Google Cloud VPC'ga masofaviy dasturchi kirishi: yo'lni tanlang

Dasturchiga bitta SSH sessiyasi, ma'lumotlar bazasi porti yoki o'nlab xususiy xizmatlarga keng kirish kerak, va bu so'rovlarning har biri bir xil savolga o'xshaydi. Unday emas. Manzillar, protokollar va ishtirok etgan identifikatsiyalar Google Cloud'da qaysi kirish yo'li mos kelishini belgilaydi, va sukut bo'yicha eng kengini tanlash sizga tegishli bo'lmagan ishni yaratadi.

Manzillar va protokollarni yozib oling

Ishga haqiqatan kerak bo'lgan xususiy manzillar, portlar va protokollarni sanab chiqing, so'ng qaysi identifikatsiyalar alohida tasdiqlanishi kerakligini belgilang. Ma'lumotlar bazasi porti va xususiy DNS zonasi turli talablar, UDP xizmati esa quyidagi variantlardan birini butunlay istisno qiladi. Yozma ro'yxat nima bermayotganingizni ham ko'rsatadi. Taqrizchilar aynan shu qismni so'rashadi.

Buni tinglovchini ochishdan oldin qiling. Ro'yxat keyinchalik qabul testiga aylanadi va tor tunnelni tasodifan ishlaydigan keng tunneldan ajratishning yagona ishonchli usuli shu.

Bir nechta TCP xizmatlari uchun IAP

Identity-Aware Proxy'da TCP uzatish xizmatni internetga ochmasdan mos VM resurslariga tasdiqlangan tunnel beradi. Kundalik shakl — gcloud compute ssh instance-1 --tunnel-through-iap --zone=us-central1-a, va bitta portni mahalliy ravishda gcloud compute start-iap-tunnel instance-1 5432 --local-host-port=localhost:15432 --zone=us-central1-a bilan uzatish mumkin.

Uch narsa mos kelishi kerak: chaqiruvchiga IAP tunneliga kirish roli kerak, xavfsizlik devori IAP manba diapazonini qabul qilishi kerak, va manzil instansiyada yetib boriladigan bo'lishi kerak. Tunnel yaratishga ruxsat ma'lumotlar bazasi hisob ma'lumoti, SSH kirish yoki RDP sessiyasi emas, shuning uchun ilova autentifikatsiyasini o'z joyida qoldiring.

IAP'da TCP uzatish uchinchi qatlam VPN emas. U TCPni tanlangan manzilga olib boradi, ixtiyoriy IP trafigi yoki UDP emas, va ilovaga ko'plab xizmatlar bo'ylab xususiy DNS kerak bo'lganda yaxshi mos kelmaydi.

Kengroq yetib borish uchun masofaviy kirish VPN

Bir nechta manzil, protokol yoki xususiy DNS zonasi kerak bo'lganda, VM yoki qo'llab-quvvatlanadigan qurilmada aniq boshqariladigan masofaviy kirish VPN yaxshiroq shakl. Bu joylashtirish Google boshqaradigan Cloud VPN'dan alohida: mijoz identifikatsiyasini ro'yxatga olish, dasturiy yangilanishlar, mijoz marshrutlari va VPC'dagi qaytish marshrutlari sizniki.

Faqat ommaviy tinglovchini emas, butun ro'yxatni rejalashtiring. Tunnel havzasini, unga qaytadigan VPC marshrutini, uzatish nazoratini, DNS yechimini va har bir xizmat uchun kirish siyosatini kiriting. Ulanadigan, lekin ichki nomlarni yecha olmaydigan VPN dasturchining ish oqimini hech qachon ulanmaydigan VPN kabi to'liq muvaffaqiyatsiz qiladi.

Cloud VPN — sayt darvozasi, noutbuk profili emas

Google Cloud VPN teng darvozalarni IPsec orqali bog'laydi, va uning tez-tez so'raladigan savollari sayt-sayt rolini mijoz-darvoza kirishidan ajratadi. Tunnel yaratish xodim noutbukka import qiladigan profil yaratmaydi. Kimdir Cloud VPN profili so'raganda bu farq muhim. Javob — boshqa mahsulot.

Darvozaning yaxshi qiladigan ishi ofis tarmog'i orqasidagi mashinalarga VPC'ga yo'l berishdir. U har bir xodimni tasdiqlamaydi va ilova ruxsatlarini bermaydi, shuning uchun bu siyosatlar identifikatsiya bo'yicha qo'llanilishi mumkin bo'lgan tarmoq va ilova qatlamlarida qoladi.

Tekshiring va qayd eting

Avval eng tor manzilni, keyin DNS talab qiladiganini, so'ng rad etilgan bo'lib qolishi kerak bo'lgan manzilni sinab ko'ring. Har bir sinovni ishlab chiqarishda bu yo'lni ishlatadigan o'sha mijozdan o'tkazing, chunki administrator ish stantsiyasidan muvaffaqiyatli sinov boshqa tarmoqli dasturchi noutbuki haqida juda oz narsani isbotlaydi.

Tanlangan modelni, u qamrab oladigan manzillarni, tasdiqlaydigan identifikatsiyalarni va yo'l mavjud bo'lmaganda nosozlik xatti-harakatini qayd eting. Ana shu yozuv keyingi so'rovni hujjatlashtirilgan dizaynga bitta manzil qo'shish o'rniga tunnelni jimgina kengaytirishdan to'xtatadi.