Conectarse a una red VPC

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor.

   Ir a Acceso a VPC sin servidor

2. Haz clic en Crear conector.

3. En el campo Nombre, introduzca un nombre para el conector que cumpla las convenciones de nomenclatura de Compute Engine, así como los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.

4. En el campo Región, selecciona una región para tu conector. Debe coincidir con la región de tu servicio sin servidores.

   Si tu servicio o trabajo se encuentra en la región us-central o europe-west, usa us-central1 o europe-west1.

5. En el campo Red, selecciona la red de VPC a la que quieras adjuntar el conector.

6. En el campo Subred, seleccione una de las siguientes opciones:

   • Crear un conector con una subred: seleccione la subred en el campo Subred.

   • Crear un conector y una subred: selecciona Intervalo de IP personalizado en el campo Subred. A continuación, introduce la primera dirección de un /28CIDR que no esté en uso (por ejemplo, 10.8.0.0/28) para usarla como intervalo de direcciones IPv4 principal de una nueva subred que Google Cloud cree en la red de VPC del conector. Asegúrate de que el intervalo de IPs no entre en conflicto con ninguna ruta de la red de VPC del conector. El nombre de la nueva subred empieza por el prefijo "aet-".

7. (Opcional) Para definir opciones de escalado y tener más control sobre el conector, haz clic en Mostrar ajustes de escalado para que se muestre el formulario de escalado.

   1. Define el número mínimo y máximo de instancias de tu conector o usa los valores predeterminados, que son 2 (mínimo) y 10 (máximo). El conector se amplía hasta el máximo especificado si el uso del tráfico lo requiere, pero no se reduce cuando el tráfico disminuye. Debes usar valores entre 2 y 10.
   2. En el menú Tipo de instancia, elige el tipo de máquina que se va a usar para el conector o usa el valor predeterminado e2-micro. Fíjate en la barra lateral de costes de la derecha cuando elijas el tipo de instancia, que muestra las estimaciones de ancho de banda y costes.

8. Haz clic en Crear.

9. Cuando el conector esté listo para usarse, aparecerá una marca de verificación de color verde junto a su nombre.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Actualiza los componentes de gcloud a la versión más reciente:

   gcloud components update

3. Asegúrate de que la API Acceso a VPC sin servidor esté habilitada en tu proyecto:

   gcloud services enable vpcaccess.googleapis.com

4. Crea el conector con una de las siguientes opciones:

   Para obtener más información y argumentos opcionales, consulta la gcloudreferencia.

   • Crea un conector con una subred que ya tengas:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Haz los cambios siguientes:

     • CONNECTOR_NAME: un nombre para el conector que cumpla las convenciones de nomenclatura de Compute Engine y los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.
     • REGION: una región para tu conector que coincida con la región de tu servicio o trabajo sin servidor. Si tu servicio o trabajo es en us-central o europe-west, usa us-central1 o europe-west1.
     • SUBNET_NAME: el nombre de la subred.
     • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida. Si el conector y la subred ya creada se encuentran en el mismo proyecto, omite la marca --subnet-project.
     • MIN: número mínimo de instancias que se van a usar en el conector. Usa un número entero entre 2(el valor predeterminado) y 9.
     • MAX: número máximo de instancias que se van a usar en el conector. Usa un número entero entre 3 y 10 (el valor predeterminado). Si el conector se escala hasta el número máximo de instancias, no se vuelve a reducir.
     • MACHINE_TYPE: debe ser uno de los siguientes valores: f1-micro, e2-micro o e2-standard-4.

   • Crear un conector y una subred:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Haz los cambios siguientes:

     • CONNECTOR_NAME: un nombre para el conector que cumpla las convenciones de nomenclatura de Compute Engine y los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.
     • REGION: una región para tu conector que coincida con la región de tu servicio o trabajo sin servidor. Si tu servicio o trabajo es en us-central o europe-west, usa us-central1 o europe-west1.
     • VPC_NETWORK: el nombre de la red VPC a la que quieres adjuntar el conector. El conector y la red VPC deben estar en el mismo proyecto.
     • IP_RANGE: proporciona un CIDR /28 que no esté en uso (por ejemplo, 10.8.0.0/28) para usarlo como intervalo de direcciones IPv4 principal de una subred que Google Cloud cree en la red de VPC del conector. Asegúrate de que el intervalo de IPs no entre en conflicto con ninguna ruta de la red de VPC del conector. El nombre de la nueva subred empieza por el prefijo "aet-".
     • MIN: número mínimo de instancias que se van a usar en el conector. Usa un número entero entre 2(el valor predeterminado) y 9.
     • MAX: número máximo de instancias que se van a usar en el conector. Usa un número entero entre 3 y 10 (el valor predeterminado). Si el conector se escala hasta el número máximo de instancias, no se vuelve a reducir.
     • MACHINE_TYPE: debe ser uno de los siguientes valores: f1-micro, e2-micro o e2-standard-4.

