Mynediad datblygwr o bell i VPC Google Cloud: dewiswch y llwybr

Mae datblygwr angen un sesiwn SSH, porth cronfa ddata neu fynediad eang i ddwsin o wasanaethau preifat, ac mae pob un o'r ceisiadau hynny'n edrych fel yr un cwestiwn. Nid yw. Mae'r cyrchfannau, y protocolau a'r hunaniaethau sy'n rhan ohonynt yn penderfynu pa lwybr mynediad Google Cloud sy'n addas, ac mae dewis yr un ehangaf yn y gosodiad diofyn yn creu gwaith nad oedd angen ei berchnogi.

Nodwch y cyrchfannau a'r protocolau

Rhestrwch y cyfeiriadau preifat, y porthladdoedd a'r protocolau y mae'r gwaith eu hangen mewn gwirionedd, yna marciwch ba hunaniaethau sy'n rhaid eu dilysu ar wahân. Mae porth cronfa ddata a chylch DNS preifat yn ofynion gwahanol, ac mae gwasanaeth UDP yn eithrio un o'r opsiynau isod yn gyfan gwbl. Mae rhestr ysgrifenedig hefyd yn dangos yr hyn nad ydych yn ei ganiatáu. Dyna'r rhan y mae adolygwyr yn gofyn amdani.

Gwnewch hyn cyn agor gwrandäwr. Daw'r rhestr yn brawf derbyn yn ddiweddarach, a dyma'r unig ffordd ddibynadwy o wahaniaethu twnnel cul oddi wrth un eang sy'n digwydd gweithio.

IAP ar gyfer ychydig o wasanaethau TCP

Mae anfon TCP ymlaen yn Identity-Aware Proxy yn rhoi twnnel dilysedig i adnoddau VM cymwys heb ddatgelu'r gwasanaeth i'r rhyngrwyd. Y ffurf bob dydd yw gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, a gellir anfon un porth ymlaen yn lleol gyda gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Rhaid i dri pheth gyd-fynd: mae ar y galwr angen rôl mynediad twnnel IAP, rhaid i'r wal dân dderbyn amrediad ffynhonnell IAP, a rhaid i'r cyrchfan fod yn gyrraeddadwy ar y fersiwn. Nid yw awdurdod i greu'r twnnel yn gymhwysiad cronfa ddata, yn fewngofnod SSH nac yn sesiwn RDP, felly cadwch ddilysu'r cymhwysiad lle mae'n perthyn.

Nid yw anfon TCP ymlaen yn IAP yn VPN haen tri. Mae'n cludo TCP i gyrchfan a ddewiswyd, nid traffig IP mympwyol nac UDP, ac mae'n annaddas pan fo cymhwysiad angen DNS preifat ar draws llawer o wasanaethau.

VPN mynediad o bell ar gyfer cyrhaeddiad ehangach

Pan fo angen sawl cyrchfan, protocol neu gylch DNS preifat, y ffurf well yw VPN mynediad o bell a reolir yn benodol ar VM neu offeryn â chymorth. Mae'r defnydd hwnnw ar wahân i Cloud VPN a reolir gan Google: chi sy'n berchen ar gofrestru hunaniaeth y cleient, y diweddariadau meddalwedd, llwybrau'r cleient a llwybrau dychwelyd y VPC.

Cynlluniwch y rhestr gyfan, nid y gwrandäwr cyhoeddus yn unig. Cynhwyswch y pwll twnnel, llwybr y VPC yn ôl ato, rheolyddion anfon ymlaen, datrysiad DNS a pholisi mynediad fesul gwasanaeth. Mae VPN sy'n cysylltu ond na all ddatrys enwau mewnol yn methu llif gwaith y datblygwr mor llwyr ag un na chysylltodd erioed.

Porth safle yw Cloud VPN, nid proffil gliniadur

Mae Google Cloud VPN yn cysylltu pyrth cyfoed dros IPsec, ac mae ei gwestiynau cyffredin yn gwahanu'r rôl safle-i-safle honno oddi wrth fynediad cleient-i-borth. Nid yw creu twnnel yn cynhyrchu proffil y mae gweithiwr yn ei fewnforio ar liniadur. Mae'r gwahaniaeth yn bwysig pan fo rhywun yn gofyn am broffil Cloud VPN. Cynnyrch gwahanol yw'r ateb.

Yr hyn y mae porth yn ei wneud yn dda yw rhoi llwybr i'r VPC i'r peiriannau y tu ôl i rwydwaith swyddfa. Nid yw'n dilysu pob gweithiwr nac yn rhoi caniatâd cymhwysiad, felly mae'r polisïau hynny'n aros ar haenau'r rhwydwaith a'r cymhwysiad lle gellir eu gorfodi fesul hunaniaeth.

Gwirio a chofnodi

Profwch y gyrchfan gulaf yn gyntaf, yna'r un sy'n gofyn am DNS, yna cyrchfan sy'n rhaid aros wedi'i gwrthod. Rhedwch bob prawf o'r un cleient a fydd yn defnyddio'r llwybr mewn cynhyrchiad, oherwydd ychydig y mae prawf llwyddiannus o orsaf waith gweinyddwr yn ei brofi am liniadur datblygwr â rhwydwaith gwahanol.

Cofnodwch y model a ddewiswyd, y cyrchfannau mae'n eu cynnwys, yr hunaniaethau mae'n eu dilysu a'r ymddygiad pan fo'r llwybr ddim ar gael. Y cofnod hwnnw sy'n atal y cais nesaf rhag lledu'r twnnel yn ddistaw yn lle ychwanegu un gyrchfan at ddyluniad wedi'i gofnodi.