Accedere da remoto a un cluster privato utilizzando un bastion host

---

Questo tutorial mostra come accedere a un cluster privato in Google Kubernetes Engine (GKE) tramite internet utilizzando un host bastione.

Puoi creare cluster privati GKE con nessun accesso client all'endpoint pubblico. Questa opzione di accesso migliora la sicurezza del cluster impedendo tutte le connessioni a internet al piano di controllo. Tuttavia, la disattivazione dell'accesso all'endpoint pubblico ti impedisce di interagire con il tuo cluster da remoto, a meno che tu non aggiunga l'indirizzo del tuo client remoto come rete autorizzata.

Questo tutorial mostra come configurare un host bastione, ovvero una macchina host per scopi speciali progettata per resistere agli attacchi. L'host bastione utilizza Tinyproxy per inoltrare il traffico client al cluster. Utilizzi Identity-Aware Proxy (IAP) per accedere in sicurezza all'host bastion dal client remoto.

Nota: questo tutorial fornisce istruzioni per lavorare con questa app: Tinyproxy. Le istruzioni potrebbero non rappresentare versioni più recenti dell'app. Per saperne di più, consulta la documentazione: Tinyproxy.

Obiettivi

• Crea un cluster privato senza accesso all'endpoint pubblico.
• Eseguire il deployment di una macchina virtuale (VM) Compute Engine che agisca da bastion host nella subnet del cluster.
• Utilizza IAP per connettere un client remoto al cluster tramite su internet.

Costi

In questo documento utilizzi i seguenti componenti fatturabili di Google Cloud:

• GKE
• Identity-Aware Proxy
• Compute Engine

Per generare una stima dei costi basata sull'utilizzo previsto, utilizza il Calcolatore prezzi. I nuovi utenti di Google Cloud potrebbero essere idonei per una prova gratuita.

Una volta completate le attività descritte in questo documento, puoi evitare la fatturazione continua eliminando le risorse che hai creato. Per ulteriori informazioni, consulta la pagina Pulizia.

Prima di iniziare

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the GKE, Compute Engine, Identity-Aware Proxy APIs.

   Enable the APIs

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

7. Update and install gcloud components:

   gcloud components update
   gcloud components install alpha beta

8. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

9. Make sure that billing is enabled for your Google Cloud project.

10. Enable the GKE, Compute Engine, Identity-Aware Proxy APIs.

    Enable the APIs

11. Install the Google Cloud CLI.

12. To initialize the gcloud CLI, run the following command:

    gcloud init

13. Update and install gcloud components:

    gcloud components update
    gcloud components install alpha beta

Creare un cluster privato

Crea un nuovo cluster privato senza accesso client all'endpoint pubblico. Luogo per il cluster nella propria subnet. Puoi farlo utilizzando Google Cloud CLI oppure la console Google Cloud.

gcloud

Esegui questo comando:

gcloud container clusters create-auto CLUSTER_NAME \
    --region=COMPUTE_REGION \
    --create-subnetwork=name=SUBNET_NAME \
    --enable-master-authorized-networks \
    --enable-private-nodes \
    --enable-private-endpoint

Sostituisci quanto segue:

• CLUSTER_NAME: il nome del nuovo cluster.
• COMPUTE_REGION: la regione di Compute Engine per il cluster.
• SUBNET_NAME: il nome della nuova subnet in cui in cui vuoi posizionare il cluster.

Console

Crea una subnet Virtual Private Cloud

1. Vai alla pagina Reti VPC nella console Google Cloud.

   Vai a Reti VPC

2. Fai clic sulla rete predefinita.

3. Nella sezione Subnet, fai clic su Aggiungi subnet.

4. Nella finestra di dialogo Aggiungi una subnet, specifica quanto segue:

   1. Nome: un nome per la nuova subnet.
   2. Regione: una regione per la subnet. Deve essere identico a nella regione del cluster Kubernetes.
   3. Intervallo di indirizzi IP: specifica 10.2.204.0/22 o un altro intervallo che non sia in conflitto con altri intervalli nella rete VPC.
   4. Per Accesso privato Google, seleziona l'opzione On.

5. Fai clic su Aggiungi.

Creare un cluster privato

1. Vai alla pagina Google Kubernetes Engine nella console Google Cloud.

   Vai a Google Kubernetes Engine

2. Fai clic su Crea.

3. Fai clic su Configura per GKE Autopilot.

4. Specifica un nome e una regione per il nuovo cluster. La regione deve essere come la subnet.

5. Nella sezione Networking, seleziona l'opzione Cluster privato.

6. Deseleziona la casella di controllo Accedi al control plane utilizzando l'indirizzo IP esterno.

7. Nell'elenco a discesa Subnet del nodo, seleziona la subnet che hai creato.

8. Facoltativamente, configura altre impostazioni per il cluster.

9. Fai clic su Crea.

Puoi anche utilizzare un cluster GKE Standard con il flag --master-ipv4-cidr specificato.

Crea una VM bastion host

Crea una VM di Compute Engine all'interno della rete interna del cluster privato in modo che agisca da bastion host e possa gestire il cluster.

gcloud

Crea una VM Compute Engine:

gcloud compute instances create INSTANCE_NAME \
    --zone=COMPUTE_ZONE \
    --machine-type=e2-micro \
    --network-interface=no-address,network-tier=PREMIUM,subnet=SUBNET_NAME

Sostituisci quanto segue:

• INSTANCE_NAME: il nome della VM.
• COMPUTE_ZONE: la zona Compute Engine per la VM. Posizionalo nella stessa regione del cluster.

