הגדרת קישוריות פרטית לממשקי API ולשירותים של Google

במאמר הזה מוסבר איך להגדיר קישוריות פרטית ממארחים ברשת VPC או ברשת מקומית לממשקי API ולשירותים של Google ש-VPC Service Controls תומך בהם.

לפני שקוראים את המסמך הזה, מומלץ להכיר את המושגים של גישה פרטית ל-Google, את המפרטים ואת הגדרות הרשת. אפשר לעיין בתרשימי טופולוגיה לדוגמה בנושא שימוש בגישה פרטית ל-Google עם VPC Service Controls.

לפני שמתחילים

  • מפעילים את ממשקי ה-API שרוצים לגשת אליהם דרך הדף APIs & services במסוף Cloud de Confiance .
  • חשוב לוודא שיש לכם את התפקיד הנדרש כדי ליצור או לעדכן רשתות משנה. בעלי פרויקטים, עורכים וחשבונות ראשיים ב-IAM עם התפקיד אדמין רשת יכולים ליצור או לעדכן רשתות משנה ולהקצות כתובות IP. מידע נוסף על תפקידים זמין במאמר בנושא תפקידים ב-IAM.
  • מוודאים שרשת VPC מוגדרת לגישה פרטית ל-Google ולגישה פרטית ל-Google למארחים מקומיים. השירות תומך ברשתות VPC במצב אוטומטי וברשתות VPC במצב מותאם אישית. אין תמיכה ברשתות מדור קודם.
  • מוודאים שלמופעי מכונות וירטואליות ברשת VPC יש כתובת IP פרטית (ללא כתובת IP ציבורית) והם נמצאים ברשת משנה שבה מופעלת גישה פרטית ל-Google.
  • למארחים מקומיים, צריך לוודא שיש לכם מנהרת Cloud VPN קיימת או חיבור Cloud Interconnect לרשת ה-VPC. כדי לתמוך במארחים מקומיים עם כתובות IPv6, אפשר לעיין במאמר בנושא תמיכה ב-IPv6.

סקירה כללית של התהליך

כדי להגדיר קישוריות פרטית, מבצעים את הפעולות הבאות:

  • מגדירים נתיבים לטווחי כתובות ה-IP של restricted.s3nsapis.fr. מידע נוסף זמין במאמר הגדרת מסלולים.
  • מגדירים כללי חומת אש כדי לאפשר לתעבורה המתאימה להגיע לטווחים של כתובות ה-IP‏ restricted.s3nsapis.fr. מידע נוסף מופיע במאמר בנושא הגדרת כללים של חומת אש.
  • מגדירים DNS כך שתעבורת הנתונים אל Google APIs תתפרש כטווחי כתובות ה-IP‏ restricted.s3nsapis.fr. מידע נוסף זמין במאמר הגדרת DNS.

תמיכה ב-IPv6 ב-restricted.s3nsapis.fr

אפשר לגשת ל-Google APIs באמצעות טווח כתובות IPv6 עבור הדומיין restricted.s3nsapis.fr: 2a13:7500:8302:1::/64.

כדאי להגדיר את כתובות ה-IPv6 אם רוצים להשתמש בדומיין restricted.s3nsapis.fr ויש לכם לקוחות שמשתמשים בכתובות IPv6. לקוחות IPv6 שהוגדרו להם גם כתובות IPv4 יכולים לגשת ל-Google APIs ולשירותים של Google באמצעות כתובות IPv4. לא כל השירותים מקבלים תנועה מלקוחות IPv6.

כדי לאפשר ללקוחות IPv6 בסביבה המקומית שלכם לגשת ל-Google APIs באמצעות restricted.s3nsapis.fr, אתם צריכים להגדיר את החיבור לרשת ה-VPC שלכם כך שיתמוך ב-IPv6. מידע נוסף זמין בדפים הבאים:

לקוחות מקומיים יכולים לשלוח בקשות מכל כתובת IPv6 GUA או ULA, למעט טווח ה-ULA fda3:e722:ac3:cc00::/64, ששמור לשימוש פנימי.

