Zugriff auf veröffentlichte Dienste über Endpunkte
Dieses Dokument bietet eine Übersicht über das Herstellen einer Verbindung zu Diensten in einem anderen VPC-Netzwerk mithilfe von Private Service Connect-Endpunkten. Sie können eine Verbindung zu Ihren eigenen Diensten oder denen anderer Dienstersteller herstellen, einschließlich Google.
Clients stellen über interne IP-Adressen eine Verbindung zum Endpunkt her. Private Service Connect führt eine Netzwerkadressübersetzung (NAT) durch, um die Anfrage an den Dienst weiterzuleiten.
Weitere Informationen zu veröffentlichten Diensten finden Sie unter Veröffentlichte Dienste.
Features und Kompatibilität
In dieser Tabelle sind die unterstützten Konfigurationsoptionen und Funktionen von Endpunkten zusammengefasst, die auf veröffentlichte Dienste zugreifen.
In den folgenden Tabellen weist ein Häkchen darauf hin, dass ein Feature unterstützt wird, und ein Nein-Symbol weist darauf hin, dass ein Feature nicht unterstützt wird.
| Nutzerkonfiguration (Endpunkt) | Ersteller-LoadBalancer | |||
|---|---|---|---|---|
| Interner Passthrough-Network Load Balancer | Regionaler interner Application Load Balancer | Regionaler interner Proxy-Network Load Balancer | Interne Protokollweiterleitung (Zielinstanz) | |
| Globaler Nutzerzugriff |
Unabhängig von der globalen Zugriffseinstellung auf dem Load-Balancer |
Nur wenn globaler Zugriff auf dem Load-Balancer aktiviert ist |
Nur wenn globaler Zugriff auf dem Load-Balancer aktiviert ist |
Unabhängig von der globalen Zugriffseinstellung auf dem Load Balancer |
| Cloud VPN-Traffic | ||||
| Automatische DNS-Konfiguration | Nur IPv4 | Nur IPv4 | Nur IPv4 | Nur IPv4 |
| IPv4-Endpunkte |
|
|
|
|
| IPv6-Endpunkte (Vorschau) |
|
|
|
|
In dieser Tabelle sind die unterstützten Konfigurationsoptionen und Funktionen veröffentlichter Dienste zusammengefasst, auf die Endpunkte zugreifen.
| Erstellerkonfiguration (veröffentlichter Dienst) | Ersteller-LoadBalancer | |||
|---|---|---|---|---|
| Interner Passthrough-Network Load Balancer | Regionaler interner Application Load Balancer | Regionaler interner Proxy-Network Load Balancer | Interne Protokollweiterleitung (Zielinstanz) | |
| Unterstützte Ersteller-Back-Ends |
|
|
|
Nicht zutreffend |
| Proxyprotokoll | Nur TCP-Traffic | Nur TCP-Traffic | ||
| Sitzungsaffinitätsmodi | NONE (5-Tupel) CLIENT_IP_PORT_PROTO |
Nicht zutreffend | Nicht zutreffend | Nicht zutreffend |
| IP-Version |
|
|
|
|
Verschiedene Load-Balancer unterstützen unterschiedliche Portkonfigurationen. Einige Load-Balancer unterstützen einen einzelnen Port, andere einen Portbereich und andere alle Ports. Weitere Informationen finden Sie unter Angabe von Ports.
Beschränkungen
Für Endpunkte, die auf einen veröffentlichten Dienst zugreifen, gelten die folgenden Einschränkungen:
Sie können keinen Endpunkt im selben VPC-Netzwerk wie der veröffentlichte Dienst erstellen, auf den Sie zugreifen.
Endpunkte sind über Peering-VPC-Netzwerke nicht erreichbar.
Bei der Paketspiegelung können keine Pakete für Traffic von veröffentlichten Private Service Connect-Diensten gespiegelt werden.
Nicht alle statischen Routen mit Load-Balancern als nächste Hops werden mit Private Service Connect unterstützt. Weitere Informationen finden Sie unter Statische Routen mit Load-Balancern als nächste Hops.
Konnektivitätstests können nicht die Konnektivität zwischen einem IPv6-Endpunkt und einem veröffentlichten Dienst testen.
Lokaler Zugriff
Endpunkte, die Sie für den Zugriff auf Google APIs verwenden, können über unterstützte verbundene lokale Hosts aufgerufen werden. Weitere Informationen finden Sie unter Zugriff auf Endpunkte über Hybridnetzwerke.
Spezifikationen
- Private Service Connect-Endpunkte müssen in derselben Region erstellt werden wie der veröffentlichte Dienst, der das Ziel des Endpunkts ist.
