Nesta página, descrevemos como permitir o tráfego de endereços IP internos em uma rede VPC para perímetros de serviço usando regras de entrada e saída.
Visão geral
É possível usar o VPC Service Controls para definir condições que permitam que determinados intervalos de endereços IP da rede VPC acessem os projetos e as redes VPC protegidos. Esse recurso permite realizar as tarefas a seguir:
Ofereça suporte a condições de nível de acesso básico para permitir intervalos de endereços IP internos de redes VPC.
Permita o uso dessas condições de nível de acesso para chamadas de API de entrada ou saída dentro ou fora do limite do perímetro de serviço.
Esse recurso oferece os seguintes benefícios:
É possível especificar condições nas configurações do VPC Service Controls para permitir o acesso de um endereço IP interno em uma rede VPC.
Workflows que exigem que chamadas de API passem por vários perímetros de serviço podem restringir o acesso para permitir apenas algumas sub-redes, em vez de permitir toda a rede VPC ou o projeto.
É possível configurar diferentes recursos do seu local para acessar apenas recursos específicos do Google Cloud. É necessário usar o intervalo de endereços IP da sub-rede associado a esses recursos locais e a rede VPC da zona de destino como parte do nível de acesso.
A Figura 1 mostra um exemplo de configuração que permite o acesso a um serviço protegido específico a partir de um endereço IP interno autorizado.
Limitações de uso do endereço IP interno
Ao usar um endereço IP interno no VPC Service Controls, as seguintes limitações se aplicam:
Só é possível ativar um endereço IP interno com níveis de acesso básicos, e não personalizados.
Recomendamos que você não negue níveis de acesso com condições baseadas em endereços IP internos, porque isso pode causar comportamentos inesperados.
As limitações na adição de redes VPC a perímetros de serviço também se aplicam.
Quando o VPC Service Controls registra um registro de auditoria de política negada, ele edita o nome da rede VPC como
__UNKNOWN__
no registro de auditoria.As redes VPC em que o
SUBNET_MODE
está definido comocustom
, mas não têm sub-redes, não são compatíveis. A ativação do endereço IP interno exige que uma rede VPC contenha pelo menos uma sub-rede.Só é possível especificar 500 redes VPC em todos os níveis de acesso na política de acesso.
Quando você exclui uma rede VPC referenciada por um nível de acesso ou perímetro de serviço e depois recria outra rede VPC com o mesmo nome, o VPC Service Controls não ativa automaticamente os endereços IP internos na rede VPC recriada. Para superar essa limitação, crie uma rede VPC com um nome diferente e a adicione ao perímetro.
Não é possível usar um endereço IP interno para permitir o acesso de serviços gerenciados pelo Google. Por exemplo, Cloud SQL.
Se você usar um nível de acesso que tenha condições baseadas em endereço IP interno com uma regra de saída, recomendamos não adicionar nenhuma outra condição ao nível de acesso, como tipo de dispositivo e identidade do usuário.
O endereço IP interno não corresponde aos níveis de acesso referentes às regiões geográficas.
Usar o endereço IP interno nos níveis de acesso
Especifique o nome da rede VPC e o intervalo de endereços IP no campo
vpcNetworkSources
da condição de nível de acesso básico.Nome da rede VPC. Você precisa definir o nome da rede VPC no seguinte formato:
//compute.googleapis.com/projects/PROJECT_ID/global/networks/NETWORK_NAME
Por exemplo,
//compute.googleapis.com/projects/my-project/global/networks/my-vpc
.Intervalo de endereços IP. O intervalo de endereços IP especificado no campo
VpcSubNetwork
deVpcNetworkSource
precisa seguir a especificação da sub-rede IP do bloco CIDR. É possível usar qualquer intervalo de endereços IP que seja um intervalo IPv4 válido para sub-redes.
Use esse nível de acesso com condições de permissão em
IngressSource
ouEgressSource
.
Usando um cenário de exemplo, as seções a seguir explicam como executar essas etapas para ativar um endereço IP interno.
Um exemplo de uso de um endereço IP interno para configurar o acesso à sub-rede
No exemplo a seguir, você tem dois projetos:
Projeto host de rede:
Project1
hospeda uma rede VPC:default
. As duas VMs emProject1
,VM1
eVM2
usam essa rede como uma interface de rede para enviar tráfego.Projeto do Cloud Storage:
Project2
contém um bucket do Cloud Storage.
