הגדרת גישה פרטית ל-Google ב-Firestore עם תאימות ל-MongoDB

בדף הזה מוסבר איך להפעיל ולהגדיר גישה פרטית ל-Google ב-Cloud Firestore.

מידע על גישה פרטית ל-Google ב-Cloud Firestore

כברירת מחדל, אם למכונה וירטואלית ב-Compute Engine אין כתובת IP חיצונית שמוקצית לממשק הרשת שלה, היא יכולה לשלוח חבילות רק ליעדים אחרים של כתובות IP פנימיות. כדי לאפשר למכונות הווירטואליות האלה להתחבר לשירות Cloud Firestore, אתם יכולים להפעיל את הגישה הפרטית ל-Google ברשת המשנה שמשמשת את ממשק הרשת של המכונה הווירטואלית.

שירותים ופרוטוקולים רלוונטיים

  • ההוראות במדריך הזה רלוונטיות רק ל-Cloud Firestore.

  • הדומיינים שמוגדרים כברירת מחדל ודומייני ה-VIP שמשמשים את Cloud Firestore וטווחי ה-IP שלהם תומכים רק בפרוטוקול MongoDB ביציאה 443. אין תמיכה בפרוטוקולים אחרים.

דרישות רשת

ממשק של מכונה וירטואלית יכול להגיע ל-Google APIs ולשירותים של Google דרך הרשת הפנימית של Google באמצעות גישה פרטית ל-Google, אם מתקיימים כל התנאים הבאים:

  • ממשק המכונה הווירטואלית מחובר לרשת משנה שבה מופעלת גישה פרטית ל-Google.

  • לממשק של המכונה הווירטואלית לא הוקצתה כתובת IP חיצונית.

  • כתובת ה-IP של המקור של חבילות הנתונים שנשלחות מהמכונה הווירטואלית תואמת לאחת מכתובות ה-IP הבאות.

    • כתובת ה-IPv4 הפנימית הראשית של ממשק המכונה הווירטואלית
    • כתובת IPv4 פנימית מטווח כתובות IP חלופיות

למכונה וירטואלית עם כתובת IPv4 חיצונית שמוקצית לממשק הרשת שלה לא נדרשת גישה פרטית ל-Google כדי להתחבר לממשקי ה-API ולשירותים של Google. עם זאת, רשת ה-VPC צריכה לעמוד בדרישות לגישה לממשקי API ולשירותים של Google.

הרשאות IAM

בעלי פרויקטים, עורכים וחשבונות משתמשים ב-IAM עם התפקיד אדמין רשת יכולים ליצור או לעדכן רשתות משנה ולהקצות כתובות IP.

למידע נוסף על תפקידים, קראו את המאמר תפקידי IAM.

רישום ביומן

‫Cloud Logging מתעד את כל בקשות ה-API שנשלחות ממכונות וירטואליות ברשתות משנה שמופעלת בהן גישה פרטית ל-Google. רשומות ביומן מזהות את המקור של בקשת ה-API ככתובת IP פנימית של המכונה שמבצעת את הקריאה.

אתם יכולים להגדיר שדוחות שימוש יומיים ודוחות סיכום חודשיים יישלחו לקטגוריה ב-Cloud Storage. לפרטים נוספים, קראו את המאמר צפייה בדוחות שימוש.

סיכום ההגדרות

בטבלה הבאה מפורטות הדרכים השונות להגדרת גישה פרטית ל-Google ב-Cloud Firestore. למידע נוסף, קראו את המאמר הגדרת הרשת.

אפשרות דומיין טווחי IP הגדרת DNS הגדרת הניתוב הגדרת חומת האש

דומיין ברירת המחדל (firestore.goog)

דומייני ברירת המחדל משמשים כשלא מגדירים רשומות DNS ל-restricted.firestore.goog.

136.124.0.0/23 הגישה לשירות Cloud Firestore מתבצעת דרך כתובות ה-IP הציבוריות שלו, ולכן לא נדרשת הגדרת DNS מיוחדת.

