Conectarse a una red de VPC

Console

1. Dirígete a la página de descripción general de acceso a VPC sin servidores.

   Ir a Acceso a VPC sin servidores

2. Haz clic en Crear conector.

3. En el campo Nombre, ingresa un nombre para tu conector, que coincida con las convenciones de nombres de Compute Engine, con los requisitos adicionales que debe cumplir el nombre. Debe tener menos de 21 caracteres y esos guiones (-) cuentan como dos caracteres.

4. En el campo Región, selecciona una región para el conector. Debe coincidir con la región del servicio sin servidores.

   Si tu servicio o trabajo se encuentran en la región us-central o europe-west, usa us-central1 o europe-west1.

5. En el campo Red, selecciona la red de VPC a la que conectarás el conector.

6. En el campo Subred, selecciona una de las siguientes opciones:

   • Crea un conector con una subred existente: Selecciona la subred existente en el campo Subred.

   • Crea un conector y una subred nueva: Selecciona Rango de IP personalizado en el campo Subred. Luego, ingresa la primera dirección en un CIDR /28 sin usar (por ejemplo, 10.8.0.0/28) para usarla como rango de direcciones IPv4 principal de una subred nueva que Google Cloud cree en la red de VPC del conector. Asegúrate de que el rango de IP no entre en conflicto con ninguna ruta existente en la red de VPC del conector. El nombre de la subred nueva comienza con el prefijo “aet-”.

7. (Opcional) Si deseas configurar las opciones de escalamiento para tener control adicional del conector, haz clic en Mostrar la configuración de escalamiento a fin de mostrar el formulario de escalamiento:

   1. Configura la cantidad mínima y máxima de instancias para tu conector o usa los valores predeterminados, que son 2 (mínimo) y 10 (máximo). El conector se escala verticalmente al máximo especificado si el uso del tráfico lo requiere, pero el conector no se reduce cuando el tráfico disminuye. Debes usar valores que se encuentren entre 2 y 10.
   2. En el menú Tipo de instancia, elige el tipo de máquina que se usará para el conector o usa el tipo e2-micro predeterminado. Observa la barra lateral de costos a la derecha cuando elijas el tipo de instancia, en la que se muestran las estimaciones de costo y ancho de banda.

8. Haz clic en Crear.

9. Aparecerá una marca de verificación verde junto al nombre del conector cuando esté listo para usar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Actualiza los componentes de gcloud a la versión más reciente:

   gcloud components update
   

3. Asegúrate de que esté habilitada la API de Acceso a VPC sin servidores en el proyecto:

   gcloud services enable vpcaccess.googleapis.com
   

4. Crea el conector con una de las siguientes opciones:

   Para obtener más detalles y ver los argumentos opcionales, consulta la referencia de gcloud.

   • Crea un conector con una subred existente:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE
     

     Reemplaza lo siguiente:

     • CONNECTOR_NAME: un nombre para el conector, que coincide con las convenciones de nombres de Compute Engine, con los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.
     • REGION: una región para el conector que coincide con la región del trabajo o servicio sin servidores. Si tu servicio o trabajo están en us-central o europe-west, usa us-central1 o europe-west1.
     • SUBNET_NAME: el nombre de la subred existente.
     • HOST_PROJECT_ID: El ID del proyecto host de VPC compartida Si el conector y la subred existente se encuentran en el mismo proyecto, omite la marca --subnet-project.
     • MIN: Es la cantidad mínima de instancias que se usarán para el conector. Usa un número entero que se encuentre entre 2(el valor predeterminado) y 9.
     • MAX: Es la cantidad máxima de instancias que se usarán para el conector. Usa un número entero que se encuentre entre 3 y 10 (el valor predeterminado). Si el conector escala verticalmente al número máximo de instancias, no se reduce la escala.
     • MACHINE_TYPE debe ser una de las siguientes opciones: f1-micro, e2-micro o e2-standard-4.

