ad accedere ai servizi pubblicati tramite endpoint
Questo documento fornisce una panoramica della connessione ai servizi in un'altra rete VPC mediante gli endpoint Private Service Connect. Puoi connetterti ai tuoi servizi o a quelli forniti da altri producer di servizi, anche da Google.
I client si connettono all'endpoint utilizzando indirizzi IP interni. Private Service Connect esegue Network Address Translation (NAT) per instradare la richiesta al servizio.
Per maggiori informazioni sui servizi pubblicati, consulta Informazioni sui servizi pubblicati.
Funzionalità e compatibilità
Nelle tabelle seguenti, un segno di spunta indica che una funzionalità è supportata, mentre un simbolo no indica che una funzionalità non è supportata.
Configurazione consumer
Questa tabella riassume le opzioni di configurazione e le funzionalità supportate degli endpoint che accedono ai servizi pubblicati.
| Configurazione consumer (endpoint) | Bilanciatore del carico del producer | |||
|---|---|---|---|---|
| Bilanciatore del carico di rete passthrough interno | Bilanciatore del carico delle applicazioni interno regionale | Bilanciatore del carico di rete proxy interno regionale | Inoltro interno del protocollo (istanza di destinazione) | |
| Accesso consumer globale |
Indipendente dall' impostazione di accesso globale sul bilanciatore del carico |
Solo se l'accesso globale è abilitato sul bilanciatore del carico |
Solo se l'accesso globale è abilitato sul bilanciatore del carico |
Indipendente dall' impostazione di accesso globale sul bilanciatore del carico |
| Traffico Cloud VPN | ||||
| Configurazione DNS automatica | Solo IPv4 | Solo IPv4 | Solo IPv4 | Solo IPv4 |
| Propagazione delle connessioni | Solo IPv4 | Solo IPv4 | Solo IPv4 | Solo IPv4 |
| Endpoint IPv4 |
|
|
|
|
| Endpoint IPv6 (anteprima) |
|
|
|
|
Configurazione del producer
Questa tabella riassume le opzioni di configurazione supportate e le funzionalità dei servizi pubblicati a cui accedono gli endpoint.
| Configurazione del producer (servizio pubblicato) | Bilanciatore del carico del producer | |||
|---|---|---|---|---|
| Bilanciatore del carico di rete passthrough interno | Bilanciatore del carico delle applicazioni interno regionale | Bilanciatore del carico di rete proxy interno regionale | Inoltro interno del protocollo (istanza di destinazione) | |
| Backend producer supportati |
|
|
|
Non applicabile |
| Protocollo PROXY | Solo traffico TCP | Solo traffico TCP | ||
| Modalità di affinità sessione | NESSUNO (5 tuple) CLIENT_IP_PORT_PROTO |
Non applicabile | Non applicabile | Non applicabile |
| Versione IP |
|
|
|
|
Bilanciatori del carico diversi supportano diverse configurazioni delle porte; alcuni supportano una singola porta, alcuni supportano un intervallo di porte e altri ancora supportano tutte le porte. Per ulteriori informazioni, consulta la sezione Specifiche delle porte.
Limitazioni
Gli endpoint che accedono a un servizio pubblicato hanno le seguenti limitazioni:
Non puoi creare un endpoint nella stessa rete VPC del servizio pubblicato a cui stai accedendo.
Gli endpoint non sono accessibili dalle reti VPC in peering.
Il Mirroring dei pacchetti non può eseguire il mirroring dei pacchetti per il traffico dei servizi pubblicati di Private Service Connect.
Non tutte le route statiche con gli hop successivi del bilanciatore del carico sono supportate con Private Service Connect. Per maggiori informazioni, consulta Route statiche con hop successivi del bilanciatore del carico.
Connectivity Tests non è in grado di testare la connettività tra un endpoint IPv6 e un servizio pubblicato.
Accesso on-premise
È possibile accedere agli endpoint che utilizzi per accedere alle API di Google da host on-premise connessi supportati. Per ulteriori informazioni, consulta Accedere agli endpoint da reti ibride.
