הגדרת קבוצות של כתובות לכללי מדיניות של חומת אש

במדריך הזה מוסבר איך ליצור ולהגדיר קבוצות של כתובות בשביל מדיניות חומת אש ברשת. הוא כולל דוגמה ליצירת רשת של ענן וירטואלי פרטי (VPC) עם רשתות משנה, יצירת קבוצת כתובות ברמת הפרויקט, הגדרת מדיניות חומת אש שמשתמשת בקבוצת הכתובות עם כללי חומת אש, ובדיקת כללי חומת האש. מידע נוסף על קבוצות כתובות במדיניות חומת אש

מטרות

במדריך הזה מוסבר איך לבצע את הפעולות הבאות:

  • ליצור שתי רשתות VPC בהתאמה אישית עם רשתות משנה.
  • יוצרים שלוש מכונות וירטואליות (VM) (שתי מכונות וירטואליות של צרכן ברשתות משנה נפרדות של רשת VPC אחת, ומכונה וירטואלית של יצרן ברשת VPC שנייה). כל המכונות הווירטואליות נוצרות בלי כתובת IP חיצונית.
  • מתקינים את שרת Apache במכונה הווירטואלית של המפיק.
  • יוצרים קישור בין רשתות VPC שכנות (peering).
  • יוצרים Cloud Router ושער Cloud NAT, שמאפשרים למכונה הווירטואלית של היצרן לגשת לאינטרנט הציבורי.
  • יוצרים קבוצת כתובות ברמת הפרויקט.
  • יוצרים מדיניות חומת אש בין רשתות גלובליות עם הכללים הבאים:
    • לאפשר קישוריות SSH של שרת proxy לאימות זהויות (IAP) למכונות הווירטואליות.
    • מאפשרים תנועה מהמכונה הווירטואלית המורשית של הצרכן למכונה הווירטואלית של היצרן באמצעות קבוצת הכתובות ברמת הפרויקט.
  • בודקים את החיבור.

בתרשים הבא מוצגת תעבורת הנתונים בין מכונות וירטואליות של יצרן וצרכן באזור us-central1, בשתי רשתות VPC בהתאמה אישית. מדיניות גלובלית של חומת אש ברשת משתמשת בכלל של קבוצת כתובות ברמת הפרויקט כדי לאפשר תעבורת נתונים נכנסת בין המכונות הווירטואליות vm-consumer-allowed ו-vm-producer. תעבורת הנתונים בין המכונה הווירטואלית vm-consumer-blocked למכונה הווירטואלית vm-producer נדחית כי לכל מכונה וירטואלית יש כלל משתמע של חומת אש לתעבורת נתונים נכנסת שדוחה את כל תעבורת הנתונים.

מדיניות חומת אש בין רשתות גלובליות שמאפשרת תעבורת נתונים נכנסת (ingress) מתת-רשת למכונה וירטואלית (VM) ברשת VPC אחרת.
מדיניות גלובלית של חומת אש ברשת שמאפשרת תעבורת נתונים נכנסת (ingress) מרשת משנה למכונה וירטואלית (VM) ברשת VPC אחרת (לחצו כדי להגדיל).

לפני שמתחילים

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. מפעילים את Compute Engine API בפרויקט.
  4. מוודאים שיש לכם את התפקיד אדמין של רשת Compute ‏(roles/compute.networkAdmin).
  5. מפעילים את Identity-Aware Proxy API בפרויקט.
  6. אם אתם מעדיפים לעבוד משורת הפקודה, התקינו את Google Cloud CLI. למידע על המושגים וההתקנה של הכלי, קראו את הסקירה הכללית על ה-CLI של gcloud.

    הערה: אם לא הפעלתם בעבר את Google Cloud CLI, אתחלו את ספריית ה-CLI של gcloud באמצעות הפקודה gcloud init.

יצירת רשת VPC של צרכן עם רשתות משנה

בקטע הזה, יוצרים רשת VPC של צרכן עם שתי רשתות משנה של IPv4:‏ subnet-consumer-allowed ו-subnet-consumer-blocked.

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    כניסה לדף VPC networks

  2. לוחצים על Create VPC network.

  3. בשדה Name, מזינים vpc-consumer.

  4. בקטע Subnet creation mode, בוחרים באפשרות Custom.

  5. בקטע New subnet, מציינים את הפרמטרים הבאים להגדרת רשת משנה:

    • שם: subnet-consumer-allowed
    • אזור: us-central1
    • טווח IPv4‏: 192.168.10.0/29

  6. לוחצים על סיום.

