MongoDB के साथ काम करने वाले Firestore में Private Google Access को कॉन्फ़िगर करना

इस पेज पर, Cloud Firestore में निजी Google ऐक्सेस को चालू और कॉन्फ़िगर करने का तरीका बताया गया है.

Cloud Firestore में निजी Google ऐक्सेस के बारे में जानकारी

डिफ़ॉल्ट रूप से, जब किसी Compute Engine वीएम के नेटवर्क इंटरफ़ेस को कोई बाहरी आईपी पता असाइन नहीं किया जाता है, तो वह सिर्फ़ अन्य इंटरनल आईपी पते वाले डेस्टिनेशन पर पैकेट भेज सकता है. इन वीएम को Cloud Firestore सेवा से कनेक्ट करने की अनुमति दी जा सकती है. इसके लिए, वीएम के नेटवर्क इंटरफ़ेस से इस्तेमाल किए जाने वाले सबनेट पर, निजी Google ऐक्सेस को चालू करें.

लागू होने वाली सेवाएं और प्रोटोकॉल

  • इस गाइड में दिए गए निर्देश सिर्फ़ Cloud Firestore पर लागू होते हैं.

  • Cloud Firestore के इस्तेमाल किए जाने वाले डिफ़ॉल्ट और वीआईपी डोमेन और उनके आईपी रेंज, पोर्ट 443 पर सिर्फ़ MongoDB प्रोटोकॉल के साथ काम करते हैं. अन्य प्रोटोकॉल इस्तेमाल नहीं किए जा सकते.

नेटवर्क की ज़रूरी शर्तें

अगर ये सभी शर्तें पूरी होती हैं, तो वीएम इंटरफ़ेस, निजी Google ऐक्सेस का इस्तेमाल करके, Google के इंटरनल नेटवर्क के ज़रिए Google API और सेवाओं को ऐक्सेस कर सकता है:

  • वीएम इंटरफ़ेस, ऐसे सबनेट से कनेक्ट हो जिसमें निजी Google ऐक्सेस की सुविधा चालू हो.

  • वीएम इंटरफ़ेस को कोई बाहरी आईपी पता असाइन नहीं किया गया है.

  • वीएम से भेजे गए पैकेट का सोर्स आईपी पता, इनमें से किसी एक आईपी पते से मेल खाता हो.

    • वीएम इंटरफ़ेस का मुख्य इंटरनल IPv4 पता
    • उपनाम आईपी रेंज से लिया गया इंटरनल IPv4 पता

जिस वीएम के नेटवर्क इंटरफ़ेस को बाहरी IPv4 पता असाइन किया गया है उसे Google API और सेवाओं से कनेक्ट करने के लिए, निजी Google ऐक्सेस की ज़रूरत नहीं होती. हालांकि, वीपीसी नेटवर्क को Google के एपीआई और सेवाओं को ऐक्सेस करने से जुड़ी ज़रूरी शर्तें पूरी करनी होंगी.

IAM से जुड़ी अनुमतियां

प्रोजेक्ट के मालिक, एडिटर, और नेटवर्क एडमिन की भूमिका वाले आईएएम प्रिंसिपल, सबनेट बना सकते हैं या उन्हें अपडेट कर सकते हैं. साथ ही, आईपी पते असाइन कर सकते हैं.

भूमिकाओं के बारे में ज़्यादा जानने के लिए, आईएएम भूमिकाओं का दस्तावेज़ पढ़ें.

लॉगिंग

Cloud Logging, उन सबनेट में मौजूद वीएम इंस्टेंस से किए गए सभी एपीआई अनुरोधों को कैप्चर करता है जिनमें निजी Google ऐक्सेस की सुविधा चालू है. लॉग एंट्री से, एपीआई अनुरोध के सोर्स की पहचान, कॉल करने वाले इंस्टेंस के इंटरनल आईपी पते के तौर पर की जाती है.