   • Crea un conector y una subred nueva:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE
     

     Reemplaza lo siguiente:

     • CONNECTOR_NAME: un nombre para el conector, que coincide con las convenciones de nombres de Compute Engine, con los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.
     • REGION: una región para el conector que coincide con la región del trabajo o servicio sin servidores. Si tu servicio o trabajo están en us-central o europe-west, usa us-central1 o europe-west1.
     • VPC_NETWORK: el nombre de la red de VPC a la que enchufarás el conector. El conector y la red de VPC deben encontrarse en el mismo proyecto.
     • IP_RANGE: Proporciona un CIDR /28 sin usar (por ejemplo 10.8.0.0/28) para usar como el rango de direcciones IPv4 principal de una subred nueva que Google Cloud crea en la red de VPC del conector. Asegúrate de que el rango de IP no entre en conflicto con ninguna ruta existente en la red de VPC del conector. El nombre de la subred nueva comienza con el prefijo “aet-”.
     • MIN: Es la cantidad mínima de instancias que se usarán para el conector. Usa un número entero que se encuentre entre 2(el valor predeterminado) y 9.
     • MAX: Es la cantidad máxima de instancias que se usarán para el conector. Usa un número entero que se encuentre entre 3 y 10 (el valor predeterminado). Si el conector escala verticalmente al número máximo de instancias, no se reduce la escala.
     • MACHINE_TYPE debe ser una de las siguientes opciones: f1-micro, e2-micro o e2-standard-4.

5. Verifica que tu conector tenga el estado READY antes de usarlo:

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION
   

   Reemplaza lo siguiente:

   • CONNECTOR_NAME: Es el nombre de tu conector. Este es el nombre que especificaste en el paso anterior.
   • REGION: Es la región del conector. Esta es la región que especificaste en el paso anterior.

   El resultado debe contener la línea state: READY.

Terraform

Puedes usar un recurso de Terraform para habilitar la API de vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Puedes usar módulos de Terraform para crear una red y subred de VPC y, luego, crear el conector.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Etiquetas de red

En los siguientes pasos, se muestra cómo crear reglas de entrada que restrinjan el acceso de un conector a tu red de VPC en función de las etiquetas de red del conector.

1. Asegúrate de tener los permisos necesarios para insertar reglas de firewall. Debes contar con una de las siguientes funciones de Identity and Access Management (IAM):

   • Función de administrador de seguridad de Compute
   • Función de IAM personalizada con el permiso compute.firewalls.create habilitado

2. Deniega el tráfico del conector en toda tu red de VPC.

   Crea una regla de firewall de entrada con una prioridad inferior a 1,000 en la red de VPC para denegar la entrada de la etiqueta de red del conector. Esto anula la regla de firewall implícita que crea el acceso a VPC sin servidores en la red de VPC de forma predeterminada.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY
   

   Reemplaza lo siguiente:

   • RULE_NAME: Es el nombre de la regla de firewall nueva. Por ejemplo, deny-vpc-connector

   • PROTOCOL: Uno o más protocolos que deseas permitir desde tu conector de VPC. Los protocolos compatibles son tcp o udp. Por ejemplo, tcp:80,udp permite el tráfico de TCP a través del puerto 80 y el tráfico de UDP. Para obtener más información, consulta la documentación de la marca allow.

     Por razones de seguridad y validación, también puedes configurar reglas de denegación para bloquear el tráfico de los siguientes protocolos no compatibles: ah, all, esp, icmp, ipip y sctp.

   • VPC_CONNECTOR_NETWORK_TAG: Es la etiqueta de red del conector universal si quieres restringir el acceso a todos los conectores (incluidos los que se creen en el futuro) o la etiqueta de red única si deseas restringir el acceso a un conector específico.

     • Etiqueta de red universal: vpc-connector

     • Etiqueta de red única: vpc-connector-REGION-CONNECTOR_NAME

       Reemplaza lo siguiente:

       • REGION: Es la región del conector que quieres restringir.
       • CONNECTOR_NAME: Es el nombre del conector que quieres restringir.

     Para obtener más información sobre las etiquetas de red del conector, consulta Etiquetas de red.

   • VPC_NETWORK es el nombre de tu red de VPC.

   • PRIORITY: un número entero entre 0 y 65535. Por ejemplo, 0 establece la prioridad más alta.

