Fejlesztői távelérés egy Google Cloud VPC-hez: válassza ki az utat

Egy fejlesztőnek egy SSH-munkamenetre, egy adatbázisportra vagy egy tucat privát szolgáltatás széles elérésére van szüksége, és e kérések mindegyike ugyanarra a kérdésre hasonlít. Nem az. A célok, a protokollok és az érintett identitások döntik el, melyik Google Cloud hozzáférési út illik, és a legszélesebb alapértelmezett választása olyan munkát teremt, amelyet nem kellett volna magára vállalnia.

Írja le a célokat és a protokollokat

Sorolja fel a munkához ténylegesen szükséges privát címeket, portokat és protokollokat, majd jelölje meg, mely identitásokat kell külön hitelesíteni. Az adatbázisport és a privát DNS-zóna külön követelmény, az UDP-szolgáltatás pedig teljesen kizárja az alábbi lehetőségek egyikét. Az írásos lista azt is megmutatja, mit nem ad meg. Ez az a rész, amiről a bírálók kérdeznek.

Ezt a figyelő megnyitása előtt tegye meg. A lista később elfogadási tesztté válik, és ez az egyetlen megbízható módja annak, hogy megkülönböztessen egy szűk alagutat egy széles alagúttól, amely véletlenül működik.

IAP néhány TCP-szolgáltatáshoz

Az Identity-Aware Proxy TCP-továbbítása hitelesített alagutat ad a jogosult VM-erőforrásokhoz anélkül, hogy a szolgáltatást az internetre tenné. A mindennapi forma a gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, és egyetlen port helyileg továbbítható a gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a segítségével.

Három dolognak kell egyeznie: a hívónak szüksége van az IAP-alagút hozzáférési szerepkörére, a tűzfalnak engednie kell az IAP forrástartományt, és a célnak elérhetőnek kell lennie a példányon. Az alagút létrehozására adott engedély nem adatbázis-hitelesítő adat, nem SSH-bejelentkezés és nem RDP-munkamenet, ezért tartsa az alkalmazás hitelesítését ott, ahová tartozik.

Az IAP TCP-továbbítása nem harmadik rétegbeli VPN. TCP-t visz egy kiválasztott célhoz, nem önkényes IP-forgalmat vagy UDP-t, és rosszul illik, amikor egy alkalmazásnak sok szolgáltatáson át privát DNS-re van szüksége.

Távelérési VPN szélesebb elérhetőséghez

Ha több célra, protokollra vagy privát DNS-zónára van szükség, jobb forma a virtuális gépen vagy támogatott eszközön kifejezetten felügyelt távelérési VPN. Ez a telepítés elkülönül a Google által felügyelt Cloud VPN-től: Ön birtokolja az ügyfélidentitás regisztrációját, a szoftverfrissítéseket, az ügyfélútvonalakat és a VPC visszaútvonalait.

Tervezze meg a teljes listát, ne csak a nyilvános figyelőt. Foglalja bele az alagútgyűjteményt, a VPC-útvonalat vissza hozzá, a továbbítási vezérlőket, a DNS-feloldást és a szolgáltatásonkénti hozzáférési szabályzatot. Az a VPN, amely csatlakozik, de nem tudja feloldani a belső neveket, ugyanolyan teljesen bukik el a fejlesztői munkafolyamatban, mint amelyik soha nem csatlakozik.

A Cloud VPN helyszíni átjáró, nem laptop-profil

A Google Cloud VPN IPsecen keresztül kapcsolja össze a társ-átjárókat, és a gyakori kérdések elválasztják ezt a helyszín-helyszín szerepet az ügyfél-átjáró hozzáféréstől. Az alagút létrehozása nem hoz létre olyan profilt, amelyet a munkatárs laptopra importál. A megkülönböztetés akkor számít, amikor valaki Cloud VPN-profilt kér. A válasz egy másik termék.

Amit egy átjáró jól tesz, az az, hogy az irodai hálózat mögötti gépeknek útvonalat ad a VPC-be. Nem hitelesíti az egyes munkatársakat és nem ad alkalmazásengedélyeket, ezért ezek a szabályzatok a hálózati és alkalmazási rétegen maradnak, ahol identitásonként érvényesíthetők.

Ellenőrizze és rögzítse

Először a legszűkebb célt tesztelje, majd azt, amelyik DNS-t igényel, és aztán azt a célt, amelynek megtagadottnak kell maradnia. Minden tesztet ugyanabból az ügyfélből futtasson, amely élesben használni fogja az utat, mert egy működő teszt egy rendszergazdai munkaállomásról keveset bizonyít egy másik hálózatú fejlesztői laptopról.

Rögzítse a választott modellt, az általa lefedett célokat, a hitelesített identitásokat és a hibaviselkedést, amikor az út nem elérhető. Ez a feljegyzés az, ami megakadályozza, hogy a következő kérés csendben szélesítse az alagutat, ahelyett hogy egy célt adna egy dokumentált tervhez.