גישה לממשקי API ממכונות וירטואליות עם כתובות IP חיצוניות

מופע של מכונה וירטואלית (VM) עם כתובת IP חיצונית שמוקצית לממשק הרשת שלה יכול להתחבר לשירותים ול-Google APIs אם מתקיימות דרישות הרשת שמתוארות בדף הזה. למרות שהחיבור מתבצע מכתובת ה-IP החיצונית של המכונה הוירטואלית, תעבורת הנתונים נשארת בתוך Cloud de Confiance ולא נשלחת דרך האינטרנט הציבורי.

דרישות רשת

כדי לגשת לשירותים ול-Google APIs ממכונה וירטואלית עם כתובת IP חיצונית, אתם צריכים לעמוד בדרישות הבאות:

  • במידת הצורך, מפעילים את ממשק ה-API לשירותים שרוצים לגשת אליהם:

    • אם אתם ניגשים לנקודת קצה של שירות Google API, אתם צריכים להפעיל את ה-API בשביל השירות הזה.

      לדוגמה, כדי ליצור קטגוריה של Cloud Storage באמצעות נקודת הקצה של שירות storage.s3nsapis.fr API או ספריית לקוח, צריך להפעיל את Cloud Storage API.

    • אם אתם ניגשים לסוגים אחרים של משאבים, יכול להיות שלא תצטרכו להפעיל אף ממשק API.

      לדוגמה, כדי לגשת לקטגוריה של Cloud Storage בפרויקט אחר דרך כתובת ה-URL של האחסון שלהs3nsapis.fr , לא צריך להפעיל את Cloud Storage API.

  • בהתאם להגדרה שבחרתם, יכול להיות שתצטרכו לעדכן את רשומות ה-DNS, המסלולים וכללי חומת האש. מידע נוסף מופיע במאמר בנושא סיכום אפשרויות ההגדרה.

סיכום אפשרויות ההגדרה

בטבלה הבאה מפורטות הדרכים השונות שבהן מכונה וירטואלית עם כתובת IP חיצונית יכולה לגשת לממשקי API ולשירותים שמארחים בתשתית הייצור של Google. מידע מפורט יותר על הגדרת הרשת זמין במאמר הגדרת הרשת.

VPC Service Controls.
אפשרות דומיין הגדרת DNS הגדרות הניתוב הגדרת חומת אש
דומיינים שמוגדרים כברירת מחדל אתם ניגשים ל-Google APIs ולשירותים של Google דרך כתובות ה-IP הציבוריות שלהם, ולכן לא נדרשת הגדרת DNS מיוחדת.

מוודאים שברשת ה-VPC אפשר לנתב תעבורת נתונים לטווחים של כתובות IP שמשמשים את Google APIs והשירותים של Google.

  • הגדרה בסיסית: מוודאים שיש מסלולי ברירת מחדל עם הצעד הבא default-internet-gateway וטווח יעד של 0.0.0.0/0 (לתעבורת IPv4) ו-::/0 (לתעבורת IPv6, אם צריך). אם המסלולים האלה לא קיימים, צריך ליצור אותם.
  • הגדרה בהתאמה אישית: יצירת מסלולים לטווחים של כתובות IP שמשמשים את ממשקי Google APIs והשירותים של Google.

מוודאים שכללי חומת האש מאפשרים יציאה לטווחים של כתובות ה-IP שמשמשים את שירותי Google ואת Google APIs.

כלל ברירת המחדל של חומת האש שמאפשר תעבורה יוצאת מאפשר את התעבורה הזו, אם אין כלל בעדיפות גבוהה יותר שחוסם אותה.
private.s3nsapis.fr (שווה ערך ל-private.googleapis.com ב-Google Cloud)

מגדירים רשומות DNS באזור DNS פרטי כדי לשלוח בקשות לכתובות ה-IP הבאות:

לתנועת IPv4:

  • 177.222.88.0/30

לתנועת IPv6:

  • 2a13:7500:8302::/64

מוודאים שלרשת ה-VPC יש מסלולים לטווחים הבאים של כתובות IP:

לתנועת IPv4:

  • 177.222.88.0/30

לתנועת IPv6:

