Como configurar o Acesso privado do Google para hosts locais

O Acesso privado do Google para hosts locais fornece uma maneira de os sistemas locais se conectarem a APIs e serviços do Google roteando o tráfego por meio de um túnel de VPN do Cloud ou um anexo do Cloud Interconnect. (VLAN). O Acesso privado do Google para hosts locais é uma alternativa à conexão com APIs e serviços do Google pela Internet.

Neste documento, descrevemos como ativar o Acesso privado do Google para hosts locais.

Especificações e requisitos

O Acesso privado do Google para hosts locais tem os seguintes requisitos:

• O Acesso privado do Google não ativa nenhuma API automaticamente. É necessário ativar separadamente as APIs do Google que você precisa usar por meio da página de APIs e serviços no Console do Google Cloud.

• Você precisa direcionar o tráfego de serviços e APIs do Google enviados por sistemas locais para os endereços IP associados aos nomes de domínio especial private.googleapis.com ou restricted.googleapis.com. Consulte Opções de domínio para ver detalhes sobre quais serviços podem ser acessados em cada domínio.

• Sua rede local precisa estar conectada a uma rede VPC usando túneis do Cloud VPN ou anexos do Cloud Interconnect (VLANs).

• A rede VPC a que sua rede local está conectada precisa ter rotas apropriadas para intervalos de IP de destino private.googleapis.com ou restricted.googleapis.com. Consulte Roteamento de rede VPC para ver detalhes.

• Sua rede local precisa ter rotas para os intervalos de IP de destino private.googleapis.com ou restricted.googleapis.com. Essas rotas precisam direcionar o tráfego para o túnel do Cloud VPN apropriado ou para o anexo do Cloud Interconnect (VLAN) que se conecta à sua rede VPC. Consulte roteamento local com o Cloud Router para ver detalhes.

Permissões

Proprietários de projetos, editores e membros do IAM com o papel Administrador de rede podem criar ou atualizar sub-redes e atribuir endereços IP.

Para saber mais informações sobre papéis, leia a documentação sobre os papéis do IAM.

Configuração de rede

O Acesso privado do Google para hosts locais tem requisitos de rede específicos para sistemas locais e para a rede VPC. Por meio deles, os sistemas locais enviam tráfego para serviços e APIs do Google.

Opções de domínio

O Acesso privado do Google para hosts locais exige que você direcione serviços para um dos domínios especiais a seguir. O domínio especial escolhido determina quais serviços é possível acessar:

• private.googleapis.com (199.36.153.8/30) fornece acesso à maioria das APIs e serviços do Google, incluindo APIs do Cloud e do desenvolvedor compatíveis com o VPC Service Controls e aquelas que não são compatíveis com o VPC Service Controls. O VPC Service Controls é aplicado quando você configura um perímetro de serviço.

• restricted.googleapis.com (199.36.153.4/30) fornece acesso apenas às APIs do Cloud e do desenvolvedor compatíveis com o VPC Service Controls. O VPC Service Controls é aplicado a esses serviços se você tiver configurado um perímetro de serviço. O acesso a qualquer API ou serviço do Google que não seja compatível com o VPC Service Controls é proibido.

Intervalos de domínios e endereços IP	Serviços compatíveis	Exemplo de uso
private.googleapis.com 199.36.153.8/30	Permite o acesso da API à maioria das APIs e serviços do Google, independentemente de serem compatíveis com o VPC Service Controls. Inclui acesso de API ao Google Maps, Google Ads, Google Cloud Platform e à maioria das outras APIs do Google, incluindo as listas abaixo. Não é compatível com aplicativos da Web do G Suite Nomes de domínio que terminam com: googleapis.com googleadapis.com ltsapis.goog gcr.io gstatic.com appspot.com cloudfunctions.net pki.goog cloudproxy.app run.app datafusion.googleusercontent.com datafusion.cloud.google.com Nomes de host/domínio correspondentes: packages.cloud.google.com gcr.io appengine.google.com pki.goog	Use private.googleapis.com para acessar APIs e serviços do Google usando um conjunto de endereços IP somente roteáveis do Google Cloud. Escolha private.googleapis.com nestas circunstâncias: Você não usa o VPC Service Controls. Você usa o VPC Service Controls, mas também precisa acessar APIs e serviços do Google que não são compatíveis com o VPC Service Controls.
restricted.googleapis.com 199.36.153.4/30	Permite o acesso da API a APIs e serviços do Google compatíveis com o VPC Service Controls. Bloqueia o acesso a APIs e serviços do Google que não são compatíveis com o VPC Service Controls. Não é compatível com aplicativos da Web do G Suite ou APIs do G Suite.	Use restricted.googleapis.com para acessar APIs e serviços do Google usando um conjunto de endereços IP somente roteáveis do Google Cloud. Escolha restricted.googleapis.com quando você só precisar de acesso a APIs e serviços do Google compatíveis com o VPC Service Controls. O restricted.googleapis.com não permite acesso a APIs e serviços do Google que não são compatíveis com o VPC Service Controls.

