Akses në distancë i zhvilluesit në një VPC të Google Cloud: zgjidhni rrugën

Një zhvillues ka nevojë për një sesion SSH, një portë baze të dhënash ose akses të gjerë në një duzinë shërbimesh private, dhe secila prej këtyre kërkesave duket si e njëjta pyetje. Nuk është. Destinacionet, protokollet dhe identitetet e përfshira vendosin cila rrugë aksesi në Google Cloud përshtatet, dhe zgjedhja e më të gjerës si parazgjedhje krijon punë që nuk duhej ta zotëronit.

Shkruani destinacionet dhe protokollet

Listoni adresat private, portat dhe protokollet që puna ka vërtet nevojë, pastaj shënoni cilat identitete duhet të vërtetohen veçmas. Një portë baze të dhënash dhe një zonë DNS private janë kërkesa të ndryshme, dhe një shërbim UDP përjashton plotësisht një nga opsionet më poshtë. Një listë e shkruar tregon gjithashtu çfarë nuk po jepni. Kjo është pjesa për të cilën pyesin rishikuesit.

Bëjeni këtë përpara se të hapni një dëgjues. Lista bëhet më vonë testi i pranimit, dhe është mënyra e vetme e besueshme për të dalluar një tunel të ngushtë nga një i gjerë që funksionon rastësisht.

IAP për disa shërbime TCP

Përcjellja TCP në Identity-Aware Proxy jep një tunel të vërtetuar drejt burimeve VM të përshtatshme pa e ekspozuar shërbimin në internet. Forma e përditshme është gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, dhe një portë e vetme mund të përcillet lokalisht me gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a.

Tre gjëra duhet të përputhen: thirrësi ka nevojë për rolin e aksesit të tunelit IAP, muri i zjarrit duhet të pranojë intervalin e burimit IAP, dhe destinacioni duhet të jetë i arritshëm në instancë. Autorizimi për të krijuar tunelin nuk është kredencial baze të dhënash, hyrje SSH apo sesion RDP, prandaj mbajeni vërtetimin e aplikacionit atje ku i takon.

Përcjellja TCP në IAP nuk është VPN i shtresës së tretë. Ajo mbart TCP drejt një destinacioni të zgjedhur, jo trafik arbitrar IP ose UDP, dhe përshtatet keq kur një aplikacion ka nevojë për DNS privat në shumë shërbime.

Një VPN aksesi në distancë për arritshmëri më të gjerë

Kur kërkohen disa destinacione, protokolle ose zona DNS private, forma më e mirë është një VPN aksesi në distancë i menaxhuar në mënyrë eksplicite në një VM ose pajisje të mbështetur. Ai vendosje është i ndarë nga Cloud VPN i menaxhuar nga Google: ju zotëroni regjistrimin e identitetit të klientit, përditësimet e softuerit, rrugët e klientit dhe rrugët e kthimit në VPC.

Planifikoni të gjithë listën, jo vetëm dëgjuesin publik. Përfshini grupin e tuneleve, rrugën e VPC-së përsëri drejt tij, kontrollet e përcjelljes, zgjidhjen DNS dhe politikën e aksesit për çdo shërbim. Një VPN që lidhet por nuk mund të zgjidhë emrat e brendshëm dështon në rrjedhën e punës së zhvilluesit po aq plotësisht sa një që nuk lidhet kurrë.

Cloud VPN është një portë siti, jo një profil laptopi

Google Cloud VPN lidh portat homologe përmes IPsec, dhe pyetjet e shpeshta të tij e ndajnë atë rol sit-në-sit nga aksesi klient-në-portë. Krijimi i një tuneli nuk prodhon një profil që një punonjës e importon në një laptop. Dallimi ka rëndësi kur dikush kërkon një profil Cloud VPN. Përgjigja është një produkt tjetër.

Ajo që një portë bën mirë është t'u japë makinave pas një rrjeti zyre një rrugë në VPC. Ajo nuk vërteton çdo punonjës dhe nuk jep leje aplikacioni, prandaj ato politika mbeten në shtresat e rrjetit dhe të aplikacionit ku mund të zbatohen sipas identitetit.

Verifikoni dhe regjistroni

Provoni së pari destinacionin më të ngushtë, pastaj atë që kërkon DNS, dhe më pas një destinacion që duhet të mbetet i refuzuar. Ekzekutoni çdo test nga i njëjti klient që do të përdorë rrugën në prodhim, sepse një test që funksionon nga një stacion pune administratori provon pak për një laptop zhvilluesi me një rrjet tjetër.

Regjistroni modelin e zgjedhur, destinacionet që mbulon, identitetet që vërteton dhe sjelljen në dështim kur rruga nuk është e disponueshme. Ai regjistrim është ai që parandalon kërkesën tjetër të zgjerojë tunelin në heshtje në vend që të shtojë një destinacion në një dizajn të dokumentuar.