3. Permite el tráfico del conector al recurso que debe recibir tráfico del conector.

   Usa las marcas allow y target-tags para crear una regla de firewall de entrada orientada al recurso en tu red de VPC a la que deseas que acceda el conector de VPC. Establece la prioridad para que esta regla sea un valor inferior a la prioridad de la regla que estableciste en el paso anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY
   

   Reemplaza lo siguiente:

   • RULE_NAME: Es el nombre de la regla de firewall nueva. Por ejemplo, allow-vpc-connector-for-select-resources

   • PROTOCOL: Uno o más protocolos que deseas permitir desde tu conector de VPC. Los protocolos compatibles son tcp o udp. Por ejemplo, tcp:80,udp permite el tráfico de TCP a través del puerto 80 y el tráfico de UDP. Para obtener más información, consulta la documentación de la marca allow.

   • VPC_CONNECTOR_NETWORK_TAG: Es la etiqueta de red del conector universal si quieres restringir el acceso a todos los conectores (incluidos los que se creen en el futuro) o la etiqueta de red única si deseas restringir el acceso a un conector específico. Debe coincidir con la etiqueta de red que especificaste en el paso anterior.

     • Etiqueta de red universal: vpc-connector

     • Etiqueta de red única: vpc-connector-REGION-CONNECTOR_NAME

       Reemplaza lo siguiente:

       • REGION: Es la región del conector que quieres restringir.
       • CONNECTOR_NAME: Es el nombre del conector que quieres restringir.

     Para obtener más información sobre las etiquetas de red del conector, consulta Etiquetas de red.

   • VPC_NETWORK es el nombre de tu red de VPC.

   • RESOURCE_TAG: la etiqueta de red para el recurso de VPC al que deseas que acceda tu conector de VPC.

   • PRIORITY: un número entero inferior a la prioridad que estableciste en el paso anterior. Por ejemplo, si estableces la prioridad para la regla que creaste en el paso anterior en 990, prueba con 980.

A fin de obtener más información sobre las marcas obligatorias y opcionales para la creación de reglas de firewall, consulta la documentación de gcloud compute firewall-rules create.

Rango de CIDR

En los siguientes pasos, se muestra cómo crear reglas de entrada que restrinjan el acceso de un conector a tu red de VPC en función del rango de CIDR del conector.

1. Asegúrate de tener los permisos necesarios para insertar reglas de firewall. Debes contar con una de las siguientes funciones de Identity and Access Management (IAM):

   • Función de administrador de seguridad de Compute
   • Función de IAM personalizada con el permiso compute.firewalls.create habilitado

2. Deniega el tráfico del conector en toda tu red de VPC.

   Crea una regla de firewall de entrada con una prioridad inferior a 1,000 en tu red de VPC para denegar la entrada desde el rango de CIDR del conector. Esto anula la regla de firewall implícita que crea el acceso a VPC sin servidores en la red de VPC de forma predeterminada.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY
   

   Reemplaza lo siguiente:

   • RULE_NAME: Es el nombre de la regla de firewall nueva. Por ejemplo, deny-vpc-connector

   • PROTOCOL: Uno o más protocolos que deseas permitir desde tu conector de VPC. Los protocolos compatibles son tcp o udp. Por ejemplo, tcp:80,udp permite el tráfico de TCP a través del puerto 80 y el tráfico de UDP. Para obtener más información, consulta la documentación de la marca allow.

     Por razones de seguridad y validación, también puedes configurar reglas de denegación para bloquear el tráfico de los siguientes protocolos no compatibles: ah, all, esp, icmp, ipip y sctp.

   • VPC_CONNECTOR_CIDR_RANGE: El rango de CIDR del conector cuyo acceso estás restringiendo

   • VPC_NETWORK es el nombre de tu red de VPC.

   • PRIORITY: un número entero entre 0 y 65535. Por ejemplo, 0 establece la prioridad más alta.

3. Permite el tráfico del conector al recurso que debe recibir tráfico del conector.

   Usa las marcas allow y target-tags para crear una regla de firewall de entrada orientada al recurso en tu red de VPC a la que deseas que acceda el conector de VPC. Establece la prioridad para que esta regla sea un valor inferior a la prioridad de la regla que estableciste en el paso anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY
   

   Reemplaza lo siguiente:

   • RULE_NAME: Es el nombre de la regla de firewall nueva. Por ejemplo, allow-vpc-connector-for-select-resources

   • PROTOCOL: Uno o más protocolos que deseas permitir desde tu conector de VPC. Los protocolos compatibles son tcp o udp. Por ejemplo, tcp:80,udp permite el tráfico de TCP a través del puerto 80 y el tráfico de UDP. Para obtener más información, consulta la documentación de la marca allow.