Observação: se você precisar restringir usuários apenas às APIs e aos serviços do Google compatíveis com o VPC Service Controls, use restricted.googleapis.com. Embora o VPC Service Controls seja aplicado a serviços compatíveis e configurados, independentemente do domínio usado, o restricted.googleapis.com fornece mitigação de risco adicional para exfiltração de dados. restricted.googleapis.com nega acesso a APIs e serviços do Google que não são compatíveis com o VPC Service Controls. Consulte Como configurar a conectividade privada na documentação do VPC Service Controls para mais detalhes.

Configuração do DNS

Sua rede local precisa ter zonas e registros do DNS configurados para que os nomes de domínio do Google sejam resolvidos para o conjunto de endereços IP de private.googleapis.com ou restricted.googleapis.com. É possível criar zonas particulares gerenciadas do Cloud DNS e usar uma política de servidor de entrada do Cloud DNS ou configurar servidores de nomes locais. Por exemplo, é possível usar BIND ou DNS do Microsoft Active Directory.

Crie uma zona e registros do DNS para *.googleapis.com:

1. Crie uma zona do DNS para googleapis.com. Considere criar uma zona particular do Cloud DNS para essa finalidade.

2. Na zona googleapis.com, crie um dos seguintes registros A, dependendo do domínio escolhido:

   • Um registro A para private.googleapis.com que aponta para os seguintes endereços IP: 199.36.153.8, 199.36.153.9, 199.36.153.10, 199.36.153.11
   • Um registro A para restricted.googleapis.com que aponta para os seguintes endereços IP: 199.36.153.4, 199.36.153.5, 199.36.153.6, 199.36.153.7

   Se você estiver usando o Cloud DNS, adicione os registros à zona particular googleapis.com.

3. Na zona googleapis.com, crie um registro CNAME para *.googleapis.com que aponte para o registro A criado na etapa anterior.

Algumas APIs e serviços do Google são fornecidos usando nomes de domínio adicionais, incluindo *.gcr.io, *.gstatic.com e pki.goog. Consulte a tabela de intervalos de endereços IP e domínios em requisitos de rede para determinar se os serviços do domínio adicional podem ser acessados usando private.googleapis.com ou restricted.googleapis.com. Em seguida, para cada um dos domínios adicionais:

1. Crie uma zona do DNS para o domínio adicional (por exemplo, gcr.io). Se você estiver usando o Cloud DNS, verifique se essa zona está localizada no mesmo projeto que a zona particular googleapis.com.
2. Nesta zona do DNS:
   • Crie um registro A para o próprio nome de domínio (zona). Por exemplo, gcr.io. Aponte esse registro A para os mesmos quatro endereços IP para o nome de domínio personalizado escolhido (private.googleapis.com ou restricted.googleapis.com).
   • Crie um registro CNAME para todos os possíveis nomes de host do domínio usando um asterisco e um ponto seguido pelo nome do domínio (zona). Por exemplo, *.gcr.io. Aponte este registro CNAME para o registro A na mesma zona. Por exemplo, aponte *.gcr.io para gcr.io.

Se você implementou a configuração de DNS usando o Cloud DNS, será necessário configurar sistemas locais para que eles façam consultas nas zonas particulares gerenciadas do Cloud DNS:

• Crie uma política de servidor de entrada na rede VPC a que sua rede local se conecta.
• Identifique os pontos de entrada do encaminhador de entrada nas regiões em que os túneis do Cloud VPN e os anexos do Cloud Interconnect (VLANs) estão localizados na rede VPC a que sua rede local se conecta.
• Configure sistemas locais e servidores de nomes de DNS locais para encaminhar googleapis.com e qualquer um dos outros nomes de domínio para um ponto de entrada de encaminhador de entrada na mesma região que o túnel do Cloud VPN ou o anexo do Cloud Interconnect (VLAN) que se conecta à rede VPC.

Roteamento de rede VPC

A rede VPC a que a rede local se conecta precisa ter rotas para os intervalos de endereços IP usados por private.googleapis.com ou restricted.googleapis.com. Essas rotas precisam usar o próximo salto de gateway de Internet padrão.