• SUBNET_NAME: la subnet in cui vuoi collocare la VM.

  Nota: ti consigliamo di creare la VM nella stessa subnet VPC del cluster. Se crei la VM in una subnet diversa, aggiungi l'intervallo di indirizzi IP della VM come rete autorizzata per il cluster.

Console

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Fai clic su Crea istanza.

3. Specifica quanto segue:

   1. Nome: il nome della VM.
   2. Regione e Zona: la regione e la zona della VM. Usa lo stesso regione come cluster.
   3. Tipo di macchina: un tipo di macchina. Scegli un tipo di macchina di piccole dimensioni, ad esempio e2-micro.
   4. In Interfacce di rete, seleziona la stessa rete VPC e la stessa subnet del cluster.
   5. Se vuoi, configura altre impostazioni per l'istanza.

4. Fai clic su Crea.

Nota: crea la VM nella stessa subnet VPC del cluster. Se crei la VM in una subnet diversa, aggiungi l'intervallo di indirizzi IP della VM come rete autorizzata per il cluster.

Nota: devi automatizzare la configurazione e gli upgrade dell'host bastion utilizzando uno strumento come Terraform.

Crea regola firewall

Per consentire a IAP di connettersi alla VM del bastion host, crea una regola firewall.

Esegui il deployment del proxy

Nota: alcuni comandi di questa sezione richiedono privilegi amministrativi.

Dopo avere configurato il bastion host e il cluster privato, devi eseguire il deployment da un daemon proxy nell'host per inoltrare il traffico al piano di controllo del cluster. Per questo tutorial, devi installare Tinyproxy.

1. Avvia una sessione nella VM:

   gcloud compute ssh INSTANCE_NAME --tunnel-through-iap --project=PROJECT_ID
   

2. Installa Tinyproxy:

   sudo apt install tinyproxy
   

3. Apri il file di configurazione di Tinyproxy:

   sudo vi /etc/tinyproxy/tinyproxy.conf
   

4. Nel file:

   1. Verifica che la porta sia 8888.

   2. Cerca la sezione Allow:

        /Allow 127
      

   3. Aggiungi la seguente riga alla sezione Allow:

        Allow localhost
      

5. Salva il file e riavvia Tinyproxy:

   sudo service tinyproxy restart
   

6. Esci dalla sessione:

   exit
   

Connettiti al cluster dal client remoto

Dopo aver configurato Tinyproxy, devi configurare il client remoto con il cluster credenziali e specificare il proxy. Effettua le seguenti operazioni sul client remoto:

1. Recupera le credenziali per il cluster:

   gcloud container clusters get-credentials CLUSTER_NAME \
       --region=COMPUTE_REGION \
       --project=PROJECT_ID
   

   Sostituisci quanto segue:

   • CLUSTER_NAME: il nome del cluster privato.
   • COMPUTE_REGION: la regione del cluster.
   • PROJECT_ID: l'ID del progetto Google Cloud del cluster.

2. Crea un tunnel per il bastion host utilizzando IAP:

   gcloud compute ssh INSTANCE_NAME \
       --tunnel-through-iap \
       --project=PROJECT_ID \
       --zone=COMPUTE_ZONE \
       --ssh-flag="-4 -L8888:localhost:8888 -N -q -f"
   

3. Specifica il proxy:

   export HTTPS_PROXY=localhost:8888
   kubectl get ns
   

   L'output è un elenco di spazi dei nomi nel cluster privato.

Interrompi l'ascolto sul client remoto

Se vuoi annullare la modifica sul client remoto in qualsiasi momento, devi terminare il processo listener sulla porta TCP 8888. Il comando per eseguire questa operazione varia a seconda del sistema operativo client.

netstat -lnpt | grep 8888 | awk '{print $7}' | grep -o '[0-9]\+' | sort -u | xargs sudo kill

Risoluzione dei problemi

Limitazioni del firewall nelle reti aziendali

Se utilizzi una rete aziendale con un firewall con restrizioni di livello massimo, potresti non essere in grado per completare questo tutorial senza richiedere un'eccezione. Se richiedi un eccezione, l'intervallo IP di origine per il bastion host è 35.235.240.0/20 per predefinito.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Elimina il progetto

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:

• L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per le attività descritte in questo documento, quando lo elimini elimini anche tutto il lavoro svolto nel progetto.
• Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un appspot.com URL, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Se intendi esplorare più architetture, tutorial o guide rapide, il riuso dei progetti può aiutarti a non superare i limiti di quota.

1. In the Google Cloud console, go to the Manage resources page.

   Go to Manage resources

2. In the project list, select the project that you want to delete, and then click Delete.
3. In the dialog, type the project ID, and then click Shut down to delete the project.

Elimina singole risorse

1. Elimina l'host bastione di cui hai eseguito il deployment in questo tutorial:

   gcloud compute instances delete INSTANCE_NAME \
       --zone=COMPUTE_ZONE
   

2. Elimina il cluster:

   gcloud container clusters delete CLUSTER_NAME \
       --region=COMPUTE_REGION
   

3. Elimina la subnet:

   gcloud compute networks subnets delete SUBNET_NAME \
       --region=COMPUTE_REGION