确定所需的防火墙规则
您的工作站通过 Private Service Connect 连接到控制平面。以下小节提供了允许入站流量和出站流量的 gcloud
CLI 命令示例。如需详细了解这些命令,请参阅 gcloud compute firewall-rules
参考信息。
允许入站流量
为了成功连接,请创建防火墙规则,允许从工作站虚拟机到控制平面 IP 地址的入站流量。Cloud Workstations 会自动将 cloud-workstations-instance
网络标记应用于工作站虚拟机,您可以在创建应用于工作站虚拟机的防火墙规则时使用此标记。请参阅以下示例 gcloud
CLI 命令:
gcloud compute firewall-rules create RULE_NAME \
--action=ALLOW \
--direction=INGRESS \
--network=NETWORK \
--rules=tcp\
--source-tags=cloud-workstations-instance \
--destination-ranges=CONTROL_PLANE_IP
替换以下内容:
RULE_NAME
:要创建的防火墙规则的名称NETWORK
:工作站集群资源中指定的网络CONTROL_PLANE_IP
:工作站集群控制平面的内部 IP 地址。如需查找此 IP 地址,请运行以下命令:
gcloud workstations clusters describe CLUSTER --project=PROJECT --region=REGION
替换以下内容:
CLUSTER
:集群的 ID 或集群的完全限定标识符。PROJECT
:托管工作站集群的项目。REGION
:工作站的区域位置,例如us-central1
。
允许出站流量
您还需要一些防火墙规则来允许端口 980
和 443
上具有 TCP 协议 cloud-workstations-instance
标记的虚拟机传出控制平面 IP 地址的出站流量,如以下 gcloud
CLI 命令所示:
gcloud compute firewall-rules create RULE_NAME \
--action=ALLOW \
--direction=EGRESS \
--network=NETWORK \
--rules=tcp:980,tcp:443 \
--target-tags=cloud-workstations-instance \
--destination-ranges=CONTROL_PLANE_IP
替换以下内容:
RULE_NAME
:要创建的防火墙规则的名称NETWORK
:此规则附加到的网络。如果省略,规则会附加到默认网络。CONTROL_PLANE_IP
:工作站集群控制平面的内部 IP 地址。如需查找此 IP 地址,请运行以下命令:
gcloud workstations clusters describe CLUSTER --project=PROJECT --region=REGION
替换以下内容:
CLUSTER
:集群的 ID 或集群的完全限定标识符。PROJECT
:托管工作站集群的项目。REGION
:工作站的区域位置,例如us-central1
。
如需了解详情,另请参阅以下主题:
WorkstationCluster REST API
使用自定义网络标记添加防火墙规则
您可以在 Google Cloud 控制台中为工作站虚拟机配置自定义网络标记。创建或修改工作站配置时,请更新机器配置,以在网络标记字段中添加您的网络标记。如需详细了解如何添加网络标记,请参阅在创建机器配置时指定高级选项的说明。或者,使用 API 时,通过工作站配置资源上的 host.gceInstance.tags
选项应用自定义网络标记。
如需详细了解 Google Cloud 中的 Virtual Private Cloud (VPC) 防火墙规则,请参阅 VPC 文档中的创建 VPC 防火墙规则。