توضّح هذه الصفحة كيفية تفعيل ميزة "الوصول الخاص إلى Google" وضبطها في Cloud Firestore.
لمحة عن ميزة "الوصول الخاص إلى Google" في Cloud Firestore
عندما لا يتوفّر عنوان IP خارجي لجهاز افتراضي على Compute Engine مخصّص لواجهة الشبكة، يمكنه تلقائيًا إرسال الحِزم إلى وجهات عناوين IP الداخلية الأخرى فقط. يمكنك السماح لهذه الأجهزة الافتراضية بالاتصال بخدمة Cloud Firestore من خلال تفعيل "الوصول الخاص إلى Google" على الشبكة الفرعية التي تستخدمها واجهة شبكة الجهاز الافتراضي.
الخدمات والبروتوكولات السارية
تنطبق التعليمات الواردة في هذا الدليل على Cloud Firestore فقط.
إنّ النطاقات التلقائية ونطاقات VIP التي يستخدمها Cloud Firestore ونطاقات عناوين IP الخاصة بها تتيح فقط بروتوكول MongoDB على المنفذ 443. ولا يُسمح باستخدام أي بروتوكولات أخرى.
متطلبات الشبكة
يمكن لواجهة جهاز افتراضي الوصول إلى واجهات برمجة التطبيقات والخدمات من Google من خلال شبكة Google الداخلية باستخدام ميزة "الوصول الخاص إلى Google" في حال استيفاء جميع الشروط التالية:
يتم ربط واجهة الجهاز الافتراضي بشبكة فرعية تم تفعيل ميزة "الوصول الخاص إلى Google" فيها.
لم يتم تعيين عنوان IP خارجي لواجهة الجهاز الافتراضي.
يتطابق عنوان IP المصدر للحزم المرسَلة من الجهاز الافتراضي مع أحد عناوين IP التالية.
- عنوان IPv4 الداخلي الأساسي لواجهة الجهاز الافتراضي
- عنوان IPv4 داخلي من نطاق عناوين IP مستعارة
لا يحتاج الجهاز الافتراضي الذي يتضمّن عنوان IPv4 خارجيًا مخصّصًا لواجهة الشبكة الخاصة به إلى ميزة "الوصول الخاص إلى Google" للاتصال بواجهات برمجة التطبيقات والخدمات من Google. ومع ذلك، يجب أن تستوفي شبكة VPC متطلبات الوصول إلى واجهات برمجة التطبيقات والخدمات من Google.
أذونات "إدارة الهوية وإمكانية الوصول"
يمكن لمالكي المشاريع والمحرِّرين ومستخدمي "إدارة الهوية وإمكانية الوصول" الذين لديهم دور مشرف الشبكة إنشاء شبكات فرعية أو تعديلها وتعيين عناوين IP.
لمزيد من المعلومات عن الأدوار، يُرجى الاطّلاع على مستندات أدوار إدارة الهوية وإمكانية الوصول.
التسجيل
تلتقط Cloud Logging جميع طلبات البيانات من واجهة برمجة التطبيقات التي يتم إجراؤها من مثيلات الأجهزة الافتراضية في الشبكات الفرعية التي تم تفعيل الوصول الخاص إلى Google فيها. تحدّد إدخالات السجلّ مصدر طلب البيانات من واجهة برمجة التطبيقات كعنوان IP داخلي للمثيل الذي يرسل الطلب.
يمكنك ضبط تقارير الاستخدام اليومي والتقارير المجمّعة الشهرية ليتم إرسالها إلى حزمة Cloud Storage. لمزيد من التفاصيل، يُرجى الاطّلاع على صفحة عرض تقارير الاستخدام.
