Απομακρυσμένη πρόσβαση προγραμματιστή σε VPC του Google Cloud: επιλέξτε τη διαδρομή

Ένας προγραμματιστής χρειάζεται μία συνεδρία SSH, μία θύρα βάσης δεδομένων ή ευρεία πρόσβαση σε δώδεκα ιδιωτικές υπηρεσίες, και κάθε ένα από αυτά τα αιτήματα μοιάζει με την ίδια ερώτηση. Δεν είναι. Οι προορισμοί, τα πρωτόκολλα και οι ταυτότητες που εμπλέκονται καθορίζουν ποια διαδρομή πρόσβασης στο Google Cloud ταιριάζει, και η προεπιλεγμένη επιλογή της ευρύτερης δημιουργεί εργασία που δεν χρειαζόταν να αναλάβετε.

Καταγράψτε τους προορισμούς και τα πρωτόκολλα

Καταγράψτε τις ιδιωτικές διευθύνσεις, τις θύρες και τα πρωτόκολλα που χρειάζεται πραγματικά η εργασία και μετά σημειώστε ποιες ταυτότητες πρέπει να επαληθεύονται χωριστά. Μία θύρα βάσης δεδομένων και μία ιδιωτική ζώνη DNS είναι διαφορετικές απαιτήσεις, και μία υπηρεσία UDP αποκλείει εντελώς μία από τις παρακάτω επιλογές. Μία γραπτή λίστα δείχνει επίσης τι δεν παραχωρείτε. Αυτό είναι το σημείο που ρωτούν οι αξιολογητές.

Κάντε το πριν ανοίξετε έναν ακροατή. Η λίστα γίνεται αργότερα το τεστ αποδοχής, και είναι ο μόνος αξιόπιστος τρόπος να ξεχωρίσετε μία στενή σήραγγα από μία ευρεία που τυχαίνει να λειτουργεί.

IAP για λίγες υπηρεσίες TCP

Η προώθηση TCP στο Identity-Aware Proxy δίνει μία πιστοποιημένη σήραγγα σε κατάλληλους πόρους VM χωρίς να εκθέτει την υπηρεσία στο διαδίκτυο. Η καθημερινή μορφή είναι gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, και μία μόνο θύρα μπορεί να προωθηθεί τοπικά με gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Τρία πράγματα πρέπει να συμφωνήσουν: ο καλών χρειάζεται τον ρόλο πρόσβασης σήραγγας IAP, το τείχος προστασίας πρέπει να επιτρέπει το εύρος προέλευσης IAP, και ο προορισμός πρέπει να είναι προσβάσιμος στο στιγμιότυπο. Η εξουσιοδότηση για τη δημιουργία της σήραγγας δεν είναι διαπιστευτήριο βάσης δεδομένων, σύνδεση SSH ή συνεδρία RDP, οπότε κρατήστε την επαλήθευση της εφαρμογής εκεί που ανήκει.

Η προώθηση TCP στο IAP δεν είναι VPN τρίτου επιπέδου. Μεταφέρει TCP σε επιλεγμένο προορισμό, όχι αυθαίρετη κίνηση IP ή UDP, και δεν ταιριάζει καλά όταν μία εφαρμογή χρειάζεται ιδιωτικό DNS σε πολλές υπηρεσίες.

VPN απομακρυσμένης πρόσβασης για ευρύτερη προσβασιμότητα

Όταν απαιτούνται πολλοί προορισμοί, πρωτόκολλα ή ιδιωτικές ζώνες DNS, καλύτερη μορφή είναι ένα ρητά διαχειριζόμενο VPN απομακρυσμένης πρόσβασης σε VM ή υποστηριζόμενη συσκευή. Αυτή η ανάπτυξη είναι ξεχωριστή από το διαχειριζόμενο από την Google Cloud VPN: εσείς έχετε την εγγραφή ταυτότητας πελάτη, τις ενημερώσεις λογισμικού, τις διαδρομές πελάτη και τις διαδρομές επιστροφής στο VPC.

Σχεδιάστε ολόκληρη τη λίστα, όχι μόνο τον δημόσιο ακροατή. Συμπεριλάβετε τη δεξαμενή σηράγγων, τη διαδρομή VPC πίσω σε αυτήν, τους ελέγχους προώθησης, την επίλυση DNS και την πολιτική πρόσβασης ανά υπηρεσία. Ένα VPN που συνδέεται αλλά δεν μπορεί να επιλύσει εσωτερικά ονόματα αποτυγχάνει στη ροή εργασίας του προγραμματιστή εξίσου πλήρως με ένα που δεν συνδέεται ποτέ.

Το Cloud VPN είναι πύλη τοποθεσίας, όχι προφίλ φορητού υπολογιστή

Το Google Cloud VPN συνδέει πύλες ομοτίμων μέσω IPsec, και οι συχνές ερωτήσεις του διαχωρίζουν αυτόν τον ρόλο τοποθεσίας-σε-τοποθεσία από την πρόσβαση πελάτη-σε-πύλη. Η δημιουργία σήραγγας δεν παράγει προφίλ που εισάγει ένας εργαζόμενος σε φορητό υπολογιστή. Η διάκριση έχει σημασία όταν κάποιος ζητά προφίλ Cloud VPN. Η απάντηση είναι διαφορετικό προϊόν.

Αυτό που κάνει καλά μία πύλη είναι να δίνει στα μηχανήματα πίσω από ένα δίκτυο γραφείου μία διαδρομή στο VPC. Δεν επαληθεύει κάθε εργαζόμενο ούτε παραχωρεί άδειες εφαρμογών, οπότε αυτές οι πολιτικές μένουν στο επίπεδο δικτύου και εφαρμογής όπου μπορούν να επιβληθούν ανά ταυτότητα.

Επαληθεύστε και καταγράψτε

Δοκιμάστε πρώτα τον στενότερο προορισμό, μετά εκείνον που απαιτεί DNS, και έπειτα έναν προορισμό που πρέπει να παραμείνει απορριπτόμενος. Εκτελέστε κάθε δοκιμή από τον ίδιο πελάτη που θα χρησιμοποιήσει τη διαδρομή στην παραγωγή, γιατί μία επιτυχημένη δοκιμή από σταθμό εργασίας διαχειριστή αποδεικνύει ελάχιστα για έναν φορητό υπολογιστή προγραμματιστή με διαφορετικό δίκτυο.

Καταγράψτε το μοντέλο που επιλέχθηκε, τους προορισμούς που καλύπτει, τις ταυτότητες που επαληθεύει και τη συμπεριφορά αστοχίας όταν η διαδρομή δεν είναι διαθέσιμη. Αυτή η καταγραφή είναι ό,τι εμποδίζει το επόμενο αίτημα να διευρύνει σιωπηλά τη σήραγγα αντί να προσθέσει έναν προορισμό σε ένα τεκμηριωμένο σχέδιο.