5. Verifica que el conector esté en el estado READY antes de usarlo:

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   Haz los cambios siguientes:

   • CONNECTOR_NAME: el nombre del conector, que es el que has especificado en el paso anterior.
   • REGION: la región de tu conector. Es la región que especificaste en el paso anterior.

   El resultado debe contener la línea state: READY.

Terraform

Puede usar un recurso de Terraform para habilitar la API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Puedes usar módulos de Terraform para crear una red VPC y una subred, y, a continuación, crear el conector.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 11.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 11.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Etiquetas de red

En los pasos siguientes se muestra cómo crear reglas de entrada que restrinjan el acceso de un conector a tu red de VPC en función de las etiquetas de red del conector.

1. Asegúrate de que tienes los permisos necesarios para insertar reglas de cortafuegos. Debes tener uno de los siguientes roles de Gestión de Identidades y Accesos (IAM):

   • Rol Administrador de seguridad de Compute
   • Rol de gestión de identidades y accesos personalizado con el permiso compute.firewalls.create habilitado

2. Deniega el tráfico del conector en tu red VPC.

   Crea una regla de cortafuegos de entrada con una prioridad inferior a 1000 en tu red de VPC para denegar la entrada desde la etiqueta de red del conector. De esta forma, se anula la regla de cortafuegos implícita que Acceso a VPC sin servidor crea en tu red de VPC de forma predeterminada.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, deny-vpc-connector.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

     Por motivos de seguridad y validación, también puede configurar reglas de denegación para bloquear el tráfico de los siguientes protocolos no admitidos: ah, all, esp, icmp, ipip y sctp.

   • VPC_CONNECTOR_NETWORK_TAG: la etiqueta de red del conector universal si quiere restringir el acceso a todos los conectores (incluidos los que cree en el futuro) o la etiqueta de red única si quiere restringir el acceso a un conector específico.

     • Etiqueta de red universal: vpc-connector

     • Etiqueta de red única: vpc-connector-REGION-CONNECTOR_NAME

       Sustituye:

       • REGION: la región del conector que quieras restringir
       • CONNECTOR_NAME: el nombre del conector que quieras restringir

     Para obtener más información sobre las etiquetas de red de conectores, consulta Etiquetas de red.

   • VPC_NETWORK: el nombre de tu red de VPC

   • PRIORITY: un número entero entre 0 y 65535. Por ejemplo, 0 establece la prioridad más alta.

3. Permite el tráfico del conector al recurso que debería recibirlo.

   Usa las marcas allow y target-tags para crear una regla de cortafuegos de entrada dirigida al recurso de tu red de VPC al que quieres que acceda el conector de VPC. Asigne a esta regla una prioridad inferior a la de la regla que ha creado en el paso anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

   • VPC_CONNECTOR_NETWORK_TAG: la etiqueta de red del conector universal si quiere restringir el acceso a todos los conectores (incluidos los que cree en el futuro) o la etiqueta de red única si quiere restringir el acceso a un conector específico. Debe coincidir con la etiqueta de red que ha especificado en el paso anterior.

     • Etiqueta de red universal: vpc-connector

     • Etiqueta de red única: vpc-connector-REGION-CONNECTOR_NAME

       Sustituye:

       • REGION: la región del conector que quieras restringir
       • CONNECTOR_NAME: el nombre del conector que quieras restringir

     Para obtener más información sobre las etiquetas de red de conectores, consulta Etiquetas de red.

   • VPC_NETWORK: el nombre de tu red de VPC

   • RESOURCE_TAG: la etiqueta de red del recurso de VPC al que quieres que acceda tu conector de VPC

   • PRIORITY: un número entero inferior a la prioridad que hayas definido en el paso anterior. Por ejemplo, si has asignado la prioridad 990 a la regla que has creado en el paso anterior, prueba con 980.

Para obtener más información sobre las marcas obligatorias y opcionales para crear reglas de firewall, consulta la documentación de gcloud compute firewall-rules create.

Intervalo CIDR

En los pasos siguientes se muestra cómo crear reglas de entrada que restrinjan el acceso de un conector a tu red VPC en función del intervalo CIDR del conector.

1. Asegúrate de que tienes los permisos necesarios para insertar reglas de cortafuegos. Debes tener uno de los siguientes roles de Gestión de Identidades y Accesos (IAM):

   • Rol Administrador de seguridad de Compute
   • Rol de gestión de identidades y accesos personalizado con el permiso compute.firewalls.create habilitado

2. Deniega el tráfico del conector en tu red VPC.

   Crea una regla de cortafuegos de entrada con una prioridad inferior a 1000 en tu red de VPC para denegar la entrada desde el intervalo CIDR del conector. De esta forma, se anula la regla de cortafuegos implícita que Acceso a VPC sin servidor crea en tu red de VPC de forma predeterminada.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, deny-vpc-connector.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

     Por motivos de seguridad y validación, también puede configurar reglas de denegación para bloquear el tráfico de los siguientes protocolos no admitidos: ah, all, esp, icmp, ipip y sctp.

