Mengakses resource eksternal di jaringan pribadi menggunakan IP eksternal statis

Halaman ini menjelaskan cara menyiapkan kumpulan pribadi untuk mengakses resource eksternal melalui IP eksternal statis.

Jika ingin mengikuti panduan langkah demi langkah untuk tugas ini langsung di Konsol Google Cloud, klik Pandu saya:

Pandu saya

Sebelum memulai

• Aktifkan API Cloud Build, Compute Engine, and Service Networking.

  Mengaktifkan API

• Untuk mendapatkan izin yang Anda perlukan untuk menyiapkan koneksi pribadi, minta administrator untuk memberi Anda peran IAM Admin Jaringan Compute Engine (roles/compute.networkAdmin) pada project Cloud tempat jaringan VPC berada. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses.

• Untuk menggunakan perintah gcloud di halaman ini, instal Google Cloud CLI.

Membuat jaringan VPC

gcloud compute networks create NETWORK_NAME \
  --subnet-mode=auto

Untuk mempelajari lebih lanjut cara membuat dan mengelola jaringan VPC, lihat Membuat dan mengelola jaringan VPC.

Membuat koneksi pribadi

Untuk mempelajari lebih lanjut cara mengonfigurasi jaringan, lihat Menyiapkan koneksi pribadi antara jaringan VPC dan jaringan produsen layanan.

Buat kolam renang pribadi

      gcloud builds worker-pools create PRIVATEPOOL_ID \
        --project=PRIVATEPOOL_PROJECT_ID \
        --region=REGION \
        --peered-network=PEERED_NETWORK \
        --no-public-egress

Untuk mempelajari cara membuat dan mengelola kumpulan pribadi lebih lanjut, lihat Membuat dan mengelola kumpulan pribadi.

Mengakses resource eksternal dalam jaringan pribadi

Secara default, alamat IP eksternal yang terkait dengan kumpulan pribadi Cloud Build tidak statis atau dapat dikonfigurasi. Keduanya ditetapkan oleh Google Cloud. Jika ingin menyiapkan kumpulan pribadi untuk mengakses resource eksternal dari jaringan pribadi dengan IP eksternal statis, Anda harus menyiapkan virtual machine (VM) di project untuk bertindak sebagai gateway NAT yang dikelola sendiri untuk mem-proxy permintaan ke internet publik. Setelah itu, Anda harus menyiapkan rute kustom untuk meneruskan permintaan ini ke VM guna memastikan rute dipertukarkan dengan project jaringan layanan.

Bagian ini menjelaskan cara menyiapkan kumpulan pribadi untuk mengakses resource eksternal melalui IP eksternal statis dengan menyelesaikan langkah-langkah berikut:

1. Buat skrip startup untuk mengonfigurasi VM agar dapat mem-proxy traffic apa pun yang dirutekan ke VM, dan menyamarkan traffic tersebut sebagai berasal dari alamat IP-nya:

   #! /bin/bash
   set -e
   
   sysctl -w net.ipv4.ip_forward=1
   IFACE=$(ip -brief link | tail -1 | awk  {'print $1'})
   iptables -t nat -A POSTROUTING -o "$IFACE" -j MASQUERADE
   

2. Siapkan VM di VPC yang sama dengan kumpulan pribadi Anda menggunakan aturan untuk mengizinkan permintaan di-proxy-kan melalui VPC:

   gcloud compute instances create VM_NAME \
     --image-project=ubuntu-os-cloud --image-family=ubuntu-2204-lts \
     --network=NETWORK_NAME \
     --private-network-ip=INTERNAL_IP --can-ip-forward \
     --zone=ZONE \
     --subnet=SUBNETWORK \
     --tags=NAT_TAG  \
     --metadata-from-file=startup-script=STARTUP_SCRIPT
   

   Dengan keterangan:

   • VM_NAME adalah nama yang ingin Anda berikan untuk VM.
   • NETWORK_NAME adalah nama jaringan yang Anda buat di bagian sebelumnya.
   • INTERNAL_IP adalah alamat IP internal yang valid dalam rentang subnetwork region VM Anda. Contoh, 10.128.0.2.
   • ZONE adalah zona yang terkait dengan jaringan Anda, seperti us-central1-a.
   • (Opsional) SUBNETWORK adalah nama subnetwork Anda. Nama subnetwork dapat ditemukan di REST yang setara untuk subnet Anda dalam format berikut: projects/project-id/regions/region/subnetworks/subnetwork-name. Jika memilih Automatic pada bagian Subnet connection mode saat membuat jaringan VPC, Anda tidak perlu menentukan kolom ini.
   • NAT_TAG adalah nama tag gateway NAT yang memungkinkan Anda merutekan permintaan secara bersyarat, berdasarkan apakah tag tersebut memiliki tag dari VM ini atau tidak. Anda dapat menentukan nama apa pun untuk tag.
   • STARTUP_SCRIPT adalah nama skrip startup yang Anda buat di langkah sebelumnya. Contoh, startup-script-example.sh. Dalam contoh ini, flag --metadata-from-file digunakan untuk meneruskan konten skrip startup yang Anda tentukan ke kunci yang disebut startup-script.

