Ringkasan

Di lab ini, Anda akan mengimplementasikan Akses Google Pribadi dan Cloud NAT untuk instance VM yang tidak memiliki alamat IP eksternal. Kemudian, Anda akan memverifikasi akses ke alamat IP publik Google API dan layanan Google serta koneksi lainnya ke internet.

Instance VM tanpa alamat IP eksternal diisolasi dari jaringan eksternal. Dengan menggunakan Cloud NAT, instance ini dapat mengakses internet untuk update dan patch, dan dalam beberapa kasus, untuk bootstrap. Sebagai layanan terkelola, Cloud NAT memberikan ketersediaan tinggi tanpa pengelolaan dan intervensi pengguna.

Tujuan

Di lab ini, Anda akan mempelajari cara melakukan tugas berikut:

• Mengonfigurasi instance VM yang tidak memiliki alamat IP eksternal.
• Menghubungkan ke instance VM menggunakan tunnel Identity-Aware Proxy (IAP)
• Mengaktifkan Akses Google Pribadi di subnet
• Mengonfigurasi gateway Cloud NAT
• Memverifikasi akses ke alamat IP publik Google API dan layanan Google serta koneksi lainnya ke internet.

Penyiapan dan Persyaratan

Untuk setiap lab, Anda akan memperoleh project Google Cloud baru serta serangkaian resource selama jangka waktu tertentu, tanpa biaya.

1. Klik tombol Start Lab. Jika Anda perlu membayar lab, jendela pop-up akan terbuka untuk memilih metode pembayaran. Di sebelah kiri adalah panel Lab Details yang memuat sebagai berikut:

   • Tombol Open Google Cloud console
   • Waktu tersisa
   • Kredensial sementara yang harus Anda gunakan untuk lab ini
   • Informasi lain, jika diperlukan, untuk menyelesaikan lab ini

2. Klik Open Google Cloud console (atau klik kanan dan pilih Open Link in Incognito Window jika Anda menjalankan browser Chrome).

   Lab akan menjalankan resource, lalu membuka tab lain yang menampilkan halaman Sign in.

   Tips: Atur tab di jendela terpisah secara berdampingan.

   Catatan: Jika Anda melihat dialog Choose an account, klik Use Another Account.

3. Jika perlu, salin Username di bawah dan tempel ke dialog Sign in.

   {{{user_0.username | "Username"}}}

   Anda juga dapat menemukan Username di panel Lab Details.

4. Klik Next.

5. Salin Password di bawah dan tempel ke dialog Welcome.

   {{{user_0.password | "Password"}}}

   Anda juga dapat menemukan Password di panel Lab Details.

6. Klik Next.

   Penting: Anda harus menggunakan kredensial yang diberikan lab. Jangan menggunakan kredensial akun Google Cloud Anda. Catatan: Menggunakan akun Google Cloud sendiri untuk lab ini dapat dikenai biaya tambahan.

7. Klik halaman berikutnya:

   • Setujui persyaratan dan ketentuan.
   • Jangan tambahkan opsi pemulihan atau autentikasi 2 langkah (karena ini akun sementara).
   • Jangan mendaftar uji coba gratis.

Setelah beberapa saat, Konsol Google Cloud akan terbuka di tab ini.

Catatan: Untuk melihat menu yang berisi daftar produk dan layanan Google Cloud, klik Navigation menu di kiri atas, atau ketik nama layanan atau produk di kolom Search.

Tugas 1. Membuat Instance VM

Buat jaringan VPC dengan beberapa aturan firewall dan instance VM yang tidak memiliki alamat IP eksternal, lalu terhubung ke instance tersebut menggunakan tunnel IAP.

Membuat jaringan VPC dan aturan firewall

Pertama, buat jaringan VPC untuk instance VM dan aturan firewall guna mengizinkan akses SSH.

1. Di Konsol Google Cloud, pada Navigation menu (), klik VPC network > VPC networks.

2. Klik Create VPC Network.

3. Untuk Name, ketik privatenet.

4. Untuk Subnet creation mode, klik Custom.

5. Di New Subnet, tentukan nilai berikut dan tetap gunakan nilai default untuk setelan lainnya:

   Properti	Nilai (masukkan nilai atau pilih opsi yang ditentukan)
   Name	privatenet-us
   Region
   IPv4 address range	10.130.0.0/20

Catatan: Jangan aktifkan Akses Google Pribadi terlebih dahulu.