  7. לוחצים על Add subnet ומציינים את פרמטרי ההגדרה הבאים:

    • שם: subnet-consumer-blocked
    • אזור: us-central1
    • טווח IPv4‏: 192.168.20.0/29

  8. לוחצים על סיום.

  9. לוחצים על יצירה.

gcloud

  1. מפעילים את Cloud Shell במסוף Google Cloud .

    הפעלת Cloud Shell

  2. כדי ליצור רשת VPC, מריצים את הפקודה הבאה:

    gcloud compute networks create vpc-consumer \
  --subnet-mode=custom

  3. בתיבת הדו-שיח Authorize cloud shell, לוחצים על Authorize.

  4. כדי ליצור רשת משנה, מריצים את הפקודה הבאה:

    gcloud compute networks subnets create subnet-consumer-allowed \
  --network=vpc-consumer \
  --region=us-central1 \
  --range=192.168.10.0/29

  5. כדי ליצור עוד רשת משנה, מריצים את הפקודה הבאה:

    gcloud compute networks subnets create subnet-consumer-blocked \
  --network=vpc-consumer \
  --region=us-central1 \
  --range=192.168.20.0/29

יצירת רשת VPC של ספק עם רשת משנה

בקטע הזה, יוצרים רשת VPC של מפיק עם תת-רשת IPv4.

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    כניסה לדף VPC networks

  2. לוחצים על Create VPC network.

  3. בשדה Name, מזינים vpc-producer.

  4. בקטע Subnet creation mode, בוחרים באפשרות Custom.

  5. בקטע New subnet, מציינים את הפרמטרים הבאים להגדרת רשת משנה:

    • שם: subnet-vpc-producer
    • אזור: us-central1
    • טווח IPv4‏: 172.16.10.0/29

  6. לוחצים על סיום.

  7. לוחצים על יצירה.

gcloud

  1. כדי ליצור רשת VPC, מריצים את הפקודה הבאה:

    gcloud compute networks create vpc-producer \
  --subnet-mode=custom

  2. כדי ליצור את רשת המשנה, מריצים את הפקודה הבאה:

    gcloud compute networks subnets create subnet-vpc-producer \
  --network=vpc-producer \
  --region=us-central1 \
  --range=172.16.10.0/29

יצירת Cloud Router ושער Cloud NAT

כדי לאפשר למכונה הווירטואלית vm-producer לגשת לאינטרנט הציבורי, צריך ליצור Cloud Router ושער Cloud NAT.

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. לוחצים על Get started או על Create Cloud NAT gateway.

  3. בשדה שם השער, מזינים nat-gateway-addressgrp.

  4. בשדה NAT type, בוחרים באפשרות Public.

  5. בקטע Select Cloud Router, מציינים את פרמטרי ההגדרה הבאים:

    • רשת: vpc-producer
    • אזור: us-central1 (lowa)
    • Cloud Router: לוחצים על Create new router.
      1. בשדה Name, מזינים router-addressgrp.
      2. לוחצים על יצירה.

  6. לוחצים על יצירה.

gcloud

  1. כדי ליצור Cloud Router, מריצים את הפקודה הבאה:

    gcloud compute routers create router-addressgrp \
  --network=vpc-producer \
  --region=us-central1

  2. כדי ליצור שער Cloud NAT, מריצים את הפקודה הבאה:

    gcloud compute routers nats create nat-gateway-addressgrp \
  --router=router-addressgrp \
  --region=us-central1 \
  --auto-allocate-nat-external-ips \
  --nat-all-subnet-ip-ranges

יצירת מכונות וירטואליות

בכל רשת משנה של רשת ה-VPC שיצרתם בקטע הקודם, צרו מכונות וירטואליות בלי כתובת IP חיצונית.

יצירת מכונה וירטואלית לרשת ה-VPC המורשית של הצרכן

יוצרים מכונה וירטואלית ברשת המשנה subnet-consumer-allowed.

המסוף

  1. נכנסים לדף Create an instance במסוף Google Cloud .

    כניסה לדף Create an instance

  2. בחלונית Machine configuration:

    1. בשדה Name, מזינים vm-consumer-allowed.
    2. בשדה Region, בוחרים באפשרות us-central1 (Iowa).

  3. בתפריט הניווט, לוחצים על Networking.

    1. בקטע Network interfaces, לוחצים על default ומציינים את הפרמטרים הבאים:
      • רשת: vpc-consumer
      • רשת משנה: subnet-consumer-allowed IPv4 (192.168.10.0/29)
      • כתובת IPv4 חיצונית: None
    2. לוחצים על סיום.

