Mengakses cluster pribadi dari jarak jauh menggunakan bastion host

Peringatan: Halaman ini telah diarsipkan dan tidak dikelola secara aktif. Perintah di halaman ini mungkin tidak berfungsi dan dapat menyebabkan gangguan pada cluster Anda. Sebaiknya buat cluster Anda di versi 1.29 dan yang lebih baru untuk akses yang dapat disesuaikan dan disederhanakan ke bidang kontrol dan jaringan cluster. Untuk mempelajari lebih lanjut, lihat Menyesuaikan isolasi jaringan di GKE.

Tutorial ini menunjukkan cara mengakses cluster pribadi di Google Kubernetes Engine (GKE) melalui internet menggunakan bastion host.

Anda dapat membuat cluster pribadi GKE dengan tidak ada akses klien ke endpoint publik. Opsi akses ini meningkatkan keamanan cluster dengan mencegah semua akses dari internet ke panel kontrol. Namun, menonaktifkan akses ke endpoint publik akan mencegah Anda berinteraksi dengan cluster dari jarak jauh, kecuali jika Anda menambahkan alamat IP klien jarak jauh sebagai jaringan yang diizinkan.

Tutorial ini menunjukkan cara menyiapkan bastion host, yang merupakan mesin host dengan tujuan khusus yang dirancang untuk mengatasi serangan. Bastion host menggunakan Tinyproxy untuk meneruskan traffic klien ke cluster. Gunakan Identity-Aware Proxy (IAP) untuk mengakses bastion host dari klien jarak jauh dengan aman.

Catatan: Tutorial ini memberikan petunjuk untuk menggunakan aplikasi ini: Tinyproxy. Petunjuk mungkin tidak merepresentasikan versi aplikasi yang lebih baru. Untuk mengetahui informasi selengkapnya, lihat dokumentasi: Tinyproxy.

Tujuan

• Membuat cluster pribadi tanpa akses ke endpoint publik.
• Deploy mesin virtual (VM) Compute Engine untuk bertindak sebagai bastion host di subnet cluster.
• Menggunakan IAP untuk menghubungkan klien jarak jauh ke cluster melalui internet.

Biaya

Dalam dokumen ini, Anda akan menggunakan komponen Google Cloudyang dapat ditagih berikut:

• GKE
• Identity-Aware Proxy
• Compute Engine

Untuk membuat perkiraan biaya berdasarkan proyeksi penggunaan Anda, gunakan kalkulator harga.

Pengguna Google Cloud baru mungkin memenuhi syarat untuk mendapatkan uji coba gratis.

Setelah menyelesaikan tugas yang dijelaskan dalam dokumen ini, Anda dapat menghindari penagihan berkelanjutan dengan menghapus resource yang Anda buat. Untuk mengetahui informasi selengkapnya, baca bagian Pembersihan.

Sebelum memulai

Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the GKE, Compute Engine, Identity-Aware Proxy APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Instal Google Cloud CLI.

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut:

gcloud init

Setelah menginisialisasi gcloud CLI, update gcloud CLI dan instal komponen yang diperlukan:

gcloud components update
gcloud components install alpha beta

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the GKE, Compute Engine, Identity-Aware Proxy APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Instal Google Cloud CLI.

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut:

gcloud init

Setelah menginisialisasi gcloud CLI, update gcloud CLI dan instal komponen yang diperlukan:

gcloud components update
gcloud components install alpha beta

Membuat cluster pribadi

Buat cluster pribadi baru tanpa akses klien ke endpoint publik. Tempatkan cluster di subnetnya sendiri. Anda dapat melakukannya menggunakan Google Cloud CLI atau konsol Google Cloud .

gcloud

Jalankan perintah berikut:

gcloud container clusters create-auto CLUSTER_NAME \
    --location=CONTROL_PLANE_LOCATION \
    --create-subnetwork=name=SUBNET_NAME \
    --enable-master-authorized-networks \
    --enable-private-nodes \
    --enable-private-endpoint

Ganti kode berikut:

• CLUSTER_NAME: nama cluster baru.
• CONTROL_PLANE_LOCATION: region Compute Engine dari bidang kontrol cluster Anda.
• SUBNET_NAME: nama subnetwork baru tempat Anda ingin menempatkan cluster.

