מעבדה מעשית — PCNE Google Cloud Professional Cloud Network Engineer

סקירה כללית

דרישות קדם

שלבים

1. 1.ספק, שירותי פרויקט, שמות

   הפעל את ממשקי ה-API של Compute, DNS ו-Logging.

   העתק

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-pcne"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "compute" {
     service            = "compute.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "dns" {
     service            = "dns.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "logging" {
     service            = "logging.googleapis.com"
     disable_on_destroy = false
   }

2. 2.הפעל מצב פרויקט מארח של Shared VPC + יצירת תת-רשת אזורית

   משאבים:

   • VPC
   • Shared VPC

   Shared VPC הוא תבנית הרשת הרב-פרויקטים הקאנונית של PCNE — פרויקט מארח אחד מחזיק ב-VPC, מספר פרויקטי שירות צורכים אותו באמצעות חיבורים. עומסי עבודה בפרויקטי שירות מקבלים כתובות IP מתת-הרשתות של ה-VPC המארח מבלי שהפרויקט המארח יהיה הבעלים של משאבי שכבת העבודה. בחינת PCNE בודקת את ההפרדה הזו של מארח מול שירות כתבנית קנה מידה נושאת עומס.

   אנו מפעילים מצב פרויקט מארח בפרויקט הנוכחי (google_compute_shared_vpc_host_project), ולאחר מכן יוצרים תת-רשת /20 עם Private Google Access מופעל (המאפשר ל-VMs ללא כתובות IP חיצוניות להגיע ל-*.googleapis.com) וVPC Flow Logs מופעלים.

   העתק

   data "google_project" "current" {}
   
   resource "google_compute_shared_vpc_host_project" "host" {
     project = data.google_project.current.project_id
   
     depends_on = [google_project_service.compute]
   }
   
   resource "google_compute_network" "main" {
     name                    = "certlabpro-pcne-vpc"
     auto_create_subnetworks = false
     routing_mode            = "REGIONAL"
   
     depends_on = [google_project_service.compute]
   }
   
   resource "google_compute_subnetwork" "main" {
     name                     = "certlabpro-pcne-subnet"
     ip_cidr_range            = "10.10.0.0/20"
     region                   = "us-central1"
     network                  = google_compute_network.main.id
     private_ip_google_access = true
   
     log_config {
       aggregation_interval = "INTERVAL_5_SEC"
       flow_sampling        = 0.5
       metadata             = "INCLUDE_ALL_METADATA"
     }
   }

3. 3.הוסף Cloud Router + Cloud NAT ליציאה בלבד

   משאבים:

   • Cloud NAT
   • Cloud Router

   Cloud NAT מעניק לתת-רשתות גישת אינטרנט יוצאת ללא כתובות IP חיצוניות לכל VM — תבנית היציאה הקאנונית של PCNE פרטי כברירת מחדל. התצורה: Cloud Router הוא הפרימיטיב של שכבת הבקרה של BGP (בשימוש על ידי NAT, VPN, Interconnect); Cloud NAT מתחבר אליו ומספק את שכבת הנתונים.

   אנו מפעילים NAT עם הקצאת IP של NAT מסוג AUTO_ONLY (גוגל בוחרת את הכתובות; פריסות בייצור מקבעות כתובות IP שמורות ספציפיות לרשימות היתרים של חומת אש קדמית). רישום יומן לשגיאות בלבד — מצב רישום יומן מלא מייצר נפח ניכר של Cloud Logging.

