como destino restricted.googleapis.com e cujo próximo salto é o gateway padrão da Internet. Para evitar o acesso à Internet, remova outras rotas em que o próximo salto é o gateway de Internet padrão.

Para obter mais informações sobre como trabalhar com rotas VPC, consulte Como usar rotas na documentação da VPC.

Configurar rotas estáticas personalizadas em uma rede VPC

Adicione rotas estáticas personalizadas para ativar o acesso aos serviços gerenciados pelo Google compatíveis com o VPC Service Controls.

gcloud compute routes create ROUTE_NAME \
  --network=NETWORK_NAME \
  --destination-range=DESTINATION_RANGE \
  --next-hop-gateway=default-internet-gateway

Substitua:

• ROUTE_NAME: um nome para a rota personalizada
• NETWORK_NAME: o nome da rede VPC.
• DESTINATION_RANGE: o intervalo de destino da rota
  • Para rotear o tráfego para o VIP restricted.googleapis.com, use os seguintes intervalos:
    • Para tráfego IPv4: 199.36.153.4/30
    • Para tráfego IPv6: 2600:2d00:0002:1000::/64
  • Para rotear o tráfego para APIs que permitem conexão direta, use os seguintes intervalos:
    • Para tráfego IPv4: 34.126.0.0/18
    • Para tráfego IPv6: 2001:4860:8040::/42

Divulgação da rota restrita aos hosts em uma rede local

Se você usa o Acesso privado do Google para hosts locais, configure as rotas para que o tráfego da API do Google seja encaminhado por meio da sua conexão do Cloud VPN ou do Cloud Interconnect. Para anunciar os intervalos de endereços VIP restritos na sua rede local, use o modo de divulgação personalizada do Cloud Router. Os intervalos de endereços VIP restritos só podem ser acessados por hosts locais que podem acessar sua rede VPC por meio de endereços IP particulares.

Observação: se você tiver vários túneis ou interconexões, não será possível criar rotas assimétricas entre regiões de volta para sua rede local. O Google Cloud não é compatível com elas.

É possível adicionar essa rota divulgada personalizada a um Cloud Router (para todas as sessões do BGP no roteador) ou selecionar uma sessão do BGP (para um único túnel do Cloud VPN ou anexo da VLAN).

As rotas IPv6 são anunciadas apenas nas sessões do BGP em que IPv6 está ativado.

Para criar uma rota anunciada personalizada para o intervalo restrito de todas as sessões do BGP em um Cloud Router existente, siga estas etapas:

Console

1. No console do Google Cloud, acesse a página do Cloud Routers.

   Acesse o Cloud Routers

2. Selecione o roteador do Cloud a ser atualizado.

3. Na página de detalhes do Cloud Router, selecione Editar.

4. Expanda a seção Rotas divulgadas.

5. Em Rotas, selecione Criar rotas personalizadas.

6. Para continuar anunciando as sub-redes disponíveis para o Cloud Router, selecione Anunciar todas as sub-redes visíveis para o Cloud Router. A ativação dessa opção imita o comportamento padrão do Cloud Router.

7. Para adicionar uma rota anunciada, selecione Adicionar rota personalizada.

8. Configure a divulgação de rota.

   • Origem: selecione Intervalo de IP personalizado.
   • Intervalo de endereços IP:
     • Para conectividade IPv4: 199.36.153.4/30
     • Para conectividade IPv6: 2600:2d00:0002:1000::/64
   • Descrição: adicione uma descrição de Restricted Google APIs IPs.

9. Depois de adicionar as rotas, selecione Salvar.

gcloud

Execute o comando update usando a sinalização --set-advertisement-ranges ou --add-advertisement-ranges para especificar os intervalos de IP personalizados:

• Para definir intervalos de IP personalizados, use a sinalização --set-advertisement-ranges. Todas as rotas divulgadas personalizadas atuais serão substituídas. O exemplo a seguir atualiza o Cloud Router my-router para anunciar todas as sub-redes e os intervalos de endereços IP restricted.googleapis.com.

  gcloud compute routers update my-router \
      --advertisement-mode CUSTOM \
      --set-advertisement-groups ALL_SUBNETS \
      --set-advertisement-ranges RANGES
  

  Substitua RANGES pelos intervalos que você quer usar:

  • Para conectividade IPv4: 199.36.153.4/30
  • Para conectividade IPv6: 2600:2d00:0002:1000::/64
  • Para conectividade IPv4 e IPv6: 199.36.153.4/30,2600:2d00:0002:1000::/64