  4. לוחצים על יצירה.

gcloud 

gcloud compute instances create vm-consumer-allowed \
     --network=vpc-consumer \
     --zone=us-central1-a \
     --stack-type=IPV4_ONLY \
     --no-address \
     --subnet=subnet-consumer-allowed

יצירת מכונה וירטואלית לרשת ה-VPC החסומה של הצרכן

בקטע הזה, יוצרים מכונה וירטואלית בתת-הרשת subnet-consumer-blocked.

המסוף

  1. נכנסים לדף Create an instance במסוף Google Cloud .

    כניסה לדף Create an instance

  2. בחלונית Machine configuration:

    1. בשדה Name, מזינים vm-consumer-blocked.
    2. בשדה Region, בוחרים באפשרות us-central1 (Iowa).

  3. בתפריט הניווט, לוחצים על Networking.

    1. בקטע Network interfaces, לוחצים על default ומציינים את הפרמטרים הבאים:
      • רשת: vpc-consumer
      • רשת משנה: subnet-consumer-blocked IPv4 (192.168.20.0/29)
      • כתובת IPv4 חיצונית: None
    2. לוחצים על סיום.

  4. לוחצים על יצירה.

gcloud 

gcloud compute instances create vm-consumer-blocked \
    --network=vpc-consumer \
    --zone=us-central1-a \
    --stack-type=IPV4_ONLY \
    --no-address \
    --subnet=subnet-consumer-blocked

יצירת מכונה וירטואלית לרשת ה-VPC של היצרן

יוצרים מכונה וירטואלית ברשת המשנה subnet-vpc-producer ומתקינים בה שרת Apache.

המסוף

  1. נכנסים לדף Create an instance במסוף Google Cloud .

    כניסה לדף Create an instance

  2. בחלונית Machine configuration:

    1. בשדה Name, מזינים vm-producer.
    2. בשדה Region, בוחרים באפשרות us-central1 (Iowa).

  3. בתפריט הניווט, לוחצים על Networking.

    1. בקטע Network interfaces, לוחצים על default ומציינים את הפרמטרים הבאים:
      • רשת: vpc-producer
      • רשת משנה: subnet-vpc-producer IPv4 (172.16.10.0/29)
    2. לוחצים על סיום.

  4. בתפריט הניווט, לוחצים על Advanced ומזינים את הסקריפט הבא בשדה סקריפט לטעינה בזמן ההפעלה:

      #! /bin/bash
  apt-get update
  apt-get install apache2 -y
  a2ensite default-ssl
  a2enmod ssl
  # Read VM network configuration:
  md_vm="http://169.254.169.254/computeMetadata/v1/instance/"
  vm_hostname="$(curl $md_vm/name -H "Metadata-Flavor:Google" )"
  filter="{print \$NF}"
  vm_network="$(curl $md_vm/network-interfaces/0/network \
  -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
  vm_zone="$(curl $md_vm/zone \
  -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
  # Apache configuration:
  echo "Page on $vm_hostname in network $vm_network zone $vm_zone" | \
  tee /var/www/html/index.html
  systemctl restart apache2

    הסקריפט הקודם פורס ומפעיל שרת אינטרנט של Apache במכונה הווירטואלית הזו.

  5. לוחצים על יצירה.

gcloud

כדי ליצור מכונה וירטואלית של ספק, מריצים את הפקודה הבאה:

  gcloud compute instances create vm-producer \
      --network=vpc-producer \
      --zone=us-central1-a \
      --stack-type=IPV4_ONLY \
      --no-address \
      --subnet=subnet-vpc-producer \
      --image-project=debian-cloud \
      --image-family=debian-10 \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        # Read VM network configuration:
        md_vm="http://169.254.169.254/computeMetadata/v1/instance/"
        vm_hostname="$(curl $md_vm/name -H "Metadata-Flavor:Google" )"
        filter="{print \$NF}"
        vm_network="$(curl $md_vm/network-interfaces/0/network \
        -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
        vm_zone="$(curl $md_vm/zone \
        -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
        # Apache configuration:
        echo "Page on $vm_hostname in network $vm_network zone $vm_zone" | \
        tee /var/www/html/index.html
        systemctl restart apache2'

יצירת חיבור בין רשתות VPC שכנות (peering)

כדי לחבר באופן פרטי את רשתות ה-VPC של vpc-consumer ו-vpc-producer באותו פרויקט, משתמשים ב-VPC Network Peering. קישור בין רשתות VPC שכנות מאפשר קישוריות של כתובות IP פנימיות בין שתי רשתות VPC, גם אם רשתות ה-VPC שייכות לאותו פרויקט או לאותו ארגון.

