מידע על גישה לשירותים שפורסמו באמצעות נקודות קצה

במאמר הזה מוסבר איך להתחבר לשירותים ברשת VPC אחרת באמצעות נקודות קצה (endpoints) של Private Service Connect. אתם יכולים להתחבר לשירותים שלכם או לשירותים שסופקו על ידי ספקי שירותים אחרים, כולל Google.

הלקוחות מתחברים לנקודת הקצה באמצעות כתובות IP פנימיות. ‫Private Service Connect מבצע תרגום כתובות רשת (NAT) כדי לנתב את הבקשה לשירות.

מידע נוסף על שירותים שפורסמו זמין במאמר מידע על שירותים שפורסמו.

תכונות ותאימות

בטבלאות הבאות, הסימן מציין שיש תמיכה בתכונה, והסימן מציין שאין תמיכה בתכונה.

הגדרות צרכן

בטבלה הבאה מפורטות אפשרויות ההגדרה והיכולות הנתמכות של נקודות קצה שמאפשרות גישה לשירותים שפורסמו.

יצרן היעד	הגדרות של צרכן (נקודת קצה)
	גישה גלובלית לצרכנים	גישה היברידית	הגדרה אוטומטית של DNS (IPv4 בלבד)	גישה לקישור בין רשתות VPC שכנות (peering)	הפצה של חיבור NCC (IPv4 בלבד)	שירותי יעד נתמכים לנקודות קצה של IPv4	שירותי יעד נתמכים לנקודות קצה של IPv6
מאזן עומסים פנימי של אפליקציות (ALB) בכמה אזורים						שירותי IPv4	שירותי IPv4
מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי	רק אם הגישה הגלובלית מופעלת במאזן העומסים (בעיה מוכרת)					שירותי IPv4	שירותי IPv4 שירותי IPv6
העברת פרוטוקול פנימית (מופע יעד)	רק אם הגישה הגלובלית מופעלת בכלל ההעברה של היצרן (בעיה ידועה)					שירותי IPv4	שירותי IPv4 שירותי IPv6
שירותי מיפוי יציאות	רק אם הגישה הגלובלית מופעלת בכלל ההעברה של הספק					שירותי IPv4	שירותי IPv4 שירותי IPv6
מאזן עומסים פנימי אזורי של אפליקציות (ALB)	רק אם הגישה הגלובלית מופעלת במאזן העומסים לפני שנוצרת ההצמדה לשירות					שירותי IPv4	שירותי IPv4
מאזן עומסי רשת פנימי אזורי בשרת proxy	רק אם הגישה הגלובלית מופעלת במאזן העומסים לפני שנוצרת ההצמדה לשירות					שירותי IPv4	שירותי IPv4
Secure Web Proxy						שירותי IPv4	שירותי IPv4

הגדרות של Producer

בטבלה הבאה מפורטות אפשרויות ההגדרה והיכולות הנתמכות של שירותים שפורסמו ושיש אליהם גישה דרך נקודות קצה.

סוג המפיק	הגדרות של הבעלים של שירות מנוהל (שירות שפורסם)
	מערכות קצה עורפיות נתמכות של יצרנים	פרוטוקול PROXY (תנועת TCP בלבד)	גרסת IP
מאזן עומסים פנימי של אפליקציות (ALB) בכמה אזורים	GCE_VM_IP_PORT zonal NEGs קבוצות NEG היברידיות קבוצות NEG ללא שרת (serverless) קבוצות NEGs של Private Service Connect קבוצות של מכונות		IPv4
מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי	‫GCE_VM_IP zonal NEGs קבוצות של מכונות		IPv4 IPv6
העברת פרוטוקול פנימית (מופע יעד)	לא רלוונטי		IPv4 IPv6
שירותי מיפוי יציאות	מיפוי יציאות NEG		IPv4 IPv6
מאזן עומסים פנימי אזורי של אפליקציות (ALB)	GCE_VM_IP_PORT zonal NEGs קבוצות NEG היברידיות קבוצות NEG ללא שרת (serverless) קבוצות NEGs של Private Service Connect קבוצות של מכונות קבוצות אזוריות של נקודות קצה ברשת האינטרנט (NEGs)		IPv4
מאזן עומסי רשת פנימי אזורי בשרת proxy	GCE_VM_IP_PORT zonal NEGs קבוצות NEG היברידיות קבוצות NEGs של Private Service Connect קבוצות של מכונות		IPv4
Secure Web Proxy	לא רלוונטי		IPv4

