Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Conectividade privada para provedores de nuvem ou locais
Esta página descreve como configurar a conectividade particular dos Integration Connectors com seu serviço de back-end, como MySQL, Postgres e SQL Server, hospedado no data center local ou em outros provedores de nuvem.
A imagem a seguir mostra a configuração de conectividade de rede particular dos Integration Connectors para o serviço de back-end hospedado na rede local.
Nesta página, consideramos que você esteja familiarizado com os seguintes conceitos:
Ao criar um anexo de serviço do PSC, considere os seguintes pontos principais:
Como produtor de serviço, você precisa configurar um anexo de serviço do PSC que os conectores de integração possam usar para consumir o serviço. Depois que o anexo de serviço estiver pronto, será possível configurar a conexão para consumir o anexo de serviço usando um anexo de endpoint.
O anexo de serviço do PSC e o balanceador de carga precisam estar em sub-redes diferentes
na mesma VPC. E, especificamente, o anexo de serviço precisa estar em uma sub-rede NAT.
O software em execução nas VMs de back-end precisa responder às sondagens de tráfego com carga balanceada e às verificações de integridade enviadas ao endereço IP de cada regra de encaminhamento. O software precisa detectar em 0.0.0.0:<port> e não em um endereço IP específico atribuído a uma interface de rede.
Para mais informações, consulte
Verificação de integridade.
Configure as regras de firewall para facilitar o fluxo de tráfego.
Regras de entrada
O tráfego da sub-rede do anexo de serviço do PSC precisa chegar à sub-rede do ILB.
Na sub-rede do ILB, ele precisa enviar tráfego para o sistema de back-end.
A sondagem de verificação de integridade precisa acessar seu sistema de back-end. As sondagens de verificação de integridade do Google Cloud têm um intervalo de IP fixo (35.191.0.0/16, 130.211.0.0/22). Portanto, esses IPs podem ser autorizados a enviar tráfego para seu servidor de back-end.
Regras de saída
O tráfego de saída é ativado por padrão em um projeto do Google Cloud, a menos que regras de negação específicas sejam configuradas.
Todos os componentes do Google Cloud, como o anexo do serviço do PSC e o balanceador de carga, precisam estar na mesma região.
O sistema de back-end não pode estar aberto para a rede pública, porque isso pode ser um problema de segurança. No entanto, verifique se o sistema de back-end aceita tráfego no seguinte cenário:
Balanceadores de carga baseados em proxy/HTTP(s) (ILB de proxy L4, ILB L7): todas as novas solicitações
são originadas do balanceador de carga. Portanto, o back-end precisa aceitar solicitações da sub-rede de proxy da rede VPC. Para mais informações, consulte Sub-redes somente proxy para balanceadores de carga baseados no Envoy.
Configurar a conectividade particular
Para configurar a conectividade privada, faça o seguinte:
Crie um anexo de serviço do PSC.
Crie um anexo de endpoint para consumir o anexo de serviço do PSC.
Configure a conexão para usar o anexo do endpoint.
Criar um anexo de serviço do PSC
Para estabelecer conectividade particular com os Integration Connectors, exponha o serviço usando um anexo de serviço do PSC. Um anexo de serviço sempre tem como alvo um balanceador de carga. Portanto, se o serviço não estiver atrás de um balanceador de carga, será necessário configurar um.
Para criar um anexo de serviço PSC, faça o seguinte:
Crie um anexo de serviço na mesma região que o balanceador de carga do serviço. Para saber como criar um anexo de serviço, consulte Publicar um serviço.
Em alguns casos, como back-ends com TLS ativado, o destino exige o uso de
nomes de host em vez de IPs particulares para realizar a validação de TLS. Nos casos em que um DNS
particular é usado em vez de um endereço IP para o destino do host, além de criar um anexo
de endpoint como um endereço IP, também é necessário configurar zonas gerenciadas. Para instruções sobre como criar um anexo de endpoint como um nome de host, consulte Criar um anexo de endpoint como um nome de host.
Depois, quando você configurar a conexão para usar o anexo de endpoint, poderá selecionar esse anexo.
Configurar uma conexão para usar o anexo do endpoint
Agora que você criou um anexo de endpoint, use-o na sua conexão. Ao criar ou atualizar uma conexão, na seção "Destinos", selecione Anexo de endpoint como Tipo de destino e selecione o anexo de endpoint criado na lista Anexo de endpoint.
Se você criou uma zona gerenciada, selecione Endereço do host como Tipo de destino e use o registro A criado ao criar a zona gerenciada.
Dicas de solução de problemas
Se você tiver problemas com a conectividade particular, siga as diretrizes listadas nesta seção para evitar problemas comuns.