Specifiche
- Gli endpoint di Private Service Connect devono essere creati nella stessa regione del servizio pubblicato che è la destinazione dell'endpoint.
- L'endpoint deve essere creato in una rete VPC diversa da quella della rete VPC che contiene il servizio di destinazione.
- Per impostazione predefinita, l'endpoint è accessibile solo dai client che si trovano nella stessa regione e nella stessa rete VPC dell'endpoint. Per informazioni su come rendere disponibili gli endpoint in altre regioni, consulta Accesso globale.
- L'indirizzo IP assegnato all'endpoint deve provenire da una subnet normale.
- Quando crei un endpoint per connetterti a un servizio, se il servizio ha un nome di dominio DNS configurato, nella tua rete VPC vengono create automaticamente voci DNS private per l'endpoint.
- Ogni endpoint ha il proprio indirizzo IP univoco e, facoltativamente, un nome DNS univoco.
Stati della connessione
Gli endpoint, i backend e i collegamenti ai servizi di Private Service Connect hanno uno stato della connessione che ne descrive lo stato. Le risorse consumer e producer che formano i due lati di una connessione hanno sempre lo stesso stato. Puoi visualizzare gli stati della connessione quando visualizza i dettagli dell'endpoint, descrivi un backend o visualizzi i dettagli di un servizio pubblicato.
Nella tabella seguente sono descritti i possibili stati.
| Stato della connessione | Descrizione |
|---|---|
| Accettati | La connessione Private Service Connect è stata stabilita. Le due reti VPC sono dotate di connettività, che funziona normalmente. |
| In attesa | La connessione Private Service Connect non è stata stabilita e il traffico di rete non può viaggiare tra le due reti. Una connessione potrebbe avere questo stato per i seguenti motivi:
Le connessioni bloccate per questi motivi rimangono in stato di attesa per un tempo indeterminato finché il problema sottostante non viene risolto. |
| Rifiutata | La connessione Private Service Connect non è stata stabilita. Il traffico di rete non può viaggiare tra le due reti. Una connessione potrebbe avere questo stato per i seguenti motivi:
|
| Richiede attenzione | Si è verificato un problema di connessione lato producer. Parte del traffico potrebbe essere in grado di fluire tra le due reti, ma alcune connessioni potrebbero non essere funzionanti. Ad esempio, la subnet NAT del producer potrebbe essere esaurita e non essere in grado di allocare indirizzi IP per le nuove connessioni. |
| Chiuso | Il collegamento al servizio è stato eliminato e la connessione Private Service Connect è stata chiusa. Il traffico di rete non può viaggiare tra le due reti. Una connessione chiusa è uno stato terminale. Per ripristinare la connessione, devi ricreare sia il collegamento al servizio sia l'endpoint o il backend. |
Traduzione della versione IP
Per le connessioni tra gli endpoint Private Service Connect per i servizi pubblicati e i collegamenti ai servizi, la versione IP dell'indirizzo IP della regola di forwarding del consumer determina la versione IP dell'endpoint e il traffico che esce dall'endpoint. La versione IP dell'endpoint può essere IPv4 o IPv6, ma non entrambe. I consumer possono utilizzare un indirizzo IPv4 se la subnet dell'indirizzo è a stack singolo. I consumer possono utilizzare un indirizzo IPv4 o IPv6 se la subnet dell'indirizzo è a doppio stack. I consumer possono connettere gli endpoint IPv4 e IPv6 allo stesso collegamento al servizio, il che può essere utile per la migrazione dei servizi a IPv6.
Per le connessioni tra gli endpoint Private Service Connect per i servizi pubblicati e i collegamenti ai servizi, la versione IP della regola di forwarding del producer determina la versione IP del collegamento al servizio e il traffico che esce dal collegamento al servizio. La versione IP del collegamento al servizio può essere IPv4 o IPv6, ma non entrambe. I producer possono utilizzare un indirizzo IPv4 se la subnet dell'indirizzo è a stack singolo. I producer possono utilizzare un indirizzo IPv4 o IPv6 se la subnet dell'indirizzo è a doppio stack.
