Redes VPC y Cloud NGFW

• Da conectividad a las VM (incluidos los nodos de GKE), aloja balanceadores internos y conecta con on-premises mediante Cloud VPN o Cloud Interconnect.
• Los recursos de una VPC se comunican con IP internas, sujetos a las reglas de firewall, que se aplican en las propias VM.
• Un proyecto puede tener varias VPC. Los proyectos nuevos empiezan con la red default (modo automático con reglas de firewall prerrellenadas), salvo que la restricción compute.skipDefaultNetworkCreation lo impida.
• No admiten broadcast ni multicast.
• Una VM puede usar cualquier subred de la región de su zona.

Modo automático o personalizado

Se puede pasar de modo automático a personalizado, pero no al revés.

gcloud compute networks create prod-vpc --subnet-mode=custom
gcloud compute networks subnets create web-subnet \
  --network=prod-vpc --region=us-central1 --range=10.10.0.0/24

Subredes y rangos de IP

• Cada subred tiene un rango IPv4 principal (IP internas de las VM, balanceadores internos, reenvío de protocolos) y, opcionalmente, rangos secundarios que solo usan los rangos de IP alias (por ejemplo, Pods y Services de GKE).
• Los rangos no tienen que ser contiguos, pero cada rango principal o secundario de la red debe ser un bloque CIDR único.
• Propósito de la subred: normal (PRIVATE, por defecto) o reservada para Private NAT (PRIVATE_NAT). En general no se puede cambiar después.

Google usa las dos primeras y las dos últimas direcciones del rango principal. En los rangos secundarios se pueden usar todas. La puerta de enlace no responde a ping. Ampliar una subred se ve en el dominio D3.

VPC compartida

Conecta recursos de varios proyectos de la misma organización a una red común, para que se comuniquen con IP internas. Centraliza el control de subredes, rutas y firewalls y delega la gestión de instancias. En la API se llama «XPN».

• Un proyecto no puede ser host y de servicio a la vez. Puede haber varios host, pero cada proyecto de servicio se adjunta a uno solo.
• Shared VPC Admin (roles/compute.xpnAdmin): habilita el host y adjunta proyectos de servicio.
• Service Project Admin: con roles/compute.networkUser en el host (sobre todo el proyecto o subredes concretas) puede crear recursos en esas subredes, sin poder cambiar la red.

gcloud compute shared-vpc enable HOST_PROJECT_ID
gcloud compute shared-vpc associated-projects add SERVICE_PROJECT_ID --host-project HOST_PROJECT_ID

VPC Network Peering

Conecta dos redes VPC para que sus recursos se comuniquen con IP internas, con la misma latencia y ancho de banda que dentro de una red. Pueden estar en el mismo proyecto, en proyectos distintos o en organizaciones distintas.

• No es transitivo: si A está emparejada con B y B con C, A y C no se comunican.
• Las redes siguen administrándose por separado; solo se intercambian rutas según la configuración de cada lado.
• No intercambia reglas ni políticas de firewall: los tags de red y las cuentas de servicio de una red no seleccionan VM de la otra.
• No se pueden emparejar dos redes en modo automático; una personalizada con una automática sí, si la personalizada no usa rangos dentro de 10.128.0.0/9.

Cloud Next Generation Firewall es un firewall distribuido con inspección con estado y control de capa 7, para el tráfico norte-sur (que entra o sale de la VPC) y este-oeste (dentro de la VPC). Aplica reglas a las VM y a ciertos balanceadores basados en Envoy.

Reglas de firewall de VPC

Pertenecen a una red VPC. Cada regla tiene estos componentes:

• Son con estado: si se permite una conexión, también se permite la respuesta mientras el seguimiento siga activo (al menos un paquete cada 10 minutos).
• Acciones implícitas: si ninguna regla coincide, el tráfico entrante a una VM se deniega y el saliente se permite.
• La red default trae default-allow-internal (desde 10.128.0.0/9), default-allow-ssh (tcp:22), default-allow-rdp (tcp:3389) y default-allow-icmp, todas con prioridad 65534 y modificables.
• El tráfico con el servidor de metadatos (169.254.169.254) siempre se permite.
• Una misma regla no puede combinar tags de red y cuentas de servicio.

gcloud compute firewall-rules create allow-web --network=prod-vpc \
  --direction=INGRESS --action=ALLOW --rules=tcp:80,tcp:443 \
  --source-ranges=0.0.0.0/0 --target-tags=web --priority=1000

Políticas de firewall

Una política agrupa varias reglas para actualizarlas a la vez y controlar quién las gestiona con IAM.

• Las reglas de política tienen prioridades de 0 a 2 147 483 547.
• Acciones: allow, deny, goto_next (seguir evaluando en el siguiente nivel) y apply_security_profile_group (enviar a inspección de capa 7).

Orden de evaluación

Con el orden por defecto (AFTER_CLASSIC_FIREWALL):

Con BEFORE_CLASSIC_FIREWALL, las políticas globales y regionales de red se evalúan antes que las reglas de VPC. Se cambia con gcloud compute networks update --network-firewall-policy-enforcement-order. Las jerárquicas y las de sistema siempre van primero.

Tags seguros, tags de red y cuentas de servicio

Por eso, filtrar por cuenta de servicio o por tag seguro es más estricto que por tag de red: un administrador de instancias puede añadir un tag de red a una VM y cambiar las reglas que le aplican. Los tags seguros permiten microsegmentación basada en identidad. Una clave de tag admite hasta 1000 valores y su propósito no se puede cambiar después.

Escenarios de examen

Trampas frecuentes del examen