Google Cloud VPC-ге әзірлеушінің қашықтан қатынауы: жолды таңдаңыз

Әзірлеушіге бір SSH сессиясы, дерекқор порты немесе ондаған жеке қызметке кең қатынау қажет, және бұл сұраулардың әрқайсысы бірдей сұрақ болып көрінеді. Олай емес. Межелер, хаттамалар және тартылған сәйкестіктер Google Cloud-та қай қатынау жолы сәйкес келетінін анықтайды, ал әдепкі бойынша ең кеңін таңдау өзіңізге тиесілі болмауы керек жұмыс жасайды.

Межелер мен хаттамаларды жазып алыңыз

Жұмысқа шынымен қажет жеке мекенжайларды, порттарды және хаттамаларды тізіп шығыңыз, содан кейін қай сәйкестіктерді бөлек растау керектігін белгілеңіз. Дерекқор порты мен жеке DNS аймағы түрлі талаптар, ал UDP қызметі төмендегі нұсқалардың бірін толығымен жоққа шығарады. Жазбаша тізім нені бермей жатқаныңызды да көрсетеді. Шолушылар дәл осы бөлікті сұрайды.

Мұны тыңдаушыны ашпас бұрын жасаңыз. Тізім кейін қабылдау тестіне айналады, және тар туннельді кездейсоқ жұмыс істейтін кең туннельден ажыратудың жалғыз сенімді жолы осы.

Бірнеше TCP қызметі үшін IAP

Identity-Aware Proxy-дегі TCP жіберу қызметті интернетке шығармай-ақ қолайлы VM ресурстарына расталған туннель береді. Күнделікті пішіні — gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, ал бір портты жергілікті түрде gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a арқылы жіберуге болады.

Үш нәрсе сәйкесуі керек: шақырушыға IAP туннеліне қатынау рөлі қажет, брандмауэр IAP бастау ауқымын жіберуі керек, ал меже данада қолжетімді болуы керек. Туннель жасауға рұқсат дерекқор тіркелгі деректері, SSH кіру немесе RDP сессиясы емес, сондықтан қолданбаны растауды өз орнында қалдырыңыз.

IAP-тегі TCP жіберу үшінші қабаттың VPN-і емес. Ол TCP-ні таңдалған межеге жеткізеді, ерікті IP трафигін немесе UDP-ні емес, және қолданбаға көптеген қызмет бойынша жеке DNS қажет болғанда нашар сәйкеседі.

Кеңірек қолжетімділік үшін қашықтан қатынау VPN-і

Бірнеше меже, хаттама немесе жеке DNS аймағы қажет болғанда, VM немесе қолдау көрсетілген құрылғыда анық басқарылатын қашықтан қатынау VPN-і жақсырақ пішін. Бұл орналастыру Google басқаратын Cloud VPN-нен бөлек: клиент сәйкестігін тіркеу, бағдарламалық жаңартулар, клиент маршруттары және VPC қайтару маршруттары сізде.

Бүкіл тізімді жоспарлаңыз, тек қоғамдық тыңдаушыны емес. Туннельдер пулын, оған қайтатын VPC маршрутын, жіберу бақылауын, DNS шешімін және әр қызметтің қатынау саясатын қосыңыз. Қосылатын, бірақ ішкі атауларды шеше алмайтын VPN әзірлеушінің жұмыс ағынын ешқашан қосылмайтын VPN сияқты толық сәтсіздікке ұшыратады.

Cloud VPN — сайт қақпасы, ноутбук профилі емес

Google Cloud VPN IPsec арқылы тең қақпаларды қосады, және оның жиі қойылатын сұрақтары сол сайт-сайт рөлін клиент-қақпа қатынауынан бөледі. Туннель жасау қызметкер ноутбукке импорттайтын профиль жасамайды. Бұл айырмашылық біреу Cloud VPN профилін сұрағанда маңызды. Жауап — басқа өнім.

Қақпа жақсы жасайтыны — кеңсе желісінің артындағы машиналарға VPC-ге маршрут беру. Ол әр қызметкерді растамайды және қолданба рұқсаттарын бермейді, сондықтан бұл саясаттар сәйкестік бойынша орындалатын желі және қолданба қабаттарында қалады.

Тексеріңіз және жазып алыңыз

Алдымен ең тар межені, содан кейін DNS қажет ететін межені, сосын қабылдамай қалуы тиіс межені сынаңыз. Әр сынақты өндірісте бұл жолды пайдаланатын сол клиенттен орындаңыз, өйткені әкімші жұмыс станциясынан сәтті сынақ басқа желісі бар әзірлеуші ноутбукі туралы аз дәлелдейді.

Таңдалған модельді, ол қамтитын межелерді, растайтын сәйкестіктерді және жол қолжетімсіз болғандағы ақаулық әрекетін жазып алыңыз. Дәл осы жазба келесі сұраудың құжатталған жобаға бір меже қосудың орнына туннельді үнсіз кеңейтуіне жол бермейді.