É possível usar o VPC Service Controls para permitir que apenas VM1
de Project1
acesse o
bucket do Cloud Storage no Project2
usando um endereço IP interno.
Para conseguir essa configuração, siga estas etapas:
Você cria um perímetro de serviço
sp1
em torno deProject1
e outro perímetro de serviçosp2
em torno deProject2
.Em seguida, é possível adicionar regras de entrada e saída aos perímetros de serviço para permitir que apenas a sub-rede de
VM1
acesse o bucket do Cloud Storage.
O diagrama a seguir mostra a configuração descrita neste exemplo.
Configurar uma política de acesso no nível da organização
Verifique se você tem uma política de acesso no nível da organização. Se você não tiver uma política de acesso nesse nível, execute o seguinte comando da CLI gcloud:
gcloud access-context-manager policies create \ --organization=ORGANIZATION_ID --title=POLICY_TITLE
Substitua:
ORGANIZATION_ID: o ID numérico da organização.
POLICY_TITLE: um título legível para sua política de acesso.
Para mais informações, consulte Criar uma política de acesso no nível da organização.
Para definir essa política como a política de acesso padrão, execute o seguinte comando da CLI gcloud:
gcloud config set access_context_manager/policy POLICY_NAME
Substitua POLICY_NAME pelo nome numérico da política de acesso.
Para mais informações, consulte Definir a política de acesso padrão para a ferramenta de linha de comando
gcloud
.
Criar perímetros para proteger o projeto do host da rede e o projeto do Cloud Storage
Para criar um
sp1
de perímetro ao redor deProject1
, execute o seguinte comando da CLI gcloud:gcloud access-context-manager perimeters create sp1 --title="sp1" --resources=PROJECT_NUMBER \ --restricted-services=storage.googleapis.com --policy=POLICY_NAME
Substitua:
PROJECT_NUMBER: o número do projeto host da rede. Por exemplo,
projects/111
.POLICY_NAME: o nome numérico da política de acesso. Por exemplo,
1234567890
.
Para criar um perímetro
sp2
ao redor deProject2
que restrinja o serviço do Cloud Storage, execute o seguinte comando da CLI gcloud:gcloud access-context-manager perimeters create sp2 --title="sp2" --resources=PROJECT_NUMBER \ --restricted-services=storage.googleapis.com --policy=POLICY_NAME
Substitua:
PROJECT_NUMBER: o número do projeto do Cloud Storage. Por exemplo,
projects/222
.POLICY_NAME: o nome numérico da política de acesso. Por exemplo,
1234567890
.
Para mais informações sobre como criar um perímetro de serviço, consulte Criar um perímetro de serviço.
Depois de criar esses dois perímetros, o bucket do Cloud Storage não poderá mais ser acessado pelas duas VMs.
Criar um nível de acesso com uma condição de acesso baseada em endereço IP interno
Crie um nível de acesso que permita apenas o tráfego proveniente da sub-rede de VM1
.
Crie um arquivo YAML que defina suas condições de acesso. O exemplo a seguir mostra apenas os atributos necessários para ativar um endereço IP interno:
echo """ - vpcNetworkSources: - vpcSubnetwork: network: VPC_NETWORK_NAME vpcIpSubnetworks: - IP_RANGE """ > level.yaml
Substitua:
VPC_NETWORK_NAME: o nome da rede VPC em que
VM1
reside. Por exemplo,//compute.googleapis.com/projects/Project1/global/networks/default
.IP_RANGE: o intervalo de endereços IP da sub-rede. Por exemplo,
10.10.0.0/24
.
Use o nome da rede VPC e os formatos de intervalo de endereços IP explicados anteriormente.
Para mais informações sobre o arquivo YAML, consulte o arquivo YAML
basic-level-spec
.Para criar um nível de acesso usando o arquivo YAML, execute o seguinte comando da CLI gcloud:
gcloud access-context-manager levels create LEVEL_NAME \ --title="TITLE" --basic-level-spec=FILE_NAME
Substitua:
LEVEL_NAME: um nome exclusivo para o nível de acesso. Por exemplo,
allowvm1
.TITLE: um título curto e legível para o nível de acesso. Por exemplo,
allowvm1
.FILE_NAME: o arquivo YAML que define as condições de acesso para o nível de acesso. Por exemplo,
level.yaml
.
