Menggunakan Public NAT dengan Compute Engine

Halaman ini menampilkan demonstrasi gateway NAT Publik yang menyediakan layanan penafsiran alamat jaringan untuk instance VM Compute Engine. Sebelum memulai, baca Ringkasan NAT Publik.

Prasyarat

Anda harus melakukan hal berikut sebelum menyiapkan Public NAT.

Mendapatkan izin IAM

Peran roles/compute.networkAdmin memberi Anda izin untuk membuat gateway NAT di Cloud Router, mencadangkan dan menetapkan alamat IP NAT, serta menentukan subnetwork (subnet) yang traffic-nya harus menggunakan penafsiran alamat jaringan oleh gateway NAT.

Menyiapkan Google Cloud

Sebelum memulai, siapkan item berikut di Google Cloud.

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. Di konsol Google Cloud, pada halaman pemilih project, pilih atau buat project Google Cloud.

   Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

   Buka pemilih project

3. Make sure that billing is enabled for your Google Cloud project.

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. Di konsol Google Cloud, pada halaman pemilih project, pilih atau buat project Google Cloud.

   Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang menghapus semua resource yang terkait dengan project ini.

   Buka pemilih project

7. Make sure that billing is enabled for your Google Cloud project.

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

Catatan:

Petunjuk Google Cloud CLI di halaman ini mengasumsikan bahwa Anda telah menetapkan project ID sebelum mengeluarkan perintah. Anda dapat menetapkan project ID dengan perintah berikut:

    gcloud config set project PROJECT_ID
  

Anda juga dapat melihat project ID yang sudah ditetapkan:

    gcloud config list --format='text(core.project)'
  

Contoh

Berikut adalah contoh menyeluruh yang menunjukkan contoh gateway NAT Publik dan contoh VM Compute Engine yang menggunakan gateway NAT Publik.

Langkah 1: Membuat jaringan dan subnet VPC

Jika sudah memiliki jaringan dan subnet, Anda dapat melewati langkah ini.

Konsol

1. Di Konsol Google Cloud, buka halaman jaringan VPC.

   Buka halaman Jaringan VPC

2. Klik Create VPC network.

3. Masukkan Nama custom-network1.

4. Di bagian Subnets, tetapkan Subnet creation mode ke Custom.

5. Di bagian Subnet baru, masukkan Nama subnet-us-east-192.

6. Di Region, pilih us-east4.

7. Masukkan rentang alamat IP 192.168.1.0/24.

8. Klik Selesai, lalu klik Buat.

gcloud

1. Buat jaringan VPC mode kustom baru dalam project Anda:

   gcloud compute networks create custom-network1 \
       --subnet-mode custom

2. Tentukan awalan subnet untuk region pertama Anda. Dalam contoh ini, kami menetapkan 192.168.1.0/24 ke wilayah us-east4.

   gcloud compute networks subnets create subnet-us-east-192 \
      --network custom-network1 \
      --region us-east4 \
      --range 192.168.1.0/24

Terraform

Anda dapat menggunakan modul Terraform untuk membuat jaringan dan subnet Virtual Private Cloud (VPC) kustom.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "custom-network1"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "subnet-us-east-192"
      subnet_ip     = "192.168.1.0/24"
      subnet_region = "us-east4"
    }
  ]
}

Langkah 2: Buat instance VM tanpa alamat IP eksternal

Konsol

1. Di Konsol Google Cloud, buka halaman VM instances.

   Buka halaman VM instances

2. Klik Create instance.

3. Tentukan Name (Nama) nat-test-1 untuk instance Anda.

4. Tetapkan Region ke us-east4.

5. Tetapkan Zone ke us-east4-c.

6. Klik link Pengelolaan, keamanan, disk, jaringan, tenancy tunggal.

7. Klik tab Networking.

8. Di bagian Network interfaces, klik Edit untuk antarmuka default VM.

   1. Setel Network ke custom-network1.
   2. Setel Subnetwork ke subnet-us-east-192.
   3. Setel External IP ke None.
   4. Klik Done.

