设置 IAP TCP 转发

本页面介绍了如何在 Google Cloud 或非Google Cloud 环境中设置和使用 Identity-Aware Proxy (IAP) TCP 转发功能，并指定 IP 地址或主机名。

概览

您可以使用 Google Cloud CLI 通过资源专用 IP 地址或主机名创建通往资源的隧道。如果您在非Google Cloud 环境中拥有通过 Cloud Interconnect 或 VPN 连接到 Google Cloud 的外部资源，则可以将 IAP TCP 转发与这些资源搭配使用。

准备工作

如果您需要通过隧道连接到 Google Cloud以外的资源，则必须配置混合连接。如需将外部非Google Cloud 资源连接到Google Cloud，必须使用混合连接。如需了解详情，请参阅 Cloud Interconnect 或 Cloud VPN 文档。

您的 Cloud Router 必须发布 IAP-TCP IP 范围 35.235.240.0/20，以便目的地通过 Cloud VPN 或 Cloud Interconnect（而非互联网）发送响应流量。如果您没有此配置，则无法创建通往 Google Cloud 项目外部资源的隧道。

如需将 Cloud Router 配置为通告 IAP-TCP IP 范围 35.235.240.0/20，请按照通告自定义 IP 范围中的说明操作。

以下程序提供了使用 Google Cloud CLI 完成任务的示例。如需了解如何使用 API 与目标群组互动，请参阅 REST 资源：projects.iap_tunnel.locations.destGroups。

创建隧道目的地组

配置隧道时，您需要指定用于权限检查的隧道目标组。隧道目标群组表示具有相同隧道访问限制的资源。您可以创建任意数量的目标组，每个组包含任意数量的匹配 IP 范围或完全限定域名 (FQDN)。目的地组可以重叠，以提高灵活性。

创建目标位置组时，您必须指定一个区域。为获得最佳效果，您指定的区域必须与目标资源的位置一致。例如，如果资源通过 VPN 连接，您必须使用 VPN 网关的区域。

如需创建目标群组，您必须拥有 iap.tunnelDestGroups.create 权限，该权限可通过 iap.tunnelDestGroupEditor 角色授予。如需授予单个角色，请参阅 IAM 文档中的授予单个角色。

控制台

  1. 前往 IAP 页面，然后选择一个项目（如果尚未选择）。

  2. 在 SSH 和 TCP 资源标签页上，点击创建目标组。

  3. 输入群组名称。群组名称只能包含小写字母 (a-z) 和短划线 (-)。

  4. 从下拉列表中，选择要创建目标群组的区域。

  5. 在 IP 地址部分中，点击添加行，然后输入资源的 IP 地址或 FQDN。

    IP 范围由使用 CIDR 表示法的以逗号分隔的范围组成，例如 10.1.2.0/24,172.0.0.0/8。

    FQDN 列表是以逗号分隔列表形式表示的主机名列表，例如 *.internal.company.com。您可以在 FQDN 条目中使用通配符。

  6. 点击创建目的地组。

gcloud

gcloud iap tcp dest-groups create YOUR_GROUP_NAME \
  --region=REGION \
  --ip-range-list=IP_RANGE_LIST \
  --fqdn-list=FQDN_LIST

替换以下内容：

  • YOUR_GROUP_NAME：您的群组名称。群组名称只能包含小写字母 (a-z) 和短划线 (-)。
  • REGION：要在其中创建目标群组的区域，例如 us-central1。
  • IP_RANGE_LIST：可选。IP 地址范围列表，其中包含使用 CIDR 表示法的以逗号分隔的范围，例如 10.1.2.0/24,172.0.0.0/8。
  • FQDN_LIST：可选。FQDN 列表是以逗号分隔列表的主机名，例如 *.internal.company.com。如果 FQDN 条目具有通配符前缀，则它将匹配任何具有指定结尾的主机名。否则，需要完全匹配。如果请求与任何 IP 范围或 FQDN 匹配，则视为匹配。

如果您不确定哪些群组已存在，请运行以下命令列出群组：

gcloud iap tcp dest-groups list \
  --region=REGION

管理隧道目标群组

您可以查看目标群组的详细信息、修改目标群组并将其移除。

控制台

  1. 前往 IAP 页面，然后点击 SSH 和 TCP 资源标签页。

    • 如需查看目标群组的详细信息，请点击相应目标群组的名称。

    • 如需修改目标群组，请选择相应目标群组，然后点击铅笔图标以打开修改目标群组面板。您还可以通过此面板删除目标群组。

    • 如需移除目标群组，请选择相应目标群组，然后点击回收站图标。

gcloud

如需详细了解如何使用 gcloud CLI 管理目标群组，请参阅目标群组 gcloud 命令。

配置隧道权限

如需创建隧道，您必须拥有相关目标群组的 iap.tunnelDestGroups.accessViaIAP 权限。您可以通过 iap.tunnelResourceAccessor 角色授予此权限。

