Akses layanan pribadi

Dengan akses layanan pribadi, Anda dapat menjangkau layanan yang dihosting VPC—layanan yang berjalan di instance Compute Engine dalam jaringan VPC—tanpa mengekspos traffic ke internet publik.

Untuk merutekan traffic secara internal, akses layanan pribadi membuat koneksi pribadi antara jaringan VPC Anda dan jaringan VPC produsen layanan, yang dapat berupa Google atau pihak ketiga. Koneksi pribadi ini dibuat menggunakan koneksi Peering Jaringan VPC.

Karena traffic berjalan secara internal dalam jaringan Google, instance di jaringan VPC Anda dapat menjangkau layanan menggunakan alamat IPv4 internalnya. Meskipun instance Anda dapat memiliki alamat IP eksternal, alamat tersebut tidak diperlukan atau digunakan oleh akses layanan pribadi.

Layanan yang didukung

Layanan yang dihosting VPC Google berikut mendukung akses layanan pribadi:

• AI Platform Training
• AlloyDB untuk PostgreSQL
• Apigee
• Backup and DR Service
• Cloud Build
• Cloud Intrusion Detection System
• Cloud SQL (tidak mendukung peering DNS)
• Cloud TPU
• Gabungkan Enterprise Cloud dengan IBM Power for Google Cloud
• Filestore
• Google Cloud Managed Lustre
• Google Cloud NetApp Volumes
• Google Cloud VMware Engine
• Looker (Google Cloud core)
• Memorystore for Memcached
• Memorystore for Redis
• Vertex AI

Catatan: Saat Anda menggunakan akses layanan pribadi sebagai konsumen layanan, Anda sepenuhnya bertanggung jawab untuk mengamankan jaringan VPC serta semua resource dan data yang tersedia di dalamnya. Google tidak bertanggung jawab atas bagaimana data dan resource Anda mungkin diakses atau digunakan oleh pihak ketiga yang Anda hubungi.

Akses layanan pribadi dan Peering Jaringan VPC

Dalam koneksi pribadi, jaringan produsen layanan dan jaringan Anda terhubung melalui Peering Jaringan VPC. Agar pemilihan rute antara kedua jaringan berfungsi dengan benar, kedua jaringan harus menggunakan rentang alamat IP yang berbeda. Untuk menghindari tumpang tindih, buat satu atau beberapa rentang yang dialokasikan di jaringan Anda untuk digunakan dengan koneksi pribadi.

Saat Anda mengalokasikan rentang di jaringan VPC, rentang tersebut tidak dapat digunakan untuk resource lain, seperti subnet atau tujuan rute statis kustom.

Untuk mengetahui informasi tentang cara memilih rentang yang dialokasikan, lihat Memilih rentang alamat IP untuk rentang yang dialokasikan.

Alur kerja akses layanan pribadi

Saat Anda menggunakan akses layanan pribadi, resource di-deploy di jaringan VPC Anda dan jaringan produsen layanan. Langkah-langkah berikut menguraikan prosesnya:

1. Sebagai konsumen layanan, Anda men-deploy instance layanan dengan akses layanan pribadi. Detailnya mungkin bervariasi, bergantung pada layanan yang Anda deploy. Langkah-langkah berikut dapat dilakukan oleh Anda, atau dapat diotomatiskan oleh produsen layanan sebagai bagian dari deployment instance layanan:

   1. Anda mengalokasikan rentang alamat IP di jaringan VPC Anda. Rentang yang dialokasikan ini disediakan secara eksklusif untuk produsen layanan.

   2. Anda membuat koneksi pribadi ke produsen layanan, dengan menentukan rentang yang dialokasikan yang Anda buat.

   3. Anda menyediakan instance layanan—misalnya, instance Cloud SQL—yang merujuk ke koneksi pribadi yang telah Anda buat.

2. Produsen layanan menyediakan resource untuk instance layanan Anda.

   1. Produsen layanan membuat project untuk instance layanan Anda. Project ini terisolasi, sehingga tidak ada pelanggan lain yang membagikannya dan konsumen layanan hanya ditagih untuk resource yang disediakan oleh konsumen layanan.

   2. Dalam project tersebut, produsen layanan membuat jaringan VPC yang dikhususkan untuk Anda.

   3. Dalam jaringan tersebut, produsen layanan membuat subnet. Rentang alamat IP untuk subnet ini dipilih dari rentang yang dialokasikan yang Anda berikan. Produsen layanan biasanya memilih blok CIDR /29 hingga /24. Anda tidak dapat memilih atau mengubah rentang alamat IP subnet produsen layanan.