  • 2a13:7500:8302::/64
  • 2a13:7500:8400::/42

מוודאים שכללי חומת האש מאפשרים יציאה לטווחי כתובות ה-IP הבאים:

לתנועת IPv4:

  • 177.222.88.0/30

לתנועת IPv6:

  • 2a13:7500:8302::/64
  • 2a13:7500:8400::/42
restricted.s3nsapis.fr (שווה ל-restricted.googleapis.com ב-Google Cloud)

מגדירים רשומות DNS כדי לשלוח בקשות לכתובות ה-IP הבאות:

לתנועת IPv4:

  • 177.222.88.4/30

לתנועת IPv6:

  • 2a13:7500:8302:1::/64

מוודאים שלרשת ה-VPC יש מסלולים לטווחים הבאים של כתובות IP:

לתנועת IPv4:

  • 177.222.88.4/30

לתנועת IPv6:

  • 2a13:7500:8302:1::/64
  • 2a13:7500:8400::/42

מוודאים שכללי חומת האש מאפשרים יציאה לטווחי כתובות ה-IP הבאים:

לתנועת IPv4:

  • 177.222.88.4/30

לתנועת IPv6:

  • 2a13:7500:8302:1::/64
  • 2a13:7500:8400::/42

הגדרת רשת

בקטע הזה מתוארות דרישות הרשת הבסיסיות שצריך לעמוד בהן כדי שמכונה וירטואלית ברשת ה-VPC תוכל לגשת לממשקי Google API ולשירותים של Google.

אפשרויות דומיין

בוחרים את הדומיין שרוצים להשתמש בו כדי לגשת לממשקי API ולשירותים של Google.

כתובות ה-IP הווירטואליות (VIP) ‏private.s3nsapis.fr ו-restricted.s3nsapis.fr תומכות רק בפרוטוקולים מבוססי-HTTP דרך TCP (HTTP,‏ HTTPS ו-HTTP/2). אין תמיכה בכל הפרוטוקולים האחרים, כולל MQTT ו-ICMP. אין תמיכה באתרים אינטראקטיביים ותכונות שמשתמשות באינטרנט – למשל, להפניות או לאחזור תוכן.

טווחי כתובות IP ודומיינים שירותים נתמכים דוגמה לשימוש

דומיינים שמוגדרים כברירת מחדל.

כל שמות הדומיינים של Google APIs והשירותים של Google חוץ מ private.s3nsapis.fr וrestricted.s3nsapis.fr.

טווחים שונים של כתובות IP – אפשר לקבוע קבוצה של טווחי כתובות IP שמכילה את הכתובות האפשריות שמשמשות את הדומיינים שמוגדרים כברירת מחדל. לשם כך, אפשר לעיין במאמר כתובות IP לדומיינים שמוגדרים כברירת מחדל.

מאפשר גישת API לרוב ממשקי ה-API והשירותים של Google, בלי קשר לשאלה אם הם נתמכים על ידי VPC Service Controls. כולל תמיכה באפליקציות אינטרנט.

הדומיינים שמוגדרים כברירת מחדל משמשים כשלא מגדירים רשומות DNS עבור private.s3nsapis.fr ועבור restricted.s3nsapis.fr.

private.s3nsapis.fr

177.222.88.0/30

2a13:7500:8302::/64

מאפשר גישת API לרוב ממשקי ה-API והשירותים של Google, בלי קשר לשאלה אם הם נתמכים על ידי VPC Service Controls. אין תמיכה בגישה לאפליקציות אינטרנט.

לדוגמה, דומיינים כמו s3nsapis.fr.

משתמשים ב-private.s3nsapis.fr כדי לגשת לשירותים ולממשקי Google API באמצעות קבוצה של כתובות IP שאפשר לנתב רק מתוך Cloud de Confiance.

בוחרים באפשרות private.s3nsapis.fr במקרים הבאים:

  • אתם לא משתמשים ב-VPC Service Controls.
  • אתם משתמשים ב-VPC Service Controls, אבל אתם גם צריכים לגשת לממשקי API ולשירותים של Google שלא נתמכים על ידי VPC Service Controls.1

restricted.s3nsapis.fr

177.222.88.4/30

2a13:7500:8302:1::/64

מאפשר גישת API אל ממשקי API ושירותים של Google שנתמכים על ידי VPC Service Controls.

