네트워크 연결은 프로듀서 Virtual Private Cloud(VPC) 네트워크가 Private Service Connect 인터페이스를 통해 소비자 VPC 네트워크에 연결을 시작할 수 있게 해주는 리소스입니다.
네트워크 연결에서 Private Service Connect 인터페이스의 연결을 수락하면 Google Cloud는 네트워크 연결에서 지정한 소비자 서브넷의 내부 IP 주소를 인터페이스에 할당합니다. Private Service Connect 인터페이스의 가상 머신(VM) 인스턴스에는 프로듀서 서브넷에 연결되는 일반 네트워크 인터페이스가 하나 이상 있습니다.
이 Private Service Connect 인터페이스 연결을 사용하면 프로듀서 및 소비자 조직에서 내부 IP 주소를 통해 두 네트워크가 연결되고 통신할 수 있도록 VPC 네트워크를 구성할 수 있습니다. 예를 들어 프로듀서 조직은 프로듀서 VPC 네트워크를 업데이트하여 소비자 서브넷 경로를 추가할 수 있습니다.
네트워크 연결과 Private Service Connect 인터페이스 간의 연결은 Private Service Connect 엔드포인트 및 서비스 연결 간의 연결과 유사하지만 두 가지 주요 차이점이 있습니다.
네트워크 연결을 사용하면 프로듀서 VPC 네트워크가 소비자 VPC 네트워크(관리형 서비스 이그레스)로의 연결을 시작할 수 있습니다.
엔드포인트가 반대 방향으로 작동하므로 소비자 VPC 네트워크가 프로듀서 VPC 네트워크(관리형 서비스 인그레스)로의 연결을 시작할 수 있습니다.
Private Service Connect 인터페이스 연결은 전환됩니다.
즉, 프로듀서 VPC 네트워크의 워크로드가 소비자 VPC 네트워크에 연결된 다른 VPC 네트워크의 워크로드에 대한 연결을 시작할 수 있습니다.
예를 들어 서비스 소비자 조직은 소비자의 VPC 네트워크에서만 사용할 수 있는 소비자 데이터에 대한 관리형 서비스 액세스를 제공하려 할 수 있습니다. 이 서비스는 또한 온프레미스에서 사용할 수 있는 데이터 또는 서비스에 VPN 또는 Cloud Interconnect 연결을 통해 또는 타사 서비스에서 액세스해야 할 수 있습니다. 또한 소비자는 데이터를 사용하는 모든 인터넷 연결 트래픽이 자체 이그레스 게이트웨이를 통해 이동하도록 요구할 수 있습니다. 그러면 소비자가 트래픽을 모니터링하고 커스텀 보안을 제공할 수 있습니다.
Private Service Connect 인터페이스 연결은 이러한 요구사항을 모두 충족할 수 있습니다.
그림 1. 소비자 VPC 네트워크의 네트워크 연결은 프로듀서 VPC 네트워크의 Private Service Connect 인터페이스 2개에 연결됩니다(확대하려면 클릭).
승인 정책은 네트워크 연결이 Private Service Connect 인터페이스의 연결을 수락하는지 여부를 제어합니다. 승인 정책은 네트워크 연결의 다음 세 가지 필드로 구성됩니다.
연결 환경설정: ACCEPT_AUTOMATIC 또는 ACCEPT_MANUAL일 수 있습니다.
ACCEPT_AUTOMATIC: 새 연결이 자동으로 수락됩니다.
ACCEPT_MANUAL: 새 연결 상태가 네트워크 연결의 허용 목록에 따라 결정됩니다.
허용 목록: ACCEPT_MANUAL 연결 환경설정이 있는 네트워크 연결의 프로젝트 ID 목록입니다. 이 목록에 있는 프로젝트의 새 연결이 허용됩니다. Private Service Connect 인터페이스가 연결을 요청하는 경우 인터페이스의 프로젝트가 이 목록에 없으면 Private Service Connect 인터페이스의 VM 생성이 실패합니다.
거부 목록: ACCEPT_MANUAL 연결 환경설정이 있는 네트워크 연결의 프로젝트 ID 목록입니다.