   • VPC_CONNECTOR_CIDR_RANGE: el intervalo CIDR del conector cuyo acceso quieres restringir

   • VPC_NETWORK: el nombre de tu red de VPC

   • PRIORITY: un número entero entre 0 y 65535. Por ejemplo, 0 establece la prioridad más alta.

3. Permite el tráfico del conector al recurso que debería recibirlo.

   Usa las marcas allow y target-tags para crear una regla de cortafuegos de entrada dirigida al recurso de tu red de VPC al que quieres que acceda el conector de VPC. Asigne a esta regla una prioridad inferior a la de la regla que ha creado en el paso anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

   • VPC_CONNECTOR_CIDR_RANGE: el intervalo CIDR del conector cuyo acceso estás restringiendo

   • VPC_NETWORK: el nombre de tu red de VPC

   • RESOURCE_TAG: la etiqueta de red del recurso de VPC al que quieres que acceda tu conector de VPC

   • PRIORITY: un número entero inferior a la prioridad que hayas definido en el paso anterior. Por ejemplo, si has asignado la prioridad 990 a la regla que has creado en el paso anterior, prueba con 980.

Para obtener más información sobre las marcas obligatorias y opcionales para crear reglas de firewall, consulta la documentación de gcloud compute firewall-rules create.

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor.

   Ir a Acceso a VPC sin servidor

2. Selecciona el conector que quieras editar y haz clic en Editar.

3. En la lista Tipo de instancia, selecciona el tipo de máquina (instancia) que prefieras. Para obtener información sobre los tipos de máquinas disponibles, consulta la documentación sobre rendimiento y escalado.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para actualizar el tipo de máquina del conector, ejecuta el siguiente comando en el terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   Sustituye lo siguiente:
   • CONNECTOR_NAME: el nombre de tu conector
   • REGION: el nombre de la región de tu conector
   • MACHINE_TYPE: el tipo de máquina que prefieras. Para obtener información sobre los tipos de máquinas disponibles, consulta la documentación sobre rendimiento y escalado.

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor.

   Ir a Acceso a VPC sin servidor

2. Selecciona el conector que quieras editar y haz clic en Editar.

3. En el campo Instancias mínimas, selecciona el número mínimo de instancias que prefieras.

   El valor más pequeño posible de este campo es el valor actual. El valor más alto posible de este campo es el valor actual del campo Número máximo de instancias menos 1. Por ejemplo, si el valor del campo Máximo de instancias es 8, el valor más alto posible del campo Mínimo de instancias es 7.

4. En el campo Número máximo de instancias, selecciona el número máximo de instancias que prefieras.

   El valor más pequeño posible de este campo es el valor actual. El valor máximo posible de este campo es 10.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para aumentar el número mínimo o máximo de instancias del conector, ejecuta el siguiente comando en tu terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   Sustituye lo siguiente:

• CONNECTOR_NAME: el nombre de tu conector
• REGION: el nombre de la región de tu conector
• MIN_INSTANCES: el número mínimo de instancias que prefieras.
  • El valor más pequeño posible de este campo es el valor actual de min_instances. Para ver el valor actual, consulte Buscar los valores de atributo actuales.
  • El valor más alto posible para este campo es el valor actual de max_instances menos 1, ya que min_instances debe ser inferior a max_instances. Por ejemplo, si max_instances es 8, el valor más alto posible de este campo es 7. Si tu conector usa el valor predeterminado max-instances de 10, el valor máximo posible de este campo es 9. Para encontrar el valor de max-instances, consulte Buscar los valores de atributo actuales.

• MAX_INSTANCES:

  • El valor más pequeño posible de este campo es el valor actual de max_instances. Para ver el valor actual, consulte Buscar los valores de atributo actuales.
  • El valor máximo posible de este campo es 10.

  Si solo quiere aumentar el número mínimo de instancias, pero no el máximo, debe especificar el número máximo de instancias. Por el contrario, si solo quiere actualizar el número máximo de instancias, pero no el mínimo, debe especificar el número mínimo de instancias. Para mantener el número mínimo o máximo de instancias en su valor actual, especifica dicho valor. Para consultar su valor actual, consulte Buscar los valores de atributo actuales.

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor en laGoogle Cloud consola:

   Ir a Acceso a VPC sin servidor

2. Selecciona el conector que quieras eliminar.

3. Haz clic en Eliminar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Usa el siguiente comando gcloud para eliminar un conector:

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   Haz los cambios siguientes:

   • CONNECTOR_NAME con el nombre del conector que quieras eliminar
   • REGION por la región en la que se encuentra el conector