配置防火墙规则

确定所需的防火墙规则

您的工作站通过 Private Service Connect 连接到控制平面。以下小节提供了允许入站流量和出站流量的 gcloud CLI 命令示例。如需详细了解这些命令，请参阅 gcloud compute firewall-rules 参考信息。

允许入站流量

为了成功连接，请创建防火墙规则，允许从工作站虚拟机到控制平面 IP 地址的入站流量。Cloud Workstations 会自动将 cloud-workstations-instance 网络标记应用于工作站虚拟机，您可以在创建应用于工作站虚拟机的防火墙规则时使用此标记。请参阅以下示例 gcloud CLI 命令：

gcloud compute firewall-rules create RULE_NAME \
    --action=ALLOW \
    --direction=INGRESS \
    --network=NETWORK \
    --rules=tcp\
    --source-tags=cloud-workstations-instance \
    --destination-ranges=CONTROL_PLANE_IP

替换以下内容：

  • RULE_NAME：要创建的防火墙规则的名称
  • NETWORK：工作站集群资源中指定的网络

  • CONTROL_PLANE_IP：工作站集群控制平面的内部 IP 地址。

    如需查找此 IP 地址，请运行以下命令：

    gcloud workstations clusters describe CLUSTER --project=PROJECT --region=REGION

    替换以下内容：

    • CLUSTER：集群的 ID 或集群的完全限定标识符。
    • PROJECT：托管工作站集群的项目。
    • REGION：工作站的区域位置，例如 us-central1。

允许出站流量

您还需要一些防火墙规则来允许端口 980 和 443 上具有 TCP 协议 cloud-workstations-instance 标记的虚拟机传出控制平面 IP 地址的出站流量，如以下 gcloud CLI 命令所示：

gcloud compute firewall-rules create RULE_NAME \
    --action=ALLOW \
    --direction=EGRESS \
    --network=NETWORK \
    --rules=tcp:980,tcp:443 \
    --target-tags=cloud-workstations-instance \
    --destination-ranges=CONTROL_PLANE_IP

替换以下内容：

  • RULE_NAME：要创建的防火墙规则的名称
  • NETWORK：此规则附加到的网络。如果省略，规则会附加到默认网络。

  • CONTROL_PLANE_IP：工作站集群控制平面的内部 IP 地址。

    如需查找此 IP 地址，请运行以下命令：

    gcloud workstations clusters describe CLUSTER --project=PROJECT --region=REGION

    替换以下内容：

    • CLUSTER：集群的 ID 或集群的完全限定标识符。
    • PROJECT：托管工作站集群的项目。
    • REGION：工作站的区域位置，例如 us-central1。

如需了解详情，另请参阅以下主题：

使用自定义网络标记添加防火墙规则

您可以在 Google Cloud 控制台中为工作站虚拟机配置自定义网络标记。创建或修改工作站配置时，请更新机器配置，以在网络标记字段中添加您的网络标记。如需详细了解如何添加网络标记，请参阅在创建机器配置时指定高级选项的说明。或者，使用 API 时，通过工作站配置资源上的 host.gceInstance.tags 选项应用自定义网络标记。

如需详细了解 Google Cloud 中的 Virtual Private Cloud (VPC) 防火墙规则，请参阅 VPC 文档中的创建 VPC 防火墙规则。