ملخّص الإعدادات
يلخّص الجدول التالي الطرق المختلفة التي يمكنك من خلالها ضبط "الوصول الخاص إلى Google" في Cloud Firestore. لمزيد من التعليمات والمعلومات التفصيلية، يُرجى الاطّلاع على إعدادات الشبكة.
| خيار النطاق | نطاقات عناوين IP | إعدادات نظام أسماء النطاقات | إعدادات التوجيه | إعدادات جدار الحماية |
|---|---|---|---|---|
|
النطاق التلقائي (
يتم استخدام النطاقات التلقائية في حال عدم ضبط سجلّات نظام أسماء النطاقات
لـ |
136.124.0.0/23
|
يمكنك الوصول إلى خدمة Cloud Firestore من خلال عناوين IP العامة، لذا لا يلزم إجراء إعدادات خاصة لنظام أسماء النطاقات. |
تأكَّد من أنّ شبكة VPC يمكنها توجيه الزيارات إلى نطاقات عناوين IP التي تستخدمها خدمة Cloud Firestore.
|
تأكَّد من أنّ قواعد جدار الحماية تسمح
بالخروج إلى نطاق عناوين IP لـ تسمح قاعدة جدار الحماية التلقائية للسماح بحركة البيانات الصادرة بمرور هذه البيانات، إذا لم تكن هناك قاعدة ذات أولوية أعلى تحظرها. |
|
استخدِم |
199.36.153.2/31 |
اضبط سجلّات نظام أسماء النطاقات لإرسال الطلبات إلى نطاق عناوين IP في 199.36.153.2/31.
|
تأكَّد من أنّ شبكة VPC تتضمّن
مسارات إلى نطاق عناوين IP
الخاصة بـ 199.36.153.2/31.
|
تأكَّد من أنّ قواعد جدار الحماية تسمح
بالخروج إلى نطاق عناوين IP لـ 199.36.153.2/31.
|
إعدادات الشبكة
يوضّح هذا القسم كيفية ضبط شبكتك للوصول إلى Cloud Firestore باستخدام "الوصول الخاص إلى Google".
إعدادات نظام أسماء النطاقات
على عكس واجهات Google APIs الأخرى، تستخدم واجهة برمجة التطبيقات Cloud Firestore أسماء نطاقات وعناوين IP مختلفة للوصول الخاص إلى Google:
يتيح
restricted.firestore.googالوصول إلى واجهة برمجة التطبيقات Cloud Firestore.عناوين IP:
199.36.153.2و199.36.153.3بما أنّ Cloud Firestore متوافق مع عناصر التحكّم في خدمة سحابة VPC، يمكنك استخدام هذا النطاق في سيناريوهات عناصر التحكّم في خدمة سحابة VPC.
لإنشاء منطقة نظام أسماء النطاقات وسجلّات لـ Cloud Firestore:
أنشئ منطقة نظام أسماء نطاقات خاصة لـ
firestore.goog.ننصحك بإنشاء منطقة خاصة في Cloud DNS لهذا الغرض.
في منطقة
firestore.goog، أنشئ السجلات التالية:سجلّ
Aللنطاقrestricted.firestore.googيشير إلى عنوانَي IP التاليَين:199.36.153.2و199.36.153.3سجلّ
CNAMEلـ*.firestore.googيشير إلىrestricted.firestore.goog.
لإنشاء هذه السجلّات في Cloud DNS، يُرجى الاطّلاع على إضافة سجلّ.
إعدادات التوجيه
يجب أن تتضمّن شبكة VPC مسارات مناسبة تكون القفزات التالية لها هي بوابة الإنترنت التلقائية. لا تتيح Google Cloud توجيه الزيارات إلى Google APIs والخدمات من خلال أجهزة افتراضية أخرى أو الخطوات التالية المخصّصة. على الرغم من تسميتها بوابة الإنترنت التلقائية، فإنّ الحزم المُرسَلة من الأجهزة الافتراضية في شبكة السحابة الإلكترونية الخاصة الافتراضية (VPC) إلى Google APIs والخدمات تظل ضمن شبكة Google.
إذا حدّدت خيار النطاق التلقائي، ستتصل مثيلات الأجهزة الافتراضية بخدمة Cloud Firestore باستخدام نطاق عناوين IP العامة التالي:
136.124.0.0/23. يمكن توجيه عناوين IP هذه بشكل علني، ولكن المسار من جهاز افتراضي في شبكة VPC إلى تلك العناوين يظل ضمن شبكة Google.لا تنشر Google مسارات على الإنترنت لأي من عناوين IP التي يستخدمها نطاق
restricted.firestore.goog. وبالتالي، لا يمكن الوصول إلى هذا النطاق إلا من خلال الأجهزة الافتراضية في شبكة VPC أو الأنظمة المحلية المتصلة بشبكة VPC.