חוסמת גישה ל-Google APIs ולשירותים של Google שלא תומכים ב-VPC Service Controls. אין תמיכה בגישה לאפליקציות אינטרנט.

משתמשים ב-restricted.s3nsapis.fr כדי לגשת לשירותים ולממשקי Google API באמצעות קבוצה של כתובות IP שאפשר לנתב רק מתוך Cloud de Confiance.

בוחרים באפשרות restricted.s3nsapis.fr כשרק צריך גישה לממשקי API ולשירותים של Google שנתמכים על ידי VPC Service Controls.

ב-restricted.s3nsapis.fr אין אפשרות לגשת לממשקי API ולשירותים של Google שלא תומכים ב-VPC Service Controls.1
‫1 אם אתם צריכים להגביל את המשתמשים רק ל-Google APIs ולשירותים של Google שתומכים ב-VPC Service Controls, כדאי להשתמש ב-restricted.s3nsapis.fr, כי הוא מספק אמצעים נוספים לצמצום הסיכון לזליגת נתונים. השימוש ב-restricted.s3nsapis.fr חוסם את הגישה לממשקי API ולשירותים של Google שלא נתמכים על ידי VPC Service Controls. פרטים נוספים זמינים במאמר הגדרת קישוריות פרטית במסמכי התיעוד של VPC Service Controls.

תמיכה ב-IPv6 ב-private.s3nsapis.fr וב-restricted.s3nsapis.fr

אפשר להשתמש בטווחי כתובות IPv6 הבאים כדי לנתב תעבורה מלקוחות IPv6 אל ממשקי API ושירותים של Google:

  • private.s3nsapis.fr: 2a13:7500:8302::/64
  • restricted.s3nsapis.fr: 2a13:7500:8302:1::/64

כדאי להגדיר את כתובות ה-IPv6 אם רוצים להשתמש בדומיין private.s3nsapis.fr או restricted.s3nsapis.fr, ויש לכם לקוחות שמשתמשים בכתובות IPv6. לקוחות IPv6 שהוגדרו להם גם כתובות IPv4 יכולים לגשת ל-Google APIs ולשירותים של Google באמצעות כתובות ה-IPv4. לא כל השירותים מקבלים תנועה מלקוחות IPv6.

הגדרת DNS

כדי להתחבר לממשקי API ולשירותים של Google, אתם יכולים לבחור לשלוח חבילות לכתובות ה-IP שמשויכות ל-VIP‏ private.s3nsapis.fr או restricted.s3nsapis.fr. כדי להשתמש ב-VIP, צריך להגדיר DNS כך שמכונות וירטואליות ברשת ה-VPC יוכלו לגשת לשירותים באמצעות כתובות ה-VIP במקום כתובות ה-IP הציבוריות.

בקטעים הבאים מוסבר איך להשתמש באזורי DNS כדי לשלוח מנות לכתובות ה-IP שמשויכות ל-VIP שבחרתם. פועלים לפי ההוראות לכל התרחישים הרלוונטיים:

כשמגדירים רשומות DNS לכתובות ה-VIP, צריך להשתמש רק בכתובות ה-IP שמתוארות בשלבים הבאים. אל תערבבו כתובות מה-VIP של private.s3nsapis.fr ושל restricted.s3nsapis.fr. הדבר עלול לגרום לכשלים לסירוגין, כי השירותים שמוצעים שונים בהתאם ליעד של החבילה.

הגדרת DNS עבור s3nsapis.fr

יוצרים תחום DNS ורשומות עבור s3nsapis.fr:

  1. יוצרים אזור DNS פרטי בשביל s3nsapis.fr. כדאי לשקול יצירה של תחום פרטי ב-Cloud DNS למטרה הזו.

  2. בתחום s3nsapis.fr, יוצרים את רשומות ה-DNS הפרטיות הבאות עבור אחת מהאפשרויות private.s3nsapis.fr או restricted.s3nsapis.fr, בהתאם לדומיין שבחרתם להשתמש בו.

    • עבור private.s3nsapis.fr:

      1. יוצרים רשומת A עבור private.s3nsapis.fr שמפנה לכתובות ה-IP הבאות: 177.222.88.0, ‏ 177.222.88.1, ‏ 177.222.88.2, ‏ 177.222.88.3.

