Crear políticas de red externas a la organización

Consola

1. En la consola de GDC del proyecto que estés configurando, ve a Redes > Firewall en el menú de navegación para abrir la página Firewall.
2. Haga clic en Crear en la barra de acciones para empezar a crear una regla de cortafuegos.

3. En la página Detalles de regla de cortafuegos, rellena la siguiente información:

   1. En el campo Nombre, introduce un nombre válido para la regla de cortafuegos.
   2. En la sección Dirección del tráfico, selecciona Entrada para permitir el tráfico entrante de cargas de trabajo de otras organizaciones.
   3. En la sección Objetivo, seleccione una de las siguientes opciones:
      • Todas las cargas de trabajo de los usuarios: permite las conexiones a las cargas de trabajo del proyecto que estás configurando.
      • Servicio: indica que esta regla de cortafuegos está dirigida a un servicio específico del proyecto que estás configurando.
   4. Si tu objetivo es un servicio de proyecto, selecciona el nombre del servicio en la lista de servicios disponibles del menú desplegable Servicio.
   5. En la sección Desde, selecciona Fuera de la organización e introduce el bloque CIDR de otra organización en el campo CIDR para permitir las conexiones desde la red de esa organización.
   6. Si tu objetivo son todas las cargas de trabajo de los usuarios, selecciona una de las siguientes opciones en la sección Protocolos y puertos:
      • Permitir todo: permite las conexiones mediante cualquier protocolo o puerto.
      • Protocolos y puertos especificados: permite las conexiones que usen solo los protocolos y puertos que especifiques en los campos correspondientes de la regla de cortafuegos de entrada.

4. En la página Detalles de la regla de cortafuegos, haz clic en Crear.

Ahora has permitido las conexiones de las cargas de trabajo del proyecto de otra organización. Una vez creada la regla de cortafuegos, se mostrará en una tabla de la página Cortafuegos.

API

Configura y aplica tu propia política de entrada ProjectNetworkPolicy personalizada:

kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
apiVersion: networking.global.gdc.goog/v1
kind: ProjectNetworkPolicy
metadata:
  namespace: PROJECT
  name: allow-inbound-traffic-from-external
spec:
  policyType: Ingress
  subject:
    subjectType: UserWorkload
  ingress:
  - from:
    - ipBlock:
        cidr: CIDR
EOF

Haz los cambios siguientes:

• GLOBAL_API_SERVER: la ruta de kubeconfig del servidor de la API global. Para obtener más información, consulta Servidores de APIs globales y zonales. Si aún no has generado un archivo kubeconfig para el servidor de la API, consulta Iniciar sesión para obtener más información.
• PROJECT: el nombre del proyecto de GDC.
• CIDR: el bloque CIDR de otra organización.

Esta política es obligatoria, ya que el balanceador de carga externo usa la función de retorno directo del servidor (DSR), que conserva la dirección IP externa de origen y evita el balanceador de carga en la ruta de retorno.

Consola

1. En la consola de GDC del proyecto que estés configurando, ve a Redes > Firewall en el menú de navegación para abrir la página Firewall.
2. Haga clic en Crear en la barra de acciones para empezar a crear una regla de cortafuegos.

3. En la página Detalles de regla de cortafuegos, rellena la siguiente información:

   1. En el campo Nombre, introduce un nombre válido para la regla de cortafuegos.
   2. En la sección Dirección del tráfico, selecciona Salida para indicar que esta regla de cortafuegos controla el tráfico saliente.
   3. En la sección Objetivo, seleccione una de las siguientes opciones:
      • Todas las cargas de trabajo del usuario: permite las conexiones de las cargas de trabajo del proyecto que estés configurando.
      • Servicio: indica que esta regla de cortafuegos está dirigida a un servicio específico del proyecto que estás configurando.
   4. Si tu objetivo es un servicio de proyecto, selecciona el nombre del servicio en la lista de servicios disponibles del menú desplegable Servicio.
   5. En la sección Para, selecciona Fuera de la organización e introduce el bloque CIDR de otra organización en el campo CIDR para permitir las conexiones a la red de esa organización.
   6. Si tu objetivo son todas las cargas de trabajo de los usuarios, selecciona una de las siguientes opciones en la sección Protocolos y puertos:
      • Permitir todo: permite las conexiones mediante cualquier protocolo o puerto.
      • Protocolos y puertos especificados: permite las conexiones solo con los protocolos y puertos que especifiques en los campos correspondientes de la regla de cortafuegos de salida.

4. En la página Detalles de la regla de cortafuegos, haz clic en Crear.

Ahora has permitido las conexiones a otra organización. Una vez creada la regla de cortafuegos, se mostrará en una tabla de la página Cortafuegos.

API

Para habilitar el tráfico saliente a servicios ajenos a la organización, personaliza el recurso ProjectNetworkPolicy. Sin embargo, como la prevención de filtraciones externas de datos está habilitada de forma predeterminada, tu política de salida ProjectNetworkPolicy personalizada muestra un error de validación en el campo de estado y el plano de datos la ignora. Este comportamiento es el esperado.

Puedes transferir cargas de trabajo de un proyecto determinado cuando permitas la exfiltración de datos de ese proyecto. El tráfico saliente que permites es una traducción de dirección de red (NAT) de origen que usa una dirección IP conocida asignada al proyecto.

Para habilitar tu política de salida personalizada, sigue estos pasos:

1. Configura y aplica tu propia política de salida de ProjectNetworkPolicy personalizada en todas las cargas de trabajo de los usuarios de un proyecto.

   Usa el siguiente ejemplo:

   kubectl --kubeconfig GLOBAL_API_SERVER apply -f - <<EOF
   apiVersion: networking.global.gdc.goog/v1
   kind: ProjectNetworkPolicy
   metadata:
     namespace: PROJECT
     name: allow-outbound-traffic-to-external
   spec:
     subject:
       subjectType: UserWorkload
     egress:
     - to:
       - ipBlock:
           cidr: CIDR
   EOF
   

   La política permite el tráfico saliente a todos los hosts del bloque CIDR, que se encuentran fuera de la organización. En tu primer intento, debe producirse un error de estado intencionado y necesario.

2. Confirma que aparece un error de validación en el estado.

3. Pide al administrador de gestión de identidades y accesos de la organización que inhabilite la prevención de la exfiltración de datos. Esta acción habilita tu configuración y, al mismo tiempo, impide todo el tráfico saliente.

4. Comprueba el ProjectNetworkPolicy que has creado y verifica que el error del campo de estado de validación ha desaparecido y que el estado Ready es True, lo que indica que tu política está activa:

   kubectl --kubeconfig GLOBAL_API_SERVER \
       get projectnetworkpolicy allow-outbound-traffic-to-external \
       -n PROJECT -o yaml
   

   Haz los cambios siguientes:

   • GLOBAL_API_SERVER: la ruta kubeconfig del servidor de la API global. Para obtener más información, consulta Servidores de APIs globales y zonales. Si aún no has generado un archivo kubeconfig para el servidor de la API, consulta Iniciar sesión para obtener más información.

   • PROJECT: el nombre del proyecto de GDC.

Una vez que hayas aplicado esta política, y siempre que no hayas definido otras políticas de salida, se denegará todo el tráfico saliente de PROJECT.