إذا كانت شبكة VPC تحتوي على مسار تلقائي تكون الخطوة التالية له هي بوابة الإنترنت التلقائية، يمكنك استخدام هذا المسار للوصول إلى خدمة "Cloud Firestore" بدون الحاجة إلى إنشاء مسارات مخصّصة. يُرجى الاطّلاع على التوجيه باستخدام مسار تلقائي لمزيد من التفاصيل.
إذا استبدلت مسارًا تلقائيًا (الوجهة 0.0.0.0/0 أو ::0/0) بمسار مخصّص تكون قفزته التالية ليست بوابة الإنترنت التلقائية، يمكنك استيفاء متطلبات التوجيه لخدمة Cloud Firestore باستخدام التوجيه المخصّص بدلاً من ذلك.
التوجيه باستخدام مسار تلقائي
تحتوي كل شبكة VPC على مسار تلقائي لبروتوكول IPv4 (0.0.0.0/0)
عند إنشائها.
يوفّر المسار التلقائي مسارًا إلى عناوين IP للوجهات التالية:
- النطاق التلقائي (
firestore.goog):136.124.0.0/23 restricted.firestore.goog:199.36.153.2/31
للحصول على تعليمات حول كيفية التحقّق من إعدادات المسار التلقائي في شبكة معيّنة في Google Cloud Console وGoogle Cloud CLI، يُرجى الاطّلاع على ضبط الوصول الخاص إلى Google.
التوجيه باستخدام المسارات المخصّصة
كبديل للمسار التلقائي، يمكنك استخدام مسارات ثابتة مخصّصة، لكل منها وجهة أكثر تحديدًا، ويستخدم كل منها القفزة التالية التلقائية لبوابة الإنترنت. تعتمد عناوين IP الوجهة للمسارات على النطاق الذي تختاره:
- النطاق التلقائي (
firestore.goog):136.124.0.0/23 restricted.firestore.goog:199.36.153.2/31
للحصول على تعليمات حول كيفية التحقّق من إعدادات المسارات المخصّصة في شبكة معيّنة في وحدة تحكّم Google Cloud وGoogle Cloud CLI، يُرجى الاطّلاع على ضبط الوصول الخاص إلى Google.
إعدادات جدار الحماية
يجب أن تسمح إعدادات جدار الحماية لشبكة VPC
بالوصول من الأجهزة الافتراضية إلى عناوين IP التي تستخدمها خدمة Cloud Firestore. تستوفي قاعدة allow egress الضمنية هذا الشرط.
في بعض إعدادات جدار الحماية، عليك إنشاء قواعد محدّدة للسماح بالخروج.
على سبيل المثال، لنفترض أنّك أنشأت قاعدة رفض حركة البيانات الصادرة التي تحظر حركة البيانات إلى
جميع الوجهات (0.0.0.0 لبروتوكول IPv4). في هذه الحالة، يجب إنشاء قاعدة جدار حماية واحدة للسماح بحركة البيانات الصادرة تكون أولويتها أعلى من قاعدة رفض حركة البيانات الصادرة لكل نطاق عناوين IP يستخدمه النطاق الذي تختاره:
- النطاق التلقائي (
firestore.goog:136.124.0.0/23 restricted.firestore.goog:199.36.153.2/31
لإنشاء قواعد جدار الحماية، يُرجى الاطّلاع على مقالة إنشاء قواعد جدار الحماية. يمكنك حصر الأجهزة الافتراضية التي تنطبق عليها قواعد جدار الحماية عند تحديد الهدف لكل قاعدة سماح بالخروج.
إعدادات Private Google Access
يمكنك تفعيل ميزة "الوصول الخاص إلى Google" بعد استيفاء متطلبات الشبكة في شبكة VPC. للحصول على تعليمات حول وحدة تحكّم Google Cloud وGoogle Cloud CLI، اتّبِع الخطوات الموضّحة في مقالة تفعيل الوصول الخاص إلى Google.