Konsol

Buat subnetwork Virtual Private Cloud

1. Buka halaman VPC networks di konsol Google Cloud .

   Buka VPC networks

2. Klik jaringan default.

3. Di bagian Subnet, klik Tambahkan subnet.

4. Pada dialog Tambahkan subnet, tentukan hal berikut:

   1. Nama: Nama untuk subnet baru.
   2. Region: Region untuk subnet. Region ini harus sama dengan region cluster.
   3. Rentang alamat IP: Tentukan 10.2.204.0/22 atau rentang lain yang tidak bertentangan dengan rentang lain di Jaringan VPC.
   4. Untuk Akses Google Pribadi, pilih opsi Aktif.

5. Klik Tambahkan.

Membuat cluster pribadi

1. Buka halaman Google Kubernetes Engine di konsol Google Cloud .

   Buka Google Kubernetes Engine

2. Klik Buat.

3. Klik Konfigurasi untuk GKE Autopilot.

4. Tentukan Nama dan Region untuk cluster baru. Region harus sama dengan subnet.

5. Di bagian Networking, pilih opsi Cluster pribadi.

6. Hapus centang pada kotak Akses panel kontrol menggunakan alamat IP eksternalnya.

7. Dari menu drop-down Node subnet, pilih subnet yang Anda buat.

8. Konfigurasikan setelan lain untuk cluster secara opsional.

9. Klik Buat.

Anda juga dapat menggunakan cluster GKE Standard dengan flag --master-ipv4-cidr yang ditentukan.

Membuat VM bastion host

Buat VM Compute Engine dalam jaringan internal cluster pribadi untuk bertindak sebagai bastion host yang dapat mengelola cluster.

gcloud

Membuat VM Compute Engine:

gcloud compute instances create INSTANCE_NAME \
    --zone=COMPUTE_ZONE \
    --machine-type=e2-micro \
    --network-interface=no-address,network-tier=PREMIUM,subnet=SUBNET_NAME

Ganti kode berikut:

• INSTANCE_NAME: nama VM.
• COMPUTE_ZONE: zona Compute Engine untuk VM. Tempatkan ini di region yang sama dengan cluster.

• SUBNET_NAME: subnetwork tempat Anda ingin menempatkan VM.

  Catatan: Sebaiknya buat VM di subnet VPC yang sama dengan cluster. Jika Anda membuat VM di subnet lain, tambahkan rentang alamat IP VM sebagai jaringan yang diizinkan untuk cluster tersebut.

Konsol

1. Buka halaman VM instances di konsol Google Cloud .

   Buka instance VM

2. Klik Create instance.

3. Tentukan nilai berikut:

   1. Nama: nama VM Anda.
   2. Region dan Zona: region dan zona VM Anda. Gunakan region yang sama dengan cluster Anda.
   3. Jenis mesin: jenis mesin. Pilih jenis mesin kecil, seperti e2-micro.
   4. Untuk Antarmuka jaringan, pilih jaringan VPC dan subnet yang sama dengan cluster.
   5. Konfigurasikan setelan lain untuk instance secara opsional.

4. Klik Buat.

Catatan: Buat VM di subnet VPC yang sama dengan cluster. Jika Anda membuat VM di subnet lain, tambahkan rentang alamat IP VM sebagai jaringan yang diizinkan untuk cluster tersebut.

Catatan: Anda harus mengotomatiskan penyiapan dan upgrade host bastion menggunakan alat seperti Terraform.

Buat aturan firewall

Untuk mengizinkan IAP terhubung ke VM bastion host Anda, buat aturan firewall.

Men-deploy proxy

Catatan: Beberapa perintah di bagian ini memerlukan hak istimewa administrator.

Setelah bastion host dan cluster pribadi dikonfigurasi, Anda harus men-deploy daemon proxy di host untuk meneruskan traffic ke panel kontrol cluster. Untuk tutorial ini, Anda akan menginstal Tinyproxy.

