Como ingeniero de redes o arquitecto de soluciones, puede que te topes con situaciones en las que necesitas una capa adicional de seguridad o privacidad en tu arquitectura de red. Por ejemplo, puede que necesites ciertos recursos para iniciar conexiones a redes externas o incluso al Internet público, pero no quieres que conexiones no autorizadas lleguen a tus recursos privados.

En AWS, puedes configurar diferentes estrategias para ayudar a aplicar controles detallados en las conexiones permitidas para tus servicios y recursos (por ejemplo, instancias EC2):

• Utiliza Session Manager de AWS Systems Manager para interactuar con tus instancias EC2 sin claves SSH, hosts de bastión o puertos abiertos.
• Crea extremos de VPC (tanto de puerta de enlace como de interfaz) y utiliza la tecnología de AWS PrivateLink para conectar tu VPC con los servicios de AWS (por ejemplo, S3) sin exponer el tráfico al Internet público.
• Asigna tus IPs privadas a través de una puerta de enlace de traducción de direcciones de red (NAT) para que las redes privadas se conecten de forma segura a Internet.

Con esto en mente, existen algunas preguntas que puedes tener en consideración mientras trabajas en Google Cloud:

• ¿Cómo puedes mantener la privacidad de tus conexiones en Google Cloud?
• ¿Cómo puedes conectarte a tus máquinas virtuales (VM) e interactuar con ellas sin exponerlas al Internet público?
• ¿Cómo puedes aplicar un control detallado sobre el tráfico de tu red?

Ahora, explorarás cómo puedes proporcionar seguridad a tu arquitectura de red en Google Cloud.

Descripción general

En este lab, implementarás el Acceso privado a Google y Cloud NAT para una instancia de VM que no tiene una dirección IP externa. Luego, verificarás el acceso a las direcciones IP públicas de los servicios y las APIs de Google, además de otras conexiones a Internet.

Las instancias de VM que no tienen direcciones IP externas están aisladas de las redes externas. Con Cloud NAT, estas instancias pueden acceder a Internet para obtener actualizaciones y parches y, en algunos casos, inicializaciones. Por ser un servicio administrado, Cloud NAT proporciona alta disponibilidad sin administración ni intervención por parte del usuario.

Objetivos

En este lab, aprenderás a realizar las siguientes tareas:

• Configurar una instancia de VM que no tenga una dirección IP externa
• Conectarte a una instancia de VM mediante un túnel Identity-Aware Proxy (IAP)
• Habilitar el Acceso privado a Google en una subred
• Configurar una puerta de enlace de Cloud NAT
• Verificar el acceso a las direcciones IP públicas de los servicios y las APIs de Google, además de otras conexiones a Internet

En cada lab, recibirás un proyecto de Google Cloud y un conjunto de recursos nuevos por tiempo limitado y sin costo adicional.

1. Haz clic en el botón Comenzar lab. Si debes pagar por el lab, se abrirá una ventana emergente para que selecciones tu forma de pago. A la izquierda, se encuentra el panel Detalles del lab, que tiene estos elementos:

   • El botón Abrir la consola de Google Cloud
   • El tiempo restante
   • Las credenciales temporales que debes usar para el lab
   • Otra información para completar el lab, si es necesaria

2. Haz clic en Abrir la consola de Google Cloud (o haz clic con el botón derecho y selecciona Abrir el vínculo en una ventana de incógnito si ejecutas el navegador Chrome).

   El lab inicia recursos y abre otra pestaña en la que se muestra la página de acceso.

   Sugerencia: Ordena las pestañas en ventanas separadas, una junto a la otra.

   Nota: Si ves el diálogo Elegir una cuenta, haz clic en Usar otra cuenta.

3. De ser necesario, copia el nombre de usuario a continuación y pégalo en el diálogo Acceder.

   {{{user_0.username | "Username"}}}

   También puedes encontrar el nombre de usuario en el panel Detalles del lab.

4. Haz clic en Siguiente.

5. Copia la contraseña que aparece a continuación y pégala en el diálogo Te damos la bienvenida.

   {{{user_0.password | "Password"}}}

   También puedes encontrar la contraseña en el panel Detalles del lab.