מוודאים שרשת ה-VPC יכולה לנתב תנועה לטווחי כתובות ה-IP שמשמשים את השירות Cloud Firestore.

  • הגדרה בסיסית: מוודאים שיש לכם נתיבי ברירת מחדל עם הדילוג הבא default-internet-gateway וטווח יעד של 0.0.0.0/0. אם הם חסרים, צריך ליצור אותם.
  • הגדרה בהתאמה אישית: יוצרים נתיבים לטווח כתובות ה-IP של 136.124.0.0/23.

מוודאים שהכללים של חומת האש מאפשרים תעבורת נתונים יוצאת לטווח כתובות ה-IP של 136.124.0.0/23.

כלל ברירת המחדל של חומת האש שמאפשר תעבורה יוצאת מאפשר את התעבורה הזו, אם אין כלל בעדיפות גבוהה יותר שחוסם אותה.

restricted.firestore.goog

משתמשים ב-restricted.firestore.goog כדי לגשת לשירות Cloud Firestore באמצעות קבוצה של כתובות IP שניתן לנתב רק מתוך Google Cloud. אפשר להשתמש בהם בתרחישים של VPC Service Controls.

199.36.153.2/31 מגדירים רשומות DNS כדי לשלוח בקשות לטווח כתובות ה-IP של 199.36.153.2/31. בודקים שברשת ה-VPC יש נתיבים לטווח כתובות ה-IP של 199.36.153.2/31. מוודאים שהכללים של חומת האש מאפשרים תעבורת נתונים יוצאת לטווח כתובות ה-IP של 199.36.153.2/31.

הגדרת רשת

בקטע הזה מוסבר איך להגדיר את הרשת כדי לגשת ל-Cloud Firestore באמצעות גישה פרטית ל-Google.

הגדרת DNS

בניגוד לממשקי Google API אחרים, ב-Cloud Firestore API נעשה שימוש בשמות דומיינים ובכתובות IP שונים בשביל גישה פרטית ל-Google:

  • ‫restricted.firestore.goog מאפשר גישה ל-API של Cloud Firestore.

    • כתובות IP:‏ 199.36.153.2 ו-199.36.153.3.

    • מכיוון ש-Cloud Firestore תואם ל-VPC Service Controls, אתם יכולים להשתמש בדומיין הזה בתרחישים של VPC Service Controls.

כדי ליצור תחום DNS ורשומות ל-Cloud Firestore:

  1. יוצרים תחום DNS פרטי בשביל firestore.goog.

    לשם כך, כדאי ליצור אזור פרטי ב-Cloud DNS.

  2. באזור firestore.goog, יוצרים את הרשומות הבאות:

    1. רשומת A של restricted.firestore.goog שמצביעה על כתובות ה-IP הבאות: 199.36.153.2 ו-199.36.153.3.

    2. רשומת CNAME של *.firestore.goog שמפנה אל restricted.firestore.goog.

    כדי ליצור את הרשומות האלה ב-Cloud DNS, קראו את המאמר הוספת רשומה.

הגדרת הניתוב

ברשת ה-VPC צריכים להיות נתיבים מתאימים שהקפיצות הבאות שלהם הן שער ברירת המחדל לאינטרנט. ‫Google Cloud לא תומך בניתוב תנועה לממשקי API ולשירותים של Google דרך מכונות VM אחרות או קפיצות הבאות בהתאמה אישית. למרות שהשם הוא שער ברירת המחדל לאינטרנט, חבילות שנשלחות ממכונות וירטואליות ברשת ה-VPC לממשקי API ולשירותים של Google נשארות ברשת של Google.

  • אם בוחרים באפשרות של דומיין ברירת המחדל, המכונות הווירטואליות מתחברות לשירות Cloud Firestore באמצעות טווח כתובות ה-IP הציבוריות הבא: 136.124.0.0/23 . אפשר לנתב את כתובות ה-IP האלה באופן ציבורי, אבל הנתיב ממכונה וירטואלית ברשת VPC לכתובות האלה נשאר בתוך הרשת של Google.

