Informationen zu Private Service Connect-Schnittstellen

Diese Seite bietet eine Übersicht über Private Service Connect-Schnittstellen.

Eine Private Service Connect-Schnittstelle ist eine Ressource, mit der das VPC-Netzwerk (Virtual Private Cloud) eines Erstellers Verbindungen zu verschiedenen Zielen in einem Nutzer-VPC-Netzwerk initiieren kann. Ersteller- und Nutzernetzwerke können sich in verschiedenen Projekten und Organisationen befinden.

Zum Erstellen einer Private Service Connect-Schnittstellenverbindung benötigen Sie eine VM-Instanz (virtuelle Maschine) mit mindestens zwei Netzwerkschnittstellen. Die erste Schnittstelle stellt eine Verbindung zu einem Subnetz in einem Ersteller-VPC-Netzwerk her. Die anderen Schnittstellen können Private Service Connect-Schnittstellen sein, die Verbindungen zu Netzwerkanhängen in verschiedenen Nutzer-VPC-Netzwerken anfordern. Wenn eine Verbindung akzeptiert wird, Cloud de Confiance by S3NS weist der Private Service Connect-Schnittstelle eine interne IP-Adresse aus dem Nutzersubnetz zu, das vom Netzwerkanhang angegeben wird.

Mit dieser Private Service Connect-Schnittstellenverbindung können Ersteller- und Nutzerorganisationen ihre VPC-Netzwerke so konfigurieren, dass die beiden Netzwerke verbunden sind und über interne IP-Adressen kommunizieren können. Die Erstellerorganisation kann beispielsweise das Ersteller VPC-Netzwerk aktualisieren, um Routen für Nutzersubnetze hinzuzufügen.

Abbildung 1. In einem Ersteller-VPC-Netzwerk, hat VM-1 zwei Netzwerkschnittstellen. Eine virtuelle Netzwerkschnittstelle (vNIC) stellt eine Verbindung zu einem Subnetz im Erstellernetzwerk her. Die andere Schnittstelle ist eine virtuelle Private Service Connect-Schnittstelle, die eine Verbindung zu einem Netzwerkanhang in einem Nutzernetzwerk herstellt (zum Vergrößern klicken).

Eine Verbindung zwischen einer Private Service Connect-Schnittstelle und einem Netzwerkanhang ähnelt der Verbindung zwischen einem Private Service Connect Endpunkt und einem Dienstanhang. Allerdings gibt es zwei wichtige Unterschiede:

  • Mit einer Private Service Connect-Schnittstelle kann ein Ersteller-VPC-Netzwerk Verbindungen zu einem Nutzer-VPC-Netzwerk initiieren (verwalteter ausgehender Dienst-Traffic). Ein Endpunkt funktioniert in umgekehrter Richtung, sodass ein Nutzer-VPC-Netzwerk Verbindungen zu einem Ersteller-VPC-Netzwerk initiieren kann (verwalteter Dienst-Ingress).
  • Private Service Connect-Schnittstellenverbindungen sind transitiv. Das bedeutet, dass Arbeitslasten in einem Erstellernetzwerk Verbindungen zu anderen Arbeitslasten initiieren können, die mit dem Nutzer-VPC-Netzwerk verbunden sind. Private Service Connect-Endpunkte können nur Verbindungen zum Ersteller-VPC-Netzwerk initiieren.

Abbildung 2. Mit Private Service Connect -Endpunkten können Dienstnutzer Verbindungen zu Diensterstellern initiieren, während Private Service Connect-Schnittstellen es Diensterstellern ermöglichen, eine Verbindung zu Dienstnutzern zu initiieren (zum Vergrößern klicken).

Verbindung zu Arbeitslasten in anderen Netzwerken herstellen

Da Private Service Connect-Schnittstellenverbindungen transitiv sind, können Ressourcen in Ersteller-VPC-Netzwerken mit Arbeitslasten kommunizieren, die mit dem Nutzernetzwerk verbunden sind, wenn die Konfiguration des Nutzer-VPC-Netzwerks dies zulässt. Der Support umfasst

Abbildung 3. Ein Ersteller-VPC-Netzwerk , das über eine Private Service Connect-Schnittstellenverbindung mit einem Nutzer-VPC Netzwerk verbunden ist , kann mit Arbeitslasten kommunizieren, die mit dem Nutzer VPC verbunden sind (zum Vergrößern klicken).

