GKE \u00f6zel k\u00fcme nedir ve neden bu kadar \u00f6nemli? Cloud NAT ile g\u00fcvenli ve izole bir GKE \u00f6zel k\u00fcme nas\u0131l olu\u015fturulur, uygulamalar nas\u0131l da\u011f\u0131t\u0131l\u0131r ve a\u011f \u00e7\u0131k\u0131\u015f\u0131 nas\u0131l y\u00f6netilir? Bu kapsaml\u0131 rehberde ad\u0131m ad\u0131m \u00f6\u011freneceksiniz.<\/p>\n
G\u00fcn\u00fcm\u00fcz\u00fcn dijital d\u00fcnyas\u0131nda, bulut tabanl\u0131 uygulamalar i\u015f s\u00fcre\u00e7lerinin kalbinde yer al\u0131yor. Bu uygulamalar\u0131 y\u00f6netmek i\u00e7in Kubernetes gibi orkestrasyon ara\u00e7lar\u0131, \u00f6zellikle de Google Kubernetes Engine (GKE) gibi tam y\u00f6netilen hizmetler, geli\u015ftiriciler ve operasyon ekipleri i\u00e7in vazge\u00e7ilmez hale geldi. Ancak, h\u0131zla b\u00fcy\u00fcyen bu ekosistemde g\u00fcvenlik, \u00f6l\u00e7eklenebilirlik ve uyumluluk konular\u0131 her zaman \u00f6ncelikli olmaya devam ediyor. \u00d6zellikle finans, sa\u011fl\u0131k veya devlet gibi s\u0131k\u0131 d\u00fczenlemelere tabi sekt\u00f6rlerde faaliyet g\u00f6steren kurulu\u015flar i\u00e7in, uygulamalar\u0131n a\u011f izolasyonu hayati bir \u00f6neme sahiptir. Peki, GKE’nin sa\u011flad\u0131\u011f\u0131 t\u00fcm avantajlardan yararlan\u0131rken, ayn\u0131 zamanda en \u00fcst d\u00fczeyde a\u011f g\u00fcvenli\u011fini nas\u0131l sa\u011flayabiliriz? \u0130\u015fte tam da bu noktada, GKE \u00f6zel k\u00fcmeler ve Cloud NAT kombinasyonu devreye giriyor.<\/p>\n
Geleneksel olarak, bir Kubernetes k\u00fcmesindeki d\u00fc\u011f\u00fcmlerin (VM’ler) internete eri\u015fimi genellikle genel IP adresleri arac\u0131l\u0131\u011f\u0131yla sa\u011flan\u0131r. Bu yakla\u015f\u0131m, basit da\u011f\u0131t\u0131mlar i\u00e7in uygun olsa da, potansiyel g\u00fcvenlik risklerini de beraberinde getirir. Herhangi bir d\u0131\u015far\u0131dan eri\u015filebilir IP adresi, k\u00f6t\u00fc niyetli sald\u0131rganlar i\u00e7in potansiyel bir hedef anlam\u0131na gelir. Bu nedenle, bir\u00e7ok kurum, uygulamalar\u0131n\u0131 yaln\u0131zca i\u00e7 a\u011flar\u0131ndan eri\u015filebilir olacak \u015fekilde, yani genel IP adresleri olmadan \u00e7al\u0131\u015ft\u0131rmay\u0131 tercih eder. Ancak, d\u00fc\u011f\u00fcmlerin genel IP’si olmad\u0131\u011f\u0131nda, bu d\u00fc\u011f\u00fcmlerin internetten yaz\u0131l\u0131m g\u00fcncellemelerini \u00e7ekmesi, Docker imajlar\u0131n\u0131 indirmesi veya harici API’lere ba\u011flanmas\u0131 gibi temel i\u015flevleri yerine getirmesi imkans\u0131z hale gelir. Bu paradoksu \u00e7\u00f6zmek i\u00e7in Google Cloud, GKE \u00f6zel k\u00fcmeler ile Cloud NAT hizmetini m\u00fckemmel bir uyum i\u00e7inde sunar. Bu ikili, d\u00fc\u011f\u00fcmlerinize genel IP adresi atamadan, g\u00fcvenli ve kontroll\u00fc bir \u015fekilde internete \u00e7\u0131k\u0131\u015f imkan\u0131 sa\u011flar.<\/p>\n
Bu makale boyunca, GKE \u00f6zel k\u00fcme mimarisinin temel prensiplerinden ba\u015flayarak, neden bu kadar \u00f6nemli oldu\u011funu a\u00e7\u0131klayaca\u011f\u0131z. Ard\u0131ndan, ad\u0131m ad\u0131m bir GKE \u00f6zel k\u00fcme nas\u0131l olu\u015fturulur, bu k\u00fcmeye Cloud NAT nas\u0131l entegre edilir ve son olarak bu g\u00fcvenli ortama bir uygulama nas\u0131l da\u011f\u0131t\u0131l\u0131r, pratik \u00f6rneklerle g\u00f6sterece\u011fiz. Amac\u0131m\u0131z, ister buluta yeni ba\u015flayan biri olun ister deneyimli bir DevOps m\u00fchendisi, bu g\u00fc\u00e7l\u00fc kombinasyonu kendi projelerinizde ba\u015far\u0131yla uygulayabilmeniz i\u00e7in size kapsaml\u0131 ve anla\u015f\u0131l\u0131r bir rehber sunmakt\u0131r. G\u00fcvenli\u011fi birinci \u00f6ncelik haline getirirken, uygulamalar\u0131n\u0131z\u0131n internet eri\u015fimini ak\u0131ll\u0131ca y\u00f6netmenin kap\u0131lar\u0131n\u0131 aralayaca\u011f\u0131z. \u00d6rne\u011fin, bir bankan\u0131n m\u00fc\u015fteri verilerini i\u015fleyen mikro hizmetlerinin, hi\u00e7bir \u015fekilde do\u011frudan internete a\u00e7\u0131k olmadan, ancak gerekli g\u00fcncellemeleri alabilmesi ve \u00fc\u00e7\u00fcnc\u00fc taraf \u00f6deme API’lerine g\u00fcvenle eri\u015febilmesi gibi senaryolar, bu mimarinin neden bu kadar kritik oldu\u011funu a\u00e7\u0131k\u00e7a ortaya koymaktad\u0131r.<\/p>\n
GKE \u00f6zel k\u00fcmeler ve Cloud NAT, modern bulut altyap\u0131lar\u0131nda g\u00fcvenlik ve a\u011f y\u00f6netimi a\u00e7\u0131s\u0131ndan kritik \u00f6neme sahip iki ayr\u0131 ancak birbiriyle s\u0131k\u0131ca entegre \u00e7al\u0131\u015fan hizmettir. Bu b\u00f6l\u00fcmde, her birinin ne anlama geldi\u011fini, nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 ve neden genellikle birlikte kullan\u0131ld\u0131klar\u0131n\u0131 detayl\u0131 bir \u015fekilde inceleyece\u011fiz. Bu kavramlar\u0131 anlamak, g\u00fcvenli ve verimli bir GKE altyap\u0131s\u0131 kurmak i\u00e7in temel olu\u015fturacakt\u0131r.<\/p>\n
Google Kubernetes Engine (GKE) \u00f6zel k\u00fcme, ad\u0131ndan da anla\u015f\u0131laca\u011f\u0131 gibi, d\u00fc\u011f\u00fcmlerinin (Kubernetes i\u015f y\u00fcklerini bar\u0131nd\u0131ran sanal makineler) yaln\u0131zca \u00f6zel (dahili) IP adreslerine sahip oldu\u011fu bir Kubernetes k\u00fcmesidir. Bu, d\u00fc\u011f\u00fcmlerin internetten do\u011frudan eri\u015filemez oldu\u011fu anlam\u0131na gelir. Bir GKE \u00f6zel k\u00fcmesi genellikle iki ana bile\u015fenden olu\u015fur:<\/p>\n
