Configurar IP privadas

Console

1. En la consola de Google Cloud, ve a la página Instancias de Cloud SQL.

   Ir a Instancias de Cloud SQL

2. Haga clic en Crear instancia.
3. Expanda Mostrar opciones de configuración.
4. Expande Conexiones.
5. Seleccione IP privada.

   En una lista desplegable, se muestran las redes de VPC disponibles en tu proyecto. Si tu proyecto es el proyecto de servicio de una VPC compartida, también se muestran las redes de VPC del proyecto host.

6. Selecciona la red de VPC que deseas usar.

Si ves un mensaje que indica que necesitas configurar una conexión privada a servicios, haz lo siguiente:

1. Haz clic en Configurar conexión.
2. En la sección Asignar un rango de IP, elige una de las siguientes opciones:
   • Selecciona uno o más rangos de IP existentes o crea uno nuevo desde el menú desplegable. El menú desplegable incluye los rangos asignados previamente, si hay alguno, o puedes seleccionar Asignar un rango de IP nuevo e ingresar un rango y un nombre nuevos.
   • Usa un rango de IP asignado automáticamente en tu red.
3. Haz clic en Continuar.
4. Haz clic en Crear conexión (Create connection).
5. Verifica que ves el mensaje: Private service connection for network VPC_NETWORK_NAME has been successfully created.
7. De manera opcional, puedes especificar un rango de IP asignado para que tus instancias las usen en las conexiones.
   1. Expande la opción Mostrar la opción de rango de IP asignado.
   2. Selecciona un rango de IP en el menú desplegable.
8. Opcional. Si quieres permitir que otros servicios de Google Cloud, como BigQuery, accedan a los datos en Cloud SQL y realicen consultas en estos datos a través de una conexión IP privada, selecciona Habilitar ruta privada.
9. Termina de configurar tu instancia.
10. Haga clic en Crear instancia.

gcloud

Antes de crear una instancia con una dirección IP privada, asegúrate de que tu proyecto esté configurado para el acceso privado a servicios.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• INSTANCE_ID: El ID de la instancia
• PROJECT_ID: El ID del proyecto

• NETWORK_PROJECT_ID: Es el ID del proyecto de la red de VPC.

• VPC_NETWORK_NAME: Es el nombre de la red de VPC.
• RANGE_NAME: opcional. Si se especifica, establece un nombre de rango para el que se asigna un rango de IP. El nombre del rango debe cumplir con RFC-1035 y contener de 1 a 63 caracteres.
• DATABASE_VERSION: Es la versión de la base de datos de PostgreSQL (por ejemplo, POSTGRES_14).
• NUMBER_OF_CPU: Es la cantidad de CPU.
• MEMORY_IN_GB: Es la cantidad de memoria (en GB)
• REGION_NAME: Es el nombre de la región.

Además, usa el parámetro --enable-google-private-path para permitir que otros servicios de Google Cloud, como BigQuery, accedan a datos en Cloud SQL y realicen consultas a estos datos a través de una conexión IP privada. Este parámetro solo es válido si se cumplen estas condiciones:

• Usa el parámetro --no-assign-ip.
• Usa el parámetro --network para especificar el nombre de la red de VPC que deseas usar a fin de crear una conexión privada.

gcloud beta sql instances create INSTANCE_ID \
--project=PROJECT_ID \
--network=projects/NETWORK_PROJECT_ID/global/networks/VPC_NETWORK_NAME \
--no-assign-ip \
--allocated-ip-range-name=RANGE_NAME \
--enable-google-private-path \
--database-version=DATABASE_VERSION \
--cpu=NUMBER_OF_CPU \
--memory=MEMORY_IN_GB \
--region=REGION_NAME

Terraform

A fin de configurar la IP privada para una instancia nueva, usa los siguientes recursos de Terraform:

• google_compute_network
• google_compute_global_address
• google_service_networking_connection
• google_sql_database_instance

resource "google_compute_network" "peering_network" {
  name                    = "private-network"
  auto_create_subnetworks = "false"
}

resource "google_compute_global_address" "private_ip_address" {
  name          = "private-ip-address"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 16
  network       = google_compute_network.peering_network.id
}

resource "google_service_networking_connection" "default" {
  network                 = google_compute_network.peering_network.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.private_ip_address.name]
}

resource "google_sql_database_instance" "default" {
  name             = "private-ip-sql-instance"
  region           = "us-central1"
  database_version = "POSTGRES_14"

  depends_on = [google_service_networking_connection.default]

  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      ipv4_enabled    = "false"
      private_network = google_compute_network.peering_network.id
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

resource "google_compute_network_peering_routes_config" "peering_routes" {
  peering              = google_service_networking_connection.default.peering
  network              = google_compute_network.peering_network.name
  import_custom_routes = true
  export_custom_routes = true
}

# [START  cloud_sql_postgres_instance_private_ip_dns]

## Uncomment this block after adding a valid DNS suffix

# resource "google_service_networking_peered_dns_domain" "default" {
#   name       = "example-com"
#   network    = google_compute_network.peering_network.id
#   dns_suffix = "example.com."
#   service    = "servicenetworking.googleapis.com"
# }

Aplique los cambios

Para aplicar tu configuración de Terraform en un proyecto de Google Cloud, completa los pasos de las siguientes secciones.

Prepara Cloud Shell

1. Inicia Cloud Shell

2. Establece el proyecto de Google Cloud predeterminado en el que deseas aplicar tus configuraciones de Terraform.

   Solo necesitas ejecutar este comando una vez por proyecto y puedes ejecutarlo en cualquier directorio.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   Las variables de entorno se anulan si configuras valores explícitos en el archivo de configuración de Terraform.

Prepara el directorio

Cada archivo de configuración de Terraform debe tener su propio directorio (también llamado módulo raíz).

1. En Cloud Shell, crea un directorio y un archivo nuevo dentro de ese directorio. El nombre del archivo debe tener la extensión .tf, por ejemplo, main.tf. En este instructivo, el archivo se denomina main.tf.

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. Si sigues un instructivo, puedes copiar el código de muestra en cada sección o paso.

   Copia el código de muestra en el main.tf recién creado.

   De manera opcional, copia el código de GitHub. Esto se recomienda cuando el fragmento de Terraform es parte de una solución de extremo a extremo.

3. Revisa y modifica los parámetros de muestra que se aplicarán a tu entorno.
4. Guarda los cambios.
5. Inicializa Terraform. Solo debes hacerlo una vez por directorio.

   terraform init

   De manera opcional, incluye la opción -upgrade para usar la última versión del proveedor de Google:

   terraform init -upgrade

Aplica los cambios

1. Revisa la configuración y verifica que los recursos que creará o actualizará Terraform coincidan con tus expectativas:

   terraform plan

   Corrige la configuración según sea necesario.

2. Para aplicar la configuración de Terraform, ejecuta el siguiente comando y, luego, escribe yes cuando se te solicite:

   terraform apply

   Espera hasta que Terraform muestre el mensaje “¡Aplicación completa!”.

3. Abre tu proyecto de Google Cloud para ver los resultados. En la consola de Google Cloud, navega a tus recursos en la IU para asegurarte de que Terraform los haya creado o actualizado.

Borra los cambios

Para borrar tus cambios, haz lo siguiente:

1. Para inhabilitar la protección contra la eliminación, en tu archivo de configuración de Terraform, establece el argumento deletion_protection en false.

   deletion_protection =  "false"

2. Para aplicar la configuración actualizada de Terraform, ejecuta el siguiente comando y, luego, ingresa yes cuando se te solicite:

   terraform apply

3. Quita los recursos que se aplicaron antes con tu configuración de Terraform a través de la ejecución del siguiente comando y, luego, ingresa yes cuando se te solicite:

   terraform destroy

REST v1

Crea una instancia nueva con una dirección IP privada:

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• PROJECT_ID: ID del proyecto
• INSTANCE_ID: El ID de la instancia
• VPC_NETWORK_NAME: especifica el nombre de la red de nube privada virtual (VPC) que deseas usar para esta instancia. El acceso a servicios privados ya debe estar configurado para la red.
• RANGE_NAME: Opcional. Si se especifica, establece un nombre de rango para el que se asigna un rango de IP. El nombre del rango debe cumplir con RFC-1035 y contener de 1 a 63 caracteres.
• AUTHORIZED_NETWORKS: Para las conexiones de IP públicas, especifica las conexiones de redes autorizadas que pueden conectarse a la instancia.