9. Untuk membuat dan memulai instance, klik Buat.

gcloud

gcloud compute instances create nat-test-1 \
    --image-family debian-9 \
    --image-project debian-cloud \
    --network custom-network1 \
    --subnet subnet-us-east-192 \
    --zone us-east4-c \
    --no-address

Terraform

Anda dapat menggunakan resource Terraform untuk membuat instance VM.

resource "google_compute_instance" "default" {
  project      = var.project_id
  zone         = "us-east4-c"
  name         = "nat-test-1"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    network    = "custom-network1"
    subnetwork = var.subnet # Replace with a reference or self link to your subnet, in quotes
  }
}

Langkah 3: Buat aturan firewall yang mengizinkan koneksi SSH

Konsol

1. Pada konsol Google Cloud, buka halaman Kebijakan Firewall.

   Buka halaman Kebijakan firewall

2. Klik Create firewall rule.

3. Masukkan Nama allow-ssh.

4. Tentukan Jaringan dari custom-network1.

5. Tetapkan Arah traffic ke Ingress.

6. Tetapkan Tindakan pada kecocokan ke Izinkan.

7. Tetapkan Targets ke Semua instance dalam jaringan.

8. Tetapkan Filter sumber ke rentang IPv4.

9. Setel Rentang IP sumber ke 35.235.240.0/20.

10. Tetapkan Protocols and ports ke Specified protocols and ports.

11. Centang kotak tcp, lalu masukkan port 22.

12. Klik Create.

gcloud

gcloud compute firewall-rules create allow-ssh \
    --network custom-network1 \
    --source-ranges 35.235.240.0/20 \
    --allow tcp:22

Terraform

Anda dapat menggunakan resource Terraform untuk membuat aturan firewall.

resource "google_compute_firewall" "rules" {
  project = var.project_id
  name    = "allow-ssh"
  network = var.network # Replace with a reference or self link to your network, in quotes

  allow {
    protocol = "tcp"
    ports    = ["22"]
  }
  source_ranges = ["35.235.240.0/20"]
}

Langkah 4: Buat izin SSH IAP untuk instance pengujian Anda

Pada langkah berikutnya, gunakan Identity-Aware Proxy (IAP) untuk terhubung ke instance pengujian Anda.

Konsol

1. Di konsol Google Cloud, buka halaman Identity-Aware Proxy.

   Buka halaman Identity-Aware Proxy

2. Pilih tab Resource SSH dan TCP.

3. Untuk memperbarui izin anggota pada resource, pilih kotak centang di samping All Tunnel Resources > us-east4-c > nat-test-1.

4. Di panel kanan, klik Add member.

5. Untuk memberi pengguna, grup, atau akun layanan akses ke resource, di kolom Anggota baru, tentukan alamat email mereka.

   Jika hanya ingin menguji fitur ini, Anda dapat memasukkan alamat email Anda sendiri.

6. Untuk memberikan akses kepada anggota ke resource tersebut melalui fitur penerusan TCP Cloud IAP, pada menu drop-down Role, pilih Cloud IAP > IAP-secured Tunnel User.

7. Klik Save.

gcloud

Perintah ini memberikan akses SSH dengan menggunakan IAP ke semua instance VM di project Anda. Jika Anda ingin memberikan akses SSH dengan menggunakan IAP ke setiap VM, gunakan petunjuk Konsol Google Cloud.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=MEMBER_INFO \
    --role=roles/iap.tunnelResourceAccessor

Ganti kode berikut:

• PROJECT_ID: project ID Anda
• MEMBER_INFO: daftar yang dipisahkan koma untuk pasangan type:email anggota. Contoh:
  • Untuk pengguna perorangan: user:[e-mail]
  • Untuk grup: group:[e-mail]
  • Untuk akun layanan: serviceAccount:[e-mail]

Terraform

Anda dapat menggunakan resource Terraform untuk membuat izin SSH IAP untuk instance pengujian Anda.

resource "google_project_iam_member" "project" {
  project = var.project_id
  role    = "roles/iap.tunnelResourceAccessor"
  member  = "serviceAccount:[e-mail]"
}

Langkah 5: Login ke nat-test-1 dan konfirmasi bahwa koneksi tidak dapat terhubung ke internet

Konsol

1. Di Konsol Google Cloud, buka halaman VM instances.

   Buka halaman VM instances

2. Untuk nat-test-1, di kolom Connect, klik panah drop-down SSH, lalu pilih Open in browser window.

3. Di command prompt VM, masukkan curl example.com, lalu tekan Enter.

   Anda seharusnya tidak mendapatkan hasil. Jika Anda melakukannya, Anda mungkin telah membuat nat-test-1 dengan alamat IP eksternal, atau mungkin ada masalah lainnya. Untuk memecahkan masalah, lihat VM dapat menjangkau internet secara tiba-tiba tanpa Cloud NAT.