- Der Endpunkt muss in einem anderen VPC-Netzwerk erstellt werden als das VPC-Netzwerk, das den Zieldienst enthält.
- Auf den Endpunkt kann standardmäßig nur von Clients zugegriffen werden, die sich in derselben Region und demselben VPC-Netzwerk wie der Endpunkt befinden. Informationen dazu, wie Sie Endpunkte in anderen Regionen verfügbar machen, finden Sie unter Globaler Zugriff.
- Die IP-Adresse, die Sie dem Endpunkt zuweisen, muss aus einem regulären Subnetz stammen.
- Wenn Sie einen Endpunkt zum Herstellen einer Verbindung zu einem Dienst erstellen und der Dienst einen DNS-Domainnamen konfiguriert hat, werden in Ihrem VPC-Netzwerk für den Endpunkt automatisch private DNS-Einträge erstellt.
- Jeder Endpunkt hat eine eigene eindeutige IP-Adresse und optional einen eigenen eindeutigen DNS-Namen.
Verbindungsstatus
Endpunkte, Back-Ends und Dienstanhänge von Private Service Connect haben einen Verbindungsstatus, der den Status ihrer Verbindung beschreibt. Die Nutzer- und Erstellerressourcen, die die beiden Seiten einer Verbindung bilden, haben immer denselben Status. Sie können Verbindungsstatus aufrufen, wenn Sie Endpunktdetails aufrufen, ein Backend beschreiben oder Details zu einem veröffentlichten Dienst ansehen.
In der folgenden Tabelle werden die möglichen Status beschrieben.
| Verbindungsstatus | Beschreibung |
|---|---|
| Angenommen | Die Private Service Connect-Verbindung wird hergestellt. Die beiden VPC-Netzwerke haben eine Verbindung und funktionieren ordnungsgemäß. |
| Ausstehend | Die Private Service Connect-Verbindung wird nicht hergestellt und Netzwerk-Traffic kann zwischen den beiden Netzwerken nicht übertragen werden. Eine Verbindung kann diesen Status aus folgenden Gründen haben:
Verbindungen, die aus diesen Gründen blockiert werden, bleiben auf unbestimmte Zeit im Status „Ausstehend“, bis das zugrunde liegende Problem behoben ist. |
| Abgelehnt | Die Private Service Connect-Verbindung wird nicht hergestellt. Der Netzwerktraffic kann zwischen den beiden Netzwerken nicht übertragen werden. Eine Verbindung kann diesen Status aus folgenden Gründen haben:
|
| Prüfung erforderlich | Es gibt ein Problem auf der Producer-Seite der Verbindung. Einiger Traffic kann möglicherweise zwischen den beiden Netzwerken fließen, aber einige Verbindungen funktionieren möglicherweise nicht. Beispielsweise ist das NAT-Subnetz des Erstellers möglicherweise erschöpft und kann neuen Verbindungen keine IP-Adressen zuweisen. |
| Beschränkt | Der Dienstanhang wurde gelöscht und die Private Service Connect-Verbindung wird geschlossen. Der Netzwerktraffic kann zwischen den beiden Netzwerken nicht übertragen werden. Eine geschlossene Verbindung ist ein Terminalstatus. Wenn Sie die Verbindung wiederherstellen möchten, müssen Sie sowohl den Dienstanhang als auch den Endpunkt oder das Backend neu erstellen. |
Übersetzung von IP-Versionen
Bei Verbindungen zwischen Private Service Connect-Endpunkten für veröffentlichte Dienste und Dienstanhänge bestimmt die IP-Version der IP-Adresse der Nutzerweiterleitungsregel die IP-Version des Endpunkts und den Traffic, der den Endpunkt ausgibt. Die IP-Version des Endpunkts kann entweder IPv4 oder IPv6 sein, aber nicht beides. Nutzer können eine IPv4-Adresse verwenden, wenn das Subnetz der Adresse Single-Stack ist. Nutzer können eine IPv4- oder IPv6-Adresse verwenden, wenn das Subnetz der Adresse Dual-Stack ist. Nutzer können sowohl IPv4- als auch IPv6-Endpunkte mit demselben Dienstanhang verbinden. Dies kann für die Migration von Diensten zu IPv6 hilfreich sein.
Bei Verbindungen zwischen Private Service Connect-Endpunkten für veröffentlichte Dienste und Dienstanhänge bestimmt die IP-Version der Weiterleitungsregel des Erstellers die IP-Version des Dienstanhangs und den Traffic, der den Dienstanhang ausgibt. Die IP-Version des Dienstanhangs kann entweder IPv4 oder IPv6 sein, aber nicht beides. Ersteller können eine IPv4-Adresse verwenden, wenn das Subnetz der Adresse Single-Stack-Subnetz ist. Ersteller können eine IPv4- oder IPv6-Adresse verwenden, wenn das Subnetz der Adresse Dual-Stack ist.