מידע נוסף על restricted.s3nsapis.fr VIP זמין במאמר הגדרת גישה פרטית ל-Google.

קישוריות ישירה לממשקי API ולשירותים

חלק מהשירותים ומממשקי ה-API של Google תומכים בקישוריות ישירה ממופעים של מכונות וירטואליות (VM) ב-Compute Engine, תוך עקיפה של ממשקי הקצה של Google‏ (GFE), וכך מציעים ביצועים טובים יותר.

קישוריות ישירה נתמכת רק לתנועת נתונים ב-IPv6. כדי ליצור קישוריות ישירה, צריך לוודא שהנתיבים וכללי חומת האש מאפשרים לתעבורת IPv6 להגיע אל 2a13:7500:8400::/42.

כתובות ה-IP האלה תומכות ב-VPC Service Controls. בנוסף, לא צריך ליצור רשומות DNS לכתובות האלה.

שימו לב: קישוריות ישירה זמינה רק ממקורות Cloud de Confiance by S3NS ולא נתמכת ממארחים מקומיים.

הגדרת מסלולים ל-restricted.s3nsapis.fr

אף על פי ש-VPC Service Controls נאכפים בשירותים תואמים ומוגדרים, ללא קשר לדומיין שבו אתם משתמשים, restricted.s3nsapis.fr מספק אמצעים נוספים לצמצום הסיכון לזליגת נתונים. restricted.s3nsapis.fr דוחה גישה לממשקי API ולשירותים של Google שלא נתמכים על ידי VPC Service Controls.

גם בגישה פרטית ל-Google וגם בגישה פרטית ל-Google למארחים מקומיים, רשת ה-VPC צריכה לכלול נתיב לטווח כתובות ה-IP‏ restricted.s3nsapis.fr שהניתוב הבא שלהן הוא שער האינטרנט שמוגדר כברירת מחדל. גם אם הצעד הבא למעבר הוא שער אינטרנט שמוגדר כברירת מחדל, תעבורת הנתונים שנשלחת אל restricted.s3nsapis.fr נשארת בתוך הרשת של Google.

אם ברשת ה-VPC שלכם אין מסלול ברירת מחדל שהצעד הבא שלו הוא שער האינטרנט שמוגדר כברירת מחדל, אתם יכולים ליצור מסלול סטטי מותאם אישית שהיעד שלו הוא restricted.s3nsapis.fr טווח כתובות ה-IP, והצעד הבא שלו הוא שער האינטרנט שמוגדר כברירת מחדל. כדי למנוע גישה לאינטרנט, צריך להסיר מסלולים אחרים שהצעד הבא שלהם הוא שער האינטרנט שמוגדר כברירת מחדל.

מידע נוסף על עבודה עם מסלולי VPC זמין במאמר שימוש במסלולים במסמכי ה-VPC.

הגדרת מסלולים סטטיים בהתאמה אישית ברשת VPC

מוסיפים מסלולים סטטיים בהתאמה אישית כדי לאפשר גישה לשירותים מנוהלים של Google ש-VPC Service Controls תומך בהם.

gcloud compute routes create ROUTE_NAME \
  --network=NETWORK_NAME \
  --destination-range=DESTINATION_RANGE \
  --next-hop-gateway=default-internet-gateway

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ROUTE_NAME: שם למסלול המותאם אישית
  • ‫NETWORK_NAME: השם של רשת ה-VPC
  • ‫DESTINATION_RANGE: טווח היעד של המסלול
    • כדי לנתב תנועה ל-restricted.s3nsapis.fr VIP, משתמשים בטווחים הבאים:
      • לתנועת IPv4: 177.222.88.4/30
      • לתנועת IPv6: 2a13:7500:8302:1::/64
    • כדי להפנות תנועה לממשקי API שמאפשרים קישוריות ישירה, צריך להשתמש בטווחי ה-IP הבאים:
      • לתנועת IPv4: 34.126.0.0/18
      • לתנועת IPv6: 2a13:7500:8400::/42

