Nella vista del piano dati, Google Cloud NetApp Volumes può connettersi a una VPC condivisa. È possibile creare volumi nel progetto di hosting o in uno dei progetti di servizio connessi alla VPC condivisa. Tutti i progetti (host o servizi) connessi a quella VPC condivisa sono in grado di raggiungere i volumi a livello di rete (TCP/IP). Poiché tutti i client con connettività di rete sulla VPC condivisa possono potenzialmente accedere ai dati tramite protocolli NAS, è necessario utilizzare il controllo degli accessi sul singolo volume (ad esempio elenchi di controllo degli accessi (ACL) utente/gruppo e nomi host/indirizzi IP per le esportazioni NFS) per controllare chi può accedere ai dati.

È possibile connettere Google Cloud NetApp Volumes a un massimo di cinque VPC per progetto del cliente. Sul piano di controllo, il progetto consente di gestire tutti i volumi creati, indipendentemente dalla VPC a cui sono connessi. Sul piano dati, le VPC sono isolate l'una dall'altra e ogni volume può essere connesso a una sola VPC.

L'accesso ai singoli volumi è controllato da meccanismi di controllo degli accessi specifici del protocollo (NFS/SMB).

In altre parole, a livello di rete, tutti i progetti connessi alla VPC condivisa sono in grado di vedere il volume, mentre, a livello di gestione, il piano di controllo consente solo al progetto proprietario di vedere il volume.

I controlli del servizio VPC stabiliscono un perimetro di controllo degli accessi attorno ai servizi Google Cloud collegati a Internet e accessibili in tutto il mondo. Questi servizi forniscono il controllo degli accessi tramite le identità degli utenti, ma non possono limitare la provenienza delle richieste di posizione di rete. I controlli del servizio VPC colmano questa lacuna introducendo funzionalità per limitare l'accesso a reti definite.

Il piano dati di Google Cloud NetApp Volumes non è connesso a Internet esterno, bensì a VPC private con confini di rete (perimetri) ben definiti. All'interno di tale rete, ogni volume utilizza un controllo di accesso specifico del protocollo. Qualsiasi connettività di rete esterna viene creata esplicitamente dagli amministratori del progetto Google Cloud. Il piano di controllo, tuttavia, non fornisce le stesse protezioni del piano dati e può essere accessibile da chiunque da qualsiasi luogo con credenziali valide ( "Token JWT" ).

In breve, il piano dati di Google Cloud NetApp Volumes offre la possibilità di controllare l'accesso alla rete, senza il requisito di supportare i controlli del servizio VPC e senza utilizzarli esplicitamente.

Le acquisizioni di pacchetti possono essere utili per risolvere problemi di rete o altri problemi (ad esempio autorizzazioni NAS, connettività LDAP e così via), ma possono anche essere utilizzate in modo dannoso per ottenere informazioni sugli indirizzi IP di rete, sugli indirizzi MAC, sui nomi di utenti e gruppi e sul livello di sicurezza utilizzato sugli endpoint. A causa del modo in cui sono configurate le regole di rete, VPC e firewall di Google Cloud, l'accesso indesiderato ai pacchetti di rete dovrebbe essere difficile da ottenere senza credenziali di accesso utente o"Token JWT" nelle istanze cloud. Le acquisizioni di pacchetti sono possibili solo sugli endpoint (ad esempio sulle macchine virtuali (VM)) e solo sugli endpoint interni alla VPC, a meno che non venga utilizzata una VPC condivisa e/o un tunnel di rete esterno/inoltro IP per consentire esplicitamente il traffico esterno agli endpoint. Non c'è modo di intercettare il traffico esterno ai client.

Quando vengono utilizzate VPC condivise, la crittografia in-flight con NFS Kerberos e/o"Crittografia SMB" può mascherare gran parte delle informazioni ricavate dalle tracce. Tuttavia, una parte del traffico viene ancora inviata in testo normale, come ad esempio"DNS" E"Query LDAP" . La figura seguente mostra l'acquisizione di un pacchetto da una query LDAP in testo normale proveniente da Google Cloud NetApp Volumes e le potenziali informazioni identificative esposte. Le query LDAP in Google Cloud NetApp Volumes attualmente non supportano la crittografia o LDAP su SSL. NetApp Volumes-Performance supporta la firma LDAP, se richiesta da Active Directory. NetApp Volumes-SW non supporta la firma LDAP.

La figura seguente mostra l'acquisizione di un pacchetto da una conversazione NFS Kerberos accanto all'acquisizione di NFS su AUTH_SYS. Si noti come le informazioni disponibili in una traccia differiscano tra i due e come l'abilitazione della crittografia in-flight offra una maggiore sicurezza complessiva per il traffico NAS.

Un trucco che gli aggressori potrebbero tentare è quello di aggiungere una nuova scheda di interfaccia di rete (NIC) a una VM in "modalità promiscua" (port mirroring) oppure abilitare la modalità promiscua su una NIC esistente per intercettare tutto il traffico. In Google Cloud, l'aggiunta di una nuova NIC richiede l'arresto completo di una VM, il che genera avvisi, in modo che gli aggressori non possano farlo senza essere notati.

Inoltre, le NIC non possono essere impostate in modalità promiscua e attiveranno avvisi in Google Cloud.