   4. Instance layanan diberi alamat IP dari subnet baru.

3. Koneksi pribadi menjadi aktif.

   1. Koneksi Peering Jaringan VPC dibuat.

   2. Jaringan VPC Anda mengimpor rute dari jaringan produsen layanan.

   3. VM di jaringan Anda dapat berkomunikasi dengan instance layanan menggunakan alamat IP internalnya. Traffic berjalan sepenuhnya dalam jaringan Google dan tidak melalui internet publik.

Anda dapat melakukan tindakan berikut setelah deployment awal dibuat:

• Menyediakan lebih banyak resource: saat Anda menyediakan resource tambahan untuk layanan yang sama, produsen layanan akan menempatkannya di subnet yang ada jika masih ada ruang. Jika subnet penuh, subnet baru akan dibuat di region tersebut dari rentang yang dialokasikan.

• Menghapus resource: subnet di jaringan produsen layanan hanya akan dihapus jika Anda menghapus semua resource layanan di dalamnya. Untuk mengetahui informasi tentang cara menghapus resource, lihat dokumentasi produsen layanan yang relevan.

Contoh

Diagram berikut menunjukkan penggunaan koneksi pribadi untuk mengakses instance layanan.

Akses layanan pribadi (klik untuk memperbesar).

Dalam contoh ini, jaringan VPC konsumen layanan mengalokasikan rentang alamat IP 10.240.0.0/16 untuk layanan Google dan membuat koneksi pribadi yang menggunakan rentang yang dialokasikan.

• Koneksi pribadi diberi rentang 10.240.0.0/16 yang dialokasikan.

• Google membuat project dan jaringan VPC untuk resource konsumen layanan. Jaringan VPC terhubung menggunakan Peering Jaringan VPC.

• Produsen layanan membuat subnet yang menggunakan rentang alamat IP 10.240.0.0/24.

• Instance Cloud SQL diberi alamat IP 10.240.0.2.

• Setelah subnet dibuat, jaringan konsumen layanan akan mengimpor rute dari jaringan layanan.

• Di jaringan VPC konsumen layanan, permintaan dengan tujuan 10.240.0.2 dirutekan ke koneksi pribadi melalui jaringan produsen layanan.

• Konsumen layanan men-deploy instance layanan untuk layanan Google yang berbeda di europe-west1. Karena Google adalah produsen layanan, project dan jaringan yang sama dapat digunakan. Namun, karena instance berada di region yang berbeda, subnet baru diperlukan. Google membuat subnet baru yang menggunakan rentang alamat IP 10.240.10.0/24 dan menetapkan alamat IP 10.240.10.2 ke instance layanan.

Keterjangkauan instance layanan

Hanya satu jaringan VPC konsumen layanan yang dapat membuat koneksi pribadi ke instance layanan terkelola tertentu. Namun, ada cara untuk menyediakan koneksi pribadi ke resource yang berada di luar jaringan VPC tersebut:

• Untuk menyediakan instance layanan dari jaringan VPC lain, pertimbangkan opsi berikut:
  • Mengakses melalui NCC.
  • Mengakses melalui VPC Bersama.
• Agar instance layanan tersedia dari jaringan yang terhubung, seperti jaringan lokal, lihat Mengakses melalui konektivitas hybrid.

Jika tidak ada opsi yang sesuai dengan kasus penggunaan Anda, produsen layanan mungkin menawarkan cara lain untuk terhubung ke layanan yang lebih sesuai—misalnya, melalui Private Service Connect. Untuk mengetahui informasi selengkapnya, lihat dokumentasi untuk layanan tersebut.

Mengakses melalui NCC

Untuk beberapa layanan yang tersedia melalui akses layanan pribadi, Anda dapat menggunakan NCC untuk membuat layanan dapat dijangkau oleh spoke lain di hub dengan membuat spoke VPC produsen. Untuk mengetahui informasi selengkapnya, termasuk layanan yang didukung, lihat Spoke VPC produsen.

Mengakses melalui VPC Bersama

Jika Anda menggunakan VPC Bersama, buat rentang IP yang dialokasikan dan koneksi pribadi di project host. Biasanya, administrator jaringan di project host harus melakukan tugas ini. Setelah project host disiapkan, instance VM dalam project layanan dapat menggunakan koneksi pribadi.

Mengakses melalui konektivitas hybrid

Dalam skenario jaringan hybrid, jaringan lokal terhubung ke jaringan VPC melalui koneksi Cloud VPN atau Cloud Interconnect. Secara default, host lokal tidak dapat menjangkau jaringan produsen layanan menggunakan akses layanan pribadi.