הודעה על המסלול המוגבל למארחים ברשת מקומית

אם אתם משתמשים בגישה פרטית ל-Google עבור מארחים מקומיים, אתם צריכים להגדיר מסלולים כך שתנועה של Google API תועבר דרך חיבור Cloud VPN או Cloud Interconnect. כדי להכריז על טווחי כתובות ה-IP הווירטואליות המוגבלות ברשת המקומית, משתמשים במצב פרסום מותאם אישית של Cloud Router. אפשר לגשת לטווחים המוגבלים של כתובות ה-VIP רק ממארחים מקומיים שיכולים להגיע לרשת ה-VPC שלכם דרך כתובות IP פרטיות.

אפשר להוסיף את המסלול המפורסם בהתאמה אישית ל-Cloud Router (לכל סשני ה-BGP בנתב) או לסשן BGP נבחר (למנהרת Cloud VPN אחת או לחיבור VLAN).

מסלולי IPv6 מפורסמים רק בסשנים של BGP שבהם מופעל IPv6.

כדי ליצור נתיב מפורסם בהתאמה אישית לטווח המוגבל לכל סשני ה-BGP ב-Cloud Router קיים, פועלים לפי השלבים הבאים:

המסוף

  1. נכנסים לדף Cloud Routers במסוף Cloud de Confiance .

    מעבר אל Cloud Routers

  2. בוחרים את נתב הענן שרוצים לעדכן.

  3. בדף הפרטים של Cloud Router, לוחצים על עריכה.

  4. מרחיבים את הקטע מסלולים שפורסמו.

  5. בקטע מסלולים, בוחרים באפשרות יצירת מסלולים בהתאמה אישית.

  6. כדי להמשיך לפרסם את רשתות המשנה שזמינות ל-Cloud Router, בוחרים באפשרות Advertise all subnets visible to the Cloud Router (פרסום של כל רשתות המשנה שגלויות ל-Cloud Router). הפעלת האפשרות הזו משחזרת את התנהגות ברירת המחדל של Cloud Router.

  7. כדי להוסיף נתיב שפורסם, בוחרים באפשרות הוספת נתיב בהתאמה אישית .

  8. מגדירים את פרסום הניתוב.

    • מקור: בוחרים באפשרות טווח IP מותאם אישית.
    • טווח כתובות IP:
      • לקישוריות IPv4: ‏ 177.222.88.4/30
      • לקישוריות IPv6: 2a13:7500:8302:1::/64
    • תיאור: מוסיפים תיאור של Restricted Google APIs IPs.

  9. אחרי שמוסיפים מסלולים, לוחצים על שמירה.

gcloud

מריצים את הפקודה update, ומשתמשים בדגל --set-advertisement-ranges או בדגל --add-advertisement-ranges כדי לציין את טווחי כתובות ה-IP המותאמים אישית:

  • כדי להגדיר טווחי כתובות IP מותאמים אישית, משתמשים בדגל --set-advertisement-ranges. כל הנתיבים המותאמים אישית הקיימים לפרסום יוחלפו. בדוגמה הבאה אנחנו מעדכנים את Cloud Router‏ my-router כדי לפרסם את כל תת-הרשתות ואת טווחי כתובות ה-IP‏ restricted.s3nsapis.fr.

    gcloud compute routers update my-router \
    --advertisement-mode CUSTOM \
    --set-advertisement-groups ALL_SUBNETS \
    --set-advertisement-ranges RANGES

    מחליפים את RANGES בטווחים שרוצים להשתמש בהם:

    • לקישוריות IPv4: ‏ 177.222.88.4/30
    • לקישוריות IPv6: 2a13:7500:8302:1::/64
    • לקישוריות IPv4 ו-IPv6: 177.222.88.4/30,2a13:7500:8302:1::/64