이 목록에 있는 프로젝트의 새 연결은 명시적으로 거부되고 Private Service Connect 인터페이스의 VM 생성이 실패합니다.
네트워크 연결이 수동으로 연결을 수락하도록 구성되었고 프로듀서 프로젝트를 허용 및 거부 목록 모두에 추가한 경우 해당 프로젝트의 연결 요청이 거부됩니다. Private Service Connect 인터페이스의 VM 생성이 실패합니다.
연결
네트워크 연결이 Private Service Connect 인터페이스의 연결 요청을 수락하면 논리적 연결이 형성됩니다. 이 연결은 네트워크 연결과 이를 참조하는 네트워크 인터페이스로 구성된 튜플입니다. 프로듀서 VM의 인터페이스는 소비자 VPC 네트워크에 논리적으로 속하지만 수명 주기는 프로듀서가 관리합니다. 예를 들어 그림 1의 네트워크 연결에는 두 개의 연결이 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-02(UTC)"],[],[],null,["# About network attachments\n=========================\n\nThis page provides an overview of network attachments.\n\nA network attachment is a resource that lets a producer\nVirtual Private Cloud (VPC) network initiate connections to a consumer\nVPC network through a\n[Private Service Connect interface](/vpc/docs/about-private-service-connect-interfaces).\n\nIf a network attachment accepts a connection from a\nPrivate Service Connect interface, Google Cloud\nallocates to the interface an internal IP address from a consumer subnet that's\nspecified by the network attachment. The Private Service Connect\ninterface's virtual machine (VM) instance has at least one more regular network\ninterface that connects to a producer subnet.\n\nThis Private Service Connect interface connection lets\nproducer and consumer organizations configure their VPC networks\nso that the two networks are connected and can communicate by using internal IP\naddresses. For example, the producer organization can update the producer\nVPC network to\n[add routes for consumer subnets](/vpc/docs/create-manage-private-service-connect-interfaces#add-routes).\n\nA connection between a network attachment and a\nPrivate Service Connect interface is similar to the connection\nbetween a Private Service Connect\n[endpoint](/vpc/docs/private-service-connect#endpoints) and a\n[service attachment](/vpc/docs/private-service-connect#service-attachments), but\nit has two key differences:\n\n- A network attachment lets a producer VPC network initiate connections to a consumer VPC network (managed service egress). An endpoint works in the reverse direction, letting a consumer VPC network initiate connections to a producer VPC network (managed service ingress).\n- A Private Service Connect interface connection is transitive. This means that workloads in a producer VPC network can initiate connections to workloads in [other VPC networks that are connected to the consumer VPC network](/vpc/docs/about-private-service-connect-interfaces#other-networks).\n\nFor example, a service consumer organization might want to provide a managed\nservice access to consumer data that is only available in the consumer's\nVPC network. The service might also need access to data or\nservices that are available on-premises, through a VPN or Cloud Interconnect\nconnection, or from a third-party service. Additionally, the consumer might want\nto require that any internet-bound traffic that uses their data travels through\ntheir own egress gateway. This lets the consumer monitor the traffic and provide custom security.\n\nA Private Service Connect interface connection can fulfill all of\nthese requirements.\n[](/static/vpc/images/psc-interfaces/network-attachment-overview.svg) **Figure 1.** A network attachment in a consumer\nVPC network is connected to two\nPrivate Service Connect interfaces in a producer\nVPC network (click to enlarge).\n\nSpecifications\n--------------\n\nNetwork attachments have the following specifications:\n\n- A network attachment is a regional resource that represents the consumer side of a [Private Service Connect interface](/vpc/docs/about-private-service-connect-interfaces) connection.\n- Network attachments let you explicitly or automatically accept connections from Private Service Connect interfaces.\n- A network attachment is associated with a single subnet. You can use IPv4-only\n or dual-stack subnets with network attachments. For more information, see\n [Subnet assignment](#subnet-assignment).\n\n You can't use IPv6-only subnets with network attachments.\n- When a connection request is accepted, the\n Private Service Connect interface is allocated an IP address\n from the network attachment's subnet.\n\n- Multiple Private Service Connect interfaces can connect to the\n same network attachment.\n\n- Network attachments support [Shared VPC](/vpc/docs/shared-vpc). You\n can create a network attachment in a service project, but the attachment's\n subnet must be in a host project.\n\n- A connection between a network attachment and a\n Private Service Connect interface is bi-directional.