Compute Engine에서 Public NAT 사용

콘솔

1. Google Cloud 콘솔에서 VPC 네트워크 페이지로 이동합니다.

   VPC 네트워크 페이지로 이동

2. VPC 네트워크 만들기를 클릭합니다.

3. custom-network1의 이름을 입력합니다.

4. 서브넷에서 서브넷 생성 모드를 커스텀으로 설정합니다.

5. 새 서브넷에 subnet-us-east-192의 이름을 입력합니다.

6. 리전에서 us-east4를 선택합니다.

7. IP 주소 범위를 192.168.1.0/24로 입력합니다.

8. 완료를 클릭한 후 만들기를 클릭합니다.

gcloud

1. 프로젝트에서 새 커스텀 모드 VPC 네트워크를 만듭니다.

   gcloud compute networks create custom-network1 \
       --subnet-mode custom

2. 첫 번째 지역의 서브넷 프리픽스를 지정합니다. 이 예시에서는 192.168.1.0/24를 리전 us-east4에 할당합니다.

   gcloud compute networks subnets create subnet-us-east-192 \
      --network custom-network1 \
      --region us-east4 \
      --range 192.168.1.0/24

Terraform

Terraform 모듈을 사용하여 커스텀 Virtual Private Cloud(VPC) 네트워크 및 서브넷을 만들 수 있습니다.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "custom-network1"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "subnet-us-east-192"
      subnet_ip     = "192.168.1.0/24"
      subnet_region = "us-east4"
    }
  ]
}

콘솔

1. Google Cloud 콘솔에서 VM 인스턴스 페이지로 이동합니다.

   VM 인스턴스 페이지로 이동

2. 인스턴스 만들기를 클릭합니다.

3. 인스턴스에 대해 이름을 nat-test-1로 지정합니다.

4. 리전을 us-east4로 설정합니다.

5. 영역을 us-east4-c로 설정합니다.

6. 관리, 보안, 디스크, 네트워킹, 단독 테넌시 링크를 클릭합니다.

7. 네트워킹 탭을 클릭합니다.

8. 네트워크 인터페이스에서 VM의 기본 인터페이스에 대해 edit수정을 클릭합니다.

   1. 네트워크를 custom-network1로 설정합니다.
   2. 서브네트워크를 subnet-us-east-192로 설정합니다.
   3. 외부 IP를 None으로 설정합니다.
   4. 완료를 클릭합니다.

9. 만들기를 클릭하여 인스턴스를 만들고 시작합니다.

gcloud

gcloud compute instances create nat-test-1 \
    --image-family debian-9 \
    --image-project debian-cloud \
    --network custom-network1 \
    --subnet subnet-us-east-192 \
    --zone us-east4-c \
    --no-address

Terraform

Terraform 리소스를 사용하여 VM 인스턴스를 만들 수 있습니다.

resource "google_compute_instance" "default" {
  project      = var.project_id
  zone         = "us-east4-c"
  name         = "nat-test-1"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    network    = "custom-network1"
    subnetwork = var.subnet # Replace with a reference or self link to your subnet, in quotes
  }
}

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책 페이지로 이동

2. 방화벽 규칙 만들기를 클릭합니다.

3. allow-ssh의 이름을 입력합니다.

4. 네트워크를 custom-network1로 지정합니다.

5. 트래픽 방향을 인그레스로 설정합니다.

6. 일치 시 작업을 허용으로 설정합니다.

7. 대상을 네트워크의 모든 인스턴스로 설정합니다.

8. 소스 필터를 IPv4 범위로 설정합니다.

9. 소스 IP 범위를 35.235.240.0/20으로 설정합니다.

10. 프로토콜 및 포트를 지정된 프로토콜 및 포트로 설정합니다.

11. tcp 체크박스를 선택하고 포트 22를 입력합니다.

12. 만들기를 클릭합니다.

gcloud

gcloud compute firewall-rules create allow-ssh \
    --network custom-network1 \
    --source-ranges 35.235.240.0/20 \
    --allow tcp:22

Terraform

Terraform 리소스를 사용하여 방화벽 규칙을 만들 수 있습니다.

resource "google_compute_firewall" "rules" {
  project = var.project_id
  name    = "allow-ssh"
  network = var.network # Replace with a reference or self link to your network, in quotes

  allow {
    protocol = "tcp"
    ports    = ["22"]
  }
  source_ranges = ["35.235.240.0/20"]
}

콘솔

1. Google Cloud 콘솔에서 IAP(Identity-Aware Proxy) 페이지로 이동합니다.

   Identity-Aware Proxy 페이지로 이동

2. SSH 및 TCP 리소스 탭을 선택합니다.

3. 리소스에 대한 구성원 권한을 업데이트하려면 모든 터널 리소스 > us-east4-c > nat-test-1 옆의 체크박스를 선택합니다.

4. 오른쪽 창에서 구성원 추가를 클릭합니다.

5. 사용자, 그룹, 서비스 계정에 리소스에 대한 액세스 권한을 부여하려면 새 구성원 필드에 해당 사용자의 이메일 주소를 지정합니다.

   이 기능을 테스트만 할 경우 자신의 이메일 주소를 입력할 수 있습니다.