6. Klik Done.

7. Klik Create dan tunggu hingga jaringan dibuat.

8. Di panel kiri, klik Firewall.

9. Klik Create Firewall Rule.

10. Tentukan nilai berikut dan tetap gunakan nilai default untuk setelan lainnya:

    Properti	Nilai (masukkan nilai atau pilih opsi yang ditentukan)
    Name	privatenet-allow-ssh
    Network	privatenet
    Targets	All instances in the network
    Source filter	IPv4 ranges
    Source IPv4 ranges	35.235.240.0/20
    Protocols and ports	Tentukan protokol dan port

11. Untuk tcp, klik kotak centang dan tentukan port 22.

12. Klik Create.

Catatan: Untuk terhubung ke instance pribadi menggunakan SSH, Anda perlu membuka port yang sesuai di firewall. Koneksi IAP berasal dari kumpulan alamat IP tertentu (35.235.240.0/20). Oleh sebab itu, Anda dapat membatasi aturan hanya pada rentang CIDR ini.

Membuat instance VM tanpa alamat IP publik

1. Di Konsol Google Cloud, pada Navigation menu (), klik Compute Engine > VM instances.

2. Klik Create Instance.

3. Di halaman Machine configuration, tentukan setelan berikut dan biarkan setelan lainnya sebagai default:

   Properti	Nilai (masukkan nilai atau pilih opsi yang ditentukan)
   Name	vm-internal
   Region
   Zone
   Series	E2
   Jenis mesin	e2-medium (2vCPU, 1 core, 4 GB memory)

4. Klik OS and storage.

5. Jika Image yang ditampilkan bukan Debian GNU/Linux 12 (bookworm), klik Change, lalu pilih Debian GNU/Linux 12 (bookworm), kemudian klik Select.

6. Klik Networking.

7. Di Network interfaces, edit antarmuka jaringan dengan menentukan hal berikut:

   Properti	Nilai (masukkan nilai atau pilih opsi yang ditentukan)
   Network	privatenet
   Subnetwork	privatenet-us
   External IPv4 address	Tidak ada

Catatan: Alamat IP eksternal sementara merupakan setelan default instance VM. Perilaku ini dapat diubah dengan batasan kebijakan di level organisasi atau project. Untuk mempelajari lebih lanjut cara mengontrol alamat IP eksternal pada instance VM, baca dokumentasi alamat IP eksternal.

8. Klik Done.
9. Klik Create, dan tunggu hingga instance VM dibuat.
10. Di halaman VM instances, verifikasi bahwa External IP dari vm-internal adalah None.

Klik Check my progress untuk memverifikasi tujuan. Membuat instance VM

SSH ke vm-internal untuk menguji tunnel IAP

1. Di Konsol Cloud, klik Activate Cloud Shell ().

2. Jika diminta, klik Continue.

3. Jalankan perintah berikut di Cloud Shell untuk menyiapkan autentikasi tanpa membuka browser.

   gcloud auth login --no-launch-browser

   Jika diminta [Y/n], tekan Y lalu tekan ENTER.

   Tindakan ini akan memberi Anda link untuk dibuka di browser Anda. Buka link di browser yang sama tempat Anda masuk ke akun qwiklabs. Setelah login, Anda akan mendapatkan kode verifikasi untuk disalin. Tempel kode tersebut di Cloud Shell.

4. Untuk terhubung ke vm-internal, jalankan perintah berikut:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

5. Jika diminta, klik Authorize
6. Jika diminta untuk melanjutkan, ketik Y.
7. Saat dimintai frasa sandi, tekan ENTER.
8. Saat dimintai frasa sandi yang sama, tekan ENTER.

9. Untuk menguji konektivitas eksternal vm-internal, jalankan perintah berikut:

ping -c 2 www.google.com

Pengujian ini tidak akan berhasil karena vm-internal tidak memiliki alamat IP eksternal.

10. Tunggu hingga perintah ping selesai.
11. Untuk kembali ke instance Cloud Shell Anda, jalankan perintah berikut:

exit Catatan: Jika instance tidak memiliki alamat IP eksternal, instance tersebut hanya dapat dijangkau oleh instance lain di jaringan melalui gateway VPN terkelola atau melalui tunnel Cloud IAP. Cloud IAP memungkinkan akses kontekstual ke VM melalui SSH dan RDP tanpa bastion host. Untuk mempelajarinya lebih lanjut, baca postingan blog Cloud IAP mengaktifkan akses kontekstual ke VM melalui SSH dan RDP tanpa bastion host.

Tugas 2. Mengaktifkan Akses Google Pribadi

Instance VM yang tidak memiliki alamat IP eksternal dapat menggunakan Akses Google Pribadi untuk menjangkau alamat IP eksternal Google API dan layanan Google. Secara default, Akses Google Pribadi dinonaktifkan di jaringan VPC.

