Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Private Service Connect

Neste documento, apresentamos uma visão geral do Private Service Connect. O Private Service Connect permite o consumo privado de serviços em redes VPC que pertencem a diferentes grupos, equipes, projetos ou organizações. É possível publicar e consumir serviços usando endereços IP que você define e que são internos à sua rede VPC.

Use o Private Service Connect para acessar APIs e serviços do Google ou serviços gerenciados em outra rede VPC.

Usar o Private Service Connect para acessar APIs do Google

Por padrão, se você tiver um aplicativo que usa um serviço do Google, como o Cloud Storage, ele se conectará ao nome de DNS padrão desse serviço, como storage.googleapis.com. Mesmo que os endereços IP dos nomes de DNS padrão sejam roteáveis publicamente, o tráfego enviado dos recursos do Google Cloud permanece na rede do Google.

Com o Private Service Connect, é possível criar endpoints particulares usando endereços IP internos globais na sua rede VPC. É possível atribuir nomes de DNS a esses endereços IP internos com nomes significativos como storage-vialink1.p.googleapis.com e bigtable-adsteam.p.googleapis.com. Esses nomes e endereços IP são internos da rede VPC e de qualquer rede local que esteja conectada a ela usando túneis do Cloud VPN ou anexos do Cloud Interconnect (VLANs). É possível controlar qual tráfego vai para qual endpoint e demonstrar que o tráfego permanece no Google Cloud.

Essa opção dá acesso a todas as APIs e serviços do Google incluídos nos pacotes de API. Se você precisar restringir o acesso apenas a determinadas APIs e serviços, o Private Service Connect com controles de serviço HTTP(S) do consumidor permite que você escolha quais APIs e serviços serão feitos. disponível para endpoints de serviço regionais compatíveis.

Para mais informações sobre as configurações do Private Service Connect para acessar as APIs do Google, consulte casos de uso.

Figura 1. O Private Service Connect permite enviar tráfego para as APIs do Google usando um endpoint do Private Service Connect particular à rede VPC (clique para ampliar).

Usar o Private Service Connect para acessar APIs do Google com controles de serviço HTTP(S) para consumidores

É possível criar um endpoint do Private Service Connect com controles de serviço HTTP(S) do consumidor usando um balanceador de carga HTTP(S) interno. O balanceador de carga HTTP(S) interno fornece os seguintes recursos:

Figura 2. O Private Service Connect permite enviar tráfego para APIs regionais do Google compatíveis usando um endpoint do Private Service Connect. O uso de um balanceador de carga adiciona controles de serviço HTTP(S) do consumidor (clique para ampliar).

Usar o Private Service Connect para publicar e consumir serviços gerenciados

O Private Service Connect permite que um produtor de serviços ofereça serviços de modo a um consumidor de serviço. Uma rede VPC do produtor de serviços pode ser compatível com vários consumidores de serviços.

Há dois tipos de endpoints do Private Service Connect que podem se conectar a um serviço publicado:

Serviços gerenciados em várias regiões

É possível disponibilizar um serviço em várias regiões criando as configurações a seguir.

Configuração do produtor:

Configuração do consumidor:

Nessa configuração, o endpoint encaminha o tráfego usando a política de balanceamento de carga global padrão: primeiro por integridade, e depois pelo local mais próximo ao cliente.

Figura 5. O uso de um balanceador de carga HTTP(S) externo global permite que os consumidores de serviço com acesso à Internet enviem tráfego a serviços na rede VPC do produtor de serviços. Como o serviço é implantado em várias regiões, o balanceador de carga pode encaminhar o tráfego para um NEG na região íntegra mais próxima (clique para ampliar).

Principais conceitos para consumidores de serviço

É possível usar endpoints do Private Service Connect para consumir serviços que estão fora da sua rede VPC. Os consumidores de serviços criam endpoints do Private Service Connect que se conectam a um serviço de destino.

Endpoints e destinos

Use os endpoints do Private Service Connect para se conectar a um serviço de destino. Os endpoints têm um endereço IP interno na rede VPC e são baseados no recurso de regra de encaminhamento.

Você envia o tráfego ao endpoint, que o encaminha para destinos fora da sua rede VPC.

Tipo de endpoint Destinos com suporte Acessível por

Endpoint do Private Service Connect para acessar APIs do Google

endereço IP interno global

 Um pacote de API:
  • Todas as APIs (all-apis): a maioria das APIs do Google
    (o mesmo que private.googleapis.com).
  • VPC-SC (vpc-sc): APIs compatíveis com o VPC Service Controls
    (igual a restricted.googleapis.com).
  • VMs na mesma rede VPC do endpoint (todas as regiões)
  • Sistemas locais conectados à rede VPC que contém o endpoint

Endpoint do Private Service Connect para acessar APIs do Google com controles de serviço HTTP(S) para consumidores

Endereço IP interno regional de um balanceador de carga HTTPS interno

 Um ponto de extremidade de serviço regional.