      2. כדי להתחבר לממשקי API באמצעות כתובות IPv6, צריך גם להגדיר רשומת AAAA עבור private.s3nsapis.fr שמפנה אל 2a13:7500:8302::.

    • עבור restricted.s3nsapis.fr:

      1. יוצרים רשומת A עבור restricted.s3nsapis.fr שמפנה לכתובות ה-IP הבאות: 177.222.88.4, ‏ 177.222.88.5, ‏ 177.222.88.6, ‏ 177.222.88.7.

      2. כדי להתחבר ל-APIs באמצעות כתובות IPv6, צריך גם ליצור רשומת AAAA עבור restricted.s3nsapis.fr שמפנה אל 2a13:7500:8302:1::.

    כדי ליצור רשומות DNS פרטיות ב-Cloud DNS, אפשר לעיין במאמר בנושא הוספת רשומה.

  3. באזור s3nsapis.fr, יוצרים רשומת CNAME עבור *.s3nsapis.fr שמצביעה על הדומיין שהגדרתם: private.s3nsapis.fr או restricted.s3nsapis.fr.

הגדרת DNS לדומיינים אחרים

חלק משירותי Google וממשקי Google APIs מסופקים באמצעות שמות דומיין אחרים ולא באמצעותs3nsapis.fr.

  1. יוצרים תחום DNS בשביל DOMAIN (לדוגמה, gcr.io). אם אתם משתמשים ב-Cloud DNS, ודאו שהתחום הזה נמצא באותו פרויקט כמו התחום הפרטי s3nsapis.fr.

  2. בתחום ה-DNS הזה, יוצרים את רשומות ה-DNS הפרטיות הבאות עבור אחד מהדומיינים private.s3nsapis.fr או restricted.s3nsapis.fr, בהתאם לדומיין שבחרתם להשתמש בו.

    • עבור private.s3nsapis.fr:

      1. יוצרים רשומת A עבור DOMAIN שמפנה לכתובות ה-IP הבאות: 177.222.88.0, ‏ 177.222.88.1, ‏ 177.222.88.2, ‏ 177.222.88.3.

      2. כדי להתחבר ל-APIs באמצעות כתובות IPv6, צריך גם ליצור רשומת AAAA עבור DOMAIN שמפנה אל 2a13:7500:8302::.

    • עבור restricted.s3nsapis.fr:

      1. יוצרים רשומת A עבור DOMAIN שמפנה לכתובות ה-IP הבאות: 177.222.88.4, ‏ 177.222.88.5, ‏ 177.222.88.6, ‏ 177.222.88.7.

      2. כדי להתחבר ל-APIs באמצעות כתובות IPv6, צריך גם ליצור רשומת AAAA עבור DOMAIN שמפנה אל 2a13:7500:8302:1::.

  3. בתחום DOMAIN, יוצרים רשומת CNAME בשביל *.DOMAIN שמצביעה אל DOMAIN. לדוגמה, יוצרים רשומת CNAME בשביל *.gcr.io שמצביעה אל gcr.io.

אפשרויות ניתוב

ברשת ה-VPC צריכים להיות מסלולים מתאימים שהקפיצות הבאות שלהם הן שער האינטרנט שמוגדר כברירת מחדל. Cloud de Confiance לא תומך בניווט תעבורת נתונים ל-Google APIs ולשירותים של Google דרך מופעים אחרים של מכונות וירטואליות או קפיצות מותאמות אישית. למרות שהשער נקרא שער אינטרנט שמוגדר כברירת מחדל, מנות שנשלחות ממכונות וירטואליות ברשת ה-VPC שלכם לממשקי API ולשירותים של Google נשארות בתוך הרשת של Google.

  • אם בוחרים את הדומיינים שמוגדרים כברירת מחדל, המכונות הווירטואליות מתחברות לממשקי API ולשירותים של Google באמצעות קבוצת משנה של כתובות ה-IP החיצוניות של Google. אפשר לנתב את כתובות ה-IP האלה באופן ציבורי, אבל הנתיב מ-VM ברשת VPC לכתובות האלה נשאר בתוך הרשת של Google.

