Impostazioni traffico in entrata

ID regione

REGION_ID è un codice abbreviato che Google assegna in base alla regione selezionata quando crei l'app. Il codice non corrisponde a un paese o a una provincia, anche se alcuni ID regione potrebbero sembrare simili ai codici di paesi e province di uso comune. Per le app create dopo febbraio 2020, REGION_ID.r è incluso negli URL di App Engine. Per le app esistenti create prima di questa data, l'ID regione è facoltativo nell'URL.

Scopri di più sugli ID regione.

Questa sezione descrive come utilizzare le impostazioni del traffico in entrata per limitare l'accesso di rete alla tua app App Engine. A livello di rete, per impostazione predefinita, qualsiasi risorsa su internet è in grado di raggiungere la tua app App Engine sul relativo URL appspot o su un dominio personalizzato configurato in App Engine. Ad esempio, l'URL appspot.com può avere il seguente formato: SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com.

Puoi modificare questa impostazione predefinita specificando un'impostazione diversa per il traffico in entrata. Tutti i percorsi in entrata, incluso l'URL appspot.com predefinito, sono soggetti all'impostazione del traffico in entrata. Il traffico in entrata è impostato a livello di servizio.

Impostazioni traffico in entrata disponibili

Sono disponibili le seguenti impostazioni:

Impostazione Descrizione
Interno Livello massimo di restrizioni. Consente le richieste provenienti dalle risorse collegate alle reti VPC del progetto, ad esempio:
Le richieste provenienti da queste origini rimangono all'interno della rete Google, anche se accedono al tuo servizio tramite l'URL appspot.com. Le richieste provenienti da altre origini, tra cui internet, non possono raggiungere il tuo servizio all'URL appspot.com o ai domini personalizzati. Non è supportata la multitenancy, ovvero più domini di attendibilità all'interno dello stesso progetto.
Interno e Cloud Load Balancing Consente le richieste dalle seguenti risorse:
  • Risorse consentite dall'impostazione Interno più restrittiva
  • Bilanciatore del carico delle applicazioni esterno
Utilizza l'impostazione Interno e Cloud Load Balancing per accettare richieste da un bilanciatore del carico delle applicazioni esterno, ma non direttamente da internet. Le richieste all'URL appspot.com bypassano il bilanciatore del carico delle applicazioni esterno, pertanto questa impostazione impedisce alle richieste esterne di raggiungere l'URL appspot.com.
Tutti Livello minimo di restrizioni. Consente tutte le richieste, incluse quelle provenienti direttamente da internet all'URL appspot.com.

Accesso ai servizi interni

Si applicano le seguenti considerazioni:

  • Per le richieste provenienti da un VPC condiviso, il traffico è considerato interno solo se il deployment dell'app App Engine viene eseguito nel progetto host VPC condiviso. Se l'app App Engine viene distribuita in un progetto di servizio VPC condiviso, solo il traffico proveniente dalle reti di proprietà del progetto dell'app è interno. Tutto il resto del traffico, incluso quello proveniente da altri VPC condivisi, è esterno.

  • Quando accedi ai servizi interni, chiamali come faresti normalmente utilizzando i loro URL pubblici, l'URL appspot.com predefinito o un dominio personalizzato configurato in App Engine.

  • Per le richieste provenienti da istanze VM di Compute Engine o altre risorse in esecuzione all'interno di una rete VPC nello stesso progetto, non è richiesta alcuna ulteriore configurazione.

  • Le richieste provenienti da risorse all'interno di reti VPC nello stesso progetto sono classificate come interne anche se la risorsa da cui provengono ha un indirizzo IP pubblico.

  • Le richieste provenienti da risorse on-premise connesse alla rete VPC tramite Cloud VPN sono considerate internal.

  • Per le richieste provenienti da altri servizi App Engine o da Cloud Run o Cloud Run Functions nello stesso progetto, connetti il servizio o la funzione a una rete VPC e instrada tutto il traffico in uscita tramite il connettore, come descritto in Connessione a una VPC condiviso condivisa.