   • VPC_CONNECTOR_CIDR_RANGE: El rango de CIDR del conector cuyo acceso estás restringiendo

   • VPC_NETWORK es el nombre de tu red de VPC.

   • RESOURCE_TAG: la etiqueta de red para el recurso de VPC al que deseas que acceda tu conector de VPC.

   • PRIORITY: un número entero inferior a la prioridad que estableciste en el paso anterior. Por ejemplo, si estableces la prioridad para la regla que creaste en el paso anterior en 990, prueba con 980.

A fin de obtener más información sobre las marcas obligatorias y opcionales para la creación de reglas de firewall, consulta la documentación de gcloud compute firewall-rules create.

Console

1. Dirígete a la página de descripción general de acceso a VPC sin servidores.

   Ir a Acceso a VPC sin servidores

2. Selecciona el conector que quieres editar y haz clic en Editar.

3. En la lista Tipo de instancia, selecciona el tipo de máquina (instancia) que prefieras. Para obtener información sobre los tipos de máquinas disponibles, consulta la documentación sobre Capacidad de procesamiento y escalamiento.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para actualizar el tipo de máquina del conector, ejecuta el siguiente comando en la terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE
   

   Reemplaza lo siguiente:
   • CONNECTOR_NAME: el nombre del conector
   • REGION: el nombre de la región del conector
   • MACHINE_TYPE: el tipo de máquina que prefieras. Para obtener información sobre los tipos de máquinas disponibles, consulta la documentación sobre Capacidad de procesamiento y escalamiento.

Console

1. Dirígete a la página de descripción general de acceso a VPC sin servidores.

   Ir a Acceso a VPC sin servidores

2. Selecciona el conector que quieres editar y haz clic en Editar.

3. En el campo Cantidad mínima de instancias, selecciona la cantidad mínima de instancias que prefieras.

   El valor más pequeño posible para este campo es el valor actual. El valor más alto posible para este campo es el valor actual en el campo Cantidad máxima de instancias menos 1. Por ejemplo, si el valor en el campo Cantidad máxima de instancias es 8, el valor más alto posible para el campo Cantidad mínima de instancias es 7.

4. En el campo Cantidad máxima de instancias, selecciona la cantidad máxima de instancias que prefieras.

   El valor más pequeño posible para este campo es el valor actual. El valor más alto posible para este campo es 10.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para aumentar la cantidad mínima o máxima de instancias del conector, ejecuta el siguiente comando en la terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES
   

   Reemplaza lo siguiente:

• CONNECTOR_NAME: el nombre del conector
• REGION: el nombre de la región del conector
• MIN_INSTANCES: la cantidad mínima de instancias que prefieras.
  • El valor más pequeño posible para este campo es el valor actual de min_instances. Para buscar el valor actual, consulta Busca los valores de los atributos actuales.
  • El valor más alto posible para este campo es el valor max_instances actual menos 1, porque min_instances debe ser menor que max_instances. Por ejemplo, si max_instances es 8, el valor más alto posible para este campo es 7. Si el conector usa el valor predeterminado max-instances de 10, el valor más alto posible de este campo es 9. Para buscar el valor de max-instances, consulta Busca los valores de los atributos actuales.

• MAX_INSTANCES:

  • El valor más pequeño posible para este campo es el valor actual de max_instances. Para buscar el valor actual, consulta Busca los valores de los atributos actuales.
  • El valor más alto posible para este campo es 10.

  Si solo deseas aumentar la cantidad mínima de instancias, pero no la máxima, debes especificar la cantidad máxima de instancias. Por el contrario, si solo deseas actualizar la cantidad máxima de instancias, pero no la mínima, debes especificar la cantidad mínima de instancias. Para mantener la cantidad mínima o máxima de instancias en el valor actual, especifica su valor actual. Para buscar el valor actual, consulta Busca los valores de los atributos actuales.

Console

1. Ve a la página de descripción general de Acceso a VPC sin servidores en la consola de Google Cloud:

   Ir a Acceso a VPC sin servidores

2. Selecciona el conector que quieres borrar.

3. Haz clic en Borrar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Usa el siguiente comando de gcloud para borrar un conector:

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   Reemplaza lo siguiente:

   • CONNECTOR_NAME es el nombre del conector que quieres borrar.
   • REGION es la región donde se encuentra el conector.