GKE \u00d6zel K\u00fcmelerin Avantajlar\u0131:<\/strong><\/p>\n Cloud NAT (A\u011f Adresi \u00c7evirisi), Google Cloud Platform’da genel IP adresine sahip olmayan sanal makinelerin (bizim durumumuzda GKE d\u00fc\u011f\u00fcmleri) g\u00fcvenli bir \u015fekilde internete \u00e7\u0131k\u0131\u015f yapmas\u0131n\u0131 sa\u011flayan bir hizmettir. Temel olarak, dahili IP adreslerine sahip kaynaklar\u0131n internet \u00fczerindeki harici hedeflerle ileti\u015fim kurabilmesi i\u00e7in bu kaynaklar\u0131n dahili IP adreslerini, NAT ge\u00e7idi \u00fczerinden atanm\u0131\u015f genel IP adreslerine \u00e7evirir.<\/p>\n Cloud NAT’\u0131n \u00c7al\u0131\u015fma Prensibi:<\/strong><\/p>\n Cloud NAT’\u0131n Avantajlar\u0131:<\/strong><\/p>\n GKE \u00f6zel k\u00fcmeler ve Cloud NAT’\u0131n birlikte kullan\u0131lmas\u0131, birbirlerinin eksikliklerini gideren ve g\u00fc\u00e7l\u00fc bir sinerji olu\u015fturan mant\u0131kl\u0131 bir kombinasyondur. \u00d6zel k\u00fcmelerin g\u00fcvenlik faydalar\u0131 g\u00f6z \u00f6n\u00fcne al\u0131nd\u0131\u011f\u0131nda, d\u00fc\u011f\u00fcmlerin internet eri\u015fimi i\u00e7in bir mekanizmaya ihtiya\u00e7 duymalar\u0131 ka\u00e7\u0131n\u0131lmazd\u0131r. \u0130\u015fte bu noktada Cloud NAT devreye girer:<\/p>\n K\u0131sacas\u0131, GKE \u00f6zel k\u00fcme, uygulama \u00e7al\u0131\u015ft\u0131rma ortam\u0131n\u0131z\u0131n a\u011f g\u00fcvenli\u011fini en \u00fcst d\u00fczeye \u00e7\u0131kar\u0131rken, Cloud NAT bu g\u00fcvenli ortam\u0131n d\u0131\u015f d\u00fcnya ile kontroll\u00fc ve g\u00fcvenli bir \u015fekilde etkile\u015fim kurmas\u0131n\u0131 sa\u011flayan k\u00f6pr\u00fc g\u00f6revi g\u00f6r\u00fcr. Bu entegrasyon, modern ve g\u00fcvenli bulut mimarileri i\u00e7in alt\u0131n standartlardan biridir.<\/p>\n \u015eimdi teoriden prati\u011fe ge\u00e7me zaman\u0131! Bu b\u00f6l\u00fcmde, Google Cloud Platform \u00fczerinde s\u0131f\u0131rdan bir GKE \u00f6zel k\u00fcme ve ona entegre Cloud NAT altyap\u0131s\u0131 olu\u015fturma s\u00fcrecini ad\u0131m ad\u0131m ele alaca\u011f\u0131z. Bu ad\u0131mlar\u0131 takip ederek kendi g\u00fcvenli ve izole Kubernetes ortam\u0131n\u0131z\u0131 kurabileceksiniz.<\/p>\n Ba\u015flamadan \u00f6nce a\u015fa\u011f\u0131daki \u00f6n ko\u015fullar\u0131 yerine getirdi\u011finizden emin olun:<\/p>\n GKE \u00f6zel k\u00fcmeniz, \u00f6zel bir VPC a\u011f\u0131 \u00fczerinde \u00e7al\u0131\u015facakt\u0131r. Bu a\u011f i\u00e7in d\u00fc\u011f\u00fcmlerin, Pod’lar\u0131n ve Service’lerin kullanaca\u011f\u0131 IP aral\u0131klar\u0131n\u0131 belirlememiz gerekmektedir.<\/p>\n \u00d6ncelikle bir VPC a\u011f\u0131 olu\u015ftural\u0131m:<\/p>\n <\/code><\/p>\n \u015eimdi bu VPC a\u011f\u0131 i\u00e7inde GKE d\u00fc\u011f\u00fcmleri i\u00e7in birincil alt a\u011f ve Pod'lar ile Service'ler i\u00e7in ikincil IP aral\u0131klar\u0131 i\u00e7eren bir alt a\u011f olu\u015ftural\u0131m. Bu ikincil IP aral\u0131klar\u0131, GKE'nin VPC native yeteneklerini kullanarak Pod'lara ve Service'lere dahili IP'ler atamas\u0131n\u0131 sa\u011flar.<\/p>\n <\/code><\/p>\n Yukar\u0131daki komutta:<\/p>\n Art\u0131k VPC a\u011f\u0131m\u0131z haz\u0131r oldu\u011funa g\u00f6re, GKE \u00f6zel k\u00fcmemizi olu\u015fturabiliriz. Bu ad\u0131mda \u00f6zellikle \u00f6zel d\u00fc\u011f\u00fcmleri etkinle\u015ftirmeye ve kontrol d\u00fczlemi eri\u015fimini yap\u0131land\u0131rmaya dikkat edece\u011fiz.<\/p>\n <\/code><\/p>\n Bu uzun komutu inceleyelim:<\/p>\n Cloud NAT hizmeti, bir Cloud Router'a ba\u011fl\u0131 olarak \u00e7al\u0131\u015f\u0131r. Bu y\u00fczden Cloud NAT'\u0131 yap\u0131land\u0131rmadan \u00f6nce bir Cloud Router olu\u015fturmam\u0131z gerekiyor.<\/p>\n <\/code><\/p>\n \u015eimdi nihayet Cloud NAT hizmetini yap\u0131land\u0131rabiliriz. Bu, GKE d\u00fc\u011f\u00fcmlerimizin internete g\u00fcvenli bir \u015fekilde \u00e7\u0131k\u0131\u015f yapmas\u0131n\u0131 sa\u011flayacakt\u0131r.<\/p>\n <\/code><\/p>\n Bu komuttaki \u00f6nemli parametreler:<\/p>\n T\u00fcm ad\u0131mlar\u0131 tamamlad\u0131\u011f\u0131m\u0131za g\u00f6re, kurulumu do\u011frulamam\u0131z gerekiyor.<\/p>\n <\/code><\/p>\n <\/code><\/p>\n E\u011fer bastion host kullan\u0131yorsan\u0131z:<\/p>\n <\/code><\/p>\n Bu komut ba\u015far\u0131l\u0131 olursa, Cloud NAT'\u0131n d\u00fczg\u00fcn \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 g\u00f6sterir.<\/p>\n<\/li>\n<\/ol>\n Bu ad\u0131mlarla, g\u00fcvenli bir GKE \u00f6zel k\u00fcme ve internete \u00e7\u0131k\u0131\u015f\u0131 y\u00f6neten Cloud NAT altyap\u0131s\u0131n\u0131 ba\u015far\u0131yla olu\u015fturmu\u015f oldunuz. Art\u0131k bu g\u00fcvenli ortamda uygulamalar\u0131n\u0131z\u0131 da\u011f\u0131tmaya haz\u0131rs\u0131n\u0131z.<\/p>\n Altyap\u0131m\u0131z haz\u0131r oldu\u011funa g\u00f6re, \u015fimdi s\u0131ra GKE \u00f6zel k\u00fcmemize bir uygulama da\u011f\u0131tmaya geldi. Bu b\u00f6l\u00fcmde, basit bir Nginx web sunucusunu \u00f6zel k\u00fcmemize nas\u0131l da\u011f\u0131taca\u011f\u0131m\u0131z\u0131 ve d\u0131\u015f d\u00fcnyadan eri\u015fim i\u00e7in gerekli ayarlamalar\u0131 nas\u0131l yapaca\u011f\u0131m\u0131z\u0131 ad\u0131m ad\u0131m inceleyece\u011fiz. Bu da\u011f\u0131t\u0131m, Cloud NAT'\u0131n uygulama katman\u0131nda nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 anlaman\u0131za yard\u0131mc\u0131 olacakt\u0131r.