MongoDB uyumlu Firestore'da Özel Google Erişimi'ni yapılandırma

Bu sayfada, Cloud Firestore içinde Özel Google Erişimi'nin nasıl etkinleştirileceği ve yapılandırılacağı açıklanmaktadır.

Cloud Firestore içinde Özel Google Erişimi hakkında

Varsayılan olarak, ağ arayüzüne atanmış harici IP adresi bulunmayan bir Compute Engine sanal makinesi, yalnızca diğer dahili IP adresi hedeflerine paket gönderebilir. Sanal makinenin ağ arayüzü tarafından kullanılan alt ağda Özel Google Erişimi'ni etkinleştirerek bu sanal makinelerin Cloud Firestore hizmetine bağlanmasına izin verebilirsiniz.

Geçerli hizmetler ve protokoller

  • Bu kılavuzdaki talimatlar yalnızca Cloud Firestore için geçerlidir.

  • Cloud Firestore tarafından kullanılan varsayılan ve VIP alan adları ile bunların IP aralıkları, yalnızca 443 numaralı bağlantı noktasında MongoDB protokolünü destekler. Diğer protokoller desteklenmez.

Ağ gereksinimleri

Aşağıdaki koşulların tümü karşılanıyorsa sanal makine arayüzü, Özel Google Erişimi'ni kullanarak Google API'lerine ve hizmetlerine dahili Google ağı üzerinden erişebilir:

  • Sanal makine arayüzü, Özel Google Erişimi'nin etkinleştirildiği bir alt ağa bağlıdır.

  • Sanal makine arayüzüne atanmış harici bir IP adresi yoktur.

  • Sanal makineden gönderilen paketlerin kaynak IP adresi, aşağıdaki IP adreslerinden biriyle eşleşir.

    • Sanal makine arayüzünün birincil dahili IPv4 adresi
    • Takma ad IP aralığından dahili bir IPv4 adresi

Ağ arayüzüne atanmış harici IPv4 adresi olan bir sanal makinenin Google API'lerine ve hizmetlerine bağlanmak için Özel Google Erişimi'ne ihtiyacı yoktur. Ancak VPC ağının Google API'lerine ve hizmetlerine erişim koşullarını karşılaması gerekir.

IAM izinleri

Proje sahipleri, düzenleyiciler ve Ağ Yöneticisi rolüne sahip IAM sorumluları, alt ağlar oluşturabilir veya güncelleyebilir ve IP adresleri atayabilir.

Roller hakkında daha fazla bilgi için IAM rolleri dokümanlarını inceleyin.

Günlük Kaydı

Cloud Logging, Özel Google Erişimi'nin etkin olduğu alt ağlardaki sanal makine örneklerinden yapılan tüm API isteklerini yakalar. Günlük girişleri, API isteğinin kaynağını, çağrıyı yapan örneğin dahili IP adresi olarak tanımlar.

Günlük kullanım ve aylık toplayıcı raporlarını bir Cloud Storage paketine gönderilecek şekilde yapılandırabilirsiniz. Ayrıntılar için Kullanım Raporlarını Görüntüleme sayfasına bakın.

Yapılandırma özeti

Aşağıdaki tabloda, Cloud Firestore içinde Özel Google Erişimi'ni yapılandırmanın farklı yolları özetlenmiştir. Daha ayrıntılı talimatlar ve bilgi için Ağ yapılandırması başlıklı makaleyi inceleyin.

Alan seçeneği IP aralıkları DNS yapılandırması Yönlendirme yapılandırması Güvenlik duvarı yapılandırması

Varsayılan alan (firestore.goog)

restricted.firestore.goog için DNS kayıtlarını yapılandırmadığınızda varsayılan alanlar kullanılır.

136.124.0.0/23 Cloud Firestore hizmetine herkese açık IP adresleri üzerinden eriştiğiniz için özel bir DNS yapılandırması gerekmez.

