Descripción general de Private Service Connect en Cloud SQL

En este documento, se describen conceptos asociados con Private Service Connect. Puedes usar Private Service Connect para lo siguiente:

  • Proporcionar conectividad de red privada a una instancia de Cloud SQL desde varias redes de nube privada virtual (VPC) que pertenezcan a organizaciones, grupos, equipos o proyectos diferentes
  • Proporcionar conectividad de red a una instancia principal de Cloud SQL o a cualquiera de sus réplicas de lectura

Private Service Connect es el método de conectividad privada predeterminado para las instancias de Cloud SQL en proyectos nuevos.

Extremo de Private Service Connect

Puedes usar extremos de Private Service Connect para acceder a las instancias de Cloud SQL de forma privada desde tus redes de VPC de consumidor. Estos extremos son direcciones IP internas que están asociadas con una regla de reenvío que hace referencia a un adjunto de servicio de una instancia de Cloud SQL.

Puedes hacer que Cloud SQL cree el extremo por ti de forma automática o puedes crearlo de forma manual.

Crea un extremo automáticamente

Para que Cloud SQL cree un extremo automáticamente, haz lo siguiente:

  1. Crea una política de conexión de servicio en tus redes de VPC.

  2. Crea una instancia de Cloud SQL con Private Service Connect habilitado para la instancia y configúrala para que cree un extremo automáticamente. Cuando crees la instancia, especifica los parámetros de conexión automática, como las redes de VPC y los proyectos.

    Cloud SQL ubica la política de conexión de servicio en estas redes y crea un extremo de Private Service Connect que apunta al adjunto de servicio de la instancia.

    Después de crear la instancia y de que Cloud SQL cree el extremo, los clientes de las redes de VPC correspondientes pueden conectarse a la instancia desde el extremo, ya sea a través de una dirección IP o un registro DNS.

Crea un extremo de forma manual

Para crear un extremo de forma manual, haz lo siguiente:

  1. Crea una instancia de Cloud SQL con Private Service Connect habilitado para la instancia.
  2. Obtén el URI del adjunto de servicio que necesitas para crear el extremo de forma manual.

  3. Reserva una dirección IP interna en tu red de VPC para el extremo y crea un extremo con esa dirección.

    Después de crear la instancia y de que Cloud SQL cree el extremo, los clientes de las redes de VPC correspondientes pueden conectarse a la instancia desde el extremo, ya sea a través de una dirección IP o un registro DNS.

Política de conexión de servicios

Una política de conexión de servicio te permite autorizar una clase de servicio específica para crear una conexión de Private Service Connect entre redes de VPC. Como resultado, puedes aprovisionar extremos de Private Service Connect de forma automática.

Puedes crear un máximo de una política para cada combinación de clase de servicio, región y red de VPC. Una política determina la automatización de la conectividad del servicio para esa combinación específica. Cuando configuras una política, seleccionas una subred. La subred se usa para asignar direcciones IP a los extremos que creas a través de la política. Si varias políticas de conexión de servicios comparten la misma región, puedes volver a usar la misma subred para todas las políticas.

Por ejemplo, si deseas usar la automatización de conectividad de servicio con dos servicios en tres regiones diferentes, crea seis políticas. Puedes usar un mínimo de tres subredes: una para cada región.

Después de crear una política de conexión de servicio, solo puedes actualizar la subred y el límite de conexiones. Si necesitas actualizar otros campos, haz lo siguiente:

  1. Quita todas las conexiones que usen la política.
  2. Borra la política.
  3. Crea una política nueva.

Adjunto de servicio

Cuando creas una instancia de Cloud SQL y la configuras para que use Private Service Connect, Cloud SQL crea un adjunto de servicio para la instancia de forma automática. Un adjunto de servicio es un punto de conexión que usan las redes de VPC para acceder a la instancia.

Crea un extremo de Private Service Connect que la red de VPC usará para conectarse al adjunto de servicio. Esto permite que la red acceda a la instancia.

Cada instancia de Cloud SQL tiene un adjunto de servicio al que el extremo de Private Service Connect puede conectarse a través de la red de VPC. Si hay varias redes, cada una de ellas tiene su propio extremo.

Nombres y registros DNS

En el caso de las instancias con Private Service Connect habilitado, te recomendamos que te conectes con un nombre de DNS, ya que diferentes redes pueden conectarse a la misma instancia y los extremos de Private Service Connect en cada red pueden tener direcciones IP diferentes. Además, el proxy de autenticación de Cloud SQL requiere nombres de DNS para conectarse a estas instancias. Consulta Configura DNS en Private Service Connect.

Puedes usar la automatización de DNS para aprovisionar y administrar automáticamente los registros DNS de tus instancias de Cloud SQL en tus redes de VPC de consumidor autorizadas.

Proyectos de Private Service Connect permitidos

Para conectarte a instancias de Cloud SQL que tienen habilitado Private Service Connect, debes agregar al menos un proyecto a su lista de entidades permitidas.

Esta lista de entidades permitidas controla las conexiones desde los extremos de Private Service Connect:

  • Si un proyecto está en la lista de proyectos permitidos, puedes crear correctamente un extremo de Private Service Connect en ese proyecto y conectarte a tu instancia de Cloud SQL.
  • Si un proyecto no está en la lista de proyectos permitidos, puedes intentar crear un extremo nuevo. Sin embargo, se bloqueará la conexión y el extremo nuevo permanecerá en estado PENDING hasta que agregues ese proyecto a la lista de entidades permitidas.

