Mengamankan IAP untuk penerusan TCP dengan Kontrol Layanan VPC

Halaman ini menjelaskan cara menggunakan Kontrol Layanan VPC untuk melindungi IAP untuk penerusan TCP, dan cara menggunakan IAP untuk penerusan TCP dalam perimeter Kontrol Layanan VPC.

Sebelum memulai

  1. Baca Ringkasan Kontrol Layanan VPC.

  2. Siapkan penggunaan penerusan TCP IAP tanpa perimeter layanan.

  3. Buat perimeter layanan menggunakan Kontrol Layanan VPC. Perimeter layanan ini melindungi resource layanan yang dikelola Google yang Anda tentukan. Saat membuat perimeter layanan, lakukan hal berikut:

    1. Tambahkan project yang berisi instance Compute Engine yang ingin Anda hubungkan dengan IAP ke project dalam perimeter layanan Anda. Jika Anda menjalankan klien IAP untuk TCP pada instance Compute Engine, masukkan juga project yang berisi instance ini ke dalam perimeter.

    2. Tambahkan Identity-Aware Proxy TCP API ke daftar layanan yang dilindungi oleh perimeter layanan Anda.

    Jika Anda membuat perimeter layanan tanpa menambahkan project dan layanan yang Anda butuhkan, lihat Mengelola perimeter layanan untuk mempelajari cara mengupdate perimeter layanan.

Mengonfigurasi data DNS menggunakan Cloud DNS

Jika klien IAP untuk TCP Anda, yang kemungkinan adalah Google Cloud CLI, tidak berjalan di dalam perimeter mana pun, maka Anda dapat melewati langkah ini. Di sisi lain, jika Anda menjalankan klien di dalam perimeter, Anda harus mengonfigurasi data DNS untuk IAP untuk TCP.

IAP untuk TCP menggunakan domain yang bukan subdomain googleapis.com. Dengan menggunakan Cloud DNS, tambahkan data DNS untuk memastikan bahwa jaringan VPC Anda menangani permintaan yang dikirim ke domain tersebut dengan benar. Untuk mempelajari rute VPC lebih lanjut, baca Ringkasan rute.

Gunakan langkah-langkah berikut untuk membuat zona terkelola untuk domain, menambahkan data DNS untuk merutekan permintaan, dan menjalankan transaksi. Anda dapat menggunakan gcloud CLI dengan terminal pilihan atau menggunakan Cloud Shell, yang telah menginstal gcloud CLI.

  1. Konfigurasi DNS *.googleapis.comseperti biasa untuk integrasi Kontrol Layanan VPC.

  2. Kumpulkan informasi ini untuk digunakan saat mengonfigurasi data DNS Anda:

    • PROJECT_ID adalah ID project yang menghosting jaringan VPC Anda.

    • NETWORK_NAME adalah nama jaringan VPC tempat Anda menjalankan klien IAP untuk TCP.

    • ZONE_NAME adalah nama untuk zona yang Anda buat. Misalnya, iap-tcp-zone.

  3. Buat zona terkelola pribadi untuk domain tunnel.cloudproxy.app sehingga jaringan VPC dapat menanganinya.

    gcloud dns managed-zones create ZONE_NAME \
 --visibility=private \
 --networks=https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME \
 --dns-name=tunnel.cloudproxy.app \
 --description="Description of your managed zone"

  4. Mulai transaksi.

    gcloud dns record-sets transaction start --zone=ZONE_NAME

  5. Tambahkan data A DNS berikut. Tindakan ini akan mengalihkan traffic ke VIP yang dibatasi Google (alamat IP virtual).

    gcloud dns record-sets transaction add \
 --name=tunnel.cloudproxy.app. \
 --type=A 199.36.153.4 199.36.153.5 199.36.153.6 199.36.153.7 \
 --zone=ZONE_NAME \
 --ttl=300

  6. Tambahkan data DNS CNAME berikut untuk mengarah ke data A yang baru saja Anda tambahkan. Tindakan ini akan mengalihkan semua traffic yang cocok dengan domain ke alamat IP yang tercantum di langkah sebelumnya.

    gcloud dns record-sets transaction add \
 --name="*.tunnel.cloudproxy.app." \
 --type=CNAME tunnel.cloudproxy.app. \
 --zone=ZONE_NAME \
 --ttl=300

  7. Jalankan transaksi.

    gcloud dns record-sets transaction execute --zone=ZONE_NAME

Mengonfigurasi DNS dengan BIND

Anda dapat menggunakan BIND, bukan Cloud DNS. Dalam hal ini, ikuti petunjuk untuk mengonfigurasi DNS dengan BIND, tetapi gunakan domain IAP untuk TCP, bukan domain googleapis.com umum.

Menggunakan VIP pribadi

Anda mungkin dapat menggunakan VIP pribadi, bukan VIP yang dibatasi, bergantung pada cara Anda mengonfigurasi perimeter dan jaringan. Jika Anda memilih untuk melakukannya, gunakan

199.36.153.8 199.36.153.9 199.36.153.10 199.36.153.11

sebagai pengganti

199.36.153.4 199.36.153.5 199.36.153.6 199.36.153.7

dalam petunjuk untuk mengonfigurasi data DNS Anda.

Menggunakan VPC bersama

Jika menggunakan VPC bersama, Anda harus menambahkan host dan project layanan ke perimeter layanan. Lihat Mengelola perimeter layanan.

Langkah berikutnya