  • כדי לצרף טווחי כתובות IP מותאמים אישית למודעה קיימת, משתמשים בדגל --add-advertisement-ranges. הערה: כדי להשתמש בדגל הזה, מצב הפרסום של Cloud Router צריך להיות מוגדר כבר ל-custom. בדוגמה הבאה מוסיפים את טווחי כתובות ה-IP‏ restricted.s3nsapis.fr לפרסומים של Cloud Router:

    gcloud compute routers update my-router \
    --add-advertisement-ranges RANGES

    מחליפים את RANGES בטווחים שרוצים להשתמש בהם:

    • לקישוריות IPv4: ‏ 177.222.88.4/30
    • לקישוריות IPv6: 2a13:7500:8302:1::/64
    • לקישוריות IPv4 ו-IPv6: 177.222.88.4/30,2a13:7500:8302:1::/64

כדי ליצור נתיב מפורסם בהתאמה אישית לטווח המוגבל בסשן BGP ספציפי של Cloud Router קיים, מבצעים את השלבים הבאים:

המסוף

  1. נכנסים לדף Cloud Routers במסוף Cloud de Confiance .

    מעבר אל Cloud Routers

  2. בוחרים את Cloud Router שמכיל את סשן ה-BGP שרוצים לעדכן.

  3. בדף הפרטים של Cloud Router, בוחרים את סשן ה-BGP שרוצים לעדכן.

  4. בדף BGP session details (פרטי סשן BGP), לוחצים על Edit (עריכה).

  5. בקטע מסלולים, בוחרים באפשרות יצירת מסלולים בהתאמה אישית.

  6. בוחרים באפשרות Advertise all subnets visible to the Cloud Router (פרסום כל רשתות המשנה שגלויות ל-Cloud Router) כדי להמשיך לפרסם את רשתות המשנה שזמינות ל-Cloud Router. הפעלת האפשרות הזו משחזרת את התנהגות ברירת המחדל של Cloud Router.

  7. בוחרים באפשרות הוספת נתיב בהתאמה אישית כדי להוסיף נתיב שפורסם.

  8. מגדירים את פרסום הניתוב.

    • מקור: בוחרים באפשרות טווח כתובות IP בהתאמה אישית כדי לציין טווח כתובות IP בהתאמה אישית.
    • טווח כתובות IP:
      • לקישוריות IPv4: ‏ 177.222.88.4/30
      • לקישוריות IPv6: 2a13:7500:8302:1::/64
    • תיאור: מוסיפים תיאור של Restricted Google APIs IPs.

  9. כשמסיימים להוסיף מסלולים, לוחצים על שמירה.

gcloud

מריצים את הפקודה update-bgp-peer, ומשתמשים בדגל --set-advertisement-ranges או --add-advertisement-ranges כדי לציין את טווחי כתובות ה-IP בהתאמה אישית.

  • כדי להגדיר טווחי כתובות IP מותאמים אישית, משתמשים בדגל --set-advertisement-ranges. כל הנתיבים המותאמים אישית הקיימים לפרסום יוחלפו.

    אם אתם מוסיפים טווחי IPv6 בהתאמה אישית, ותעבורת IPv6 מושבתת בסשן BGP, אתם יכולים להפעיל אותה באמצעות הדגל --enable-ipv6.

    בדוגמה הבאה אנחנו מעדכנים את סשן ה-BGP‏ my-bgp-session ב-Cloud Router‏ my-router כדי לפרסם את כל תת-הרשתות ואת טווח כתובות ה-IP המותאם אישית:

    gcloud compute routers update-bgp-peer my-router \
    --peer-name my-bgp-session \
    --advertisement-mode CUSTOM \
    --set-advertisement-groups ALL_SUBNETS \
    --set-advertisement-ranges RANGES

    מחליפים את RANGES בטווחים שרוצים להשתמש בהם:

    • לקישוריות IPv4: ‏ 177.222.88.4/30
    • לקישוריות IPv6: 2a13:7500:8302:1::/64
    • לקישוריות IPv4 ו-IPv6: 177.222.88.4/30,2a13:7500:8302:1::/64

  • כדי לצרף טווחי כתובות IP מותאמים אישית לטווחי כתובות IP קיימים, משתמשים בדגל --add-advertisement-ranges. הערה: כדי להשתמש בדגל הזה, מצב הפרסום של Cloud Router צריך להיות מוגדר כבר ל-custom.