Beispielanwendungsfälle

Ein Beispielanwendungsfall für Private Service Connect-Schnittstellen ist ein verwalteter Dienst, der Verbindungen zu einem Nutzer-VPC-Netzwerk initiieren muss, um auf Nutzerdaten zuzugreifen. Der Dienst benötigt möglicherweise auch Zugriff auf Daten oder Dienste, die im lokalen Netzwerk eines Nutzers, über ein VPN, über eine Cloud Interconnect-verbindung oder von einem Drittanbieterdienst verfügbar sind. Eine Private Service Connect-Schnittstellenverbindung kann alle diese Anforderungen erfüllen.

Ein weiterer Anwendungsfall ist ein verwalteter Dienst, der ein API-Gateway bereitstellt. Wenn der Dienst Aufrufe für verschiedene APIs empfängt, initiiert er über Private Service Connect-Schnittstellen Verbindungen zu Nutzer-VPC-Netzwerken. Der Gateway-Dienst sendet API-Anfragen an Backend-Ziele, die die Anfragen verarbeiten.

Private Service Connect-Schnittstellen und Private Service Connect-Endpunkte ergänzen sich und können zusammen im selben VPC-Netzwerk verwendet werden.

Beispiel: Abbildung 4 beschreibt die Netzwerkkonfiguration eines verwalteten Dienstes, der Analysen bereitstellt. Der Analysedienst kann über eine Private Service Connect-Schnittstelle Verbindungen zum Nutzer-VPC-Netzwerk initiieren. Mit einem Private Service Connect-Endpunkt im Nutzernetzwerk kann der Analysedienst Verbindungen zu einem Datenbankdienst in einem anderen VPC-Netzwerk initiieren. Der Traffic vom Analysedienst zum Datenbankdienst wird durch das Nutzernetzwerk geleitet, sodass der Nutzer den Traffic zwischen den beiden Diensten überwachen und Sicherheit bieten kann.

Abbildung 4. Private Service Connect Schnittstellen und Private Service Connect-Endpunkte ergänzen sich in dieser Beispielkonfiguration. Über die Schnittstelle kann der Analysedienst Verbindungen zum Nutzer-VPC-Netzwerk initiieren. Über den Endpunkt kann der Analysedienst Verbindungen vom Nutzer- VPC-Netzwerk zum Datenbankdienst initiieren (zum Vergrößern klicken).

Private Service Connect-Schnittstellentypen

Es gibt zwei Arten von Private Service Connect-Schnittstellen:

Die Hauptunterschiede zwischen virtuellen und dynamischen Private Service Connect-Schnittstellen sind in der folgenden Tabelle beschrieben:

Typ Maximale Anzahl von Private Service Connect-Schnittstellen pro VM Schnittstellenverwaltung Unterstütztes Gastbetriebssystem Unterstützt eine VM mit mehreren Schnittstellen im selben VPC-Netzwerk mit RDMA-Profil
Virtuelle Private Service Connect-Schnittstelle Bis zu 9 (abhängig von der Anzahl der vCPUs) Beim Erstellen der VM hinzugefügt, beim Löschen der VM entfernt Linux, Windows Ja (nur Falcon-VPC-Netzwerke)
Dynamische Private Service Connect-Schnittstelle Bis zu 15 (abhängig von der Anzahl der vCPUs) Kann jederzeit hinzugefügt und unabhängig von der VM entfernt werden Nur Linux Nein

Verwenden Sie virtuelle Private Service Connect-Schnittstellen, wenn Folgendes zutrifft:

Verwenden Sie dynamische Private Service Connect-Schnittstellen, wenn Folgendes zutrifft:

  • Sie müssen Verbindungen zu Nutzer-VPC-Netzwerken dynamisch verwalten.
  • Sie benötigen mehr Private Service Connect-Schnittstellen pro VM.
  • Sie müssen Ausfallzeiten bei Änderungen an der Private Service Connect-Schnittstelle vermeiden.

Spezifikationen

Eine Private Service Connect-Schnittstelle ist eine spezielle Art Netzwerkschnittstelle, die eine Verbindung zu einem Netzwerkanhang bereitstellt.

