Accés remot de desenvolupadors a una VPC de Google Cloud: trieu el camí

Un desenvolupador necessita una sessió SSH, un port de base de dades o accés ampli a una dotzena de serveis privats, i cadascuna d'aquestes peticions sembla la mateixa pregunta. No ho és. Les destinacions, els protocols i les identitats implicades decideixen quin camí d'accés de Google Cloud encaixa, i triar el més ampli per defecte crea feina que no havíeu de assumir.

Anoteu les destinacions i els protocols

Llisteu les adreces privades, els ports i els protocols que la feina necessita realment, i després marqueu quines identitats s'han d'autenticar per separat. Un port de base de dades i una zona DNS privada són requisits diferents, i un servei UDP descarta del tot una de les opcions següents. Una llista escrita també mostra què no esteu concedint. Aquesta és la part que pregunten els revisors.

Feu això abans d'obrir un oient. La llista es converteix més tard en la prova d'acceptació, i és l'única manera fiable de distingir un túnel estret d'un d'ample que funciona per casualitat.

IAP per a uns quants serveis TCP

El reenviament TCP d'Identity-Aware Proxy dona un túnel autenticat cap a recursos de VM elegibles sense exposar el servei a internet. La forma quotidiana és gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, i un sol port es pot reenviar localment amb gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Tres coses han de coincidir: el cridaner necessita el rol d'accés al túnel IAP, el tallafoc ha d'admetre el rang d'origen de l'IAP i la destinació ha de ser abastable a la instància. L'autorització per crear el túnel no és una credencial de base de dades, un inici de sessió SSH ni una sessió RDP, així que deixeu l'autenticació de l'aplicació on toca.

El reenviament TCP de l'IAP no és una VPN de capa tres. Porta TCP cap a una destinació seleccionada, no tràfic IP arbitrari ni UDP, i encaixa malament quan una aplicació necessita DNS privat a molts serveis.

Una VPN d'accés remot per a una abastabilitat més àmplia

Quan calen diverses destinacions, protocols o zones DNS privades, la millor forma és una VPN d'accés remot gestionada explícitament en una VM o un aparell compatible. Aquest desplegament és separat del Cloud VPN gestionat per Google: vosaltres poseïu l'alta d'identitat del client, les actualitzacions de programari, les rutes del client i les rutes de retorn de la VPC.

Planifiqueu tota la llista, no només l'oient públic. Incloeu el conjunt de túnels, la ruta de la VPC de tornada, els controls de reenviament, la resolució DNS i la política d'accés per servei. Una VPN que connecta però no pot resoldre noms interns fa fracassar el flux de treball del desenvolupador tan completament com una que no connecta mai.

Cloud VPN és una passarel·la de lloc, no un perfil de portàtil

Google Cloud VPN connecta passarel·les parelles per IPsec, i les seves preguntes freqüents separen aquest paper de lloc a lloc de l'accés de client a passarel·la. Crear un túnel no produeix un perfil que un empleat importi en un portàtil. La distinció importa quan algú demana un perfil de Cloud VPN. La resposta és un producte diferent.

El que una passarel·la fa bé és donar a les màquines darrere d'una xarxa d'oficina una ruta cap a la VPC. No autentica cada empleat ni concedeix permisos d'aplicació, així que aquestes polítiques queden a les capes de xarxa i d'aplicació on es poden aplicar per identitat.

Verifiqueu i registreu

Proveu primer la destinació més estreta, després la que necessita DNS i després una destinació que ha de romandre denegada. Executeu cada prova des del mateix client que farà servir el camí en producció, perquè una prova que funciona des d'una estació de treball d'administrador demostra poc sobre un portàtil de desenvolupador amb una xarxa diferent.

Registreu el model triat, les destinacions que cobreix, les identitats que autentica i el comportament de fallada quan el camí no és disponible. Aquest registre és el que evita que la petició següent ampliï el túnel en silenci en lloc d'afegir una destinació a un disseny documentat.