    אם אתם מוסיפים טווחי IPv6 בהתאמה אישית, ותעבורת IPv6 מושבתת בסשן BGP, אתם יכולים להפעיל אותה באמצעות הדגל --enable-ipv6.

    בדוגמה הבאה מוסיפים את טווחי כתובות ה-VIP המוגבלים לפרסומים של Cloud Router:

    gcloud compute routers update-bgp-peer my-router \
    --peer-name my-bgp-session \
    --add-advertisement-ranges RANGES

    מחליפים את RANGES בטווחים שרוצים להשתמש בהם:

    • לקישוריות IPv4: ‏ 177.222.88.4/30
    • לקישוריות IPv6: 2a13:7500:8302:1::/64
    • לקישוריות IPv4 ו-IPv6: 177.222.88.4/30,2a13:7500:8302:1::/64

    מידע נוסף על מצב פרסום מותאם אישית זמין במאמר בנושא מסלולים מותאמים אישית לפרסום.

הגדרת כללים לחומת אש

בגישה פרטית ל-Google, מכונות וירטואליות משתמשות בכתובות IP פנימיות ולא נדרשות כתובות IP חיצוניות כדי להגיע למשאבי Google API מוגנים. עם זאת, יכול להיות שלמכונות וירטואליות יש כתובות IP חיצוניות או שהן עומדות בדרישות לגישה לאינטרנט. בנוסף לנתיבים מותאמים אישית שמוכרזים, אפשר להגביל את תעבורת היציאה ממכונות וירטואליות ברשת ה-VPC על ידי יצירת כללי חומת אש שמונעים תעבורת יציאה.

כברירת מחדל, כלל חומת האש המשתמע שמאפשר תעבורת נתונים יוצאת מאפשר למכונות וירטואליות לשלוח תעבורת נתונים לכל יעד אם קיים מסלול רלוונטי. קודם אפשר ליצור כלל לדחיית תעבורת נתונים יוצאת כדי לחסום את כל התעבורה היוצאת. לאחר מכן תוכלו ליצור כללי יציאה בעדיפות גבוהה יותר, שיאפשרו תעבורה ליעדים נבחרים ברשת ה-VPC ולטווחים של כתובות ה-IP‏ restricted.s3nsapis.fr. כל התקשורת אל restricted.s3nsapis.fr מתבצעת ביציאת TCP ‏443.

כדי לאפשר לתעבורה מ- Cloud de Confiance להגיע לכתובות ה-VIP של restricted.s3nsapis.fr, צריך להוסיף כללים לחומת האש עבור היעדים הבאים:

  • לתנועת IPv4: 177.222.88.4/30
  • לתנועת IPv6: 2a13:7500:8302:1::/64

כדי לאפשר לתעבורה מ- Cloud de Confiance להגיע לממשקי API ולשירותים שמאפשרים קישוריות ישירה, מוסיפים כלל חומת אש עבור 2a13:7500:8400::/42.

מידע נוסף על עבודה עם כללים של חומת אש ב-VPC זמין במאמר שימוש בכללים של חומת אש ב-VPC במסמכי התיעוד של Cloud Next Generation Firewall.

מגדירים את כללי חומת האש המקומית כך שיאפשרו לתעבורה מהמארחים המקומיים להגיע לטווח כתובות ה-IP‏ restricted.s3nsapis.fr.

  • לתנועת IPv4: 177.222.88.4/30
  • לתנועת IPv6: 2a13:7500:8302:1::/64

קישוריות ישירה לממשקי API ולשירותים של Google לא נתמכת מרשתות מקומיות.

