Membuat kebijakan jaringan traffic lintas project

Halaman ini memberikan petunjuk untuk mengonfigurasi kebijakan jaringan traffic lintas project di Google Distributed Cloud (GDC) air-gapped.

Traffic lintas project mengacu pada komunikasi antara layanan dan workload dari namespace project yang berbeda, tetapi dalam organisasi yang sama.

Layanan dan workload dalam project diisolasi dari layanan dan workload eksternal secara default. Namun, layanan dan workload dari namespace project yang berbeda dan dalam organisasi yang sama dapat saling berkomunikasi dengan menerapkan kebijakan jaringan traffic lintas project.

Jika penegakan traffic lintas project diperlukan dalam satu zona, lihat Membuat kebijakan jaringan tingkat workload.

Sebelum memulai

Untuk mengonfigurasi kebijakan jaringan traffic intra-project, Anda harus memiliki hal berikut:

• Peran akses dan identitas yang diperlukan. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan peran dan akses yang telah ditetapkan.
• Project yang ada. Untuk mengetahui informasi selengkapnya, lihat Membuat project.

Membuat kebijakan traffic lintas project

Anda dapat menentukan kebijakan traffic lintas project masuk atau keluar untuk mengelola komunikasi antar-project.

Anda dapat membuat kebijakan jaringan lintas project global yang berlaku untuk semua zona di semesta GDC Anda. Untuk mengetahui informasi selengkapnya, lihat Apa itu semesta?

Membuat aturan firewall ingress global untuk traffic lintas project

Agar beban kerja atau layanan project mengizinkan koneksi dari beban kerja lain di project lain dalam organisasi Anda, Anda harus mengonfigurasi aturan firewall masuk untuk mengizinkan traffic masuk dari beban kerja project lain.

Kebijakan ingress global ini berlaku untuk semua zona di organisasi Anda.

Ikuti langkah-langkah berikut untuk membuat aturan firewall baru dan mengizinkan traffic masuk dari beban kerja di project lain:

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT_1
  name: allow-inbound-traffic-from-PROJECT_2
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - projectSelector:
        projects:
          matchNames:
          - PROJECT_2
EOF

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT_2
  name: allow-inbound-traffic-from-PROJECT_1
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - projectSelector:
        projects:
          matchNames:
          - PROJECT_1
EOF

Membuat aturan firewall keluar global untuk traffic lintas project

Saat Anda memberikan kebijakan traffic lintas project masuk untuk mengizinkan beban kerja dalam satu project mengizinkan koneksi dari beban kerja dalam project lain, tindakan ini juga memberikan traffic kembali untuk alur yang sama. Oleh karena itu, Anda tidak memerlukan kebijakan jaringan traffic lintas project keluar di project asli.

Kebijakan keluar global ini hanya berlaku untuk semua zona di semesta GDC Anda.

Misalnya, jika Anda membuat kebijakan yang mengizinkan traffic dari PROJECT_1 ke PROJECT_2 dan perlindungan eksfiltrasi data dinonaktifkan, Anda harus membuat kebijakan ingress di PROJECT_2 dan kebijakan egress di PROJECT_1. Namun, paket balasan dikecualikan dari penegakan kebijakan, sehingga Anda tidak memerlukan kebijakan tambahan.

Selesaikan langkah-langkah berikut untuk membuat aturan firewall baru dan mengizinkan traffic keluar dari beban kerja dalam project:

1. Di konsol GDC project yang Anda konfigurasi, buka Networking > Firewall di menu navigasi untuk membuka halaman Firewall.
2. Klik Buat di panel tindakan untuk mulai membuat aturan firewall baru.

3. Di halaman Detail aturan firewall, isi informasi berikut:

   1. Di kolom Nama, masukkan nama yang valid untuk aturan firewall Anda.
   2. Di bagian Direction of traffic, pilih Egress untuk menunjukkan bahwa aturan firewall ini mengontrol traffic keluar.
   3. Di bagian Target, pilih salah satu opsi berikut:
      • Semua beban kerja pengguna: mengizinkan koneksi dari beban kerja project yang Anda konfigurasi.
      • Layanan: menunjukkan bahwa aturan firewall ini menargetkan layanan tertentu dalam project yang Anda konfigurasi.
   4. Jika target Anda adalah layanan project, pilih nama layanan dari daftar layanan yang tersedia di menu drop-down Layanan.
   5. Di bagian Ke, pilih salah satu dari dua opsi berikut:
      • Semua project: mengizinkan koneksi ke workload di semua project dalam organisasi yang sama.
      • Project lain dan Semua workload pengguna: mengizinkan koneksi ke workload di project lain dalam organisasi yang sama.
   6. Jika Anda hanya ingin mentransfer beban kerja ke project lain, pilih project yang dapat Anda akses dari daftar project di menu drop-down Project ID.
   7. Jika target Anda adalah semua workload pengguna, pilih salah satu opsi berikut di bagian Protocols and ports:
      • Izinkan semua: mengizinkan koneksi menggunakan protokol atau port apa pun.
      • Protokol dan port yang ditentukan: mengizinkan koneksi hanya menggunakan protokol dan port yang Anda tentukan di kolom yang sesuai untuk aturan firewall keluar.

4. Di halaman Firewall rule details, klik Create.

Sekarang Anda telah mengizinkan koneksi ke workload project lain dalam organisasi yang sama. Setelah membuat aturan firewall, aturan tersebut akan terlihat dalam tabel di halaman Firewall.