1. Mulai sesi ke VM Anda:

   gcloud compute ssh INSTANCE_NAME --tunnel-through-iap --project=PROJECT_ID
   

2. Instal Tinyproxy:

   sudo apt install tinyproxy
   

3. Buka file konfigurasi Tinyproxy:

   sudo vi /etc/tinyproxy/tinyproxy.conf
   

4. Dalam file, lakukan hal berikut:

   1. Pastikan portnya adalah 8888.

   2. Telusuri bagian Allow:

        /Allow 127
      

   3. Tambahkan baris berikut ke bagian Allow:

        Allow localhost
      

5. Simpan file dan mulai ulang Tinyproxy:

   sudo service tinyproxy restart
   

6. Keluar dari sesi:

   exit
   

Menghubungkan ke cluster dari klien jarak jauh

Setelah mengonfigurasi Tinyproxy, Anda harus menyiapkan klien jarak jauh dengan kredensial cluster dan menentukan proxy. Lakukan hal berikut di klien jarak jauh:

1. Dapatkan kredensial untuk cluster:

   gcloud container clusters get-credentials CLUSTER_NAME \
       --location=CONTROL_PLANE_LOCATION \
       --project=PROJECT_ID
   

   Ganti kode berikut:

   • CLUSTER_NAME: nama cluster pribadi.
   • CONTROL_PLANE_LOCATION: lokasi Compute Engine bidang kontrol cluster Anda. Berikan region untuk cluster regional, atau zona untuk cluster zona.
   • PROJECT_ID: ID Google Cloud project cluster.

2. Buat tunnel ke bastion host menggunakan IAP:

   gcloud compute ssh INSTANCE_NAME \
       --tunnel-through-iap \
       --project=PROJECT_ID \
       --zone=COMPUTE_ZONE \
       --ssh-flag="-4 -L8888:localhost:8888 -N -q -f"
   

3. Tentukan proxy:

   export HTTPS_PROXY=localhost:8888
   kubectl get ns
   

   Outputnya adalah daftar namespace di cluster pribadi.

Menghentikan pemrosesan pada klien jarak jauh

Jika ingin membatalkan perubahan pada klien jarak jauh kapan saja, Anda harus mengakhiri proses pemroses pada port TCP 8888. Perintah untuk melakukan tindakan ini berbeda bergantung pada sistem operasi klien.

netstat -lnpt | grep 8888 | awk '{print $7}' | grep -o '[0-9]\+' | sort -u | xargs sudo kill

Pemecahan masalah

Pembatasan firewall di jaringan perusahaan

Jika Anda menggunakan jaringan perusahaan dengan firewall yang ketat, Anda mungkin tidak dapat menyelesaikan tutorial ini tanpa meminta pengecualian. Jika Anda meminta pengecualian, rentang IP sumber untuk host bastion adalah 35.235.240.0/20 secara default.

Pembersihan

Agar tidak perlu membayar biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource tersebut, atau simpan project dan hapus setiap resource.

Menghapus project

Perhatian: Penghapusan project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika Anda menggunakan project yang ada untuk mengerjakan tugas di dokumen ini, saat Anda menghapusnya, pekerjaan lain dalam project tersebut juga akan dihapus.
• Project ID kustom akan hilang. Saat membuat project ini, Anda mungkin juga membuat project ID kustom yang masih ingin digunakan pada masa mendatang. Agar tidak kehilangan URL yang menggunakan project ID tersebut, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari beberapa arsitektur, tutorial atau panduan memulai, dengan menggunakan kembali project dapat membantu Anda agar tidak melampaui batas kuota project.

1. Di Konsol Google Cloud , buka halaman Manage resources.

   Buka Kelola resource

2. Pada daftar project, pilih project yang ingin Anda hapus, lalu klik Delete.
3. Pada dialog, ketik project ID, lalu klik Shut down untuk menghapus project.

Menghapus resource satu per satu

1. Hapus bastion host yang Anda deploy dalam tutorial ini:

   gcloud compute instances delete INSTANCE_NAME \
       --zone=COMPUTE_ZONE
   

2. Hapus kluster:

   gcloud container clusters delete CLUSTER_NAME \
       --location=CONTROL_PLANE_LOCATION
   

3. Hapus subnet:

   gcloud compute networks subnets delete SUBNET_NAME \
       --region=CONTROL_PLANE_LOCATION