VPC ağınızın, Cloud Firestore hizmeti tarafından kullanılan IP adresi aralıklarına trafik yönlendirebildiğinden emin olun.

  • Temel yapılandırma: Sonraki durak adresi default-internet-gateway ve hedef aralığı 0.0.0.0/0 olan varsayılan rotalarınız olduğunu doğrulayın. Eksikse bu rotaları oluşturun.
  • Özel yapılandırma: 136.124.0.0/23 IP adresi aralığına giden rotalar oluşturun.

Güvenlik duvarı kurallarınızın 136.124.0.0/23 IP adresi aralığına çıkışa izin verdiğinden emin olun.

Varsayılan giden trafiğe izin verme güvenlik duvarı kuralı, trafiği engelleyen daha yüksek öncelikli bir kural yoksa bu trafiğe izin verir.

restricted.firestore.goog

Cloud Firestore hizmetine yalnızca Google Cloud içinden yönlendirilebilen bir IP adresi grubu kullanarak erişmek için restricted.firestore.goog hizmetini kullanın. VPC Hizmet Kontrolleri senaryolarında kullanılabilir.

199.36.153.2/31 İstekleri 199.36.153.2/31 IP adresi aralığına göndermek için DNS kayıtlarını yapılandırın. VPC ağınızın 199.36.153.2/31 IP adresi aralığına giden rotaları olup olmadığını kontrol edin. Güvenlik duvarı kurallarınızın 199.36.153.2/31 IP adresi aralığına çıkışa izin verdiğinden emin olun.

Ağ yapılandırması

Bu bölümde, ağınızı Özel Google Erişimi'ni kullanarak Cloud Firestore hizmetine erişecek şekilde nasıl yapılandıracağınız açıklanmaktadır.

DNS yapılandırması

Diğer Google API'lerinin aksine, Cloud Firestore API'si Özel Google Erişimi için farklı alan adları ve IP adresleri kullanır:

  • restricted.firestore.goog, Cloud Firestore API'sine API erişimini etkinleştirir.

    • IP adresleri: 199.36.153.2 ve 199.36.153.3.

    • Cloud Firestore, VPC Hizmet Kontrolleri ile uyumlu olduğundan bu alanı VPC Hizmet Kontrolleri senaryolarında kullanabilirsiniz.

Cloud Firestore için DNS bölgesi ve kayıtları oluşturmak üzere:

  1. firestore.goog için özel bir DNS bölgesi oluşturun.

    Bu amaçla Cloud DNS özel bölgesi oluşturabilirsiniz.

  2. firestore.goog bölgesinde aşağıdaki kayıtları oluşturun:

    1. restricted.firestore.goog için şu IP adreslerini işaret eden bir A kaydı: 199.36.153.2 ve 199.36.153.3.

    2. restricted.firestore.goog değerini gösteren, *.firestore.goog için bir CNAME kaydı.

    Bu kayıtları Cloud DNS'de oluşturmak için kayıt ekleme başlıklı makaleyi inceleyin.

Yönlendirme yapılandırması

VPC ağınızda, sonraki durak adresleri varsayılan internet ağ geçidi olan uygun rotalar bulunmalıdır. Google Cloud, trafiğin diğer sanal makine örnekleri veya özel sonraki durak adresleri üzerinden Google API'lerine ve hizmetlerine yönlendirilmesini desteklemez. Varsayılan internet ağ geçidi olarak adlandırılmasına rağmen VPC ağınızdaki sanal makinelerden Google API'lerine ve hizmetlerine gönderilen paketler Google'ın ağında kalır.

  • Varsayılan alan seçeneğini belirlerseniz sanal makine örnekleriniz şu genel IP adresi aralığını kullanarak Cloud Firestore hizmetine bağlanır: 136.124.0.0/23 . Bu IP adresleri herkese açık olarak yönlendirilebilir ancak VPC ağındaki bir sanal makineden bu adreslere giden yol Google'ın ağında kalır.