Die IP-Version der IP-Adresse der Ersteller-Weiterleitungsregel muss mit dem Stack-Typ des NAT-Subnetzes des Dienstanhangs kompatibel sein. Wenn die Weiterleitungsregel des Erstellers IPv4 ist, kann das NAT-Subnetz Single-Stack- oder Dual-Stack-Cluster sein. Wenn die Weiterleitungsregel des Erstellers IPv6 ist, muss das NAT-Subnetz ein Dual-Stack-Subnetz sein.
Private Service Connect unterstützt nicht die Verbindung eines IPv4-Endpunkts mit einem IPv6-Dienstanhang. In diesem Fall schlägt die Endpunkterstellung mit der folgenden Fehlermeldung fehl:
Private Service Connect forwarding rule with an IPv4 address
cannot target an IPv6 service attachment.
Für unterstützte Konfigurationen sind folgende Kombinationen möglich:
- IPv4-Endpunkt zum IPv4-Dienstanhang
- IPv6-Endpunkt zum IPv6-Dienstanhang (Vorschau)
-
IPv6-Endpunkt zum IPv4-Dienstanhang (Vorschau)
In dieser Konfiguration übersetzt Private Service Connect automatisch zwischen den beiden IP-Versionen.
Globaler Zugriff
Private Service Connect-Endpunkte, die für den Zugriff auf Dienste verwendet werden, sind regionale Ressourcen. Sie können einen Endpunkt jedoch in anderen Regionen verfügbar machen, indem Sie den globalen Zugriff konfigurieren.
Mit globalem Zugriff können Ressourcen in jeder Region Traffic an Private Service Connect-Endpunkte senden. Sie können globalen Zugriff verwenden, um Hochverfügbarkeit für Dienste bereitzustellen, die in mehreren Regionen gehostet werden, oder um Clients den Zugriff auf einen Dienst zu ermöglichen, der sich nicht in derselben Region wie der Client befindet.
Das folgende Diagramm veranschaulicht Clients in verschiedenen Regionen, die auf denselben Endpunkt zugreifen:
Der Endpunkt befindet sich in
us-west1und hat den globalen Zugriff konfiguriert.Die VM in
us-west1kann Traffic an den Endpunkt senden und der Traffic bleibt innerhalb derselben Region.Die VM in
us-east1und die VM aus dem lokalen Netzwerk können auch den Endpunkt inus-west1verbinden, obwohl sie sich in verschiedenen Regionen befinden. Die gepunkteten Linien stellen den interregionalen Trafficpfad dar.
Abbildung 2. Mit einem Private Service Connect-Endpunkt mit globalem Zugriff können Dienstnutzer Traffic vom VPC-Netzwerk des Nutzers an Dienste im VPC-Netzwerk des Diensterstellers senden. Der Client kann sich in derselben Region oder in einer anderen Region wie der Endpunkt befinden (zum Vergrößern klicken).
Spezifikationen für globalen Zugriff
- Sie können den globalen Zugriff für einen Endpunkt jederzeit aktivieren oder deaktivieren.
- Das Aktivieren des globalen Zugriffs führt nicht zu einer Unterbrechung des Traffics für vorhandene Verbindungen.
- Durch das Deaktivieren des globalen Zugriffs werden alle Verbindungen aus anderen Regionen als der Region beendet, in der sich der Endpunkt befindet.
Endpunkte mit globalem Zugriff können in einem freigegebenen VPC-Hostprojekt oder Dienstprojekt erstellt werden. Die Client-VM, der Cloud VPN-Tunnel oder der VLAN-Anhang für Cloud Interconnect müssen sich nicht im selben Projekt wie der Endpunkt befinden.
Nicht alle Private Service Connect-Dienste unterstützen Endpunkte mit globalem Zugriff. Erkundigen Sie sich bei Ihrem Dienstersteller, ob sein Dienst globalen Zugriff unterstützt. Weitere Informationen finden Sie unter Unterstützte Konfigurationen.
Der globale Zugriff bietet keine einzelne globale IP-Adresse oder einen DNS-Namen für mehrere globale Zugriffsendpunkte.
Freigegebene VPC
Dienstprojektadministratoren können Endpunkte in freigegebenen VPC-Dienstprojekten erstellen, die IP-Adressen aus freigegebenen VPC-Netzwerken verwenden. Die Konfiguration ist mit der eines regulären Endpunkts identisch, aber der Endpunkt verwendet eine IP-Adresse, die aus einem freigegebenen Subnetz der freigegebenen VPC reserviert ist.