Die Spezifikationen für Netzwerkschnittstellen gelten auch für Private Service Connect-Schnittstellen.

Die folgenden Spezifikationen gelten für beide Arten von Private Service Connect-Schnittstellen:

  • Eine VM, die Private Service Connect-Schnittstellen verwendet, benötigt mindestens zwei Netzwerkschnittstellen. Die erste Netzwerkschnittstelle ist die Standardschnittstelle mit dem Namen nic0. Diese Schnittstelle stellt eine Verbindung zu einem Erstellersubnetz her. Die zweite Schnittstelle ist eine Private Service Connect-Schnittstelle, die eine Verbindung zu einem Nutzersubnetz anfordert.
  • Wenn ein Nutzerprojekt eine Verbindung von einer Private Service Connect-Schnittstelle akzeptiert, Cloud de Confiance konfiguriert es die Schnittstelle mit internen IP-Adressen aus dem Subnetz des Netzwerkanhangs. Der Stacktyp des Subnetzes des Netzwerkanhangs bestimmt die möglichen Stacktypen der Schnittstelle.
  • Wenn eine einzelne VM mehrere Private Service Connect-Schnittstellen hat, muss jede Schnittstelle eine Verbindung zu Folgendem herstellen:
  • Cloud de Confiance prüft, ob sich die IP-Adressen, die einer Private Service Connect-Schnittstelle zugewiesen sind, nicht mit den Adressbereichen von Subnetzen überschneiden, die mit den anderen Netzwerkschnittstellen der VM verbunden sind.
  • Wenn ein Netzwerkanhang nicht genügend IP-Adressen für die Zuweisung zu Private Service Connect-Schnittstellen hat, schlägt das Erstellen der Schnittstelle fehl und es wird ein Fehler zurückgegeben:
    • Wenn der Fehler beim Erstellen einer VM auftritt, wird die VM nicht erstellt.
    • Wenn der Fehler beim Hinzufügen einer dynamischen Private Service Connect-Schnittstelle zu einer vorhandenen VM auftritt, wird die Schnittstelle nicht hinzugefügt.
  • Sie müssen das Gastbetriebssystem der VM einer Private Service Connect-Schnittstelle manuell konfigurieren , um den Traffic über die Schnittstelle weiterzuleiten.
  • Private Service Connect-Schnittstellen unterstützen Alias-IP Bereiche. Alias-IP-Bereiche müssen aus dem primären IPv4-Adressbereich des Subnetzes des Netzwerk anhangs stammen.
  • Eine Private Service Connect-Schnittstelle kommuniziert auf dieselbe Weise wie eine Netzwerkschnittstelle.
  • Verbindungen zwischen einem Netzwerkanhang und einer Private Service Connect-Schnittstelle sind bidirektional und transitiv. Arbeitslasten im Ersteller-VPC-Netzwerk können Verbindungen zu Arbeitslasten initiieren, die mit dem Nutzer VPC-Netzwerk verbunden sind.
  • Dynamische und virtuelle Private Service Connect-Schnittstellen können auf derselben VM vorhanden sein.
  • Private Service Connect-Schnittstellen unterstützen VPC Service Controls. Diese Kombination erfordert eine zusätzliche Routingkonfiguration.

Spezifikationen für virtuelle Private Service Connect-Schnittstellen

Die folgenden Spezifikationen gelten nur für virtuelle Private Service Connect-Schnittstellen.

  • Virtuelle Private Service Connect-Schnittstellen können nur beim Erstellen der VM erstellt und nur durch Löschen der zugehörigen VM entfernt werden.
  • Sie können maximal neun virtuelle Private Service Connect-Schnittstellen auf einer einzelnen VM erstellen. Die genaue Anzahl hängt von der Anzahl der vCPUs in der VM ab.
  • Wenn ein Nutzer-VPC-Netzwerk ein RDMA-Netzwerkprofil für Falcon-VPC-Netzwerke verwendet, kann eine einzelne VM über mehrere virtuelle Private Service Connect-Schnittstellen eine Verbindung dazu herstellen.

Spezifikationen für dynamische Private Service Connect-Schnittstellen

Die folgenden Spezifikationen gelten nur für dynamische Private Service Connect-Schnittstellen.

