Présentation

Dans cet atelier, vous allez implémenter l'accès privé à Google, puis Cloud NAT pour une instance de VM sans adresse IP externe. Vous vérifierez ensuite l'accès aux adresses IP publiques des API et des services Google ainsi que d'autres connexions à Internet.

Les instances de VM sans adresses IP externes sont isolées des réseaux externes. Avec Cloud NAT, ces instances peuvent accéder à Internet pour télécharger des mises à jour et des correctifs et, dans certains cas, effectuer un amorçage. En tant que service géré, Cloud NAT offre une haute disponibilité sans gestion ni intervention des utilisateurs.

Objectifs

Dans cet atelier, vous allez apprendre à effectuer les tâches suivantes :

• Configurer une instance de VM sans adresse IP externe
• Vous connecter à une instance de VM à l'aide d'un tunnel Identity-Aware Proxy (IAP)
• Activer l'accès privé à Google sur un sous-réseau
• Configurer une passerelle Cloud NAT
• Vérifier l'accès aux adresses IP publiques des API et services Google et d'autres connexions à Internet

Préparation

Pour chaque atelier, nous vous attribuons un nouveau projet Google Cloud et un nouvel ensemble de ressources pour une durée déterminée, sans frais.

1. Cliquez sur le bouton Démarrer l'atelier. Si l'atelier est payant, un pop-up s'affiche pour vous permettre de sélectionner un mode de paiement. Sur la gauche, vous trouverez le panneau Détails concernant l'atelier, qui contient les éléments suivants :

   • Le bouton Ouvrir la console Google Cloud
   • Le temps restant
   • Les identifiants temporaires que vous devez utiliser pour cet atelier
   • Des informations complémentaires vous permettant d'effectuer l'atelier

2. Cliquez sur Ouvrir la console Google Cloud (ou effectuez un clic droit et sélectionnez Ouvrir le lien dans la fenêtre de navigation privée si vous utilisez le navigateur Chrome).

   L'atelier lance les ressources, puis ouvre la page Se connecter dans un nouvel onglet.

   Conseil : Réorganisez les onglets dans des fenêtres distinctes, placées côte à côte.

   Remarque : Si la boîte de dialogue Sélectionner un compte s'affiche, cliquez sur Utiliser un autre compte.

3. Si nécessaire, copiez le nom d'utilisateur ci-dessous et collez-le dans la boîte de dialogue Se connecter.

   {{{user_0.username | "Username"}}}

   Vous trouverez également le nom d'utilisateur dans le panneau Détails concernant l'atelier.

4. Cliquez sur Suivant.

5. Copiez le mot de passe ci-dessous et collez-le dans la boîte de dialogue Bienvenue.

   {{{user_0.password | "Password"}}}

   Vous trouverez également le mot de passe dans le panneau Détails concernant l'atelier.

6. Cliquez sur Suivant.

   Important : Vous devez utiliser les identifiants fournis pour l'atelier. Ne saisissez pas ceux de votre compte Google Cloud. Remarque : Si vous utilisez votre propre compte Google Cloud pour cet atelier, des frais supplémentaires peuvent vous être facturés.

7. Accédez aux pages suivantes :

   • Acceptez les conditions d'utilisation.
   • N'ajoutez pas d'options de récupération ni d'authentification à deux facteurs (ce compte est temporaire).
   • Ne vous inscrivez pas à des essais sans frais.

Après quelques instants, la console Cloud s'ouvre dans cet onglet.

Remarque : Pour afficher un menu contenant la liste des produits et services Google Cloud, cliquez sur le menu de navigation en haut à gauche, ou saisissez le nom du service ou du produit dans le champ Recherche.

Tâche 1 : Créer l'instance de VM

Créez un réseau VPC avec des règles de pare-feu et une instance de VM sans adresse IP externe, et connectez-vous à l'instance à l'aide d'un tunnel IAP.

Créer un réseau VPC et des règles de pare-feu

Tout d'abord, créez un réseau VPC pour l'instance de VM et une règle de pare-feu pour autoriser l'accès SSH.