Visualizza le impostazioni del traffico in entrata

Console

  1. Vai alla pagina Servizi App Engine.

    Vai alla pagina Servizi

  2. Individua la colonna Ingress. Per ogni servizio, il valore in questa colonna mostra l'impostazione di traffico in entrata come Tutto (predefinito), Interno + bilanciamento del carico o Interno.

gcloud

Per visualizzare l'impostazione di traffico in entrata per un servizio utilizzando gcloud CLI:

gcloud app services describe SERVICE

Sostituisci SERVICE con il nome del servizio.

Ad esempio, per visualizzare le impostazioni di traffico in entrata e altre informazioni per il servizio predefinito, esegui: 

gcloud app services describe default

Modifica le impostazioni del traffico in entrata

Console

  1. Vai alla pagina Servizi App Engine.

    Vai alla pagina Servizi

  2. Seleziona il servizio da modificare.

  3. Fai clic su Modifica impostazione traffico in entrata.

  4. Seleziona l'impostazione di traffico in entrata che preferisci dal menu e fai clic su Salva.

gcloud

Per aggiornare l'impostazione del traffico in entrata per un servizio utilizzando gcloud CLI:

gcloud app services update SERVICE --ingress=INGRESS

Sostituisci:

  • SERVICE: il nome del servizio.
  • INGRESS: il controllo in entrata che vuoi applicare. Uno dei valori all, internal-only o internal-and-cloud-load-balancing.

Ad esempio:

  • Per aggiornare il servizio predefinito di un'app App Engine in modo che accetti il traffico solo da Cloud Load Balancing e dalle reti VPC che si trovano nello stesso progetto:

    gcloud app services update default --ingress=internal-and-cloud-load-balancing

  • Per aggiornare un servizio denominato "internal-requests" in modo che accetti il traffico solo dalle reti VPC che si trovano nello stesso progetto:

    gcloud app services update internal-requests --ingress=internal-only

Impostazioni traffico in uscita

Se utilizzi l'accesso VPC serverless, puoi specificare l'impostazione del traffico in uscita per il tuo servizio App Engine.

Per impostazione predefinita, solo le richieste agli indirizzi IP interni e ai nomi DNS interni vengono instradate tramite un connettore di accesso VPC serverless. Puoi specificare l'impostazione del traffico in uscita per il tuo servizio nel file app.yaml.

Le impostazioni del traffico in uscita non sono compatibili con il servizio di recupero URL. L'utilizzo della libreria urlfetch ignora le impostazioni del traffico in uscita e le richieste non verranno instradate tramite un connettore di accesso VPC serverless.

Per configurare il comportamento in uscita del servizio App Engine:

  1. Aggiungi l'attributo egress_setting al campo vpc_access_connector del file app.yaml del tuo servizio:

    vpc_access_connector:
  name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
  egress_setting: EGRESS_SETTING

    Sostituisci:

    • PROJECT_ID con l'ID progetto Google Cloud
    • REGION con la regione in cui si trova il connettore
    • CONNECTOR_NAME con il nome del connettore
    • EGRESS_SETTING con uno dei seguenti elementi:
      • private-ranges-only Predefinito. Solo le richieste agli intervalli di indirizzi IP RFC 1918 e RFC 6598 o ai nomi DNS interni vengono instradate alla tua rete VPC. Tutte le altre richieste vengono indirizzate direttamente a internet.
      • all-traffic Tutte le richieste in uscita dal tuo servizio vengono instradate alla tua rete VPC. Le richieste sono quindi soggette alle regole firewall, DNS e di routing della tua rete VPC. Tieni presente che il routing di tutte le richieste in uscita alla tua rete VPC aumenta la quantità di traffico in uscita gestito dal connettore di accesso VPC serverless e può comportare addebiti.

  2. Esegui il deployment del servizio:

    gcloud app deploy

Quando utilizzi private-ranges-only, le richieste in uscita verso la rete internet pubblica utilizzano un pool regionale di indirizzi IP dinamici condivisi tra i workload serverless. Per proteggere le connessioni esterne sensibili alla reputazione dai blocchi dei firewall di terze parti o per isolare i workload di scansione della rete e test di carico autorizzati, imposta l'impostazione in uscita su all-traffic e configura Cloud NAT con un indirizzo IP in uscita statico.