Private Service Connect のポートマッピングについて

このページでは、Private Service Connect のポートマッピングの概要について説明します。

Private Service Connect ポートマッピングを使用すると、コンシューマー仮想マシン（VM）インスタンスは、1 つの Private Service Connect エンドポイントを介して、特定のプロデューサー VM の特定のサービスポートと非公開で通信できます。

サービスコンシューマーは、エンドポイントのさまざまなクライアント宛先ポートにトラフィックを送信します。Private Service Connect は、プロデューサー定義のマッピングを使用して、指定されたサービスポートとプロデューサー VM にトラフィックを転送します。ネットワークのコンテキストによっては、この方法はポート転送とも呼ばれます。

ポートマッピングと通常の Private Service Connect

マネージドサービスは、多くの場合、VM のクラスタとして設計されます。異なる VM は、同じサービスの個別のインスタンスを表します。すべての VM は、同じポートで同じオペレーションを公開します。たとえば、データベースサービスは、データベースの読み取りオペレーションにポート 1000 を使用し、データベースの書き込みオペレーションにポート 2000 を使用します。コンシューマー VM は、サービスインスタンスに関連付けられた VM のポートをターゲットに指定して、特定のサービスインスタンスと通信します。

Private Service Connect エンドポイントとサービスアタッチメント間の通常の接続（ロードバランシングされた接続）は、この状況には適していません。通常の Private Service Connect 接続では、コンシューマー VM はエンドポイントの IP アドレスの 1 つ以上のポートにトラフィックを送信します。すべてのトラフィックがロードバランスされ、トラフィックを受信するポートのバックエンドとして構成されている正常なプロデューサー VM に送信されます。

一方、Private Service Connect ポートマッピングではロードバランシングは行われません。この方法では、コンシューマー VM は、トラフィックを受信するクライアント宛先ポートに基づいて、特定のプロデューサー VM の特定のサービスポートをターゲットに設定できます。

**図 1.** Private Service Connect ポートマッピングは、ポートマッピング NEG 用に構成されたマッピングに基づいて、エンドポイントのクライアント宛先ポートからプロデューサー VM のサービスポートにトラフィックを転送します（クリックして拡大）。

Private Service Connect ポートマッピングを使用すると、コンシューマー VM は次のプロセスで特定のプロデューサー VM と通信できます。

コンシューマー VM は、指定されたクライアント宛先ポートを使用して、エンドポイントの IP アドレスにパケットを送信します。クライアントの宛先ポートは、パケットの宛先 VM とポートの固有識別子として機能します。
Private Service Connect は、トラフィックを受信するクライアント宛先ポートのマッピングを使用して、パケットの宛先を決定します。
Private Service Connect は、トラフィックを宛先 VM とサービスポートに転送します。

たとえば、図 1 では、パケットは次のように転送されます。

エンドポイントのクライアント宛先ポート 1001 に送信されるパケットは、vm-1 のサービスポート 1000 に転送されます。
エンドポイントのクライアント宛先ポート 1002 に送信されるパケットは、vm-1 のサービスポート 2000 に転送されます。
エンドポイントのクライアント宛先ポート 1003 に送信されるパケットは、vm-2 のサービスポート 1000 に転送されます。
エンドポイントのクライアント宛先ポート 1004 に送信されるパケットは、vm-2 のサービスポート 2000 に転送されます。

デプロイ

Private Service Connect ポートマッピング接続のデプロイは、公開サービス用の通常の Private Service Connect エンドポイント接続のデプロイとは次のように異なります。

サービスプロデューサーがポートマッピングサービスを作成します。ポートマッピングサービスは、ポートマッピングのネットワークエンドポイントグループ（NEG）を使用します。この構成は内部パススルーネットワークロードバランサと似ていますが、トラフィックはロードバランスされません。
サービスプロデューサーは、ポートマッピング NEG のネットワークエンドポイントを構成し、Private Service Connect エンドポイントのクライアント宛先ポートから特定のプロデューサー VM のサービスポートへのマッピングを指定します。
サービスプロデューサーは、ポートマッピングサービスの転送ルールに関連付けられたサービスアタッチメントを作成します。
サービスプロデューサーは、クライアントの宛先ポートとそのマッピングをサービスコンシューマーと共有します。これは Google Cloud によって自動的に処理されません。
サービスコンシューマーは、プロデューサー定義のポートマッピングを使用して、マネージドサービスと通信するようにワークロードを構成します。