La versione IP dell'indirizzo IP della regola di forwarding del producer deve essere compatibile con il tipo di stack della subnet NAT del collegamento al servizio. Se la regola di forwarding del producer è IPv4, la subnet NAT può essere a stack singolo o doppio. Se la regola di forwarding del producer è IPv6, la subnet NAT deve essere a doppio stack.
Private Service Connect non supporta la connessione di un endpoint IPv4 con un collegamento a un servizio IPv6. In questo caso, la creazione dell'endpoint non riesce e viene visualizzato il seguente messaggio di errore:
Private Service Connect forwarding rule with an IPv4 address
cannot target an IPv6 service attachment.
Per le configurazioni supportate sono possibili le seguenti combinazioni:
- Collegamento da endpoint IPv4 al servizio IPv4
- Endpoint IPv6 al collegamento al servizio IPv6 (anteprima)
-
Collegamento da endpoint IPv6 al servizio IPv4 (anteprima)
In questa configurazione, Private Service Connect traduce automaticamente tra le due versioni IP.
Propagazione connessione
Con le connessioni propagate, i servizi accessibili in uno spoke VPC consumer tramite gli endpoint Private Service Connect possono accedere privatamente da altri spoke VPC consumer collegati allo stesso hub di Network Connectivity Center.
Per saperne di più, consulta Informazioni sulle connessioni propagate.
Accesso globale
Gli endpoint di Private Service Connect usati per accedere ai servizi sono risorse di regione. Tuttavia, puoi rendere disponibile un endpoint in altre regioni configurando l'accesso globale.
L'accesso globale consente alle risorse in qualsiasi regione di inviare traffico agli endpoint Private Service Connect. Puoi utilizzare l'accesso globale per fornire disponibilità elevata tra servizi ospitati in più regioni o per consentire ai client di accedere a un servizio che non si trova nella stessa regione del client.
Il seguente diagramma illustra i client che accedono allo stesso endpoint in diverse regioni:
L'endpoint si trova in
us-west1e per cui è configurato l'accesso globale.La VM in
us-west1può inviare traffico all'endpoint, che rimane all'interno della stessa regione.La VM in
us-east1e la VM dalla rete on-premise possono connettere l'endpoint anche inus-west1, anche se si trovano in regioni diverse. Le linee tratteggiate rappresentano il percorso del traffico tra regioni.
Figura 2. Un endpoint Private Service Connect con accesso globale consente ai consumer di servizi di inviare traffico dalla rete VPC del consumer ai servizi nella rete VPC del producer di servizi. Il client può trovarsi nella stessa regione o in una regione diversa dell'endpoint (fai clic per ingrandire).
Specifiche per l'accesso globale
- Puoi attivare o disattivare l'accesso globale in qualsiasi momento per un endpoint.
- L'attivazione dell'accesso globale non causa interruzioni del traffico per le connessioni esistenti.
- La disattivazione dell'accesso globale termina tutte le connessioni da regioni diverse da quella in cui si trova l'endpoint.
Gli endpoint con accesso globale possono essere creati in un progetto host o in un progetto di servizio del VPC condiviso. La VM client, il tunnel Cloud VPN o il collegamento VLAN per Cloud Interconnect non devono trovarsi nello stesso progetto dell'endpoint.
Non tutti i servizi Private Service Connect supportano gli endpoint con accesso globale. Rivolgiti al tuo producer di servizi per verificare se il servizio supporta l'accesso globale. Per maggiori informazioni, consulta la sezione Configurazioni supportate.
L'accesso globale non fornisce un singolo indirizzo IP globale o nome DNS per più endpoint di accesso globale.
VPC condiviso
Gli amministratori dei progetti di servizio possono creare endpoint nei progetti di servizio VPC condiviso che utilizzano indirizzi IP delle reti VPC condivise. La configurazione è la stessa di un endpoint normale, ma l'endpoint utilizza un indirizzo IP riservato da una subnet condivisa del VPC condiviso.