• Para anexar intervalos de IP personalizados a uma divulgação atual, use a sinalização --add-advertisement-ranges. Ela exige que o modo de divulgação do Cloud Router já esteja configurado como custom. O exemplo a seguir adiciona os intervalos de endereços IP restricted.googleapis.com às divulgações do Cloud Router:

  gcloud compute routers update my-router \
      --add-advertisement-ranges RANGES
  

  Substitua RANGES pelos intervalos que você quer usar:

  • Para conectividade IPv4: 199.36.153.4/30
  • Para conectividade IPv6: 2600:2d00:0002:1000::/64
  • Para conectividade IPv4 e IPv6: 199.36.153.4/30,2600:2d00:0002:1000::/64

Para criar uma rota divulgada personalizada para o intervalo restrito em uma sessão BGP específica de um Cloud Router, siga estas etapas:

Console

1. No console do Google Cloud, acesse a página do Cloud Routers.

   Acesse o Cloud Routers

2. Selecione o roteador do Cloud Router que contém a sessão do BGP a ser atualizada.

3. Na página de detalhes do Cloud Router, selecione a sessão do BGP a ser atualizada.

4. Na página de detalhes da sessão do BGP, selecione Editar.

5. Em Rotas, selecione Criar rotas personalizadas.

6. Selecione Anunciar todas as sub-redes visíveis para o Cloud Router para continuar divulgando as sub-redes disponíveis para o Cloud Router. A ativação dessa opção imita o comportamento padrão do Cloud Router.

7. Selecione Adicionar rota personalizada para adicionar uma rota anunciada.

8. Configure a divulgação de rota.

   • Origem: selecione Intervalo de IP personalizado para especificar um intervalo de IP personalizado.
   • Intervalo de endereços IP:
     • Para conectividade IPv4: 199.36.153.4/30
     • Para conectividade IPv6: 2600:2d00:0002:1000::/64
   • Descrição: adicione uma descrição de Restricted Google APIs IPs.

9. Quando terminar de adicionar as rotas, selecione Salvar.

gcloud

Execute o comando update-bgp-peer, usando a sinalização --set-advertisement-ranges ou --add-advertisement-ranges para especificar os intervalos de IP personalizados.

• Para definir intervalos de IP personalizados, use a sinalização --set-advertisement-ranges. Todas as rotas divulgadas personalizadas atuais serão substituídas.

  Se você estiver adicionando intervalos personalizados IPv6 e o tráfego IPv6 estiver desativado para a sessão do BGP, será possível ativá-lo com o flag --enable-ipv6.

  O exemplo abaixo atualiza a sessão my-bgp-session do BGP no my-router do Cloud Router para divulgar todas as sub-redes e o intervalo de IP personalizado:

  gcloud compute routers update-bgp-peer my-router \
      --peer-name my-bgp-session \
      --advertisement-mode CUSTOM \
      --set-advertisement-groups ALL_SUBNETS \
      --set-advertisement-ranges RANGES
  

  Substitua RANGES pelos intervalos que você quer usar:

  • Para conectividade IPv4: 199.36.153.4/30
  • Para conectividade IPv6: 2600:2d00:0002:1000::/64
  • Para conectividade IPv4 e IPv6: 199.36.153.4/30,2600:2d00:0002:1000::/64

• Para anexar intervalos de IP personalizados aos atuais, use a sinalização --add-advertisement-ranges. Ela exige que o modo de divulgação do Cloud Router já esteja configurado como custom.

  Se você estiver adicionando intervalos personalizados IPv6 e o tráfego IPv6 estiver desativado para a sessão do BGP, será possível ativá-lo com o flag --enable-ipv6.

  O exemplo a seguir adiciona os intervalos de endereços VIP restritos às divulgações do Cloud Router:

  gcloud compute routers update-bgp-peer my-router \
      --peer-name my-bgp-session \
      --add-advertisement-ranges RANGES
  

  Substitua RANGES pelos intervalos que você quer usar:

  • Para conectividade IPv4: 199.36.153.4/30
  • Para conectividade IPv6: 2600:2d00:0002:1000::/64
  • Para conectividade IPv4 e IPv6: 199.36.153.4/30,2600:2d00:0002:1000::/64

  Para saber mais sobre o modo de divulgação personalizada, consulte Rotas anunciadas personalizadas.

Configurar regras de firewall

Para o Acesso privado do Google, as instâncias de VM usam endereços IP internos e não exigem endereços IP externos para acessar recursos protegidos da API do Google. No entanto, é possível que as instâncias de VM tenham endereços IP externo ou atendam aos requisitos de acesso à Internet. Além das rotas divulgadas personalizadas, é possível restringir o tráfego de saída de instâncias de VM na sua rede VPC criando regras de firewall para negar o tráfego de saída.

