Aċċess mill-bogħod għall-iżviluppaturi għal VPC ta' Google Cloud: agħżel it-triq

Iżviluppatur għandu bżonn sessjoni SSH waħda, port tal-bażi tad-dejta jew aċċess wiesa' għal tużżana servizzi privati, u kull waħda minn dawn it-talbiet tidher bħall-istess mistoqsija. Mhix. Id-destinazzjonijiet, il-protokolli u l-identitajiet involuti jiddeterminaw liema triq ta' aċċess f'Google Cloud taqbel, u l-għażla tal-usa' bħala default toħloq xogħol li ma kellekx għalfejn tippossjedi.

Ikteb id-destinazzjonijiet u l-protokolli

Elenca l-indirizzi privati, il-portijiet u l-protokolli li x-xogħol tassew jeħtieġ, imbagħad immarka liema identitajiet għandhom jiġu awtentikati separatament. Port tal-bażi tad-dejta u żona DNS privata huma rekwiżiti differenti, u servizz UDP jeskludi għal kollox waħda mill-għażliet hawn taħt. Lista miktuba turi wkoll x'ma tkunx qed tagħti. Dak huwa l-parti li jistaqsu dwarha r-reviżuri.

Agħmel dan qabel ma tiftaħ semmiegħ. Il-lista ssir aktar tard it-test ta' aċċettazzjoni, u hija l-uniku mod affidabbli biex tiddistingwi mina dejqa minn waħda wiesgħa li taħdem b'kumbinazzjoni.

IAP għal ftit servizzi TCP

L-ippeġjar TCP f'Identity-Aware Proxy jagħti mina awtentikata lejn riżorsi VM eliġibbli mingħajr ma jesponi s-servizz għall-internet. Il-forma ta' kuljum hija gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, u port wieħed jista' jiġi mibgħut lokalment b'gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Tliet affarijiet iridu jaqblu: is-sejjieħ għandu bżonn ir-rwol ta' aċċess tal-mina IAP, il-firewall irid jammetti l-firxa tas-sors IAP, u d-destinazzjoni trid tkun tista' tintlaħaq fuq l-istanza. L-awtorizzazzjoni biex tinħoloq il-mina mhix kredenzjali tal-bażi tad-dejta, login SSH jew sessjoni RDP, għalhekk żomm l-awtentikazzjoni tal-applikazzjoni fejn imissha.

L-ippeġjar TCP f'IAP mhuwiex VPN tat-tielet saff. Huwa jġorr TCP lejn destinazzjoni magħżula, mhux traffiku IP arbitrarju jew UDP, u ma jaqbilx meta applikazzjoni jkollha bżonn DNS privat fuq ħafna servizzi.

VPN ta' aċċess mill-bogħod għal wasla usa'

Meta jkunu meħtieġa diversi destinazzjonijiet, protokolli jew żoni DNS privati, il-forma aħjar hija VPN ta' aċċess mill-bogħod immexxi b'mod espliċitu fuq VM jew apparat appoġġjat. Dak l-iskjerament huwa separat minn Cloud VPN immexxi minn Google: inti tippossjedi r-reġistrazzjoni tal-identità tal-klijent, l-aġġornamenti tas-software, ir-rotot tal-klijent u r-rotot tar-ritorn fil-VPC.

Ippjana l-lista kollha, mhux biss is-semmiegħ pubbliku. Inkludi l-pool tal-mini, ir-rotta tal-VPC lura lejh, il-kontrolli tal-ippeġjar, ir-riżoluzzjoni DNS u l-politika tal-aċċess għal kull servizz. VPN li jgħaqqad imma ma jistax isolvi ismijiet interni ifalli l-fluss tax-xogħol tal-iżviluppatur daqstant sħiħ daqs dak li qatt ma jgħaqqad.

Cloud VPN huwa gateway tas-sit, mhux profil tal-laptop

Google Cloud VPN jgħaqqad gateways pari permezz ta' IPsec, u l-mistoqsijiet frekwenti tiegħu jifirdu dak ir-rwol sit-għal-sit mill-aċċess klijent-għal-gateway. Il-ħolqien ta' mina ma jipproduċix profil li impjegat jimporta fuq laptop. Id-distinzjoni hija importanti meta xi ħadd jitlob profil ta' Cloud VPN. It-tweġiba hija prodott ieħor.

Dak li gateway jagħmel tajjeb huwa li jagħti lill-magni wara netwerk tal-uffiċċju rotta fil-VPC. Ma jawtentikax kull impjegat u ma jagħtix permessi tal-applikazzjoni, għalhekk dawk il-politiki jibqgħu fis-saffi tan-netwerk u tal-applikazzjoni fejn jistgħu jiġu infurzati skont l-identità.

Ivverifika u rrekordja

L-ewwel ittestja d-destinazzjoni l-iktar dejqa, imbagħad dik li teħtieġ DNS, u mbagħad destinazzjoni li trid tibqa' miċħuda. Mexxi kull test mill-istess klijent li se juża t-triq fil-produzzjoni, għax test li jaħdem minn stazzjon tax-xogħol tal-amministratur jipprova ftit dwar laptop tal-iżviluppatur b'netwerk differenti.

Irrekordja l-mudell magħżul, id-destinazzjonijiet li jkopri, l-identitajiet li jawtentika u l-imġiba tal-falliment meta t-triq mhix disponibbli. Dak ir-rekord huwa dak li jipprevjeni t-talba li jmiss milli twessa' l-mina bil-kwiet minflok ma żżid destinazzjoni waħda ma' disinn dokumentat.