<\/p>\n \u0130lk olarak, <\/code><\/p>\n Bu komut, k\u00fcme kimlik bilgilerini yerel Bir Nginx web sunucusu \u00e7al\u0131\u015ft\u0131rmak i\u00e7in bir Kubernetes Deployment nesnesi tan\u0131mlayaca\u011f\u0131z. Bu Deployment, Nginx Pod'lar\u0131n\u0131 olu\u015fturmaktan ve y\u00f6netmekten sorumlu olacakt\u0131r. Nginx imaj\u0131 Docker Hub'dan (veya Google Container Registry'den) \u00e7ekilecektir ve bu i\u015flem i\u00e7in Cloud NAT gereklidir, zira d\u00fc\u011f\u00fcmlerin genel IP'si yoktur.<\/p>\n A\u015fa\u011f\u0131daki YAML i\u00e7eri\u011fini <\/code><\/p>\n Bu Deployment dosyas\u0131n\u0131 k\u00fcmenize uygulay\u0131n:<\/p>\n <\/code><\/p>\n Deployment'\u0131n durumunu kontrol etmek i\u00e7in:<\/p>\n <\/code><\/p>\n Pod'lar\u0131n \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 ve internal IP adreslerine sahip oldu\u011funu g\u00f6receksiniz. E\u011fer imaj \u00e7ekilirken sorun ya\u015fan\u0131rsa, Cloud NAT yap\u0131land\u0131rman\u0131zda veya a\u011f g\u00fcvenlik duvar\u0131 kurallar\u0131n\u0131zda bir problem olabilir.<\/p>\n Deployment'\u0131m\u0131z \u00e7al\u0131\u015f\u0131yor, ancak Pod'lara do\u011frudan eri\u015fim genellikle \u00f6nerilmez. Pod'lar ge\u00e7ici olduklar\u0131 i\u00e7in IP adresleri de\u011fi\u015febilir. Bu nedenle, Nginx Pod'lar\u0131na dahili eri\u015fim sa\u011flamak i\u00e7in bir Kubernetes Service nesnesi olu\u015fturaca\u011f\u0131z. En yayg\u0131n Service t\u00fcrlerinden biri olan A\u015fa\u011f\u0131daki YAML i\u00e7eri\u011fini <\/code><\/p>\n Bu Service dosyas\u0131n\u0131 k\u00fcmenize uygulay\u0131n:<\/p>\n <\/code><\/p>\n Service'in durumunu kontrol etmek i\u00e7in:<\/p>\n <\/code><\/p>\n E\u011fer Nginx uygulaman\u0131z\u0131n internetten eri\u015filebilir olmas\u0131n\u0131 istiyorsan\u0131z, bir En basit yol, A\u015fa\u011f\u0131daki YAML i\u00e7eri\u011fini <\/code><\/p>\n Bu Service dosyas\u0131n\u0131 k\u00fcmenize uygulay\u0131n:<\/p>\n <\/code><\/p>\n Birka\u00e7 dakika bekledikten sonra, Service'in durumunu kontrol edin:<\/p>\n <\/code><\/p>\n Birden fazla uygulamay\u0131 ayn\u0131 IP adresi \u00fczerinden farkl\u0131 alan adlar\u0131 veya URL yollar\u0131 ile d\u0131\u015far\u0131ya a\u00e7man\u0131z gerekiyorsa, bir Ingress Controller kullanmak daha esnektir. GKE, yerle\u015fik bir Ingress Controller ile gelir (GCP Load Balancer'\u0131 kullan\u0131r), ancak Nginx Ingress Controller gibi a\u00e7\u0131k kaynakl\u0131 \u00e7\u00f6z\u00fcmleri de da\u011f\u0131tabilirsiniz.<\/p>\n Bu makalenin kapsam\u0131n\u0131 a\u015faca\u011f\u0131 i\u00e7in, Ingress kurulum detaylar\u0131na burada yer vermiyoruz. Ancak genel i\u015fleyi\u015f \u015f\u00f6yledir: Ingress Controller, bir Load Balancer Service (genellikle tipi Bir GKE \u00f6zel k\u00fcme ve Cloud NAT kurulumu, ba\u015fl\u0131 ba\u015f\u0131na g\u00fc\u00e7l\u00fc bir g\u00fcvenlik temeli olu\u015fturur. Ancak, modern siber g\u00fcvenlik tehditlerinin karma\u015f\u0131kl\u0131\u011f\u0131 g\u00f6z \u00f6n\u00fcne al\u0131nd\u0131\u011f\u0131nda, bu temeli daha da g\u00fc\u00e7lendirmek ve k\u00fcmenizi her y\u00f6nden korumak i\u00e7in ek ad\u0131mlar atmak \u00f6nemlidir. Bu b\u00f6l\u00fcmde, k\u00fcmenizin g\u00fcvenli\u011fini art\u0131rmak, y\u00f6netilebilirli\u011fini geli\u015ftirmek ve daha geli\u015fmi\u015f senaryolara uyum sa\u011flamak i\u00e7in kullanabilece\u011finiz ileri d\u00fczey konular\u0131 ve en iyi uygulamalar\u0131 ele alaca\u011f\u0131z.<\/p>\n Daha \u00f6nce de belirtti\u011fimiz gibi, GKE kontrol d\u00fczleminize eri\u015fimi k\u0131s\u0131tlamak kritik \u00f6neme sahiptir. Kontrol d\u00fczlemi genel bir u\u00e7 noktaya sahip olsa bile, <\/code><\/p>\n Ger\u00e7ek d\u00fcnya senaryosunda, bu IP aral\u0131klar\u0131 genellikle geli\u015ftirme ofisinizin statik genel IP adresi, bir VPN ge\u00e7idinizin genel IP'si veya bir bastion host'un genel IP'si olacakt\u0131r. Asla Hassas verilerle \u00e7al\u0131\u015f\u0131yorsan\u0131z, VPC Service Controls (VPC SC) kullanarak veri s\u0131z\u0131nt\u0131s\u0131 (data exfiltration) riskini azaltabilirsiniz. VPC SC, Google Cloud hizmetleri etraf\u0131nda bir \"g\u00fcvenlik s\u0131n\u0131r\u0131\" (security perimeter) olu\u015fturman\u0131za olanak tan\u0131r. Bu s\u0131n\u0131rlar, yetkisiz a\u011flardan gelen eri\u015fimi engeller ve hizmetler aras\u0131ndaki veri ak\u0131\u015f\u0131n\u0131 k\u0131s\u0131tlar. \u00d6rne\u011fin, GKE k\u00fcmenizdeki Pod'lar\u0131n Cloud Storage veya BigQuery gibi hizmetlere yaln\u0131zca belirli bir VPC SC s\u0131n\u0131r\u0131 i\u00e7inden eri\u015febilmesini sa\u011flayabilirsiniz. Bu, bir uygulaman\u0131n ele ge\u00e7irilmesi durumunda bile hassas verilerin d\u0131\u015far\u0131 s\u0131zmas\u0131n\u0131 engellemeye yard\u0131mc\u0131 olur.