  • ‫Google לא מפרסמת באינטרנט מסלולים לאף אחת מכתובות ה-IP שמשמשות את הדומיינים private.s3nsapis.fr או restricted.s3nsapis.fr. לכן, אפשר לגשת לדומיינים האלה רק ממכונות וירטואליות ברשת VPC או ממערכות מקומיות שמחוברות לרשת VPC.

אם רשת ה-VPC שלכם מכילה מסלול ברירת מחדל שהקפיצה הבאה שלו היא שער האינטרנט שמוגדר כברירת מחדל, אתם יכולים להשתמש במסלול הזה כדי לגשת ל-Google APIs ולשירותים של Google, בלי ליצור מסלולים בהתאמה אישית. פרטים נוספים זמינים במאמר בנושא ניתוב עם נתיב ברירת מחדל.

אם החלפתם נתיב ברירת מחדל (יעד 0.0.0.0/0 או ::0/0) בנתיב מותאם אישית שהניתוב הבא שלו לא הוא שער האינטרנט שמוגדר כברירת מחדל, אתם יכולים לעמוד בדרישות הניתוב של Google APIs והשירותים של Google באמצעות ניתוב מותאם אישית.

אם ברשת ה-VPC אין נתיב ברירת מחדל של IPv6, לא תהיה לכם קישוריות IPv6 לממשקי API ולשירותים של Google. מוסיפים נתיב ברירת מחדל של IPv6 כדי לאפשר קישוריות IPv6.

ניתוב עם מסלול ברירת מחדל

כל רשת VPC מכילה נתיב ברירת מחדל של IPv4 ‏ (0.0.0.0/0) כשהיא נוצרת. אם מפעילים כתובות IPv6 חיצוניות ברשת משנה, מתווסף לרשת ה-VPC מסלול ברירת מחדל של IPv6 שנוצר על ידי המערכת (::/0).

מסלולי ברירת המחדל מספקים נתיב לכתובות ה-IP של היעדים הבאים:

  • הדומיינים שמוגדרים כברירת מחדל.

  • private.s3nsapis.fr: 177.222.88.0/30 וגם 2a13:7500:8302::/64.

  • restricted.s3nsapis.fr: 177.222.88.4/30 וגם 2a13:7500:8302:1::/64.

כדי לבדוק את ההגדרה של נתיב ברירת מחדל ברשת מסוימת, פועלים לפי ההוראות האלה.

המסוף

  1. נכנסים לדף Routes במסוף Cloud de Confiance .

    לדף Routes

  2. מסננים את רשימת המסלולים כדי להציג רק את המסלולים של הרשת שרוצים לבדוק.

  3. מחפשים מסלול שהיעד שלו הוא 0.0.0.0/0 לתעבורת IPv4 או ::/0 לתעבורת IPv6, והצעד הבא שלו הוא שער ברירת המחדל לאינטרנט.

gcloud

משתמשים בפקודה gcloud הבאה, ומחליפים את NETWORK_NAME בשם הרשת שרוצים לבדוק:

gcloud compute routes list \
    --filter="default-internet-gateway NETWORK_NAME"

אם אתם צריכים ליצור נתיב IPv4 חלופי שמוגדר כברירת מחדל, תוכלו לעיין במאמר בנושא הוספת נתיב סטטי.

אם אתם צריכים ליצור נתיב IPv6 חלופי שמוגדר כברירת מחדל, תוכלו לעיין במאמר בנושא הוספת נתיב IPv6 שמוגדר כברירת מחדל.

ניתוב בהתאמה אישית

במקום מסלול ברירת מחדל, אפשר להשתמש במסלולים סטטיים מותאמים אישית, שלכל אחד מהם יש יעד ספציפי יותר, וכל אחד מהם משתמש בשער האינטרנט שמוגדר כברירת מחדל לצעד הבא. מספר המסלולים שאתם צריכים וכתובות ה-IP של היעד שלהם תלויים בדומיין שתבחרו.

בנוסף, מומלץ להוסיף מסלולים ל-2a13:7500:8400::/42. מידע נוסף מופיע במאמר בנושא סיכום אפשרויות ההגדרה.

כדי לבדוק את ההגדרה של מסלולים מותאמים אישית לממשקי API ולשירותים של Google ברשת נתונה, פועלים לפי ההוראות הבאות.