Membuat bucket Cloud Storage

Buat bucket Cloud Storage untuk menguji akses ke Google API dan layanan Google.

1. Di Konsol Google Cloud, pada Navigation menu (), klik Cloud Storage > Buckets.

2. Klik Create.

3. Tentukan nilai berikut dan tetap gunakan nilai default untuk setelan lainnya:

   Properti	Nilai (masukkan nilai atau pilih opsi yang ditentukan)
   Name	Masukkan nama yang unik secara global
   Location type	Multi-region

4. Klik Create. Jika muncul prompt untuk mengaktifkan pencegahan akses publik, pastikan "public access prevention" dicentang dan klik Confirm. Perhatikan nama bucket penyimpanan Anda.

5. Simpan nama bucket Anda dalam variabel lingkungan:

export MY_BUCKET=[masukkan nama bucket Anda di sini]

6. Verifikasi dengan echo:

echo $MY_BUCKET

Menyalin file image ke dalam bucket Anda

Salin image dari bucket Cloud Storage publik ke bucket Anda sendiri.

1. Jalankan perintah berikut di Cloud Shell:

gcloud storage cp gs://cloud-training/gcpnet/private/access.svg gs://$MY_BUCKET

2. Di Konsol Cloud, klik nama bucket Anda untuk memverifikasi bahwa image telah disalin.

Anda dapat mengklik nama image di Konsol Cloud untuk melihat contoh penerapan Akses Google Pribadi.

Akses image tersebut dari instance VM Anda

1. Di Cloud Shell, untuk mencoba menyalin image dari bucket Anda, jalankan perintah berikut:

gcloud storage cp gs://$MY_BUCKET/*.svg .

Perintah ini akan berhasil karena Cloud Shell memiliki alamat IP eksternal.

2. Untuk terhubung ke vm-internal, jalankan perintah berikut:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

3. Jika diminta, ketik Y untuk melanjutkan.

4. Simpan nama bucket Anda dalam variabel lingkungan:

export MY_BUCKET=[masukkan nama bucket Anda di sini]

5. Verifikasi dengan echo:

echo $MY_BUCKET

6. Coba salin image ke vm-internal, jalankan perintah berikut:

gcloud storage cp gs://$MY_BUCKET/*.svg .

Perintah ini tidak akan berhasil: vm-internal hanya dapat mengirim traffic dalam jaringan VPC karena Akses Google Pribadi dinonaktifkan (secara default).

7. Tekan Ctrl+Z untuk menghentikan permintaan.

Mengaktifkan Akses Google Pribadi

Akses Google Pribadi diaktifkan di tingkat subnet. Saat diaktifkan, instance di dalam subnet yang hanya memiliki alamat IP pribadi dapat mengirimkan traffic ke Google API dan layanan Google melalui rute default (0.0.0.0/0) dengan next hop ke gateway internet default.

1. Di Konsol Cloud, pada Navigation menu (), klik VPC network > VPC networks.
2. Klik privatenet untuk membuka jaringan.
3. Klik Subnets, lalu klik privatenet-us.
4. Klik Edit.
5. Untuk Private Google access, pilih On.
6. Klik Save.

Klik Check my progress untuk memverifikasi tujuan. Membuat bucket Cloud Storage dan Mengaktifkan Akses Google Pribadi

Catatan: Mengaktifkan Akses Google Pribadi semudah memilih On dalam subnet.

7. Jalankan perintah berikut di Cloud Shell untuk vm-internal, guna mencoba menyalin image ke vm-internal.

gcloud storage cp gs://$MY_BUCKET/*.svg .

Perintah ini akan berhasil karena subnet vm-internal telah mengaktifkan Akses Google Pribadi.

8. Untuk kembali ke instance Cloud Shell Anda, jalankan perintah berikut:

exit

9. Ketik exit sekali lagi jika diperlukan untuk kembali ke instance Cloud Shell Anda.

exit Catatan: Untuk melihat API dan layanan yang memenuhi syarat untuk digunakan dengan Akses Google Pribadi, lihat layanan yang didukung dalam artikel Panduan Opsi akses pribadi untuk layanan.

Tugas 3. Mengonfigurasi gateway Cloud NAT

Meskipun vm-internal sekarang dapat mengakses Google API dan layanan Google tertentu tanpa alamat IP eksternal, instance tersebut tidak dapat mengakses internet untuk update dan patch. Konfigurasikan gateway Cloud NAT, sehingga vm-internal dapat menjangkau internet.