Di jaringan VPC, Anda mungkin memiliki rute kustom statis atau dinamis untuk mengarahkan traffic ke jaringan lokal dengan benar. Namun, jaringan produsen layanan tidak berisi rute yang sama tersebut. Saat Anda membuat koneksi pribadi, jaringan VPC dan jaringan produsen layanan hanya bertukar rute subnet.

Jaringan produsen layanan berisi rute default (0.0.0.0/0) yang menuju ke internet. Jika Anda mengekspor rute default ke jaringan produsen layanan, rute tersebut akan diabaikan, karena rute default jaringan produsen layanan yang lebih diutamakan. Sebagai gantinya, tentukan dan ekspor rute kustom dengan tujuan yang lebih spesifik.

Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi konektivitas hybrid.

Jaringan produsen layanan

Di sisi produsen layanan, koneksi pribadi adalah jaringan VPC tempat resource layanan Anda disediakan. Jaringan produsen layanan dibuat khusus untuk Anda dan hanya berisi resource Anda.

Resource di jaringan produsen layanan mirip dengan resource lain di jaringan VPC Anda. Misalnya, jaringan Anda dapat dijangkau melalui alamat IP internal oleh resource lain di jaringan VPC Anda. Anda juga dapat membuat aturan firewall di jaringan VPC untuk mengontrol akses ke jaringan produsen layanan.

Untuk mengetahui informasi selengkapnya tentang sisi produsen layanan, lihat Mengaktifkan akses layanan pribadi dalam dokumentasi Service Infrastructure. Dokumentasi ini hanya ditujukan sebagai informasi dan tidak diperlukan untuk mengaktifkan atau menggunakan akses layanan pribadi.

Membatasi koneksi pribadi dengan kebijakan organisasi

Anda dapat membatasi koneksi pribadi menggunakan kebijakan organisasi. Anda dapat menggunakan opsi berikut untuk membatasi koneksi pribadi:

• Anda dapat menggunakan batasan kebijakan organisasi constraints/compute.restrictVpcPeering untuk membatasi koneksi peering ke organisasi, folder, atau project Anda.

  Jika Anda menggunakan batasan ini, pembuatan koneksi pribadi ke layanan Google akan gagal, kecuali jika Anda menambahkan organisasi produsen layanan Google (under:organizations/433637338589) ke daftar allowedValues batasan.

• Anda dapat menggunakan batasan kustom kebijakan organisasi untuk menentukan batasan koneksi pribadi. Misalnya, mengonfigurasi batasan kustom dengan jenis resource servicenetworking.googleapis.com/Connection memungkinkan Anda melakukan hal berikut:

  • Menentukan jaringan VPC yang dapat terhubung dengan koneksi pribadi
  • Menentukan batasan untuk nama rentang yang dialokasikan yang dapat Anda gunakan untuk membuat koneksi pribadi

Harga

Untuk mengetahui harga akses layanan pribadi, lihat Akses layanan pribadi pada halaman harga VPC.

Batasan

Batasan berikut berlaku untuk akses layanan pribadi:

• Karena koneksi pribadi diterapkan sebagai koneksi Peering Jaringan VPC, perilaku dan batasan koneksi peering juga berlaku untuk koneksi pribadi. Misalnya, karena Peering Jaringan VPC tidak bersifat transitif, koneksi pribadi tidak tersedia untuk jaringan VPC yang di-peering.

  Untuk mengetahui informasi selengkapnya, lihat Peering Jaringan VPC, Batasan Peering Jaringan VPC, dan Kuota dan batas.

• Hanya satu jaringan VPC konsumen layanan yang dapat membuat koneksi pribadi yang terhubung ke instance layanan terkelola tertentu. Namun, ada cara untuk menyediakan koneksi pribadi bagi resource yang berada di luar jaringan VPC tersebut. Untuk mengetahui informasi selengkapnya, lihat Keterjangkauan instance layanan.

• Anda tidak dapat mengubah rentang alamat IP yang terkait dengan rentang yang dialokasikan. Namun, Anda dapat mengubah rentang yang dialokasikan yang terkait dengan koneksi pribadi.

• Penggunaan rentang alamat IPv6 dengan akses layanan pribadi tidak didukung.

Langkah berikutnya

• Untuk mengalokasikan rentang alamat IP, membuat koneksi pribadi, atau membagikan zona DNS pribadi, lihat Mengonfigurasi akses layanan pribadi.