התחברות למכונות וירטואליות של Linux באמצעות יעד מבוצר (bastion host)

במאמר הזה מוסבר איך להתחבר למכונה וירטואלית (VM) באמצעות כתובת ה-IP הפנימית שלה, דרך מכונה וירטואלית של יעד מבוצר (bastion host). יעדים מבוצרים מספקים נקודת כניסה חיצונית לרשת של ענן וירטואלי פרטי (VPC) שמכילה מכונות וירטואליות ללא כתובות IP חיצוניות. כשמשתמשים ביעד מבוצר, קודם מתחברים אליו ואז מתחברים למכונה הווירטואלית.

התחברות למכונה וירטואלית באמצעות כתובת ה-IP הפנימית שלה שימושית אם למכונה הווירטואלית אין כתובת IP חיצונית. אם למכונה הווירטואלית יש כתובת IP חיצונית, מתחברים למכונה הווירטואלית באמצעות כתובת ה-IP החיצונית שלה. אם אתם צריכים להתחבר למכונה וירטואלית שאין לה כתובות IP חיצוניות ואתם לא יכולים להשתמש ביעד מבוצר, עיינו בשיטות האחרות שמפורטות במאמר בחירת אפשרות חיבור למכונות וירטואליות פנימיות בלבד.

מערכות הפעלה נתמכות

מערכת Compute Engine תומכת בשיטות החיבור האלה לכל תמונות Linux הציבוריות. בתמונות של Fedora CoreOS, צריך להגדיר גישת SSH לפני שמשתמשים בשיטות האלה.

יצירת מכונה וירטואלית של יעד מבוצר (bastion host)

יוצרים מכונה וירטואלית של Compute Engine ברשת ה-VPC המטורגטת, שתשמש כיעד מבוצר.

המסוף

כדי ליצור מכונה וירטואלית של יעד מבוצר (bastion host):

1. נכנסים לדף Create an instance במסוף Google Cloud .

   כניסה לדף Create an instance

2. מציינים את פרטי ה-VM הבאים:

   • שם: השם של המכונה הווירטואלית.

   • סוג המכונה: סוג המכונה. בוחרים סוג מכונה קטן, כמו e2-micro.

   • ‫דיסק אתחול > מערכת הפעלה: כל מערכת הפעלה של Linux.

3. מרחיבים את הקטע Advanced options ומבצעים את הפעולות הבאות:

   1. בקטע Network interfaces, בוחרים את אותה רשת VPC ואת אותה רשת משנה כמו של ה-VM המטורגט.

   2. בשדה External IPv4 address, בוחרים באפשרות Ephemeral.

4. כדי ליצור את המכונה הווירטואלית ולהפעיל אותה, לוחצים על Create.

gcloud

יוצרים מכונה וירטואלית של יעד מבוצר (bastion host) באמצעות הפקודה gcloud compute instances create:

1. מפעילים את Cloud Shell במסוף Google Cloud .

   הפעלת Cloud Shell

   בחלק התחתון של מסוף Google Cloud יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.

2. כדי ליצור את המכונה הווירטואלית של היעד המבוצר, מריצים את הפקודה הבאה:

   gcloud compute instances create BASTION_NAME \
     --zone=ZONE \
     --machine-type=e2-micro \
     --image-family=IMAGE_FAMILY \
     --image-project=IMAGE_PROJECT \
     --network-interface=subnet=SUBNET
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫BASTION_NAME: השם של המכונה הווירטואלית של היעד המבוצר.
   • ‫ZONE: האזור של המכונה הווירטואלית של היעד המבוצר.
   • ‫IMAGE_FAMILY: משפחת אימג'ים של Linux.
   • ‫IMAGE_PROJECT: פרויקט התמונה שמכיל את התמונה.
   • ‫SUBNET: אותה רשת משנה של VPC כמו של המכונה הווירטואלית המטורגטת. אם משתמשים ברשת ברירת המחדל של VPC, מגדירים את SUBNET ל-default.

התחברות למכונות וירטואליות

כדי להתחבר למכונה וירטואלית, מבצעים את השלבים באחת מהכרטיסיות הבאות.

gcloud

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו נדרשות ההרשאות הבאות:

• כל ההרשאות של התפקיד "משתמש בחשבון שירות" (roles/iam.serviceAccountUser) בחשבון השירות ובחשבון המשתמש שלכם. במאמר איך מאפשרים לחשבון משתמש להתחזות לחשבון שירות יחיד מוסבר איך נותנים את התפקיד הזה בחשבון שירות יחיד.
• לחשבון השירות נדרשת גם ההרשאה compute.projects.setCommonInstanceMetadata.

בנוסף, צריך להקצות את חשבון השירות למכונה הווירטואלית של היעד המבוצר ולהגדיר את היקף הגישה cloud-platform במכונה הווירטואלית של היעד המבוצר.

מתחברים למכונה הווירטואלית דרך יעד מבוצר באמצעות SSH, ומריצים את הפקודה gcloud compute ssh:

1. מריצים את הפקודה הבאה כדי להתחבר למכונה הווירטואלית של היעד המבוצר:

   gcloud compute ssh BASTION_NAME \
       --project=PROJECT_ID \
       --zone=ZONE

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫BASTION_NAME: השם של המכונה הווירטואלית של היעד המבוצר.
   • ‫PROJECT_ID: מזהה הפרויקט שמכיל את המכונה הווירטואלית של היעד המבוצר.
   • ‫ZONE: שם האזור שבו נמצאת המכונה הווירטואלית של היעד המבוצר.