Para mais informações, consulte Como criar um nível de acesso básico.
Configurar uma política de entrada para permitir o tráfego de API de entrada no bucket do Cloud Storage
Para permitir o acesso apenas de VM1
, configure uma política de entrada no perímetro sp2
para permitir que o tráfego da API Cloud Storage entre no perímetro.
Crie um arquivo YAML que defina a política de entrada.
echo """ - ingressFrom: identityType: ANY_IDENTITY sources: - accessLevel: accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME ingressTo: operations: - methodSelectors: - method: '*' serviceName: storage.googleapis.com resources: - '*' """ > ingress.yaml
Substitua:
POLICY_NAME: o nome numérico da política de acesso. Por exemplo,
1234567890
.ACCESS_LEVEL_NAME: o nome do seu nível de acesso. Por exemplo,
allowvm1
.
Para mais informações sobre o arquivo YAML, consulte a Referência de regras de entrada.
Para atualizar a política de entrada de um perímetro de serviço, execute o seguinte comando da CLI gcloud:
gcloud access-context-manager perimeters update PERIMETER --set-ingress-policies=FILE_NAME
Substitua:
PERIMETER: o nome do perímetro de serviço que protege o projeto do Cloud Storage. Por exemplo,
sp2
.FILE_NAME: o arquivo YAML que define a política de entrada. Por exemplo,
ingress.yaml
.
Para mais informações, consulte Como atualizar políticas de entrada e saída para um perímetro de serviço.
Configurar uma política de saída para permitir o tráfego de API de saída no bucket do Cloud Storage
Além disso, configure uma política de saída no perímetro sp1
para permitir
que o tráfego da API Cloud Storage saia do perímetro.
Crie um arquivo YAML que defina sua política de saída. Certifique-se de definir o campo
sourceRestriction
comoSOURCE_RESTRICTION_ENABLED
no arquivo YAML.echo """ - egressFrom: identityType: ANY_IDENTITY sourceRestriction: SOURCE_RESTRICTION_ENABLED sources: - accessLevel: accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME egressTo: operations: - methodSelectors: - method: '*' serviceName: storage.googleapis.com resources: - '*' """ > egress.yaml
Substitua:
POLICY_NAME: o nome numérico da política de acesso. Por exemplo,
1234567890
.ACCESS_LEVEL_NAME: o nome do seu nível de acesso. Por exemplo,
allowvm1
.
Para mais informações sobre o arquivo YAML, consulte Referência de regras de saída.
Para atualizar a política de saída de um perímetro de serviço, execute o seguinte comando:
gcloud access-context-manager perimeters update PERIMETER --set-egress-policies=FILE_NAME
Substitua:
PERIMETER: o nome do perímetro de serviço que protege o projeto host da rede. Por exemplo,
sp1
.FILE_NAME: o arquivo YAML que define a política de saída. Por exemplo,
egress.yaml
.
Para mais informações, consulte Como atualizar políticas de entrada e saída para um perímetro de serviço.
Depois de configurar as políticas de entrada e saída, o bucket do Cloud Storage
pode ser acessado em VM1
, enquanto o bucket do Cloud Storage não
pode ser acessado em VM2
.
Recomendações
Ao ativar um endereço IP interno, recomendamos desativar o encaminhamento de IP para suas VMs. O encaminhamento de IP permite que uma VM na mesma rede VPC envie solicitações usando um endereço IP diferente, o que representa o risco de spoofing de endereço IP.
Se você quiser ativar o encaminhamento de IP, recomendamos usar as configurações a seguir para reduzir o risco de spoofing de endereço IP:
Use a restrição da política da organização (
constraints/compute.vmCanIpForward
)Restrict VM IP Forwarding
para garantir que apenas VMs autorizadas possam ativar o encaminhamento de IP.Use origens para regras de firewall para restringir os endereços IP que podem se comunicar com as VMs que têm o encaminhamento de IP ativado. Realize as tarefas a seguir:
Configure regras de firewall de entrada para permitir o tráfego de entrada apenas de um intervalo de endereços IP específico para as VMs que têm o encaminhamento de IP ativado.
Configure regras de firewall de saída para permitir tráfego de saída apenas para um intervalo de endereços IP específico das VMs com o encaminhamento de IP ativado.