Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Private Verbindungen für lokale oder andere Cloud-Anbieter
Auf dieser Seite wird beschrieben, wie Sie eine private Verbindung von Integration Connectors zu Ihrem Backend-Dienst wie MySQL, Postgres und SQL Server einrichten, der in Ihrem On-Premise-Rechenzentrum oder bei anderen Cloud-Anbietern gehostet wird.
Das folgende Bild zeigt die Einrichtung der privaten Netzwerkverbindung von Integration Connectors zu Ihrem Backenddienst, der in Ihrem lokalen Netzwerk gehostet wird.
Auf dieser Seite wird davon ausgegangen, dass Sie mit den folgenden Konzepten vertraut sind:
Beachten Sie beim Erstellen eines PSC-Dienstanhangs die folgenden wichtigen Punkte:
Als Dienstersteller müssen Sie einen PSC-Dienstanhang konfigurieren, den Integration Connectors zum Verbrauch des Dienstes verwenden können. Sobald der Dienstanhang bereit ist, können Sie die Verbindung so konfigurieren, dass der Dienstanhang über einen Endpunktanhang verwendet wird.
Der PSC-Dienstanhang und der Load Balancer müssen sich in verschiedenen Subnetzen innerhalb desselben VPC befinden. Der Dienstanhang muss sich in einem NAT-Subnetz befinden.
Software, die auf Ihren Back-End-VMs ausgeführt wird, muss sowohl auf Traffic mit Load Balancing als auch auf Systemdiagnoseprüfungen reagieren, die an die IP-Adresse der einzelnen Weiterleitungsregeln gesendet werden. Die Software muss über 0.0.0.0:<port> und nicht über eine bestimmte IP-Adresse reagieren, die einer Netzwerkschnittstelle zugewiesen ist.
Weitere Informationen finden Sie unter Systemdiagnose.
Konfigurieren Sie die Firewallregeln so, dass der Trafficfluss erleichtert wird.
Regeln für eingehenden Traffic
Traffic vom Subnetz des PSC-Dienstanhangs muss das Subnetz des ILB erreichen.
Innerhalb des Subnetzes des ILB muss der ILB Traffic an Ihr Backendsystem senden können.
Der Systemdiagnosetest muss auf Ihr Backendsystem zugreifen können. Die Google Cloud-Systemdiagnose-Prüfungen haben einen festen IP-Bereich (35.191.0.0/16, 130.211.0.0/22). Daher können diese IPs Traffic an Ihren Back-End-Server senden.
Regeln für ausgehenden Traffic
Der ausgehende Traffic ist in einem Google Cloud-Projekt standardmäßig aktiviert, sofern keine speziellen Ausschlussregeln konfiguriert sind.
Alle Ihre Google Cloud-Komponenten wie der PSC-Dienstanhang und der Load Balancer müssen sich in derselben Region befinden.
Ihr Backend-System darf nicht für das öffentliche Netzwerk geöffnet sein, da dies ein Sicherheitsrisiko darstellen kann. Achten Sie jedoch darauf, dass Ihr Backend-System Traffic in folgenden Fällen zulässt:
Proxybasierte/HTTP(S)-Load Balancer (L4-Proxy-ILB, L7-ILB): Alle neuen Anfragen stammen vom Load Balancer. Daher muss Ihr Backend Anfragen vom Proxy-Subnetz Ihres VPC-Netzwerks akzeptieren. Weitere Informationen finden Sie unter Nur-Proxy-Subnetze für Envoy-basierte Load Balancer.
Private Verbindung konfigurieren
Führen Sie die folgenden Schritte aus, um eine private Verbindung zu konfigurieren:
Erstellen Sie einen PSC-Dienstanhang.
Erstellen Sie einen Endpunktanhang, um den PSC-Dienstanhang zu verwenden.
Konfigurieren Sie die Verbindung so, dass der Endpunktanhang verwendet wird.
