Google Cloud VPC-yə uzaqdan tərtibatçı girişi: düzgün yolu seçin

Bir tərtibatçıya bir SSH sessiyası, verilənlər bazası portu və ya onlarla şəxsi xidmətə geniş giriş lazımdır və bu sorğuların hər biri eyni sual kimi görünür. Elə deyil. Hədəflər, protokollar və iştirak edən kimliklər hansı Google Cloud giriş yolunun uyğun olduğunu müəyyən edir və standart olaraq ən genişini seçmək sahibi olmağa ehtiyac duymadığınız iş yaradır.

Hədəfləri və protokolları yazın

İşin həqiqətən ehtiyac duyduğu şəxsi ünvanları, portları və protokolları sadalayın, sonra ayrıca autentifikasiya edilməli kimlikləri qeyd edin. Verilənlər bazası portu və şəxsi DNS zonası fərqli tələblərdir və UDP xidməti aşağıdakı variantlardan birini tamamilə istisna edir. Yazılı siyahı həm də nəyi vermədiyinizi göstərir. Rəyçilərin soruşduğu hissə məhz budur.

Bunu dinləyici açmadan əvvəl edin. Siyahı sonradan qəbul testinə çevrilir və dar tuneli təsadüfən işləyən geniş tuneldən ayırmağın yeganə etibarlı yoludur.

Bir neçə TCP xidməti üçün IAP

Identity-Aware Proxy TCP yönləndirməsi xidməti internetə məruz qoymadan uyğun VM resurslarına autentifikasiya olunmuş tunel verir. Gündəlik forma gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a və tək port gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a ilə yerli olaraq yönləndirilə bilər.

Üç şey uyğun olmalıdır: çağıran IAP tunel giriş roluna sahib olmalı, firewall IAP mənbə diapazonunu qəbul etməli və hədəf instansiyada əlçatan olmalıdır. Tunel yaratmaq üçün icazə verilənlər bazası etimadnaməsi, SSH girişi və ya RDP sessiyası deyil, ona görə tətbiq autentifikasiyasını öz yerində saxlayın.

IAP TCP yönləndirməsi üçüncü qat VPN deyil. O, TCP-ni seçilmiş hədəfə daşıyır, ixtiyari IP trafikini və ya UDP-ni deyil və tətbiq bir çox xidmət üzrə şəxsi DNS-ə ehtiyac duyduqda zəif uyğundur.

Daha geniş əlçatanlıq üçün uzaqdan giriş VPN-i

Bir neçə hədəf, protokol və ya şəxsi DNS zonası tələb olunduqda, VM və ya dəstəklənən cihaz üzərində açıq şəkildə idarə olunan uzaqdan giriş VPN-i daha yaxşı formadır. Bu yerləşdirmə Google-un idarə etdiyi Cloud VPN-dən ayrıdır: müştəri kimliyinin qeydiyyatı, proqram yeniləmələri, müştəri marşrutları və VPC geri dönüş marşrutları sizin məsuliyyətinizdədir.

Yalnız ictimai dinləyicini deyil, bütün siyahını planlayın. Tunel hovuzunu, ona geri VPC marşrutunu, yönləndirmə nəzarətlərini, DNS həllini və hər xidmət üzrə giriş siyasətini daxil edin. Qoşulan, lakin daxili adları həll edə bilməyən VPN tərtibatçı iş axınını heç vaxt qoşulmayan VPN qədər tamamilə uğursuz edir.

Cloud VPN sayt şlüzüdür, noutbuk profili deyil

Google Cloud VPN həmkar şlüzlərini IPsec üzərindən birləşdirir və onun ümumi suallar səhifəsi bu sayt-sayt rolunu müştəri-şlüz girişindən ayırır. Tunel yaratmaq işçinin noutbukda idxal etdiyi profil yaratmır. Fərq kiminsə Cloud VPN profili istəməsi zamanı vacibdir. Cavab fərqli bir məhsuldur.

Şlüzün yaxşı etdiyi şey ofis şəbəkəsinin arxasındakı maşınlara VPC-yə marşrut verməkdir. O, hər işçini autentifikasiya etmir və tətbiq icazələri vermir, ona görə bu siyasətlər hər kimlik üzrə tətbiq oluna bilən şəbəkə və tətbiq qatlarında qalır.

Yoxlayın və qeyd edin

Əvvəlcə ən dar hədəfi, sonra DNS tələb edən hədəfi, sonra rədd edilməli qalan hədəfi yoxlayın. Hər testi istehsalda yolu istifadə edəcək eyni müştəridən keçirin, çünki administrator iş stansiyasından işləyən test fərqli şəbəkəyə malik tərtibatçı noutbuku haqqında az şey sübut edir.

Seçilmiş modeli, əhatə etdiyi hədəfləri, autentifikasiya etdiyi kimlikləri və yol əlçatan olmadıqda nasazlıq davranışını qeyd edin. Bu qeyd növbəti sorğunun sənədləşdirilmiş dizayna bir hədəf əlavə etmək əvəzinə tuneli səssizcə genişləndirməsinin qarşısını alır.