\n\n- A connection between a network attachment and a\n Private Service Connect interface is\n [transitive](/vpc/docs/about-private-service-connect-interfaces#other-networks).\n Workloads in the producer VPC network can communicate with\n workloads that are connected to the consumer VPC network.\n\n- A network attachment can connect to both virtual and dynamic\n Private Service Connect interfaces.\n\nSubnet assignment\n-----------------\n\nWhen you create a network attachment, you must assign it a single subnet. If a\nconnection request from a producer interface is accepted, either because the\nattachment is configured to automatically accept connections or the producer\nproject is included in the accept list, that interface is\nallocated an IP address from the subnet's IP address range.\n\nThis subnet has the following characteristics:\n\n- It must be a [regular subnet](/vpc/docs/subnets#purpose).\n- It can be an IPv4-only subnet or a dual-stack subnet with an internal IPv6 address range. If you want to send IPv6 traffic to the Private Service Connect interface, use a dual-stack subnet. However, not all service producers support IPv6.\n- IP addresses in the subnet are not reserved, and you can assign other resources to the subnet.\n- You cannot delete the subnet while it is assigned to a network attachment.\n- You can replace the subnet, and existing connections are not affected. Connections that are established after the subnet is replaced use the new subnet.\n- You can [expand the CIDR\n range](/vpc/docs/create-modify-vpc-networks#expand-subnet) of the subnet, and new address allocations will use the expanded range.\n\nAuthorization policies\n----------------------\n\nAuthorization policies control whether a network attachment accepts\na connection from a Private Service Connect interface. An\nauthorization policy is composed of the following three fields of a\nnetwork attachment:\n\n- *Connection preference* : can be either `ACCEPT_AUTOMATIC` or `ACCEPT_MANUAL`.\n - `ACCEPT_AUTOMATIC`: new connections are automatically accepted.\n - `ACCEPT_MANUAL`: the state of new connections is determined by a network attachment's accept list.\n- *Accept list* : a list of project IDs for network attachments that have the `ACCEPT_MANUAL` connection preference. New connections from projects in this list are accepted. If a Private Service Connect interface requests a connection, and the interface's project is not in this list, creation of the Private Service Connect interface's VM fails.\n- *Reject list* : a list of project IDs for network attachments that have the `ACCEPT_MANUAL` connection preference. New connections from projects in this list are explicitly rejected, and creation of the Private Service Connect interface's VM fails.\n\nIf a network attachment is configured to manually accept connections,\nand you add a producer project to both the accept and reject lists,\nconnection requests from that project are rejected. Creation of the\nPrivate Service Connect interface's VM fails.\n\nConnections\n-----------\n\nWhen a network attachment accepts a connection request from a\nPrivate Service Connect interface, a logical\nconnection is formed. This connection is\nthe tuple consisting of the network attachment and the network interface\nthat refers to it. The interface of a producer VM logically belongs to the\nconsumer VPC network, but its lifecycle is managed by the\nproducer. For example, the network attachment in figure 1 has two connections.\n\nYou can view accepted connections when you\n[Describe a network attachment](/vpc/docs/create-manage-network-attachments#describe).\n\nLimitations\n-----------\n\n- You can only update the subnet, accept list, reject list, and description of a network attachment. If you want to update other fields, delete the attachment and create a new one.\n- You cannot delete a network attachment if it has any open connections. In this case, the producer organization must first delete the associated Private Service Connect interfaces.\n- Private Service Connect interfaces don't support external IP addresses.\n\nPricing\n-------\n\nPricing for network attachments is described on the\n[VPC pricing page](/vpc/pricing#psc-network-interface).\n\nQuota\n-----\n\nThere is a limit for how many network attachments you can create per region in a\nsingle project. For more information, see the per-project\n[quotas](/vpc/docs/quota#network-attachments-quota) in the VPC\ndocumentation.\n\nWhat's next\n-----------\n\n- [Create and manage network attachments](/vpc/docs/create-manage-network-attachments)"]]