如需配置目标群组的权限，您必须拥有 iap.tunnelDestGroups.setIamPolicy 权限，该权限可通过 iap.admin 角色授予。

控制台

  1. 前往 IAP 页面。

  2. 在 SSH 和 TCP 资源标签页上，选择要为其配置权限的目标群组。

  3. 在随即打开的面板中，点击添加主账号，然后输入用户的电子邮件地址。

  4. 在分配角色部分，选择要分配给主账号的角色。

  5. 点击保存。

gcloud

gcloud iap tcp dest-groups add-iam-policy-binding \
  --member=MEMBER \
  --role=ROLE \
  --dest-group=GROUP_NAME \
  --region=REGION

替换以下内容：

  • MEMBER：用户的电子邮件地址，例如 user:exampleuser@company.com。

  • ROLE：必需的 IAP 角色，即 roles/iap.tunnelResourceAccessor。

  • GROUP_NAME：目标群组名称。

  • REGION：区域的名称，例如 us-central1。

了解隧道使用情况

使用 IAP-TCP 时，您可以使用以下三个 gcloud CLI 命令：start-iap-tunnel、ssh 和 scp。

已更新 IAP-TCP 命令，以支持基于 IP 和 FQDN 的隧道。如需切换到 IP 地址或 FQDN，请在使用命令时执行以下操作：

  • 指定 IP 地址或 FQDN，而不是实例名称。
  • 使用 --region，而不要使用 --zone。
  • 使用 --dest-group 指定要使用的目标群组。
  • 使用 --network 指定要使用的 VPC 网络的名称。

您指定的 IP 地址必须是目的地的专用 IP 地址。 您无法将 IAP-TCP 与公共 IP 地址搭配使用。如果您使用 FQDN，则必须将其解析为目标的专用 IP 地址。请注意，域名解析是在您指定的 VPC 网络内完成的，而不是在客户端的网络内完成的。例如，如果您尝试创建通往 vm.corp.company.com 的隧道，则将 vm.corp.company.com 转换为 IP 地址的步骤会在 VPC 网络的上下文中进行。

您指定的区域必须与目标群组的区域一致。

您指定的网络必须与有权访问目标的 VPC 网络的名称一致。典型的网络名称为 default。您可以在 Google Cloud 控制台的 VPC 网络页面上查看网络名称列表，也可以通过运行以下命令检索网络名称列表：

gcloud compute networks list --format='value(name)'

示例

以下示例使用的是示例 IP 地址 172.16.1.2。每条命令也可以使用 FQDN（例如 example.internal.company.com）代替 IP 地址。

SSH 示例

如需启动与 172.16.1.2 的 SSH 会话，请运行以下命令：

gcloud compute ssh 172.16.1.2 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap

将 DESTINATION_GROUP_NAME 替换为目标群组名称。

请注意，--plain 是隐含的，因此在使用 IP 地址时，不会尝试自动管理和推送 SSH 密钥。

如果您收到 Permission denied (publickey) 错误，则表示该命令未找到包含 SSH 密钥的文件。如需解决此问题，请将包含 SSH 私钥的文件的路径添加为 SSH 命令的参数，如以下示例所示：

gcloud compute ssh 172.16.1.2 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap \
    -- -i ~/.ssh/google_compute_engine

将 DESTINATION_GROUP_NAME 替换为目标群组名称。

如果您想以特定用户身份登录，请使用 USER@IP 格式，而不是仅指定 IP：

gcloud compute ssh user@172.16.1.2 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap

如果账号受密码保护，您必须输入密码。如果账号受私钥/公钥对保护，您必须使用 -- -i 标志指定该密钥对，如上所述。

隧道示例

如需建立通往其他 TCP 端口的隧道，请使用 start-iap-tunnel 命令。 如需创建从 localhost:8022 到端口 172.16.1.2:8085 的隧道，请运行以下命令：

gcloud compute start-iap-tunnel 172.16.1.2 8085 \
    --local-host-port=localhost:8022 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default

请注意，在此示例中，目标机器必须监听端口 8085。

建立隧道后，您可以使用任何工具（例如 PuTTY）来建立连接。

SCP 示例

如需使用 SCP 将文件复制到 172.16.1.2，请运行以下命令：

gcloud compute scp file.txt 172.16.1.2:~/ \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap

请注意，--plain 是隐含的，因此在使用 IP 地址时，不会尝试自动管理和推送 SSH 密钥。

SSH ProxyCommand 示例

如需将该命令用作始终通过隧道连接到 172.16.1.2 的 ProxyCommand，请在 ~/.ssh/config 配置或等效配置中添加一个条目，如以下示例所示：

Host example
ProxyCommand gcloud compute start-iap-tunnel 172.16.1.2 '%p' --region=us-central1 --dest-group=DESTINATION_GROUP_NAME --network=default --verbosity=warning

运行以下命令时，ProxyCommand 会生效：ssh example

您还可以设置 ProxyCommand 来处理多个主机名，如以下示例所示： 

Host *.internal.company.com
ProxyCommand gcloud compute start-iap-tunnel '%h' '%p' --region=us-central1 --dest-group=DESTINATION_GROUP_NAME --network=default --verbosity=warning

运行以下命令时，ProxyCommand 会生效：ssh example.internal.company.com