Para verificar se o anexo do endpoint está configurado corretamente e a conexão PSC foi estabelecida, verifique o status da conexão. Para mais informações, consulte Verificar a conexão de anexo do endpoint.
Verifique se as regras de firewall estão configuradas da seguinte forma:
O tráfego da sub-rede do anexo do serviço do PSC precisa ser permitido para chegar ao serviço de back-end.
O balanceador de carga precisa enviar tráfego para o sistema de back-end. Os NEGs híbridos são
compatíveis apenas com balanceadores de carga de proxy. As solicitações de um balanceador de carga de proxy são originadas
da sub-rede somente proxy da região. Portanto, as regras de firewall precisam ser configuradas
para permitir que as solicitações de intervalos de sub-redes somente proxy cheguem ao back-end.
A sondagem de verificação de integridade precisa acessar seu sistema de back-end. As sondagens de verificação de integridade do Google Cloud têm um intervalo de IP fixo (35.191.0.0/16, 130.211.0.0/22). Portanto,
esses endereços IP precisam ter permissão para enviar tráfego ao servidor de back-end.
Verifique se as regras de firewall foram atualizadas em ambientes locais ou em outros ambientes de nuvem para permitir o tráfego
da sub-rede somente proxy da região do Google Cloud.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-18 UTC."],[[["\u003cp\u003eThis page details how to establish private connectivity from Integration Connectors to backend services like MySQL, Postgres, and SQL Server, whether they are on-premise or hosted by other cloud providers.\u003c/p\u003e\n"],["\u003cp\u003eSetting up a Private Service Connect (PSC) service attachment is crucial, as it enables Integration Connectors to consume the service, which requires the service to be behind a load balancer, with both in the same region, but different subnets.\u003c/p\u003e\n"],["\u003cp\u003eFirewall rules are critical for traffic flow, ensuring that traffic from the PSC service attachment's subnet and the load balancer can reach the backend system, and that health check probes from specific Google Cloud IP ranges can access the backend.\u003c/p\u003e\n"],["\u003cp\u003eEndpoint attachments, either as IP addresses or hostnames, are used to consume the PSC service attachment, allowing connections to be configured accordingly, with the option to use managed zones for hostnames.\u003c/p\u003e\n"],["\u003cp\u003eTroubleshooting private connectivity involves verifying endpoint attachment status, confirming firewall rules, and utilizing Google Cloud Connectivity tests to identify network configuration issues, also ensuring that the backend system should not be open to the public network.\u003c/p\u003e\n"]]],[],null,["# Private connectivity for on-premise or other cloud providers\n============================================================\n\nThis page describes how to set up private connectivity from Integration Connectors to your backend service such as MySQL, Postgres, and SQL Server hosted in your on-premise data center or other cloud providers.\n\nThe following image shows the private network connectivity setup from Integration Connectors to your backend service hosted in your on-premise network.\n\nThis page assumes that you are familiar with the following concepts:\n\n- [Endpoint attachments](/integration-connectors/docs/network-connectivity-private#endpoint-attachments)\n- [Managed zones](/dns/docs/zones)\n- [Private Service Connect (PSC)](/vpc/docs/private-service-connect)\n- [Google Cloud load balancer](/load-balancing)\n\nConsiderations\n--------------\n\nWhen you create a PSC service attachment, consider the following key points:\n\n- As a service producer, you must configure a PSC service attachment that Integration Connectors can use to consume the service. After the service attachment is ready, you can configure the connection to consume the service attachment using an endpoint attachment.\n- The PSC service attachment and the load balancer must be in different subnets within the same VPC. And specifically, the service attachment must be in a NAT subnet.\n- Software running on your backend VMs must respond to both load balanced traffic and health check probes sent to each forwarding rule's IP address (the software must listen on `0.0.0.0:\u003cport\u003e` and not on a specific IP address assigned to a network interface). For more information, see [Health check](/load-balancing/docs/internal#health-checking).\n- Configure the firewall rules to facilitate the traffic flow. **Ingress rules**\n\n - Traffic from the PSC service attachment's subnet must reach the ILB's subnet.\n - Within the ILB's subnet, ILB must be able to send traffic to your backend system.\n - The health check probe must be able to access your backend system. The Google Cloud health check probes have a fixed IP range (`35.191.0.0/16, 130.211.0.0/22`). So these IPs can be allowed to send traffic to your backend server.\n\n **Egress rules**\n\n Egress traffic is enabled by default in a Google Cloud project, unless specific\n deny rules are configured.\n- All your Google Cloud components such as the PSC service attachment and the load balancer must be in the same region.