Erlauben Cloud-NAT-Kommunikation mit App-Engine-firewall

Ich habe einen Laufenden cluster auf Kubernetes mit GCP und einige Dienste auf App-Motoren, und ich bin versucht, die Kommunikation zwischen Ihnen, ohne Zugriff auf die App-Motoren von außen.

Ich erstellte ein eigenes Kubernetes-cluster mit einem bestimmten Subnetz, ich verlinkte dieses Subnetz zu einem Cloud-NAT eine einzigartige egress IP kann ich whitelist, und ich darf diese IP in der App Engine firewall-Regeln.

Allerdings, wenn ich bitte meine app-Motoren aus dem cluster, bekomme ich eine 403-Antwort, weil es nicht die firewall passieren. Aber wenn ich eine Verbindung zu meinem Kubernetes-pod und versuchen, eine Website zu kennen, meine IP, bekomme ich die IP ich in die Cloud-NAT.

Ich fand in der Cloud-NAT-Dokumentation, dass die übersetzung in interne IP-Adressen realisiert wird, bevor die Anwendung der firewall-Regeln (https://cloud.google.com/nat/docs/overview#firewall_rules).

Gibt es eine Möglichkeit zum abrufen dieser internen IP? Oder auf andere Weise zu sichern, die Dienste?

1 Antworten

  • Daniel Emiliano
    4. Mai 2019

    Cloud-NAT wird nie angewendet, um Datenverkehr an die öffentlichen IP-Adressen für Google-APIs und services. Anfragen zu Google-APIs und services niemals den externen IPs konfiguriert, die NAT-Cloud als Ihre Quellen.

    Ich schlage vor, Sie implementieren eine Interne load-Balancer. Interne TCP/UDP-Load-Balancing macht der cluster-Dienstleistungen der Zugang zu Anwendungen außerhalb des Clusters, die den gleichen VPC-Netzwerk und befinden sich in der gleichen GCP-region.