กำหนดค่าการเข้าถึง Google แบบส่วนตัวใน Firestore ที่เข้ากันได้กับ MongoDB

หน้านี้จะอธิบายวิธีเปิดใช้และกำหนดค่าการเข้าถึง Google แบบส่วนตัวใน Cloud Firestore

เกี่ยวกับการเข้าถึง Google แบบส่วนตัวใน Cloud Firestore

โดยค่าเริ่มต้น เมื่อ Compute EngineVM ไม่มีที่อยู่ IP ภายนอก ที่กำหนดให้กับอินเทอร์เฟซเครือข่าย VM จะส่งแพ็กเก็ตไปยังปลายทางที่มี IP ภายในอื่นๆ ได้เท่านั้น คุณอนุญาตให้ VM เหล่านี้เชื่อมต่อกับCloud Firestoreบริการได้โดยการเปิดใช้การเข้าถึง Google แบบส่วนตัวในเครือข่ายย่อย ที่ใช้โดยอินเทอร์เฟซเครือข่ายของ VM

บริการและโปรโตคอลที่เกี่ยวข้อง

  • วิธีการในคู่มือนี้ใช้ได้กับ Cloud Firestore เท่านั้น

  • โดเมนเริ่มต้นและโดเมน VIP ที่ใช้โดย Cloud Firestore และช่วง IP ของโดเมนเหล่านั้นรองรับเฉพาะโปรโตคอล MongoDB ในพอร์ต 443 ไม่รองรับโปรโตคอลอื่นๆ ทั้งหมด

ข้อกำหนดเกี่ยวกับเครือข่าย

อินเทอร์เฟซ VM สามารถเข้าถึง Google API และบริการผ่านเครือข่ายภายในของ Google ได้โดยใช้การเข้าถึง Google แบบส่วนตัว หากเป็นไปตามเงื่อนไขต่อไปนี้ทั้งหมด

  • อินเทอร์เฟซ VM เชื่อมต่อกับซับเน็ตที่เปิดใช้การเข้าถึง Google แบบส่วนตัว

  • อินเทอร์เฟซ VM ไม่ได้กำหนดที่อยู่ IP ภายนอก

  • ที่อยู่ IP ต้นทางของแพ็กเก็ตที่ส่งจาก VM ตรงกับที่อยู่ IP อย่างใดอย่างหนึ่งต่อไปนี้

    • ที่อยู่ IPv4 ภายในหลักของอินเทอร์เฟซ VM
    • ที่อยู่ IPv4 ภายในจากช่วง IP แบบแทน

VM ที่มี ที่อยู่ IPv4 ภายนอกที่กำหนดให้กับอินเทอร์เฟซเครือข่าย ไม่จำเป็นต้องมี Private Google Access เพื่อเชื่อมต่อกับ Google API และบริการต่างๆ อย่างไรก็ตาม เครือข่าย VPC ต้องเป็นไปตามข้อกำหนดในการเข้าถึง Google API และบริการ

สิทธิ์ IAM

เจ้าของโปรเจ็กต์ เอดิเตอร์ และผู้ใช้ IAM ที่มีบทบาท ผู้ดูแลระบบเครือข่าย สามารถสร้างหรืออัปเดตเครือข่ายย่อยและกำหนดที่อยู่ IP ได้

ดูข้อมูลเพิ่มเติมเกี่ยวกับบทบาทได้ในเอกสารประกอบเกี่ยวกับบทบาท IAM

การบันทึก

Cloud Logging จะบันทึกคำขอ API ทั้งหมดที่ส่งจากอินสแตนซ์ VM ในซับเน็ต ที่เปิดใช้การเข้าถึง Google แบบส่วนตัว รายการบันทึกจะระบุแหล่งที่มาของคำขอ API เป็นที่อยู่ IP ภายในของอินสแตนซ์ที่เรียก

คุณสามารถกำหนดค่ารายงานการใช้งานรายวันและรายงานสรุปรายเดือนให้ส่งไปยังCloud Storageที่เก็บข้อมูลได้ ดูรายละเอียดได้ที่หน้าการดูรายงานการใช้งาน

สรุปการกำหนดค่า

ตารางต่อไปนี้สรุปวิธีต่างๆ ที่คุณใช้กำหนดค่า การเข้าถึง Google แบบส่วนตัวใน Cloud Firestore ได้ ดูวิธีการ โดยละเอียดเพิ่มเติมได้ที่การกำหนดค่าเครือข่าย

ตัวเลือกโดเมน ช่วง IP การกำหนดค่า DNS การกำหนดค่าการกำหนดเส้นทาง การกำหนดค่าไฟร์วอลล์

โดเมนเริ่มต้น (firestore.goog)

ระบบจะใช้โดเมนเริ่มต้นเมื่อคุณไม่ได้กำหนดค่าระเบียน DNS สำหรับ restricted.firestore.goog