מאזני עומסים שונים תומכים בהגדרות שונות של יציאות. חלקם תומכים ביציאה אחת, חלקם תומכים בטווח של יציאות וחלקם תומכים בכל היציאות. מידע נוסף זמין במאמר בנושא מפרטים של יציאות.

מגבלות

לנקודות קצה שדרכן ניגשים לשירות שפורסם יש את המגבלות הבאות:

• אי אפשר ליצור נקודת קצה באותה רשת VPC כמו השירות שפורסם שאליו אתם ניגשים.

• אי אפשר לבצע רפליקציה של חבילות נתונים עבור תעבורת נתונים של שירותים שפורסמו ב-Private Service Connect.

• לא כל המסלולים הסטטיים עם קפיצות למאזן עומסים נתמכים ב-Private Service Connect. מידע נוסף מופיע במאמר בנושא Static routes with load balancer next hops (מסלולים סטטיים עם מאזן עומסים של קפיצות הבאות).

• בדיקות קישוריות לא יכולות לבדוק קישוריות בין נקודת קצה של IPv6 לבין שירות שפורסם.

גישה מקומית

אפשר לגשת לנקודות קצה שמשמשות לגישה ל-Google APIs ממארחים מקומיים מקושרים נתמכים. מידע נוסף זמין במאמר בנושא נקודות קצה לגישה מרשתות היברידיות.

מפרטים

• נקודת הקצה צריכה להיווצר ברשת VPC שונה מרשת ה-VPC שמכילה את שירות היעד.
• אם אתם משתמשים ב-VPC משותף, אתם יכולים ליצור נקודות קצה בפרויקט המארח או בפרויקט שירות. מידע נוסף זמין במאמר בנושא [VPC משותף](#shared-vpc).
• כברירת מחדל, אפשר לגשת לנקודת הקצה רק מלקוחות שנמצאים באותו אזור ובאותה רשת VPC (או באותה רשת VPC משותפת) כמו נקודת הקצה. מידע על הפיכת נקודות קצה לזמינות באזורים אחרים זמין במאמר גישה גלובלית.
• כתובת ה-IP שאתם מקצים לנקודת הקצה צריכה להיות מתוך תת-רשת רגילה.
  • אפשר להשתמש בכתובת IPv4 מתת-רשת IPv4 בלבד או מתת-רשת עם תמיכה כפולה.
  • אפשר להשתמש בכתובת IPv6 מרשת משנה עם IPv6 בלבד או מרשת משנה עם תמיכה כפולה, אם לרשת המשנה יש טווח כתובות IPv6 פנימיות.
  • גרסת ה-IP של כתובת ה-IP משפיעה על השירותים שפורסמו שאליהם נקודת הקצה יכולה להתחבר. מידע נוסף זמין במאמר בנושא תרגום גרסת IP.
  • כתובת ה-IP נספרת במסגרת מכסת הפרויקט של כתובות IPv4 פנימיות סטטיות או של כתובות IPv6 פנימיות סטטיות.
• כשיוצרים נקודת קצה כדי להתחבר לשירות, אם לשירות מוגדר שם דומיין DNS, נוצרים באופן אוטומטי ערכי DNS פרטיים ברשת ה-VPC של נקודת הקצה.
• לכל נקודת קצה יש כתובת IP ייחודית משלה, ואפשרותית גם שם DNS ייחודי משלה.
• קצוות עורפיים של שירותים שפורסמו (גרסת Preview) מאפשרים להגדיר מאזני עומסים אזוריים נתמכים או Cloud Service Mesh כדי לנתב תנועה לשירותים שפורסמו דרך נקודות קצה של Private Service Connect.

