Accede a las APIs de Google a través de extremos

En este documento, se explica cómo usar los extremos de Private Service Connect para conectarte a las API de Google. En lugar de enviar solicitudes a la API a las direcciones IP disponibles de forma pública para extremos de servicio como storage.googleapis.com, puedes enviar las solicitudes a la dirección IP interna de un extremo.

También puedes usar Private Service Connect para acceder a los servicios en otra red de VPC y publicar servicios.

Funciones

Las siguientes funciones de IAM proporcionan los permisos necesarios para realizar las tareas de esta guía.

Antes de comenzar

• Lee Acerca de la conexión a las APIs de Google mediante extremos para obtener más información, incluida la configuración y las limitaciones de DNS.

• Private Service Connect no habilita de forma automática ninguna API. Debes habilitar las API de Google por separado desde la página de API y servicios en la consola de Google Cloud.

• Debes habilitar la API de Compute Engine en tu proyecto.

• Debes habilitar la API de Directorio de servicios en tu proyecto.

• Debes habilitar la API de Cloud DNS en tu proyecto.

• Debes elegir una dirección IP para usar en el extremo. Para obtener información sobre qué direcciones IP puedes usar, consulta Requisitos de direcciones IP.

• Las reglas de firewall de salida deben permitir el tráfico al extremo. La configuración predeterminada del firewall para una red de VPC permite este tráfico, porque contiene una regla de permiso de salida implícita. Verifica que no hayas creado una regla de salida de prioridad más alta que bloquee el tráfico.

• Las instancias de máquina virtual (VMs) sin una dirección IP externa asignada deben usar una subred con Acceso privado a Google habilitado para acceder a las APIs y los servicios de Google mediante un extremo.

  Una VM con una dirección IP externa puede acceder a los servicios y las APIs de Google mediante extremos, incluso si el Acceso privado a Google está inhabilitado para su subred. La conectividad con el extremo permanece dentro de la red de Google.

• Si tu red de VPC no contiene extremos, verifica si existe una zona privada de Cloud DNS para p.googleapis.com. Si la zona existe, bórrala antes de crear el extremo. Si no la borras, la creación de la zona DNS del Directorio de servicios usada para la Private Service Connect falla. Si deseas obtener más información, consulta Solución de problemas.

• No se puede acceder a los extremos desde redes de VPC con intercambio de tráfico.

Habilita el Acceso privado a Google para una subred

Las VMs sin una dirección IP externa asignada deben conectarse a una subred con Acceso privado a Google habilitado para acceder a las APIs y los servicios de Google mediante un extremo.

Si la VM tiene más de una interfaz, conecta la interfaz que está configurada con una ruta predeterminada (por lo general, nic0).

La dirección IP de origen de los paquetes que se envían desde la VM debe coincidir con la dirección IPv4 interna principal de la interfaz de VM o con una dirección IPv4 interna de un rango de IP de alias.

Para habilitar Acceso privado a Google en una subred, sigue estos pasos.

resource "google_compute_network" "network" {
  project                 = var.project # Replace this with your project ID in quotes
  name                    = "tf-test"
  auto_create_subnetworks = false
}

resource "google_compute_subnetwork" "vpc_subnetwork" {
  project                  = google_compute_network.network.project
  name                     = "test-subnetwork"
  ip_cidr_range            = "10.2.0.0/16"
  region                   = "us-central1"
  network                  = google_compute_network.network.id
  private_ip_google_access = true
}

Crear un extremo

Una vez que hayas elegido una dirección IP que cumpla con los requisitos, puedes crear un extremo.

Un extremo se conecta a los servicios y las APIs de Google mediante una regla de reenvío global. Cada regla de reenvío se tiene en cuenta en la cuota por red de VPC para Private Service Connect.

No puedes actualizar un extremo para los servicios y las APIs de Google después de crearlo. Si necesitas actualizar un extremo para los servicios y las APIs de Google, bórralo y, luego, crea uno nuevo.

resource "google_compute_global_address" "default" {
  project      = google_compute_network.network.project
  name         = "global-psconnect-ip"
  address_type = "INTERNAL"
  purpose      = "PRIVATE_SERVICE_CONNECT"
  network      = google_compute_network.network.id
  address      = "10.3.0.5"
}

resource "google_compute_global_forwarding_rule" "default" {
  project               = google_compute_network.network.project
  name                  = "globalrule"
  target                = "all-apis"
  network               = google_compute_network.network.id
  ip_address            = google_compute_global_address.default.id
  load_balancing_scheme = ""
}

Verifica que el extremo funcione

Crea una instancia de VM en la red de VPC en la que esté configurado Private Service Connect. Ejecuta el siguiente comando en la VM para verificar que el extremo de Private Service Connect funcione. Los extremos no responden a las solicitudes de ping (ICMP).

curl -v ENDPOINT_IP/generate_204

Reemplaza ENDPOINT_IP por la dirección IP del extremo.