   Untuk mengakhiri perintah, Anda mungkin harus memasukkan Ctrl+C.

gcloud

1. Tambahkan kunci SSH Compute Engine ke host lokal Anda:

   ssh-add ~/.ssh/google_compute_engine
   

2. Hubungkan ke nat-test-1 dan jalankan perintah:

   gcloud compute ssh nat-test-1 \
       --zone us-east4-c \
       --command "curl example.com" \
       --tunnel-through-iap

   Anda seharusnya tidak mendapatkan hasil. Jika Anda melakukannya, Anda mungkin telah membuat nat-test-1 dengan alamat IP eksternal, atau mungkin ada masalah lainnya. Untuk memecahkan masalah, lihat VM dapat menjangkau internet secara tiba-tiba tanpa Cloud NAT.

   Untuk mengakhiri perintah, Anda mungkin harus memasukkan Ctrl+C.

Langkah 6: Buat konfigurasi NAT menggunakan Cloud Router

Anda harus membuat Cloud Router di region yang sama dengan instance yang menggunakan NAT Publik. Cloud Router hanya digunakan untuk menempatkan informasi NAT ke VM. NAT tidak digunakan sebagai bagian dari {i>gateway NAT<i} yang sebenarnya.

Konfigurasi ini memungkinkan semua instance di region menggunakan NAT Publik untuk semua rentang IP alias dan primer. NAT juga secara otomatis mengalokasikan alamat IP eksternal untuk gateway NAT. Untuk mengetahui opsi lainnya, lihat dokumentasi Google Cloud CLI.

Catatan: NAT Publik hanya menggunakan Cloud Router untuk mengelompokkan informasi konfigurasi NAT (bidang kontrol). NAT publik tidak mengarahkan Cloud Router untuk menggunakan BGP atau menambahkan rute. Traffic NAT tidak melewati Cloud Router (bidang data).

Konsol

1. Di Konsol Google Cloud, buka halaman Cloud NAT.

   Buka halaman Cloud NAT

2. Klik Mulai atau Create Cloud NAT gateway.

3. Masukkan Nama Gateway nat-config.

4. Setel VPC network ke custom-network1.

5. Tetapkan Region ke us-east4.

6. Di bagian Cloud Router, pilih Create new router.

   1. Masukkan Nama nat-router.
   2. Klik Create.

7. Klik Create.

gcloud

1. Membuat cloud router

   gcloud compute routers create nat-router \
       --network custom-network1 \
       --region us-east4

2. Tambahkan konfigurasi ke router:

   gcloud compute routers nats create nat-config \
       --router-region us-east4 \
       --router nat-router \
       --nat-all-subnet-ip-ranges \
       --auto-allocate-nat-external-ips

Terraform

Anda dapat menggunakan resource Terraform untuk membuat Cloud Router.

resource "google_compute_router" "router" {
  project = var.project_id
  name    = "nat-router"
  network = var.network
  region  = "us-east4"
}

Anda dapat menggunakan modul Terraform untuk membuat konfigurasi NAT.

module "cloud-nat" {
  source  = "terraform-google-modules/cloud-nat/google"
  version = "~> 5.0"

  project_id                         = var.project_id
  region                             = "us-east4"
  router                             = google_compute_router.router.name
  name                               = "nat-config"
  source_subnetwork_ip_ranges_to_nat = "ALL_SUBNETWORKS_ALL_IP_RANGES"
}

Langkah 7: Coba hubungkan kembali ke internet

Mungkin perlu waktu hingga tiga menit agar konfigurasi NAT diterapkan ke VM, jadi tunggu minimal satu menit sebelum mencoba mengakses internet lagi.

Konsol

1. Di Konsol Google Cloud, buka halaman VM instances.

   Buka halaman VM instances

2. Untuk nat-test-1, di kolom Connect, klik panah drop-down SSH, lalu pilih Open in browser window.

3. Di command prompt VM, masukkan curl example.com, lalu tekan Enter.

gcloud

Hubungkan ke nat-test-1 dan jalankan perintah:

gcloud compute ssh nat-test-1 \
    --zone us-east4-c \
    --command "curl example.com" \
    --tunnel-through-iap

Anda akan melihat output yang berisi konten berikut:

<html>
<head>
<title>Example Domain</title>
...
...
...
</head>

<body>
<div>
    <h1>Example Domain</h1>
    <p>This domain is established to be used for illustrative examples in documents. You can use this
    domain in examples without prior coordination or asking for permission.</p>
    <p><a href="http://www.iana.org/domains/example">More information...</a></p>
</div>
</body>
</html>

Langkah selanjutnya

• Siapkan gateway NAT Publik.
• Buat contoh penyiapan Google Kubernetes Engine (GKE).