Mencoba mengupdate instance VM

1. Di Cloud Shell, untuk mencoba menyinkronkan ulang indeks paket, jalankan perintah berikut:

sudo apt-get update

Output yang dikeluarkan seharusnya seperti ini (contoh output):

... Reading package lists... Done

Perintah ini akan berhasil karena Cloud Shell memiliki alamat IP eksternal.

2. Untuk terhubung ke vm-internal, jalankan perintah berikut:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

3. Jika diminta, ketik Y untuk melanjutkan.
4. Untuk mencoba menyinkronkan ulang indeks paket vm-internal, jalankan perintah berikut:

sudo apt-get update

Perintah ini hanya berhasil untuk paket Google Cloud karena vm-internal hanya memiliki akses ke Google API dan layanan Google.

5. Tekan Ctrl+C untuk menghentikan permintaan.

Mengonfigurasi gateway Cloud NAT

Cloud NAT adalah resource regional. Anda dapat mengonfigurasinya untuk mengizinkan traffic dari semua rentang subnet di suatu region, dari subnet tertentu di region itu saja, atau dari rentang CIDR primer dan sekunder tertentu saja.

1. Di kolom judul Konsol Google Cloud, ketik Network services dalam kolom Search, kemudian klik Network services di bagian Product & Page.

2. Di halaman Network service, klik Pin di samping Network services.

3. Klik Cloud NAT.

4. Klik Get started untuk mengonfigurasi gateway NAT.

5. Tentukan nilai berikut:

   Properti	Nilai (masukkan nilai atau pilih opsi yang ditentukan)
   Gateway name	nat-config
   Network	privatenet
   Region

6. Untuk Cloud Router, pilih Create new router.

7. Untuk Name, ketik nat-router

8. Klik Create.

Catatan: Bagian pemetaan NAT memungkinkan Anda memilih subnet yang akan dipetakan ke gateway NAT. Anda juga dapat secara manual menetapkan alamat IP statis yang harus digunakan saat melakukan NAT. Jangan mengubah konfigurasi pemetaan NAT di lab ini.

9. Klik Create.
10. Tunggu hingga status gateway berubah menjadi Running.

Klik Check my progress untuk memverifikasi tujuan. Mengonfigurasi gateway Cloud NAT

Memverifikasi gateway Cloud NAT

Diperlukan waktu hingga 3 menit agar konfigurasi NAT menyebar ke VM, jadi tunggu minimal satu menit sebelum mencoba mengakses internet lagi.

1. Di Cloud Shell untuk vm-internal, guna mencoba menyinkronkan ulang indeks paket vm-internal, jalankan perintah berikut:

sudo apt-get update

Output yang dikeluarkan seharusnya seperti ini (contoh output):

... Reading package lists... Done

Perintah ini akan berhasil karena vm-internal menggunakan gateway NAT.

2. Untuk kembali ke instance Cloud Shell Anda, jalankan perintah berikut:

exit Catatan: Gateway Cloud NAT menerapkan NAT keluar, bukan NAT masuk. Dengan kata lain, host di luar jaringan VPC Anda hanya dapat merespons koneksi yang dimulai oleh instance Anda. Host ini tidak dapat memulai koneksi baru sendiri ke instance Anda melalui NAT.

Tugas 4. Mengonfigurasi dan melihat log dengan Logging Cloud NAT

Logging Cloud NAT memungkinkan Anda untuk membuat log koneksi dan error NAT. Saat logging Cloud NAT diaktifkan, satu entri log dapat dibuat untuk setiap skenario berikut:

• Saat koneksi jaringan yang menggunakan NAT telah dibuat.
• Saat sebuah paket dihapus karena tidak ada port yang tersedia untuk NAT.

Anda dapat memilih untuk membuat log kedua jenis peristiwa tersebut, atau hanya salah satunya. Log yang dibuat akan dikirim ke Cloud Logging.

Mengaktifkan logging

Jika logging diaktifkan, semua log yang dikumpulkan akan dikirim ke Cloud Logging secara default. Anda dapat memfilternya sehingga hanya log tertentu yang dikirim.

Anda juga dapat menentukan nilai ini saat membuat gateway NAT atau dengan mengeditnya setelah dibuat. Petunjuk berikut memperlihatkan cara mengaktifkan logging untuk gateway NAT yang sudah ada.

1. Di Konsol Google Cloud, pada Navigation menu (), klik Network services > Cloud NAT.

2. Klik pada gateway nat-config, lalu klik Edit.

3. Klik dropdown Advanced configurations untuk membuka bagian itu.

4. Untuk Logging, pilih Translation and errors lalu klik Save.

Logging NAT di Cloud Logging

Sekarang setelah Anda menyiapkan logging Cloud NAT untuk gateway nat-config, saatnya untuk mengetahui di mana log kita dapat dilihat.