Si el extremo está funcionando, verás un código de respuesta HTTP 204.

Enumerar extremos

Puedes enumerar todos los extremos configurados.

gcloud compute forwarding-rules list  \
--filter target="(all-apis OR vpc-sc)" --global

NAME  REGION  IP_ADDRESS  IP_PROTOCOL  TARGET
RULE          IP          TCP          all-apis

Obtén información sobre un extremo

Puedes ver todos los detalles de configuración de un extremo.

gcloud compute forwarding-rules describe \
    ENDPOINT_NAME --global

Etiqueta un extremo

Puedes administrar etiquetas para los extremos. Consulta cómo etiquetar recursos para obtener más información.

Borra un extremo †

Puedes borrar un extremo.

    gcloud compute forwarding-rules delete \
        ENDPOINT_NAME --global

Usa un extremo

Para usar un extremo, envías solicitudes a un nombre de host DNS que se resuelve a la dirección IP del extremo.

• Puedes usar los nombres DNS p.googleapis.com creados automáticamente si puedes configurar tus clientes para que usen un extremo personalizado, y si se crean registros DNS p.googleapis.com para las APIs y los servicios que quieres usar. Para obtener más información, consulta Usa nombres de DNS p.googleapis.com.

  Por ejemplo, si el nombre de tu extremo es xyz, los registros DNS se crean para storage-xyz.p.googleapis.com, compute-xyz.p.googleapis.com y otras APIs que se usan con frecuencia en el paquete de APIs.

• Puedes crear registros DNS con los nombres DNS predeterminados si usas un cliente que no se configuró para usar un extremo personalizado, o si no existe un registro DNS p.googleapis.com en el servicio que quieres usar. Para obtener más información, consulta Crea registros DNS mediante nombres de DNS predeterminados.

  Por ejemplo, crea registros DNS para storage.googleapis.com y compute.googleapis.com.

Usa nombres de DNS p.googleapis.com

Cuando creas un extremo, el Directorio de servicios crea registros DNS para las APIs y los servicios de uso común que están disponibles mediante el extremo. Los registros DNS se crean solo para las API y los servicios que tienen nombres de DNS predeterminados que terminan con googleapis.com y solo para un subconjunto de esas API y servicios.

Los registros DNS se crean en una zona privada p.googleapis.com. Los registros apuntan a la dirección IP del extremo y usan este formato: SERVICE-ENDPOINT.p.googleapis.com

Por ejemplo, si el nombre de tu extremo es xyz, se crean registros DNS para storage-xyz.p.googleapis.com, compute-xyz.p.googleapis.com y otras API compatibles.

Los clientes que se pueden configurar para usar un extremo personalizado pueden usar los nombres de DNS p.googleapis.com a fin de enviar solicitudes a un extremo.

Consulta la documentación de tu cliente o biblioteca cliente para obtener información sobre cómo configurarla con el fin de usar extremos personalizados. Por ejemplo:

• Python: puedes configurar api_endpoint en Opciones del cliente.

• Go: puedes configurar WithEndpoint en ClientOptions.

• .NET: puedes configurar Endpoint en la clase de compilador del cliente.

• gcloud: Puedes configurar api_endpoint_overrides en la gcloud CLI.

Crea registros DNS con nombres DNS predeterminados

Debes crear registros DNS para dirigir los nombres de DNS predeterminados para las APIs y los servicios al extremo en estas circunstancias:

• Tu cliente o aplicación no se puede configurar para usar un nombre de DNS p.googleapis.com.

• Debes acceder a un servicio compatible, pero no hay un nombre de DNS p.googleapis.com creado de forma automática para ese servicio.

Para crear registros DNS que apunten a tu extremo de Private Service Connect, sigue estas instrucciones:

1. Crea una zona DNS para el dominio que necesitas usar (por ejemplo, googleapis.com o gcr.io). Se recomienda crear una zona privada de Cloud DNS para este propósito.

2. En esta zona DNS, haz lo siguiente:

   1. Crea un registro A para el nombre de dominio (zona), por ejemplo, googleapis.com o gcr.io. Haz que este registro A apunte a la dirección IP del extremo. Si usas Cloud DNS, consulta cómo agregar un registro.

   2. Crea un registro CNAME para todos los nombres de host posibles del dominio adicional. Para ello, usa un asterisco y un punto seguidos del nombre de dominio (zona). Por ejemplo, *.googleapis.com o *.gcr.io. Haz que este registro CNAME apunte al registro A en la misma zona. Por ejemplo, apunta *.googleapis.com a googleapis.com o *.gcr.io a gcr.io.