PSC-Dienstanhang erstellen
Wenn Sie eine private Verbindung von Integration Connectors herstellen möchten, müssen Sie den Dienst über einen PSC-Dienstanhang für Integration Connectors verfügbar machen. Ein Dienstanhang richtet sich immer an einen Load Balancer. Wenn Ihr Dienst also nicht hinter einem Load Balancer ausgeführt wird, muss ein Load Balancer konfiguriert werden.
Erstellen Sie einen Dienstanhang in derselben Region wie den Load Balancer des Dienstes. Informationen zum Erstellen eines Dienstanhangs finden Sie unter Dienst veröffentlichen.
In bestimmten Fällen, z. B. bei TLS-fähigen Back-Ends, müssen Sie für die TLS-Bestätigung Hostnamen anstelle von privaten IP-Adressen verwenden. Wenn anstelle einer IP-Adresse für das Hostziel ein privates DNS verwendet wird, müssen Sie nicht nur einen Endpunkt-Anhang als IP-Adresse erstellen, sondern auch verwaltete Zonen konfigurieren. Eine Anleitung zum Erstellen eines Endpunkt-Anhangs als Hostnamen finden Sie unter Endpunkt-Anhang als Hostnamen erstellen.
Wenn Sie Ihre Verbindung später so konfigurieren, dass der Endpunktanhang verwendet wird, können Sie diesen auswählen.
Verbindung für die Verwendung des Endpunktanhangs konfigurieren
Nachdem Sie einen Endpunktanhang erstellt haben, verwenden Sie ihn in Ihrer Verbindung. Wenn Sie eine neue Verbindung erstellen oder eine vorhandene Verbindung aktualisieren, wählen Sie im Bereich „Ziele“ als ZieltypEndpunktanhang und dann den von Ihnen erstellten Endpunktanhang aus der Liste Endpunktanhang aus.
Wenn Sie eine verwaltete Zone erstellt haben, wählen Sie Hostadresse als Zieltyp aus und verwenden Sie den A-Eintrag, den Sie beim Erstellen der verwalteten Zone erstellt haben.
Tipps zur Fehlerbehebung
Wenn Sie Probleme mit der privaten Verbindung haben, folgen Sie den in diesem Abschnitt aufgeführten Richtlinien, um häufige Probleme zu vermeiden.
Prüfen Sie den Verbindungsstatus, um sicherzustellen, dass die Endpunktverknüpfung richtig eingerichtet und die PSC-Verbindung hergestellt ist. Weitere Informationen finden Sie unter Verbindung der Endpunktanhänge prüfen.
Achten Sie auf die folgende Konfiguration der Firewallregeln:
Traffic vom Subnetz der PSC-Dienstanwendung muss Ihren Backend-Dienst erreichen dürfen.
Der Load Balancer muss Traffic an Ihr Backend-System senden können. Hybrid-NEGs werden nur von Proxy-Load Balancern unterstützt. Anfragen von einem Proxy-Load Balancer stammen aus dem Nur-Proxy-Subnetz der Region. Daher müssen Ihre Firewallregeln so konfiguriert sein, dass Anfragen aus Nur-Proxy-Subnetzbereichen Ihr Backend erreichen können.
Der Systemdiagnosetest muss auf Ihr Backendsystem zugreifen können. Die Google Cloud-Systemdiagnosen haben einen festen IP-Bereich (35.191.0.0/16, 130.211.0.0/22). Daher müssen diese IP-Adressen den Traffic an Ihren Backend-Server senden dürfen.