Die IP-Adressressource kann im Dienstprojekt oder im Hostprojekt reserviert werden. Die Quelle der IP-Adresse muss ein Subnetz sein, das für das Dienstprojekt freigegeben ist.
Weitere Informationen finden Sie unter Endpunkt mit einer IP-Adresse aus einem freigegebenen VPC-Netzwerk erstellen.
VPC Service Controls
VPC Service Controls und Private Service Connect sind miteinander kompatibel. Wenn sich das VPC-Netzwerk, in dem der Private Service Connect-Endpunkt bereitgestellt wird, in einem VPC Service Controls-Perimeter befindet, ist der Endpunkt Teil desselben Perimeters. Alle von VPC Service Controls unterstützten Dienste, auf die über den Endpunkt zugegriffen wird, unterliegen den Richtlinien dieses VPC Service Controls-Perimeters.
Wenn Sie einen Endpunkt erstellen, werden zwischen den Nutzer- und Erstellerprojekten API-Aufrufe auf Steuerungsebene ausgeführt, um eine Private Service Connect-Verbindung herzustellen. Das Einrichten einer Private Service Connect-Verbindung zwischen Nutzer- und Herstellerprojekten, die sich nicht im selben VPC Service Controls-Perimeter befinden, erfordert keine explizite Autorisierung mit Richtlinien für ausgehenden Traffic. Die Kommunikation mit von VPC Service Controls unterstützten Diensten über den Endpunkt ist durch den VPC Service Controls-Perimeter geschützt.
Statische Routen mit Load-Balancern als nächste Hops
Statische Routen können so konfiguriert werden, dass sie die Weiterleitungsregel eines internen Passthrough-Network Load Balancers als nächsten Hop (--next-hop-ilb) verwenden. Nicht alle Routen dieses Typs werden mit Private Service Connect unterstützt.
Statische Routen, die --next-hop-ilb verwenden, um den Namen einer internen Weiterleitungsregel für den Passthrough-Network Load Balancer anzugeben, können für das Senden und Empfangen von Traffic an einen Private Service Connect-Endpunkt verwendet werden, wenn die Route und der Endpunkt sich im selben VPC-Netzwerk und in derselben Region befinden.
Die folgenden Routingkonfigurationen werden für Private Service Connect nicht unterstützt:
- Statische Routen, die
--next-hop-ilbverwenden, um die IP-Adresse einer internen Weiterleitungsregel für den Passthrough-Network Load Balancer anzugeben. - Statische Routen, die
--next-hop-ilbverwenden, um den Namen oder die IP-Adresse einer Private Service Connect-Endpunktweiterleitungsregel anzugeben.
Logging
Sie können VPC-Flusslogs in Subnetzen aktivieren, die VMs enthalten, die auf Dienste in einem anderen VPC-Netzwerk über Endpunkte zugreifen. Die Logs zeigen Abläufe zwischen den VMs und dem Endpunkt.
Sie können Änderungen am Verbindungsstatus für Endpunkte mithilfe von Audit-Logs aufrufen. Änderungen des Verbindungsstatus für den Endpunkt werden in Systemereignismetadaten für den Ressourcentyp GCE-Weiterleitungsregel erfasst. Sie können nach
pscConnectionStatusfiltern, um diese Einträge aufzurufen.Wenn ein Dienstersteller beispielsweise Verbindungen von Ihrem Projekt zulässt, ändert sich der Verbindungsstatus des Endpunkts von
PENDINGinACCEPTED. Diese Änderung wird in den Audit-Logs angezeigt.- Informationen zum Anzeigen von Audit-Logs finden Sie unter Logs ansehen.
- Informationen zum Festlegen von Benachrichtigungen auf Basis von Audit-Logs finden Sie unter Logbasierte Benachrichtigungen verwalten.
Preise
Die Preise für Private Service Connect werden auf der Seite "VPC-Preise" beschrieben.
Kontingente
Die Anzahl der Endpunkte, die Sie für den Zugriff auf veröffentlichte Dienste erstellen können, wird durch das Kontingent PSC Internal LB Forwarding Rules gesteuert.
Weitere Informationen finden Sie unter Kontingente.
Einschränkungen für Organisationsrichtlinien
Ein Administrator für Organisationsrichtlinien kann mit der Einschränkung constraints/compute.disablePrivateServiceConnectCreationForConsumers die Gruppe von Endpunkttypen definieren, für die Nutzer keine Weiterleitungsregeln erstellen können.
Informationen zum Erstellen einer Organisationsrichtlinie, die diese Einschränkung verwendet, finden Sie unter Nutzer daran hindern, Endpunkte nach Verbindungstyp bereitzustellen.