Acceso privado a servicios

El acceso privado a servicios te permite acceder a los servicios alojados en VPC, es decir, los servicios que se ejecutan en instancias de Compute Engine dentro de una red de VPC, sin exponer el tráfico al Internet público.

Para enrutar el tráfico de forma interna, el acceso privado a servicios crea una conexión privada entre tu red de VPC y la red de VPC del productor de servicios, que puede ser Google o un tercero. Esta conexión privada se establece con una conexión de intercambio de tráfico entre redes de VPC.

Debido a que el tráfico fluye de forma interna dentro de la red de Google, las instancias de tu red de VPC pueden llegar al servicio con sus direcciones IPv4 internas. Si bien tus instancias pueden tener direcciones IP externas, el acceso privado a servicios no las requiere ni las usa.

Servicios compatibles

Los siguientes servicios alojados en la VPC de Google admiten el acceso privado a servicios:

Acceso privado a servicios y el intercambio de tráfico entre redes de VPC

En una conexión privada, la red del productor de servicios y tu red se conectan a través del intercambio de tráfico entre redes de VPC. Para que el enrutamiento entre las dos redes funcione correctamente, estas deben usar rangos de direcciones IP distintos. Para evitar superposiciones, crea uno o más rangos asignados en tu red para usarlos con la conexión privada.

Cuando asignas un rango en tu red de VPC, ese rango no se puede usar para otros recursos, como subredes o destinos de rutas estáticas personalizadas.

Para obtener información sobre cómo elegir un rango asignado, consulta Elige un rango de direcciones IP para el rango asignado.

Flujo de trabajo del acceso privado a servicios

Cuando usas el acceso privado a servicios, los recursos se implementan en tu red de VPC y en la red del productor de servicios. En los siguientes pasos, se describe el proceso:

  1. Como consumidor de servicios, implementas una instancia de servicio con acceso privado a servicios. Los detalles pueden variar según el servicio que implementes. Tú puedes realizar los siguientes pasos o el productor de servicios puede automatizarlos como parte de la implementación de la instancia de servicio:

    1. Asignas un rango de direcciones IP en tu red de VPC. Este rango asignado se reserva exclusivamente para el productor de servicios.

    2. Crea una conexión privada al productor de servicios y especifica el rango asignado que creaste.

    3. Aprovisionas una instancia de servicio, por ejemplo, una instancia de Cloud SQL, que hace referencia a la conexión privada que creaste.

  2. El productor de servicios aprovisiona recursos para tu instancia de servicio.

    1. El productor de servicios crea un proyecto para tu instancia de servicio. El proyecto está aislado, lo que significa que no se comparte con ningún otro cliente y al consumidor del servicio solo se le facturan los recursos con los que se aprovisionó.

    2. Dentro de ese proyecto, el productor de servicios crea una red de VPC dedicada para ti.

    3. Dentro de esa red, el productor de servicios crea una subred. El rango de direcciones IP para esta subred se selecciona del rango asignado que proporcionaste. Por lo general, el productor de servicios elige un bloque CIDR de /29 a /24. No puedes seleccionar ni modificar el rango de direcciones IP de la subred del productor de servicios.

    4. A la instancia de servicio se le asigna una dirección IP de la subred nueva.

  3. La conexión privada se activa.

    1. Se establece la conexión de intercambio de tráfico entre redes de VPC.

    2. Tu red de VPC importa rutas de la red del productor de servicios.

    3. Las VMs de tu red pueden comunicarse con la instancia de servicio a través de su dirección IP interna. El tráfico fluye por completo dentro de la red de Google y no a través de la Internet pública.

Puedes realizar las siguientes acciones después de crear la implementación inicial:

  • Aprovisiona más recursos: Cuando aprovisionas recursos adicionales para el mismo servicio, el productor de servicios los coloca en las subredes existentes si hay espacio. Si una subred está llena, se crea una nueva en esa región a partir del rango asignado.

  • Borra recursos: Una subred en la red del productor de servicios se borra solo cuando borras todos los recursos de servicio que contiene. Para obtener información sobre cómo borrar recursos, consulta la documentación del productor de servicios correspondiente.

Ejemplo

En el siguiente diagrama, se muestra cómo usar una conexión privada para acceder a las instancias de servicio.

Los recursos de una red de consumidor de servicios pueden acceder a una instancia de Cloud SQL a través del acceso privado a servicios.
Acceso privado a los servicios (haz clic para ampliar).

En este ejemplo, la red de VPC del consumidor de servicios asignó el rango de direcciones 10.240.0.0/16 para los servicios de Google y estableció una conexión privada que usa el rango asignado.

  • Se asigna el rango 10.240.0.0/16 a la conexión privada.

  • Google crea un proyecto y una red de VPC para los recursos del consumidor del servicio. Las redes de VPC se conectan con el intercambio de tráfico entre redes de VPC.

  • El productor de servicios crea una subred que usa el rango de direcciones IP 10.240.0.0/24.

  • A la instancia de Cloud SQL se le asigna la dirección IP 10.240.0.2.

  • Después de crear la subred, la red del consumidor de servicios importa rutas desde la red de servicio.

  • En la red de VPC del consumidor de servicios, las solicitudes con un destino de 10.240.0.2 se enrutan a la conexión privada a la red del productor de servicios.

