Private Service Connect

Questo documento fornisce una panoramica di Private Service Connect.

Private Service Connect è una funzionalità della rete di Google Cloud che consente ai consumer di accedere ai servizi gestiti in privato dall'interno della loro rete VPC. Analogamente, consente ai producer di servizi gestiti di ospitare questi servizi nelle proprie reti VPC separate e di offrire una connessione privata ai propri consumer. Ad esempio, quando utilizzi Private Service Connect per accedere a Cloud SQL, e Google è il producer di servizi.

Con Private Service Connect, i consumer possono utilizzare i propri indirizzi IP interni per accedere ai servizi senza uscire dalle proprie reti VPC. Il traffico rimane interamente all'interno di Google Cloud. Private Service Connect offre un accesso orientato ai servizi tra consumer e producer e un controllo completo sulle modalità di accesso ai servizi.

Private Service Connect supporta l'accesso ai seguenti tipi di servizi gestiti:

Figura 1. Private Service Connect ti consente di inviare il traffico verso endpoint e backend che lo inoltrano agli endpoint gestiti inclusi i servizi pubblicati e le API di Google. Le interfacce di Private Service Connect consentono ai servizi gestiti per avviare le connessioni alle reti VPC consumer.

Private Service Connect fornisce connettività privata con le seguenti caratteristiche:

  • Design orientato ai servizi: i servizi producer vengono pubblicati tramite bilanciatori del carico che espongono un singolo indirizzo IP alla rete VPC consumer. Il traffico dei consumer che accede ai servizi del producer è unidirezionale e può accedere solo all'indirizzo IP del servizio, anziché avere accesso a un'intera rete VPC in peering.
  • Autorizzazione esplicita: Private Service Connect fornisce un modello di autorizzazione che offre a consumer e producer un controllo granulare, garantendo che solo gli endpoint di servizio previsti e nessuna altra risorsa possano connettersi a un servizio.
  • Nessuna dipendenza condivisa: il traffico tra consumer e producer utilizza NAT in modo che nessun coordinamento degli indirizzi IP o altre dipendenze delle risorse condivise tra le reti VPC consumer e producer. Questa indipendenza semplifica il deployment e ti consente di scalare più facilmente i servizi gestiti.
  • Rendimento a velocità di linea: il traffico di Private Service Connect viene inviato direttamente dai client consumer ai backend dei producer senza hop o proxy intermedi. La NAT viene eseguita direttamente sulle macchine host fisiche che ospitano le VM di consumer e producer, il che riduce la latenza e aumenta la capacità della larghezza di banda. La capacità di larghezza di banda Private Service Connect è limitato solo dalla larghezza di banda delle macchine client e server che comunicano direttamente.

Tipi di Private Service Connect

Private Service Connect è disponibile in diversi tipi offrono capacità e modalità di comunicazione diverse.

I producer di servizi pubblicano le loro applicazioni per i consumer creando servizi Private Service Connect. Accesso consumer di servizi dei servizi Private Service Connect direttamente questi tipi di Private Service Connect:

  • Endpoint Private Service Connect: endpoint vengono implementate utilizzando regole di forwarding che forniscono al consumatore un indirizzo IP indirizzo IP mappato a Private Service Connect completamente gestito di Google Cloud.
  • Backend Private Service Connect: i backend sono il deployment tramite gruppi di endpoint di rete (NEG) che permettono ai consumatori di indirizzare al bilanciatore del carico prima di raggiungere Servizio Private Service Connect.

I producer di servizi possono avviare connessioni ai consumer di servizi utilizzando Interfacce Private Service Connect. Le interfacce Private Service Connect forniscono comunicazione bidirezionale e possono essere utilizzate nella stessa rete VPC degli endpoint e dei backend.

Endpoint

Gli endpoint di Private Service Connect sono indirizzi IP interni di una rete VPC del consumer a cui i client della stessa rete possono accedere direttamente. Gli endpoint vengono creati eseguendo il deployment di un regola che fa riferimento a un collegamento al servizio o a un set di API di Google.