\n- Your backend system must not be open to the public network, as this can be a security concern. However, ensure that your backend system accepts traffic in the following scenario:\n\n **Proxy-based/HTTP(s) load balancers (L4 proxy ILB, L7 ILB)** : All new requests\n originate from the load balancer. Therefore, your backend must accept requests from the\n proxy subnet of your VPC network. For more information, see [Proxy-only subnets for Envoy-based load balancers](/load-balancing/docs/proxy-only-subnets).\n\nConfigure private connectivity\n------------------------------\n\n| This steps described in this section assume that private connectivity is already established between your Google Cloud project and your on-premise data center or other cloud providers, by using [Cloud VPN](/network-connectivity/docs/vpn/concepts/overview) or [Cloud Interconnect](/network-connectivity/docs/interconnect/concepts/overview)\n\nTo configure private connectivity, do the following tasks:\n\n1. Create a PSC service attachment.\n2. Create an endpoint attachment to consume the PSC service attachment.\n3. Configure your connection to use the endpoint attachment.\n\n### Create a PSC service attachment\n\nIn order to establish private connectivity from Integration connectors, you must expose the service to Integration Connectors using a PSC service attachment. A service attachment always targets a load balancer. Therefore, if your service isn't behind a load balancer, a load balancer must be configured.\nTo create a PSC service attachment, do the following:\n\n1. Create a [health check probe](/load-balancing/docs/internal#health-checking) and then create a load balancer. For information about setting up a regional internal proxy Network Load Balancer, see [Set up a regional internal proxy Network Load Balancer with hybrid connectivity](/load-balancing/docs/tcp/set-up-int-tcp-proxy-hybrid).\n2. Create a service attachment in the same region as the service's load balancer. For information about creating a service attachment, see [Publish a service](/vpc/docs/configure-private-service-connect-producer#publish-service).\n\n### Create an endpoint attachment\n\n**Endpoint attachment as an IP address**\n\nFor instructions on how to create an endpoint attachment as an IP address,\nsee [Create an endpoint attachment as an IP address](/integration-connectors/docs/create-endpoint-attachment#create-ep-ipaddr).\n**Endpoint attachment as a hostname**\n\nIn certain cases such as TLS enabled backends, the destination requires you to use\nhostnames instead of private IPs to perform TLS validation. In those cases where a private\nDNS is used instead of an IP address for the host destination, in addition to creating an endpoint\nattachment as an IP address, you must also configure managed zones. For instructions on how to\ncreate an endpoint attachment as a hostname,\nsee [Create an endpoint attachment as a hostname](/integration-connectors/docs/create-endpoint-attachment#create-ep-hostname).\n\nLater, when you configure your connection to use the endpoint attachment, you can select this endpoint attachment.\n\n### Configure a connection to use the endpoint attachment\n\nNow that you have created an endpoint attachment, use the endpoint attachment in your connection. When you create a new connection or update an existing connection, in the Destinations section, select **Endpoint attachment** as the **Destination Type** and select the endpoint attachment that you created from the **Endpoint Attachment** list.\n\nIf you created a managed zone, select **Host Address** as the **Destination Type** and use the A-record that you created while creating the managed zone.\n\nTroubleshooting tips\n--------------------\n\nIf you are having issues with private connectivity, follow the guidelines listed in this section to avoid common issues.\n\n- To verify that the endpoint attachment is set up correctly and the PSC connection is established, check the connection status. For more information, see [Verify the endpoint attachment connection](/integration-connectors/docs/create-endpoint-attachment#verify-ep-connection).\n- Ensure the following configuration for the firewall rules:\n - Traffic from the PSC service attachment's subnet must be allowed to reach your backend service.\n - The load balancer must be able to send traffic to your backend system. Hybrid NEGs are supported on proxy load balancers only. Requests from a proxy load balancer originate from the proxy only subnet of the region. Therefore, your firewall rules need to be configured to allow requests from proxy only subnet ranges to reach your backend.\n - The health check probe must be able to access your backend system. The Google Cloud health check probes have a fixed IP range (35.191.0.0/16, 130.211.0.0/22). So these IP addresses must be allowed to send traffic to your backend server.\n- [Google Cloud Connectivity test](/network-intelligence-center/docs/connectivity-tests/concepts/overview) can be used to identify any gaps in your network configuration. For more information, see [Create and run Connectivity Tests](/network-intelligence-center/docs/connectivity-tests/how-to/running-connectivity-tests).\n- Ensure that firewall rules are updated in on-premises or other cloud environments to allow traffic from the Google Cloud region's [proxy-only subnet](/load-balancing/docs/proxy-only-subnets)."]]