  • El consumidor del servicio implementa una instancia de servicio para un servicio de Google diferente en europe-west1. Como Google es el productor de servicios, se pueden usar la misma red y el mismo proyecto. Sin embargo, como la instancia se encuentra en una región diferente, se requiere una subred nueva. Google crea una subred nueva que usa el rango de direcciones IP 10.240.10.0/24 y asigna a la instancia de servicio la dirección IP 10.240.10.2.

Accesibilidad de las instancias de servicio

Solo una red de VPC del consumidor de servicios puede crear una conexión privada a una instancia de servicio administrado determinada. Sin embargo, hay formas de hacer que la conexión privada esté disponible para los recursos que están fuera de esa red de VPC:

Si ninguna de estas opciones funciona para tu caso de uso, el productor de servicios podría ofrecer otras formas de conectarse al servicio que se adapten mejor, por ejemplo, a través de Private Service Connect. Para obtener más información, consulta la documentación del servicio.

Accede a través de NCC

En el caso de algunos servicios que están disponibles a través del acceso privado a servicios, puedes usar NCC para que otros radios de un concentrador puedan acceder al servicio creando un radio de VPC de productor. Para obtener más información, incluidos los servicios compatibles, consulta Radios de VPC de productores.

Accede a través de una VPC compartida

Si usas una VPC compartida, crea el rango de IP asignado y la conexión privada en el proyecto host. Por lo general, un administrador de red en el proyecto host debe realizar estas tareas. Después de configurar el proyecto host, las instancias de VM en los proyectos de servicio pueden usar la conexión privada.

Accede a través de la conectividad híbrida

En situaciones de redes híbridas, una red local se conecta a una red de VPC mediante una conexión de Cloud VPN o Cloud Interconnect. De forma predeterminada, los hosts locales no pueden acceder a la red del productor de servicios a través del acceso privado a servicios.

En la red de VPC, es posible que tengas rutas estáticas o dinámicas personalizadas para dirigir el tráfico a la red local de manera correcta. Sin embargo, la red del productor de servicios no contiene esas mismas rutas. Cuando creas una conexión privada, la red de VPC y la red del productor de servicios solo intercambian rutas de subredes.

La red del productor de servicios contiene una ruta predeterminada (0.0.0.0/0) que va a Internet. Si exportas una ruta predeterminada a la red del productor de servicios, esta se ignora porque la ruta predeterminada de la red del productor de servicios tiene prioridad. En su lugar, define y exporta una ruta personalizada con un destino más específico.

Para obtener más información, consulta Configura la conectividad híbrida.

Red de productores de servicios

En el lado del productor de servicios de la conexión privada, hay una red de VPC, en la que se aprovisionan los recursos de servicio. La red del productor de servicios se crea exclusivamente para ti y contiene solo tus recursos.

Un recurso en la red del productor de servicios es similar a otro recurso en tu red de VPC. Por ejemplo, otros recursos de tu red de VPC pueden acceder a ellos mediante direcciones IP internas. También puedes crear reglas de firewall en la red de VPC para controlar el acceso a la red del productor de servicios.

Para obtener más información sobre el lado del productor de servicios, consulta Habilita el acceso privado a servicios en la documentación de Service Infrastructure. Esta documentación es solo para tu información y no es necesaria para habilitar o usar el acceso privado a los servicios.

Restringe las conexiones privadas con políticas de la organización

Puedes restringir las conexiones privadas con las políticas de la organización. Puedes usar las siguientes opciones para restringir las conexiones privadas:

  • Puedes usar la restricción de la política de la organización constraints/compute.restrictVpcPeering para restringir las conexiones de intercambio de tráfico a tu organización, carpeta o proyecto.

    Si usas esta restricción, la creación de una conexión privada a un servicio de Google falla, a menos que agregues la organización del productor de servicios de Google (under:organizations/433637338589) a la lista allowedValues de la restricción.

  • Puedes usar las restricciones personalizadas de la política de la organización para definir restricciones en las conexiones privadas. Por ejemplo, configurar restricciones personalizadas con el tipo de recurso servicenetworking.googleapis.com/Connection te permite hacer lo siguiente:

    • Especifica qué redes de VPC pueden conectarse con conexiones privadas
    • Especificar restricciones para los nombres de los rangos asignados que puedes usar para crear conexiones privadas

Precios

Para los precios de acceso privado a servicios, consulta Acceso privado a servicios en la página de precios de VPC.

Limitaciones

Se aplican las siguientes limitaciones al acceso privado a servicios:

  • Debido a que las conexiones privadas se implementan como conexiones de intercambio de tráfico entre redes de VPC, los comportamientos y las restricciones de las conexiones de intercambio de tráfico también se aplican a las conexiones privadas. Por ejemplo, debido a que el intercambio de tráfico entre redes de VPC no es transitivo, no hay una conexión privada disponible para las redes de VPC con intercambio de tráfico.

    Para obtener más información, consulta Intercambio de tráfico entre redes de VPC, Limitaciones del intercambio de tráfico entre redes de VPC y Cuotas y límites.

  • Solo una red de VPC del consumidor de servicios puede crear una conexión privada que se conecte a una instancia de servicio administrado determinada. Sin embargo, existen formas de hacer que la conexión privada esté disponible para los recursos que están fuera de esa red de VPC. Para obtener más información, consulta Accesibilidad de las instancias de servicio.

  • No puedes cambiar el rango de direcciones IP que está asociado con un rango asignado. Sin embargo, puedes modificar qué rangos asignados se asocian con una conexión privada.

  • No se admite el uso de rangos de direcciones IPv6 con acceso privado a servicios.

¿Qué sigue?