Por padrão, a regra implícita permitir firewall de saída permite que instâncias de VM enviem tráfego para qualquer destino se uma rota aplicável existir. É possível primeiro criar uma regra de negação de saída para bloquear todo o tráfego de saída. Em seguida, crie regras de saída de prioridade mais alta que permitem o tráfego para destinos selecionados na sua rede VPC e para o intervalo de endereços IP restricted.googleapis.com. Toda a comunicação com restricted.googleapis.com é feita na porta TCP 443.

Para permitir que o tráfego do Google Cloud acesse os VIPs restricted.googleapis.com, adicione regras de firewall para os seguintes destinos:

• Para tráfego IPv4: 199.36.153.4/30
• Para tráfego IPv6: 2600:2d00:0002:1000::/64

Para permitir que o tráfego do Google Cloud acesse APIs e serviços que permitem conexão direta, adicione regras de firewall para os seguintes destinos:

• Para tráfego IPv4: 34.126.0.0/18
• Para tráfego IPv6: 2001:4860:8040::/42

Observação: antes de bloquear o acesso à Internet, considere cuidadosamente o impacto nas instâncias de VM. Bloquear o acesso à Internet pode reduzir o risco de exportação de dados, mas também pode bloquear o tráfego legítimo, incluindo o tráfego essencial para atualizações de software. Sem acesso à Internet, você só consegue acessar as instâncias de VM por meio de uma rede no local conectada por meio de um túnel do Cloud VPN ou de uma conexão do Cloud Interconnect. Depois que você bloquear o acesso à Internet, as instâncias de VM não poderão chamar APIs e serviços de terceiros.

Para mais informações sobre como trabalhar com regras de firewall da VPC, consulte Usar regras de firewall da VPC na documentação do Cloud Next Generation Firewall.

Configure as regras de firewall local para permitir que o tráfego dos hosts locais alcance os intervalos de endereços IP restricted.googleapis.com.

• Para tráfego IPv4: 199.36.153.4/30
• Para tráfego IPv6: 2600:2d00:0002:1000::/64

A conexão direta com APIs e serviços do Google não é compatível com redes locais.

Configura o DNS

É possível usar zonas particulares gerenciadas para suas redes VPC. As zonas DNS particulares do Cloud DNS permitem hospedar uma zona de DNS acessível em redes VPC autorizadas. Para configurar o encaminhamento de determinados servidores de nomes locais, use os intervalos de endereços IP restricted.googleapis.com. Em seguida, crie uma zona particular para googleapis.com com um registro A de DNS que mapeie restricted.googleapis.com e registros CNAME apropriados para cada nome *.googleapis.com. Para mais informações, consulte Como gerenciar zonas.

Para acesso local, é possível configurar uma política de encaminhamento de entrada do Cloud DNS para permitir que servidores de nomes locais consultem uma zona particular gerenciada do Cloud DNS ou um servidor de nomes local, como um que use BIND:

Observação: sugerimos que você use o BIND apenas para implementações no local.

Configurar DNS com o Cloud DNS

Para ativar a resolução DNS para instâncias de VM na sua rede VPC, use um Cloud DNS ou os hosts em uma rede local ou ambos. Se você estiver usando a VPC compartilhada, consulte Zonas particulares e VPC compartilhada na documentação do Cloud DNS. Além disso, se você estiver usando a VPC compartilhada, recomendamos incluir o projeto host da rede VPC compartilhada no mesmo perímetro de serviço dos projetos que se conectam à rede.

Configurar o Cloud DNS usando zonas particulares

É possível usar zonas particulares para configurar o Cloud DNS:

1. Crie uma zona privada gerenciada para sua rede VPC.

   gcloud dns managed-zones create ZONE_NAME \
    --visibility=private \
    --networks=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME \
    --description=DESCRIPTION \
    --dns-name=googleapis.com

   Substitua:

   • ZONE_NAME: um nome para a zona que você está criando. Por exemplo, vpc. Esse nome é usado em todas as etapas a seguir.
   • PROJECT_ID: o ID do projeto que hospeda a rede VPC.
   • NETWORK_NAME: o nome da sua rede VPC.
   • DESCRIPTION: uma descrição opcional, legível por humanos, da zona gerenciada.

2. Inicie uma transação.

   gcloud dns record-sets transaction start --zone=ZONE_NAME

   Substitua ZONE_NAME pelo nome da zona que você criou na primeira etapa.