<\/p>\n Cloud NAT, dahili d\u00fc\u011f\u00fcmlerinizin internete \u00e7\u0131k\u0131\u015f\u0131n\u0131 sa\u011flarken, g\u00fcvenlik duvar\u0131 kurallar\u0131 bu \u00e7\u0131k\u0131\u015f trafi\u011fini daha da hassas bir \u015fekilde kontrol etmenize olanak tan\u0131r. \u00d6rne\u011fin, d\u00fc\u011f\u00fcmlerinizin yaln\u0131zca belirli portlara (HTTP\/HTTPS i\u00e7in 80\/443 gibi) veya belirli harici IP adreslerine eri\u015fmesine izin veren kurallar olu\u015fturabilirsiniz.<\/p>\n <\/code><\/p>\n Varsay\u0131lan izin veren g\u00fcvenlik duvar\u0131 kurallar\u0131n\u0131n \u00f6n\u00fcne ge\u00e7erek bu \u00f6zel kurallar\u0131 belirlemek, \"en az ayr\u0131cal\u0131k\" prensibini uygulaman\u0131z\u0131 sa\u011flar.<\/p>\n Herhangi bir \u00fcretim ortam\u0131nda oldu\u011fu gibi, GKE \u00f6zel k\u00fcmenizin ve Cloud NAT'\u0131n performans\u0131n\u0131 ve g\u00fcvenli\u011fini s\u00fcrekli olarak izlemek hayati \u00f6neme sahiptir. Google Cloud'\u0131n yerle\u015fik izleme ve g\u00fcnl\u00fck kayd\u0131 hizmetleri olan Cloud Logging ve Cloud Monitoring'i kullanarak bunu kolayca yapabilirsiniz. K\u00fcmenizin d\u00fc\u011f\u00fcmlerinden, Pod'lar\u0131ndan ve Cloud NAT ge\u00e7idinden gelen metrikleri ve g\u00fcnl\u00fckleri toplay\u0131n. Anormal davran\u0131\u015flar\u0131 veya potansiyel g\u00fcvenlik olaylar\u0131n\u0131 tespit etmek i\u00e7in uyar\u0131lar (alerts) ayarlay\u0131n.<\/p>\n \u00d6rne\u011fin, Cloud NAT g\u00fcnl\u00fcklerinde ani bir trafik art\u0131\u015f\u0131, bir veri s\u0131z\u0131nt\u0131s\u0131 giri\u015fimine i\u015faret edebilirken, GKE d\u00fc\u011f\u00fcmlerindeki CPU kullan\u0131m\u0131ndaki anormallikler k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m aktivitesine i\u015faret edebilir. Bu ara\u00e7lar, proaktif bir g\u00fcvenlik duru\u015fu sergilemenize yard\u0131mc\u0131 olur.<\/p>\n GKE, k\u00fcme d\u00fc\u011f\u00fcmleriniz i\u00e7in otomatik bak\u0131m ve y\u00fckseltme \u00f6zellikleri sunar. Bu \u00f6zellikleri etkinle\u015ftirerek, g\u00fcvenlik yamalar\u0131n\u0131n ve yeni Kubernetes s\u00fcr\u00fcmlerinin otomatik olarak uygulanmas\u0131n\u0131 sa\u011flayabilirsiniz. Bu, g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 kapatmak ve k\u00fcmenizi g\u00fcncel tutmak i\u00e7in kritik \u00f6neme sahiptir.<\/p>\n <\/code><\/p>\n Bir bak\u0131m penceresi belirlemek, g\u00fcncellemelerin i\u015f y\u00fcklerinizin en az etkilenece\u011fi zamanlarda yap\u0131lmas\u0131n\u0131 sa\u011flar.<\/p>\n B\u00fcy\u00fck bir finans kurulu\u015fu olan \"FinBank\", \u00f6deme i\u015flemlerini y\u00fcr\u00fcten ve m\u00fc\u015fteri verilerini i\u015fleyen mikro hizmet tabanl\u0131 uygulamalar\u0131n\u0131 GKE'ye ta\u015f\u0131maya karar verdi. Ancak, PCI DSS (Payment Card Industry Data Security Standard) uyumluluk gereksinimleri, kart sahibi verilerini i\u015fleyen t\u00fcm sistemlerin internetten tamamen izole edilmesini \u015fart ko\u015fuyordu. Bu, FinBank'\u0131n GKE d\u00fc\u011f\u00fcmlerinin genel IP adreslerine sahip olamayaca\u011f\u0131 anlam\u0131na geliyordu.<\/p>\n Zorluk:<\/strong> \u00d6zel GKE k\u00fcmesindeki mikro hizmetler, d\u0131\u015far\u0131daki banka API'lerine ba\u011flanmak, Docker imajlar\u0131n\u0131 \u00e7ekmek ve i\u015fletim sistemi g\u00fcncellemelerini almak i\u00e7in yine de internet eri\u015fimine ihtiya\u00e7 duyuyordu.<\/p>\n \u00c7\u00f6z\u00fcm:<\/strong> FinBank, GKE \u00f6zel k\u00fcmeleri ve Cloud NAT kombinasyonunu uygulad\u0131. T\u00fcm GKE d\u00fc\u011f\u00fcmleri yaln\u0131zca dahili IP adreslerine sahipti. Cloud NAT, bu d\u00fc\u011f\u00fcmlerin internete \u00e7\u0131k\u0131\u015f\u0131n\u0131 tek bir kontrol noktas\u0131ndan y\u00f6netti. Ayr\u0131ca:<\/p>\n Sonu\u00e7:<\/strong> Bu entegre g\u00fcvenlik yakla\u015f\u0131m\u0131 sayesinde FinBank, PCI DSS uyumluluk gereksinimlerini kar\u015f\u0131larken, GKE'nin sa\u011flad\u0131\u011f\u0131 \u00f6l\u00e7eklenebilirlik ve esneklikten tam olarak faydalanabildi. M\u00fc\u015fteri verileri g\u00fcvende tutulurken, uygulamalar operasyonel ihtiya\u00e7lar\u0131 i\u00e7in gerekli internet eri\u015fimine sahip oldu, ancak bu eri\u015fim tamamen kontrol alt\u0131ndayd\u0131.<\/p>\n Bu kapsaml\u0131 rehber boyunca, Google Kubernetes Engine (GKE) \u00f6zel k\u00fcmelerin ve Cloud NAT'\u0131n g\u00fcc\u00fcn\u00fc bir araya getirerek, bulut tabanl\u0131 uygulamalar\u0131n\u0131z i\u00e7in nas\u0131l son derece g\u00fcvenli, izole ve ayn\u0131 zamanda i\u015flevsel bir ortam olu\u015fturabilece\u011finizi ad\u0131m ad\u0131m ele ald\u0131k. G\u00f6rd\u00fc\u011f\u00fcm\u00fcz gibi, GKE \u00f6zel k\u00fcmeler, d\u00fc\u011f\u00fcmlerin genel IP adreslerine sahip olmamas\u0131n\u0131 sa\u011flayarak potansiyel sald\u0131r\u0131 y\u00fczeyini \u00f6nemli \u00f6l\u00e7\u00fcde azalt\u0131rken, Cloud NAT bu izole d\u00fc\u011f\u00fcmlerin internete kontroll\u00fc ve g\u00fcvenli bir \u015fekilde \u00e7\u0131k\u0131\u015f yapmas\u0131na olanak tan\u0131r. Bu ikili kombinasyon, \u00f6zellikle finans, sa\u011fl\u0131k gibi s\u0131k\u0131 d\u00fczenlemelere tabi sekt\u00f6rler ve hassas verileri i\u015fleyen uygulamalar i\u00e7in vazge\u00e7ilmezdir.