从具有外部 IP 地址的虚拟机访问 API

具有分配给网络接口的外部 IP 地址的虚拟机实例 (VM) 实例可以连接到 Google API 和服务，前提是满足本页面中所述的网络要求。尽管连接是通过虚拟机的外部 IP 地址建立的，但流量会保留在 Google Cloud 中，并且不通过公共互联网发送。

网络要求

如需从具有外部 IP 地址的虚拟机访问 Google API 和服务，必须满足以下要求：

• 您必须在 Google Cloud 控制台的 API 和服务页面上启用您需要使用的 Google API。

• 如果要使用 IPv6 连接到 Google API 和服务，必须同时满足以下两个要求：

  • 您的虚拟机必须配置了外部 /96 IPv6 地址范围。

  • 虚拟机上运行的软件必须发送来源与该范围的其中一个 IPv6 地址匹配的数据包。

• 根据您选择的配置，您可能需要更新 DNS 条目、路由和防火墙规则。如需了解详情，请参阅配置选项摘要。

配置选项摘要

下表汇总了配置专用 Google 访问通道的不同方式。如需了解更详细的配置信息，请参阅网络配置。

网络配置

本部分介绍 VPC 网络中的虚拟机必须满足 Google API 和服务的基本网络要求。

网域选项

选择您要用于访问 Google API 和服务的网域。

private.googleapis.com 和 restricted.googleapis.com 虚拟 IP 地址 (VIP) 仅支持 TCP 上基于 HTTP 的协议（HTTP、HTTPS 和 HTTP/2）。不支持所有其他协议，包括 MQTT 和 ICMP。

private.googleapis.com 和 restricted.googleapis.com 的 IPv6 支持

以下 IPv6 地址范围可用于将来自 IPv6 客户端的流量定向到 Google API 和服务：

• private.googleapis.com：2600:2d00:0002:2000::/64
• restricted.googleapis.com：2600:2d00:0002:1000::/64

如果您要使用 private.googleapis.com 或 restricted.googleapis.com 网域，并且具有使用 IPv6 地址的客户端，请考虑配置 IPv6 地址。同时配置了 IPv4 地址的 IPv6 客户端可以使用 IPv4 地址访问 Google API 和服务。并非所有服务都接受来自 IPv6 客户端的流量。

DNS 配置

对于与 Google API 和服务的连接，您可以选择将数据包发送到与 private.googleapis.com 或 restricted.googleapis.com VIP 地址关联的 IP 地址。如需使用 VIP，您必须配置 DNS，以便 VPC 网络中的虚拟机使用 VIP 地址而不是公共 IP 地址访问服务。

以下部分介绍如何使用 DNS 区域将数据包发送到与所选 VIP 地址关联的 IP 地址。请按照适用于您的所有场景的相关说明操作：

• 如果您使用的服务具有 *.googleapis.com 域名，请参阅为 googleapis.com 配置 DNS。

• 如果您使用的服务具有其他域名，请参阅为其他网域配置 DNS。

  例如，如果您使用 Google Kubernetes Engine (GKE)，则还需要配置 *.gcr.io 和 *.pkg.dev；如果您使用 Cloud Run，则需要配置 *.run.app。

• 如果您使用 Cloud Storage 存储桶，并且向 Cloud Storage 自定义域名发送请求，请参阅为 Cloud Storage 自定义域名配置 DNS。

为 VIP 配置 DNS 记录时，请仅使用以下步骤中说明的 IP 地址。请勿混用 private.googleapis.com 和 restricted.googleapis.com VIP 中的地址；这样做可能会导致间歇性故障，因为系统提供的服务会因数据包的目的地而异。

为 googleapis.com 配置 DNS

为 googleapis.com 创建 DNS 区域和记录：

1. 为 googleapis.com 创建专用 DNS 区域。为此，请考虑创建 Cloud DNS 专用区域。

2. 在 googleapis.com 区域中，根据您选择使用的网域，为 private.googleapis.com 或 restricted.googleapis.com 创建以下专用 DNS 记录。

   • 对于 private.googleapis.com：

     1. 为 private.googleapis.com 创建 A 记录，指向以下 IP 地址：199.36.153.8、199.36.153.9、199.36.153.10、199.36.153.11。

     2. 如需使用 IPv6 地址连接到 API，还要为 private.googleapis.com 配置 AAAA 记录，指向 2600:2d00:0002:2000::。

   • 对于 restricted.googleapis.com：

     1. 为 restricted.googleapis.com 创建 A 记录，指向以下 IP 地址：199.36.153.4、199.36.153.5、199.36.153.6、199.36.153.7。

     2. 如需使用 IPv6 地址连接到 API，还要为 restricted.googleapis.com 创建 AAAA 记录，指向 2600:2d00:0002:1000::。

