Accès aux services privés

L'accès aux services privés vous permet d'accéder aux services hébergés sur un VPC (services exécutés sur des instances Compute Engine au sein d'un réseau VPC) sans exposer le trafic à l'Internet public.

Pour acheminer le trafic en interne, l'accès aux services privés crée une connexion privée entre votre réseau VPC et le réseau VPC du producteur de services, qui peut être Google ou un tiers. Cette connexion privée est établie à l'aide d'une connexion d'appairage de réseaux VPC.

Étant donné que le trafic circule en interne au sein du réseau de Google, les instances de votre réseau VPC peuvent accéder au service à l'aide de leurs adresses IPv4 internes. Vos instances peuvent avoir des adresses IP externes, mais elles ne sont pas obligatoires pour l'accès aux services privés et ne sont pas utilisées dans ce cadre.

Services compatibles

Les services hébergés sur un VPC Google suivants sont compatibles avec l'accès aux services privés :

Accès aux services privés et appairage de réseaux VPC

Dans une connexion privée, le réseau du producteur de services et votre réseau sont connectés via l'appairage de réseaux VPC. Pour que le routage entre les deux réseaux fonctionne correctement, ils doivent utiliser des plages d'adresses IP distinctes. Pour éviter les chevauchements, vous créez une ou plusieurs plages allouées dans votre réseau à utiliser avec la connexion privée.

Lorsque vous allouez une plage dans votre réseau VPC, elle ne peut pas être utilisée pour d'autres ressources, telles que des sous-réseaux ou des destinations de routes statiques personnalisées.

Pour en savoir plus sur le choix d'une plage d'adresses IP allouée, consultez Choisir une plage d'adresses IP pour la plage allouée.

Workflow d'accès aux services privés

Lorsque vous utilisez l'accès aux services privés, les ressources sont déployées à la fois dans votre réseau VPC et dans le réseau du producteur de services. Le processus est décrit dans les étapes suivantes :

  1. En tant que client de service, vous déployez une instance de service avec un accès aux services privés. Les détails peuvent varier en fonction du service que vous déployez. Les étapes suivantes peuvent être effectuées par vous ou automatisées par le producteur de services dans le cadre du déploiement de l'instance de service :

    1. Vous allouez une plage d'adresses IP dans votre réseau VPC. Cette plage allouée est réservée exclusivement au producteur de services.

    2. Vous créez une connexion privée au producteur de services en spécifiant la plage allouée que vous avez créée.

    3. Vous provisionnez une instance de service (par exemple, une instance Cloud SQL) faisant référence à la connexion privée que vous avez créée.

  2. Le producteur de services provisionne des ressources pour votre instance de service.

    1. Le producteur de services crée un projet pour votre instance de service. Le projet est isolé, ce qui signifie qu'il n'est partagé avec aucun autre client, et le client est facturé à hauteur des seules ressources qu'il fournit.

    2. Dans ce projet, le producteur de services crée un réseau VPC qui vous est dédié.

    3. Dans ce réseau, le producteur de services crée un sous-réseau. La plage d'adresses IP de ce sous-réseau est sélectionnée à partir de la plage allouée que vous avez fournie. Le producteur de services choisit généralement un bloc CIDR /29 à /24. Vous ne pouvez pas sélectionner ni modifier la plage d'adresses IP du sous-réseau du producteur de services.

    4. L'instance de service se voit attribuer une adresse IP du nouveau sous-réseau.

  3. La connexion privée devient active.

    1. La connexion d'appairage de réseaux VPC est établie.

    2. Votre réseau VPC importe les routes depuis le réseau du producteur de services.

    3. Les VM de votre réseau peuvent communiquer avec l'instance de service à l'aide de son adresse IP interne. Le trafic circule entièrement au sein du réseau de Google et non via l'Internet public.

Une fois le déploiement initial créé, vous pouvez effectuer les actions suivantes :

  • Provisionner plus de ressources : lorsque vous provisionnez des ressources supplémentaires pour le même service, le producteur de services les place dans des sous-réseaux existants s'il y a de la place. Si un sous-réseau est saturé, un nouveau sous-réseau est créé dans cette région à partir de la plage allouée.

  • Suppression de ressources : un sous-réseau du réseau du producteur de services n'est supprimé que lorsque vous supprimez toutes les ressources de service qu'il contient. Pour en savoir plus sur la suppression de ressources, consultez la documentation du producteur de services concerné.

Exemple

Le schéma suivant illustre l'utilisation d'une connexion privée pour accéder aux instances de service.

Les ressources d'un réseau de client de service peuvent accéder à une instance Cloud SQL via l'accès aux services privés.
Accès aux services privés (cliquez pour agrandir)

Dans cet exemple, le réseau VPC du client de service a alloué la plage d'adresses 10.240.0.0/16 aux services Google et a établi une connexion privée utilisant cette plage.

  • La connexion privée se voit attribuer la plage 10.240.0.0/16.

  • Google crée un projet et un réseau VPC pour les ressources du client du service. Les réseaux VPC sont connectés à l'aide de l'appairage de réseaux VPC.

  • Le producteur de services crée un sous-réseau qui utilise la plage d'adresses IP 10.240.0.0/24.

  • L'instance Cloud SQL se voit attribuer l'adresse IP 10.240.0.2.

  • Une fois le sous-réseau créé, le réseau du client du service importe les routes depuis le réseau du service.

  • Dans le réseau VPC du client de service, les requêtes à destination de 10.240.0.2 sont acheminées vers la connexion privée sur le réseau du producteur de services.

