Aplikacja internetowa będzie obsługiwać ruch HTTP/HTTPS z instancji Compute Engine, a Ty potrzebujesz sporadycznego dostępu SSH z laptopa zdalnego do celów konserwacyjnych, zgodnie z najlepszymi praktykami Google. Jak należy skonfigurować sieć i dostęp?

Prawidłowa odpowiedź jest zgodna z najlepszymi praktykami Google Cloud w zakresie bezpieczeństwa i dostępności. Cloud Identity-Aware Proxy (IAP) dla SSH zapewnia bezpieczny dostęp do instancji Compute Engine bez konieczności posiadania publicznych adresów IP lub otwierania portów SSH w zaporze sieciowej, co minimalizuje powierzchnię ataku. Użycie prywatnych adresów IP dla instancji Compute Engine za load balancerem HTTP(S) jest standardową praktyką dla aplikacji internetowych, zapewniającą skalowalność, wysoką dostępność i bezpieczeństwo. Pozostałe opcje są mniej optymalne: Konfiguracja z load balancerem proxy TCP jest przeznaczona dla ruchu TCP/SSL na warstwie 4 i nie jest idealna dla aplikacji HTTP/HTTPS, które wymagają funkcji warstwy 7, takich jak routing oparty na ścieżce czy SSL offloading. Zezwalanie na cały ruch przychodzący i przypisywanie unikalnych zewnętrznych adresów IP każdemu serwerowi WWW jest poważnym zagrożeniem bezpieczeństwa i nie zapewnia skalowalności ani wysokiej dostępności. Użycie hosta bastionu jest akceptowalnym rozwiązaniem, ale IAP dla SSH jest preferowane, ponieważ oferuje bardziej zintegrowane i bezpieczne podejście, eliminując potrzebę zarządzania oddzielnym hostem bastionu i jego publicznym adresem IP.