סטטוסים של חיבור

לנקודות קצה, לבק-אנדים ולקבצים מצורפים של שירותים ב-Private Service Connect יש סטטוסים של חיבורים שמתארים את מצב החיבורים שלהם. למשאבי הצרכן והבעלים שיוצרים את שני הצדדים של החיבור יש תמיד את אותו סטטוס.

אפשר לראות את סטטוס החיבור כשמציגים את פרטי נקודת הקצה, מתארים את ה-Backend או מציגים את הפרטים של שירות שפורסם.

בטבלה הבאה מפורטים הסטטוסים האפשריים.

סטטוס החיבור	תיאור
Accepted	החיבור של Private Service Connect מתקבל על ידי הספק, והחיבור מותר על ידי ההגדרה. עם זאת, הסטטוס הזה לא מבטיח שאפשר להעביר תנועה דרך החיבור.
בהמתנה	החיבור של Private Service Connect לא נוצר, ולא ניתן להעביר תנועה ברשת בין שתי הרשתות. יכול להיות שהסטטוס של החיבור יהיה כזה מהסיבות הבאות: נדרש אישור מפורש לצירוף השירות, והצרכן לא נמצא ברשימת הצרכנים המורשים. מספר החיבורים חורג ממגבלת החיבורים של קובץ השירות המצורף. חיבורים שנחסמו מהסיבות האלה יישארו במצב 'בהמתנה' לזמן בלתי מוגבל עד שהבעיה הבסיסית תיפתר.
נדחתה	החיבור ל-Private Service Connect לא נוצר. תעבורת הנתונים ברשת לא יכולה לעבור בין שתי הרשתות. יכול להיות שהסטטוס של החיבור יהיה כזה מהסיבות הבאות: מדיניות הארגון של היצרן דחתה את החיבור. ‫A consumer reject list rejected the connection.
נדרשת התייחסות	יש בעיה בצד של המפיק בחיבור. יכול להיות שחלק מעומס התנועה הקל יעבור בין שתי הרשתות, אבל יכול להיות שחלק מהחיבורים לא יפעלו. לדוגמה, יכול להיות שרשת המשנה של NAT של המפיק מוצתה ולא ניתן להקצות כתובות IP לחיבורים חדשים.
סגור	הקובץ המצורף עם השירות נמחק, והחיבור של Private Service Connect נסגר. תעבורת הנתונים ברשת לא יכולה לעבור בין שתי הרשתות. חיבור סגור הוא מצב סופי. כדי לשחזר את החיבור, צריך ליצור מחדש את קובץ השירות ואת נקודת הקצה או את ה-backend.

תרגום של גרסת ה-IP

בנקודות קצה של Private Service Connect שמחוברות לשירותים שפורסמו (קבצים מצורפים של שירותים), גרסת ה-IP של כתובת ה-IP של כלל ההעברה של הצרכן קובעת את גרסת ה-IP של נקודת הקצה והתנועה שיוצאת מנקודת הקצה. כתובת ה-IP יכולה להגיע מרשת משנה עם IPv4 בלבד, IPv6 בלבד או עם שניהם. גרסת ה-IP של נקודת הקצה יכולה להיות IPv4 או IPv6, אבל לא שתיהן.

בשירותים שפורסמו, גרסת ה-IP של קובץ ה-Service Attachment נקבעת לפי כתובת ה-IP של כלל ההעברה המשויך או של מופע Secure Web Proxy. כתובת ה-IP הזו צריכה להיות תואמת לסוג הערימה של רשת המשנה של NAT של קובץ השירות. רשת המשנה של NAT יכולה להיות רשת משנה של IPv4 בלבד, של IPv6 בלבד או של dual-stack. אם רשת המשנה של ה-NAT היא רשת משנה עם תמיכה כפולה, נעשה שימוש בטווח כתובות IPv4 או IPv6, אבל לא בשניהם.

‫Private Service Connect לא תומך בחיבור של נקודת קצה IPv4 לקובץ מצורף של שירות IPv6. במקרה כזה, יצירת נקודת הקצה נכשלת ומוצגת הודעת השגיאה הבאה:

Private Service Connect forwarding rule with an IPv4 address cannot target an IPv6 service attachment.

