通过CGP应用引擎连接到本地设备

Question

我想知道如何从Flex App引擎（python应用程序）向本地设备的TCP端口9701发送TCP请求，并从设备取回数据。

选项1-设置Cloud VPN并将防火墙硬件放置在本地现有路由器的前面（如果不支持VPN IPSEC）

选项2-通过IP映射和端口转发将本地路由器设置为DMZ模式。

任何人都可以尝试一下，让我对它的工作方式以及使用与GCP VPN一起使用的任何硬件防火墙有所了解吗？

谢谢！

Answer 1

您的问题实际上非常复杂。我将简要介绍您的两个选择。

  

选项1-设置Cloud VPN并将防火墙硬件放在   本地现有路由器（如果不支持VPN IPSEC）

要设置Google Cloud VPN，需要您身边支持Google要求的硬件路由器。最便宜的路由器将无法满足最低要求。

此方法称为站点到站点，基本上是将内部网络连接到Google Cloud网络（VPC）。这需要对VPN和路由有充分的了解。好处是您所有的流量都是安全和加密的。您的内部系统可以使用其专用IP地址访问您的Google系统。

1. 您的路由器必须具有公共的静态可靠IPv4地址。
2. 您的内部网络寻址不能与您的VPC重叠。
3. 如果您在VPN路由器的前面放置防火墙，则防火墙必须支持通过ESP（IPsec）和IKE流量的传递。
4. 您的路由器必须支持碎片整理。
5. 首选动态路由（BGP），支持静态路由。

  

选项2-使用IP映射和IP映射将本地路由器设置为DMZ模式   端口转发。

此方法不涉及Cloud VPN。您一方是公开的，而您的Google资源（App Engine）只需访问您的公开IP地址。除非您自己添加，否则在此配置中不会添加任何加密或安全性。对于不需要HTTPS以外的流量安全的低成本设置，通常可以这样做。但是，您尚未提供网络图，服务等来查看如何进行NAT / PAT和保护流量。

关于DMZ的字眼。大多数人认为这是安全的。除非您在DMZ前面还具有智能防火墙，否则它不会。 DMZ只是将流量从公共端的A端口盲目传递到私有端的B端口。许多系统已被黑客入侵，因为管理员认为DMZ可以转换为安全性。通过DMZ连接的任何系统都应被视为遭受攻击和被破坏的高风险。

什么是最佳解决方案？重新设计您的需求，以便App Engine无需进入您的内部网络。

Answer 2

您好，@ Mapperkids Lee，您可以使用虚拟机或诸如pfsense的防火墙之类的本地服务器来配置您自己的网络与GCP网络之间的站点到站点VPN连接。

我发现这个tutorial具有类似的用例。