<\/p>\n Uygulamal\u0131 ad\u0131mlarla, VPC a\u011f\u0131m\u0131z\u0131 olu\u015fturmaktan, GKE \u00f6zel k\u00fcmemizi yap\u0131land\u0131rmaya ve Cloud NAT ge\u00e7idini devreye almaya kadar t\u00fcm s\u00fcreci detayland\u0131rd\u0131k. Daha sonra, bu g\u00fcvenli altyap\u0131ya basit bir Nginx uygulamas\u0131n\u0131 nas\u0131l da\u011f\u0131tabilece\u011finizi ve onu d\u0131\u015f d\u00fcnyaya g\u00fcvenli bir \u015fekilde nas\u0131l a\u00e7abilece\u011finizi g\u00f6sterdik. Son olarak, Master Authorized Networks, VPC Service Controls, detayl\u0131 g\u00fcvenlik duvar\u0131 kurallar\u0131, izleme ve otomatik g\u00fcncellemeler gibi ileri d\u00fczey g\u00fcvenlik konular\u0131na de\u011finerek k\u00fcmenizi daha da g\u00fc\u00e7lendirmek i\u00e7in atabilece\u011finiz ad\u0131mlar\u0131 payla\u015ft\u0131k. Bir finans kurulu\u015funun vaka analizi, bu mimarinin ger\u00e7ek d\u00fcnyadaki \u00f6nemini ve uyumluluk gereksinimlerini nas\u0131l kar\u015f\u0131lad\u0131\u011f\u0131n\u0131 net bir \u015fekilde ortaya koydu.<\/p>\n Unutmay\u0131n ki g\u00fcvenlik s\u00fcrekli bir yolculuktur ve \"tek seferlik\" bir yap\u0131land\u0131rma ile tamamlanmaz. En iyi uygulamalar\u0131 takip etmek, g\u00fcvenlik yamalar\u0131n\u0131 d\u00fczenli olarak uygulamak, sistemlerinizi izlemek ve g\u00fcvenlik duru\u015funuzu s\u00fcrekli iyile\u015ftirmek esast\u0131r. GKE \u00f6zel k\u00fcmeler ve Cloud NAT, bu yolculukta size \u00f6nemli bir avantaj sa\u011flayarak, modern bulut altyap\u0131n\u0131z\u0131n temellerini sa\u011flam bir \u015fekilde atman\u0131za yard\u0131mc\u0131 olur. Art\u0131k, g\u00fcvenli\u011finizi tehlikeye atmadan, uygulamalar\u0131n\u0131z\u0131 GKE \u00fczerinde \u00f6l\u00e7eklenebilir ve y\u00fcksek performansl\u0131 bir \u015fekilde \u00e7al\u0131\u015ft\u0131rabilirsiniz. Bu bilgilerle donanm\u0131\u015f olarak, daha g\u00fcvenli ve diren\u00e7li bulut \u00e7\u00f6z\u00fcmleri geli\u015ftirmeye haz\u0131rs\u0131n\u0131z!<\/p>\n Hay\u0131r, GKE \u00f6zel k\u00fcmelerin d\u00fc\u011f\u00fcmleri i\u00e7in ek bir maliyet yoktur. GKE kontrol d\u00fczleminin maliyeti, \u00f6zel veya genel u\u00e7 nokta olmas\u0131na bak\u0131lmaks\u0131z\u0131n ayn\u0131d\u0131r. Ancak, Cloud NAT hizmetinin kendisinin kullan\u0131m\u0131na ba\u011fl\u0131 olarak ek maliyetler olu\u015fur. Cloud NAT, NAT a\u011f ge\u00e7itlerinin \u00e7al\u0131\u015fma s\u00fcresi ve i\u015flenen veri miktar\u0131 \u00fczerinden \u00fccretlendirilir. Bu maliyetler genellikle genel IP'lere sahip d\u00fc\u011f\u00fcmlerin maliyetinden daha d\u00fc\u015f\u00fckt\u00fcr ve sundu\u011fu g\u00fcvenlik avantajlar\u0131 g\u00f6z \u00f6n\u00fcne al\u0131nd\u0131\u011f\u0131nda genellikle tercih edilir.<\/p>\n Cloud NAT'\u0131n ba\u015fl\u0131ca alternatifi, d\u00fc\u011f\u00fcmlere genel IP adresleri atamak ve bu IP'leri g\u00fcvenlik duvar\u0131 kurallar\u0131yla k\u0131s\u0131tlamakt\u0131r. Ancak bu, y\u00f6netim karma\u015f\u0131kl\u0131\u011f\u0131n\u0131 art\u0131r\u0131r ve her d\u00fc\u011f\u00fcm\u00fcn internete do\u011frudan a\u00e7\u0131k olmas\u0131 nedeniyle g\u00fcvenlik riskini y\u00fckseltir. Di\u011fer bir alternatif, bir ara sunucu (proxy) veya bastion host arac\u0131l\u0131\u011f\u0131yla internet eri\u015fimi sa\u011flamakt\u0131r, ancak bu da ek y\u00f6netim y\u00fck\u00fc ve tek hata noktas\u0131 riski ta\u015f\u0131yabilir. Cloud NAT, tam y\u00f6netilen, y\u00fcksek oranda \u00f6l\u00e7eklenebilir ve g\u00fcvenli bir \u00e7\u00f6z\u00fcm olarak bu alternatiflere g\u00f6re genellikle daha avantajl\u0131d\u0131r.<\/p>\n \u00d6zel k\u00fcmede \u00e7al\u0131\u015fan bir uygulamay\u0131 d\u0131\u015f d\u00fcnyaya a\u00e7mak i\u00e7in d\u00fc\u011f\u00fcmlere genel IP adresleri atamak yerine, Google Cloud'\u0131n y\u00fck dengeleyici hizmetlerini kullan\u0131rs\u0131n\u0131z. En yayg\u0131n y\u00f6ntem, GKE \u00f6zel k\u00fcmeler, performans \u00fczerinde do\u011frudan \u00f6nemli bir olumsuz etkiye sahip de\u011fildir. Asl\u0131nda, a\u011f trafi\u011finin \u00f6zel VPC a\u011f\u0131 i\u00e7inde kalmas\u0131, bazen daha d\u00fc\u015f\u00fck gecikme s\u00fcreleri ve daha iyi performans sa\u011flayabilir. Cloud NAT, giden internet trafi\u011fi i\u00e7in bir ara sunucu g\u00f6revi g\u00f6rd\u00fc\u011f\u00fcnden, bu trafi\u011fe k\u00fc\u00e7\u00fck bir gecikme ekleyebilir, ancak \u00e7o\u011fu uygulama i\u00e7in bu fark ihmal edilebilir d\u00fczeydedir. Performans\u0131 etkileyen as\u0131l fakt\u00f6rler genellikle Pod kaynaklar\u0131, d\u00fc\u011f\u00fcm t\u00fcrleri, a\u011f yap\u0131land\u0131rmas\u0131 ve uygulama mimarisidir.<\/p>\n Evet, bir GKE \u00f6zel k\u00fcmesinde birden fazla Cloud NAT yap\u0131land\u0131rmas\u0131 kullanabilirsiniz. Cloud NAT, b\u00f6lgesel bir hizmettir ve genellikle belirli bir alt a\u011fa veya alt a\u011flara hizmet verecek \u015fekilde yap\u0131land\u0131r\u0131l\u0131r. E\u011fer k\u00fcmenizin farkl\u0131 d\u00fc\u011f\u00fcm havuzlar\u0131 farkl\u0131 alt a\u011flarda bulunuyorsa veya farkl\u0131 b\u00f6lgelerde d\u00fc\u011f\u00fcm havuzlar\u0131n\u0131z varsa, her b\u00f6lge veya alt a\u011f i\u00e7in ayr\u0131 Cloud NAT ge\u00e7itleri yap\u0131land\u0131rman\u0131z gerekebilir. Bu, a\u011f trafi\u011fi \u00fczerinde daha gran\u00fcler kontrol sa\u011flar ve yedeklilik i\u00e7in de faydal\u0131 olabilir.<\/p>\n <\/body><\/p>\n","protected":false},"excerpt":{"rendered":"GKE \u00f6zel k\u00fcme nedir ve neden bu kadar \u00f6nemli? Cloud NAT ile g\u00fcvenli ve izole bir GKE \u00f6zel…","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1],"tags":[],"class_list":{"0":"post-31645","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-genel","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\n\n