אלה השילובים האפשריים של הגדרות נתמכות:

• נקודת קצה של IPv4 לחיבור שירות של IPv4
• נקודת קצה של IPv6 לצירוף שירות של IPv6

• נקודת קצה של IPv6 לצירוף שירות IPv4

  בהגדרה הזו, ‏Private Service Connect מתרגם באופן אוטומטי בין שתי גרסאות ה-IP.

גישה כללית

נקודות קצה של Private Service Connect שמשמשות לגישה לשירותים הן משאבים אזוריים. עם זאת, אפשר להגדיר גישה גלובלית כדי להפוך נקודת קצה לזמינה באזורים אחרים.

גישה גלובלית מאפשרת למשאבים בכל אזור לשלוח תעבורה לנקודות קצה של Private Service Connect. אתם יכולים להשתמש בגישה גלובלית כדי לספק זמינות גבוהה בשירותים שמארחים במספר אזורים, או כדי לאפשר ללקוחות לגשת לשירות שלא נמצא באותו אזור כמו הלקוח.

הדיאגרמה הבאה ממחישה לקוחות באזורים שונים שניגשים לאותה נקודת קצה:

• נקודת הקצה נמצאת ב-us-west1 והוגדרה לה גישה גלובלית.

• המכונה הווירטואלית ב-us-west1 יכולה לשלוח תנועה לנקודת הקצה, והתנועה נשארת באותו אזור.

• המכונה הווירטואלית ב-us-east1 והמכונה הווירטואלית מהרשת המקומית יכולות גם להתחבר לנקודת הקצה ב-us-west1, גם אם הן באזורים שונים. הקווים המקווקווים מייצגים את נתיב התנועה בין האזורים.

  

המפרט של גישה גלובלית

• אפשר להפעיל או להשבית את הגישה הגלובלית לנקודת קצה בכל שלב.

  • הפעלת גישה גלובלית לא גורמת לשיבוש בתנועה של חיבורים קיימים.
  • השבתת הגישה הגלובלית מפסיקה את כל החיבורים מאזורים אחרים, חוץ מהאזור שבו נמצאת נקודת הקצה.

• לא כל השירותים של Private Service Connect תומכים בנקודות קצה עם גישה גלובלית. אם מקשרים נקודת קצה לגישה גלובלית לשירות שלא מוגדר לגישה גלובלית, יכול להיות שהתנועה תישלח לשרתי קצה עורפיים לא תקינים ותיפסק (בעיה מוכרת).

  כדאי לבדוק מול בעלים של שירות מנוהל אם השירות שלו תומך בגישה גלובלית. מידע נוסף זמין במאמר תצורות נתמכות.

• גישה גלובלית לא מספקת כתובת IP גלובלית אחת או שם DNS אחד לכמה נקודות קצה של גישה גלובלית.

קצה עורפי של שירות שפורסם

אם רשתות ה-VPC של הספק והצרכן שייכות לאותו ארגון, אפשר לגשת לשירות שפורסם באמצעות קצה עורפי של שירות שפורסם.

הקצה העורפי של שירותים שפורסמו מאפשר לכם להגדיר מאזני עומסים נתמכים או Cloud Service Mesh אזורי כדי לנתב תעבורה לשירותים שפורסמו דרך נקודות קצה של Private Service Connect.

היתרונות של הגישה הזו:

• קישוריות מאוחדת: מאזני עומסים נתמכים ו-Cloud Service Mesh אזורי יכולים לגשת לשירותים שפורסמו דרך אותה נקודת קצה של Private Service Connect. כך תוכלו להרחיב את הגישה לאפליקציות של Cloud Service Mesh באמצעות אותה נקודת קצה שבה אתם משתמשים למאזני עומסים.
• הפרדה בין ניהול הרשת לניהול השירותים: בעלי השירותים יכולים לקשר מאזני עומסים או Cloud Service Mesh לשירותים שפורסמו על ידי מתן הפניה לצירוף השירות של היצרן. הם לא צריכים לנהל או להתייחס לנקודות קצה ספציפיות של Private Service Connect, שאדמינים של רשתות יכולים לנהל באופן עצמאי.
• ניהול מתקדם של תעבורה ואבטחה: כשניגשים לשירות שפורסם דרך מאזן עומסים של צרכן, מאזן העומסים יכול לשמש כנקודת אכיפה מרכזית של מדיניות שבה נאכפת מדיניות אבטחה (כמו מדיניות Google Cloud Armor ומדיניות SSL) או מדיניות ניתוב (כמו Cloud de Confiance by S3NS מיפוי כתובות URL).
• יכולת מעקב: מאזן עומסים יכול לספק מדדים ורישום מרכזיים, ששירות שפורסם לא יכול לספק.