Esse endpoint é um balanceador de carga HTTP(S) interno com um mapa de URL simples e um único serviço de back-end. Para configurar o destino, conecte o serviço de back-end do balanceador de carga a um grupo de endpoints da rede do Private Service Connect que se refira a um endpoint de serviço regional.

  • VMs na mesma rede VPC e região do endpoint
  • Sistemas locais conectados à rede VPC que contêm o endpoint se os túneis do Cloud VPN ou os anexos de interconexão do Cloud (VLANs) estiverem na mesma região do endpoint

Ponto de extremidade do Private Service Connect para acessar serviços publicados em outra rede VPC

Endereço IP interno regional

Um serviço publicado em outra rede VPC. O serviço pode ser gerenciado pela organização ou por terceiros.

O destino desse tipo de endpoint é um anexo de serviço.
  • VMs na mesma rede VPC e região do endpoint
  • Sistemas locais conectados à rede VPC que contêm o endpoint usando túneis do Cloud VPN que estão na mesma região do endpoint

Endpoint do Private Service Connect para acessar serviços publicados com controles de serviço HTTP(S) do consumidor

endereço IP externo global de um balanceador de carga HTTPS externo

 Um serviço publicado em outra rede VPC. O serviço pode ser gerenciado pela organização ou por terceiros.

Esse endpoint é um balanceador de carga HTTP(S) externo global com um mapa de URL simples e um único serviço de back-end. Para configurar o destino, conecte o serviço de back-end do balanceador de carga a um grupo de endpoints da rede do Private Service Connect que se refira a um serviço anexado.

  • Sistemas com acesso à Internet

Principais conceitos para produtores de serviços

Para disponibilizar um serviço aos consumidores, crie uma ou mais sub-redes dedicadas. Em seguida, crie um anexo de serviço que se refere a essas sub-redes.

Sub-redes do Private Service Connect

Para expor um serviço, o produtor de serviços primeiro cria uma ou mais sub-redes com a finalidade definida como Private Service Connect.

  • Se o serviço for consumido por endpoints do Private Service Connect com base em regras de encaminhamento, o endereço IP de origem do consumidor será convertido usando o NAT de origem (SNAT) para um endereço IP selecionado de um dos Serviços privados Conecte as sub-redes.

    Se você quiser manter as informações de endereço IP de conexão do consumidor, consulte Como visualizar informações de conexão do consumidor.

  • Se o serviço for consumido por endpoints do Private Service Connect com base em balanceadores de carga HTTP(S) externos globais, a sub-rede não será usada e o NAT não será realizado. No entanto, a criação da sub-rede é necessária para publicar o serviço.

Não é possível usar as sub-redes do Private Service Connect para recursos como instâncias de VM ou regras de encaminhamento. As sub-redes são usadas apenas para fornecer endereços IP para SNAT de conexões de consumidor recebidas. Embora um serviço publicado possa ter várias sub-redes configuradas, uma sub-rede do Private Service Connect não pode ser usada em mais de um serviço publicado.

Capacidade da sub-rede do Private Service Connect

Ao publicar um serviço, você cria uma sub-rede e escolhe um intervalo de endereços IP. Se a sub-rede do Private Service Connect for muito pequena, talvez os consumidores não consigam se conectar ao serviço. Se necessário, adicione mais sub-redes ou expanda o intervalo de sub-redes.

Ao criar a sub-rede do Private Service Connect, considere o seguinte:

  • As sub-redes do Private Service Connect podem ter qualquer tamanho válido e usar qualquer intervalo de endereços IP válidos, incluindo endereços IP particulares usados publicamente.

    • Se o serviço for consumido por endpoints do Private Service Connect com base em uma regra de encaminhamento, recomendamos que você configure a sub-rede do Private Service Connect com um comprimento de prefixo /22 ou menor (para exemplo,/21).

    • Se o serviço for consumido por endpoints do Private Service Connect com base em um balanceador de carga HTTP(S) externo global, a sub-rede não será usada. É possível configurar a sub-rede do Private Service Connect com um tamanho de prefixo /29 para criar uma sub-rede com o menor tamanho compatível.

  • Há quatro endereços IP reservados em uma sub-rede do Private Service Connect, de modo que o número de endereços IP disponíveis é 2(32 -PREFIX_LENGTH)4. Por exemplo, se você criar uma sub-rede do Private Service Connect com o tamanho de prefixo /22, ela poderá usar 1.020 dos endereços IP.