1. Dans la console Google Cloud, accédez au menu de navigation (), et cliquez sur Réseau VPC > Réseaux VPC.

2. Cliquez sur Créer un réseau VPC.

3. Dans le champ Nom, saisissez privatenet.

4. Dans le champ Mode de création du sous-réseau, cliquez sur Personnalisé.

5. Dans la section Nouveau sous-réseau, spécifiez les paramètres suivants et conservez les valeurs par défaut des autres paramètres :

   Propriété	Valeur (saisissez la valeur ou sélectionnez l'option spécifiée)
   Nom	privatenet-us
   Région
   Plage d'adresses IPv4	10.130.0.0/20

Remarque : N'activez pas l'accès privé à Google pour le moment.

6. Cliquez sur OK.

7. Cliquez sur Créer, puis attendez que le réseau soit créé.

8. Dans le volet de gauche, cliquez sur Pare-feu.

9. Cliquez sur Créer une règle de pare-feu.

10. Spécifiez les paramètres suivants et conservez les valeurs par défaut des autres paramètres :

    Propriété	Valeur (saisissez la valeur ou sélectionnez l'option spécifiée)
    Nom	privatenet-allow-ssh
    Réseau	privatenet
    Cibles	Toutes les instances du réseau
    Filtre source	Plages IPv4
    Plages IPv4 sources	35.235.240.0/20
    Protocoles et ports	Protocoles et ports spécifiés

11. Cochez la case tcp et spécifiez le port 22.

12. Cliquez sur Créer.

Remarque : Pour vous connecter à votre instance privée via SSH, vous devez ouvrir un port adéquat sur le pare-feu. Les connexions IAP provenant toutes d'un ensemble spécifique d'adresses IP (35.235.240.0/20), vous pouvez limiter la règle à cette plage CIDR.

Créer l'instance de VM sans adresse IP publique

1. Dans la console Google Cloud, accédez au menu de navigation (), puis cliquez sur Compute Engine > Instances de VM.

2. Cliquez sur Créer une instance.

3. Sur la page Configuration de la machine, spécifiez les paramètres suivants et conservez les valeurs par défaut des autres paramètres :

   Propriété	Valeur (saisissez la valeur ou sélectionnez l'option spécifiée)
   Nom	vm-internal
   Région
   Zone
   Série	E2
   Type de machine	e2-medium (2 vCPU, 1 cœur, 4 Go de mémoire)

4. Cliquez sur OS et stockage.

5. Si l'image affichée n'est pas Debian GNU/Linux 12 (bookworm), cliquez sur Modifier, sélectionnez Debian GNU/Linux 12 (bookworm), puis cliquez sur Sélectionner.

6. Cliquez sur Mise en réseau.

7. Dans Interfaces réseau, modifiez l'interface réseau en spécifiant les paramètres suivants :

   Propriété	Valeur (saisissez la valeur ou sélectionnez l'option spécifiée)
   Réseau	privatenet
   Sous-réseau	privatenet-us
   Adresse IPv4 externe	Aucune

Remarque : Une instance de VM dispose par défaut d'une adresse IP externe éphémère. Il est possible de modifier ce comportement avec une contrainte de règle au niveau de l'organisation ou du projet. Pour en savoir plus sur le contrôle des adresses IP externes sur des instances de VM, consultez la documentation sur les adresses IP externes.

8. Cliquez sur OK.
9. Cliquez sur Créer, puis attendez que l'instance de VM soit créée.
10. Sur la page Instances de VM, vérifiez que le champ Adresse IP externe de vm-internal indique Aucune.

Cliquez sur Vérifier ma progression pour valider l'objectif. Créer l'instance de VM

Se connecter en SSH à vm-internal pour tester le tunnel IAP

1. Dans la console Cloud, cliquez sur Activer Cloud Shell ().

2. Cliquez sur Continuer si vous y êtes invité.

3. Exécutez la commande suivante dans Cloud Shell pour configurer l'authentification sans ouvrir de navigateur.

   gcloud auth login --no-launch-browser

   Si vous y êtes invité [Y/n] (Oui/Non), appuyez sur Y (Oui), puis sur Entrée.