הגדרת DNS

אתם יכולים להשתמש באזורים פרטיים מנוהלים עבור רשתות ה-VPC שלכם. אזורי DNS פרטיים ב-Cloud DNS מאפשרים לכם לארח אזור DNS שאפשר לגשת אליו מרשתות VPC מורשות. כדי להגדיר העברה משרתי שמות מסוימים מקומיים, אפשר להשתמש בrestricted.s3nsapis.fr טווחי כתובות IP. אחר כך אפשר ליצור תחום פרטי בשביל s3nsapis.fr עם רשומת DNS A שממפה את restricted.s3nsapis.fr ורשומות CNAME מתאימות לכל שם של *.s3nsapis.fr. מידע נוסף זמין במאמר בנושא ניהול אזורים.

כדי לאפשר גישה מקומית, אפשר להגדיר מדיניות להעברת תעבורה נכנסת ב-Cloud DNS, כדי ששרתי שמות מקומיים יוכלו לשלוח שאילתות לאזור פרטי מנוהל ב-Cloud DNS. אפשר גם להגדיר שרת שמות מקומי, למשל שרת שמות שמשתמש ב-BIND:

הגדרת DNS באמצעות Cloud DNS

כדי להפעיל פענוח DNS למכונות וירטואליות ברשת ה-VPC, למארחים ברשת מקומית או לשניהם, משתמשים ב-Cloud DNS. אם אתם משתמשים ב-VPC משותף, תוכלו לעיין במאמר תחומים פרטיים ו-VPC משותף במסמכי Cloud DNS. בנוסף, אם אתם משתמשים ב-VPC משותף, מומלץ לכלול את הפרויקט המארח של רשת ה-VPC המשותפת באותם גבולות גזרה לשירות כמו הפרויקטים שמחוברים לרשת.

הגדרת Cloud DNS באמצעות תחומים פרטיים

אפשר להשתמש בתחומים פרטיים כדי להגדיר את Cloud DNS:

  1. יוצרים אזור פרטי מנוהל לרשת ה-VPC.

    gcloud dns managed-zones create ZONE_NAME \
 --visibility=private \
 --networks=https://www.s3nsapis.fr/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME \
 --description=DESCRIPTION \
 --dns-name=s3nsapis.fr

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫ZONE_NAME: שם לאזור שאתם יוצרים. לדוגמה, vpc. השם הזה ישמש אתכם בכל אחד מהשלבים הבאים.
    • ‫PROJECT_ID: מזהה הפרויקט שמארח את רשת ה-VPC.
    • ‫NETWORK_NAME: השם של רשת ה-VPC
    • ‫DESCRIPTION: תיאור אופציונלי של האזור המנוהל שקריא לאנשים.

  2. מתחילים עסקה.

    gcloud dns record-sets transaction start --zone=ZONE_NAME

    מחליפים את ZONE_NAME בשם של האזור שיצרתם בשלב הראשון.

  3. מוסיפים רשומות DNS.

    gcloud dns record-sets transaction add --name=*.s3nsapis.fr. \
    --type=CNAME restricted.s3nsapis.fr. \
    --zone=ZONE_NAME \
    --ttl=300

    מחליפים את ZONE_NAME בשם של האזור שיצרתם בשלב הראשון.

    gcloud dns record-sets transaction add --name=restricted.s3nsapis.fr. \
    --type=A 177.222.88.4 177.222.88.5 177.222.88.6 177.222.88.7 \
    --zone=ZONE_NAME \
    --ttl=300

    מחליפים את ZONE_NAME בשם של האזור שיצרתם בשלב הראשון.

    אם אתם מגדירים את כתובות ה-IPv6 עבור restricted.s3nsapis.fr, אתם צריכים גם ליצור את קבוצת הרשומות הבאה:

    gcloud dns record-sets transaction add --name=restricted.s3nsapis.fr. \
    --type=AAAA 2a13:7500:8302:1:: \
    --zone=ZONE_NAME \
    --ttl=300

  4. מבצעים את העסקה.

    gcloud dns record-sets transaction execute --zone=ZONE_NAME

    מחליפים את ZONE_NAME בשם של האזור שיצרתם בשלב הראשון.