   העתק

   resource "google_compute_router" "nat_router" {
     name    = "certlabpro-pcne-router"
     region  = "us-central1"
     network = google_compute_network.main.id
   }
   
   resource "google_compute_router_nat" "nat" {
     name                               = "certlabpro-pcne-nat"
     router                             = google_compute_router.nat_router.name
     region                             = "us-central1"
     nat_ip_allocate_option             = "AUTO_ONLY"
     source_subnetwork_ip_ranges_to_nat = "LIST_OF_SUBNETWORKS"
   
     subnetwork {
       name                    = google_compute_subnetwork.main.id
       source_ip_ranges_to_nat = ["ALL_IP_RANGES"]
     }
   
     log_config {
       enable = true
       filter = "ERRORS_ONLY"
     }
   }

4. 4.הוסף שני כללי חומת אש (פנימי + IAP SSH)

   משאבים:

   • VPC

   תצורת חומת האש המומלצת ב-PCNE: מניעת כניסה כברירת מחדל (ברירת המחדל של GCP), אפשור רק מה שנחוץ. אנו מוסיפים אישור פנימי לכל (כל TCP / UDP / ICMP בין VMs בתת-הרשת) + אישור IAP SSH (TCP/22 מטווח שער ה-IAP של גוגל, כך ש-VMs ללא כתובות IP ציבוריות עדיין נגישים באמצעות SSH דרך gcloud compute ssh --tunnel-through-iap).

   זוהי אותה תבנית של שני כללים כמו במעבדת ACE — PCNE מעמיק אותה עם מדיניות חומת אש בהיקף ארגוני / תיקיות (חומות אש היררכיות המשתלבות עם כללים ברמת הפרויקט; מחוץ לתחום כאן).

   העתק

   resource "google_compute_firewall" "allow_internal" {
     name      = "certlabpro-pcne-allow-internal"
     network   = google_compute_network.main.name
     direction = "INGRESS"
   
     source_ranges = ["10.10.0.0/20"]
   
     allow {
       protocol = "tcp"
     }
     allow {
       protocol = "udp"
     }
     allow {
       protocol = "icmp"
     }
   }
   
   resource "google_compute_firewall" "allow_iap_ssh" {
     name      = "certlabpro-pcne-allow-iap-ssh"
     network   = google_compute_network.main.name
     direction = "INGRESS"
   
     source_ranges = ["35.235.240.0/20"]
   
     allow {
       protocol = "tcp"
       ports    = ["22"]
     }
   }

5. 5.צור אזור פרטי של Cloud DNS לרזולוציית שמות פנימית

   משאבים:

   • Cloud DNS

   תבנית קאנונית של PCNE: שמות מארחים פנימיים נפתרים באמצעות אזור פרטי של Cloud DNS המצורף ל-VPC. VMs ב-VPC רואים את רשומות האזור הזה; VMs מחוץ ל-VPC אינם רואים אותם. מקרה שימוש: שמות מארחים יציבים וקריאים לבני אדם עבור שירותים (api.internal.acme.com, db.internal.acme.com) הנפתרים לכתובת ה-IP הפרטית של ה-VM.

   אנו יוצרים את האזור internal.acme.com + רשומת A לדוגמה אחת. פריסות בייצור לרוב משלבות זאת עם העברת DNS של Cloud DNS עבור הגדרות היברידיות (שאילתות DNS מקומיות מועברות לאזור הענן, ולהיפך באמצעות מדיניות שרת נכנסת). עם חמשת אבני הבניין במקומן (provider+APIs, Shared VPC + תת-רשת + יומני זרימה, Cloud NAT, חומות אש, אזור פרטי של Cloud DNS), תשתית ה-PCNE מושלמת.

   העתק

   resource "google_dns_managed_zone" "internal" {
     name        = "certlabpro-pcne-internal"
     dns_name    = "internal.acme.com."
     description = "PCNE lab private DNS zone"
     visibility  = "private"
   
     private_visibility_config {
       networks {
         network_url = google_compute_network.main.id
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.dns]
   }
   
   resource "google_dns_record_set" "api_example" {
     managed_zone = google_dns_managed_zone.internal.name
     name         = "api.${google_dns_managed_zone.internal.dns_name}"
     type         = "A"
     ttl          = 300
     rrdatas      = ["10.10.0.10"]
   }

ניקוי משאבים