设置 IAP TCP 转发

本页介绍如何在 Google Cloud 或非Google Cloud 环境中设置和使用 Identity-Aware Proxy (IAP) TCP 转发以及 IP 地址或主机名。

概览

您可以使用 Google Cloud CLI，通过资源私有 IP 地址或主机名创建通往资源的隧道。如果您在非Google Cloud 环境中拥有通过 Google Cloud through Cloud Interconnect 或 VPN 连接到 的外部资源，则可以使用 IAP TCP 转发来处理这些资源。

准备工作

如果您需要通过隧道连接到 以外的资源 Google Cloud，则必须配置混合连接。混合连接是用于将外部非-Google Cloud 资源连接到 Google Cloud所必需的。如需了解详情，请参阅Cloud Interconnect或Cloud VPN 文档。

您的 Cloud Router 必须通告 IAP-TCP IP 范围 35.235.240.0/20，以便目标通过 Cloud VPN 或 Cloud Interconnect 而不是通过互联网发送响应流量。如果您没有此配置，则无法创建通往项目外部资源的隧道。 Google Cloud

如需将 Cloud Router 配置为通告 IAP-TCP IP 范围 35.235.240.0/20，请按照通告自定义 IP 范围中的说明操作。

以下过程提供了用于完成任务的 Google Cloud CLI 示例。如需了解如何使用 API 与目标群组进行交互，请参阅 REST 资源：projects.iap_tunnel.locations.destGroups。

创建隧道目标群组

配置隧道时，您需要指定一个隧道目标群组以用于权限检查。隧道目标群组表示具有相同隧道访问限制的资源。您可以创建任意数量的目标群组，每个群组可以包含任意数量的匹配 IP 范围或完全限定域名 (FQDN)。目标群组可以重叠，以提高灵活性。

创建目标群组时，您必须指定一个区域。为获得最佳结果，您指定的区域必须与目标资源的位置一致。例如，如果资源通过 VPN 连接，则必须使用 VPN 网关的区域。

如需创建目标群组，您必须拥有 iap.tunnelDestGroups.create 权限，您可以通过 iap.tunnelDestGroupEditor 角色授予此权限。如需授予单个 角色，请参阅 IAM 文档中的授予单个角色 。

控制台

  1. 前往 IAP 页面 ，然后选择一个项目（如果尚未选择项目）。

  2. 在 SSH 和 TCP 资源 标签页上，点击创建目标群组 。

  3. 输入群组名称。群组名称只能包含小写字母 (az) 和短划线 (-)。

  4. 从下拉列表中，选择要在其中创建目标群组的区域。

  5. 在 IP 地址 部分，点击 添加行，然后输入资源的 IP 地址或 FQDN。

    IP 范围由使用 CIDR 表示法的以逗号分隔的范围组成，例如 10.1.2.0/24,172.0.0.0/8。

    FQDN 列表是以逗号分隔列表形式表示的主机名列表，例如 *.internal.company.com。您可以在 FQDN 条目中使用通配符。

  6. 点击创建目标群组 。

gcloud

gcloud iap tcp dest-groups create YOUR_GROUP_NAME \
  --region=REGION \
  --ip-range-list=IP_RANGE_LIST \
  --fqdn-list=FQDN_LIST

替换以下内容：

  • YOUR_GROUP_NAME：您的群组名称。群组名称只能包含小写字母 (az) 和短划线 (-)。
  • REGION：要在其中创建目标群组的区域，例如 us-central1。
  • IP_RANGE_LIST：可选。IP 范围列表，由使用 CIDR 表示法的以逗号分隔的范围组成，例如 10.1.2.0/24,172.0.0.0/8。
  • FQDN_LIST：可选。FQDN 列表是以逗号分隔列表的主机名，例如 *.internal.company.com。如果 FQDN 条目具有通配符前缀，它将与任何具有指定结尾的主机名匹配。否则，它需要完全匹配。如果请求与任何 IP 范围或 FQDN 匹配，则会被视为匹配。

如果您不确定已存在哪些群组，请运行以下命令列出这些群组：

gcloud iap tcp dest-groups list \
  --region=REGION

管理隧道目标群组

您可以查看目标群组的详细信息、修改目标群组并将其移除。

控制台

  1. 前往 IAP 页面 ，然后点击 SSH 和 TCP 资源 标签页。

    • 如需查看目标群组的详细信息，请点击目标群组的名称。

    • 如需修改目标群组，请选择目标群组，然后点击铅笔图标以打开修改目标群组 面板。您还可以从此面板中删除目标群组。

    • 如需移除目标群组，请选择目标群组，然后点击垃圾桶图标。

gcloud

如需详细了解如何使用 gcloud CLI 管理目标群组，请参阅 目标群组 gcloud 命令。

配置隧道权限

如需创建隧道，您必须对相关目标群组拥有 iap.tunnelDestGroups.accessViaIAP 权限。您可以通过 iap.tunnelResourceAccessor 角色授予此权限。

