Далечински пристап на развивач до Google Cloud VPC: изберете го патот

На развивач му треба една SSH сесија, порта на база на податоци или широк пристап до десетина приватни услуги, и секое од тие барања изгледа како истото прашање. Не е. Одредиштата, протоколите и вклучените идентитети одлучуваат кој пристапен пат во Google Cloud одговара, а изборот на најширокиот по стандард создава работа што не требало да ја поседувате.

Запишете ги одредиштата и протоколите

Наведете ги приватните адреси, порти и протоколи што работата навистина ги бара, потоа означете кои идентитети мора да се потврдат одделно. Портата на база на податоци и приватната DNS зона се различни барања, а услугата UDP целосно ја исклучува една од опциите подолу. Писмениот список покажува и што не давате. Токму за тој дел прашуваат рецензентите.

Направете го ова пред да отворите слушател. Списокот подоцна станува прифатен тест, и тоа е единствениот сигурен начин да се разликува тесен тунел од широк што случајно работи.

IAP за неколку TCP услуги

TCP проследувањето во Identity-Aware Proxy дава потврден тунел до соодветни VM ресурси без да ја изложи услугата на интернет. Секојдневната форма е gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, а една порта може локално да се проследи со gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Три работи мора да се усогласат: повикувачот треба улога за пристап до IAP тунелот, огнениот ѕид мора да го дозволи опсегот на изворот на IAP, и одредиштето мора да биде достапно на инстанцата. Овластувањето за создавање на тунелот не е креденцијал на база на податоци, SSH најава или RDP сесија, затоа задржете ја автентикацијата на апликацијата таму каде што ѝ припаѓа.

TCP проследувањето во IAP не е VPN од трето ниво. То пренесува TCP до избрано одредиште, не произволен IP сообраќај или UDP, и слабо се вклопува кога на апликацијата ѝ треба приватен DNS низ многу услуги.

VPN за далечински пристап за поширока достапност

Кога се потребни повеќе одредишта, протоколи или приватни DNS зони, подобра форма е експлицитно управуван VPN за далечински пристап на VM или поддржан уред. Тоа распоредување е одделно од управуваниот од Google Cloud VPN: вие ги поседувате регистрацијата на идентитетот на клиентот, ажурирањата на софтверот, рутите на клиентот и повратните рути во VPC.

Планирајте го целиот список, не само јавниот слушател. Вклучете го базенот на тунели, VPC рутата назад кон него, контролите за проследување, DNS резолуцијата и политиката за пристап по услуга. VPN што се поврзува но не може да ги реши внатрешните имиња не успева во работниот тек на развивачот исто толку целосно како еден што никогаш не се поврзува.

Cloud VPN е порта за локација, не профил за преносен компјутер

Google Cloud VPN ги поврзува партнерските порти преку IPsec, и неговите често поставувани прашања ја одвојуваат таа улога локација-кон-локација од пристапот клиент-кон-порта. Создавањето тунел не создава профил што вработен го увезува на преносен компјутер. Разликата е важна кога некој бара Cloud VPN профил. Одговорот е друг производ.

Она што портата го прави добро е да им даде на машините зад канцелариска мрежа рута во VPC. Таа не го автентикува секој вработен и не дава дозволи за апликација, затоа тие политики остануваат на мрежното и апликациското ниво каде што можат да се применат по идентитет.

Проверете и запишете

Прво тестирајте го најтесното одредиште, потоа тоа што бара DNS, а потоа одредиште што мора да остане одбиено. Секој тест извршете го од истиот клиент што ќе го користи патот во продукција, зашто успешен тест од администраторска работна станица малку докажува за преносен компјутер на развивач со друга мрежа.

Запишете го избраниот модел, одредиштата што ги покрива, идентитетите што ги автентикува и однесувањето при грешка кога патот не е достапен. Токму тој запис спречува следното барање тивко да го прошири тунелот наместо да додаде едно одредиште во документиран дизајн.