6. Haz clic en Siguiente.

   Importante: Debes usar las credenciales que te proporciona el lab. No uses las credenciales de tu cuenta de Google Cloud. Nota: Usar tu propia cuenta de Google Cloud para este lab podría generar cargos adicionales.

7. Haga clic para avanzar por las páginas siguientes:

   • Acepta los Términos y Condiciones.
   • No agregues opciones de recuperación o autenticación de dos factores (esta es una cuenta temporal).
   • No te registres para obtener pruebas gratuitas.

Después de un momento, se abrirá la consola de Google Cloud en esta pestaña.

Nota: Para ver un menú con una lista de productos y servicios de Google Cloud, haz clic en el menú de navegación que se encuentra en la parte superior izquierda o escribe el nombre del servicio o producto en el campo Búsqueda.

Tarea 1: Crea la instancia de VM

Crea una red de VPC con algunas reglas de firewall y una instancia de VM que no tenga una dirección IP externa. Luego, conéctate a la instancia mediante un túnel IAP.

Crea una red de VPC y reglas de firewall

Primero, crea una red de VPC para la instancia de VM y una regla de firewall para permitir el acceso con SSH.

1. En el menú de navegación () de la consola de Cloud, haz clic en Red de VPC > Redes de VPC.

2. Haz clic en Crear red de VPC.

3. En Nombre, escribe privatenet.

4. Para la opción Modo de creación de subred, haz clic en Personalizado.

5. En Nueva subred especifica lo siguiente y deja los parámetros de configuración restantes con sus valores predeterminados:

   Propiedad	Valor (escribe el valor o selecciona la opción como se especifica)
   Nombre	privatenet-us
   Región
   Rango de direcciones IPv4	10.130.0.0/20

Nota: Todavía no habilites el Acceso privado a Google.

6. Haz clic en Listo.

7. Haz clic en Crear y espera a que se genere la red.

8. En el panel izquierdo, haz clic en Firewall.

9. Haz clic en Crear regla de firewall.

10. Especifica lo siguiente y deja los parámetros de configuración restantes con sus valores predeterminados:

    Propiedad	Valor (escribe el valor o selecciona la opción como se especifica)
    Nombre	privatenet-allow-ssh
    Red	privatenet
    Destinos	Todas las instancias de la red
    Filtro de origen	Rangos de IPv4
    Rangos de IPv4 de origen	35.235.240.0/20
    Protocolos y puertos	Protocolos y puertos especificados

11. Para tcp, haz clic en la casilla de verificación y especifica el puerto 22.

12. Haz clic en Crear.

Nota: Para conectarte a tu instancia privada con SSH, debes abrir un puerto adecuado en el firewall. Las conexiones IAP provienen de un conjunto específico de direcciones IP (35.235.240.0/20). Por lo tanto, puedes limitar la regla a este rango de CIDR.

Crea la instancia de VM sin dirección IP pública

1. En el menú de navegación () de la consola de Cloud, haz clic en Compute Engine > Instancias de VM.

2. Haz clic en Crear instancia.

3. En la página Configuración de la máquina, especifica lo siguiente y deja el resto de la configuración con los valores predeterminados:

   Propiedad	Valor (escribe el valor o selecciona la opción como se especifica)
   Nombre	vm-internal
   Región
   Zona
   Serie	E2
   Tipo de máquina	e2-medium (2 CPU virtuales, 4 GB de memoria)

4. Haz clic en SO y almacenamiento.

5. Si la imagen que se muestra no es Debian GNU/Linux 12 (bookworm), haz clic en Cambiar, selecciona Debian GNU/Linux 12 (bookworm) y, luego, haz clic en Seleccionar.

6. Haz clic en Herramientas de redes.

7. En Interfaces de red, especifica lo siguiente para editar la interfaz de red:

   Propiedad	Valor (escribe el valor o selecciona la opción como se especifica)
   Red	privatenet
   Subred	privatenet-us
   Dirección IPv4 externa	Ninguna

Nota: La instancia de VM tiene como configuración predeterminada una dirección IP externa efímera. Se puede cambiar este comportamiento con una restricción de política a nivel de la organización o del proyecto. Si deseas obtener más información para controlar las direcciones IP externas en instancias de VM, consulta la documentación sobre direcciones IP externas.

