将 Gcloud vpn 与 Kubernetes 一起使用时的访问限制

Question

这是我关于 Stack Overflow 的第一个问题：

我们正在使用 Gcloud Kubernetes。

一位客户特别请求 VPN 隧道来抓取我们集群中的单个服务（我知道 ingress 会更适合这个）。

由于 VPN 是基于 IP 的，而 Kubernetes 改变了这些，我只能将 VPN 配置到整个 IP 范围的服务。

如果我这样做，我担心客户将获得对所有服务的完全访问权限。

我已经搜索了几天关于如何处理传入的 VPN 流量，但没有找到任何东西。

如何限制访问？或者它是否受到限制，我需要 netpols 来解除限制？

据我所知，传入的 VPN 流量可以在服务本身或入口处终止。不过，在入口处终止可能会更好。

我希望这不会太令人困惑，提前非常感谢您

Answer 1

正如您所提到的，外部负载均衡器将是您提到的理想选择，但如果您必须使用 GCP Cloud VPN，那么您可以使用 GCP Firewall rules 和GKE 内部 LB HTTP 或 TCP。

一般来说，类似this。

其次，我们需要向我们创建的专用网络（project-a-network 和 project-b-network）添加两个防火墙规则。转到 Networking-> Networks 并单击 project-[a|b]-network。点击“添加防火墙规则”。我们创建的第一条规则允许来自公众的 SSH 流量，以便我们可以通过 SSH 访问我们刚刚创建的实例。第二条规则允许两个网络之间的 icmp 流量（ping 使用 icmp 协议）。