136.124.0.0/23 คุณเข้าถึงCloud Firestoreบริการผ่านที่อยู่ IP สาธารณะ จึงไม่จำเป็นต้องมีการกำหนดค่า DNS พิเศษ

ตรวจสอบว่าเครือข่าย VPC สามารถกำหนดเส้นทางการรับส่งข้อมูลไปยัง ช่วงที่อยู่ IP ที่ใช้โดยบริการ Cloud Firestore ได้

ตรวจสอบว่ากฎไฟร์วอลล์อนุญาตให้มีการส่งออกไปยังช่วงที่อยู่ IP ของ 136.124.0.0/23

กฎไฟร์วอลล์ขาออกที่อนุญาตเริ่มต้นจะอนุญาตการรับส่งข้อมูลนี้ หากไม่มีกฎที่มีลำดับความสำคัญสูงกว่าที่บล็อกการรับส่งข้อมูล

restricted.firestore.goog

ใช้ restricted.firestore.goog เพื่อเข้าถึงบริการ Cloud Firestore โดยใช้ชุดที่อยู่ IP ที่กำหนดเส้นทางได้จากภายใน Google Cloud เท่านั้น ใช้ได้ในสถานการณ์การควบคุมบริการ VPC

199.36.153.2/31 กำหนดค่าระเบียน DNS เพื่อส่งคำขอ ไปยังช่วงที่อยู่ IP ของ 199.36.153.2/31 ตรวจสอบว่าเครือข่าย VPC มี เส้นทางไปยัง199.36.153.2/31 ช่วงที่อยู่ IP ตรวจสอบว่ากฎไฟร์วอลล์อนุญาตให้มีการส่งออกไปยังช่วงที่อยู่ IP ของ 199.36.153.2/31

การกำหนดค่าเครือข่าย

ส่วนนี้อธิบายวิธีกำหนดค่าเครือข่ายเพื่อเข้าถึง Cloud Firestore โดยใช้การเข้าถึง Google แบบส่วนตัว

การกำหนดค่า DNS

Cloud Firestore API ใช้ชื่อโดเมนและที่อยู่ IP ที่แตกต่างกันสำหรับการเข้าถึง Google แบบส่วนตัว ซึ่งแตกต่างจาก Google API อื่นๆ ดังนี้

  • restricted.firestore.goog จะเปิดใช้การเข้าถึง API ไปยัง Cloud Firestore API

    • ที่อยู่ IP: 199.36.153.2 และ 199.36.153.3

    • เนื่องจาก Cloud Firestore เป็นไปตามการควบคุมบริการ VPC คุณจึงใช้โดเมนนี้ในสถานการณ์การควบคุมบริการ VPC ได้

วิธีสร้างโซน DNS และระเบียนสำหรับ Cloud Firestore

  1. สร้างโซน DNS ส่วนตัวสำหรับ firestore.goog

    โปรดพิจารณาสร้างโซนส่วนตัวของ Cloud DNS เพื่อวัตถุประสงค์นี้

  2. สร้างระเบียนต่อไปนี้ในfirestore.googโซน

    1. ระเบียน A สำหรับ restricted.firestore.goog ที่ชี้ไปยังที่อยู่ IP ต่อไปนี้ 199.36.153.2 และ 199.36.153.3

    2. ระเบียน CNAME สำหรับ *.firestore.goog ที่ชี้ไปยัง restricted.firestore.goog

    หากต้องการสร้างระเบียนเหล่านี้ใน Cloud DNS โปรดดูเพิ่มระเบียน

การกำหนดค่าการกำหนดเส้นทาง

เครือข่าย VPC ต้องมีเส้นทางที่เหมาะสมซึ่งมี Next Hop เป็นเกตเวย์อินเทอร์เน็ตเริ่มต้น Google Cloud ไม่รองรับการกำหนดเส้นทาง การรับส่งข้อมูลไปยัง Google APIs และบริการผ่านอินสแตนซ์ VM อื่นๆ หรือ Next Hop ที่กำหนดเอง แม้จะเรียกว่าเกตเวย์อินเทอร์เน็ตเริ่มต้น แต่แพ็กเก็ตที่ส่งจาก VM ในเครือข่าย VPC ไปยัง Google APIs และบริการของ Google จะยังคงอยู่ภายในเครือข่ายของ Google

  • หากเลือกตัวเลือกโดเมนเริ่มต้น อินสแตนซ์ VM จะเชื่อมต่อกับบริการ Cloud Firestoreโดยใช้ช่วงที่อยู่ IP สาธารณะต่อไปนี้ 136.124.0.0/23 ที่อยู่ IP เหล่านี้สามารถกำหนดเส้นทางแบบสาธารณะได้ แต่เส้นทางจาก VM ในเครือข่าย VPC ไปยังที่อยู่เหล่านั้นจะยังคงอยู่ภายในเครือข่ายของ Google