O Google não publica rotas na Internet para os intervalos de endereço IP usados pelos domínios private.googleapis.com ou restricted.googleapis.com. Consequentemente, mesmo que as rotas na rede VPC enviem tráfego para o próximo salto do gateway de Internet padrão, os pacotes enviados para 199.36.153.8/30 e 199.36.153.4/30 permanecerão na rede do Google.

Se a rede VPC a que sua rede local se conecta tiver uma rota padrão em que o próximo salto seja o gateway de Internet padrão, essa rota atenderá aos requisitos de roteamento do Acesso privado do Google para hosts locais.

Roteamento personalizado de rede VPC

Caso tenha substituído ou alterado a rota padrão, verifique se você tem rotas estáticas personalizadas configuradas para os intervalos de IP de destino usados por private.googleapis.com ou restricted.googleapis.com. Para verificar a configuração de rotas personalizadas para APIs e serviços do Google em uma determinada rede, siga estas instruções.

Console

1. Acesse a página "Rotas" no Console do Google Cloud.
   Acessar a página "Rotas"
2. Use o campo de texto Filtrar tabela para filtrar a lista de rotas usando os critérios a seguir, substituindo network-name pelo nome da rede VPC a que sua rede local se conecta:
   • Rede: network-name
   • Próximo tipo de salto: default internet gateway
3. Observe a coluna Intervalo de IP de destino de cada rota. Procure uma rota que tenha o intervalo de destino correspondente:
   • 199.36.153.8/30 se você escolheu private.googleapis.com
   • 199.36.153.4/30 se você escolheu restricted.googleapis.com

gcloud

Use o seguinte comando gcloud, substituindo network-name pelo nome da rede VPC a que sua rede local se conecta:

gcloud compute routes list \
    --filter="default-internet-gateway network-name"

As rotas são listadas no formato de tabela, a menos que você personalize o comando com a sinalização --format. Procure na coluna DEST_RANGE uma rota em que o intervalo de destino corresponda:

• 199.36.153.8/30 se você escolheu private.googleapis.com
• 199.36.153.4/30 se você escolheu restricted.googleapis.com

Se você precisar criar rotas na sua rede VPC, consulte Como adicionar uma rota estática.

Roteamento local com o Cloud Router

As rotas na rede local precisam ser configuradas para direcionar o tráfego para os intervalos de endereços IP usados pelos domínios private.googleapis.com ou restricted.googleapis.com para os próximos túneis do Cloud VPN ou anexos do Cloud Interconnect (VLANs) que se conectam à sua rede VPC.

Use os anúncios de rota personalizada do Cloud Router para anunciar rotas para os seguintes destinos:

• 199.36.153.8/30 se você escolheu private.googleapis.com
• 199.36.153.4/30 se você escolheu restricted.googleapis.com

Importante: os intervalos de endereços IP para private.googleapis.com e restricted.googleapis.com não são roteáveis na Internet.

Console

Para atualizar o modo de divulgação de rota para todas as sessões do BGP em um Cloud Router, exceto as sessões do BGP que usam anúncios BGP personalizados:

1. Acesse a página do Cloud Router no Console do Google Cloud.
   Lista do Cloud Router
2. Selecione o Cloud Router que gerencia sessões do BGP para os túneis do Cloud VPN ou anexos do Cloud Interconnect (VLANs) que conectam a rede local à rede VPC.
3. Na página de detalhes do Cloud Router, selecione Editar.
4. Expanda a seção Rotas divulgadas.
5. Em Rotas, selecione Criar rotas personalizadas.
6. Selecione Anunciar todas as sub-redes visíveis para o Cloud Router para anunciar todas as rotas de sub-rede disponíveis para o Cloud Router se você quiser o comportamento padrão do Cloud Router.
7. Selecione Adicionar rota personalizada para adicionar uma rota anunciada.
8. Configure a divulgação de rota.
   • Origem: selecione Intervalo de IP personalizado para especificar um intervalo de IP personalizado.
   • Intervalo de endereços IP. Especifique:
     • 199.36.153.8/30 se você escolheu private.googleapis.com
     • 199.36.153.4/30 se você escolheu restricted.googleapis.com
   • Descrição: adicione uma descrição.
9. Quando terminar de adicionar as rotas, selecione Salvar.