  5. זה שינוי אופציונלי. כדי לאפשר למארחים מקומיים להגיע ל-VIP המוגבל, צריך לבצע את השלבים הבאים:

    1. ליצור מדיניות DNS ולהפעיל העברת DNS נכנסת כדי להפוך את שירותי רזולוציית השמות של רשת ה-VPC לזמינים באופן חיצוני למערכות ברשתות מקומיות,

      gcloud dns policies create POLICY_NAME \
 --networks=https://www.s3nsapis.fr/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME \
 --enable-inbound-forwarding \
 --description=DESCRIPTION

      מחליפים את מה שכתוב בשדות הבאים:

      • POLICY_NAME: שם המדיניות שאתם יוצרים. לדוגמה, apipolicy.
      • ‫PROJECT_ID: מזהה הפרויקט שמארח את רשת ה-VPC.
      • ‫NETWORK_NAME: השם של רשת ה-VPC.
      • ‫DESCRIPTION: תיאור אופציונלי של האזור המנוהל שקריא לאנשים.

    2. ברשת המקומית, מפנים את ה-DNS המקומי לכתובת ה-IP של מעביר ה-DNS של Cloud. כדי למצוא את כתובת ה-IP של המעביר, משתמשים בפקודה compute addresses list:

      gcloud compute addresses list --filter='name ~ ^dns-forwarding.*' \
 --format='csv[no-heading](address, subnetwork)'

הגדרת DNS באמצעות BIND

אם אתם משתמשים ב-BIND לפתרון DNS, אתם יכולים להגדיר אותו כך שיפתור בקשות ל-Google API ל-Google API מוגבל. כדי להשיג את ההתנהגות הזו, אפשר להשתמש בהגדרת BIND לדוגמה הבאה, שמתבססת על אזורי מדיניות תגובה (RPZ):

  1. מוסיפים את השורות הבאות לקובץ /etc/bind/named.conf:

    include "/etc/bind/named.conf.options";
include "/etc/bind/named.conf.local";

  2. מוסיפים את השורות הבאות לקובץ /etc/bind/named.conf.options:

    options {
  directory "/var/cache/bind";

  dnssec-validation no;

  auth-nxdomain no;    # conform to RFC 1035
  listen-on-v6 { any; };
  listen-on { any; };
  response-policy { zone "googleapis.zone"; };
  allow-query { any;};
};

  3. מוסיפים את השורות הבאות לקובץ /etc/bind/named.conf.local: 

    include "/etc/bind/named.conf.default-zones";
    


    zone "googleapis.zone" {
  type master;
  file "/etc/bind/db.googleapis.zone";
  allow-query {none;};
};

  4. מוסיפים את השורות הבאות לקובץ /etc/bind/db.googleapis.zone: 

    $TTL 1H
@                       SOA LOCALHOST. noreply.localhost(1 1h 15m 30d 2h)
                        NS  LOCALHOST.
    


    *.s3nsapis.fr CNAME restricted.s3nsapis.fr.
restricted.s3nsapis.fr CNAME rpz-passthru.

הגדרת DNS במקרים מיוחדים

כשצריך להגדיר DNS במקרים מיוחדים, חשוב לזכור את הנקודות הבאות:

  • אין תמיכה ב-BIND בהתאמה אישית כשמשתמשים ב-Dataflow. כדי להתאים אישית את פענוח ה-DNS כשמשתמשים ב-Dataflow עם VPC Service Controls, משתמשים באזורים פרטיים של Cloud DNS במקום להשתמש בשרתי BIND בהתאמה אישית. כדי להשתמש בפענוח DNS משלכם בשרת מקומי, כדאי להשתמש בCloud de Confiance by S3NS שיטת העברת DNS.

  • יכול להיות שתצטרכו גם להגדיר DNS עבור gcr.io, למשל אם אתם משתמשים ב-Google Kubernetes Engine‏ (GKE). מידע נוסף זמין במאמר הגדרת Container Registry לאשכולות פרטיים של GKE.