Garapenaren urruneko sarbidea Google Cloud VPC batera: aukeratu bidea

Garatzaile bati SSH saio bat, datu-baseko ataka bat edo dozena bat zerbitzu pribaturako sarbide zabala behar zaio, eta eskaera horietako bakoitzak galdera bera dirudi. Ez da. Helmugek, protokoloek eta inplikatutako identitateek erabakitzen dute zein Google Cloud sarbide-bide egokitzen den, eta lehenespenez zabalena aukeratzeak jabetu behar ez zenukeen lana sortzen du.

Idatzi helmugak eta protokoloak

Zerrendatu lanak benetan behar dituen helbide pribatuak, atakak eta protokoloak, eta, ondoren, markatu zein identitate autentifikatu behar diren bereizita. Datu-baseko ataka bat eta DNS zona pribatu bat baldintza desberdinak dira, eta UDP zerbitzu batek beheko aukeretako bat erabat baztertzen du. Idatzitako zerrendak ere erakusten du zer ez duzun ematen. Hori da berrikusleek galdetzen duten zatia.

Egin hori entzule bat ireki aurretik. Zerrenda onarpen-proba bihurtzen da geroago, eta tunel estu bat kasualitatez funtzionatzen duen tunel zabal batetik bereizteko modu fidagarri bakarra da.

IAP TCP zerbitzu gutxi batzuetarako

Identity-Aware Proxy-ren TCP birbidaltzeak tunel autentifikatu bat ematen die VM baliabide egokiei, zerbitzua interneten agerian jarri gabe. Eguneroko forma gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a da, eta ataka bakar bat lokalean birbidal daiteke gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a erabiliz.

Hiru gauza bat etorri behar dira: deitzaileak IAP tunelaren sarbide-rola behar du, suebakiak IAP jatorri-tartea onartu behar du, eta helmugak instantzian irisgarria izan behar du. Tunela sortzeko baimena ez da datu-baseko kredentziala, SSH saio-hasiera edo RDP saioa, beraz, eduki aplikazioaren autentifikazioa dagokion tokian.

IAP-ren TCP birbidaltzea ez da hirugarren geruzako VPN bat. TCP helmuga hautatu batera eramaten du, ez IP trafiko arbitrarioa edo UDP, eta gaizki egokitzen da aplikazio batek zerbitzu askotan zehar DNS pribatua behar duenean.

Urruneko sarbideko VPN bat irisgarritasun zabalago baterako

Hainbat helmuga, protokolo edo DNS zona pribatu behar direnean, forma hobea VM batean edo onartutako gailu batean espresuki kudeatutako urruneko sarbideko VPN bat da. Hedapen hori Google-ek kudeatutako Cloud VPN-etik bereizia da: zurea da bezeroaren identitatearen erregistroa, softwarearen eguneratzeak, bezeroaren ibilbideak eta VPC-ren itzulera-ibilbideak.

Planifikatu zerrenda osoa, ez entzule publikoa bakarrik. Sartu tunelen multzoa, berorretarako VPC ibilbidea, birbidaltze-kontrolak, DNS ebazpena eta zerbitzu bakoitzeko sarbide-politika. Konektatzen den baina barne-izenak ebatzi ezin dituen VPN batek garatzailearen lan-fluxua huts egiten du inoiz konektatzen ez duen batek bezain erabat.

Cloud VPN gune-pasabide bat da, ez ordenagailu eramangarriaren profila

Google Cloud VPN-ek pareko pasabideak konektatzen ditu IPsec bidez, eta haren ohiko galderak gune-gune rol hori bezero-pasabide sarbidetik bereizten dute. Tunel bat sortzeak ez du sortzen langile batek ordenagailu eramangarrian inportatzen duen profila. Bereizketa garrantzitsua da norbaitek Cloud VPN profila eskatzen duenean. Erantzuna beste produktu bat da.

Pasabide batek ondo egiten duena zera da: bulego-sare baten atzeko makinei VPC-ra sartzeko ibilbidea ematea. Ez du langile bakoitza autentifikatzen ez eta aplikazio-baimenik ematen, beraz politika horiek sare- eta aplikazio-geruzetan geratzen dira, non identitateka ezar daitezkeen.

Egiaztatu eta erregistratu

Probatu lehenik helmugarik estuena, gero DNS behar duena, eta ondoren ukatuta jarraitu behar duen helmuga bat. Exekutatu proba bakoitza ekoizpenean bidea erabiliko duen bezero beretik, administratzailearen lan-estazio batetik funtzionatzen duen probak gutxi frogatzen baitu sare desberdina duen garatzaile baten ordenagailu eramangarriari buruz.

Erregistratu aukeratutako eredua, estaltzen dituen helmugak, autentifikatzen dituen identitateak eta bidea erabilgarri ez dagoenean huts egiteko portaera. Erregistro hori da hurrengo eskaerak tunela isilpean zabaltzea eragozten duena, dokumentatutako diseinuari helmuga bat gehitzea ordez.