התאמה של vpc-consumer עם vpc-producer

כדי ליצור קישור בין רשתות VPC שכנות, צריך להגדיר בנפרד את שיוך הקישור לרשתות vpc-consumer ו-vpc-producer.

המסוף

כדי ליצור קישור בין רשתות VPC שכנות (peering) בין הרשתות vpc-consumer ו-vpc-producer:

  1. במסוף Google Cloud , נכנסים לדף קישור בין רשתות שכנות (peering) של רשת VPC.

    מעבר לקישור בין רשתות VPC שכנות (peering)

  2. לוחצים על יצירת חיבור.

  3. לוחצים על Continue.

  4. בשדה Name, מזינים peering-cp.

  5. בקטע רשת VPC, בוחרים באפשרות vpc-consumer.

  6. בקטע VPC network name, בוחרים באפשרות vpc-producer.

  7. לוחצים על יצירה.

gcloud

כדי ליצור קישור בין רשתות VPC שכנות (peering) בין vpc-consumer ל-vpc-producer, מריצים את הפקודה הבאה:

gcloud compute networks peerings create peering-cp \
    --network=vpc-consumer \
    --peer-network=vpc-producer \
    --stack-type=IPV4_ONLY

מגדירים קישור בין רשת vpc-producer לרשת vpc-consumer

המסוף

כדי ליצור קישור בין רשתות VPC שכנות (peering) בין vpc-producer ל-vpc-consumer, מבצעים את הפעולות הבאות:

  1. במסוף Google Cloud , נכנסים לדף קישור בין רשתות שכנות (peering) של רשת VPC.

    מעבר לקישור בין רשתות VPC שכנות (peering)

  2. לוחצים על יצירת חיבור.

  3. לוחצים על Continue.

  4. בשדה Name, מזינים peering-pc.

  5. בקטע רשת VPC, בוחרים באפשרות vpc-producer.

  6. בקטע VPC network name, בוחרים באפשרות vpc-consumer.

  7. לוחצים על יצירה.

gcloud

כדי ליצור קישור בין רשתות VPC שכנות (peering) בין vpc-producer ל-vpc-consumer, מריצים את הפקודה הבאה:

gcloud compute networks peerings create peering-pc \
    --network=vpc-producer \
    --peer-network=vpc-consumer \
    --stack-type=IPV4_ONLY

יצירת מדיניות חומת אש בין רשתות גלובליות כדי להפעיל את IAP

כדי להפעיל את IAP, יוצרים מדיניות חומת אש בין רשתות גלובליות ומוסיפים כלל של חומת אש. באמצעות IAP אפשר לקבל הרשאת אדמין למכונות הווירטואליות.

הכלל של חומת האש כולל את המאפיינים הבאים.

  • תעבורת נתונים נכנסת (ingress) מטווח ה-IP‏ 35.235.240.0/20. הטווח הזה מכיל את כל כתובות ה-IP שמשמשות את IAP להעברת TCP.

  • חיבור לכל היציאות שרוצים שתהיה אליהן גישה באמצעות העברת TCP ב-IAP, למשל יציאה 22 ל-SSH.

המסוף

כדי לאפשר ל-IAP גישה לכל המכונות הווירטואליות ברשתות vpc-consumer ו-vpc-producer:

  1. במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. לוחצים על יצירת מדיניות חומת אש.

  3. בשלב Configure policy, בשדה Policy name מזינים fw-policy-addressgrp.

  4. בקטע Deployment scope, בוחרים באפשרות Global ולוחצים על Continue.

  5. בשלב Add rules, לוחצים על Create firewall rule.

    1. בשדה עדיפות, מזינים 100.
    2. בקטע Source, בשדה IP ranges, מזינים את הערך 35.235.240.0/20.
    3. בקטע Protocols and ports, בוחרים באפשרות Specified protocols and ports.
    4. מסמנים את התיבה TCP, ובשדה Ports מזינים 22.
    5. לוחצים על יצירה.

  6. לוחצים על Continue.

  7. בשלב הוספת כללי שיקוף, לוחצים על המשך.

  8. בשלב שיוך המדיניות לרשתות, לוחצים על שיוך.

  9. בחלונית Associate policy with VPC networks, מסמנים את התיבות של vpc-producer ו-vpc-consumer ולוחצים על Associate.

  10. לוחצים על Continue.