המסוף

  1. נכנסים לדף Routes במסוף Cloud de Confiance .

    לדף Routes

  2. משתמשים בשדה הטקסט Filter table כדי לסנן את רשימת המסלולים לפי הקריטריונים הבאים, ומחליפים את NETWORK_NAME בשם של רשת ה-VPC.

    • רשת: NETWORK_NAME
    • סוג הצעד הבא: default internet gateway

  3. בודקים את העמודה Destination IP range (טווח כתובות ה-IP של היעד) בכל מסלול. אם בחרתם בדומיינים שמוגדרים כברירת מחדל, צריך לבדוק אם יש כמה נתיבים סטטיים מותאמים אישית, אחד לכל טווח כתובות IP שמשמש את הדומיין שמוגדר כברירת מחדל. אם בחרתם באפשרות private.s3nsapis.fr או restricted.s3nsapis.fr, חפשו את טווח כתובות ה-IP של הדומיין הזה.

gcloud

משתמשים בפקודה gcloud הבאה, ומחליפים את NETWORK_NAME בשם הרשת שרוצים לבדוק:

gcloud compute routes list \
    --filter="default-internet-gateway NETWORK_NAME"

המסלולים מפורטים בפורמט טבלה, אלא אם משתמשים בדגל --format כדי להתאים אישית את הפקודה. בודקים את העמודה DEST_RANGE כדי לראות את היעד של כל מסלול. אם בחרתם בדומיינים שמוגדרים כברירת מחדל, בדקו אם יש כמה מסלולים סטטיים מותאמים אישית, אחד לכל טווח כתובות IP שמשמש את הדומיין שמוגדר כברירת מחדל. אם בחרתם באפשרות private.s3nsapis.fr או restricted.s3nsapis.fr, חפשו את טווח כתובות ה-IP של הדומיין הזה.

אם אתם צריכים ליצור מסלולים, תוכלו לעיין במאמר בנושא הוספת מסלול סטטי.

הגדרת חומת אש

ההגדרות של חומת האש ברשת ה-VPC צריכות לאפשר גישה ממכונות וירטואליות לכתובות ה-IP שמשמשות את שירותי Google ואת Google APIs. הכלל המשתמע allow egress עומד בדרישה הזו.

במקרים מסוימים, בהגדרות של חומת האש צריך ליצור כללים ספציפיים שמאפשרים תעבורת נתונים יוצאת (egress). לדוגמה, נניח שיצרתם כלל מניעת תעבורת נתונים יוצאת שחוסם תעבורת נתונים לכל היעדים (0.0.0.0 ל-IPv4 או ::/0 ל-IPv6). במקרה כזה, צריך ליצור כלל אחד של חומת אש ליציאה שמאפשר גישה, עם עדיפות גבוהה יותר מהכלל שחוסם יציאה, לכל טווח כתובות IP שמשמש את הדומיין שבחרתם עבור שירותים וממשקי API של Google.

בנוסף, מומלץ לכלול את 2a13:7500:8400::/42 בכלל חומת האש ליציאה. מידע נוסף זמין במאמר סיכום אפשרויות ההגדרה.

הוראות ליצירת כללים של חומת אש מופיעות במאמר יצירת כללים של חומת אש. כשמגדירים יעד לכל כלל שמאפשר תעבורה יוצאת, אפשר להגביל את מכונות ה-VM שאליהן חלים כללי חומת האש.

כתובות IP לדומיינים שמוגדרים כברירת מחדל

בקטע הזה מפורטים טווחי כתובות ה-IP של הדומיין שמוגדר כברירת מחדל, שמשמשים את השירותים ואת Google APIs ב- Cloud de Confiance. הטווחים האלה מוקצים באופן דינמי ויכולים להשתנות, לכן אי אפשר להגדיר טווחי כתובות IP ספציפיים לשירותים או לממשקי API ספציפיים. כדי שהרשימה תהיה מדויקת, כדאי לבדוק את הדף הזה לעיתים קרובות. כחלופות לניהול רשימה של טווחי כתובות IP, אפשר להשתמש ב-private.s3nsapis.fr VIP או ב-Private Service Connect.

177.222.84.0/24
2a13:7500:241::/60