हर दिन के इस्तेमाल और हर महीने के रोलअप की रिपोर्ट को Cloud Storage बकेट में डिलीवर करने के लिए कॉन्फ़िगर किया जा सकता है. ज़्यादा जानकारी के लिए, इस्तेमाल की रिपोर्ट देखना पेज पर जाएं.

कॉन्फ़िगरेशन की खास जानकारी

नीचे दी गई टेबल में, Cloud Firestore में निजी Google ऐक्सेस को कॉन्फ़िगर करने के अलग-अलग तरीकों के बारे में खास जानकारी दी गई है. ज़्यादा जानकारी के लिए, नेटवर्क कॉन्फ़िगरेशन देखें.

डोमेन का विकल्प आईपी रेंज डीएनएस कॉन्फ़िगरेशन रूटिंग कॉन्फ़िगरेशन फ़ायरवॉल कॉन्फ़िगरेशन

डिफ़ॉल्ट डोमेन (firestore.goog)

डिफ़ॉल्ट डोमेन का इस्तेमाल तब किया जाता है, जब restricted.firestore.goog के लिए डीएनएस रिकॉर्ड कॉन्फ़िगर नहीं किए जाते.

136.124.0.0/23 Cloud Firestore सेवा को इसके सार्वजनिक आईपी पतों से ऐक्सेस किया जाता है. इसलिए, किसी खास डीएनएस कॉन्फ़िगरेशन की ज़रूरत नहीं होती.

देखें कि आपका वीपीसी नेटवर्क, Cloud Firestore सेवा के इस्तेमाल किए जाने वाले आईपी पतों की रेंज पर ट्रैफ़िक को रूट कर सकता है या नहीं.

देखें कि आपके फ़ायरवॉल के नियम, 136.124.0.0/23 आईपी पते की रेंज में इग्रेस डेटा ट्रैफ़िक की अनुमति देते हैं या नहीं.

डिफ़ॉल्ट रूप से, इग्रेस डेटा ट्रैफ़िक को अनुमति देने वाला फ़ायरवॉल नियम इस ट्रैफ़िक को अनुमति देता है. हालांकि, ऐसा तब होता है, जब इसे ब्लॉक करने वाला कोई ज़्यादा प्राथमिकता वाला नियम न हो.

restricted.firestore.goog

restricted.firestore.goog का इस्तेमाल करके, Cloud Firestore सेवा को ऐक्सेस करें. इसके लिए, आईपी पतों के ऐसे सेट का इस्तेमाल करें जिन्हें सिर्फ़ Google Cloud से रूट किया जा सकता है. इसका इस्तेमाल, वीपीसी सर्विस कंट्रोल के मामलों में किया जा सकता है.

199.36.153.2/31 199.36.153.2/31 आईपी पते की रेंज में अनुरोध भेजने के लिए, डीएनएस रिकॉर्ड कॉन्फ़िगर करें. देखें कि आपके वीपीसी नेटवर्क में, 199.36.153.2/31 आईपी पते की रेंज के लिए रूट मौजूद हैं या नहीं. देखें कि आपके फ़ायरवॉल के नियम, 199.36.153.2/31 आईपी पते की रेंज में इग्रेस डेटा ट्रैफ़िक की अनुमति देते हैं या नहीं.

नेटवर्क कॉन्फ़िगरेशन

इस सेक्शन में, Cloud Firestore को ऐक्सेस करने के लिए, नेटवर्क को कॉन्फ़िगर करने का तरीका बताया गया है. इसके लिए, निजी Google ऐक्सेस का इस्तेमाल किया जाता है.

डीएनएस कॉन्फ़िगरेशन

Google के अन्य एपीआई के मुकाबले, Cloud Firestore एपीआई, Private Google Access के लिए अलग-अलग डोमेन नेम और आईपी पतों का इस्तेमाल करता है:

  • restricted.firestore.goog, Cloud Firestore एपीआई के लिए एपीआई ऐक्सेस चालू करता है.

