Ofstân tagong foar ûntwikkelders ta in Google Cloud VPC: kies it paad

In ûntwikkelder hat ien SSH-sesje, in databasepoarte of brede tagong ta in dosyn privee tsjinsten nedich, en elk fan dy oanfragen liket deselde fraach. Dat is it net. De bestimmingen, de protokollen en de belutsen identiteiten beslisse hokker tagongspaad yn Google Cloud past, en it breedste standert kieze makket wurk dat jo net nedich hiene te besitten.

Skriuw de bestimmingen en protokollen op

Lis de privee adressen, poarten en protokollen op dy't it wurk echt nedich hat, en markearje dan hokker identiteiten apart autentisearre wurde moatte. In databasepoarte en in privee DNS-sône binne ferskate easken, en in UDP-tsjinst slút ien fan de opsjes hjirûnder folslein út. In skriftlike list lit ek sjen wat jo net jouwe. Dat is it part dêr't resinsinten oer freegje.

Doch dit foardat jo in lústerder iepenje. De list wurdt letter de akseptaasjetest, en it is de iennige betroubere manier om in smelle tunnel fan in brede te ûnderskieden dy't tafallich wurket.

IAP foar in pear TCP-tsjinsten

TCP-oerdracht yn Identity-Aware Proxy jout in autentisearre tunnel nei geskikte VM-boarnen sûnder de tsjinst oan it ynternet bleat te stellen. De deistige foarm is gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, en ien poarte kin lokaal oerdroegen wurde mei gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Trije dingen moatte oerienkomme: de oanropper hat de IAP-tunneltagongsrol nedich, de fjoermuorre moat it IAP-boarnberik tastean, en de bestimming moat op de ynstânsje berikber wêze. Machtiging om de tunnel te meitsjen is gjin databasebewiis, SSH-ynlog of RDP-sesje, dus hâld de applikaasje-autentikaasje wêr't dy heart.

IAP TCP-oerdracht is gjin VPN fan de tredde laach. It draacht TCP nei in keazen bestimming, net willekeurich IP-ferkear of UDP, en it past min as in applikaasje privee DNS oer in protte tsjinsten nedich hat.

In VPN foar ôfstânstagon foar bredere berikberens

As ferskate bestimmingen, protokollen of privee DNS-sônes nedich binne, is de bettere foarm in eksplisyt beheard VPN foar ôfstânstagon op in VM of in stipe apparaat. Dy ynset is apart fan Google beheard Cloud VPN: jo besitte de kliïntidentiteitsregistraasje, de softwarefernijings, de kliïntrûtes en de VPC-weromrûtes.

Plan de hiele list, net allinnich de iepenbiere lústerder. Nim de tunnelgroep, de VPC-rûte werom dêrhinne, oerdrachtkontrôles, DNS-oplossing en tagongsbelied per tsjinst op. In VPN dy't ferbynt mar gjin ynterne nammen oplosse kin, lit de wurkstream fan de ûntwikkelder like folslein mislearje as ien dy't nea ferbynt.

Cloud VPN is in sidepoarte, gjin laptop-profyl

Google Cloud VPN ferbynt peer-poarten oer IPsec, en syn faak stelde fragen skiede dy side-ta-side-rol fan kliïnt-ta-poarte-tagong. In tunnel meitsje produsearret gjin profyl dat in meiwurker op in laptop ymportearret. It ûnderskied is wichtich as immen om in Cloud VPN-profyl freget. It antwurd is in oar produkt.

Wat in poarte goed docht, is de masines efter in kantoarnetwurk in rûte yn de VPC jaan. It autentisearret net elke meiwurker en jout gjin applikaasjemachtigingen, dus dy beliedsregels bliuwe op de netwurk- en applikaasjelaach wêr't se per identiteit hanthavene wurde kinne.

Ferifiearje en registrearje

Testearje earst de smelste bestimming, dan dy't DNS freget, en dan in bestimming dy't wegere bliuwe moat. Rin elke test út fan deselde kliïnt dy't it paad yn produksje brûke sil, want in wurkjende test fan in administrateurswurkstasjon bewiist net folle oer in laptop fan in ûntwikkelder mei in oar netwurk.

Registrearje it keazen model, de bestimmingen dy't it beslacht, de identiteiten dy't it autentisearret en it flatergedrach as it paad net beskikber is. Dat register is wat foarkomt dat de folgjende oanfraach de tunnel stil ferbrede ynstee fan ien bestimming ta te foegjen oan in dokumintearre ûntwerp.