  • Le client du service déploie une instance de service pour un autre service Google dans europe-west1. Comme Google est le producteur de services, le même projet et le même réseau peuvent être utilisés. Toutefois, comme l'instance se trouve dans une autre région, un nouveau sous-réseau est requis. Google crée un sous-réseau qui utilise la plage d'adresses IP 10.240.10.0/24 et attribue l'adresse IP 10.240.10.2 à l'instance de service.

Accessibilité des instances de service

Un seul réseau VPC client de service peut créer une connexion privée à une instance de service géré donnée. Toutefois, il existe des moyens de rendre la connexion privée disponible pour les ressources situées en dehors de ce réseau VPC :

Si aucune de ces options ne convient à votre cas d'utilisation, le producteur de services peut proposer d'autres moyens de se connecter au service qui sont plus adaptés, par exemple via Private Service Connect. Pour en savoir plus, consultez la documentation du service.

Accès via NCC

Pour certains services disponibles via l'accès aux services privés, vous pouvez utiliser NCC pour rendre le service accessible par d'autres spokes sur un hub en créant un spoke VPC producteur. Pour en savoir plus, y compris sur les services compatibles, consultez Spokes de VPC producteur.

Accéder via un VPC partagé

Si vous utilisez un VPC partagé, créez la plage d'adresses IP allouée et la connexion privée dans le projet hôte. En règle générale, un administrateur réseau du projet hôte doit effectuer ces tâches. Une fois le projet hôte configuré, les instances de VM des projets de service peuvent utiliser la connexion privée.

Accéder via une connectivité hybride

Dans les scénarios de mise en réseau hybride, un réseau sur site est connecté à un réseau VPC via une connexion Cloud VPN ou Cloud Interconnect. Par défaut, les hôtes sur site ne peuvent pas accéder au réseau du producteur de services à l'aide de l'accès aux services privés.

Dans le réseau VPC, vous pouvez disposer de routes statiques ou dynamiques personnalisées pour diriger correctement le trafic vers votre réseau sur site. Cependant, le réseau du producteur de services ne contient pas ces mêmes routes. Lorsque vous créez une connexion privée, le réseau VPC et le réseau du producteur de services n'échangent que des routes de sous-réseau.

Le réseau du producteur de services contient une route par défaut (0.0.0.0/0) qui mène à Internet. Si vous exportez une route par défaut vers le réseau du producteur de services, celle-ci est ignorée car la route par défaut du réseau de producteur de services est prioritaire. Définissez et exportez plutôt une route personnalisée avec une destination plus spécifique.

Pour en savoir plus, consultez Configurer la connectivité hybride.

Réseau du producteur de services

Du côté du producteur de services de la connexion privée, il y a un réseau VPC où vos ressources de service sont provisionnées. Le réseau du producteur de services est créé exclusivement pour vous et ne contient que vos ressources.

Une ressource sur le réseau du producteur de services est semblable aux autres ressources de votre réseau VPC. Par exemple, elle est accessible via des adresses IP internes par d'autres ressources de votre réseau VPC. Vous pouvez également créer des règles de pare-feu dans votre réseau VPC afin de contrôler l'accès au réseau du producteur de services.

Pour en savoir plus sur les accès côté producteur de services, consultez la section Activer l'accès aux services privés dans la documentation de Service Infrastructure. Cette documentation est fournie à titre de référence seulement, et n'est pas nécessaire pour activer ou utiliser l'accès aux services privés.

Limiter les connexions privées avec des règles d'administration

Vous pouvez restreindre les connexions privées à l'aide de règles d'administration. Vous pouvez utiliser les options suivantes pour limiter les connexions privées :

  • Vous pouvez utiliser la contrainte de règle d'administration constraints/compute.restrictVpcPeering pour limiter les connexions d'appairage à votre organisation, dossier ou projet.

    Si vous utilisez cette contrainte, la création d'une connexion privée à un service Google échoue, sauf si vous ajoutez l'organisation du producteur de services Google (under:organizations/433637338589) à la liste allowedValues de la contrainte.

  • Vous pouvez utiliser des contraintes personnalisées de règle d'administration pour définir des restrictions pour les connexions privées. Par exemple, la configuration de contraintes personnalisées avec le type de ressource servicenetworking.googleapis.com/Connection vous permet d'effectuer les opérations suivantes :

    • Spécifier les réseaux VPC pouvant se connecter avec des connexions privées
    • Spécifiez des restrictions pour les noms des plages allouées que vous pouvez utiliser pour créer des connexions privées

Tarifs

Pour connaître les tarifs d'accès aux services privés, consultez la section Accès aux services privés sur la page des tarifs du VPC.

Limites

Les limites suivantes s'appliquent à l'accès aux services privés :

  • Comme une connexion privée est implémentée en tant que connexion d'appairage de réseaux VPC, les comportements et les contraintes des connexions d'appairage s'appliquent également aux connexions privées. Par exemple, l'appairage de réseaux VPC n'étant pas transitif, une connexion privée n'est pas disponible pour les réseaux VPC appairés.

    Pour en savoir plus, consultez Appairage de réseaux VPC, Limites de l'appairage de réseaux VPC et Quotas et limites.

  • Un seul réseau VPC de consommateur de services peut créer une connexion privée qui se connecte à une instance de service géré donnée. Toutefois, il existe des moyens de rendre la connexion privée disponible pour les ressources situées en dehors de ce réseau VPC. Pour en savoir plus, consultez Accessibilité des instances de service.

  • Vous ne pouvez pas modifier la plage d'adresses IP associée à une plage allouée. Toutefois, vous pouvez modifier les plages allouées associées à une connexion privée.

  • L'utilisation de plages d'adresses IPv6 avec l'accès aux services privés n'est pas disponible.

Étapes suivantes