    • आईपी पते: 199.36.153.2 और 199.36.153.3.

    • Cloud Firestore, वीपीसी सर्विस कंट्रोल के मुताबिक है. इसलिए, इस डोमेन का इस्तेमाल वीपीसी सर्विस कंट्रोल के मामलों में किया जा सकता है.

Cloud Firestore के लिए डीएनएस ज़ोन और रिकॉर्ड बनाने के लिए:

  1. firestore.goog के लिए एक निजी डीएनएस ज़ोन बनाएं.

    इसके लिए, Cloud DNS प्राइवेट ज़ोन बनाने के बारे में सोचें.

  2. firestore.goog ज़ोन में, ये रिकॉर्ड बनाएं:

    1. restricted.firestore.goog के लिए एक A रिकॉर्ड, जो इन आईपी पतों पर ले जाता है: 199.36.153.2 और 199.36.153.3.

    2. *.firestore.goog के लिए एक CNAME रिकॉर्ड, जो restricted.firestore.goog पर ले जाता हो.

    Cloud DNS में ये रिकॉर्ड बनाने के लिए, कोई रिकॉर्ड जोड़ें लेख पढ़ें.

रूटिंग कॉन्फ़िगरेशन

आपके वीपीसी नेटवर्क में सही रूट होने चाहिए, जिनके अगले हॉप डिफ़ॉल्ट इंटरनेट गेटवे हों. Google Cloud, अन्य वीएम इंस्टेंस या कस्टम नेक्स्ट हॉप के ज़रिए, Google API और सेवाओं पर ट्रैफ़िक को रूट करने की सुविधा नहीं देता. डिफ़ॉल्ट इंटरनेट गेटवे कहे जाने के बावजूद, आपके वीपीसी नेटवर्क में मौजूद वीएम से Google के एपीआई और सेवाओं को भेजे गए पैकेट, Google के नेटवर्क में ही रहते हैं.

  • डिफ़ॉल्ट डोमेन का विकल्प चुनने पर, आपके वीएम इंस्टेंस इस सार्वजनिक आईपी पता रेंज का इस्तेमाल करके, Cloud Firestore सेवा से कनेक्ट होते हैं: 136.124.0.0/23 . ये आईपी पते सार्वजनिक तौर पर रूट किए जा सकते हैं. हालांकि, वीपीसी नेटवर्क में मौजूद किसी वीएम से इन पतों तक का पाथ, Google के नेटवर्क में ही रहता है.

  • Google, restricted.firestore.goog डोमेन के इस्तेमाल किए गए किसी भी आईपी पते के लिए, इंटरनेट पर रूट पब्लिश नहीं करता. इस वजह से, इस डोमेन को सिर्फ़ VPC नेटवर्क में मौजूद वीएम या VPC नेटवर्क से कनेक्ट किए गए ऑन-प्राइमिस सिस्टम से ऐक्सेस किया जा सकता है.

अगर आपके वीपीसी नेटवर्क में कोई ऐसा डिफ़ॉल्ट रूट है जिसका अगला हॉप डिफ़ॉल्ट इंटरनेट गेटवे है, तो उस रूट का इस्तेमाल करके Cloud Firestore सेवा को ऐक्सेस किया जा सकता है. इसके लिए, आपको कस्टम रूट बनाने की ज़रूरत नहीं है. ज़्यादा जानकारी के लिए, डिफ़ॉल्ट रूट के साथ रूटिंग देखें.

अगर आपने डिफ़ॉल्ट रूट (डेस्टिनेशन 0.0.0.0/0 या ::0/0) को किसी ऐसे कस्टम रूट से बदला है जिसका अगला हॉप डिफ़ॉल्ट इंटरनेट गेटवे नहीं है, तो Cloud Firestore सेवा के लिए रूटिंग की ज़रूरी शर्तें पूरी की जा सकती हैं. इसके लिए, कस्टम रूटिंग का इस्तेमाल करें.