Configuração de SNAT para sub-redes do Private Service Connect

A configuração SNAT para sub-redes do Private Service Connect inclui o seguinte:

  • Quando a SNAT é realizada, o endereço de origem e as tuplas da porta de origem são atribuídos usando endereços IP da sub-rede do Private Service Connect:

    • Cada VM cliente na rede VPC do consumidor recebe um mínimo de 256 tuplas de endereço de origem e porta de origem. O número de tuplas atribuídas é automaticamente ajustado com base no uso da VM do cliente.

    • Cada túnel do Cloud VPN conectado à rede VPC do consumidor recebe 65.536 tuplas de endereço de origem e porta de origem. O número de tuplas atribuídas não muda.

  • O tempo limite de inatividade do mapeamento UDP é de 30 segundos e não pode ser configurado.

  • O tempo limite de inatividade da conexão estabelecida TCP é de 20 minutos e não pode ser configurado.

  • O tempo limite de inatividade da conexão TCP transitiva é de 30 segundos e não pode ser configurado.

  • Há um atraso de dois minutos antes que qualquer 5 tuplas (endereço IP de origem da sub-rede do Private Service Connect e porta de origem mais o protocolo de destino, endereço IP e porta de destino) possa ser reutilizada.

  • A SNAT do Private Service Connect não é compatível com fragmentos de IP.

Anexos de serviço

Os produtores de serviços expõem o serviço deles utilizando um anexo.

  • Para expor um serviço, um produtor de serviço cria um anexo de serviço que se refere à regra de encaminhamento do balanceador de carga do serviço.

  • Para acessar um serviço, um consumidor de serviço cria um endpoint que se refere ao anexo de serviço.

O URI do anexo de serviço tem este formato: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

Cada balanceador de carga só pode ser referenciado por um anexo de serviço. Não é possível configurar vários anexos de serviço que usam o mesmo balanceador de carga.

Preferências de conexão

Ao criar um serviço, você escolhe como disponibilizá-lo. Há duas opções:

  • Aceitar conexões automaticamente para todos os projetos: qualquer consumidor de serviço pode configurar um endpoint e se conectar ao serviço automaticamente.

  • Aceitar conexões para projetos selecionados: os consumidores de serviço configuram um endpoint para se conectar ao serviço, e o produtor de serviço aceita ou rejeita as solicitações de conexão.

Acesso no local

  • Os endpoints do Private Service Connect que você usa para acessar as APIs do Google podem ser acessados de hosts locais conectados suportados. Para mais informações, consulte Acessar o endpoint de hosts locais.

  • Os endpoints do Private Service Connect com controles de serviço HTTP(S) podem ser acessados a partir de hosts locais conectados suportados. Para mais informações, consulte Acessar o endpoint de hosts locais.

  • Os endpoints do Private Service Connect que você usa para acessar os serviços gerenciados em outra rede VPC podem ser acessados de hosts locais conectados compatíveis. Para mais informações, consulte Acessar o endpoint de hosts locais.

  • Os endpoints do Private Service Connect com controles de serviço HTTP(S) usados para acessar serviços gerenciados são baseados em um balanceador de carga HTTP(S) externo global e podem ser acessados de qualquer sistema. com acesso à Internet.

Serviços do Google compatíveis

A tabela a seguir lista os serviços do Google Cloud compatíveis com o Private Service Connect. É possível criar um endpoint do Private Service Connect para se conectar a esses serviços de forma particular na sua própria rede VPC.

Serviço Descrição
APIs do Google Permite acessar a maioria das APIs e serviços do Google, por exemplo, *.googleapis.com. Para mais informações, consulte APIs compatíveis.
Apigee X Permite expor as APIs gerenciadas pela Apigee na Internet (Visualização). Também permite que você se conecte de maneira privada a partir da Apigee com serviços de back-end de destino (Visualizar).
Cloud Composer 2 Permite acessar o projeto de locatário do Cloud Composer.
Metastore do Dataproc Permite acessar o serviço Metastore do Dataproc.
Clusters públicos do Google Kubernetes Engine (GKE) Permite acessar nós mestres do cluster público do GKE no GKE 1.23 e em versões posteriores.

Preços

Os preços do Private Service Connect são descritos na página de preços da VPC.

Restrições da política da organização

Um administrador de política da organização pode usar a restrição constraints/compute.disablePrivateServiceConnectCreationForConsumers para definir o conjunto de tipos de endpoint do Private Service Connect para os quais os usuários não podem criar regras de encaminhamento. Use essa restrição para impedir que os usuários criem endpoints do Private Service Connect para acessar APIs do Google ou criem endpoints do Private Service Connect para acessar serviços gerenciados. A restrição se aplica a novas configurações de peering e não afeta conexões existentes.

Cotas

Há cotas para os endpoints e serviços de anexo do Private Service Connect Para mais informações, consulte cotas.

A seguir