8. Haz clic en Listo.
9. Haz clic en Crear y espera a que se genere la instancia de VM.
10. En la página Instancias de VM, verifica que la IP externa de vm-internal sea Ninguna.

Haz clic en Revisar mi progreso para verificar el objetivo. Crear la instancia de VM

Conéctate a vm-internal mediante SSH para probar el túnel IAP

1. En la consola de Cloud, haz clic en Activar Cloud Shell ().
2. Si se te solicita, haz clic en Continuar.
3. Para conectarte a vm-internal, ejecuta el siguiente comando:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

4. Si se te solicita, haz clic en Autorizar.
5. Si se te solicita, escribe Y para continuar.
6. Cuando se te solicite una frase de contraseña, presiona INTRO.
7. Cuando se te solicite la misma frase de contraseña, presiona INTRO.

8. Para probar la conectividad externa de vm-internal, ejecuta el siguiente comando:

ping -c 2 www.google.com

El comando no debería funcionar, ya que vm-internal no tiene una dirección IP externa.

9. Espera a que se complete el comando ping.
10. Para regresar a tu instancia de Cloud Shell, ejecuta el siguiente comando:

exit Nota: Cuando las instancias no tienen direcciones IP externas, solo se puede acceder a ellas mediante otras instancias en la red a través de una puerta de enlace de VPN administrada o un túnel de Cloud IAP. Cloud IAP habilita el acceso a las VMs adaptado al contexto a través de SSH y RDP sin hosts de bastión. Para obtener más información sobre esto, consulta la entrada de blog Cloud IAP habilita el acceso a las VMs adaptado al contexto a través de SSH y RDP sin hosts de bastión.

Tarea 2. Habilita el Acceso privado a Google

Las instancias de VM que no tienen direcciones IP externas pueden utilizar el Acceso privado a Google para acceder a las direcciones IP externas de los servicios y las APIs de Google. De forma predeterminada, el Acceso privado a Google está inhabilitado en una red de VPC.

Crea un bucket de Cloud Storage

Para probar el acceso a los servicios y las APIs de Google, crea un bucket de Cloud Storage.

1. En el menú de navegación () de la consola de Cloud, haz clic en Cloud Storage > Buckets.

2. Haz clic en Crear.

3. Especifica lo siguiente y deja los parámetros de configuración restantes con sus valores predeterminados:

   Propiedad	Valor (escribe el valor o selecciona la opción como se especifica)
   Nombre	Ingresa un nombre único a nivel global
   Tipo de ubicación	Multirregión

4. Haz clic en Crear. Si se te solicita habilitar la prevención de acceso público, asegúrate de que esté marcada la opción y haz clic en Confirmar. Anota el nombre de tu bucket de almacenamiento.

5. Guarda el nombre de tu bucket en una variable de entorno:

export MY_BUCKET=[enter your bucket name here]

6. Verifícalo con echo:

echo $MY_BUCKET

Copia un archivo de imagen en tu bucket

Copia una imagen desde un bucket público de Cloud Storage y guárdala en tu propio bucket.

1. En Cloud Shell, ejecuta el siguiente comando:

gcloud storage cp gs://cloud-training/gcpnet/private/access.svg gs://$MY_BUCKET

2. En la consola de Cloud, haz clic en el nombre de tu bucket para verificar que se copió la imagen.

Puedes hacer clic en el nombre de la imagen que se encuentra en la consola de Cloud para visualizar un ejemplo de cómo se implementa el Acceso privado a Google.

Accede a la imagen desde tu instancia de VM

1. En Cloud Shell, ejecuta el siguiente comando para tratar de copiar la imagen de tu bucket:

gcloud storage cp gs://$MY_BUCKET/*.svg .

El comando debería funcionar porque Cloud Shell tiene una dirección IP externa.

