> ## Documentation Index
> Fetch the complete documentation index at: https://private-7c7dfe99-trino-dialect.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.
# BYOC GCP 私有网络设置
> 为 GCP 上的 BYOC 设置 VPC 对等互连 或 Private Service Connect
export const Image = ({img, alt, size = "lg"}) => {
const normalizedSize = ["sm", "md", "lg"].includes(size) ? size : "lg";
return ;
};
ClickHouse 在 GCP 上的 BYOC 支持两种私有连接方式：VPC 对等互连 和 PSC (Private Service Connect)。
## 前置条件
VPC 对等互连 和 PSC 共同需要执行的步骤。
### 为 ClickHouse BYOC 启用私有负载均衡器
在 ClickHouse Cloud 控制台中，为您的 BYOC 基础设施启用**私网负载均衡器**。
## 设置 VPC 对等互连
请先了解 [GCP VPC 对等互连 功能](https://docs.cloud.google.com/vpc/docs/vpc-peering)，并注意 VPC 对等互连的限制 (例如，已对等互连的 VPC 网络之间，子网 IP 范围不能重叠) 。ClickHouse BYOC 使用私网负载均衡器，通过对等互连为 ClickHouse 服务提供网络连通性。
如需为 ClickHouse BYOC 创建或删除 VPC 对等互连，请按照以下步骤操作：
以下示例步骤适用于简单场景；对于更复杂的场景，例如与本地环境网络进行对等互连，可能需要进行一些调整。
在本示例中，我们将在 BYOC VPC 网络与另一个现有的 VPC 网络之间建立对等互连。
1. 在 ClickHouse BYOC Google Cloud 项目中，进入 “VPC Network”。
2. 选择 “VPC network peering”。
3. 点击 “Create connection”。
4. 根据你的需求填写必要字段。下面是在同一 GCP 项目中创建对等互连的截图。
GCP VPC 对等互连要求在这两个网络之间建立 2 个连接才能生效 (即，一个从 BYOC 网络到现有 VPC 网络的连接，以及一个从现有 VPC 网络到 BYOC 网络的连接) 。因此，你还需要按相反方向再创建 1 个连接。下面是创建第二个对等连接的截图：
两个连接都创建完成后，刷新 Google Cloud Console 页面，这 2 个连接的状态应变为 “Active”：
此时，应可从已对等互连的 VPC 访问 ClickHouse 服务。
如需私有访问 ClickHouse，系统会预配私网负载均衡器和端点，以便从用户已对等互连的 VPC 安全连接。专用终结点遵循公共端点的格式，并带有 `-private` 后缀。例如：
* **公共端点**：`h5ju65kv87.mhp0y4dmph.us-east1.gcp.clickhouse-byoc.com`
* **专用终结点**：`h5ju65kv87-private.mhp0y4dmph.us-east1.gcp.clickhouse-byoc.com`
## 配置 PSC (Private Service Connect)
GCP PSC (Private Service Connect) 可为您的 ClickHouse BYOC 服务提供安全的私网连接，无需进行 VPC 对等互连 或使用互联网网关。所有流量均在 GCP 网络内传输，确保不会经过公网。
请确保已启用私网负载均衡器，这是前置条件。
获取端点 Service name} id="step-2-obtain-endpoint-service-name">
1. 在 ClickHouse Cloud 控制台中，进入要通过 PSC 连接的服务的 Settings 页面。
2. 点击“设置专用终结点”。
3. 在打开的弹出面板中，复制 `Service name` 和 `DNS name` 的值，下一步将用到它们。 (启用 Private Link 后，可能需要一段时间才能生成这些值。)
1. 打开您自己的 GCP 控制台 (即客户端应用程序所在 GCP 账户的控制台) → Network Services → Private Service Connect → Connected Endpoints。
2. 点击“Connect Endpoint”按钮，打开 Private Service Connect 创建对话框。
3. 填写以下字段：
* **目标**：选择 `Published service`
* **目标服务**：使用上一步获取的 `Service name`
* **端点名称**：输入有效的端点名称
* **网络/子网**：选择用于连接的网络；客户端应用程序将通过该网络进行连接
* **IP 地址**：为端点选择或创建新的 IP 地址；在步骤 [为端点设置私有 DNS 名称](#step-5-set-private-dns-name-for-endpoint) 中需要使用该 IP 地址
* (可选) **启用全局访问**：如果希望可从任意区域访问该端点，请启用此选项
* 点击“ADD ENDPOINT”按钮创建端点。
4. 连接获批后，Status 列将从 Pending 变为 Accepted。
5. 创建端点后，复制 `PSC Connection ID` 的值，下一步将用到它。
将 Endpoint ID 添加到 ClickHouse 服务允许列表} id="step-4-add-endpoint-id-to-services-allow-list">
1. 在 ClickHouse Cloud 控制台中，进入要通过 PSC 连接的服务的 Settings 页面。
2. 点击“设置专用终结点”。
3. 在打开的弹出面板中，将上一步获取的 `PSC Connection ID` 填入 `Endpoint ID` 字段，也可选择添加描述。
4. 点击“创建端点”。
如果要允许通过现有 PSC 连接访问，请使用现有端点下拉列表。
下拉列表会显示同一基础设施中各服务的现有 PSC 连接。
DNS 的配置方式有多种。请根据您的具体用例配置 DNS。
您需要将“DNS name”的所有子域名 (通配符) 指向 GCP PSC 端点 IP 地址，以确保 VPC/网络中的服务和组件能够正确解析该名称。
1. 在 ClickHouse Cloud 控制台中，进入服务的 Settings 页面。
2. 点击“设置专用终结点”。
3. 在打开的弹出面板中，复制 `DNS name`。
通过 PSC 访问 ClickHouse 服务受服务级别的 **Istio 授权策略**控制，该策略由 ClickHouse 在您的 BYOC 基础设施中管理。