   Vous obtenez alors un lien à ouvrir dans votre navigateur. Ouvrez-le dans le même navigateur que celui où vous êtes connecté à votre compte Qwiklabs. Une fois connecté, copiez le code de validation qui s'affiche. Collez-le ensuite dans Cloud Shell.

4. Pour vous connecter à vm-internal, exécutez la commande suivante :

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

5. Cliquez sur Autoriser si vous y êtes invité.
6. Si vous êtes invité à poursuivre, saisissez Y.
7. Lorsque vous êtes invité à saisir une phrase secrète, appuyez sur ENTRÉE.
8. Lorsque vous êtes invité à saisir la même phrase secrète, appuyez sur ENTRÉE.

9. Pour tester la connectivité externe de vm-internal, exécutez la commande suivante :

ping -c 2 www.google.com

Cela ne devrait pas fonctionner, puisque vm-internal n'a aucune adresse IP externe.

10. Attendez que l'exécution de la commande ping soit terminée.
11. Pour revenir à votre instance Cloud Shell, exécutez la commande suivante :

exit Remarque : Lorsque les instances n'ont pas d'adresses IP externes, elles ne sont accessibles que par le biais d'autres instances du réseau via une passerelle VPN gérée ou un tunnel Cloud IAP. Cloud IAP permet l'accès contextuel aux VM via SSH et RDP sans hôtes bastion. Pour en savoir plus, consultez l'article de blog Cloud IAP permet l'accès contextuel aux VM via SSH et RDP sans hôtes bastion.

Tâche 2 : Activer l'accès privé à Google

Les instances de VM sans adresses IP externes peuvent utiliser l'accès privé à Google pour accéder aux adresses IP externes des API et services Google. L'accès privé à Google est désactivé par défaut sur les réseaux VPC.

Créer un bucket Cloud Storage

Créez un bucket Cloud Storage pour tester l'accès aux API et aux services Google.

1. Dans la console Google Cloud, accédez au menu de navigation () et cliquez sur Cloud Storage > Buckets.

2. Cliquez sur Créer.

3. Spécifiez les paramètres suivants et conservez les valeurs par défaut des autres paramètres :

   Propriété	Valeur (saisissez la valeur ou sélectionnez l'option spécifiée)
   Nom	Saisissez un nom unique
   Type d'emplacement	Multirégional

4. Cliquez sur Créer. Si vous êtes invité à activer la protection contre l'accès public, vérifiez que la case correspondante est cochée, puis cliquez sur Confirmer. Notez le nom de votre bucket de stockage.

5. Stockez le nom de votre bucket dans une variable d'environnement :

export MY_BUCKET=[saisissez le nom de votre bucket ici]

6. Effectuez une vérification à l'aide de la commande "echo" :

echo $MY_BUCKET

Copier un fichier image dans votre bucket

Copiez une image provenant d'un bucket Cloud Storage public dans votre propre bucket.

1. Dans Cloud Shell, exécutez la commande suivante :

gcloud storage cp gs://cloud-training/gcpnet/private/access.svg gs://$MY_BUCKET

2. Dans la console Cloud, cliquez sur le nom de votre bucket pour vérifier que l'image a été copiée.

Vous pouvez cliquer sur le nom de l'image dans la console Cloud pour voir comment l'accès privé à Google peut être implémenté.

Accéder à l'image à partir de votre instance de VM

1. Dans Cloud Shell, pour essayer de copier l'image depuis votre bucket, exécutez la commande suivante :

gcloud storage cp gs://$MY_BUCKET/*.svg .

Cela devrait fonctionner, puisque Cloud Shell a une adresse IP externe.

