Acesso remoto de desenvolvedores a uma VPC do Google Cloud: escolha o caminho

Um desenvolvedor precisa de uma sessão SSH, uma porta de banco de dados ou acesso amplo a uma dúzia de serviços privados, e cada uma dessas solicitações parece a mesma pergunta. Não é. Os destinos, os protocolos e as identidades envolvidas decidem qual caminho de acesso do Google Cloud se encaixa, e escolher o mais amplo por padrão cria trabalho que você não precisava assumir.

Anote os destinos e os protocolos

Liste os endereços privados, as portas e os protocolos de que o trabalho realmente precisa e depois marque quais identidades devem ser autenticadas separadamente. Uma porta de banco de dados e uma zona DNS privada são requisitos diferentes, e um serviço UDP descarta completamente uma das opções abaixo. Uma lista escrita também mostra o que você não está concedendo. Essa é a parte que os revisores perguntam.

Faça isso antes de abrir um ouvinte. A lista se torna mais tarde o teste de aceitação, e é a única forma confiável de distinguir um túnel estreito de um amplo que funciona por acaso.

IAP para alguns serviços TCP

O encaminhamento TCP do Identity-Aware Proxy fornece um túnel autenticado até recursos de VM elegíveis sem expor o serviço à internet. A forma cotidiana é gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, e uma única porta pode ser encaminhada localmente com gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Três coisas devem se alinhar: quem chama precisa do papel de acesso ao túnel do IAP, o firewall deve admitir a faixa de origem do IAP e o destino deve ser alcançável na instância. A autorização para criar o túnel não é uma credencial de banco de dados, um login SSH nem uma sessão RDP, então mantenha a autenticação da aplicação onde ela pertence.

O encaminhamento TCP do IAP não é uma VPN de camada três. Ele leva TCP a um destino selecionado, não tráfego IP arbitrário nem UDP, e se encaixa mal quando uma aplicação precisa de DNS privado em muitos serviços.

Uma VPN de acesso remoto para uma alcançabilidade mais ampla

Quando vários destinos, protocolos ou zonas DNS privadas são necessários, a melhor forma é uma VPN de acesso remoto gerenciada explicitamente em uma VM ou em um dispositivo compatível. Essa implantação é separada do Cloud VPN gerenciado pelo Google: você é dono do registro da identidade do cliente, das atualizações de software, das rotas do cliente e das rotas de retorno da VPC.

Planeje a lista inteira, não apenas o ouvinte público. Inclua o conjunto de túneis, a rota da VPC de volta, os controles de encaminhamento, a resolução DNS e a política de acesso por serviço. Uma VPN que se conecta mas não consegue resolver nomes internos falha no fluxo de trabalho do desenvolvedor tão completamente quanto uma que nunca se conecta.

O Cloud VPN é um gateway de site, não um perfil de laptop

O Google Cloud VPN conecta gateways pares por IPsec, e suas perguntas frequentes separam esse papel de site para site do acesso de cliente para gateway. Criar um túnel não produz um perfil que um funcionário importe em um laptop. A distinção importa quando alguém pede um perfil do Cloud VPN. A resposta é outro produto.

O que um gateway faz bem é dar às máquinas atrás de uma rede de escritório uma rota para a VPC. Ele não autentica cada funcionário nem concede permissões de aplicação, então essas políticas ficam nas camadas de rede e de aplicação, onde podem ser aplicadas por identidade.

Verifique e registre

Teste primeiro o destino mais estreito, depois o que exige DNS e em seguida um destino que deve permanecer negado. Execute cada teste a partir do mesmo cliente que usará o caminho em produção, porque um teste que funciona a partir de uma estação de trabalho de administrador prova pouco sobre um laptop de desenvolvedor com outra rede.

Registre o modelo escolhido, os destinos que ele cobre, as identidades que ele autentica e o comportamento de falha quando o caminho não está disponível. Esse registro é o que impede a próxima solicitação de ampliar o túnel em silêncio em vez de adicionar um destino a um projeto documentado.