Google Cloud VPCге программисттин алыскы кирүүсү: жолду тандаңыз

Программистке бир SSH сессиясы, маалымат базасынын порту же ондогон жеке кызматтарга кеңири кирүү керек, жана бул суроолордун ар бири бирдей суроо сыяктуу көрүнөт. Андай эмес. Багыттар, протоколдор жана катышкан инсандар Google Cloud платформасында кайсы кирүү жолу туура келерин аныктайт, ал эми демейки боюнча эң кеңин тандоо өзүңүзгө таандык болбошу керек болгон ишти жаратат.

Багыттарды жана протоколдорду жазып алыңыз

Ишке чындап керек болгон жеке даректерди, портторду жана протоколдорду тизмелеп чыгыңыз, анан кайсы инсандарды өзүнчө ырастоо керектигин белгилеңиз. Маалымат базасынын порту жана жеке DNS аймагы ар башка талаптар, ал эми UDP кызматы төмөнкү варианттардын бирин толугу менен жокко чыгарат. Жазма тизме эмнени бербей жатканыңызды да көрсөтөт. Сынчылар дал ушул бөлүктү сурашат.

Муну угуучуну ачканга чейин жасаңыз. Тизме кийин кабыл алуу тестине айланат, жана кууш туннелди кокустан иштеген кең туннелден айырмалоонун жалгыз ишенимдүү жолу ушул.

Бир нече TCP кызматы үчүн IAP

Identity-Aware Proxy ичиндеги TCP жөнөтүү кызматты интернетке чыгарбастан ылайыктуу VM ресурстарына ырасталган туннель берет. Күнүмдүк формасы — gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, ал эми бир портту жергиликтүү түрдө gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a менен жөнөтсө болот.

Үч нерсе шайкеш келиши керек: чакыруучуга IAP туннелине кирүү ролу керек, брандмауэр IAP баштапкы диапазонун өткөрүшү керек, ал эми багыт нускада жеткиликтүү болушу керек. Туннель түзүүгө уруксат маалымат базасынын эсептик маалыматы, SSH кирүү же RDP сессиясы эмес, ошондуктан колдонмонун ырастоосун өз ордунда калтырыңыз.

IAP ичиндеги TCP жөнөтүү үчүнчү катмардын VPN эмес. Ал TCPди тандалган багытка жеткирет, ыктыярдуу IP трафигин же UDPни эмес, жана колдонмого көп кызмат боюнча жеке DNS керек болгондо начар шайкешет.

Кеңири жеткиликтүүлүк үчүн алыскы кирүү VPN

Бир нече багыт, протокол же жеке DNS аймагы керек болгондо, VM же колдоого алынган түзмөктө ачык башкарылуучу алыскы кирүү VPN жакшыраак форма. Бул жайгаштыруу Google башкарган Cloud VPNден өзүнчө: кардардын инсандыгын каттоо, программалык жаңыртуулар, кардардын маршруттары жана VPC кайтаруу маршруттары сизде.

Бүт тизмени пландаштырыңыз, жаңы гана коомдук угуучуну эмес. Туннелдер пулун, ага кайра VPC маршрутту, жөнөтүүнү көзөмөлдөөнү, DNS чечүүнү жана ар кызматтын кирүү саясатын кошуңуз. Туташкан, бирок ички аттарды чече албаган VPN программисттин иш агымын эч качан туташпаган VPN сыяктуу эле толук ийгиликсиз кылат.

Cloud VPN — сайт дарбазасы, ноутбук профили эмес

Google Cloud VPN IPsec аркылуу теңдеш дарбазаларды туташтырат, жана анын көп берилүүчү суроолору ошол сайт-сайт ролун кардар-дарбаза кирүүсүнөн бөлөт. Туннель түзүү кызматкер ноутбугуна импорттой турган профиль жаратпайт. Бул айырма бирөө Cloud VPN профилин сураганда маанилүү. Жооп — башка продукт.

Дарбаза жакшы жасаганы — кеңсе тармагынын артындагы машиналарга VPCге маршрут берүү. Ал ар бир кызматкерди ырастабайт жана колдонмо укуктарын бербейт, ошондуктан бул саясаттар инсан боюнча аткарыла турган тармак жана колдонмо катмарларында калат.

Текшериңиз жана жазып алыңыз

Алгач эң кууш багытты, анан DNS талап кылганды, анан четке кагылган бойдон калышы керек багытты текшериңиз. Ар бир сыноону өндүрүштө бул жолду колдоно турган ошол эле кардардан аткарыңыз, анткени администратордун жумуш станциясынан ийгиликтүү сыноо башка тармагы бар программисттин ноутбугу жөнүндө аз далилдейт.

Тандалган моделди, ал камтыган багыттарды, ырастаган инсандарды жана жол жеткиликсиз болгондогу бузулуу жүрүм-турумун жазып алыңыз. Дал ушул жазуу кийинки суроонун документтелген долбоорго бир багыт кошуунун ордуна туннелди үнсүз кеңейтүүсүнө жол бербейт.