2. Pour vous connecter à vm-internal, exécutez la commande suivante :

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

3. Si vous y êtes invité, saisissez Y pour continuer.

4. Stockez le nom de votre bucket dans une variable d'environnement :

export MY_BUCKET=[saisissez le nom de votre bucket ici]

5. Effectuez une vérification à l'aide de la commande "echo" :

echo $MY_BUCKET

6. Essayez de copier l'image dans vm-internal, puis exécutez la commande suivante :

gcloud storage cp gs://$MY_BUCKET/*.svg .

Cela ne devrait pas fonctionner : vm-internal ne peut envoyer du trafic qu'au sein du réseau VPC, car l'accès privé à Google est désactivé (par défaut).

7. Appuyez sur les touches CTRL+Z pour arrêter la requête.

Activer l'accès privé à Google

L'accès privé à Google est activé au niveau du sous-réseau. Lorsque cet accès est activé, les instances du sous-réseau qui ne possèdent que des adresses IP privées peuvent envoyer du trafic vers les API et les services Google via la route par défaut (0.0.0.0/0) avec un saut suivant réglé sur la passerelle Internet par défaut.

1. Dans la console Cloud, accédez au menu de navigation (), puis cliquez sur Réseau VPC > Réseaux VPC.
2. Cliquez sur privatenet pour ouvrir le réseau.
3. Cliquez sur Sous-réseaux, puis sur privatenet-us.
4. Cliquez sur Modifier.
5. Dans la section Accès privé à Google, sélectionnez Activé.
6. Cliquez sur Enregistrer.

Cliquez sur Vérifier ma progression pour valider l'objectif. Créer un bucket Cloud Storage et activer l'accès privé à Google

Remarque : Pour activer l'accès privé à Google, il suffit de sélectionner Activé dans le sous-réseau.

7. Dans Cloud Shell, dans la section vm-internal, exécutez la commande suivante pour essayer de copier l'image dans vm-internal :

gcloud storage cp gs://$MY_BUCKET/*.svg .

Cela devrait fonctionner, puisque l'accès privé à Google est activé pour le sous-réseau vm-internal.

8. Pour revenir à votre instance Cloud Shell, exécutez la commande suivante :

exit

9. Si nécessaire, saisissez à nouveau "exit" pour revenir à votre instance Cloud Shell.

exit Remarque : Pour afficher les API et les services compatibles avec l'accès privé à Google, consultez la section relative aux services compatibles dans le guide Options d'accès privé pour les services.

Tâche 3 : Configurer une passerelle Cloud NAT

Même si vm-internal peut désormais accéder à certains services et API Google sans adresse IP externe, l'instance ne peut pas accéder à Internet pour télécharger des mises à jour et des correctifs. Configurez une passerelle Cloud NAT permettant à vm-internal d'accéder à Internet.

Essayer de mettre à jour les instances de VM

1. Dans Cloud Shell, exécutez la commande suivante pour essayer de resynchroniser l'index de packages :

sudo apt-get update

Vous devriez obtenir le résultat suivant (exemple) :

... Reading package lists... Done

Cela devrait fonctionner, puisque Cloud Shell a une adresse IP externe.

2. Pour vous connecter à vm-internal, exécutez la commande suivante :

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

3. Si vous y êtes invité, saisissez Y pour continuer.
4. Pour essayer de resynchroniser l'index de packages de vm-internal, exécutez la commande suivante :

sudo apt-get update

Cela ne devrait fonctionner que pour les packages Google Cloud, puisque vm-internal n'a accès qu'aux API et aux services Google.

5. Appuyez sur les touches CTRL+C pour arrêter la requête.

Configurer une passerelle Cloud NAT

Cloud NAT est une ressource régionale. Vous pouvez la configurer de sorte qu'elle autorise le trafic provenant de toutes les plages de tous les sous-réseaux d'une région, de certains sous-réseaux d'une région, ou de certaines plages CIDR primaires et secondaires uniquement.

1. Dans la barre de titre de la console Google Cloud, saisissez Services réseau dans le champ Recherche, puis cliquez sur Services réseau dans la section Produits et pages.