6. 구성원에게 Cloud IAP의 TCP 전달 기능을 통해 리소스에 대한 액세스 권한을 부여하려면 역할 드롭다운 목록에서 Cloud IAP > IAP 보안 터널 사용자을 선택합니다.

7. 저장을 클릭합니다.

gcloud

이 명령어는 IAP를 사용하여 프로젝트의 모든 VM 인스턴스에 SSH 액세스 권한을 부여합니다. IAP를 사용하여 개별 VM에 SSH 액세스 권한을 부여하려면 Google Cloud 콘솔 안내를 따르세요.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=MEMBER_INFO \
    --role=roles/iap.tunnelResourceAccessor

다음을 바꿉니다.

• PROJECT_ID: 프로젝트 ID
• MEMBER_INFO: 구성원 type:email 쌍을 쉼표로 구분한 목록 예:
  • 개별 사용자의 경우: user:test-user@example.com
  • 그룹의 경우: group:admins@example.com
  • 서비스 계정의 경우: serviceAccount:test123@example.domain.com

Terraform

Terraform 리소스를 사용하여 테스트 인스턴스의 IAP SSH 권한을 만들 수 있습니다.

resource "google_project_iam_member" "project" {
  project = var.project_id
  role    = "roles/iap.tunnelResourceAccessor"
  member  = "serviceAccount:test123@example.domain.com"
}

콘솔

1. Google Cloud 콘솔에서 VM 인스턴스 페이지로 이동합니다.

   VM 인스턴스 페이지로 이동

2. nat-test-1의 경우 연결 열에서 SSH 드롭다운 화살표를 클릭한 다음 브라우저 창에서 열기를 선택합니다.

3. VM의 명령어 프롬프트에서 curl example.com을 입력하고 Enter 키를 누릅니다.

   결과가 표시되지 않습니다. 결과가 표시되면 외부 IP 주소를 사용해서 nat-test-1을 만들었거나 다른 문제가 있을 수 있습니다. 문제를 해결하려면 VM이 Cloud NAT 없이 예기치 않게 인터넷에 연결할 수 있음을 참조하세요.

   명령어를 종료하려면 Ctrl+C를 입력해야 할 수 있습니다.

gcloud

1. 로컬 호스트에 Compute Engine SSH 키를 추가합니다.

   ssh-add ~/.ssh/google_compute_engine
   

2. nat-test-1에 연결하고 명령어를 실행합니다.

   gcloud compute ssh nat-test-1 \
       --zone us-east4-c \
       --command "curl example.com" \
       --tunnel-through-iap

   결과가 표시되지 않습니다. 결과가 표시되면 외부 IP 주소를 사용해서 nat-test-1을 만들었거나 다른 문제가 있을 수 있습니다. 문제를 해결하려면 VM이 Cloud NAT 없이 예기치 않게 인터넷에 연결할 수 있음을 참조하세요.

   명령어를 종료하려면 Ctrl+C를 입력해야 할 수 있습니다.

콘솔

1. Google Cloud 콘솔에서 Cloud NAT 페이지로 이동합니다.

   Cloud NAT 페이지로 이동

2. 시작하기 또는 NAT 게이트웨이 만들기를 클릭합니다.

3. 게이트웨이 이름을 nat-config로 입력합니다.

4. VPC 네트워크를 custom-network1로 설정합니다.

5. 리전을 us-east4로 설정합니다.

6. Cloud Router에서 새 라우터 만들기를 선택합니다.

   1. nat-router의 이름을 입력합니다.
   2. 만들기를 클릭합니다.

7. 만들기를 클릭합니다.

gcloud

1. Cloud Router를 만듭니다.

   gcloud compute routers create nat-router \
       --network custom-network1 \
       --region us-east4

2. 라우터에 구성을 추가합니다.

   gcloud compute routers nats create nat-config \
       --router-region us-east4 \
       --router nat-router \
       --nat-all-subnet-ip-ranges \
       --auto-allocate-nat-external-ips

Terraform

Terraform 리소스를 사용하여 Cloud Router를 만들 수 있습니다.

resource "google_compute_router" "router" {
  project = var.project_id
  name    = "nat-router"
  network = var.network
  region  = "us-east4"
}

Terraform 모듈을 사용하여 NAT 구성을 만들 수 있습니다.

module "cloud-nat" {
  source  = "terraform-google-modules/cloud-nat/google"
  version = "~> 5.0"

  project_id                         = var.project_id
  region                             = "us-east4"
  router                             = google_compute_router.router.name
  name                               = "nat-config"
  source_subnetwork_ip_ranges_to_nat = "ALL_SUBNETWORKS_ALL_IP_RANGES"
}

콘솔

1. Google Cloud 콘솔에서 VM 인스턴스 페이지로 이동합니다.

   VM 인스턴스 페이지로 이동

2. nat-test-1의 경우 연결 열에서 SSH 드롭다운 화살표를 클릭한 다음 브라우저 창에서 열기를 선택합니다.

3. VM의 명령어 프롬프트에서 curl example.com을 입력하고 Enter 키를 누릅니다.

gcloud

nat-test-1에 연결하고 명령어를 실행합니다.

gcloud compute ssh nat-test-1 \
    --zone us-east4-c \
    --command "curl example.com" \
    --tunnel-through-iap