En el parámetro ipv4Enabled, establece el valor en true si usas una dirección IP pública para tu instancia o false si tu instancia tiene una dirección IP privada.

Si configuras el parámetro enablePrivatePathForGoogleCloudServices como true, permites que otros servicios de Google Cloud, como BigQuery, accedan a los datos en Cloud SQL y realicen consultas en ellos a través de una conexión IP privada. Si configuras este parámetro en false, otros servicios de Google Cloud no pueden acceder a los datos de Cloud SQL a través de una conexión IP privada.

Método HTTP y URL:

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances

Cuerpo JSON de la solicitud:

{
  "name": "INSTANCE_ID",
  "region": "region",
  "databaseVersion": "database-version",
  "settings": {
    "tier": "machine-type",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances" | Select-Object -Expand Content

Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

REST v1beta4

Crea una instancia nueva con una dirección IP privada:

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• PROJECT_ID: ID del proyecto
• INSTANCE_ID: El ID de la instancia
• VPC_NETWORK_NAME: especifica el nombre de la red de nube privada virtual (VPC) que deseas usar para esta instancia. El acceso a servicios privados ya debe estar configurado para la red.
• RANGE_NAME: Opcional. Si se especifica, establece un nombre de rango para el que se asigna un rango de IP. El nombre del rango debe cumplir con RFC-1035 y contener de 1 a 63 caracteres.
• AUTHORIZED_NETWORKS: Para las conexiones de IP públicas, especifica las conexiones de redes autorizadas que pueden conectarse a la instancia.

En el parámetro ipv4Enabled, establece el valor en true si usas una dirección IP pública para tu instancia o false si tu instancia tiene una dirección IP privada.

Si configuras el parámetro enablePrivatePathForGoogleCloudServices como true, permites que otros servicios de Google Cloud, como BigQuery, accedan a los datos en Cloud SQL y realicen consultas en ellos a través de una conexión IP privada. Si configuras este parámetro en false, otros servicios de Google Cloud no pueden acceder a los datos de Cloud SQL a través de una conexión IP privada.

Método HTTP y URL:

POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances

Cuerpo JSON de la solicitud:

{
  "name": "INSTANCE_ID",
  "region": "region",
  "databaseVersion": "database-version",
  "settings": {
    "tier": "machine-type",
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances" | Select-Object -Expand Content

Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "CREATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

Console

1. En la consola de Google Cloud, ve a la página Instancias de Cloud SQL.

   Ir a Instancias de Cloud SQL

2. Para abrir la página de Descripción general de una instancia, haz clic en su nombre.
3. Selecciona Conexiones en el menú de navegación de Cloud SQL.
4. En la pestaña Redes, selecciona la casilla de verificación IP privada.

   En una lista desplegable, se muestran las redes disponibles en tu proyecto.

5. Selecciona la red de VPC que deseas usar:

Si ves Se requiere conexión privada a servicio:

1. Haz clic en Configurar conexión.
2. En la sección Asignar un rango de IP, elige una de las siguientes opciones:
   • Selecciona uno o más rangos de IP existentes o crea uno nuevo desde el menú desplegable. El menú desplegable incluye los rangos asignados previamente, si hay alguno, o puedes seleccionar Asignar un rango de IP nuevo e ingresar un rango y un nombre nuevos.
   • Usa un rango de IP asignado automáticamente en tu red.
3. Haz clic en Continuar.
4. Haz clic en Crear conexión (Create connection).
5. Verifica que veas el estado Se creó correctamente la conexión privada a servicio para la red VPC_NETWORK_NAME.
6. Opcional. Si quieres permitir que otros servicios de Google Cloud, como BigQuery, accedan a los datos en Cloud SQL y realicen consultas en estos datos a través de una conexión IP privada, selecciona la opción Habilitar ruta privada..
7. Haz clic en Guardar.

gcloud

Asegúrate de que tu proyecto esté configurado para el acceso privado a servicios.