Il seguente diagramma mostra un endpoint Private Service Connect che ha come target un servizio pubblicato in esecuzione in una rete e un'organizzazione VPC distinta. Gli endpoint Private Service Connect e i servizi pubblicati permettono le aziende indipendenti comunicano tra loro usando indirizzi IP interni. Per ulteriori informazioni, consulta Informazioni sull'accesso ai servizi pubblicati tramite endpoint.

Figura 2. Private Service Connect ti consente di inviare il traffico verso gli endpoint che inoltrano il traffico ai servizi pubblicati in un'altra rete VPC.

Analogamente, un endpoint Private Service Connect può essere utilizzato per accedere alle API di Google come Cloud Storage o BigQuery. Questa funzionalità è simile all'accesso privato Google, tranne per il fatto che puoi utilizzare i tuoi indirizzi IP interni per gli endpoint. Private Service Connect ti consente di controllare più direttamente il routing e di creare tutti gli endpoint necessari per la tua rete. Per ulteriori informazioni, consulta Informazioni sull'accesso alle API di Google tramite gli endpoint.

Figura 3. Private Service Connect ti consente di inviare il traffico a endpoint che lo inoltrano alle API di Google.

Backend

I backend Private Service Connect consentono a Google Cloud di caricare i bilanciatori del traffico inviano il traffico tramite Private Service Connect alla copertura o i servizi pubblicati, o API di Google. I backend vengono implementati tramite gruppi di endpoint di rete (NEG) Private Service Connect che fanno riferimento a un collegamento di servizio del producer o a un'API di Google supportata. Posizionare un bilanciatore del carico davanti a un servizio gestito offre al consumatore più visibilità e controllo di quanto sia possibile tramite un endpoint Private Service Connect. I backend ti consentono di creare configurazioni come le seguenti:

  • Domini e certificati di proprietà del cliente visibili ai servizi gestiti
  • Failover controllato dal consumatore tra servizi gestiti in regioni diverse
  • Configurazione di sicurezza e controllo dell'accesso centralizzati per i servizi gestiti

Il seguente diagramma mostra un bilanciatore del carico delle applicazioni interno di cui è stato eseguito il deployment con i backend Private Service Connect che fanno riferimento a un servizio pubblicato. Nella configurazione sono presenti due bilanciatori del carico:

  • Il bilanciatore del carico consumer che fornisce controllo, visibilità e sicurezza di traffico al servizio.
  • Il bilanciatore del carico del produttore che bilancia il traffico tra i backend del servizio.

Figura 4. Private Service Connect ti consente di inviare il traffico verso backend che lo inoltrano ai servizi pubblicati.

Analogamente agli endpoint Private Service Connect, anche i backend supportano il targeting delle API di Google. Il seguente diagramma mostra un bilanciatore del carico delle applicazioni interno che ha come target un bucket Cloud Storage e termina il traffico utilizzando un dominio di proprietà del cliente.

Figura 5. Private Service Connect ti consente di inviare il traffico ai backend che lo inoltrano a un'API Google regionale.

Interfacce

Un'interfaccia Private Service Connect è un tipo speciale di interfaccia di rete che fa riferimento a un collegamento di rete.

Un producer di servizi può creare un'interfaccia Private Service Connect e richiedere una connessione a un collegamento di rete. Se il consumer di servizi accetta la connessione, Google Cloud alloca all'interfaccia un indirizzo IP da una subnet nella rete VPC consumer specificata collegamento di rete. La VM dell'interfaccia Private Service Connect ha una seconda interfaccia di rete standard che si connette alla rete VPC del producer.