כדי להשתמש בבק-אנדים של שירותים שפורסמו, צריך נקודת קצה קיימת של Private Service Connect שמתחברת לשירות שאליו רוצים לגשת. הגדרה של בק-אנד של שירות שפורסם לא יוצרת נקודת קצה כזו באופן אוטומטי.

כדי להשתמש בקצה עורפי של שירות שפורסם עם מאזן עומסים, צריך לקשר את שירות הקצה העורפי של מאזן העומסים ל-Service Attachment.

לא משייכים את מאזן העומסים לנקודת קצה באופן מפורש. במקום זאת, כשלקוח שולח בקשה למאזן העומסים, מאזן העומסים מנתב את התנועה דרך נקודת קצה של Private Service Connect שעומדת בקריטריונים הבאים:

• נקודת הקצה מתחברת ל-Service Attachment שצוין בקצה העורפי של מאזן העומסים של הלקוח.
• סטטוס החיבור של נקודת הקצה הוא ACCEPTED.
• נקודת הקצה נמצאת באותה רשת VPC ובאותו אזור כמו כלל ההעברה של הלקוח.

במאמר הגדרת עורפי קצה של שירותים שפורסמו ב-Cloud Service Mesh מוסבר איך להגדיר עורפי קצה של שירותים שפורסמו כדי לגשת לשירותים שפורסמו באמצעות Cloud Service Mesh אזורי.

הגדרות נתמכות

בטבלה הבאה מפורטות ההגדרות הנתמכות לשימוש בבק-אנדים של שירותים שפורסמו עם נקודות קצה של Private Service Connect. התמיכה בצרכנים מציינת שההגדרה יכולה לגשת לשירות שפורסם באמצעות קצה עורפי של שירות שפורסם. תמיכה בבעלי שירותים מציינת שאפשר להשתמש במאזן העומסים כדי לפרסם שירות שאפשר לגשת אליו דרך קצוות עורפיים של שירותים שפורסמו.

הגדרות אישיות	תמיכה בצרכנים	תמיכה למפיקים
Regional Cloud Service Mesh
מאזן עומסים חיצוני אזורי של אפליקציות (ALB)
מאזן עומסי רשת אזורי חיצוני בשרת proxy
מאזן עומסים פנימי אזורי של אפליקציות (ALB)
מאזן עומסי רשת פנימי אזורי בשרת proxy
מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי
העברת פרוטוקול פנימית (מופע יעד)

VPC משותף

אדמינים של פרויקטים של שירות יכולים ליצור נקודות קצה בפרויקטים של שירות VPC משותף שמשתמשים בכתובות IP מרשתות VPC משותפות.

באופן כללי, מומלץ ליצור כללי העברה ומשאבי כתובות תואמים באותו פרויקט Cloud de Confiance . שימוש באותו פרויקט עוזר למנוע בעיות כשפרויקט נמחק.

אם יוצרים נקודת קצה בפרויקט שירות, צריך להשתמש במשאב כתובת שנמצא גם הוא בפרויקט השירות. משאב הכתובת יכול להפנות לכתובת IP מתת-רשת בפרויקט המארח, או מפרויקט השירות, אם הוא מכיל תת-רשתות.

לא מומלץ להשתמש במשאב כתובת מפרויקט מארח כדי ליצור נקודת קצה בפרויקט שירות.

מידע נוסף זמין במאמר בנושא יצירת נקודת קצה עם כתובת IP מרשת VPC משותפת.

