Membuat kebijakan jaringan traffic lintas organisasi

Konsol

1. Di konsol GDC project yang Anda konfigurasi, buka Networking > Firewall di menu navigasi untuk membuka halaman Firewall.
2. Klik Buat di panel tindakan untuk mulai membuat aturan firewall baru.

3. Di halaman Detail aturan firewall, isi informasi berikut:

   1. Di kolom Nama, masukkan nama yang valid untuk aturan firewall Anda.
   2. Di bagian Direction of traffic, pilih Ingress untuk mengizinkan traffic masuk dari workload di organisasi lain.
   3. Di bagian Target, pilih salah satu opsi berikut:
      • Semua beban kerja pengguna: mengizinkan koneksi ke beban kerja project yang Anda konfigurasi.
      • Layanan: menunjukkan bahwa aturan firewall ini menargetkan layanan tertentu dalam project yang Anda konfigurasi.
   4. Jika target Anda adalah layanan project, pilih nama layanan dari daftar layanan yang tersedia di menu drop-down Layanan.
   5. Di bagian Dari, pilih Di luar organisasi dan masukkan blok CIDR organisasi lain di kolom CIDR untuk mengizinkan koneksi dari jaringan organisasi tersebut.
   6. Jika target Anda adalah semua workload pengguna, pilih salah satu opsi berikut di bagian Protocols and ports:
      • Izinkan semua: mengizinkan koneksi menggunakan protokol atau port apa pun.
      • Protokol dan port yang ditentukan: mengizinkan koneksi hanya menggunakan protokol dan port yang Anda tentukan di kolom yang sesuai untuk aturan firewall ingress.

4. Di halaman Firewall rule details, klik Create.

Anda kini telah mengizinkan koneksi dari beban kerja project organisasi lain. Setelah membuat aturan firewall, aturan tersebut akan terlihat dalam tabel di halaman Firewall.

API

Konfigurasi dan terapkan kebijakan ingress ProjectNetworkPolicy yang disesuaikan sendiri:

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-inbound-traffic-from-external
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - ipBlock:
        cidr: CIDR
EOF

Ganti kode berikut:

• GLOBAL_API_SERVER: jalur kubeconfig server API global. Untuk mengetahui informasi selengkapnya, lihat Server API global dan zonal. Jika Anda belum membuat file kubeconfig untuk server API, lihat Login untuk mengetahui detailnya.
• PROJECT: nama project GDC.
• CIDR: blok CIDR organisasi lain.

Kebijakan ini diperlukan karena load balancer eksternal menggunakan Direct Server Return (DSR), yang mempertahankan alamat IP eksternal sumber dan melewati load balancer di jalur kembali.

Konsol

1. Di konsol GDC project yang Anda konfigurasi, buka Networking > Firewall di menu navigasi untuk membuka halaman Firewall.
2. Klik Buat di panel tindakan untuk mulai membuat aturan firewall baru.

3. Di halaman Detail aturan firewall, isi informasi berikut:

   1. Di kolom Nama, masukkan nama yang valid untuk aturan firewall Anda.
   2. Di bagian Direction of traffic, pilih Egress untuk menunjukkan bahwa aturan firewall ini mengontrol traffic keluar.
   3. Di bagian Target, pilih salah satu opsi berikut:
      • Semua beban kerja pengguna: mengizinkan koneksi dari beban kerja project yang Anda konfigurasi.
      • Layanan: menunjukkan bahwa aturan firewall ini menargetkan layanan tertentu dalam project yang Anda konfigurasi.
   4. Jika target Anda adalah layanan project, pilih nama layanan dari daftar layanan yang tersedia di menu drop-down Layanan.
   5. Di bagian Ke, pilih Di luar organisasi dan masukkan blok CIDR organisasi lain di kolom CIDR untuk mengizinkan koneksi ke jaringan organisasi tersebut.
   6. Jika target Anda adalah semua workload pengguna, pilih salah satu opsi berikut di bagian Protocols and ports:
      • Izinkan semua: mengizinkan koneksi menggunakan protokol atau port apa pun.
      • Protokol dan port yang ditentukan: mengizinkan koneksi hanya menggunakan protokol dan port yang Anda tentukan di kolom yang sesuai untuk aturan firewall keluar.

4. Di halaman Firewall rule details, klik Create.

Anda kini telah mengizinkan koneksi ke organisasi lain. Setelah membuat aturan firewall, aturan tersebut akan terlihat dalam tabel di halaman Firewall.

API

Untuk mengaktifkan traffic keluar ke layanan di luar organisasi, sesuaikan resource ProjectNetworkPolicy Anda. Namun, karena pencegahan pemindahan data yang tidak sah diaktifkan secara default, kebijakan keluar ProjectNetworkPolicy yang disesuaikan akan menampilkan error validasi di kolom status, dan dataplane akan mengabaikannya. Perilaku ini terjadi sesuai desain.

Anda dapat mentransfer beban kerja dari project tertentu jika Anda mengizinkan eksfiltrasi data untuk project tersebut. Traffic keluar yang Anda izinkan adalah terjemahan alamat jaringan (NAT) sumber menggunakan alamat IP terkenal yang dialokasikan untuk project.

Untuk mengaktifkan kebijakan keluar yang disesuaikan, ikuti langkah-langkah berikut:

1. Konfigurasi dan terapkan kebijakan keluar ProjectNetworkPolicy yang disesuaikan sendiri pada semua beban kerja pengguna dalam project.

   Gunakan contoh berikut:

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: PROJECT
     name: allow-outbound-traffic-to-external
   spec:
     subject:
       subjectType: UserWorkload
     egress:
     - to:
       - ipBlock:
           cidr: CIDR
   EOF
   

   Kebijakan ini mengizinkan traffic keluar ke semua host dalam blok CIDR, yang berada di luar organisasi. Upaya pertama Anda harus menyebabkan error status yang dimaksudkan dan diperlukan.

2. Konfirmasi bahwa Anda melihat error validasi dalam status Anda.

3. Minta Admin IAM Organisasi untuk menonaktifkan pencegahan pemindahan data yang tidak sah. Tindakan ini mengaktifkan konfigurasi Anda, sekaligus mencegah semua traffic keluar lainnya.

4. Periksa ProjectNetworkPolicy yang Anda buat dan verifikasi bahwa error di kolom status validasi telah hilang, dan status Ready adalah True, yang menunjukkan bahwa kebijakan Anda telah berlaku:

   kubectl --kubeconfig GLOBAL_API_SERVER \
       get projectnetworkpolicy allow-outbound-traffic-to-external \
       -n PROJECT -o yaml
   

   Ganti kode berikut:

   • GLOBAL_API_SERVER: Jalur kubeconfig server API global. Untuk mengetahui informasi selengkapnya, lihat Server API global dan zonal. Jika Anda belum membuat file kubeconfig untuk server API, lihat Login untuk mengetahui detailnya.

   • PROJECT: nama project GDC.

Setelah Anda menerapkan kebijakan ini, dan selama Anda belum menentukan kebijakan keluar lainnya, semua traffic keluar lainnya ditolak untuk PROJECT.