   Setelah menjalankan perintah ini, Anda akan melihat output yang berisi nilai IP eksternal. Catat nilai IP eksternal. Semua traffic dari kumpulan pribadi Anda ke resource eksternal berasal dari alamat ini. Anda dapat memilih menggunakan alamat ini untuk konfigurasi lebih lanjut, seperti mengonfigurasi aturan firewall di jaringan eksternal.

3. Siapkan rute untuk mengarahkan semua permintaan ke resource eksternal untuk menuju ke instance yang dibuat pada langkah sebelumnya, sehingga permintaan Anda dapat diteruskan ke instance kumpulan pribadi Anda:

   gcloud compute routes create PRIVATE_POOL_ROUTE_NAME \
     --destination-range=DESTINATION_RANGE \
     --next-hop-address=INTERNAL_IP \
     --network=NETWORK_NAME \
     --priority=POOL_ROUTE_PRIORITY
   

   Dengan keterangan:

   • PRIVATE_POOL_ROUTE_NAME adalah nama yang ingin Anda berikan untuk rute.
   • DESTINATION_RANGE adalah rentang alamat CIDR yang valid berisi tujuan yang ingin Anda arahkan. Misalnya, instance GitHub Enterprise Edition. Contoh, 8.8.8.0/24.
   • INTERNAL_IP adalah nilai IP internal yang diperoleh dari langkah sebelumnya. Contoh, 10.128.0.2.
   • NETWORK_NAME adalah nama jaringan yang Anda buat di bagian sebelumnya.
   • POOL_ROUTE_PRIORITY adalah nomor prioritas yang ingin Anda tetapkan untuk rute Anda.

   Perintah ini memastikan setiap traffic dari build dalam instance kumpulan pribadi dirutekan ke VM proxy yang Anda buat, bukan langsung dirutekan ke internet publik.

4. Siapkan rute untuk meneruskan permintaan dari proxy Anda dari instance yang diberi tag ke rentang IP tujuan eksternal. Perintah berikut membuat rute untuk meneruskan permintaan ke internet publik yang terkait dengan instance pool pribadi Anda.

   gcloud compute routes create NAT_EGRESS_ROUTE_NAME \
     --destination-range=DESTINATION_RANGE \
     --next-hop-gateway=default-internet-gateway \
     --network=NETWORK_NAME \
     --priority=NAT_ROUTE_PRIORITY \
     --tags=NAT_TAG
   

   Dengan keterangan:

   • NAT_EGRESS_ROUTE_NAME adalah nama yang ingin Anda berikan untuk rute gateway NAT.
   • DESTINATION_RANGE adalah alamat tujuan yang ingin Anda arahkan. Misalnya, instance GitHub Enterprise Edition. Contoh, 8.8.8.0/24.
   • NETWORK_NAME adalah nama jaringan yang Anda buat di bagian sebelumnya.
   • NAT_TAG adalah nama tag gateway NAT yang memungkinkan Anda merutekan permintaan secara bersyarat, berdasarkan apakah tag tersebut memiliki tag dari VM ini atau tidak. Anda dapat menentukan nama apa pun untuk tag.

   • NAT_ROUTE_PRIORITY adalah nomor prioritas yang ingin Anda tentukan untuk rute.

   Perintah ini memastikan bahwa setiap traffic dari VM proxy dapat diarahkan ke internet publik.

5. Tambahkan aturan firewall untuk mengizinkan traffic dari kumpulan pribadi Anda ke VM gateway NAT:

   gcloud compute firewall-rules create RULE_NAME \
     --direction=INGRESS --priority=FIREWALL_PRIORITY --action=ALLOW --rules=all \
     --network=NETWORK_NAME \
     --source-ranges=RESERVED_RANGE \
     --target-tags=NAT_TAG
   

   Dengan keterangan:

   • RULE_NAME adalah nama yang ingin Anda berikan pada aturan firewall.
   • FIREWALL_PRIORITY adalah nomor prioritas yang ingin Anda tetapkan untuk aturan firewall.
   • NETWORK_NAME adalah nama jaringan yang Anda buat di bagian sebelumnya.
   • RESERVED_RANGE adalah rentang CIDR yang Anda alokasikan saat mengonfigurasi jaringan VPC.
   • NAT_TAG adalah nama tag gateway NAT yang memungkinkan Anda merutekan permintaan secara bersyarat, berdasarkan apakah tag tersebut memiliki tag dari VM ini atau tidak. Anda dapat menentukan nama apa pun untuk tag.

Anda kini dapat mengakses resource eksternal dari alamat IP statis gateway NAT yang dikelola sendiri di VPC Anda.

Langkah selanjutnya

• Pelajari kolam renang pribadi lebih lanjut.
• Pelajari cara menyiapkan lingkungan Anda untuk membuat kolam pribadi.
• Pelajari cara mengakses resource di JFrog Artifactory pribadi dengan kolam renang pribadi.