  • ‫Google לא מפרסמת באינטרנט מסלולים לאף אחת מכתובות ה-IP שמשמשות את הדומיין restricted.firestore.goog. לכן, רק מכונות וירטואליות ברשת VPC או מערכות מקומיות שמחוברות לרשת VPC יכולות לגשת לדומיין הזה.

אם רשת ה-VPC מכילה מסלול שמוגדר כברירת מחדל, שהדילוג הבא שלו הוא שער ברירת המחדל לאינטרנט, אתם יכולים להשתמש במסלול הזה כדי לגשת לשירות Cloud Firestore בלי ליצור מסלולים בהתאמה אישית. פרטים נוספים זמינים במאמר ניתוב באמצעות נתיב ברירת מחדל.

אם החלפתם מסלול ברירת מחדל (יעד 0.0.0.0/0 או ::0/0) במסלול בהתאמה אישית שהצעד הבא שלו הוא לא שער ברירת המחדל לאינטרנט, תוכלו לעמוד בדרישות הניתוב של שירות Cloud Firestore באמצעות ניתוב בהתאמה אישית.

ניתוב עם מסלול ברירת מחדל

כל רשת VPC מכילה נתיב ברירת מחדל של IPv4‏ (0.0.0.0/0) כשהיא נוצרת.

הנתיב שמוגדר כברירת מחדל מספק נתיב לכתובות ה-IP של היעדים הבאים:

  • דומיין ברירת המחדל (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

במאמר הגדרת גישה פרטית ל-Google מוסבר איך בודקים את ההגדרה של נתיב ברירת המחדל ברשת נתונה באמצעות מסוף Google Cloud ו-Google Cloud CLI.

ניתוב עם מסלולים בהתאמה אישית

כחלופה למסלול ברירת המחדל, אתם יכולים להשתמש במסלולים סטטיים בהתאמה אישית, שלכל אחד מהם יש יעד ספציפי יותר, וכל אחד מהם משתמש בצעד הבא של שער ברירת המחדל לאינטרנט. כתובות ה-IP של היעד לנתיבים תלויות בדומיין שבחרתם:

  • דומיין ברירת המחדל (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

במאמר הגדרת גישה פרטית ל-Google מוסבר איך בודקים את ההגדרה של נתיבים בהתאמה אישית ברשת נתונה באמצעות מסוף Google Cloud ו-Google Cloud CLI.

הגדרת חומת האש

הגדרת חומת האש של רשת ה-VPC צריכה לאפשר גישה ממכונות וירטואליות לכתובות ה-IP שמשמשות את שירות Cloud Firestore. הכלל המשתמע allow egress עומד בדרישה הזו.

בחלק מההגדרות של חומת האש, צריך ליצור כללים ספציפיים לאישור תעבורת נתונים יוצאת. לדוגמה, נניח שיצרתם כלל דחייה של תעבורת נתונים יוצאת שחוסם את התנועה לכל היעדים (0.0.0.0 ל-IPv4). במקרה כזה, צריך ליצור כלל אחד של חומת אש שמאפשר תעבורת נתונים יוצאת, שהעדיפות שלו גבוהה יותר מהכלל שמונע תעבורת נתונים יוצאת לכל טווח של כתובות IP שמשמש את הדומיין שבחרתם:

  • דומיין ברירת המחדל (firestore.goog: 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

איך יוצרים כללים לחומת האש? כשמגדירים את היעד של כל כלל לאישור תעבורת נתונים יוצאת, אפשר להגביל את המכונות הווירטואליות שהכללים של חומת האש חלים עליהן.

הגדרת גישה פרטית ל-Google

אפשר להפעיל את "גישה פרטית ל-Google" אחרי שעומדים בדרישות הרשת ברשת ה-VPC. כדי להפעיל את השירות באמצעות מסוף Google Cloud ו-Google Cloud CLI, פועלים לפי ההוראות במאמר הפעלת גישה פרטית ל-Google.

המאמרים הבאים