Aktualisieren Sie die Firewallregeln in lokalen oder anderen Cloud-Umgebungen, damit Traffic aus dem Nur-Proxy-Subnetz der Google Cloud-Region zugelassen wird.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eThis page details how to establish private connectivity from Integration Connectors to backend services like MySQL, Postgres, and SQL Server, whether they are on-premise or hosted by other cloud providers.\u003c/p\u003e\n"],["\u003cp\u003eSetting up a Private Service Connect (PSC) service attachment is crucial, as it enables Integration Connectors to consume the service, which requires the service to be behind a load balancer, with both in the same region, but different subnets.\u003c/p\u003e\n"],["\u003cp\u003eFirewall rules are critical for traffic flow, ensuring that traffic from the PSC service attachment's subnet and the load balancer can reach the backend system, and that health check probes from specific Google Cloud IP ranges can access the backend.\u003c/p\u003e\n"],["\u003cp\u003eEndpoint attachments, either as IP addresses or hostnames, are used to consume the PSC service attachment, allowing connections to be configured accordingly, with the option to use managed zones for hostnames.\u003c/p\u003e\n"],["\u003cp\u003eTroubleshooting private connectivity involves verifying endpoint attachment status, confirming firewall rules, and utilizing Google Cloud Connectivity tests to identify network configuration issues, also ensuring that the backend system should not be open to the public network.\u003c/p\u003e\n"]]],[],null,["# Private connectivity for on-premise or other cloud providers\n============================================================\n\nThis page describes how to set up private connectivity from Integration Connectors to your backend service such as MySQL, Postgres, and SQL Server hosted in your on-premise data center or other cloud providers.\n\nThe following image shows the private network connectivity setup from Integration Connectors to your backend service hosted in your on-premise network.\n\nThis page assumes that you are familiar with the following concepts:\n\n- [Endpoint attachments](/integration-connectors/docs/network-connectivity-private#endpoint-attachments)\n- [Managed zones](/dns/docs/zones)\n- [Private Service Connect (PSC)](/vpc/docs/private-service-connect)\n- [Google Cloud load balancer](/load-balancing)\n\nConsiderations\n--------------\n\nWhen you create a PSC service attachment, consider the following key points:\n\n- As a service producer, you must configure a PSC service attachment that Integration Connectors can use to consume the service. After the service attachment is ready, you can configure the connection to consume the service attachment using an endpoint attachment.\n- The PSC service attachment and the load balancer must be in different subnets within the same VPC. And specifically, the service attachment must be in a NAT subnet.\n- Software running on your backend VMs must respond to both load balanced traffic and health check probes sent to each forwarding rule's IP address (the software must listen on `0.0.0.0:\u003cport\u003e` and not on a specific IP address assigned to a network interface). For more information, see [Health check](/load-balancing/docs/internal#health-checking).\n- Configure the firewall rules to facilitate the traffic flow. **Ingress rules**\n\n - Traffic from the PSC service attachment's subnet must reach the ILB's subnet.\n - Within the ILB's subnet, ILB must be able to send traffic to your backend system.\n - The health check probe must be able to access your backend system. The Google Cloud health check probes have a fixed IP range (`35.191.0.0/16, 130.211.0.0/22`). So these IPs can be allowed to send traffic to your backend server.\n\n **Egress rules**\n\n Egress traffic is enabled by default in a Google Cloud project, unless specific\n deny rules are configured.\n- All your Google Cloud components such as the PSC service attachment and the load balancer must be in the same region.\n- Your backend system must not be open to the public network, as this can be a security concern. However, ensure that your backend system accepts traffic in the following scenario:\n\n **Proxy-based/HTTP(s) load balancers (L4 proxy ILB, L7 ILB)** : All new requests\n originate from the load balancer. Therefore, your backend must accept requests from the\n proxy subnet of your VPC network. For more information, see [Proxy-only subnets for Envoy-based load balancers](/load-balancing/docs/proxy-only-subnets).