Cloud NAT (Network Address Translation) Nedir ve Ne \u0130\u015fe Yarar?<\/h3>\n
\n
\n
Neden GKE \u00d6zel K\u00fcmeler ve Cloud NAT Birlikte Kullan\u0131l\u0131r?<\/h3>\n
\n
Ad\u0131m Ad\u0131m Kurulum: GKE \u00d6zel K\u00fcme ve Cloud NAT Altyap\u0131s\u0131 Nas\u0131l Olu\u015fturulur?<\/h2>\n
\u00d6n Ko\u015fullar<\/h3>\n
\n
gcloud<\/code> CLI’nin yerel makinenize kurulmu\u015f ve yap\u0131land\u0131r\u0131lm\u0131\u015f olmas\u0131.<\/li>\ncompute.*<\/code> ve container.*<\/code> izinleri).<\/li>\n<\/ul>\nAd\u0131m 1: VPC A\u011f\u0131 ve Alt A\u011flar\u0131 Olu\u015fturma<\/h3>\n
\ngcloud compute networks create my-private-gke-vpc \\\n --subnet-mode=custom\n<\/pre>\n\ngcloud compute networks subnets create gke-subnet-01 \\\n --network=my-private-gke-vpc \\\n --range=10.0.0.0\/20 \\\n --region=us-central1 \\\n --enable-private-ip-google-access \\\n --secondary-range pods-range=10.10.0.0\/16 \\\n --secondary-range services-range=10.20.0.0\/16\n<\/pre>\n\n
--range=10.0.0.0\/20<\/code>: GKE d\u00fc\u011f\u00fcmlerinin alaca\u011f\u0131 IP aral\u0131\u011f\u0131d\u0131r.<\/li>\n--secondary-range pods-range=10.10.0.0\/16<\/code>: Pod'lar i\u00e7in ayr\u0131lan IP aral\u0131\u011f\u0131d\u0131r.<\/li>\n--secondary-range services-range=10.20.0.0\/16<\/code>: Service'ler i\u00e7in ayr\u0131lan IP aral\u0131\u011f\u0131d\u0131r.<\/li>\n--enable-private-ip-google-access<\/code>: Bu, d\u00fc\u011f\u00fcmlerin internete \u00e7\u0131kmadan Google API'lerine (\u00f6rne\u011fin GCR, Cloud Logging) \u00f6zel IP \u00fczerinden eri\u015fmesini sa\u011flar. Bu, Cloud NAT'a olan ba\u011f\u0131ml\u0131l\u0131\u011f\u0131 azalt\u0131r ancak internete \u00e7\u0131k\u0131\u015f i\u00e7in Cloud NAT hala gereklidir.<\/li>\n<\/ul>\nAd\u0131m 2: GKE \u00d6zel K\u00fcme Olu\u015fturma<\/h3>\n
\ngcloud container clusters create private-gke-cluster \\\n --enable-private-nodes \\\n --master-ipv4-cidr=172.16.0.0\/28 \\\n --enable-master-authorized-networks \\\n --master-authorized-networks=0.0.0.0\/0 \\\n --enable-ip-alias \\\n --network=my-private-gke-vpc \\\n --subnetwork=gke-subnet-01 \\\n --cluster-secondary-range-name=pods-range \\\n --services-secondary-range-name=services-range \\\n --region=us-central1 \\\n --machine-type=e2-medium \\\n --num-nodes=1 \\\n --node-locations=us-central1-a \\\n --no-enable-public-ip\n<\/pre>\n\n
--enable-private-nodes<\/code>: Bu en kritik parametredir. D\u00fc\u011f\u00fcmlerin genel IP adresi almas\u0131n\u0131 engeller ve yaln\u0131zca i\u00e7 IP'lere sahip olmalar\u0131n\u0131 sa\u011flar.<\/li>\n--master-ipv4-cidr=172.16.0.0\/28<\/code>: K\u00fcme kontrol d\u00fczlemi i\u00e7in ayr\u0131lacak IP aral\u0131\u011f\u0131d\u0131r. Bu aral\u0131k, VPC a\u011f\u0131n\u0131zdaki di\u011fer IP aral\u0131klar\u0131yla \u00e7ak\u0131\u015fmamal\u0131d\u0131r.<\/li>\n--enable-master-authorized-networks<\/code> ve --master-authorized-networks=0.0.0.0\/0<\/code>: Kontrol d\u00fczlemi varsay\u0131lan olarak genel bir u\u00e7 noktaya sahip olacakt\u0131r (ancak d\u00fc\u011f\u00fcmler \u00f6zeldir). 0.0.0.0\/0<\/code> ile t\u00fcm IP'lerden eri\u015fime izin veriyoruz, ancak ger\u00e7ek bir senaryoda buraya sadece kendi ofis IP'nizi veya VPN a\u011f\u0131n\u0131z\u0131n IP'lerini ekleyerek kontrol d\u00fczlemi eri\u015fimini k\u0131s\u0131tlamal\u0131s\u0131n\u0131z. Alternatif olarak, tamamen \u00f6zel bir kontrol d\u00fczlemi i\u00e7in --enable-private-endpoint<\/code> kullanabilirsiniz.<\/li>\n--enable-ip-alias<\/code>: VPC native k\u00fcmeleri etkinle\u015ftirir. Bu, Pod'lara ve Service'lere VPC IP adresleri atamas\u0131n\u0131 sa\u011flar.<\/li>\n--network<\/code> ve --subnetwork<\/code>: Yukar\u0131da olu\u015fturdu\u011fumuz VPC a\u011f\u0131n\u0131 ve alt a\u011f\u0131 belirtir.<\/li>\n--cluster-secondary-range-name<\/code> ve --services-secondary-range-name<\/code>: Pod'lar ve Service'ler i\u00e7in belirledi\u011fimiz ikincil IP aral\u0131klar\u0131n\u0131n isimlerini belirtir.<\/li>\n--no-enable-public-ip<\/code>: D\u00fc\u011f\u00fcmlerin genel IP'ye sahip olmamas\u0131n\u0131 sa\u011flar (--enable-private-nodes<\/code> ile ayn\u0131 etkiyi yapar, ancak a\u00e7\u0131k\u00e7a belirtmek g\u00fcvenlik a\u00e7\u0131s\u0131ndan iyi bir pratiktir).<\/li>\n<\/ul>\nAd\u0131m 3: Cloud Router Olu\u015fturma<\/h3>\n
\ngcloud compute routers create nat-router-us-central1 \\\n --region=us-central1 \\\n --network=my-private-gke-vpc\n<\/pre>\nAd\u0131m 4: Cloud NAT Yap\u0131land\u0131rma<\/h3>\n
\ngcloud compute routers nat create gke-nat-config \\\n --router=nat-router-us-central1 \\\n --region=us-central1 \\\n --nat-custom-subnet-ip-ranges=gke-subnet-01 \\\n --auto-allocate-nat-external-ips \\\n --enable-endpoint-independent-mapping\n<\/pre>\n\n