1. Klik nat-config untuk mengekspos detailnya. Kemudian, klik View in Logs Explorer.

2. Tindakan ini akan membuka tab baru yang berisi Logs Explorer.

Anda akan melihat bahwa belum ada log di dalamnya, itu karena kita baru saja mengaktifkan fitur ini untuk gateway.

Catatan: Biarkan tab ini tetap terbuka dan kembalilah ke tab Konsol Google Cloud yang lain.

Menghasilkan log

Sebagai pengingat, log Cloud NAT dibuat untuk peristiwa berikut:

• Saat koneksi jaringan yang menggunakan NAT telah dibuat.
• Saat sebuah paket dihapus karena tidak ada port yang tersedia untuk NAT.

Hubungkan lagi host ke VM internal untuk melihat apakah ada log yang dibuat atau tidak.

1. Di Cloud Shell untuk vm-internal, guna mencoba menyinkronkan ulang indeks paket vm-internal, jalankan perintah berikut:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

2. Jika diminta, ketik Y untuk melanjutkan.
3. Coba sinkronkan ulang indeks paket vm-internal dengan menjalankan perintah berikut:

sudo apt-get update

Output yang dikeluarkan seharusnya terlihat seperti ini (contoh output):

... Reading package lists... Done

4. Untuk kembali ke instance Cloud Shell Anda, jalankan perintah berikut:

exit

Mari kita lihat apakah dengan membuka koneksi ini, sesuatu yang baru akan muncul di log kita.

Melihat Log

• Kembalilah ke tab Logs Explorer, lalu di menu navigasi, klik Logs Explorer.

Anda akan melihat dua log baru yang dihasilkan setelah terhubung ke VM internal.

Catatan: Anda mungkin perlu menunggu beberapa menit. Jika Anda masih tidak dapat melihat lognya, ulangi langkah 1 hingga langkah 4, dari bagian Menghasilkan log, lalu muat ulang halaman logging.

Seperti yang kita lihat, log tersebut memberikan detail tentang jaringan VPC yang terhubung dengan kita dan metode koneksi yang kita gunakan. Jangan ragu untuk memperluas berbagai label dan detailnya.

Tugas 5. Ulasan

Anda telah membuat vm-internal, yakni sebuah instance tanpa alamat IP eksternal, dan terhubung dengannya secara aman menggunakan tunnel IAP. Kemudian Anda mengaktifkan Akses Google Pribadi, mengonfigurasi gateway NAT, dan memverifikasi bahwa vm-internal dapat mengakses Google API dan layanan Google serta alamat IP publik lainnya.

Instance VM tanpa alamat IP eksternal diisolasi dari jaringan eksternal. Dengan menggunakan Cloud NAT, instance ini dapat mengakses internet untuk update dan patch, dan dalam beberapa kasus, untuk bootstrap. Sebagai layanan terkelola, Cloud NAT memberikan ketersediaan tinggi tanpa pengelolaan dan intervensi pengguna.

IAP menggunakan peran dan izin project yang sudah ada saat Anda terhubung ke instance VM. Secara default, pemilik instance adalah satu-satunya pengguna yang memiliki peran IAP Secured Tunnel User.

Untuk mengetahui cara mengizinkan pengguna lain mengakses VM milik Anda menggunakan tunneling IAP, baca Panduan Memberikan akses ke pengguna tambahan di Cloud Architecture Center.

Mengakhiri lab Anda

Setelah Anda menyelesaikan lab, klik Akhiri Lab. Google Cloud Skills Boost menghapus resource yang telah Anda gunakan dan membersihkan akun.

Anda akan diberi kesempatan untuk menilai pengalaman menggunakan lab. Pilih jumlah bintang yang sesuai, ketik komentar, lalu klik Submit.

Makna jumlah bintang:

• 1 bintang = Sangat tidak puas
• 2 bintang = Tidak puas
• 3 bintang = Netral
• 4 bintang = Puas
• 5 bintang = Sangat puas

Anda dapat menutup kotak dialog jika tidak ingin memberikan masukan.

Untuk masukan, saran, atau koreksi, gunakan tab Support.

Hak cipta 2020 Google LLC Semua hak dilindungi undang-undang. Google dan logo Google adalah merek dagang dari Google LLC. Semua nama perusahaan dan produk lain mungkin adalah merek dagang masing-masing perusahaan yang bersangkutan.