  • Google ไม่ได้เผยแพร่เส้นทางบนอินเทอร์เน็ตไปยังที่อยู่ IP ใดๆ ที่ใช้โดยโดเมน restricted.firestore.goog ดังนั้น โดเมนนี้จึงเข้าถึงได้โดย VM ในเครือข่าย VPC หรือระบบในองค์กรที่เชื่อมต่อกับเครือข่าย VPC เท่านั้น

หากเครือข่าย VPC มี เส้นทางเริ่มต้น ที่มี Next Hop เป็นเกตเวย์อินเทอร์เน็ตเริ่มต้น คุณจะใช้เส้นทางดังกล่าวเพื่อ เข้าถึงCloud Firestoreบริการได้โดยไม่ต้องสร้างเส้นทางที่กำหนดเอง ดูรายละเอียดได้ที่การกำหนดเส้นทางด้วยเส้นทางเริ่มต้น

หากคุณแทนที่เส้นทางเริ่มต้น (ปลายทาง 0.0.0.0/0 หรือ ::0/0) ด้วย เส้นทางที่กำหนดเองซึ่งการ Hop ถัดไปไม่ใช่เกตเวย์อินเทอร์เน็ตเริ่มต้น คุณจะ ทำตามข้อกำหนดการกำหนดเส้นทางสำหรับบริการ Cloud Firestore ได้ โดยใช้การกำหนดเส้นทางที่กำหนดเองแทน

การกำหนดเส้นทางด้วยเส้นทางเริ่มต้น

เครือข่าย VPC แต่ละเครือข่ายจะมีเส้นทางเริ่มต้น IPv4 (0.0.0.0/0) เมื่อสร้าง

เส้นทางเริ่มต้นจะระบุเส้นทางไปยังที่อยู่ IP สำหรับปลายทางต่อไปนี้

  • โดเมนเริ่มต้น (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

สำหรับคอนโซล Google Cloud และGoogle Cloud CLI วิธีตรวจสอบการกำหนดค่าของเส้นทางเริ่มต้นในเครือข่ายที่กำหนด โปรดดูกำหนดค่าการเข้าถึง Google แบบส่วนตัว

การกำหนดเส้นทางด้วยเส้นทางที่กำหนดเอง

คุณสามารถใช้เส้นทางแบบคงที่ที่กำหนดเองแทนเส้นทางเริ่มต้น โดยแต่ละเส้นทาง จะมีปลายทางที่เฉพาะเจาะจงมากขึ้น และแต่ละเส้นทางจะใช้เกตเวย์อินเทอร์เน็ตเริ่มต้น เป็น Hop ถัดไป ที่อยู่ IP ปลายทางสำหรับเส้นทางจะขึ้นอยู่กับโดเมนที่คุณเลือก ดังนี้

  • โดเมนเริ่มต้น (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

สำหรับคอนโซล Google Cloud และGoogle Cloud CLIวิธีการตรวจสอบการกำหนดค่าของเส้นทางที่กำหนดเองในเครือข่ายที่ต้องการ โปรดดูกำหนดค่าการเข้าถึง Google แบบส่วนตัว

การกำหนดค่าไฟร์วอลล์

การกำหนดค่าไฟร์วอลล์ของเครือข่าย VPC ต้องอนุญาต การเข้าถึงจาก VM ไปยังที่อยู่ IP ที่ใช้โดยCloud Firestore บริการ กฎ allow egress โดยนัยเป็นไปตามข้อกำหนดนี้

ในการกำหนดค่าไฟร์วอลล์บางอย่าง คุณต้องสร้างกฎการอนุญาตขาออกที่เฉพาะเจาะจง เช่น สมมติว่าคุณได้สร้างกฎการปฏิเสธขาออกที่บล็อกการเข้าชมไปยัง ปลายทางทั้งหมด (0.0.0.0 สำหรับ IPv4) ในกรณีนี้ คุณต้องสร้างกฎไฟร์วอลล์ที่อนุญาตการออก 1 กฎซึ่งมีลำดับความสำคัญสูงกว่ากฎปฏิเสธการออกสำหรับช่วงที่อยู่ IP แต่ละช่วงที่โดเมนที่คุณเลือกใช้

  • โดเมนเริ่มต้น (firestore.goog: 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

หากต้องการสร้างกฎไฟร์วอลล์ โปรดดูการสร้างกฎไฟร์วอลล์ คุณสามารถจำกัด VM ที่กฎไฟร์วอลล์มีผลเมื่อกำหนดเป้าหมายของ กฎการอนุญาตขาออกแต่ละรายการ

การกำหนดค่าการเข้าถึง Google แบบส่วนตัว

คุณเปิดใช้การเข้าถึง Google แบบส่วนตัวได้หลังจากเป็นไปตามข้อกำหนดของเครือข่ายในเครือข่าย VPC สําหรับคอนโซล Google Cloud และGoogle Cloud CLI ให้ทําตาม ขั้นตอนที่ระบุไว้ใน เปิดใช้การเข้าถึง Google แบบส่วนตัว

ขั้นตอนถัดไป