Accede al extremo desde hosts locales

Si tu red local está conectada a una red de VPC, puedes usar Private Service Connect para acceder a las APIs y los servicios de Google desde hosts locales con la dirección IP interna del extremo.

• Tu red local debe estar conectada a una red de VPC mediante túneles de Cloud VPN o adjuntos de VLAN para Cloud Interconnect.

• El extremo debe estar en la red de VPC que está conectada a tu red local.

• La red local debe tener rutas adecuadas para el extremo. Configura un anuncio de ruta personalizado de Cloud Router a fin de anunciar rutas para el extremo en la sesión de BGP que administra las rutas del túnel de Cloud VPN o el adjunto de VLAN.

  • Si tu red local usa enrutamiento de varias rutas de igual costo (ECMP) para distribuir el tráfico a los extremos de Private Service Connect, debes asegurarte de que todos los paquetes para una sola conexión TCP se enruten a través de mismo túnel de Cloud VPN o adjunto de VLAN. Si los paquetes para una conexión TCP establecida se enrutan a través de varias rutas, es posible que experimentes restablecimientos intermitentes de TCP (RST). Para evitar los restablecimientos, configura tus routers de pares locales para que mantengan destinos de próximo salto coherentes.

• Debes configurar los sistemas locales para que puedan realizar consultas a tus zonas de DNS privadas.

  Si implementaste las zonas de DNS privadas con Cloud DNS, completa los siguientes pasos:

  • Crea una política del servidor de entrada en la red de VPC a la que se conecta tu red local.

  • Identifica los puntos de entrada de reenvío entrantes, en las regiones en las que se encuentran los túneles de Cloud VPN y los adjuntos de VLAN, en la red de VPC a la que tu red local se conecta.

  • Configura los sistemas locales y los servidores de nombres de DNS locales para reenviar los nombres de DNS de los extremos de Private Service Connect a un punto de entrada de reenvío entrante en la misma región que el túnel de Cloud VPN o el adjunto de VLAN que se conecta a la red de VPC.

Soluciona problemas

Las siguientes secciones contienen información sobre cómo resolver problemas con los extremos de Private Service Connect que se usan para acceder a las APIs de Google.

No se puede crear una zona DNS privada

Cuando creas un extremo, se crea una zona DNS del Directorio de servicios. La creación de zonas puede fallar por los siguientes motivos:

• No habilitaste la API de Cloud DNS en tu proyecto.

• No tienes los permisos necesarios para crear una zona DNS del Directorio de servicios.

• Existe una zona DNS con el mismo nombre en esta red de VPC.

• Ya existe una zona de DNS para p.googleapis.com en esta red de VPC.

Pueden existir zonas en conflicto por una falla de eliminación anterior.

Para crear la zona DNS del Directorio de servicios, haz lo siguiente:

1. Verifica que la API de Cloud DNS esté habilitada en tu proyecto.

2. Verifica que tengas los permisos necesarios para crear la zona DNS del Directorio de servicios:

   • dns.managedZones.create
   • servicedirectory.namespaces.associatePrivateZone

3. Borra la zona DNS.

4. Crea una zona DNS de Directorio del servicio respaldada por el espacio de nombres del Directorio de servicios asociado con tu extremo.

   Usa los siguientes valores cuando crees la zona:

   • Nombre de zona: Usa el mismo nombre de zona que usó el sistema durante el intento de creación fallido. El mensaje de error muestra qué nombre de zona se usó.

   • Nombre DNS: p.googleapis.com. (incluye el punto final).

   • Espacio de nombres del Directorio de servicios: Encuentra el espacio de nombres del directorio de servicios para el extremo de Private Service Connect que creaste y usa este espacio de nombres cuando crees la zona DNS del Directorio de servicio.

   El espacio de nombres del Directorio de servicios tiene el siguiente formato: goog-psc-NETWORK_NAME-NETWORK_ID.

No se puede borrar la zona de DNS privada

Cuando borras el último extremo de una red de VPC, se borra la configuración asociada del Directorio de servicios, incluida la zona DNS.

Esta eliminación puede fallar por los siguientes motivos:

• No tienes los permisos necesarios para borrar la zona DNS.

• La zona contiene entradas DNS definidas por el usuario que el Directorio de servicios no creó.

Para solucionar este problema, haz lo siguiente:

1. Verifica que tengas el permiso dns.managedZones.delete. Para obtener más información, consulta Control de acceso en la documentación de Cloud DNS.

2. Borra la zona DNS.