  11. לוחצים על יצירה.

gcloud

כדי לאפשר ל-IAP לגשת למכונות הווירטואליות ברשת vpc-producer, מריצים את הפקודה הבאה:

  1. כדי ליצור מדיניות חומת אש, מריצים את הפקודה הבאה:

    gcloud compute network-firewall-policies create fw-policy-addressgrp \
    --global

  2. כדי ליצור כלל של חומת אש שמאפשר תעבורת נתונים לכל היעדים ומפעיל יומנים, מריצים את הפקודה הבאה:

    gcloud compute network-firewall-policies rules create 100 \
    --firewall-policy=fw-policy-addressgrp \
    --direction=INGRESS \
    --action=ALLOW \
    --layer4-configs=tcp:22 \
    --src-ip-ranges=35.235.240.0/20 \
    --global-firewall-policy

  3. כדי לשייך את מדיניות חומת האש לרשת ה-VPC של הספק, מריצים את הפקודה הבאה:

    gcloud compute network-firewall-policies associations create \
    --firewall-policy=fw-policy-addressgrp \
    --network=vpc-producer \
    --name=pol-association-vpc-producer \
    --global-firewall-policy

  4. כדי לשייך את מדיניות חומת האש לרשת ה-VPC של הצרכן, מריצים את הפקודה הבאה:

    gcloud compute network-firewall-policies associations create \
    --firewall-policy=fw-policy-addressgrp \
    --network=vpc-consumer \
    --name=pol-association-vpc-consumer \
    --global-firewall-policy

יצירת קבוצת כתובות ברמת הפרויקט

יוצרים קבוצת כתובות ברמת הפרויקט שמשתמשת בכתובת ה-IP שהוקצתה לרשת המשנה subnet-consumer-allowed של רשת ה-VPC‏ vpc-consumer.

למידע נוסף על קבוצות כתובות בהיקף הפרויקט, ראו שימוש בקבוצות כתובות במדיניות חומת אש.

המסוף

  1. נכנסים לדף Address groups במסוף Google Cloud .

    מעבר לקבוצות של כתובות

  2. לוחצים על Create Address Group.

  3. בשדה Name, מזינים address-group-pc.

  4. בשדה Scope, בוחרים באפשרות Global.

  5. בשביל Type, בוחרים IPv4.

  6. בשדה קיבולת, מזינים 1000.

  7. בשדה IP Addresses, מזינים את הערך 192.168.10.0/29.

  8. לוחצים על יצירה.

gcloud

  1. אם אתם משתמשים בטרמינל של Cloud Shell בפעם הראשונה, לחצו על alt='' Activate Cloud Shell במסוף Google Cloud .

  2. כדי ליצור קבוצת כתובות, מריצים את הפקודה הבאה:

    gcloud network-security address-groups create address-group-pc \
    --type IPv4 \
    --capacity 1000 \
    --location global

  3. בתיבת הדו-שיח Authorize cloud shell, לוחצים על Authorize.

  4. כדי להוסיף פריט לקבוצת כתובות, מריצים את הפקודה הבאה:

    gcloud network-security address-groups add-items address-group-pc \
    --items 192.168.10.0/29 \
    --location global

    חשוב לזכור שטווח כתובות ה-IP‏ 192.168.10.0/29 מוקצה לרשת המשנה subnet-consumer-allowed של רשת ה-VPC‏ vpc-consumer.

הוספת כלל של חומת אש כדי לאפשר תנועה לקבוצת כתובות

כדי לאפשר חיבורים נכנסים מהמכונה הווירטואלית vm-consumer-allowed, יוצרים כלל של חומת אש שמוסיף את קבוצת הכתובות ברמת הפרויקט address-group-pc ככתובת ה-IP של המקור.

המסוף

  1. במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. בקטע מדיניות חומת אש של הרשת, לוחצים על fw-policy-addressgrp.

  3. לוחצים על Create firewall rule.

  4. בשדה עדיפות, מזינים 150.

  5. בקטע יומנים, בוחרים באפשרות מופעל.

  6. בקטע Source, ברשימה Address group בוחרים באפשרות address-group-pc (PROJECT_ID) ולוחצים על OK.

    זכרו שלקבוצת כתובות ה-IP‏ address-group-pc יש טווח כתובות IP של 192.168.10.0/29, שמוקצה לרשת המשנה subnet-consumer-allowed של רשת ה-VPC של הצרכן.

  7. לוחצים על יצירה.

gcloud

כדי לעדכן את מדיניות חומת האש, מריצים את הפקודה הבאה:

gcloud compute network-firewall-policies rules create 150 \
    --firewall-policy=fw-policy-addressgrp \
    --direction=INGRESS \
    --action=ALLOW \
    --src-address-groups=projects/PROJECT_ID/locations/global/addressGroups/address-group-pc \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

בדיקת החיבור

בודקים את החיבור מה-VM של vm-consumer-allowed ל-VM של vm-producer, ומה-VM של vm-consumer-blocked ל-VM של vm-producer.