डिफ़ॉल्ट रूट के साथ रूटिंग

हर वीपीसी नेटवर्क में, IPv4 डिफ़ॉल्ट रूट (0.0.0.0/0) होता है. यह रूट, नेटवर्क बनाते समय ही बन जाता है.

डिफ़ॉल्ट रूट, इन डेस्टिनेशन के आईपी पतों का पाथ उपलब्ध कराता है:

  • डिफ़ॉल्ट डोमेन (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Google Cloud console और Google Cloud CLI के लिए, किसी नेटवर्क में डिफ़ॉल्ट रूट के कॉन्फ़िगरेशन की जांच करने के तरीके के बारे में जानने के लिए, निजी Google ऐक्सेस को कॉन्फ़िगर करना लेख पढ़ें.

कस्टम रूट की मदद से रूटिंग

डिफ़ॉल्ट रूट के विकल्प के तौर पर, कस्टम स्टैटिक रूट का इस्तेमाल किया जा सकता है. हर रूट का एक खास डेस्टिनेशन होता है और हर रूट, डिफ़ॉल्ट इंटरनेट गेटवे के अगले हॉप का इस्तेमाल करता है. रास्तों के लिए डेस्टिनेशन आईपी पते, आपके चुने गए डोमेन पर निर्भर करते हैं:

  • डिफ़ॉल्ट डोमेन (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Google Cloud Console और Google Cloud CLI के लिए, किसी नेटवर्क में कस्टम रूट के कॉन्फ़िगरेशन की जांच करने के तरीके के बारे में जानने के लिए, निजी Google ऐक्सेस को कॉन्फ़िगर करना लेख पढ़ें.

फ़ायरवॉल कॉन्फ़िगरेशन

आपके वीपीसी नेटवर्क के फ़ायरवॉल कॉन्फ़िगरेशन में, वीएम से Cloud Firestore सेवा के इस्तेमाल किए जाने वाले आईपी पतों को ऐक्सेस करने की अनुमति होनी चाहिए. allow egress का नियम इस ज़रूरी शर्त को पूरा करता है.

कुछ फ़ायरवॉल कॉन्फ़िगरेशन में, आपको इग्रेस डेटा ट्रैफ़िक के लिए खास नियम बनाने होंगे. उदाहरण के लिए, मान लें कि आपने इग्रेस डेटा ट्रैफ़िक को अस्वीकार करने का ऐसा नियम बनाया है जो सभी डेस्टिनेशन (IPv4 के लिए 0.0.0.0) पर जाने वाले ट्रैफ़िक को ब्लॉक करता है. ऐसे में, आपको इग्रेस डेटा ट्रैफ़िक को अनुमति देने वाला एक ऐसा फ़ायरवॉल नियम बनाना होगा जिसकी प्राथमिकता, इग्रेस डेटा ट्रैफ़िक को अस्वीकार करने वाले नियम से ज़्यादा हो. यह नियम, आपके चुने गए डोमेन के इस्तेमाल किए जाने वाले हर आईपी पते की रेंज के लिए होना चाहिए:

  • डिफ़ॉल्ट डोमेन (firestore.goog: 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

फ़ायरवॉल के नियम बनाने के लिए, फ़ायरवॉल के नियम बनाना देखें. इग्रेस डेटा ट्रैफ़िक को अनुमति देने वाले हर नियम के टारगेट को तय करते समय, उन वीएम को सीमित किया जा सकता है जिन पर फ़ायरवॉल के नियम लागू होते हैं.

निजी Google ऐक्सेस का कॉन्फ़िगरेशन

अपने वीपीसी नेटवर्क में नेटवर्क से जुड़ी ज़रूरी शर्तें पूरी करने के बाद, निजी Google ऐक्सेस को चालू किया जा सकता है. Google Cloud console और Google Cloud CLI के निर्देशों के लिए, निजी Google ऐक्सेस चालू करें में बताया गया तरीका अपनाएं.

आगे क्या करना है