\n\nConfigure private connectivity\n------------------------------\n\n| This steps described in this section assume that private connectivity is already established between your Google Cloud project and your on-premise data center or other cloud providers, by using [Cloud VPN](/network-connectivity/docs/vpn/concepts/overview) or [Cloud Interconnect](/network-connectivity/docs/interconnect/concepts/overview)\n\nTo configure private connectivity, do the following tasks:\n\n1. Create a PSC service attachment.\n2. Create an endpoint attachment to consume the PSC service attachment.\n3. Configure your connection to use the endpoint attachment.\n\n### Create a PSC service attachment\n\nIn order to establish private connectivity from Integration connectors, you must expose the service to Integration Connectors using a PSC service attachment. A service attachment always targets a load balancer. Therefore, if your service isn't behind a load balancer, a load balancer must be configured.\nTo create a PSC service attachment, do the following:\n\n1. Create a [health check probe](/load-balancing/docs/internal#health-checking) and then create a load balancer. For information about setting up a regional internal proxy Network Load Balancer, see [Set up a regional internal proxy Network Load Balancer with hybrid connectivity](/load-balancing/docs/tcp/set-up-int-tcp-proxy-hybrid).\n2. Create a service attachment in the same region as the service's load balancer. For information about creating a service attachment, see [Publish a service](/vpc/docs/configure-private-service-connect-producer#publish-service).\n\n### Create an endpoint attachment\n\n**Endpoint attachment as an IP address**\n\nFor instructions on how to create an endpoint attachment as an IP address,\nsee [Create an endpoint attachment as an IP address](/integration-connectors/docs/create-endpoint-attachment#create-ep-ipaddr).\n**Endpoint attachment as a hostname**\n\nIn certain cases such as TLS enabled backends, the destination requires you to use\nhostnames instead of private IPs to perform TLS validation. In those cases where a private\nDNS is used instead of an IP address for the host destination, in addition to creating an endpoint\nattachment as an IP address, you must also configure managed zones. For instructions on how to\ncreate an endpoint attachment as a hostname,\nsee [Create an endpoint attachment as a hostname](/integration-connectors/docs/create-endpoint-attachment#create-ep-hostname).\n\nLater, when you configure your connection to use the endpoint attachment, you can select this endpoint attachment.\n\n### Configure a connection to use the endpoint attachment\n\nNow that you have created an endpoint attachment, use the endpoint attachment in your connection. When you create a new connection or update an existing connection, in the Destinations section, select **Endpoint attachment** as the **Destination Type** and select the endpoint attachment that you created from the **Endpoint Attachment** list.\n\nIf you created a managed zone, select **Host Address** as the **Destination Type** and use the A-record that you created while creating the managed zone.\n\nTroubleshooting tips\n--------------------\n\nIf you are having issues with private connectivity, follow the guidelines listed in this section to avoid common issues.\n\n- To verify that the endpoint attachment is set up correctly and the PSC connection is established, check the connection status. For more information, see [Verify the endpoint attachment connection](/integration-connectors/docs/create-endpoint-attachment#verify-ep-connection).\n- Ensure the following configuration for the firewall rules:\n - Traffic from the PSC service attachment's subnet must be allowed to reach your backend service.\n - The load balancer must be able to send traffic to your backend system. Hybrid NEGs are supported on proxy load balancers only. Requests from a proxy load balancer originate from the proxy only subnet of the region. Therefore, your firewall rules need to be configured to allow requests from proxy only subnet ranges to reach your backend.\n - The health check probe must be able to access your backend system. The Google Cloud health check probes have a fixed IP range (35.191.0.0/16, 130.211.0.0/22). So these IP addresses must be allowed to send traffic to your backend server.\n- [Google Cloud Connectivity test](/network-intelligence-center/docs/connectivity-tests/concepts/overview) can be used to identify any gaps in your network configuration. For more information, see [Create and run Connectivity Tests](/network-intelligence-center/docs/connectivity-tests/how-to/running-connectivity-tests).\n- Ensure that firewall rules are updated in on-premises or other cloud environments to allow traffic from the Google Cloud region's [proxy-only subnet](/load-balancing/docs/proxy-only-subnets)."]]