VPC Service Controls

‫VPC Service Controls ו-Private Service Connect תואמים זה לזה. אם רשת ה-VPC שבה נקודת הקצה של Private Service Connect פרוסה נמצאת בגבולות גזרה של VPC Service Controls, נקודת הקצה היא חלק מאותם גבולות גזרה. כל השירותים שנתמכים על ידי VPC Service Controls שאליהם ניגשים דרך נקודת הקצה כפופים למדיניות של גבולות הגזרה של VPC Service Controls.

כשיוצרים נקודת קצה, מתבצעות קריאות ל-API של מישור הבקרה בין פרויקט הצרכן לפרויקט הבעלים כדי ליצור חיבור Private Service Connect. כדי ליצור חיבור Private Service Connect בין פרויקטים של צרכנים וספקים שלא נמצאים באותו גבול גזרה של VPC Service Controls, לא נדרש אישור מפורש באמצעות מדיניות יציאה. התקשורת עם שירותים שנתמכים על ידי VPC Service Controls דרך נקודת הקצה מוגנת על ידי היקף VPC Service Controls.

מסלולים סטטיים עם הצעדים הבאים של מאזן העומסים

אפשר להגדיר נתיבים סטטיים לשימוש בכלל ההעברה של מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי כנקודת הקפיצה הבאה (--next-hop-ilb). לא כל הנתיבים מהסוג הזה נתמכים ב-Private Service Connect.

אפשר להשתמש בנתיבים סטטיים שמשתמשים ב---next-hop-ilb כדי לציין את השם של כלל העברה של מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי, כדי לשלוח ולקבל תעבורת נתונים לנקודת קצה של Private Service Connect, כשהמסלול ונקודת הקצה נמצאים באותה רשת VPC.

אין תמיכה בהגדרות הניתוב הבאות עם Private Service Connect:

• מסלולים סטטיים שמשתמשים ב---next-hop-ilb כדי לציין את כתובת ה-IP של כלל העברה של מאזן עומסי רשת פנימי מסוג העברת סיגנל ללא שינוי.
• מסלולים סטטיים שמשתמשים ב---next-hop-ilb כדי לציין את השם או את כתובת ה-IP של כלל להעברת נקודת קצה (endpoint) של Private Service Connect.

רישום ביומן

• אפשר להפעיל את VPC Flow Logs ברשתות משנה שמכילות מכונות וירטואליות (VM) שניגשות לשירותים ברשת VPC אחרת באמצעות נקודות קצה. היומנים מציגים את התנועה בין המכונות הווירטואליות לבין נקודת הקצה.

• אפשר לראות שינויים בסטטוס החיבור של נקודות קצה באמצעות יומני ביקורת. שינויים בסטטוס החיבור של נקודת הקצה מתועדים במטא-נתונים של אירועי המערכת עבור סוג המשאב כלל העברה ב-GCE. כדי לראות את הרשומות האלה, אפשר לסנן לפי pscConnectionStatus.

  לדוגמה, כשבעלים של שירות מנוהל מאפשר חיבורים מהפרויקט שלכם, סטטוס החיבור של נקודת הקצה משתנה מ-PENDING ל-ACCEPTED, והשינוי הזה משתקף ביומני הביקורת.

  • כדי לראות את יומני הביקורת, קראו את המאמר צפייה ביומנים.
  • כדי להגדיר התראות על סמך יומני ביקורת, ראו ניהול התראות על סמך יומנים.

מכסות

מספר נקודות הקצה שאפשר ליצור כדי לגשת לשירותים שפורסמו מוגבל על ידי מכסת PSC Internal LB Forwarding Rules. מידע נוסף זמין במאמר בנושא מכסות.

מגבלות שקשורות למדיניות הארגון

אדמין של מדיניות הארגון יכול להשתמש באילוץ constraints/compute.disablePrivateServiceConnectCreationForConsumers כדי להגדיר את קבוצת סוגי נקודות הקצה שמשתמשים לא יכולים ליצור עבורן כללי העברה.

למידע על יצירת מדיניות ארגונית שמשתמשת באילוץ הזה, ראו חסימת צרכנים מפריסת נקודות קצה לפי סוג החיבור.

המאמרים הבאים

• גישה לשירותים שפורסמו באמצעות נקודות קצה