Проблема с контролем сервисов VPC

Вопрос или проблема

Я хочу создать границу для проекта, используя VPC Service Controls, и разрешить подключения только с конкретных IP-адресов. Ниже представлена конфигурация VPC Service Controls


Название периметра: тест

Тип периметра: Регулярный

Защищаемые ресурсы: secure-*****（Название проекта）

Ограниченные службы: Все API-сервисы

Доступные службы VPC: Все разрешенные службы

Уровни доступа: Нет уровней доступа

Политика входящего трафика:

  Правило входящего трафика 1

    Из:

      Идентификаторы: ANY_IDENTITY

      Источник > Уровни доступа = vpn_ips

    В:

      Проекты = Все проекты

      Службы = Все службы

Политика исходящего трафика: Нет политики исходящего трафика

vpn_ips указывает IP-адрес с маской подсети 32. Однако, я не могу получить доступ к проекту secure-*****. Я уверен, что IP-адрес отправляется из настроенного источника.

Я подтвердил, что установка Source > Access levels = vpn_ips в Source > Все источники разрешены позволяет получить доступ.

Кроме того, я подтвердил, что проблема была решена, но даже после повторной настройки доступ все еще был невозможен. Может быть, что-то не так с конфигурацией?

Ниже приведены детали конфигурации для Access Context Manager и снимок журнала аудита. Похоже, что IP-адреса были правильно настроены.

Access Context Manager:
введите описание изображения здесь

Журнал аудита:
введите описание изображения здесь

Я попытался установить уровень доступа для входящего трафика VPC Service Controls по географическим местоположениям, но все равно не мог получить доступ. Похоже, что эта проблема возникает между VPC Service Controls и Access Context Manager.

Я смог решить это с помощью информации здесь.

Ответ или решение

Проблема, с которой вы столкнулись в конфигурации VPC Service Controls, вероятно, связана с несколькими аспектами настройки доступа и обеспечения безопасности. Вот детальный анализ вашей конфигурации и возможные причины неполадок.

Проверка Access Level: Вы упомянули, что используете Source > Access levels = vpn_ips, но при этом указали, что ваша доступная IP-адресация проходит через Access Context Manager. Убедитесь, что действительно создан уровень доступа с названием vpn_ips, и что он правильно настроен на разрешение доступа именно с указанного IP-адреса.
Атрибуты Идентификации: В вашей настройке указано Identities: ANY_IDENTITY. Это подразумевает, что доступ может получить любой идентификатор. Однако, если в вашем Access Level нет корректных условий, это может привести к блокировке. Попробуйте изменить этот параметр на более специфичный, указывающий на конкретные идентификаторы или группы, которые должны иметь доступ.
Проверка IP-адреса: Убедитесь, что у вас правильный формат записи IP-адреса в vpn_ips, и что он действительно соответствует IP-адресу, с которого вы пытаетесь установить соединение. Проверка должна включать правильность маски подсети.
Логи и Отладка: Изучите логи аудита, чтобы определить конкретные ошибки доступа, так как они могут указать на более детальные причины, по которым доступ заблокирован. Особенно обратите внимание на сообщения о неудачных попытках доступа, которые могут помочь идентифицировать проблему.
Сторонние Объекты: Если у вас сохранены какие-либо ненужные объекты (например, старыми уровнями доступа или другими правилами), удалите их, чтобы избежать конфликтов.
Изменение Политики Egress: Хотя вы не указали политику egress, в некоторых случаях её настройка может повлиять на общую безопасность проектной среды. Рассмотрите возможность настроить и политику egress, чтобы гарантировать, что она в дальнейшем не мешает вашему соединению.
Тестирование: Попробуйте протестировать доступ с других IP-адресов (включая локальные и VPN-адреса) для проверки, действительно ли проблема только в указанных IP-адресах.

Если после всех этих действий доступ всё еще заблокирован, возможно, стоит обратиться к поддержке Google Cloud, предоставив им всю вашу конфигурацию и информацию о проблеме для более детального анализа.

Если вам удалось решить проблему с использованием информации из указанного вами источника, это существенно упростило бы вашу настройку. Однако, если ситуация повторится, проводите дальнейший аудит всех настроек безопасности и доступа.