默认情况下，用户通过公共互联网访问 Gemini Enterprise 界面，以使用代理、助理和 Gemini Notebook Enterprise 等功能。为满足组织安全要求，您可以使用 Cloud VPN 或 Cloud Interconnect 等混合网络解决方案建立私有界面访问。
如需配置与 Gemini Enterprise 的专用连接，您必须通过 Private Service Connect (PSC) 端点路由Google Cloud API 流量。这样一来，用户就可以通过虚拟私有云 (VPC) 中的内部 IP 地址访问 Gemini Enterprise 界面，从而避免使用公共互联网。
在此参考架构中，本地或多云用户连接到 PSC 端点，该端点支持通过Google Cloud 虚拟私有云中用户定义的内部 IP 地址访问 Google API。此外，您还必须配置内部 DNS，以将 Gemini Enterprise 网域解析为 PSC 端点的 IP 地址。
准备工作
在配置专用界面访问权限之前，请确保您具备以下条件：
Google Cloud 通过 Cloud Router 使用 Cloud VPN 或 Cloud Interconnect 连接到本地网络的 Virtual Private Cloud 网络。
创建 Private Service Connect 端点和管理 Cloud Router 自定义路由的权限。
配置 Private Service Connect
用于专用 Google 访问通道的专用和受限虚拟 IP 地址 (VIP) 不支持对 Gemini Enterprise 界面进行专用访问。为确保功能完整，您必须将 Gemini Enterprise 网域解析为配置了 all-apis 软件包的 Private Service Connect 端点。
在与用于混合网络的 Cloud Router 路由器相同的虚拟私有云中创建新的 PSC 端点。
定位到所有 Google API API 包。此软件包提供了对大多数 Google API（包括
*.googleapis.com服务端点）的访问权限。VPC-SC API 软件包不支持所有 Gemini Enterprise 网域。
配置网络路由
PSC 端点使用 /32 IP 地址，该地址并非来自标准 VPC 子网，并且在本地或多云网络中不可见。您必须配置 Cloud Router 路由器来通告该 IP 地址。如需详细了解 Private Service Connect 端点的 IP 地址要求，请参阅 IP 地址要求。
确定您分配给 PSC 端点的 IP 地址。
在 Cloud Router 配置中，为该 IP 地址创建自定义路由。如需详细了解如何在 Cloud Router 路由器上指定自定义通告路由，请参阅通告自定义地址范围。
更新本地或多云防火墙，以允许流向该 IP 地址的出站流量。
更新 DNS 设置
最后，更新 DNS 设置，以使用 PSC 端点解析 Gemini Enterprise 网域。如需了解详情，请参阅使用默认 DNS 名称创建 DNS 记录。
配置内部本地或云网络 DNS 记录，以将以下 Gemini Enterprise 网域解析为 PSC 端点的内部 IP 地址：
content-discoveryengine.googleapis.comcontent-discoveryengine.mtls.googleapis.comcontent-eu-discoveryengine.googleapis.comcontent-eu-discoveryengine.mtls.googleapis.comcontent-global-discoveryengine.googleapis.comcontent-global-discoveryengine.mtls.googleapis.comcontent-us-discoveryengine.googleapis.comcontent-us-discoveryengine.mtls.googleapis.comcontent-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.comdiscoveryengine.googleapis.comdiscoveryengine.mtls.googleapis.comdiscoveryengine.clients6.google.comeu-discoveryengine.clients6.google.comus-discoveryengine.clients6.google.comeu-discoveryengine.googleapis.comeu-discoveryengine.mtls.googleapis.comglobal-discoveryengine.googleapis.comglobal-discoveryengine.mtls.googleapis.comus-discoveryengine.googleapis.comus-discoveryengine.mtls.googleapis.comvertexaisearch.cloud.google.comvertexaisearch.cloud.googlenotebooklm.cloud.google.comnotebooklm.cloud.googleauth.cloud.googlepayments.cloud.googleaccounts.googleapis.com
如果您的环境需要严格的数据渗漏防护边界，请将
discoveryengine.googleapis.com网域配置为 VPC-SC 捆绑包 IP 地址。
配置代理、防火墙和 TLS 检查
如果您的用户通过企业代理、安全 Web 网关或防火墙访问 Gemini Enterprise，请配置这些设备，使其不会屏蔽、缓冲 Gemini Enterprise 流量或导致其超时。无论用户是通过公共互联网还是通过 Private Service Connect 端点进行连接，这些要求都适用。
如果您未正确配置这些设备，用户可能会遇到以下问题：
- 助理会保持正在思考…状态，然后一次性显示整个答案，而不是在生成答案时流式传输答案。
- 请求在固定时长（例如 20、30 或 60 秒）后持续失败，并出现
HTTP 499或HTTP 504等错误。 - Web 应用可在某些网络（例如家庭网络）上运行，但无法在企业网络上运行。
为避免这些问题，请执行以下操作：
允许通过端口
443向更新 DNS 设置中列出的所有 Gemini Enterprise 网域发送出站 HTTPS 流量。即使您的应用使用单个位置，也请允许global、us和eu网域，因为 Web 应用可以调用多个端点。从 TLS (SSL) 检查以及响应缓冲或内容扫描中排除以下流式传输网域。Google 助理会通过这些连接流式传输其回答，而设备会保留回答，直到回答完成，这会导致延迟和超时。
content-discoveryengine.googleapis.comcontent-us-discoveryengine.googleapis.comcontent-eu-discoveryengine.googleapis.comcontent-webchannel-assistant-discoveryengine.googleapis.comcontent-us-webchannel-assistant-discoveryengine.googleapis.comcontent-eu-webchannel-assistant-discoveryengine.googleapis.comdiscoveryengine.clients6.google.comus-discoveryengine.clients6.google.comeu-discoveryengine.clients6.google.com
将请求路径中的代理、负载均衡器和防火墙的空闲和读取超时设置为至少 300 秒。复杂的请求（例如使用多个连接器或代理的请求）可能需要几分钟才能完成。
如果您从自己的应用调用 Gemini Enterprise API，请将客户端请求超时设置为至少 300 秒，并尽可能使用流式传输方法。
关于使用 VPC Service Controls 保护应用的安全
为了提高安全性，您可以实施 VPC Service Controls (VPC-SC)，以防止 Gemini Enterprise 和 BigQuery 等托管式服务发生数据渗漏。Identity and Access Management 控制哪些人可以访问数据，而 VPC-SC 控制则规定了哪些位置可以访问和移动数据。
如果考虑采用这种方法，请注意以下几点：
虽然 VPC Service Controls 是可选的，但使用 VPC Service Controls 是阻止公开访问通过
googleapis.com公开的 Google 服务的最佳实践。除其他影响外，添加到 VPC-SC 边界的服务（例如
discoveryengine.googleapis.com）会被阻止所有公开访问，包括通过 Google Cloud 控制台进行的访问。如需允许访问 VPC-SC 边界内的受保护服务，管理员必须使用 VPC-SC 入站流量规则或使用 Access Context Manager 定义访问权限级别来明确允许入站流量。
如需详细了解如何使用 VPC-SC 和 Access Context Manager 保护 Gemini Enterprise 应用，请参阅使用 VPC Service Controls 保护应用的安全。