Una connessione tra un'interfaccia di Private Service Connect e una collegamento di rete è simile alla connessione tra Endpoint Private Service Connect e un collegamento al servizio, ma presenta due differenze fondamentali:

  • Un'interfaccia Private Service Connect consente a una rete VPC del producer di avviare connessioni a una rete VPC del consumer (traffico in uscita dal servizio gestito). Un endpoint funziona nella direzione inversa, Consentire a una rete VPC consumer di avviare connessioni a un producer Rete VPC (servizio gestito in entrata).
  • Una connessione dell'interfaccia Private Service Connect è transitiva. Ciò significa che i carichi di lavoro in una rete producer possono avviare connessioni ad altri carichi di lavoro connessi alla rete VPC consumer. Gli endpoint Private Service Connect possono avviare connessioni solo alla rete VPC del producer.

Figura 6. Le interfacce Private Service Connect consentono ai producer di servizi di avviare connessioni ai consumer di servizi.

Servizi gestiti di Private Service Connect

I servizi gestiti sono servizi di proprietà e gestiti da persone diverse dall'utente del servizio. Private Service Connect può essere utilizzato per accedere ai servizi gestiti di proprietà di Google, a società di software as a service (SaaS) di terze parti o ad altri team all'interno della stessa azienda del consumatore. Entrambi e le API di Google possono essere destinazioni Private Service Connect.

Servizi pubblicati

I servizi pubblicati sono ospitati su VPC. di cui viene eseguito il deployment nella rete VPC del producer a cui si accede dalla rete VPC del consumer. La pubblicazione di un servizio consente al producer di servizi di possedere e controllare il deployment del servizio nella propria rete VPC. I servizi pubblicati possono includere quanto segue:

  • Servizi Google, come GKE, Apigee o Cloud Composer. Questi servizi vengono eseguiti in progetti tenant e reti VPC sono gestiti da Google.
  • Terze parti Google Cloud, in cui terze parti offrono l'accesso privato a un servizio pubblicato in Google Cloud.
  • Servizi intra-organizzazione, in cui una singola azienda ha client che accedono alle applicazioni interne su reti VPC diverse. Alcune organizzazioni utilizzano reti VPC separate per la segmentazione interna. Data questa configurazione, un team può offrire un servizio gestito a un altro team che opera in una rete VPC separata.

Collegamenti di servizi

I collegamenti di servizio sono risorse utilizzate per creare servizi pubblicati di Private Service Connect.

Puoi accedere agli allegati dei servizi utilizzando endpoint o backend. Più backend o possono connettersi allo stesso collegamento a un servizio, il che consente Le reti VPC o più consumer accedono allo stesso servizio in esecuzione in un'istanza Compute Engine.

Un collegamento a un servizio ha come target un bilanciatore del carico del producer e consente ai client in un l'accesso alla rete VPC consumer al bilanciatore del carico. Il servizio di collegamento degli allegati definisce quanto segue:

  • Un elenco di accettazione dei consumatori che definisce quali consumatori sono autorizzati a connettersi al servizio.
  • La subnet NAT da cui proviene il traffico tradotto nella rete VPC producer.
  • Un dominio DNS facoltativo, se fornito, che viene utilizzato nelle voci DNS per gli endpoint che vengono creati automaticamente nella zona Cloud DNS del consumer.

API di Google

L'utilizzo di Private Service Connect per accedere alle API di Google è un un'alternativa all'utilizzo dell'accesso privato Google o dei nomi di dominio pubblico per le API di Google. In questo caso, il produttore è Google.

È possibile accedere alle API di Google utilizzando endpoint o backend.

L'utilizzo di Private Service Connect ti consente di:

  • Crea uno o più indirizzi IP interni per accedere alle API Google per diversi casi d'uso.
  • Indirizza il traffico on-premise a regioni e indirizzi IP specifici quando che accede alle API di Google.
  • Centralizza il traffico delle API di Google tramite un bilanciatore del carico HTTP(S) per applicare i tuoi certificati, criteri di sicurezza o l'osservabilità.

Passaggi successivi