בדיקת התנועה מה-VM של vm-consumer-allowed ל-VM של vm-producer

המסוף

  1. נכנסים לדף VM instances במסוף Google Cloud .

    כניסה לדף VM instances

  2. בעמודה Internal IP של המכונה הווירטואלית vm-producer, מעתיקים את כתובת ה-IP הפנימית של המכונה הווירטואלית.

  3. בעמודה Connect של המכונה הווירטואלית vm-consumer-allowed, לוחצים על SSH.

  4. בתיבת הדו-שיח SSH-in-browser, לוחצים על Authorize ומחכים שהחיבור יתבצע.

  5. כדי לאמת את החיבור, מריצים את הפקודה הבאה:

    curl INTERNAL_IP -m 2

    מחליפים את INTERNAL_IP בכתובת ה-IP של המכונה הווירטואלית vm-producer.

    הפלט אמור להיראות כך:

    <!doctype html><html><body><h1>Hello World!</h1></body></html>

  6. סוגרים את תיבת הדו-שיח SSH-in-browser.

gcloud

  1. כדי לראות את כתובת ה-IP הפנימית של ה-VM של vm-producer, מריצים את הפקודה הבאה:

    gcloud compute instances describe vm-producer \
   --zone=us-central1-a \
   --format='get(networkInterfaces[0].networkIP)'

    כשמופיעה הנחיה, לוחצים על n כדי לאשר ואז על Enter. חשוב לשים לב לכתובת ה-IP הפנימית של המכונה הווירטואלית vm-producer.

  2. כדי להתחבר למכונה הווירטואלית vm-consumer-allowed באמצעות SSH, מריצים את הפקודה הבאה:

    gcloud compute ssh vm-consumer-allowed \
   --zone=us-central1-a \
   --tunnel-through-iap

  3. כדי לאמת את החיבור, מריצים את הפקודה הבאה:

    curl INTERNAL_IP -m 2

    מחליפים את INTERNAL_IP בכתובת ה-IP הפנימית של המכונה הווירטואלית vm-producer.

    הודעת התגובה הצפויה תהיה:

    <!doctype html><html><body><h1>Hello World!</h1></body></html>

  4. כדי לצאת מחיבור ה-SSH, מזינים exit.

בדיקת התנועה מה-VM של vm-consumer-blocked ל-VM של vm-producer

המסוף

  1. נכנסים לדף VM instances במסוף Google Cloud .

    כניסה לדף VM instances

  2. בעמודה Internal IP של המכונה הווירטואלית vm-producer, מעתיקים את כתובת ה-IP הפנימית של המכונה הווירטואלית.

  3. בעמודה Connect של המכונה הווירטואלית vm-consumer-blocked, לוחצים על SSH.

  4. בתיבת הדו-שיח SSH-in-browser, לוחצים על Authorize ומחכים שהחיבור יתבצע.

  5. כדי לאמת את החיבור, מריצים את הפקודה הבאה:

    curl INTERNAL_IP -m 2

    מחליפים את INTERNAL_IP בכתובת ה-IP של המכונה הווירטואלית vm-producer.

    ההודעה Connection timed out צפויה, כי כל מכונה וירטואלית יוצרת כלל משתמע של חומת אש לתעבורת נתונים נכנסת שדוחה את כל תעבורת הנתונים. כדי לאפשר תעבורת נתונים, מוסיפים כלל תעבורת נתונים נכנסת למדיניות חומת אש.

  6. סוגרים את תיבת הדו-שיח SSH-in-browser.

gcloud

  1. כדי לראות את כתובת ה-IP הפנימית של ה-VM של vm-producer, מריצים את הפקודה הבאה:

    gcloud compute instances describe vm-producer \
   --zone=us-central1-a \
   --format='get(networkInterfaces[0].networkIP)'

    כשמופיעה הנחיה, לוחצים על n כדי לאשר ואז על Enter. חשוב לשים לב לכתובת ה-IP הפנימית של המכונה הווירטואלית vm-producer.

  2. כדי להתחבר למכונה הווירטואלית vm-consumer-blocked באמצעות SSH, מריצים את הפקודה הבאה:

    gcloud compute ssh vm-consumer-blocked \
   --zone=us-central1-a \
   --tunnel-through-iap

  3. כדי לאמת את החיבור, מריצים את הפקודה הבאה:

    curl INTERNAL_IP -m 2

    מחליפים את INTERNAL_IP בכתובת ה-IP הפנימית של המכונה הווירטואלית vm-producer.

