GCP Cloud VPN: şlüzü, tuneli və firewall-u ardıcıllıqla yoxlayın

Hər yoxlama vaxt aşımına uğrayarkən qurulmuş statusu bildirən tuneldə adətən VPC firewall qaydası çatışmır. Şlüzü, seçiciləri və marşrutlaşdırma növünü bu ardıcıllıqla yoxlayın.

Konsolunuz yaşıl tunel göstərir, yerli monitorinq hələ də heç bir instansa çata bilmir və tuneli yenidən qurmaq aşkar həll kimi görünür. Bu nadir hallarda belədir. Qurulmuş tunel yalnız iki şlüzün IKE mübadiləsini bitirdiyini sübut edir. Paketin VPC-nizə ümumiyyətlə buraxılıb-buraxılmadığı barədə heç nə demir.

O yaşıl ikonla cavab arasında dörd qərar dayanır və onlar proqnozlaşdırıla bilən ardıcıllıqla sıradan çıxır. Ən ucuzundan başlayın.

Üç obyekt, və onlardan yalnız biri şifrələyir

VPN şlüzü qarşı tərəfin şifrələdiyi xarici ünvana sahibdir. Konsolda onu heç vaxt əl ilə yaratmırsınız: əlaqə formasının içində ünvan seçin və ya ehtiyat edin və şlüz onunla birlikdə görünür. HA şlüzü iki interfeysdə iki ünvan alır, bu da sonradan kvota yoxlamasında vacibdir.

Tunel həmin şlüzlə qarşı tərəf arasındakı cütlükdür. O, ortaq sirri və qorumağa söz verdiyi trafik seçicilərini daşıyır. Ən çox səssiz nasazlıq məhz bu seçicilərdə başlayır. Yerli seçicisi 10.0.0.0/24-ü əhatə edən tunel 10.0.1.0/24-ü çatdırmayacaq, status nə qədər sağlam görünsə də.

Uzaq tərəf öz siyahısını saxlayır, ona adətən şifrələmə domeni deyilir və sonlandıran avadanlıq onu sizinki ilə müqayisə edir. Heç bir tərəf ona verilməmiş seçici barədə danışıq aparmır.

Marşrutlaşdırma növü marşrut cədvəlinə nəyin çatdığını müəyyən edir

Cloud VPN üç marşrutlaşdırma forması təklif edir və onlar təmiz qarışmır. Siyasət əsaslı marşrutlaşdırma statik seçici cütlərini saxlayır, marşrut əsaslı marşrutlaşdırma statik marşrutları özünüz əlavə etməyinizi gözləyir, dinamik marşrutlaşdırma isə prefiksləri BGP üzərindən Cloud Router vasitəsilə elan edir. Birini qəsdən seçin.

Yanında əl ilə yazılmış statik marşrutlar olan dinamik tunel, BGP sessiyası hər dəfə tərpənəndə boşalan marşrut cədvəli yaradır.

Dinamik tuneli yenidən qurmadan qorunan prefikslərin dəyişməsinə imkan verən yeganə formadır və Cloud Router-i yoxlamalı olduğunuz obyektlər çoxluğuna dartır. Qarşı tərəf BGP danışa bilməyən aparat firewall olduqda statik seçicilər işlək qalır. Onda hər iki uc eyni diapazonlara ehtiyac duyur və daha dəqiq giriş hər ikisində qalib gəlməlidir. Bir alt şəbəkə ilə fərqlənən cüt qurulur və sonra trafikinizin yarısını daşıyır.

Gizli rədd tunelin arxasında dayanır

Giriş ən aşağı prioritetdə gizli rəddə qarşı qiymətləndirilir və həmin qayda paketin şifrələnmiş gəldiyinə fikir vermir. Firewall qaydası yerli diapazonu və istifadə olunan portu adlandırmayana qədər paket deşifrə edilir, yoxlanılır və atılır. VPN jurnalı boyu təmiz qalır, çünki tunel tam olaraq söz verdiyini etdi.

Tunel işlək, yoxlama isə vaxt aşımına uğrayanda bunun yerinə firewall rədd jurnalını oxuyun, sonra qaydayı mənbə diapazonuna və lazım olan portlara görə məhdudlaşdırın:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Bir istiqamətin işləməsi firewall əlamətidir

Çıxış fərqli davranır, çünki gizli icazə qaydası instanslara hər yerə göndərməyə imkan verir. VM-ə çata bilməyən data mərkəzi çox vaxt digər istiqamətdə mükəmməl işləyən çıxış yolu arxasında oturur. Bu asimmetriya firewall buraxılışını marşrut nasazlığından ayırır, çünki marşrut nasazlığı hər iki istiqaməti birdən pozur. Daha bir qayda redaktə etməzdən əvvəl əks istiqaməti sınayın.

Ünvan yaradılması da kvota əməliyyatıdır. İstifadədəki xarici ünvan limitinə yaxın olan layihə əlaqəni icazə nasazlığı kimi oxunan xəta ilə rədd edir.

Seçicilər, kvotalar, sonra dörd yoxlama

Konsolda yaradılan tunellər bəzən gcloud compute vpn-tunnels describe-dən boş uzaq trafik seçicisi qaytarır, halbuki yaradılan marşrutlar trafiki düzgün daşıyır. Tunelin səhv olduğuna qərar verməzdən əvvəl API-nin qeyd etdiyini həqiqətən qoruduğunuz diapazonlarla müqayisə edin. Onu API və ya SDK vasitəsilə yaratmaq seçicini açıq saxlayır.

Kvotalar digər asan buraxılışdır. Artımı texniki xidmət pəncərəsindən əvvəl, onun içində deyil, istəyin və ünvan sayını şlüz ilə eyni layihədə yoxlayın.

Xaricdən içəriyə doğru işləyin: qarşı tərəf statusu, hər iki seçici siyahısı, hər tərəf üçün marşrut, mənbə diapazonu və port üçün giriş qaydası, sonra paket tutumu. Tunel təzə ikən şlüz ünvanını, hər iki seçici siyahısını və marşrutlaşdırma növünü dəyişiklik biletinə yazın, çünki alt şəbəkə əlavə edəcək növbəti mühəndis hər üçünə ehtiyac duyacaq.

Əlaqəli məqalələr