2. מהמכונה הווירטואלית של היעד המבוצר, מתחברים למכונה הווירטואלית של היעד באמצעות כתובת ה-IP הפנימית שלה, בעזרת הדגל ‎--internal-ip:

   gcloud compute ssh INSTANCE_NAME \
       --zone=TARGET_ZONE \
       --internal-ip

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫INSTANCE_NAME: השם של המכונה הווירטואלית שאליה רוצים להתחבר.
   • ‫TARGET_ZONE: שם האזור שבו נמצאת ה-VM המטורגטת.

הערה: כשמתחברים למכונות וירטואליות באמצעות ה-CLI של gcloud, מערכת Compute Engine יוצרת מפתח SSH קבוע. מידע נוסף על מפתחות SSH זמין במאמר חיבורי SSH למכונות וירטואליות של Linux.

לקוח OpenSSH

כדי להתחבר למכונה וירטואלית דרך יעד מבוצר מלקוח OpenSSH:

1. אם עדיין לא הוספתם מפתח SSH, הוסיפו מפתח SSH למכונה הווירטואלית של היעד המבוצר ולמכונה הווירטואלית של היעד.

2. במסוף Google Cloud , נכנסים לדף VM instances ומחפשים את כתובת ה-IP החיצונית של המכונה הווירטואלית של היעד המבוצר, ואת כתובת ה-IP הפנימית של המכונה הווירטואלית שאליה רוצים להתחבר.

   כניסה לדף VM instances

3. פותחים טרמינל בתחנת העבודה.

4. מתחברים למכונה הווירטואלית של היעד המבוצר באמצעות הפקודה הבאה:

   ssh -A -i PATH_TO_PRIVATE_KEY USERNAME@EXTERNAL_IP

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PATH_TO_PRIVATE_KEY: הנתיב לקובץ של מפתח ה-SSH הפרטי שתואם למפתח הציבורי שהוספתם למכונה הווירטואלית, כמו ~/.ssh/my-ssh-key, או ~/.ssh/google_compute_engine אם ה-CLI של Google Cloud יצר את המפתח.
   • ‫USERNAME: שם המשתמש שלכם ב- שם המשתמש הוא מה שציינתם כשיצרתם את מפתח ה-SSH.
   • ‫EXTERNAL_IP: כתובת ה-IP החיצונית של המכונה הווירטואלית של היעד המבוצר.

5. מהמכונה הווירטואלית של היעד המבוצר, מתחברים דרך כתובת ה-IP הפנימית של המכונה הווירטואלית באמצעות הפקודה הבאה:

   ssh USERNAME@INTERNAL_IP

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫USERNAME: שם המשתמש שלכם ב- שם המשתמש הוא מה שציינתם כשיצרתם את מפתח ה-SSH.
   • ‫INTERNAL_IP: כתובת ה-IP הפנימית של ה-VM.

אפליקציית PuTTY

כדי להתחבר למכונה וירטואלית דרך יעד מבוצר באמצעות PuTTY:

1. אם עדיין לא הוספתם מפתח SSH, הוסיפו מפתח SSH למכונה הווירטואלית של היעד המבוצר ולמכונה הווירטואלית של היעד.
2. אם אפליקציית PuTTY לא מותקנת בתחנת העבודה, הורידו את קובצי החבילה של PuTTY.

3. במסוף Google Cloud , נכנסים לדף VM instances ומחפשים את כתובת ה-IP החיצונית של המכונה הווירטואלית של היעד המבוצר, ואת כתובת ה-IP הפנימית של המכונה הווירטואלית שאליה רוצים להתחבר.

   כניסה לדף VM instances

4. פותחים את אפליקציית PuTTY. נפתח חלון להגדרת החיבור.

5. בשדה שם מארח (או כתובת IP), מזינים את שם המשתמש שמשויך למפתח ה-SSH ואת כתובת ה-IP החיצונית של ה-VM של היעד המבוצר. צריך להשתמש בפורמט הבא:

   USERNAME@EXTERNAL_IP

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫USERNAME: שם המשתמש שלכם ב- שם המשתמש הוא מה שציינתם כשיצרתם את מפתח ה-SSH.
   • ‫EXTERNAL_IP: כתובת ה-IP החיצונית של המכונה הווירטואלית של היעד המבוצר.
6. בתפריט Category, עוברים אל Connection > SSH > Auth > Credentials (או אל Connection > SSH > Auth בגרסאות PuTTY שקודמות ל-0.78).
7. בשדה Private key file for authentication, לוחצים על Browse ובוחרים את קובץ מפתח ה-SSH הפרטי (.ppk) שתואם למפתח הציבורי שהוספתם למכונה הווירטואלית.
8. בתפריט Category, עוברים אל Connection > SSH > Auth, ובקטע Authentication parameters בוחרים באפשרות Allow agent forwarding.
9. לוחצים על Open כדי להתחבר למכונה הווירטואלית של היעד המבוצר.

10. מהמכונה הווירטואלית של היעד המבוצר, מתחברים דרך כתובת ה-IP הפנימית של המכונה הווירטואלית באמצעות הפקודה הבאה:

    ssh USERNAME@INTERNAL_IP

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫USERNAME: שם המשתמש שלכם ב- שם המשתמש הוא מה שציינתם כשיצרתם את מפתח ה-SSH.
    • ‫INTERNAL_IP: כתובת ה-IP הפנימית של ה-VM.

פתרון בעיות

במאמר פתרון בעיות ב-SSH מוסבר איך לאבחן ולפתור בעיות בחיבורי SSH שנכשלו.

המאמרים הבאים

• איך מעבירים קבצים למכונות וירטואליות
• הסבר על חיבורי SSH למכונות וירטואליות של Linux ב-Compute Engine.