3. Adicione registros de DNS.

   gcloud dns record-sets transaction add --name=*.googleapis.com. \
       --type=CNAME restricted.googleapis.com. \
       --zone=ZONE_NAME \
       --ttl=300

   Substitua ZONE_NAME pelo nome da zona que você criou na primeira etapa.

   gcloud dns record-sets transaction add --name=restricted.googleapis.com. \
       --type=A 199.36.153.4 199.36.153.5 199.36.153.6 199.36.153.7 \
       --zone=ZONE_NAME \
       --ttl=300

   Substitua ZONE_NAME pelo nome da zona que você criou na primeira etapa.

   Se você estiver configurando os endereços IPv6 para restricted.googleapis.com, crie também o seguinte conjunto de registros:

   gcloud dns record-sets transaction add --name=restricted.googleapis.com. \
       --type=AAAA 2600:2d00:0002:1000:: \
       --zone=ZONE_NAME \
       --ttl=300

4. Execute a transação.

   gcloud dns record-sets transaction execute --zone=ZONE_NAME

   Substitua ZONE_NAME pelo nome da zona que você criou na primeira etapa.

5. Opcional. Para permitir que os hosts locais acessem o VIP restrito, conclua as seguintes etapas:

   1. Crie uma política de DNS e ative o encaminhamento de DNS de entrada para disponibilizar externamente os serviços de resolução de nomes da rede VPC para sistemas em redes locais:

      gcloud dns policies create POLICY_NAME \
       --networks=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME \
       --enable-inbound-forwarding \
       --description=DESCRIPTION

      Substitua:

      • POLICY_NAME: um nome para a política que você está criando. Por exemplo, apipolicy.
      • PROJECT_ID: o ID do projeto que hospeda a rede VPC.
      • NETWORK_NAME: o nome da rede VPC.
      • DESCRIPTION: uma descrição opcional, legível por humanos, da zona gerenciada.

   2. Na sua rede local, ajuste seu DNS local para o endereço IP do encaminhador do Cloud DNS. Para encontrar o endereço IP do encaminhador, use o comando compute addresses list:

      gcloud compute addresses list --filter='name ~ ^dns-forwarding.*' \
       --format='csv[no-heading](address, subnetwork)'

      Observação: a rede VPC só terá um endereço IP de encaminhador se você tiver configurado uma política de encaminhamento de DNS de entrada para ela. Para mais informações sobre políticas de DNS, consulte a Visão geral das políticas do servidor do Cloud DNS e Como criar uma política do servidor de entrada.

Configurar DNS com o BIND

Se você usa o BIND para resolução de DNS, é possível configurá-lo para resolver solicitações de API do Google para as APIs restritas do Google. Use o exemplo de configuração do BIND a seguir, que usa as zonas de política de resposta (RPZ, na sigla em inglês) para conseguir esse comportamento:

1. Adicione as linhas abaixo a /etc/bind/named.conf:

   include "/etc/bind/named.conf.options";
   include "/etc/bind/named.conf.local";
   

2. Adicione as linhas abaixo a /etc/bind/named.conf.options:

   options {
     directory "/var/cache/bind";
   
     dnssec-validation no;
   
     auth-nxdomain no;    # conform to RFC 1035
     listen-on-v6 { any; };
     listen-on { any; };
     response-policy { zone "googleapis.zone"; };
     allow-query { any;};
   };
   

3. Adicione as linhas abaixo a /etc/bind/named.conf.local:

   include "/etc/bind/named.conf.default-zones";
   
   
   zone "googleapis.zone" {
     type master;
     file "/etc/bind/db.googleapis.zone";
     allow-query {none;};
   };
   

4. Adicione as linhas abaixo a /etc/bind/db.googleapis.zone:

   $TTL 1H
   @                       SOA LOCALHOST. noreply.localhost(1 1h 15m 30d 2h)
                           NS  LOCALHOST.
   
   
   *.googleapis.com CNAME restricted.googleapis.com.
   restricted.googleapis.com CNAME rpz-passthru.
   

Configurar o DNS em casos especiais

Quando for necessário configurar o DNS em casos especiais, tenha em mente o seguinte:

• O BIND personalizado não é compatível com o Dataflow. Para personalizar a resolução de DNS ao usar o Dataflow com o VPC Service Controls, use as zonas particulares do Cloud DNS em vez de usar servidores BIND personalizados. Para usar sua própria resolução de DNS local, use um método de encaminhamento de DNS do Google Cloud.

• Talvez você também precise configurar o DNS para gcr.io se, por exemplo, estiver usando o Google Kubernetes Engine (GKE). Para mais informações, consulte Como configurar o Container Registry para clusters particulares do GKE.