La risorsa indirizzo IP può essere prenotata nel progetto di servizio o nel progetto host. L'origine dell'indirizzo IP deve essere una subnet condivisa con il progetto di servizio.
Per ulteriori informazioni, consulta Creare un endpoint con un indirizzo IP da una VPC condiviso condivisa.
Controlli di servizio VPC
I Controlli di servizio VPC e Private Service Connect sono compatibili tra loro. Se la rete VPC in cui viene eseguito il deployment dell'endpoint Private Service Connect si trova in un perimetro Controlli di servizio VPC, l'endpoint fa parte dello stesso perimetro. Tutti i servizi supportati da Controlli di servizio VPC a cui si accede tramite l'endpoint sono soggetti ai criteri di quel perimetro dei Controlli di servizio VPC.
Quando crei un endpoint, vengono effettuate chiamate API del piano di controllo tra i progetti consumer e producer per stabilire una connessione Private Service Connect. La creazione di una connessione Private Service Connect tra progetti consumer e producer che non si trovano nello stesso perimetro dei Controlli di servizio VPC non richiede un'autorizzazione esplicita con i criteri in uscita. La comunicazione ai servizi supportati da Controlli di servizio VPC attraverso l'endpoint è protetta dal perimetro dei Controlli di servizio VPC.
Route statiche con hop successivi del bilanciatore del carico
Le route statiche possono essere configurate in modo da utilizzare la regola di forwarding di un bilanciatore del carico di rete passthrough interno come hop successivo (--next-hop-ilb). Non tutte le route di questo tipo sono supportate con Private Service Connect.
Le route statiche che utilizzano --next-hop-ilb per specificare il nome di una regola di forwarding del bilanciatore del carico di rete passthrough interno possono essere utilizzate per inviare e ricevere traffico a un endpoint Private Service Connect quando la route e l'endpoint si trovano nella stessa rete VPC e nella stessa regione.
Le seguenti configurazioni di routing non sono supportate con Private Service Connect:
- Route statiche che utilizzano
--next-hop-ilbper specificare l'indirizzo IP di una regola di forwarding del bilanciatore del carico di rete passthrough interno. - Route statiche che utilizzano
--next-hop-ilbper specificare il nome o l'indirizzo IP di una regola di forwarding dell'endpoint Private Service Connect.
Logging
Puoi abilitare i log di flusso VPC su subnet contenenti VM che accedono ai servizi in un'altra rete VPC utilizzando gli endpoint. I log mostrano i flussi tra le VM e l'endpoint.
Puoi visualizzare le modifiche nello stato della connessione per gli endpoint utilizzando gli audit log. Le modifiche allo stato della connessione per l'endpoint vengono acquisite nei metadati degli eventi di sistema per il tipo di risorsa Regola di forwarding di GCE. Puoi filtrare in base a
pscConnectionStatusper visualizzare queste voci.Ad esempio, quando un producer di servizi consente le connessioni dal progetto, lo stato della connessione dell'endpoint cambia da
PENDINGaACCEPTEDe questa modifica viene riflessa negli audit log.- Per visualizzare i log di controllo, vedi Visualizzare i log.
- Per impostare avvisi in base agli audit log, consulta Gestione degli avvisi basati su log.
Prezzi
I prezzi di Private Service Connect sono descritti nella pagina dei prezzi di VPC.
Quote
Il numero di endpoint che puoi creare per accedere ai servizi pubblicati è controllato dalla quota PSC Internal LB Forwarding Rules.
Per ulteriori informazioni, consulta la sezione sulle quotas.
Vincoli dei criteri dell'organizzazione
Un amministratore dei criteri dell'organizzazione può utilizzare il vincolo constraints/compute.disablePrivateServiceConnectCreationForConsumers per definire l'insieme di tipi di endpoint per i quali gli utenti non possono creare regole di forwarding.
Per informazioni sulla creazione di un criterio dell'organizzazione che utilizza questo vincolo, vedi Impedire ai consumatori di eseguire il deployment degli endpoint in base al tipo di connessione.