Projektübergreifende Traffic-Netzwerkrichtlinien erstellen

Auf dieser Seite finden Sie eine Anleitung zum Konfigurieren von Netzwerkrichtlinien für projektübergreifenden Traffic in der Google Distributed Cloud (GDC) mit Air Gap.

Projektübergreifender Traffic bezieht sich auf die Kommunikation zwischen Diensten und Arbeitslasten aus verschiedenen Projektnamespaces, aber innerhalb derselben Organisation.

Dienste und Arbeitslasten in einem Projekt sind standardmäßig von externen Diensten und Arbeitslasten isoliert. Dienste und Arbeitslasten aus verschiedenen Projektnamespaces und innerhalb derselben Organisation können jedoch miteinander kommunizieren, indem Netzwerkrichtlinien für projektübergreifenden Traffic angewendet werden.

Hinweis

Zum Konfigurieren von Netzwerkrichtlinien für projektinternen Traffic benötigen Sie Folgendes:

Richtlinie für projektübergreifenden Traffic erstellen

Sie können Richtlinien für eingehenden oder ausgehenden projektübergreifenden Traffic definieren, um die Kommunikation zwischen Projekten zu verwalten.

Firewallregel für eingehenden Traffic für projektübergreifenden Traffic erstellen

Damit Projektarbeitslasten oder -dienste Verbindungen von anderen Arbeitslasten in einem anderen Projekt zulassen können, müssen Sie eine Firewallregel für eingehenden Traffic konfigurieren, um den eingehenden Traffic anderer Projektarbeitslasten zuzulassen.

Führen Sie die folgenden Schritte aus, um eine neue Firewallregel zu erstellen und eingehenden Traffic von Arbeitslasten in einem anderen Projekt zuzulassen:

Console

  1. Öffnen Sie in der GDC Console des Projekts, das Sie konfigurieren, im Navigationsmenü Netzwerk > Firewall und rufen Sie die Seite Firewall auf.
  2. Klicken Sie in der Aktionsleiste auf Erstellen , um eine neue Firewallregel zu erstellen.

  3. Geben Sie auf der Seite Details zur Firewallregel die folgenden Informationen an:

    1. Geben Sie im Feld Name einen gültigen Namen für die Firewallregel ein.
    2. Wählen Sie im Bereich Traffic-Richtung die Option Eingehend aus, um eingehenden Traffic von Arbeitslasten in anderen Projekten zuzulassen.
    3. Wählen Sie im Bereich Ziel eine der folgenden Optionen aus:
      • Alle Nutzerarbeitslasten:Ermöglicht Verbindungen zu den Arbeitslasten des Projekts, das Sie konfigurieren.
      • Dienst:Gibt an, dass diese Firewallregel auf einen bestimmten Dienst innerhalb des Projekts ausgerichtet ist, das Sie konfigurieren.
    4. Wenn Ihr Ziel ein Projektdienst ist, wählen Sie den Namen des Dienstes aus der Liste der verfügbaren Dienste im Drop-down-Menü Dienst aus.
    5. Wählen Sie im Bereich Von eine der folgenden beiden Optionen aus:
      • Alle Projekte:Ermöglicht Verbindungen von Arbeitslasten in allen Projekten.
      • Anderes Projekt und Alle Nutzerarbeitslasten:Ermöglicht Verbindungen von Arbeitslasten in einem anderen Projekt.
    6. Wenn Sie Arbeitslasten nur aus einem anderen Projekt übertragen möchten, wählen Sie ein Projekt aus, auf das Sie zugreifen können, und zwar aus der Liste der Projekte im Drop-down-Menü Projekt-ID.
    7. Wenn Ihr Ziel alle Nutzerarbeitslasten sind, wählen Sie im Bereich Protokolle und Ports eine der folgenden Optionen aus:
      • Alle zulassen:Ermöglicht Verbindungen über ein beliebiges Protokoll oder einen beliebigen Port.
      • Angegebene Protokolle und Ports:Ermöglicht Verbindungen nur über die Protokolle und Ports, die Sie in den entsprechenden Feldern für die Firewallregel für eingehenden Traffic angeben.

  4. Klicken Sie auf der Seite Details zur Firewallregel auf Erstellen.

Sie haben jetzt Verbindungen von anderen Projektarbeitslasten zugelassen. Nachdem Sie die Firewallregel erstellt haben, ist sie in einer Tabelle auf der Seite Firewall sichtbar.

API

Mit der folgenden Richtlinie können Arbeitslasten im Projekt PROJECT_1 Verbindungen von Arbeitslasten im Projekt PROJECT_2 sowie den Rücktraffic für dieselben Flows zulassen. Wenden Sie die Richtlinie an:

kubectl --kubeconfig API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT_1
  name: allow-inbound-traffic-from-PROJECT_2
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - projectSelector:
        projects:
          matchNames:
          - PROJECT_2
EOF

Ersetzen Sie API_SERVER durch den kubeconfig-Pfad des API-Servers. Wenn Sie noch keine kubeconfig-Datei für den API-Server generiert haben, finden Sie weitere Informationen unter Anmelden.

Der vorherige Befehl ermöglicht den Zugriff von PROJECT_2 auf PROJECT_1, aber keine Verbindungen, die von PROJECT_1 zu PROJECT_2 initiiert werden. Für Letzteres benötigen Sie eine wechselseitige Richtlinie im Projekt PROJECT_2. Wenden Sie die wechselseitige Richtlinie an:

kubectl --kubeconfig API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT_2
  name: allow-inbound-traffic-from-PROJECT_1
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - projectSelector:
        projects:
          matchNames:
          - PROJECT_1
EOF

Verbindungen zu und von PROJECT_1 und PROJECT_2 sind jetzt zulässig.