Eliminación y conciliación de proyectos

Si quitas un proyecto de la lista de proyectos permitidos, ocurrirá lo siguiente:

  • Para todas las creaciones de instancias de Cloud SQL, las clonaciones y las habilitaciones de Private Service Connect en agosto de 2026 y después, el comportamiento de conciliación de conexiones está habilitado de forma predeterminada y no se puede inhabilitar. Cuando quitas un proyecto de la lista de proyectos permitidos, todas las conexiones de Private Service Connect existentes del proyecto quitado se cierran (concilian) de inmediato. Esto significa que las aplicaciones que usan extremos de Private Service Connect en esos proyectos quitados no pueden seguir conectándose con esos extremos.
  • En el caso de las instancias creadas antes de agosto de 2026, cuando quitas un proyecto de la lista de proyectos permitidos, las aplicaciones que usan extremos de Private Service Connect en esos proyectos quitados se siguen conectando hasta que quites esos extremos de forma manual.

Propagación del extremo de Private Service Connect

De forma predeterminada, las conexiones de Private Service Connect no son transitivas desde las redes de VPC con intercambio de tráfico. Debes crear un extremo de Private Service Connect en cada red de VPC que deba conectarse a tu instancia de Cloud SQL. Por ejemplo, si tienes tres redes de VPC que deben conectarse a tu instancia, debes crear tres extremos de Private Service Connect, uno para cada red de VPC.

Sin embargo, si propagas los extremos de Private Service Connect a través del concentrador de Network Connectivity Center, cualquier otra red de VPC de radio en el mismo concentrador puede acceder a estos extremos. El concentrador proporciona un modelo de administración de conectividad centralizado para interconectar redes de VPC de radio con extremos de Private Service Connect.

La función de propagación de conexiones en NCC beneficia el siguiente caso de uso para las implementaciones de Private Service Connect:

Puedes usar una red de VPC de servicios comunes para crear varios extremos de Private Service Connect. Si agregas una sola red de VPC de servicios comunes al concentrador de NCC, todos los extremos de Private Service Connect en la red de VPC se vuelven accesibles de forma transitiva para otras redes de VPC de radio a través del concentrador. Esta conectividad elimina la necesidad de administrar de forma individual cada extremo de Private Service Connect en cada red de VPC.

Para aprender a usar el concentrador de NCC para propagar extremos de Private Service Connect a redes de VPC de radio, consulta el codelab de propagación de NCC y Private Service Connect.

Backend de Private Service Connect

Puedes usar backends de Private Service Connect como alternativa a los extremos de Private Service Connect para acceder a las instancias de Cloud SQL. Para facilitar el uso, te recomendamos que te conectes a tus instancias de Cloud SQL con extremos de Private Service Connect. Para obtener más control y visibilidad, puedes conectarte con backends de Private Service Connect.

Para usar backends de Private Service Connect, debes configurar los siguientes recursos para cada puerto de entrega en el que quieras acceder a una instancia de Cloud SQL determinada:

Los puertos de entrega admitidos para SQL Server son los siguientes:

Conexiones salientes de Private Service Connect

Puedes conectar una interfaz de Private Service Connect a tus instancias existentes de Cloud SQL habilitadas para Private Service Connect con un adjunto de red para permitir que tu instancia de Cloud SQL realice conexiones salientes a tu red. Para conectarte a la interfaz de Private Service Connect de tu red, necesitas un adjunto de red nuevo o existente dentro de tu proyecto de Google Cloud .

Puedes usar la conectividad saliente para migrar datos de un servidor externo dentro de tu red, usar un servidor vinculado que requiera una conexión saliente o realizar una migración homogénea con Database Migration Service.

Limitaciones

Si configuras la conectividad de salida en la réplica de recuperación ante desastres (DR), después de una operación de cambio o conmutación por error de réplica, cuando la réplica de DR se asciende a la instancia principal, la conectividad de salida sigue funcionando en la nueva instancia principal que se crea. Si no configuras la conectividad saliente en la réplica de DR, para que el servicio siga funcionando después de una operación de cambio o conmutación por error de réplica, debes habilitar la conectividad saliente de Private Service Connect en la nueva instancia principal.

Cuando usas una interfaz de Private Service Connect con un adjunto de red para crear conexiones salientes a tu red desde tu instancia de Cloud SQL, ten en cuenta las siguientes limitaciones:

  • Habilitar o inhabilitar la conectividad saliente de Private Service Connect requiere tiempo de inactividad. Esta operación puede tardar alrededor de 8 minutos en completarse, con un tiempo de inactividad aproximado de 3 minutos.

  • La dirección IP del servidor de destino debe estar dentro de un rango de IP RFC 1918. No se admiten las direcciones IP públicas ni los rangos de IP privadas que no son RFC 1918, como el rango RFC 6598 100.64.0.0/10. Si usas un nombre de host o DNS para tu conexión de salida, el nombre de DNS debe poder resolverse de forma pública y resolverse en un rango de IP de RFC 1918.

  • No se admiten las direcciones IPv6.

  • Si la dirección IP de conectividad saliente entra en conflicto con la IP de eth0 o la regla de reenvío de Private Service Connect, es posible que la dirección IP no se conecte correctamente. Para obtener más información, consulta Descripción general de Private Service Connect.

  • No puedes habilitar la conectividad saliente de Private Service Connect cuando creas la instancia de Cloud SQL. Para habilitar la conectividad de salida, debes editar la configuración de la instancia después de crearla.

  • Si tu instancia está configurada para el acceso privado a servicios y Private Service Connect, no puedes habilitar la conectividad saliente de Private Service Connect para tu instancia.

Para obtener más información sobre cómo configurar la conectividad saliente de tu instancia de Cloud SQL, consulta Configura la conectividad saliente.

¿Qué sigue?