2. Sur la page Service réseau, cliquez sur Épingler à côté de "Services réseau".

3. Cliquez sur Cloud NAT.

4. Cliquez sur Commencer pour configurer une passerelle NAT.

5. Renseignez les champs suivants :

   Propriété	Valeur (saisissez la valeur ou sélectionnez l'option spécifiée)
   Nom de la passerelle	nat-config
   Réseau	privatenet
   Région

6. Dans la section Cloud Router, sélectionnez Créer un routeur.

7. Dans le champ Nom, saisissez nat-router.

8. Cliquez sur Créer.

Remarque : La section de mappage NAT vous permet de choisir les sous-réseaux à mapper à la passerelle NAT. Vous pouvez également attribuer manuellement les adresses IP statiques à utiliser pour effectuer une NAT. Ne modifiez pas la configuration de mappage NAT dans cet atelier.

9. Cliquez sur Créer.
10. Attendez que l'état de la passerelle passe à En cours d'exécution.

Cliquez sur Vérifier ma progression pour valider l'objectif. Configurer une passerelle Cloud NAT

Vérifier la passerelle Cloud NAT

La propagation de la configuration NAT à la VM peut prendre jusqu'à trois minutes. Attendez au moins une minute avant d'essayer d'accéder de nouveau à Internet.

1. Dans Cloud Shell, dans la section vm-internal, exécutez la commande suivante pour resynchroniser l'index de package vm-internal :

sudo apt-get update

Vous devriez obtenir le résultat suivant (exemple) :

... Reading package lists... Done

Cela devrait fonctionner, puisque vm-internal utilise la passerelle NAT.

2. Pour revenir à votre instance Cloud Shell, exécutez la commande suivante :

exit Remarque : La passerelle Cloud NAT implémente la NAT sortante, mais pas la NAT entrante. Autrement dit, les hôtes situés hors de votre réseau VPC ne peuvent répondre qu'à des connexions initiées par vos instances et ne peuvent pas initier eux-mêmes de connexions à vos instances via la NAT.

Tâche 4 : Configurer et consulter les journaux avec la journalisation Cloud NAT

La journalisation Cloud NAT vous permet de consigner les connexions et les erreurs NAT. Lorsque la journalisation Cloud NAT est activée, une entrée de journal peut être générée pour chacun des scénarios suivants :

• Lorsqu'une connexion réseau utilisant la NAT est créée
• Lorsqu'un paquet est supprimé, car aucun port n'était disponible pour la NAT

Vous pouvez choisir de consigner les deux types d'événements, ou seulement l'un ou l'autre. Les journaux sont envoyés à Cloud Logging.

Activer la journalisation

Si la journalisation est activée, tous les journaux consignés sont envoyés à Cloud Logging par défaut. Vous pouvez les filtrer, de manière à envoyer uniquement certains de ces journaux.

Vous pouvez également spécifier ces valeurs lorsque vous créez une passerelle NAT, ou en modifier une après sa création. Les instructions suivantes expliquent comment activer la journalisation pour une passerelle NAT existante.

1. Dans la console Google Cloud, accédez au menu de navigation (), puis cliquez sur Services réseau > Cloud NAT.

2. Cliquez sur la passerelle nat-config, puis sur Modifier.

3. Cliquez sur le menu déroulant Configurations avancées pour ouvrir cette section.

4. Pour Journalisation, sélectionnez Traduction et erreurs, puis cliquez sur Enregistrer.

Journalisation NAT dans Cloud Logging

Maintenant que vous avez configuré la journalisation Cloud NAT pour la passerelle nat-config, regardons où consulter les journaux.

1. Cliquez sur nat-config pour en afficher les détails. Cliquez ensuite sur Afficher dans l'explorateur de journaux.

2. Un nouvel onglet s'ouvre alors avec l'Explorateur de journaux.

Il ne contient pour l'instant aucun journal, car nous venons tout juste d'activer la fonctionnalité pour la passerelle.