    ההודעה Connection timed out צפויה, כי כל מכונה וירטואלית יוצרת כלל משתמע של חומת אש לתעבורת נתונים נכנסת שדוחה את כל תעבורת הנתונים. כדי לאפשר תנועה, מוסיפים כלל תעבורת נתונים נכנסת למדיניות חומת האש.

  4. כדי לצאת מחיבור ה-SSH, מזינים exit.

צפייה ביומנים

כדי לוודא שכללי חומת האש של קבוצת הכתובות הוחלו על תעבורת הנתונים הנכנסת, נכנסים ליומנים. כדי לראות את פרטי היומן, פועלים לפי השלבים הבאים:

  1. במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. בקטע מדיניות חומת אש של רשת, לוחצים על השם של fw-policy-addressgrp.

  3. בעמודה Hit count, בוחרים את המספר של הכלל שיצרתם בשלב הוספת כלל לחומת האש כדי לאפשר תנועה לקבוצת כתובות. הדף Logs Explorer ייפתח.

  4. כדי לראות את הכלל של חומת האש שחל על תעבורת הנתונים הנכנסת, מרחיבים את היומן הספציפי. אתם יכולים לראות את פרטי הכלל, את ההחלטה ואת פרטי המופע.

הסרת המשאבים

כדי להימנע מחיובים בחשבון Google Cloud בגלל השימוש במשאבים שנעשה במסגרת המדריך הזה, אפשר למחוק את הפרויקט שמכיל את המשאבים, או להשאיר את הפרויקט ולמחוק את המשאבים הנפרדים.

כדי למחוק את המשאבים שנוצרו במדריך הזה, מבצעים את הפעולות הבאות.

מחיקה של קבוצת כתובות

המסוף

  1. במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. בקטע מדיניות חומת אש של רשת, לוחצים על fw-policy-addressgrp.

  3. בקטע Firewall rules, מסמנים את התיבה של כלל חומת האש 150.

  4. לוחצים על מחיקה.

  5. נכנסים לדף Address groups במסוף Google Cloud .

    מעבר לקבוצות של כתובות

  6. בקטע קבוצות של כתובות, מסמנים את התיבה לצד address-group-pc.

  7. לוחצים על Delete ואז שוב על Delete כדי לאשר.

gcloud

  1. כדי למחוק את כלל חומת האש שמשויך לקבוצת כתובות ה-IP של address-group-pc, מריצים את הפקודה הבאה:

    gcloud compute network-firewall-policies rules delete 150 \
    --firewall-policy fw-policy-addressgrp \
    --global-firewall-policy

  2. כדי להסיר פריט קיים מקבוצת כתובות, מריצים את הפקודה הבאה:

    gcloud network-security address-groups remove-items address-group-pc \
    --items 192.168.10.0/29 \
    --location global

  3. כדי למחוק קבוצה של כתובות IP, מריצים את הפקודה הבאה:

    gcloud network-security address-groups delete address-group-pc \
    --location global

    כשמופיעה הנחיה, מקישים על Y כדי לאשר ואז על Enter.

מחיקת מדיניות חומת האש

המסוף

  1. במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. בקטע מדיניות חומת אש של רשת, לוחצים על השם fw-policy-addressgrp.

  3. לוחצים על הכרטיסייה שיוכים.

  4. מסמנים את התיבה של המכונה הווירטואלית vpc-producer ושל המכונה הווירטואלית vpc-consumer, ולוחצים על Remove association.

  5. בתיבת הדו-שיח הסרת שיוך מדיניות חומת אש, לוחצים על הסרה.

  6. לצד השם של fw-policy-addressgrp, לוחצים על מחיקה.

  7. בתיבת הדו-שיח Delete a firewall policy, לוחצים על Delete.

gcloud

  1. מסירים את השיוך בין מדיניות חומת האש לבין רשת ה-VPC של הספק.

    gcloud compute network-firewall-policies associations delete \
  --name=pol-association-vpc-producer \
  --firewall-policy=fw-policy-addressgrp \
  --global-firewall-policy

  2. מסירים את השיוך בין מדיניות חומת האש לבין רשת ה-VPC של הצרכן.

    gcloud compute network-firewall-policies associations delete \
  --name=pol-association-vpc-consumer \
  --firewall-policy=fw-policy-addressgrp \
  --global-firewall-policy

  3. מוחקים את מדיניות חומת האש.

    gcloud compute network-firewall-policies delete fw-policy-addressgrp \
    --global

מחיקת קישור בין רשתות VPC שכנות (peering)

המסוף

  1. במסוף Google Cloud , נכנסים לדף קישור בין רשתות שכנות (peering) של רשת VPC.