  • Die Eigenschaften und Einschränkungen von dynamischen NICs gelten auch für dynamische Private Service Connect-Schnittstellen.
  • Sie können dynamische Private Service Connect Schnittstellen jederzeit hinzufügen oder entfernen, ohne die VM neu starten zu müssen.
  • Eine einzelne VM kann bis zu 15 dynamische Private Service Connect-Schnittstellen haben. Die genaue Anzahl hängt von der Anzahl der vCPUs in der VM ab.
  • Die maximale Übertragungseinheit (Maximum Transmission Unit, MTU) einer Netzwerkschnittstelle wird auf die MTU des VPC-Netzwerk festgelegt, mit dem sie verbunden ist. Die MTU einer dynamischen Private Service Connect-Schnittstelle muss kleiner oder gleich der MTU der übergeordneten Netzwerkschnittstelle sein. Andernfalls schlägt das Erstellen der Schnittstelle mit einem Fehler fehl.

Beschränkungen

  • Eine Private Service Connect-Schnittstellenverbindung kann nur auf folgende Arten beendet werden:

    • Ein Ersteller löscht die VM der Schnittstelle.
    • Ein Ersteller entfernt eine dynamische Private Service Connect-Schnittstelle.
    • Ein Nutzer löscht ein Projekt, das mit einer Private Service Connect-Schnittstelle verbunden ist. Dadurch wird die VM der Schnittstelle beendet.
    • Ein Nutzer deaktiviert die Compute Engine API in einem Projekt, das mit einer Private Service Connect-Schnittstelle verbunden ist. Dadurch wird die VM der Schnittstelle beendet.

  • Sie können Private Service Connect-Schnittstellen keine externen (öffentlich beworbenen) IP Adressen zuweisen.

  • Dynamische Private Service Connect-Schnittstellen werden auf VMs mit Windows-Gastbetriebssystem nicht unterstützt. Diese Konfiguration wird zwar nicht von der API verhindert, aber Pakete werden nicht übertragen, da Windows-Gastbetriebssystemtreiber keine dynamischen NICs unterstützen.

  • Die Unterstützung für dynamische Private Service Connect-Schnittstellen auf Container-Optimized OS-VMs ist auf Meilenstein 129 oder höher beschränkt.

  • Private Service Connect-Schnittstellen können nicht der nächste Hop einer internen Weiterleitungsregel sein.

  • Sie können Private Service Connect-Schnittstellen nicht direkt mit Google Kubernetes Engine-Knoten (GKE) oder -Pods verknüpfen. Ausgehender Dienst-Traffic ist jedoch mit GKE über Private Service Connect-Schnittstellen möglich, die auf Proxy-VMs konfiguriert sind.

  • VMs mit Private Service Connect-Schnittstellen können nicht Teil von Backend-Diensten sein, die auf Compute Engine-VMs ausgerichtet sind. Das liegt daran, dass sich die VMs im selben Projekt wie der Backend-Dienst befinden müssen.

Nutzerautorisierung und Dienstklassen-IDs

Netzwerkanhänge haben Autorisierungsrichtlinien die angeben, ob Verbindungen von Private Service Connect Schnittstellen automatisch akzeptiert werden oder eine explizite Autorisierung erfordern. Bei Netzwerkanhängen, die eine explizite Autorisierung erfordern, können Nutzer Ersteller anhand der Projekt-ID oder Dienstklassen-ID autorisieren.

Eine Dienstklassen-ID ist eine eindeutige Kennung, die von einigen Google-Diensten bereitgestellt wird, um die Autorisierung für diesen Dienst zu vereinfachen. Wenn ein Netzwerkanhang so konfiguriert ist, dass Ersteller anhand der Dienstklassen-ID akzeptiert werden, muss der Ersteller die ID beim Erstellen einer Private Service Connect-Schnittstelle angeben. Wenn ein Ersteller versucht, eine Schnittstelle mit einer Dienstklassen-ID zu erstellen, für die er keine Berechtigung hat, schlägt der Vorgang fehl.

Preise

Die Preise für Private Service Connect-Schnittstellen werden auf der Seite der VPC-Preise beschrieben.

Nächste Schritte