   如需在 Cloud DNS 中创建专用 DNS 记录，请参阅添加记录。

3. 在 googleapis.com 区域中，为 *.googleapis.com 创建 CNAME 记录，指向您已配置的网域：private.googleapis.com 或 restricted.googleapis.com。

为其他网域配置 DNS

某些 Google API 和服务是使用其他域名提供，其中包括 *.gcr.io、*.gstatic.com、*.pkg.dev、pki.goog 和 *.run.app。请参阅网域选项中的“网域和 IP 地址范围表”，以确定是否可以使用 private.googleapis.com 或 restricted.googleapis.com 访问其他网域的服务。接下来，对于每个其他网域，请执行以下操作：

1. 为 DOMAIN 创建 DNS 区域（例如 gcr.io）。如果您使用的是 Cloud DNS，请确保此区域与您的 googleapis.com 专用区域位于同一项目中。

2. 在此专用 DNS 区域中，根据您选择使用的网域，为 private.googleapis.com 或 restricted.googleapis.com 创建以下 DNS 记录。

   • 对于 private.googleapis.com：

     1. 为 DOMAIN 创建 A 记录，指向以下 IP 地址：199.36.153.8、199.36.153.9、199.36.153.10、199.36.153.11。

     2. 如需使用 IPv6 地址连接到 API，还要为 DOMAIN 创建 AAAA 记录，指向 2600:2d00:0002:2000::。

   • 对于 restricted.googleapis.com：

     1. 为 DOMAIN 创建 A 记录，指向以下 IP 地址：199.36.153.4、199.36.153.5、199.36.153.6、199.36.153.7。

     2. 如需使用 IPv6 地址连接到 API，还要为 restricted.googleapis.com 创建 AAAA 记录，指向 2600:2d00:0002:1000::。

3. 在 DOMAIN 区域中，为 *.DOMAIN 创建一个 CNAME 记录，指向 DOMAIN。例如，为 *.gcr.io 创建一个 CNAME 记录，指向 gcr.io。

为 Cloud Storage 自定义域名配置 DNS

如果您使用的是 Cloud Storage 存储桶，并向 Cloud Storage 自定义域名发送请求，则将自定义 Cloud Storage 域名的 DNS 记录配置为指向 private.googleapis.com 或 restricted.googleapis.com 的 IP 地址不足以允许访问 Cloud Storage 存储桶。

如果要向 Cloud Storage 自定义域名发送请求，您还必须将 HTTP 请求的主机标头和 TLS SNI 明确设置为 storage.googleapis.com。private.googleapis.com 和 restricted.googleapis.com 的 IP 地址不支持 HTTP 请求主机标头和 TLS SNI 中的自定义 Cloud Storage 主机名。

路由选项

您的 VPC 网络必须具有适当的路由，其下一个跃点是默认互联网网关。Google Cloud 不支持通过其他虚拟机实例或自定义下一个跃点，将流量路由到 Google API 和服务。尽管称之为默认互联网网关，但从 VPC 网络中的虚拟机发送到 Google API 和服务的数据包仍保留在 Google 网络中。

• 如果您选择默认网域，则您的虚拟机实例将使用 Google 外部 IP 地址的子集连接到 Google API 和服务。这些 IP 地址可公开路由，但从 VPC 网络中的虚拟机到这些地址的路径仍保留在 Google 网络中。

• Google 不会在互联网上向 private.googleapis.com 或 restricted.googleapis.com 网域使用的任何 IP 地址发布路由。因此，这些网域只能通过 VPC 网络中的虚拟机或连接到 VPC 网络的本地系统访问。

如果您的 VPC 网络包含其下一个跃点是默认互联网网关的默认路由，则您可以使用该路由访问 Google API 和服务，而无需创建自定义路由。如需了解详情，请参阅使用默认路由进行路由。

如果您已将默认路由（目标 0.0.0.0/0 或 ::0/0）替换为下一个跃点不是默认互联网网关的自定义路由，则可以满足使用自定义路由的 Google API 和服务的路由要求。

如果您的 VPC 网络没有 IPv6 默认路由，则不会与 Google API 和服务建立 IPv6 连接。请添加 IPv6 默认路由以允许 IPv6 连接。

使用默认路由进行路由

每个 VPC 网络在创建时都会包含 IPv4 默认路由 (0.0.0.0/0)。如果您在子网上启用外部 IPv6 地址，则系统生成的 IPv6 默认路由 (::/0) 会添加到该 VPC 网络。

默认路由提供了以下目标的 IP 地址的路径：

• 默认网域。

• private.googleapis.com：199.36.153.8/30 和 2600:2d00:0002:2000::/64。

• restricted.googleapis.com：199.36.153.4/30 和 2600:2d00:0002:1000::/64。

如需检查给定网络中默认路由的配置，请按照以下说明操作。

gcloud compute routes list \
    --filter="default-internet-gateway NETWORK_NAME"

