Serverlosen Traffic an ein VPC-Netzwerk senden

Wir empfehlen, Ihren Cloud Run-Dienst oder -Job so zu aktivieren, dass Traffic an ein VPC-Netzwerk über ausgehenden Direct VPC-Traffic gesendet wird, ohne dass ein Connector für Serverloser VPC-Zugriff erforderlich ist.

Wenn Direct VPC-Traffic jedoch keine Option für Sie ist, können Sie den Serverloser VPC-Zugriff verwenden, um eine direkte Verbindung zu Ihrem VPC-Netzwerk aus serverlosen Umgebungen wie Cloud Run und App Engine herzustellen. Wenn Sie den Serverloser VPC-Zugriff konfigurieren, kann Ihre serverlose Umgebung Anfragen über interne DNS- und interne IP-Adressen (gemäß RFC 1918 und RFC 6598) an Ihr VPC-Netzwerk senden. Die Antworten auf diese Anfragen verwenden auch Ihr internes Netzwerk.

Der serverlose VPC-Zugriff bietet zwei Hauptvorteile:

• An Ihr VPC-Netzwerk gesendete Anfragen sind niemals über das Internet zugänglich.
• Die Kommunikation über den serverlosen VPC-Zugriff kann im Vergleich zum Internet eine geringere Latenz haben.

Der serverlose VPC-Zugriff sendet nur dann internen Traffic von Ihrem VPC-Netzwerk an Ihre serverlose Umgebung, wenn der Traffic eine Antwort auf eine Anfrage ist, die von Ihrer serverlosen Umgebung über den Connector für serverlosen VPC-Zugriff gesendet wurde. Informationen zum Senden von anderem internen Traffic finden Sie unter Privater Google-Zugriff.

Für den Zugriff auf Ressourcen über mehrere VPC-Netzwerke undGoogle Cloud -Projekte hinweg müssen Sie auch eine gemeinsam genutzte VPC oder VPC-Netzwerk-Peering konfigurieren.

Funktionsweise

Der serverlose VPC-Zugriff basiert auf einer Ressource, die als Connector bezeichnet wird. Ein Connector verarbeitet den Traffic zwischen der serverlosen Umgebung und Ihrem VPC-Netzwerk. Wenn Sie einen Connector in IhremGoogle Cloud -Projekt erstellen, hängen Sie ihn an ein bestimmtes VPC-Netzwerk und eine Region an. Anschließend konfigurieren Sie Ihre serverlosen Dienste so, dass sie diesen Connector für ausgehenden Netzwerktraffic verwenden.

IP-Adressbereiche

Es gibt zwei Möglichkeiten, den IP-Adressbereich für einen Connector festzulegen:

• Subnetz: Sie können ein vorhandenes /28-Subnetz angeben, wenn noch keine Ressourcen das Subnetz verwenden.
• CIDR-Bereich: Sie können einen nicht verwendeten CIDR-Bereich von /28 angeben. Achten Sie bei der Angabe dieses Bereichs darauf, dass er sich nicht mit bereits genutzten CIDR-Bereichen überschneidet.

Traffic, der über den Connector an Ihr VPC-Netzwerk gesendet wird, stammt aus dem von Ihnen angegebenen Subnetz oder CIDR-Bereich.

Firewallregeln

Firewallregeln sind für den Betrieb des Connectors und die Kommunikation mit anderen Ressourcen, einschließlich Ressourcen in Ihrem Netzwerk, erforderlich.

Firewallregeln für Connectors in eigenständigen VPC-Netzwerken oder Hostprojekten mit freigegebene VPC

Wenn Sie einen Connector in einem eigenständigen VPC-Netzwerk oder im Hostprojekt eines freigegebene VPC-Netzwerks erstellen,werden in Google Cloud alle erforderlichen Firewallregeln erstellt. Diese Firewallregeln sind nur vorhanden, solange der zugehörige Connector vorhanden ist. Sie sind in der Google Cloud Konsole sichtbar, können aber nicht bearbeitet oder gelöscht werden.