Para atualizar o modo de divulgação de rota para uma sessão específica do BGP:

1. Acesse a página do Cloud Router no Console do Google Cloud.
   Lista do Cloud Router
2. Selecione o Cloud Router que gerencia a sessão do BGP para um túnel do Cloud VPN ou um anexo do Cloud Interconnect (VLAN) que conecta sua rede local à rede VPC.
3. Na página de detalhes do Cloud Router, selecione a sessão do BGP a ser atualizada.
4. Na página de detalhes da sessão do BGP, clique em Editar.
5. Em Rotas, selecione Criar rotas personalizadas.
6. Selecione Anunciar todas as sub-redes visíveis para o Cloud Router para anunciar todas as rotas de sub-rede disponíveis para o Cloud Router se você quiser o comportamento padrão do Cloud Router.
7. Selecione Adicionar rota personalizada para adicionar uma rota anunciada.
8. Configure a divulgação de rota.
   • Origem: selecione Intervalo de IP personalizado para especificar um intervalo de IP personalizado.
   • Intervalo de endereços IP. Especifique:
     • 199.36.153.8/30 se você escolheu private.googleapis.com
     • 199.36.153.4/30 se você escolheu restricted.googleapis.com
   • Descrição: adicione uma descrição.
9. Quando terminar de adicionar as rotas, selecione Salvar.

gcloud

1. Identifique o nome e a região do Cloud Router que gerencia sessões do BGP nos túneis do Cloud VPN ou anexos do Cloud Interconnect (VLANs) que conectam sua rede local à rede VPC.

2. Use compute routers update para atualizar o modo de divulgação de rota em todas as sessões do BGP do Cloud Router, exceto as sessões do BGP que usam anúncios BGP personalizados:

   gcloud compute routers update router-name \
       --region=region \
       --advertisement-mode=CUSTOM \
       --set-advertisement-groups=ALL_SUBNETS \
       --set-advertisement-ranges=custom-ranges
   

   É possível anexar novos intervalos de divulgação se você já estiver usando o modo de divulgação CUSTOM para o Cloud Router. Isso atualiza o modo de divulgação de rota em todas as sessões do BGP do Cloud Router, exceto as sessões do BGP que usam anúncios BGP personalizados:

   gcloud compute routers update router-name \
       --region=region \
       --add-advertisement-ranges=custom-ranges
   

3. Como alternativa, use compute routers update-bgp-peer para configurar um peering do BGP no Cloud Router:

   gcloud compute routers update router-name \
       --region=region \
       --peer-name=peer-name \
       --advertisement-mode=CUSTOM \
       --set-advertisement-groups=ALL_SUBNETS \
       --set-advertisement-ranges=custom-ranges
   

   É possível anexar novos intervalos de divulgação se você já estiver usando o modo de divulgação CUSTOM para uma sessão do BGP em um Cloud Router.

   gcloud compute routers update router-name \
       --region=region \
       --peer-name=peer-name \
       --add-advertisement-ranges=custom-ranges
   

   Nos comandos acima, substitua o seguinte por valores válidos:

   • router-name: o nome do Cloud Router
   • region: a região do Cloud Router
   • peer-name: o nome do peering do BGP configurado quando você cria um anexo de interconexão (VLAN) para a Interconexão dedicada, ao criar um anexo de interconexão (VLAN) para o Partner Interconnect ao criar um túnel VPN de alta disponibilidade ou ao criar um túnel de VPN clássica usando roteamento dinâmico.
   • Deixe --set-advertisement-groups=ALL_SUBNETS para anunciar todas as rotas de sub-rede disponíveis para o Cloud Router. Esse é o comportamento padrão do Cloud Router.
   • custom-ranges: uma lista delimitada por vírgulas de intervalos personalizados para anunciar. Se você escolheu private.googleapis.com, use 199.36.153.8/30. Se você escolheu restricted.googleapis.com, use 199.36.153.4/30.

Considerações sobre firewall

As regras de firewall do Google Cloud na rede VPC a que sua rede local se conecta não têm efeito:

• Pacotes enviados por meio de um túnel do Cloud VPN conectado à rede VPC
• Pacotes enviados por meio de um anexo do Cloud Interconnect (VLAN) conectado à rede VPC
• Pacotes de entrada para endereços IP de encaminhamento de entrada do Cloud DNS na rede VPC

Verifique se a configuração do firewall dos sistemas locais permite o tráfego de saída e as respostas estabelecidas de:

• 199.36.153.8/30 se você usar private.googleapis.com
• 199.36.153.4/30 se você usar restricted.googleapis.com
• qualquer endereço IP de encaminhamento de entrada do Cloud DNS, se você estiver usando o Cloud DNS para a configuração de DNS

A seguir

• Consulte Como configurar o Acesso privado do Google para VPC se você precisar de VMs em sua rede VPC do Google Cloud para acessar APIs e serviços do Google.