2. Para conectarte a vm-internal, ejecuta el siguiente comando:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

3. Si se te solicita, escribe Y para continuar.

4. Guarda el nombre de tu bucket en una variable de entorno:

export MY_BUCKET=[enter your bucket name here]

5. Verifícalo con echo:

echo $MY_BUCKET

6. Para intentar copiar la imagen en vm-internal, ejecuta el siguiente comando:

gcloud storage cp gs://$MY_BUCKET/*.svg .

Este comando no debería funcionar, ya que vm-internal solo puede enviar tráfico dentro de la red de VPC porque el Acceso privado a Google está inhabilitado de forma predeterminada.

7. Presiona CTRL + Z para detener la solicitud.

Habilita el Acceso privado a Google

El Acceso privado a Google está habilitado a nivel de la subred. Cuando se encuentra habilitado, las instancias en la subred que solo tienen direcciones IP privadas pueden enviar tráfico a los servicios y las APIs de Google a través de la ruta predeterminada (0.0.0.0/0) con un próximo salto a la puerta de enlace de Internet predeterminada.

1. En el menú de navegación () de la consola de Cloud, haz clic en Red de VPC > Redes de VPC.
2. Haz clic en privatenet para abrir la red.
3. Haz clic en Subredes y, luego, en privatenet-us.
4. Haz clic en Editar.
5. En Acceso privado a Google, selecciona Activado.
6. Haz clic en Guardar.

Haz clic en Revisar mi progreso para verificar el objetivo. Crear un bucket de Cloud Storage y habilitar el Acceso privado a Google

Nota: Habilitar el Acceso privado a Google es tan simple como seleccionar Activado dentro de la subred.

7. Ejecuta el siguiente comando para vm-internal en Cloud Shell para intentar copiar la imagen a vm-internal.

gcloud storage cp gs://$MY_BUCKET/*.svg .

Este comando debería funcionar porque la subred de vm-internal tiene habilitado el Acceso privado a Google.

8. Para regresar a tu instancia de Cloud Shell, ejecuta el siguiente comando:

exit

9. Vuelve a escribir exit si es necesario para regresar a tu instancia de Cloud Shell. exit

Nota: Para ver las APIs y los servicios aptos que puedes usar con el Acceso privado a Google, consulta los servicios compatibles en la Guía sobre las opciones de acceso privado a servicios.

Tarea 3: Configura una puerta de enlace de Cloud NAT

Aunque ahora vm-internal puede acceder a ciertos servicios y APIs de Google sin una dirección IP externa, la instancia no puede acceder a Internet para obtener actualizaciones ni parches. Configura una puerta de enlace de Cloud NAT que permita el acceso de vm-internal a Internet.

Trata de actualizar las instancias de VM

1. En Cloud Shell, ejecuta el siguiente comando para tratar de volver a sincronizar el índice de paquetes:

sudo apt-get update

El resultado debería verse como este (resultado de ejemplo):

... Reading package lists… Done

Este comando debería funcionar porque Cloud Shell tiene una dirección IP externa.

2. Para conectarte a vm-internal, ejecuta el siguiente comando:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

3. Si se te solicita, escribe Y para continuar.
4. Para tratar de volver a sincronizar el índice de paquetes de vm-internal, ejecuta el siguiente comando:

sudo apt-get update

Este comando debería funcionar únicamente para los paquetes de Google Cloud porque vm-internal solo tiene acceso a los servicios y las APIs de Google.

5. Presiona CTRL + C para detener la solicitud.

Configura una puerta de enlace de Cloud NAT

Cloud NAT es un recurso regional. Puedes configurarlo para permitir el tráfico de todos los rangos de todas las subredes de una región, ya sea solo de subredes específicas o solo de rangos CIDR principales y secundarios.

1. Escribe Servicios de red en el campo de búsqueda de la barra de título de la consola de Google Cloud y, luego, haz clic en Servicios de red en la sección Productos y páginas.