仕様

Private Service Connect のポートマッピングの仕様は次のとおりです。

Private Service Connect ポートマッピング接続には、プロデューサー VPC ネットワークのサービスアタッチメントに接続するコンシューマー VPC ネットワークの Private Service Connect エンドポイントが必要です。
サービスアタッチメントは、ポートマッピングサービスに関連付けられています。ポートマッピングサービスは、内部パススルーネットワークロードバランサと同様に構成されますが、トラフィックはロードバランスされません。ポートマッピングサービスは次の要素で構成されます。
- バックエンドサービスに接続する転送ルール。転送ルールは、TCP または UDP のいずれかのトラフィックに対して構成する必要があります。転送ルールは、すべてのクライアント宛先ポートのトラフィックを転送するように構成する必要があります。たとえば、Google Cloud CLI で --ports=ALL を指定します。ただし、使用するクライアント宛先ポートのポートマッピング NEG でマッピングを定義するだけで済みます。
- ポートマッピングネットワークエンドポイントグループ（NEG）を使用するように構成されたバックエンドサービス。サービスプロデューサーは、ポートマッピング NEG のネットワークエンドポイントを使用して、Private Service Connect エンドポイントのクライアント宛先ポートからサービスポートとプロデューサー VM の組み合わせへの一意のマッピングを定義します。
ポートマッピングサービスは、トラフィックをロードバランスするのではなく、ポートマッピング NEG で構成されたマッピングに基づいてトラフィックを転送します。
プロデューサーサービスは、有効なクライアント宛先ポートとそれらのマッピングをコンシューマーと共有する必要があります。Private Service Connect は、この情報をコンシューマーと共有しません。
コンシューマーは、プロデューサー定義のポートマッピングを使用してマネージドサービスと通信するようにワークロードを構成する必要があります。
Private Service Connect ポートマッピングは、エンドポイントがグローバルアクセスを使用するように構成されているかどうかにかかわらず、Private Service Connect エンドポイントをサポートします。
Private Service Connect ポートマッピングは、ハイブリッドアクセスをサポートしています。コンシューマーのオンプレミスワークロードは、Cloud Interconnect 接続または Cloud VPN を介して Private Service Connect エンドポイントにアクセスすることで、プロデューサー VM に到達できます。

制限事項

Private Service Connect ポートマッピングは IPv6 トラフィックをサポートしていません。
ポートマッピング NEG が接続されているバックエンドサービスでは、ヘルスチェックはサポートされていません。バックエンドサービスにポートマッピング NEG がある場合、検証によりヘルスチェックの構成がブロックされます。

Private Service Connect ポートマッピングでロードバランシングを使用する

Private Service Connect ポートマッピングは、トラフィックを受信するクライアントの宛先ポートのみに基づいてトラフィックを転送します。Private Service Connect ポートマッピングでロードバランシングを使用するには、次の操作を行います。

コンシューマー側でロードバランシングを実装するようコンシューマーに依頼します。コンシューマー VM で実行されるソフトウェアは、代替のクライアント宛先ポートにトラフィックを送信できます。
ポートマッピングサービスの代わりに、ロードバランサに接続する 2 つ目のサービスアタッチメントをプロデューサー VPC ネットワークに作成します。ロードバランサのバックエンドサービスで、ポートマッピング NEG と同じ VM をバックエンドとして使用します。コンシューマーは、ロードバランシングが必要なトラフィックを 2 番目のサービスアタッチメントに関連付けられたエンドポイントに送信できます。

割り当て

Private Service Connect ポートマッピングに関連する割り当てと上限については、割り当てと上限をご覧ください。

料金

Private Service Connect の料金については、VPC の料金ページをご覧ください。

Private Service Connect のポート マッピングについて

ポート マッピングと通常の Private Service Connect