Créer des règles de réseau de trafic inter-organisations

Console

1. Dans la console GDC du projet que vous configurez, accédez à Mise en réseau > Pare-feu dans le menu de navigation pour ouvrir la page Pare-feu.
2. Cliquez sur Créer dans la barre d'actions pour commencer à créer une règle de pare-feu.

3. Sur la page Détails de la règle de pare-feu, saisissez les informations suivantes :

   1. Dans le champ Nom, saisissez un nom valide pour votre règle de pare-feu.
   2. Dans la section Direction du trafic, sélectionnez Entrée pour autoriser le trafic entrant provenant des charges de travail d'autres organisations.
   3. Dans la section Ciblage, sélectionnez l'une des options suivantes :
      • Toutes les charges de travail utilisateur : autorisez les connexions aux charges de travail du projet que vous configurez.
      • Service : indiquez que cette règle de pare-feu cible un service spécifique dans le projet que vous configurez.
   4. Si votre cible est un service de projet, sélectionnez le nom du service dans la liste des services disponibles dans le menu déroulant Service.
   5. Dans la section De, sélectionnez En dehors de l'organisation, puis saisissez le bloc CIDR d'une autre organisation dans le champ CIDR pour autoriser les connexions depuis le réseau de cette organisation.
   6. Si votre cible concerne toutes les charges de travail utilisateur, sélectionnez l'une des options suivantes dans la section Protocoles et ports :
      • Tout autoriser : autorise les connexions utilisant n'importe quel protocole ou port.
      • Protocoles et ports spécifiés : autorisez les connexions utilisant uniquement les protocoles et les ports que vous spécifiez dans les champs correspondants de la règle de pare-feu d'entrée.

4. Sur la page Détails de la règle de pare-feu, cliquez sur Créer.

Vous avez désormais autorisé les connexions à partir des charges de travail du projet d'une autre organisation. Une fois la règle de pare-feu créée, elle est visible dans un tableau sur la page Pare-feu.

API

Configurez et appliquez votre propre règle d'entrée ProjectNetworkPolicy personnalisée :

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-inbound-traffic-from-external
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - ipBlock:
        cidr: CIDR
EOF

Remplacez les éléments suivants :

• GLOBAL_API_SERVER : chemin d'accès kubeconfig du serveur d'API global. Pour en savoir plus, consultez Serveurs d'API globaux et zonaux. Si vous n'avez pas encore généré de fichier kubeconfig pour le serveur d'API, consultez Se connecter pour en savoir plus.
• PROJECT : nom du projet GDC.
• CIDR : bloc CIDR d'une autre organisation.

Cette règle est requise, car l'équilibreur de charge externe utilise le retour serveur direct (DSR), qui préserve l'adresse IP externe source et contourne l'équilibreur de charge sur le chemin de retour.

Console

1. Dans la console GDC du projet que vous configurez, accédez à Mise en réseau > Pare-feu dans le menu de navigation pour ouvrir la page Pare-feu.
2. Cliquez sur Créer dans la barre d'actions pour commencer à créer une règle de pare-feu.

3. Sur la page Détails de la règle de pare-feu, saisissez les informations suivantes :

   1. Dans le champ Nom, saisissez un nom valide pour votre règle de pare-feu.
   2. Dans la section Sens du trafic, sélectionnez Sortie pour indiquer que cette règle de pare-feu contrôle le trafic sortant.
   3. Dans la section Ciblage, sélectionnez l'une des options suivantes :
      • Toutes les charges de travail utilisateur : autorisez les connexions à partir des charges de travail du projet que vous configurez.
      • Service : indiquez que cette règle de pare-feu cible un service spécifique dans le projet que vous configurez.
   4. Si votre cible est un service de projet, sélectionnez le nom du service dans la liste des services disponibles dans le menu déroulant Service.
   5. Dans la section À, sélectionnez En dehors de l'organisation, puis saisissez le bloc CIDR d'une autre organisation dans le champ CIDR pour autoriser les connexions au réseau de cette organisation.
   6. Si votre cible concerne toutes les charges de travail utilisateur, sélectionnez l'une des options suivantes dans la section Protocoles et ports :
      • Tout autoriser : autorise les connexions utilisant n'importe quel protocole ou port.
      • Protocoles et ports spécifiés : autorisez les connexions en utilisant uniquement les protocoles et les ports que vous spécifiez dans les champs correspondants de la règle de pare-feu de sortie.

4. Sur la page Détails de la règle de pare-feu, cliquez sur Créer.

Vous avez autorisé les connexions à une autre organisation. Une fois la règle de pare-feu créée, elle est visible dans un tableau sur la page Pare-feu.

API

Pour activer le trafic sortant vers des services en dehors de l'organisation, personnalisez votre ressource ProjectNetworkPolicy. Toutefois, comme la prévention de l'exfiltration de données est activée par défaut, votre règle de sortie ProjectNetworkPolicy personnalisée affiche une erreur de validation dans le champ d'état, et le plan de données l'ignore. Ce comportement est normal.

Vous pouvez transférer des charges de travail à partir d'un projet donné lorsque vous autorisez l'exfiltration de données pour ce projet. Le trafic sortant que vous autorisez est une traduction d'adresse réseau (NAT) source utilisant une adresse IP bien connue allouée au projet.

Pour activer votre stratégie de sortie personnalisée, procédez comme suit :

1. Configurez et appliquez votre propre règle de sortie ProjectNetworkPolicy personnalisée à toutes les charges de travail utilisateur d'un projet.

   Utilisez l'exemple suivant :

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: PROJECT
     name: allow-outbound-traffic-to-external
   spec:
     subject:
       subjectType: UserWorkload
     egress:
     - to:
       - ipBlock:
           cidr: CIDR
   EOF
   

   La règle autorise le trafic sortant vers tous les hôtes du bloc CIDR qui se trouvent en dehors de l'organisation. Votre première tentative doit entraîner une erreur d'état voulue et nécessaire.

2. Vérifiez qu'une erreur de validation s'affiche dans votre état.

3. Demandez à l'administrateur IAM de l'organisation de désactiver la prévention de l'exfiltration de données. Cette action active votre configuration tout en empêchant tout autre trafic sortant.

4. Vérifiez la ProjectNetworkPolicy que vous avez créée et assurez-vous que l'erreur a disparu du champ "État de validation" et que l'état Ready est True, ce qui indique que votre règle est en vigueur :

   kubectl --kubeconfig GLOBAL_API_SERVER \
       get projectnetworkpolicy allow-outbound-traffic-to-external \
       -n PROJECT -o yaml
   

   Remplacez les éléments suivants :

   • GLOBAL_API_SERVER : chemin d'accès au fichier kubeconfig du serveur d'API global. Pour en savoir plus, consultez Serveurs d'API globaux et zonaux. Si vous n'avez pas encore généré de fichier kubeconfig pour le serveur d'API, consultez Se connecter pour en savoir plus.

   • PROJECT : nom du projet GDC.

Une fois cette règle appliquée, et à condition que vous n'ayez pas défini d'autres règles de sortie, tout autre trafic sortant est refusé pour PROJECT.