如需配置目标群组的权限，您必须拥有 iap.tunnelDestGroups.setIamPolicy 权限，您可以通过 iap.admin 角色授予此权限。

控制台

  1. 前往 IAP 页面。

  2. 在 SSH 和 TCP 资源 标签页上，选择要为其配置权限的目标群组。

  3. 在打开的面板中，点击添加主账号 ，然后输入用户的电子邮件地址。

  4. 在分配角色 部分，选择要分配给主账号的角色。

  5. 点击保存 。

gcloud

gcloud iap tcp dest-groups add-iam-policy-binding \
  --member=MEMBER \
  --role=ROLE \
  --dest-group=GROUP_NAME \
  --region=REGION

替换以下内容：

  • MEMBER：用户的电子邮件地址，例如 user:exampleuser@company.com。

  • ROLE：所需的 IAP 角色， roles/iap.tunnelResourceAccessor。

  • GROUP_NAME：目标群组名称。

  • REGION：区域的名称，例如 us-central1。

了解隧道使用情况

使用 IAP-TCP 时，您可以使用三个 gcloud CLI 命令：start-iap-tunnel、ssh 和 scp。

IAP-TCP 命令已更新，以支持基于 IP 和 FQDN 的隧道。如需切换到 IP 地址或 FQDN，请在使用命令时执行以下操作：

  • 指定 IP 地址或 FQDN，而不是实例名称。
  • 使用 --region，而不是 --zone。
  • 使用 --dest-group 指定要使用的目标群组。
  • 使用 --network 指定要使用的 VPC 网络的名称。

您指定的 IP 地址必须是目标的私有 IP 地址。 您不能将 IAP-TCP 与公共 IP 地址搭配使用。如果您使用 FQDN，则它必须解析为目标的私有 IP 地址。请注意，名称解析是在您指定的 VPC 网络内完成的，而不是在客户端的网络内完成的。例如，如果您尝试创建通往 vm.corp.company.com 的隧道，则将 vm.corp.company.com 转换为 IP 地址的步骤会在 VPC 网络的上下文中进行。

您指定的区域必须与目标群组的区域一致。

您指定的网络必须与有权访问目标的 VPC 网络的名称一致。典型的网络名称是 default。您可以在控制台的 VPC 网络页面上查看网络 名称列表，也可以通过运行以下命令检索 网络名称列表： Google Cloud 

gcloud compute networks list --format='value(name)'

示例

以下示例使用示例 IP 地址 172.16.1.2。每个命令还可以使用 FQDN（例如 example.internal.company.com）代替 IP 地址。

SSH 示例

如需启动与 172.16.1.2 的 SSH 会话，请运行以下命令：

gcloud compute ssh 172.16.1.2 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap

将 DESTINATION_GROUP_NAME 替换为目标群组名称。

请注意，系统会隐式使用 --plain，因此在使用 IP 地址时，不会尝试自动管理和推送 SSH 密钥。

如果您收到错误 Permission denied (publickey)，则表示该命令未找到包含 SSH 密钥的文件。如需解决此问题，请将包含 SSH 私钥的文件的路径添加为 SSH 命令的参数，如以下示例所示：

gcloud compute ssh 172.16.1.2 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap \
    -- -i ~/.ssh/google_compute_engine

将 DESTINATION_GROUP_NAME 替换为目标群组名称。

如果您想以特定用户身份登录，请使用 USER@IP 格式，而不是仅指定 IP：

gcloud compute ssh user@172.16.1.2 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap

如果账号受密码保护，您必须输入密码。如果账号受私有或公共 SSH 密钥对保护，您必须使用上述 -- -i 标志指定该密钥对。

隧道示例

如需建立通往不同 TCP 端口的隧道，请使用 start-iap-tunnel 命令。 如需创建从 localhost:8022 到端口 172.16.1.2:8085 的隧道，请运行以下命令：

gcloud compute start-iap-tunnel 172.16.1.2 8085 \
    --local-host-port=localhost:8022 \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default

请注意，在此示例中，目标机器必须监听端口 8085。

建立隧道后，您可以使用任何工具（例如 PuTTY）来建立连接。

SCP 示例

如需使用 SCP 将文件复制到 172.16.1.2，请运行以下命令：

gcloud compute scp file.txt 172.16.1.2:~/ \
    --region=us-central1 \
    --dest-group=DESTINATION_GROUP_NAME \
    --network=default \
    --tunnel-through-iap

请注意，系统会隐式使用 --plain，因此在使用 IP 地址时，不会尝试自动管理和推送 SSH 密钥。

SSH ProxyCommand 示例

如需将该命令用作始终通过隧道连接到 172.16.1.2 的 ProxyCommand，请向 ~/.ssh/config 配置或等效配置添加条目，如以下示例所示：

Host example
ProxyCommand gcloud compute start-iap-tunnel 172.16.1.2 '%p' --region=us-central1 --dest-group=DESTINATION_GROUP_NAME --network=default --verbosity=warning

当您运行以下命令时，ProxyCommand 会生效：ssh example

您还可以设置 ProxyCommand 来处理许多主机名，如以下示例所示： 

Host *.internal.company.com
ProxyCommand gcloud compute start-iap-tunnel '%h' '%p' --region=us-central1 --dest-group=DESTINATION_GROUP_NAME --network=default --verbosity=warning

当您运行以下命令时，ProxyCommand 会生效：ssh example.internal.company.com