如果需要创建替换默认 IPv4 路由，请参阅添加静态路由。

如果您需要创建替换默认 IPv6 路由，请参阅添加 IPv6 默认路由。

自定义路由

作为默认路由的替代方案，您可以使用自定义静态路由，每个路由都有更具体的目的地，并且每个路由都使用默认互联网网关下一个跃点。您需要的路由数量及其目标 IP 地址取决于您选择的网域。

• 默认网域：您必须拥有用于 Google API 和服务的 IP 地址范围的路由。
• private.googleapis.com：199.36.153.8/30 和 2600:2d00:0002:2000::/64
• restricted.googleapis.com：199.36.153.4/30 和 2600:2d00:0002:1000::/64

此外，我们建议您为 34.126.0.0/18 和 2001:4860:8040::/42 添加路由。如需了解详情，请参阅配置选项摘要。

如需检查给定网络中 Google API 和服务的自定义路由配置，请按照以下说明操作。

gcloud compute routes list \
    --filter="default-internet-gateway NETWORK_NAME"

如果需要创建路由，请参阅添加静态路由。

防火墙配置

您的 VPC 网络的防火墙配置必须允许通过虚拟机访问 Google API 和服务使用的 IP 地址。隐式 allow egress 规则满足此要求。

在某些防火墙配置中，您需要创建特定的出站允许规则。例如，假设您已创建了一条出站流量拒绝规则，用于阻止流向所有目标（IPv4 为 0.0.0.0，IPv6 为 ::/0）的流量。在这种情况下，您必须创建一条出站流量允许防火墙规则，其优先级高于 Google API 和服务的所选网域使用的每个 IP 地址范围的出站流量拒绝规则。

• 默认网域：Google API 和服务的所有 IP 地址范围。
• private.googleapis.com：199.36.153.8/30 和 2600:2d00:0002:2000::/64
• restricted.googleapis.com：199.36.153.4/30 和 2600:2d00:0002:1000::/64

此外，我们建议您在出站流量允许防火墙规则中包含 34.126.0.0/18 和 2001:4860:8040::/42。如需了解详情，请参阅配置选项摘要。

如需创建防火墙规则，请参阅创建防火墙规则。在定义每个出站允许规则的目标时，您可以限制防火墙规则应用的虚拟机。

默认网域的 IP 地址

本部分介绍如何创建 Google API 和服务（例如 *.googleapis.com 和 *.gcr.io）使用的默认网域 IP 地址范围的列表。这些范围是动态分配的，并且经常更改，因此无法为个别服务或 API 定义专用 IP 范围。如需获取准确的列表，请设置自动化功能来每天运行脚本以对列表进行维护。作为维护 IP 地址范围列表的替代方案，请考虑使用 private.googleapis.com VIP 或 Private Service Connect。

• Google 在 goog.json 中发布了其向互联网用户提供的完整 IP 范围列表。

• Google 还在 cloud.json 中发布了可用于客户的 Google Cloud 资源的全球和区域外部 IP 地址范围列表。

Google API 和服务的默认网域使用的 IP 地址位于通过从 goog.json 的范围中删除 cloud.json 的所有范围之后计算得出的范围列表中。这些列表会经常更新。

您可以使用以下 Python 脚本创建 IP 地址范围列表，其中包含 Google API 和服务的默认网域使用的 IP 地址范围。

如需了解如何运行此脚本，请参阅运行方式。

from __future__ import print_function

import json

try:
    from urllib import urlopen
except ImportError:
    from urllib.request import urlopen
    from urllib.error import HTTPError

import netaddr

IPRANGE_URLS = {
    "goog": "https://www.gstatic.com/ipranges/goog.json",
    "cloud": "https://www.gstatic.com/ipranges/cloud.json",
}


def read_url(url):
    try:
        return json.loads(urlopen(url).read())
    except (IOError, HTTPError):
        print("ERROR: Invalid HTTP response from %s" % url)
    except json.decoder.JSONDecodeError:
        print("ERROR: Could not parse HTTP response from %s" % url)


def get_data(link):
    data = read_url(link)
    if data:
        print("{} published: {}".format(link, data.get("creationTime")))
        cidrs = netaddr.IPSet()
        for e in data["prefixes"]:
            if "ipv4Prefix" in e:
                cidrs.add(e.get("ipv4Prefix"))
            if "ipv6Prefix" in e:
                cidrs.add(e.get("ipv6Prefix"))
        return cidrs


def main():
    cidrs = {group: get_data(link) for group, link in IPRANGE_URLS.items()}
    if len(cidrs) != 2:
        raise ValueError("ERROR: Could process data from Google")
    print("IP ranges for Google APIs and services default domains:")
    for ip in (cidrs["goog"] - cidrs["cloud"]).iter_cidrs():
        print(ip)


if __name__ == "__main__":
    main()