--router=nat-router-us-central1<\/code>: Yukar\u0131da olu\u015fturdu\u011fumuz Cloud Router'\u0131 belirtir.<\/li>\n--nat-custom-subnet-ip-ranges=gke-subnet-01<\/code>: NAT hizmeti verece\u011fi alt a\u011f\u0131 belirtir. GKE d\u00fc\u011f\u00fcmlerinin bulundu\u011fu alt a\u011f\u0131 se\u00e7iyoruz.<\/li>\n--auto-allocate-nat-external-ips<\/code>: Cloud NAT'\u0131n otomatik olarak genel IP adresleri ay\u0131rmas\u0131n\u0131 sa\u011flar. \u0130sterseniz \u00f6nceden ayr\u0131lm\u0131\u015f statik genel IP adreslerini de kullanabilirsiniz (--nat-external-ips<\/code> ile).<\/li>\n--enable-endpoint-independent-mapping<\/code>: \u00c7o\u011fu senaryo i\u00e7in varsay\u0131lan olarak etkinle\u015ftirilmesi \u00f6nerilen bir se\u00e7enektir. Daha iyi uyumluluk ve performans sa\u011flar.<\/li>\n<\/ul>\nAd\u0131m 5: Kurulumu Do\u011frulama<\/h3>\n
\n
\n kubectl get nodes -o wide\n <\/pre>\nEXTERNAL-IP<\/code> s\u00fctununun bo\u015f oldu\u011funu veya sadece internal IP oldu\u011funu g\u00f6rmelisiniz.<\/p>\n<\/li>\n\n gcloud compute ssh gke-private-gke-cluster-default-pool-xxx \\\n --zone us-central1-a --internal-ip\n <\/pre>\n\n # Bastion host'a ba\u011flan\u0131n\n # Bastion host'tan GKE d\u00fc\u011f\u00fcm\u00fcne ba\u011flan\u0131n (i\u00e7 IP \u00fczerinden)\n # GKE d\u00fc\u011f\u00fcm\u00fcnde interneti test edin\n curl google.com\n <\/pre>\nUygulama Da\u011f\u0131t\u0131m\u0131: \u00d6zel K\u00fcmenize Bir Nginx Uygulamas\u0131 Nas\u0131l Konu\u015fland\u0131r\u0131l\u0131r?<\/h2>\n
Ad\u0131m 1: Kubernetes Kimlik Do\u011frulamas\u0131<\/h3>\n
kubectl<\/code> komut sat\u0131r\u0131 arac\u0131n\u0131z\u0131 yeni olu\u015fturdu\u011funuz \u00f6zel k\u00fcmenizle ileti\u015fim kuracak \u015fekilde yap\u0131land\u0131rman\u0131z gerekir. Bu, gcloud<\/code> CLI kullan\u0131larak kolayca yap\u0131labilir.<\/p>\n\ngcloud container clusters get-credentials private-gke-cluster --region us-central1\n<\/pre>\nkubeconfig<\/code> dosyan\u0131za ekleyecektir. Art\u0131k kubectl<\/code> komutlar\u0131n\u0131 kullanarak k\u00fcmenizle etkile\u015fim kurabilirsiniz.<\/p>\n--master-authorized-networks<\/code>), get-credentials<\/code> komutunu \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131n\u0131z makinenin IP adresinin bu listeye dahil oldu\u011fundan emin olun. Aksi takdirde, k\u00fcme API'sine eri\u015fim sa\u011flayamazs\u0131n\u0131z.\n<\/div>\nAd\u0131m 2: Nginx Deployment Olu\u015fturma<\/h3>\n
nginx-deployment.yaml<\/code> ad\u0131yla kaydedin:<\/p>\n\napiVersion: apps\/v1\nkind: Deployment\nmetadata:\n name: nginx-deployment\n labels:\n app: nginx\nspec:\n replicas: 3\n selector:\n matchLabels:\n app: nginx\n template:\n metadata:\n labels:\n app: nginx\n spec:\n containers:\n - name: nginx\n image: nginx:latest # Docker Hub'dan \u00e7ekilecek, Cloud NAT gerekli\n ports:\n - containerPort: 80\n resources:\n requests:\n cpu: \"100m\"\n memory: \"128Mi\"\n limits:\n cpu: \"200m\"\n memory: \"256Mi\"\n<\/pre>\n\nkubectl apply -f nginx-deployment.yaml\n<\/pre>\n\nkubectl get deployments\nkubectl get pods -o wide\n<\/pre>\nAd\u0131m 3: Nginx Service Olu\u015fturma (Internal Eri\u015fime A\u00e7ma)<\/h3>\n
ClusterIP<\/code> kullanaca\u011f\u0131z, bu da Service'e yaln\u0131zca k\u00fcme i\u00e7inden eri\u015filebilen bir IP adresi atar.<\/p>\nnginx-service.yaml<\/code> ad\u0131yla kaydedin:<\/p>\n\napiVersion: v1\nkind: Service\nmetadata:\n name: nginx-service\nspec:\n selector:\n app: nginx\n ports:\n - protocol: TCP\n port: 80\n targetPort: 80\n type: ClusterIP # K\u00fcme i\u00e7inden eri\u015fim i\u00e7in\n<\/pre>\n\nkubectl apply -f nginx-service.yaml\n<\/pre>\n\nkubectl get services\n<\/pre>\nnginx-service<\/code> i\u00e7in bir ClusterIP<\/code> atand\u0131\u011f\u0131n\u0131 g\u00f6receksiniz. Bu IP adresine k\u00fcme i\u00e7indeki herhangi bir Pod'dan eri\u015febilirsiniz.<\/p>\nAd\u0131m 4: Uygulamay\u0131 D\u0131\u015far\u0131ya A\u00e7ma (LoadBalancer veya Ingress Kullan\u0131m\u0131)<\/h3>\n
LoadBalancer<\/code> t\u00fcr\u00fcnde Service veya bir Ingress Controller kullanman\u0131z gerekir. Cloud NAT, d\u00fc\u011f\u00fcmlerin internete \u00e7\u0131k\u0131\u015f\u0131 i\u00e7in olsa da, uygulamalar\u0131n d\u0131\u015far\u0131dan eri\u015filebilir olmas\u0131 i\u00e7in GCP'nin Y\u00fck Dengeleyici hizmetleri devreye girer. Bu hizmetler, k\u00fcmenizdeki d\u00fc\u011f\u00fcmlere y\u00f6nlendirilen bir genel IP adresi atar ve trafi\u011fi ilgili Pod'lara iletir.<\/p>\nSe\u00e7enek A: LoadBalancer Tipi Service Olu\u015fturma<\/h4>\n
LoadBalancer<\/code> tipi bir Service olu\u015fturmakt\u0131r. Bu, GCP'de bir A\u011f Y\u00fck Dengeleyici (Network Load Balancer) olu\u015fturacak ve ona bir genel IP adresi atayacakt\u0131r.<\/p>\nnginx-loadbalancer.yaml<\/code> ad\u0131yla kaydedin:<\/p>\n\napiVersion: v1\nkind: Service\nmetadata:\n name: nginx-external-service\nspec:\n selector:\n app: nginx\n ports:\n - protocol: TCP\n port: 80\n targetPort: 80\n type: LoadBalancer # D\u0131\u015far\u0131dan eri\u015fim i\u00e7in\n<\/pre>\n\nkubectl apply -f nginx-loadbalancer.yaml\n<\/pre>\n\nkubectl get services\n<\/pre>\nnginx-external-service<\/code> i\u00e7in EXTERNAL-IP<\/code> s\u00fctununda bir IP adresi g\u00f6receksiniz. Bu IP adresini bir taray\u0131c\u0131da a\u00e7arak Nginx uygulaman\u0131za internetten eri\u015fip eri\u015femedi\u011finizi test edebilirsiniz. Bu genel IP adresi, d\u00fc\u011f\u00fcmlere atanmam\u0131\u015ft\u0131r; do\u011frudan Google Cloud'un y\u00fck dengeleyici altyap\u0131s\u0131 taraf\u0131ndan y\u00f6netilir ve trafi\u011fi dahili IP'lere sahip d\u00fc\u011f\u00fcmlerinize y\u00f6nlendirir.<\/p>\nSe\u00e7enek B: Ingress Controller Kullan\u0131m\u0131 (Daha Geli\u015fmi\u015f Senaryolar \u0130\u00e7in)<\/h4>\n