2. En la página Servicio de red, haz clic en Fijar junto a Servicios de red.

3. Haz clic en Cloud NAT.

4. Haz clic en Comenzar para configurar una puerta de enlace de NAT.

5. Especifica lo siguiente:

   Propiedad	Valor (escribe el valor o selecciona la opción como se especifica)
   Nombre de la puerta de enlace	nat-config
   Red	privatenet
   Región

6. En Cloud Router, selecciona Crear router nuevo.

7. En Nombre, escribe nat-router.

8. Haz clic en Crear.

Nota: En la sección Asignación de NAT, puedes elegir las subredes que deseas asignar a la puerta de enlace de NAT. También puedes asignar manualmente direcciones IP estáticas que deberían utilizarse cuando se llevan a cabo operaciones de NAT. En este lab, no cambies la configuración de asignación de NAT.

9. Haz clic en Crear.
10. Espera a que el estado de la puerta de enlace cambie a Running.

Haz clic en Revisar mi progreso para verificar el objetivo. Configurar una puerta de enlace de Cloud NAT

Verifica la puerta de enlace de Cloud NAT

La configuración de NAT puede demorar hasta 3 minutos en propagarse a la VM, por lo que debes esperar al menos un minuto antes de intentar acceder a Internet.

1. En vm-internal en Cloud Shell, ejecuta el siguiente comando para tratar de volver a sincronizar el índice de paquetes de vm-internal:

sudo apt-get update

El resultado debería verse como este (resultado de ejemplo):

... Reading package lists… Done

Este comando debería funcionar porque vm-internal utiliza la puerta de enlace NAT.

2. Para regresar a tu instancia de Cloud Shell, ejecuta el siguiente comando:

exit Nota: La puerta de enlace de Cloud NAT solo implementa operaciones de NAT de salida, no de entrada. Es decir, los hosts fuera de tu red de VPC solo pueden responder a las conexiones iniciadas por tus instancias; no pueden iniciar sus propias conexiones nuevas a las instancias a través de NAT.

Tarea 4. Configura y visualiza registros con el registro de Cloud NAT

El registro de Cloud NAT te permite registrar conexiones y errores de NAT. Cuando el registro de Cloud NAT está habilitado, se puede generar una entrada de registro para cada una de las siguientes situaciones:

• Cuando se crea una conexión de red con NAT
• Cuando se descarta un paquete porque no hay ningún puerto disponible para NAT

Puedes optar por registrar ambos tipos de eventos o solo uno de ellos. Los registros creados se envían a Cloud Logging.

Habilita el registro

Si el registro está habilitado, todos los registros recopilados se envían a Cloud Logging de forma predeterminada. Puedes filtrarlos para que solo se envíen ciertos registros.

También puedes especificar estos valores cuando creas una puerta de enlace NAT o editas una después de crearla. Las siguientes instrucciones muestran cómo habilitar el registro para una puerta de enlace NAT existente.

1. En el menú de navegación de la consola de Google Cloud (), haz clic en Servicios de red > Cloud NAT.

2. Haz clic en la puerta de enlace nat-config y, luego, en Editar.

3. Haz clic en el menú desplegable Configuración avanzada para abrir esa sección.

4. En Logging, selecciona Traducción y errores. Luego, haz clic en Guardar.

Registros de NAT en Cloud Logging

Ahora que configuraste los registros de Cloud NAT para la puerta de enlace nat-config, veamos dónde podemos visualizar nuestros registros.

1. Haz clic en nat-config para exponer sus detalles. Luego, haz clic en Ver en el Explorador de registros.

2. Se abrirá una nueva pestaña con el Explorador de registros.

Verás que todavía no hay registros. Esto es porque acabamos de habilitar esta función para la puerta de enlace.

Nota: Mantén esta pestaña abierta y regresa a tu otra pestaña de la consola de Google Cloud.

Genera registros

Recuerda que los registros de Cloud NAT se generan en las siguientes situaciones:

• Cuando se crea una conexión de red con NAT
• Cuando se descarta un paquete porque no hay ningún puerto disponible para NAT

Conecta el host a la VM interna nuevamente para ver si se generaron registros.

1. En vm-internal en Cloud Shell, ejecuta el siguiente comando para tratar de volver a sincronizar el índice de paquetes de vm-internal:

gcloud compute ssh vm-internal --zone {{{project_0.default_zone|ZONE}}} --tunnel-through-iap

2. Si se te solicita, escribe Y para continuar.
3. Para tratar de volver a sincronizar el índice de paquetes de vm-internal, ejecuta el siguiente comando:

sudo apt-get update

El resultado debería verse como este (resultado de ejemplo):

... Reading package lists… Done

4. Para regresar a tu instancia de Cloud Shell, ejecuta el siguiente comando:

exit

Veamos si la apertura de esta conexión reveló información nueva en nuestros registros.