  • Google, restricted.firestore.goog alan adı tarafından kullanılan IP adreslerinin hiçbirine internette rota yayınlamaz. Bu nedenle, bu alana yalnızca bir VPC ağındaki sanal makineler veya bir VPC ağına bağlı şirket içi sistemler erişebilir.

VPC ağınızda sonraki durak adresi varsayılan internet ağ geçidi olan bir varsayılan rota varsa özel rotalar oluşturmanıza gerek kalmadan Cloud Firestore hizmetine erişmek için bu rotayı kullanabilirsiniz. Ayrıntılar için Varsayılan rota ile yönlendirme başlıklı makaleyi inceleyin.

Varsayılan bir rotayı (hedef 0.0.0.0/0 veya ::0/0), sonraki durak adresi varsayılan internet ağ geçidi olmayan özel bir rotayla değiştirdiyseniz Cloud Firestore hizmeti için yönlendirme koşullarını özel yönlendirme kullanarak karşılayabilirsiniz.

Varsayılan rota ile yönlendirme

Her VPC ağı, oluşturulduğunda bir IPv4 varsayılan rotası (0.0.0.0/0) içerir.

Varsayılan rota, aşağıdaki hedeflerin IP adreslerine giden bir yol sağlar:

  • Varsayılan alan (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Belirli bir ağdaki varsayılan rotanın yapılandırmasını kontrol etmeyle ilgili Google Cloud Console ve Google Cloud CLI talimatları için Özel Google Erişimi'ni yapılandırma başlıklı makaleyi inceleyin.

Özel rotalarla rota oluşturma

Varsayılan rotaya alternatif olarak, her biri daha spesifik bir hedefe sahip olan ve her biri varsayılan internet ağ geçidinin sonraki durak adresini kullanan özel statik rotalar kullanabilirsiniz. Rotaların hedef IP adresleri, seçtiğiniz alana bağlıdır:

  • Varsayılan alan (firestore.goog): 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Belirli bir ağdaki özel rotaların yapılandırmasını kontrol etmeyle ilgili Google Cloud Console ve Google Cloud CLI talimatları için Özel Google Erişimi'ni yapılandırma başlıklı makaleyi inceleyin.

Güvenlik duvarı yapılandırması

VPC ağınızın güvenlik duvarı yapılandırması, sanal makinelerden Cloud Firestore hizmeti tarafından kullanılan IP adreslerine erişime izin vermelidir. Dolaylı allow egress kuralı bu koşulu karşılar.

Bazı güvenlik duvarı yapılandırmalarında, belirli çıkış izin verme kuralları oluşturmanız gerekir. Örneğin, tüm hedeflere (IPv4 için 0.0.0.0) giden trafiği engelleyen bir çıkış reddetme kuralı oluşturduğunuzu varsayalım. Bu durumda, seçtiğiniz alan tarafından kullanılan her IP adresi aralığı için önceliği giden trafiği reddetme kuralından daha yüksek olan bir giden trafiğe izin verme güvenlik duvarı kuralı oluşturmanız gerekir:

  • Varsayılan alan (firestore.goog: 136.124.0.0/23
  • restricted.firestore.goog: 199.36.153.2/31

Güvenlik duvarı kuralları oluşturmak için Güvenlik duvarı kuralları oluşturma başlıklı makaleyi inceleyin. Her giden izin kuralının hedefini tanımlarken güvenlik duvarı kurallarının geçerli olduğu sanal makineleri sınırlayabilirsiniz.

Özel Google Erişimi yapılandırması

VPC ağınızda ağ gereksinimlerini karşıladıktan sonra Özel Google Erişimi'ni etkinleştirebilirsiniz. Google Cloud Console ve Google Cloud CLI talimatları için Özel Google Erişimi'ni etkinleştirme başlıklı makalede açıklanan adımları uygulayın.

Sırada ne var?