이 페이지에서는 프로듀서 네트워크 관리자가 Private Service Connect 인터페이스를 사용하는 VPC 네트워크의 보안을 관리하는 방법을 설명합니다.
Private Service Connect 인터페이스는 소비자 Private Service Connect 네트워크에 존재하므로 프로듀서 조직은 인터페이스에 직접 적용되는 방화벽 규칙을 제어하지 않습니다. 프로듀서 조직에서 소비자 워크로드가 프로듀서 네트워크에 있는 VM에 대한 트래픽을 시작할 수 없도록 하거나 선택한 소비자 워크로드만 트래픽을 시작할 수 있도록 하려면 인터페이스 VM의 게스트 OS에 보안 정책을 정의해야 합니다.
소비자-프로듀서 간 인그레스 차단
iptables를 사용하여 Private Service Connect 인터페이스를 구성하여 소비자 네트워크의 인그레스 트래픽을 차단하지만 프로듀서 네트워크의 이그레스 트래픽을 계속 허용할 수 있습니다. 이 구성은 그림 1에 설명되어 있습니다.
소비자 트래픽은 Private Service Connect 인터페이스를 통해 인그레스에서 차단되지만 프로듀서 이그레스 트래픽은 허용됩니다(확대하려면 클릭).
소비자 네트워크에서 인그레스 트래픽을 차단하지만 프로듀서 네트워크의 이그레스 트래픽을 허용하도록 Private Service Connect 인터페이스를 구성하려면 다음을 수행합니다.
Private Service Connect 인터페이스의 VM에 대한 인그레스 SSH 연결을 허용하도록 방화벽 규칙이 구성되었는지 확인합니다.
Private Service Connect 인터페이스를 통해 소비자 시작 트래픽이 인그레스되지 않도록 차단합니다.
sudo iptables -A INPUT -j DROP -i OS_INTERFACE_NAME
Private Service Connect 인터페이스 생성 차단
Private Service Connect 인터페이스를 만들려면 사용자에게 compute.instances.pscInterfaceCreate Identity and Access Management(IAM) 권한이 있어야 합니다. 이 권한은 다음과 같은 역할에 포함되어 있습니다.
사용자에게 이러한 역할과 연결된 권한을 부여하되 사용자가 Private Service Connect 인터페이스를 만들지 못하게 하려면 커스텀 역할을 만들어 사용자에게 부여하면 됩니다. 역할에 필요한 권한을 추가합니다. compute.instances.pscInterfaceCreate 권한은 생략합니다.
다음 단계
Private Service Connect 인터페이스 연결이 있는 네트워크에서 대상 중복을 관리합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-07-08(UTC)"],[],[],null,["# Configure security for Private Service Connect interfaces\n=========================================================\n\nThis page describes how producer network administrators can manage\nsecurity in VPC networks that use\nPrivate Service Connect interfaces.\n\nBecause a Private Service Connect interface exists in a consumer\nPrivate Service Connect network, a producer organization does not\ncontrol firewall rules that apply directly to the interface. If a producer\norganization wants to ensure that consumer workloads cannot initiate traffic to\nVMs in the producer network, or that only selected consumer workloads can\ninitiate traffic, they must define security policies in the guest OS of their\ninterface's VM.\n\nBlock consumer-to-producer ingress\n----------------------------------\n\nYou can use `iptables` to configure a Private Service Connect\ninterface to block ingress traffic from a consumer network, but still allow\negress traffic from the producer network. This configuration is illustrated by\nfigure 1.\n[](/static/vpc/images/psc-interfaces/block-consumer-to-producer-ingress.svg) Consumer traffic is blocked from ingress through a Private Service Connect interface, but producer egress traffic is allowed (click to enlarge).\n\nTo configure a Private Service Connect interface to block ingress\ntraffic from the consumer network but allow egress traffic from the producer\nnetwork, do the following:\n\n1. Ensure that firewall rules are configured to\n [allow ingress SSH connections](/firewall/docs/using-firewalls#common-use-cases-allow-ssh)\n to your Private Service Connect interface's VM.\n\n2. [Connect](/compute/docs/connect/standard-ssh#connect_to_vms) to the VM.\n\n3. If the `iptables` command isn't available, install it.\n\n4. Allow consumer reply traffic to ingress into the\n Private Service Connect interface:\n\n ```\n sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -i OS_INTERFACE_NAME\n ```\n\n Replace \u003cvar translate=\"no\"\u003eOS_INTERFACE_NAME\u003c/var\u003e with the\n [guest OS name for your Private Service Connect interface](/vpc/docs/configure-routing-private-service-connect-interfaces#find-os-interface-name).\n5. Block consumer-initiated traffic from ingressing through the\n Private Service Connect interface:\n\n ```\n sudo iptables -A INPUT -j DROP -i OS_INTERFACE_NAME\n ```\n\nBlock Private Service Connect interface creation\n------------------------------------------------\n\nTo create Private Service Connect interfaces, users\nmust have the `compute.instances.pscInterfaceCreate` Identity and Access Management (IAM)\npermission. This permission is included in the following roles:\n\n- [Compute Admin](/compute/docs/access/iam#compute.admin) (`roles/compute.admin`)\n- [Compute Instance Admin (v1)](/iam/docs/understanding-roles#compute.instanceAdmin.v1) (`roles/compute.instanceAdmin.v1`)\n\nIf you want a user to have the permissions that are associated with these\nroles, while preventing that user from creating\nPrivate Service Connect interfaces, you can\n[Create a custom role](/iam/docs/creating-custom-roles#creating) and grant\nit to the user. Add the necessary permissions to the role. Omit the\n`compute.instances.pscInterfaceCreate` permission.\n\nWhat's next?\n------------\n\n- [Manage destination overlap](/vpc/docs/manage-destination-overlap) in a network that has a Private Service Connect interface connection."]]