Visualiza los registros

• Regresa a la pestaña del Explorador de registros y, en el menú de navegación, haz clic en Explorador de registros.

Deberías ver dos registros nuevos que se generaron después de la conexión a la VM interna.

Nota: Es posible que debas esperar unos minutos. Si aún no puedes ver los registros, repite los pasos del 1 al 4 de la sección Genera registros y, luego, actualiza la página de registros.

Como podemos ver, los registros nos proporcionan detalles sobre la red de VPC a la que nos conectamos y el método de conexión que usamos. Puedes expandir diferentes etiquetas y detalles.

Tarea 5: Revisión

Creaste vm-internal, una instancia sin una dirección IP externa, y te conectaste a ella de forma segura mediante un túnel IAP. Luego, habilitaste el Acceso privado a Google, configuraste una puerta de enlace de NAT y verificaste que vm-internal pudiera acceder a los servicios y las APIs de Google, y a otras direcciones IP públicas.

Las instancias de VM que no tienen direcciones IP externas están aisladas de las redes externas. Con Cloud NAT, estas instancias pueden acceder a Internet para obtener actualizaciones y parches y, en algunos casos, inicializaciones. Por ser un servicio administrado, Cloud NAT proporciona alta disponibilidad sin administración ni intervención por parte del usuario.

IAP utiliza los roles y los permisos existentes de tu proyecto cuando te conectas a instancias de VM. De forma predeterminada, los propietarios de las instancias son los únicos que tienen el rol Usuario de túnel protegido con IAP.

Para saber cómo permitir que otros usuarios accedan a tus VMs con tunelización de IAP, consulta la sección sobre cómo otorgar acceso a usuarios adicionales de Cloud Architecture Center.

Google Cloud te brinda opciones para implementar privacidad y seguridad en tu red de forma similar a como lo haces en AWS:

• En AWS, puedes utilizar extremos de VPC para acceder de forma segura a los servicios de AWS sin exponer el tráfico al Internet público ni usar una puerta de enlace de Internet o NAT. Puedes obtener el mismo resultado con el Acceso privado a Google en tus subredes, de modo que tus VMs con solo IPs internas puedan acceder a las direcciones IP externas de la API de Google.
• Tanto en AWS como en Google Cloud, puedes usar la traducción de direcciones de red para la comunicación solo saliente de tus VMs al Internet público. Así, tus instancias pueden descargar actualizaciones o completar el aprovisionamiento. En Google Cloud, este servicio se llama Google Cloud NAT.
• En AWS, si quieres conectar de forma segura tus VMs, puedes usar **Session Manager de AWS Systems Manager** para conectarte a tus instancias EC2. Del mismo modo, puedes utilizar Google Cloud IAP (Identity-Aware Proxy) como un solo punto de control para administrar el acceso de los usuarios a tus recursos de procesamiento.

Finalice su lab

Cuando haya completado el lab, haga clic en Finalizar lab. Google Cloud Skills Boost quitará los recursos que usó y limpiará la cuenta.

Tendrá la oportunidad de calificar su experiencia en el lab. Seleccione la cantidad de estrellas que corresponda, ingrese un comentario y haga clic en Enviar.

La cantidad de estrellas indica lo siguiente:

• 1 estrella = Muy insatisfecho
• 2 estrellas = Insatisfecho
• 3 estrellas = Neutral
• 4 estrellas = Satisfecho
• 5 estrellas = Muy satisfecho

Puede cerrar el cuadro de diálogo si no desea proporcionar comentarios.

Para enviar comentarios, sugerencias o correcciones, use la pestaña Asistencia.

Copyright 2020 Google LLC. All rights reserved. Google y el logotipo de Google son marcas de Google LLC. Los demás nombres de productos y empresas pueden ser marcas de las respectivas empresas a las que estén asociados.