Akses pembangun jauh ke VPC Google Cloud: pilih laluan

Seorang pembangun memerlukan satu sesi SSH, satu port pangkalan data atau akses luas kepada selusin perkhidmatan peribadi, dan setiap permintaan itu kelihatan seperti soalan yang sama. Ia bukan. Destinasi, protokol dan identiti yang terlibat menentukan laluan akses Google Cloud mana yang sesuai, dan memilih yang paling luas secara lalai mencipta kerja yang tidak perlu anda miliki.

Tuliskan destinasi dan protokol

Senaraikan alamat peribadi, port dan protokol yang benar-benar diperlukan oleh kerja itu, kemudian tandakan identiti mana yang mesti disahkan secara berasingan. Port pangkalan data dan zon DNS peribadi ialah keperluan yang berbeza, dan perkhidmatan UDP mengecualikan sepenuhnya salah satu pilihan di bawah. Senarai bertulis juga menunjukkan apa yang tidak anda berikan. Itulah bahagian yang ditanya oleh penyemak.

Lakukan ini sebelum membuka pendengar. Senarai itu kemudiannya menjadi ujian penerimaan, dan ia satu-satunya cara yang boleh dipercayai untuk membezakan terowong sempit daripada terowong luas yang kebetulan berfungsi.

IAP untuk beberapa perkhidmatan TCP

Pemajuan TCP dalam Identity-Aware Proxy memberikan terowong yang disahkan ke sumber VM yang layak tanpa mendedahkan perkhidmatan kepada internet. Bentuk hariannya ialah gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, dan satu port boleh dimajukan secara setempat dengan gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Tiga perkara mesti selaras: pemanggil memerlukan peranan akses terowong IAP, tembok api mesti menerima julat sumber IAP, dan destinasi mesti boleh dicapai pada instans. Kebenaran untuk mencipta terowong bukan kelayakan pangkalan data, log masuk SSH atau sesi RDP, jadi simpan pengesahan aplikasi di tempat yang sepatutnya.

Pemajuan TCP IAP bukan VPN lapisan tiga. Ia membawa TCP ke destinasi yang dipilih, bukan trafik IP sewenang-wenangnya atau UDP, dan ia kurang sesuai apabila aplikasi memerlukan DNS peribadi merentas banyak perkhidmatan.

VPN akses jauh untuk jangkauan yang lebih luas

Apabila beberapa destinasi, protokol atau zon DNS peribadi diperlukan, bentuk yang lebih baik ialah VPN akses jauh yang diurus secara eksplisit pada VM atau peranti yang disokong. Penggunaan itu berasingan daripada Cloud VPN yang diurus Google: anda memiliki pendaftaran identiti klien, kemas kini perisian, laluan klien dan laluan balik VPC.

Rancang keseluruhan senarai, bukan hanya pendengar awam. Sertakan kumpulan terowong, laluan VPC kembali ke sana, kawalan pemajuan, penyelesaian DNS dan dasar akses setiap perkhidmatan. VPN yang bersambung tetapi tidak dapat menyelesaikan nama dalaman menggagalkan aliran kerja pembangun sama sepenuhnya seperti VPN yang tidak pernah bersambung.

Cloud VPN ialah gateway tapak, bukan profil komputer riba

Google Cloud VPN menyambungkan gateway rakan melalui IPsec, dan soalan lazim-nya memisahkan peranan tapak-ke-tapak itu daripada akses klien-ke-gateway. Mencipta terowong tidak menghasilkan profil yang diimport oleh pekerja pada komputer riba. Perbezaan ini penting apabila seseorang meminta profil Cloud VPN. Jawapannya ialah produk lain.

Apa yang gateway lakukan dengan baik ialah memberikan mesin di belakang rangkaian pejabat laluan masuk ke VPC. Ia tidak mengesahkan setiap pekerja atau memberikan kebenaran aplikasi, jadi dasar itu kekal di lapisan rangkaian dan aplikasi tempat ia boleh dikuatkuasakan mengikut identiti.

Sahkan dan rekod

Uji destinasi paling sempit dahulu, kemudian yang memerlukan DNS, kemudian destinasi yang mesti kekal ditolak. Jalankan setiap ujian dari klien yang sama yang akan menggunakan laluan itu dalam pengeluaran, kerana ujian yang berjaya dari stesen kerja pentadbir membuktikan sedikit tentang komputer riba pembangun dengan rangkaian berbeza.

Rekod model yang dipilih, destinasi yang diliputinya, identiti yang disahkannya dan tingkah laku kegagalan apabila laluan tidak tersedia. Rekod itulah yang menghalang permintaan seterusnya daripada senyap melebarkan terowong dan bukannya menambah satu destinasi pada reka bentuk yang didokumenkan.