    מעבר לקישור בין רשתות VPC שכנות (peering)

  2. מסמנים את התיבות peering-cp ו-peering-pc.

  3. לוחצים על Delete.

  4. בתיבת הדו-שיח Delete 2 peerings?‎ לוחצים על Delete.

gcloud

  1. כדי למחוק את הקישור בין רשת ה-VPC של הצרכן לבין רשת ה-VPC של היצרן, מריצים את הפקודה הבאה:

    gcloud compute networks peerings delete peering-cp \
    --network=vpc-consumer

  2. כדי למחוק את קישור ה-VPC בין רשת ה-VPC של הספק לבין רשת ה-VPC של הצרכן , מריצים את הפקודה הבאה:

    gcloud compute networks peerings delete peering-pc \
    --network=vpc-producer

מחיקת השער של Cloud NAT ו-Cloud Router

המסוף

  1. נכנסים לדף Cloud routers במסוף Google Cloud .

    כניסה לדף Cloud routers

  2. מסמנים את התיבה router-addressgrp.

  3. לוחצים על Delete.

  4. בתיבת הדו-שיח Delete router-addressgrp, לוחצים על Delete.

כשמוחקים Cloud Router, גם שער Cloud NAT שמשויך אליו נמחק.

gcloud

כדי למחוק את Cloud Router router-addressgrp, מריצים את הפקודה הבאה:

gcloud compute routers delete router-addressgrp \
    --region=us-central1

כשמופיעה הנחיה, מקישים על Y כדי לאשר ואז על Enter.

כשמוחקים Cloud Router, גם שער Cloud NAT שמשויך אליו נמחק.

מחיקת המכונות הווירטואליות

המסוף

  1. נכנסים לדף VM instances במסוף Google Cloud .

    כניסה לדף VM instances

  2. מסמנים את התיבות של המכונות הווירטואליות vm-consumer-allowed,‏ vm-consumer-blocked ו-vm-producer.

  3. לוחצים על Delete.

  4. בתיבת הדו-שיח Delete 3 instances?‎, לוחצים על Delete.

gcloud

  1. כדי למחוק את כל המכונות הווירטואליות, מריצים את הפקודה הבאה:

    gcloud compute instances delete vm-consumer-allowed vm-consumer-blocked vm-producer \
    --zone=us-central1-a

    כשמופיעה הנחיה, מקישים על Y כדי לאשר ואז על Enter.

מחיקה של רשת ה-VPC של הצרכן ורשתות המשנה שלה

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    כניסה לדף VPC networks

  2. בעמודה שם, לוחצים על vpc-consumer.

  3. לוחצים על Delete VPC network.

  4. בתיבת הדו-שיח Delete a network, לוחצים על Delete.

כשמוחקים VPC, גם רשתות המשנה שלו נמחקות.

gcloud

  1. כדי למחוק את תת-הרשתות של רשת ה-VPC‏ vpc-consumer, מריצים את הפקודה הבאה:

    gcloud compute networks subnets delete subnet-consumer-allowed subnet-consumer-blocked \
   --region=us-central1

    כשמופיעה הנחיה, מקישים על Y כדי לאשר ואז על Enter.

  2. כדי למחוק את רשת ה-VPC שנקראת vpc-consumer, מריצים את הפקודה הבאה:

    gcloud compute networks delete vpc-consumer

    כשמופיעה הנחיה, מקישים על Y כדי לאשר ואז על Enter.

מחיקת רשת ה-VPC של היצרן ורשת המשנה שלה

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    כניסה לדף VPC networks

  2. בעמודה שם, לוחצים על vpc-producer.

  3. לוחצים על Delete VPC network.

  4. בתיבת הדו-שיח Delete a network, לוחצים על Delete.

כשמוחקים VPC, גם רשתות המשנה שלו נמחקות.

gcloud

  1. כדי למחוק את רשת המשנה של רשת ה-VPC של vpc-producer, מריצים את הפקודה הבאה:

    gcloud compute networks subnets delete subnet-vpc-producer \
   --region=us-central1

    כשמופיעה הנחיה, מקישים על Y כדי לאשר ואז על Enter.

  2. כדי למחוק את רשת ה-VPC שנקראת vpc-producer, מריצים את הפקודה הבאה:

    gcloud compute networks delete vpc-producer

    כשמופיעה הנחיה, מקישים על Y כדי לאשר ואז על Enter.

המאמרים הבאים