NodePort<\/code> veya ClusterIP<\/code> olan bir Service'i \u00f6n\u00fcnde) arac\u0131l\u0131\u011f\u0131yla d\u0131\u015f d\u00fcnyaya a\u00e7\u0131l\u0131r ve gelen HTTP\/S trafi\u011fini URL'ye veya host ad\u0131na g\u00f6re y\u00f6nlendirir. Ingress'in kendisi GCP HTTP(S) Load Balancer'\u0131n\u0131 tetikler ve bu y\u00fck dengeleyici de bir genel IP adresine sahip olur.<\/p>\nAd\u0131m 5: Uygulaman\u0131n Eri\u015filebilirli\u011fini Test Etme<\/h3>\n
LoadBalancer<\/code> tipi Service ile da\u011f\u0131t\u0131m yapt\u0131ysan\u0131z, kubectl get services<\/code> \u00e7\u0131kt\u0131s\u0131ndaki EXTERNAL-IP<\/code> adresini taray\u0131c\u0131n\u0131zda a\u00e7arak Nginx varsay\u0131lan sayfas\u0131n\u0131 g\u00f6rmelisiniz. Bu, uygulaman\u0131z\u0131n \u00f6zel GKE k\u00fcmenizde ba\u015far\u0131yla \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 ve Cloud NAT ile d\u00fc\u011f\u00fcmlerin imajlar\u0131 \u00e7ekebildi\u011fini, ayr\u0131ca GCP Y\u00fck Dengeleyici arac\u0131l\u0131\u011f\u0131yla d\u0131\u015far\u0131dan eri\u015filebilir oldu\u011funu kan\u0131tlar. Bu kurulum, g\u00fcvenlikten \u00f6d\u00fcn vermeden uygulamalar\u0131n\u0131z\u0131 d\u00fcnyaya a\u00e7man\u0131n etkili bir yoludur.<\/p>\nG\u00fcvenlik ve \u0130leri Konular: K\u00fcmenizi Daha da G\u00fc\u00e7l\u00fc Hale Getirmek \u0130\u00e7in Ne Yapmal\u0131s\u0131n\u0131z?<\/h2>\n
Master Authorized Networks (Kontrol D\u00fczlemi Yetkilendirilmi\u015f A\u011flar)<\/h3>\n
Master Authorized Networks<\/code> \u00f6zelli\u011fini kullanarak bu eri\u015fimi yaln\u0131zca belirledi\u011finiz IP aral\u0131klar\u0131yla s\u0131n\u0131rlayabilirsiniz. Bu, potansiyel sald\u0131rganlar\u0131n k\u00fcmenizin API sunucusuna eri\u015fmesini zorla\u015ft\u0131r\u0131r.<\/p>\n\n# K\u00fcme olu\u015fturma s\u0131ras\u0131nda\ngcloud container clusters create private-gke-cluster \\\n --enable-master-authorized-networks \\\n --master-authorized-networks=CIDR_BLOGU_1,CIDR_BLOGU_2 \\\n ...\n\n# Mevcut k\u00fcmeyi g\u00fcncellemek i\u00e7in\ngcloud container clusters update private-gke-cluster \\\n --enable-master-authorized-networks \\\n --master-authorized-networks=KENDI_IP_ADRESINIZ\/32,OFIS_VPN_CIDR\n<\/pre>\n0.0.0.0\/0<\/code> kullanmaktan ka\u00e7\u0131n\u0131n, zira bu t\u00fcm d\u00fcnyaya eri\u015fim izni verir.<\/p>\nVPC Service Controls ile Veri S\u0131z\u0131nt\u0131s\u0131 \u00d6nleme<\/h3>\n
G\u00fcvenlik Duvar\u0131 Kurallar\u0131 ile A\u011f Eri\u015fimini \u0130nce Ayarlama<\/h3>\n
\n# Sadece belirli bir harici IP adresine 443 portundan \u00e7\u0131k\u0131\u015fa izin veren kural\ngcloud compute firewall-rules create allow-egress-to-external-api \\\n --network=my-private-gke-vpc \\\n --action=ALLOW \\\n --direction=EGRESS \\\n --rules=tcp:443 \\\n --destination-ranges=EXTERNAL_API_IP_ADRESI\/32 \\\n --source-ranges=GKE_SUBNET_IP_RANGE \\\n --priority=65534\n<\/pre>\nLogging ve \u0130zleme: Her An Haberdar Olun<\/h3>\n
Otomatik Bak\u0131m ve G\u00fcncellemeler<\/h3>\n
\ngcloud container clusters update private-gke-cluster \\\n --enable-autoupgrade \\\n --enable-autorepair \\\n --maintenance-window-start=2024-06-01T03:00:00Z \\\n --maintenance-window-end=2024-06-01T07:00:00Z\n<\/pre>\nVaka Analizi: B\u00fcy\u00fck Bir Finans Kurulu\u015funun PCI DSS Uyumlulu\u011fu Yolculu\u011fu<\/h3>\n
\n
Master Authorized Networks<\/code> kullan\u0131larak g\u00fcvence alt\u0131na al\u0131nd\u0131.<\/li>\nSonu\u00e7: G\u00fcvenli ve \u00d6l\u00e7eklenebilir Bir Gelece\u011fe Ad\u0131m At\u0131n<\/h2>\n
S\u0131k\u00e7a Sorulan Sorular (SSS)<\/h3>\n
GKE \u00f6zel k\u00fcmenin maliyeti normal (genel) k\u00fcmeden farkl\u0131 m\u0131?<\/h4>\n
Cloud NAT'\u0131n alternatifleri nelerdir?<\/h4>\n
\u00d6zel k\u00fcmede \u00e7al\u0131\u015fan uygulaman\u0131n d\u0131\u015f d\u00fcnyaya a\u00e7\u0131lmas\u0131 nas\u0131l yap\u0131l\u0131r?<\/h4>\n
LoadBalancer<\/code> tipi bir Kubernetes Service olu\u015fturmakt\u0131r. Bu, Google Cloud'da otomatik olarak bir A\u011f Y\u00fck Dengeleyici (Network Load Balancer) veya HTTP(S) Y\u00fck Dengeleyici (E\u011fer Ingress kullan\u0131l\u0131yorsa) olu\u015fturur ve bu y\u00fck dengeleyiciye bir genel IP adresi atar. Gelen trafik bu genel IP \u00fczerinden y\u00fck dengeleyiciye ula\u015f\u0131r ve oradan k\u00fcmenizin \u00f6zel IP'lere sahip d\u00fc\u011f\u00fcmlerindeki Pod'lara y\u00f6nlendirilir. D\u00fc\u011f\u00fcmlerin kendisi hala internetten do\u011frudan eri\u015filemez durumda kal\u0131r.<\/p>\nGKE \u00f6zel k\u00fcme performans\u0131 nas\u0131l etkiler?<\/h4>\n
Bir k\u00fcmede birden fazla Cloud NAT kullanabilir miyim?<\/h4>\n