Actualiza tu instancia de Cloud SQL con el parámetro --network para especificar el nombre de la red de VPC seleccionada.

gcloud beta sql instances patch INSTANCE_ID \
--project=PROJECT_ID \
--network=projects/NETWORK_PROJECT_ID/global/networks/VPC_NETWORK_NAME \
--no-assign-ip \
--enable-google-private-path

REST v1

Crea una instancia nueva con una dirección IP privada:

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• PROJECT_ID: ID del proyecto
• INSTANCE_ID: El ID de la instancia
• VPC_NETWORK_NAME: especifica el nombre de la red de nube privada virtual (VPC) que deseas usar para esta instancia. El acceso a servicios privados ya debe estar configurado para la red.
• RANGE_NAME: Opcional. Si se especifica, establece un nombre de rango para el que se asigna un rango de IP. El nombre del rango debe cumplir con RFC-1035 y contener de 1 a 63 caracteres.
• AUTHORIZED_NETWORKS: Para las conexiones de IP públicas, especifica las conexiones de redes autorizadas que pueden conectarse a la instancia.

En el parámetro ipv4Enabled, establece el valor en true si usas una dirección IP pública para tu instancia o false si tu instancia tiene una dirección IP privada.

Si configuras el parámetro enablePrivatePathForGoogleCloudServices como true, permites que otros servicios de Google Cloud, como BigQuery, accedan a los datos en Cloud SQL y realicen consultas en ellos a través de una conexión IP privada. Si configuras este parámetro en false, otros servicios de Google Cloud no pueden acceder a los datos de Cloud SQL a través de una conexión IP privada.

Método HTTP y URL:

PATCH https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID

Cuerpo JSON de la solicitud:

{
  "settings":
  {
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}

REST v1beta4

Crea una instancia nueva con una dirección IP privada:

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• PROJECT_ID: ID del proyecto
• INSTANCE_ID: El ID de la instancia
• VPC_NETWORK_NAME: especifica el nombre de la red de nube privada virtual (VPC) que deseas usar para esta instancia. El acceso a servicios privados ya debe estar configurado para la red.
• RANGE_NAME: Opcional. Si se especifica, establece un nombre de rango para el que se asigna un rango de IP. El nombre del rango debe cumplir con RFC-1035 y contener de 1 a 63 caracteres.
• AUTHORIZED_NETWORKS: para las conexiones de IP públicas, especifica las conexiones de redes autorizadas que pueden conectarse a la instancia.

En el parámetro ipv4Enabled, establece el valor en true si usas una dirección IP pública para tu instancia o false si tu instancia tiene una dirección IP privada.

Si configuras el parámetro enablePrivatePathForGoogleCloudServices como true, permites que otros servicios de Google Cloud, como BigQuery, accedan a los datos en Cloud SQL y realicen consultas en ellos a través de una conexión IP privada. Si configuras este parámetro en false, otros servicios de Google Cloud no pueden acceder a los datos de Cloud SQL a través de una conexión IP privada.

Método HTTP y URL:

PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

Cuerpo JSON de la solicitud:

{
  "settings":
  {
    "ipConfiguration": {
      "ipv4Enabled": false,
      "privateNetwork": "projects/PROJECT_ID/global/networks/VPC_NETWORK_NAME",
      "allocatedIpRange": "RANGE_NAME"
      "authorizedNetworks": [AUTHORIZED_NETWORKS],
      
      "enablePrivatePathForGoogleCloudServices": true
      
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID" | Select-Object -Expand Content

Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-21T22:43:37.981Z",
  "operationType": "UPDATE",
  "name": "OPERATION_ID",
  "targetId": "INSTANCE_ID",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/operations/OPERATION_ID",
  "targetProject": "PROJECT_ID"
}