Crea criteri di rete per il traffico tra progetti

Questa pagina fornisce istruzioni per configurare i criteri di rete per il traffico tra progetti in Google Distributed Cloud (GDC) con air gap.

Il traffico tra progetti si riferisce alla comunicazione tra servizi e carichi di lavoro di spazi dei nomi di progetti diversi, ma all'interno della stessa organizzazione.

Per impostazione predefinita, i servizi e i workload di un progetto sono isolati da servizi e workload esterni. Tuttavia, i servizi e i carichi di lavoro di spazi dei nomi di progetti diversi e all'interno della stessa organizzazione possono comunicare tra loro applicando criteri di rete per il traffico tra progetti.

Se è necessaria l'applicazione del traffico tra progetti all'interno di una singola zona, consulta Creare policy di rete a livello di workload.

Prima di iniziare

Per configurare i criteri di rete per il traffico intra-progetto, devi disporre di quanto segue:

• I ruoli di identità e accesso necessari. Per saperne di più, consulta Preparare ruoli e accesso predefiniti.
• Un progetto esistente. Per saperne di più, consulta Creare un progetto.

Crea una policy di gestione del traffico tra progetti

Puoi definire criteri di traffico tra progetti in entrata o in uscita per gestire la comunicazione tra i progetti.

Puoi creare criteri di rete globali tra progetti che si applicano a tutte le zone del tuo universo GDC. Per ulteriori informazioni, vedi Che cos'è un universo?

Crea una regola firewall in entrata globale per il traffico tra progetti

Affinché i servizi o i carichi di lavoro del progetto consentano le connessioni da altri carichi di lavoro in un altro progetto all'interno della tua organizzazione, devi configurare una regola firewall in entrata per consentire il traffico in entrata di altri carichi di lavoro del progetto.

Questo criterio di ingresso globale si applica a tutte le zone della tua organizzazione.

Segui questi passaggi per creare una nuova regola firewall e consentire il traffico in entrata dai carichi di lavoro in un altro progetto:

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT_1
  name: allow-inbound-traffic-from-PROJECT_2
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - projectSelector:
        projects:
          matchNames:
          - PROJECT_2
EOF

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT_2
  name: allow-inbound-traffic-from-PROJECT_1
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - projectSelector:
        projects:
          matchNames:
          - PROJECT_1
EOF

Crea una regola firewall di uscita globale per il traffico tra progetti

Quando concedi un criterio di traffico in entrata tra progetti per consentire ai carichi di lavoro di un progetto di accettare connessioni da carichi di lavoro di un altro progetto, questa azione concede anche il traffico di ritorno per gli stessi flussi. Pertanto, non hai bisogno di una policy di rete per il traffico in uscita tra progetti nel progetto originale.

Questa norma di uscita globale si applica solo a tutte le zone del tuo universo GDC.

Ad esempio, se crei un criterio che consente il traffico da PROJECT_1 a PROJECT_2 e la protezione dall'esfiltrazione di dati è disattivata, devi creare un criterio di ingresso in PROJECT_2 e un criterio di uscita in PROJECT_1. Tuttavia, i pacchetti di risposte sono esclusi dall'applicazione delle norme, pertanto non sono necessarie norme aggiuntive.

Segui questi passaggi per creare una nuova regola firewall e consentire il traffico in uscita dai carichi di lavoro in un progetto:

1. Nella console GDC del progetto che stai configurando, vai a Networking > Firewall nel menu di navigazione per aprire la pagina Firewall.
2. Fai clic su Crea nella barra delle azioni per iniziare a creare una nuova regola firewall.

3. Nella pagina Dettagli regola firewall, inserisci le seguenti informazioni:

   1. Nel campo Nome, inserisci un nome valido per la regola firewall.
   2. Nella sezione Direzione del traffico, seleziona In uscita per indicare che questa regola del firewall controlla il traffico in uscita.
   3. Nella sezione Target, seleziona una delle seguenti opzioni:
      • Tutti i carichi di lavoro utente:consente le connessioni dai carichi di lavoro del progetto che stai configurando.
      • Servizio:indica che questa regola firewall ha come target un servizio specifico all'interno del progetto che stai configurando.
   4. Se la destinazione è un servizio di progetto, seleziona il nome del servizio dall'elenco dei servizi disponibili nel menu a discesa Servizio.
   5. Nella sezione A, seleziona una delle seguenti due opzioni:
      • Tutti i progetti:consente le connessioni ai carichi di lavoro in tutti i progetti della stessa organizzazione.
      • Un altro progetto e Tutti i workload utente:consentono le connessioni ai workload in un altro progetto della stessa organizzazione.
   6. Se vuoi trasferire i carichi di lavoro solo a un altro progetto, seleziona un progetto a cui puoi accedere dall'elenco dei progetti nel menu a discesa ID progetto.
   7. Se il target sono tutti i carichi di lavoro utente, seleziona una delle seguenti opzioni nella sezione Protocolli e porte:
      • Consenti tutto:consente le connessioni utilizzando qualsiasi protocollo o porta.
      • Protocolli e porte specificati:consentono le connessioni utilizzando solo i protocolli e le porte specificati nei campi corrispondenti per la regola firewall in uscita.

4. Nella pagina Dettagli regola firewall, fai clic su Crea.

Ora hai consentito le connessioni ad altri workload del progetto all'interno della stessa organizzazione. Dopo aver creato la regola firewall, questa è visibile in una tabella nella pagina Firewall.