Google Cloud VPC руу хөгжүүлэгчийн алсын хандалт: замаа сонгоно уу

Хөгжүүлэгчид нэг SSH сесс, мэдээллийн сангийн порт эсвэл арван гаруй хувийн үйлчилгээнд өргөн хандалт хэрэгтэй бөгөөд эдгээр хүсэлт бүр ижил асуулт мэт харагдана. Тийм биш. Очих газрууд, протоколууд болон оролцсон таних мэдээллүүд нь Google Cloud-ын аль хандалтын зам тохирохыг тодорхойлдог, харин өгөгдмөлөөр хамгийн өргөнийг сонгох нь танд эзэмших шаардлагагүй ажил үүсгэдэг.

Очих газрууд болон протоколуудыг бичнэ үү

Ажилд үнэхээр хэрэгтэй хувийн хаягууд, портууд болон протоколуудыг жагсааж, дараа нь аль таних мэдээллийг тусдаа баталгаажуулах ёстойг тэмдэглэнэ үү. Мэдээллийн сангийн порт болон хувийн DNS бүс нь өөр өөр шаардлага бөгөөд UDP үйлчилгээ доорх сонголтуудын нэгийг бүрмөсөн хасдаг. Бичмэл жагсаалт нь юу өгөхгүй байгааг ч харуулдаг. Шүүмжлэгчид яг энэ хэсгийг асуудаг.

Сонсогчийг нээхээс өмнө үүнийг хийнэ үү. Жагсаалт дараа нь хүлээн авах тест болдог бөгөөд нарийн хонгилыг санамсаргүй ажилладаг өргөн хонгилоос ялгах цорын ганц найдвартай арга нь энэ юм.

Цөөн TCP үйлчилгээнд IAP

Identity-Aware Proxy дахь TCP дамжуулалт нь үйлчилгээг интернетэд ил гаргахгүйгээр тохирох VM нөөц рүү баталгаажсан хонгил өгдөг. Өдөр тутмын хэлбэр нь gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, харин нэг портыг gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a-оор локалаар дамжуулж болно.

Гурван зүйл нийцэх ёстой: дуудагчид IAP хонгилын хандалтын үүрэг хэрэгтэй, галт хана IAP-ийн эх үүсвэрийн хүрээг зөвшөөрөх ёстой, очих газар нь инстанц дээр хүрэх боломжтой байх ёстой. Хонгил үүсгэх зөвшөөрөл нь мэдээллийн сангийн итгэмжлэл, SSH нэвтрэлт эсвэл RDP сесс биш тул програмын баталгаажуулалтыг өөрийн байранд нь үлдээнэ үү.

IAP-ийн TCP дамжуулалт нь гуравдугаар давхаргын VPN биш. Энэ нь TCP-г сонгосон очих газар руу зөөдөг, дур зоргоороо IP урсгал эсвэл UDP биш, програмад олон үйлчилгээгээр дамжсан хувийн DNS хэрэгтэй үед тохиромжгүй.

Илүү өргөн хүрээний алсын хандалтын VPN

Хэд хэдэн очих газар, протокол эсвэл хувийн DNS бүс шаардлагатай үед VM эсвэл дэмжигдсэн төхөөрөмж дээр тодорхой удирддаг алсын хандалтын VPN нь илүү сайн хэлбэр юм. Энэ байршуулалт нь Google-ийн удирддаг Cloud VPN-ээс тусдаа: клиентийн таних мэдээллийн бүртгэл, програм хангамжийн шинэчлэлт, клиентийн маршрут болон VPC-ийн буцах маршрут таны мэдэлд.

Зөвхөн нийтийн сонсогч биш, бүх жагсаалтыг төлөвлөнө үү. Хонгилын сан, түүн рүү буцах VPC маршрут, дамжуулалтын хяналт, DNS шийдэл болон үйлчилгээ бүрийн хандалтын бодлогыг оруулна уу. Холбогддог ч дотоод нэрсийг шийдэж чадахгүй VPN нь хөгжүүлэгчийн ажлын урсгалыг хэзээ ч холбогддоггүй VPN шиг бүрэн бүтэлгүйтүүлдэг.

Cloud VPN бол сайтын гарц, зөөврийн компьютерын профайл биш

Google Cloud VPN IPsec-ээр дамжуулан хамтрагч гарцуудыг холбодог бөгөөд түүний түгээмэл асуултууд нь тэр сайт-сайт үүргийг клиент-гарц хандалтаас тусгаарладаг. Хонгил үүсгэх нь ажилтан зөөврийн компьютерт импортолдог профайл үүсгэдэггүй. Хэн нэгэн Cloud VPN профайл хүсэх үед энэ ялгаа чухал. Хариулт нь өөр бүтээгдэхүүн.

Гарцын сайн хийдэг зүйл бол оффисын сүлжээний ард байгаа машинуудад VPC руу орох маршрут өгөх юм. Энэ нь ажилтан бүрийг баталгаажуулдаггүй, програмын зөвшөөрөл өгдөггүй тул эдгээр бодлогууд нь таних мэдээллээр хэрэгжүүлэх боломжтой сүлжээ болон програмын давхаргад үлддэг.

Баталгаажуулж бүртгэнэ үү

Эхлээд хамгийн нарийн очих газрыг, дараа нь DNS шаарддаг газрыг, дараа нь татгалзсан хэвээр байх ёстой очих газрыг туршина уу. Туршилт бүрийг үйлдвэрлэлд энэ замыг ашиглах ижил клиентээс гүйцэтгэнэ үү, учир нь администраторын ажлын станцаас амжилттай туршилт нь өөр сүлжээтэй хөгжүүлэгчийн зөөврийн компьютерын тухай багахан л нотолдог.

Сонгосон загвар, түүний хамрах очих газрууд, баталгаажуулдаг таних мэдээллүүд болон зам боломжгүй үеийн алдааны зан төлөвийг бүртгэнэ үү. Тэр бүртгэл нь дараагийн хүсэлтийг баримтжуулсан загварт нэг очих газар нэмэхийн оронд хонгилыг чимээгүй өргөтгөхөөс сэргийлдэг.