Remarque : Laissez cet onglet ouvert et revenez à votre autre onglet de la console Google Cloud.

Générer des journaux

Pour rappel, les journaux Cloud NAT sont générés pour les séquences suivantes :

• Lorsqu'une connexion réseau utilisant la NAT est créée
• Lorsqu'un paquet est supprimé, car aucun port n'était disponible pour la NAT

Connectons de nouveau l'hôte à la VM interne pour vérifier si des journaux ont été générés.

1. Dans Cloud Shell, dans la section vm-internal, exécutez la commande suivante pour resynchroniser l'index de package vm-internal :

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

2. Si vous y êtes invité, saisissez Y pour continuer.
3. Resynchronisez l'index de package vm-internal en exécutant la commande suivante :

sudo apt-get update

Vous devriez obtenir le résultat suivant (exemple) :

... Reading package lists... Done

4. Pour revenir à votre instance Cloud Shell, exécutez la commande suivante :

exit

Regardons si l'ouverture de cette connexion a fait l'objet d'une consignation dans les journaux.

Afficher les journaux

• Revenez à l'onglet "Explorateur de journaux" et, dans le menu de navigation, cliquez sur Explorateur de journaux.

Après la connexion à la VM interne, deux nouveaux journaux ont été générés.

Remarque : Vous devrez peut-être attendre quelques minutes pour qu'ils s'affichent. Si vous ne voyez toujours pas les journaux, répétez les étapes 1 à 4, à partir de la section Générer des journaux, puis actualisez la page de journalisation.

Ces journaux nous renseignent sur le réseau VPC auquel nous sommes connectés et sur la méthode de connexion utilisée. N'hésitez pas à développer certaines étiquettes et détails.

Tâche 5 : Récapitulatif

Vous avez créé vm-internal, une instance sans adresse IP externe, et vous vous y êtes connecté en toute sécurité à l'aide d'un tunnel IAP. Vous avez ensuite activé un accès privé à Google, configuré une passerelle NAT et vérifié l'accès de vm-internal aux API et aux services Google ainsi qu'à d'autres adresses IP publiques.

Les instances de VM sans adresses IP externes sont isolées des réseaux externes. Avec Cloud NAT, ces instances peuvent accéder à Internet pour télécharger des mises à jour et des correctifs et, dans certains cas, effectuer un amorçage. En tant que service géré, Cloud NAT offre une haute disponibilité sans gestion ni intervention des utilisateurs.

Lorsque vous vous connectez à des instances de VM, IAP utilise les rôles et autorisations de votre projet existant. Par défaut, les propriétaires d'instances sont les seuls utilisateurs disposant du rôle Utilisateur de tunnels sécurisés par IAP.

Pour savoir comment autoriser d'autres utilisateurs à accéder à vos VM à l'aide d'un tunnel IAP, consultez le guide Accorder l'accès à d'autres utilisateurs dans le Cloud Architecture Center.

Terminer l'atelier

Une fois l'atelier terminé, cliquez sur Terminer l'atelier. Google Cloud Skills Boost supprime les ressources que vous avez utilisées, puis efface le compte.

Si vous le souhaitez, vous pouvez noter l'atelier. Sélectionnez un nombre d'étoiles, saisissez un commentaire, puis cliquez sur Envoyer.

Le nombre d'étoiles correspond à votre degré de satisfaction :

• 1 étoile = très insatisfait(e)
• 2 étoiles = insatisfait(e)
• 3 étoiles = ni insatisfait(e), ni satisfait(e)
• 4 étoiles = satisfait(e)
• 5 étoiles = très satisfait(e)

Si vous ne souhaitez pas donner votre avis, vous pouvez fermer la boîte de dialogue.

Pour soumettre des commentaires, suggestions ou corrections, veuillez accéder à l'onglet Assistance.

Copyright 2020 Google LLC Tous droits réservés. Google et le logo Google sont des marques de Google LLC. Tous les autres noms d'entreprises et de produits peuvent être des marques des entreprises auxquelles ils sont associés.