Controla el tráfico de entrada y salida

En esta página, se describe cómo configurar el tráfico de entrada y salida para un túnel VPN.

Controla el tráfico de entrada y salida a un túnel VPN por proyecto.

  • De forma predeterminada, todos los proyectos rechazarán el tráfico entrante de un túnel VPN.
  • De forma predeterminada, los proyectos con la protección contra el robo de datos habilitada rechazarán el tráfico saliente a un túnel VPN.

Usa las siguientes instrucciones para cambiar las reglas predeterminadas de entrada y salida de tráfico de VPN para un proyecto.

Antes de comenzar

Para configurar el tráfico de entrada y salida para un túnel VPN, debes tener lo siguiente:

  • Un túnel VPN existente. Para obtener más información, consulta Crea un túnel VPN.

  • Los roles de identidad y acceso necesarios:

    • Administrador de VPN: Tiene permisos de lectura y escritura en todos los recursos relacionados con la VPN. Pídele al administrador de IAM de la organización que te otorgue el rol de administrador de VPN (vpn-admin).
    • Visualizador de VPN: Tiene permisos de lectura en todos los recursos relacionados con la VPN. Pídele al administrador de IAM de la organización que te otorgue el rol de visualizador de VPN (vpn-viewer).
    • Administrador de NetworkPolicy del proyecto: Administra las políticas de red del proyecto en el espacio de nombres del proyecto. Pídele al administrador de IAM de la organización que te otorgue el rol de administrador de NetworkPolicy del proyecto (project-networkpolicy-admin).
    • Para obtener más información, consulta Definiciones de roles.

Configura el tráfico de entrada

De forma predeterminada, todos los proyectos rechazan el tráfico entrante de un túnel VPN. Para habilitar un proyecto para que permita el tráfico de un túnel VPN, usa un objeto ProjectNetworkPolicy que apunte a las rutas recibidas a través de la sesión del Protocolo de Puerta de Enlace Fronteriza (BGP) que se usa en el túnel VPN:

Para habilitar un proyecto para que permita el tráfico de un túnel VPN, sigue estos pasos:

  1. Recupera todas las rutas recibidas del estado VPNBGPPeer:

    kubectl --kubeconfig MANAGEMENT_API_SERVER get -n platform vpnbgppeer VPN_BGP_PEER_NAME -ojson | jq '.status.received'

    Reemplaza lo siguiente:

    • MANAGEMENT_API_SERVER: Es la ruta de kubeconfig del servidor de la API zonal. Si aún no generaste un archivo kubeconfig para el servidor de la API en tu zona de destino, consulta Accede para obtener más detalles.
    • VPN_BGP_PEER_NAME: Es el nombre de tu sesión de BGP de VPN.

    Para obtener más información, consulta Crea una sesión de BGP de VPN.

    El resultado se ve como en el siguiente ejemplo:

    [
  {
    "prefix": "192.168.100.0/24"
  },
  {
    "prefix": "192.168.101.0/24"
  }
]

  2. Agrega todas las rutas recibidas del estado VPNBGPPeer a un objeto ProjectNetworkPolicy en el espacio de nombres del proyecto:

    kubectl --kubeconfig GLOBAL_API_SERVER create -n PROJECT_NAME -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  name: allow-ingress-vpn-traffic
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - ipBlocks:
      - cidr: 192.168.100.0/24
      - cidr: 192.168.101.0/24
EOF

    Reemplaza lo siguiente:

    • GLOBAL_API_SERVER: Es la ruta de kubeconfig del servidor de la API global. Para obtener más información, consulta Recursos del servidor de la API global.
    • PROJECT_NAME: Es el nombre de tu proyecto de GDC.

Configura el tráfico de salida

De forma predeterminada, un proyecto con la protección contra el robo de datos habilitada rechazará el envío de tráfico a la VPN.

Puedes permitir que un proyecto envíe tráfico a un túnel VPN si inhabilitas la protección contra el robo de datos para el proyecto. Para obtener más información, consulta Evita el robo de datos.

¿Qué sigue?