Acces de la distanță pentru dezvoltatori la un VPC Google Cloud: alegeți calea

Un dezvoltator are nevoie de o sesiune SSH, un port de bază de date sau acces larg la o duzină de servicii private, iar fiecare dintre aceste cereri arată ca aceeași întrebare. Nu este. Destinațiile, protocoalele și identitățile implicate decid ce cale de acces din Google Cloud se potrivește, iar alegerea celei mai largi în mod implicit creează muncă pe care nu trebuia să o asumați.

Notați destinațiile și protocoalele

Enumerați adresele private, porturile și protocoalele de care are nevoie efectiv munca, apoi marcați ce identități trebuie autentificate separat. Un port de bază de date și o zonă DNS privată sunt cerințe diferite, iar un serviciu UDP exclude complet una dintre opțiunile de mai jos. O listă scrisă arată și ce nu acordați. Aceasta este partea despre care întreabă recenzorii.

Faceți asta înainte de a deschide un ascultător. Lista devine mai târziu testul de acceptare și este singura modalitate fiabilă de a distinge un tunel îngust de unul larg care funcționează din întâmplare.

IAP pentru câteva servicii TCP

Redirecționarea TCP din Identity-Aware Proxy oferă un tunel autentificat către resurse VM eligibile fără a expune serviciul la internet. Forma de zi cu zi este gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, iar un singur port poate fi redirecționat local cu gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Trei lucruri trebuie să se alinieze: apelantul are nevoie de rolul de acces la tunelul IAP, paravanul de foc trebuie să admită intervalul sursă IAP, iar destinația trebuie să fie accesibilă pe instanță. Autorizația de a crea tunelul nu este o acreditare de bază de date, o autentificare SSH sau o sesiune RDP, așa că păstrați autentificarea aplicației acolo unde îi este locul.

Redirecționarea TCP din IAP nu este un VPN de nivel trei. Transportă TCP către o destinație aleasă, nu trafic IP arbitrar sau UDP, și se potrivește prost când o aplicație are nevoie de DNS privat pe multe servicii.

Un VPN de acces de la distanță pentru o accesibilitate mai largă

Când sunt necesare mai multe destinații, protocoale sau zone DNS private, forma mai bună este un VPN de acces de la distanță gestionat explicit pe o VM sau un dispozitiv acceptat. Acea implementare este separată de Cloud VPN gestionat de Google: dețineți înregistrarea identității clientului, actualizările de software, rutele clientului și rutele de retur din VPC.

Planificați întreaga listă, nu doar ascultătorul public. Includeți grupul de tuneluri, ruta VPC înapoi la acesta, controalele de redirecționare, rezolvarea DNS și politica de acces per serviciu. Un VPN care se conectează dar nu poate rezolva numele interne eșuează fluxul de lucru al dezvoltatorului la fel de complet ca unul care nu se conectează niciodată.

Cloud VPN este o poartă de site, nu un profil de laptop

Google Cloud VPN conectează porți pereche prin IPsec, iar întrebările frecvente ale acestuia separă acel rol de site la site de accesul de la client la poartă. Crearea unui tunel nu produce un profil pe care un angajat îl importă pe un laptop. Distincția contează când cineva cere un profil Cloud VPN. Răspunsul este un alt produs.

Ce face bine o poartă este să dea mașinilor din spatele unei rețele de birou o rută în VPC. Nu autentifică fiecare angajat și nu acordă permisiuni de aplicație, așa că acele politici rămân la nivelurile de rețea și aplicație, unde pot fi aplicate per identitate.

Verificați și înregistrați

Testați mai întâi cea mai îngustă destinație, apoi pe cea care necesită DNS și apoi o destinație care trebuie să rămână refuzată. Rulați fiecare test de pe același client care va folosi calea în producție, pentru că un test funcțional de pe o stație de lucru de administrator demonstrează puțin despre un laptop de dezvoltator cu altă rețea.

Înregistrați modelul ales, destinațiile pe care le acoperă, identitățile pe care le autentifică și comportamentul la eșec când calea nu este disponibilă. Acea înregistrare este ce împiedică următoarea cerere să lărgească în tăcere tunelul în loc să adauge o destinație la un design documentat.