GCP Cloud VPN: গেটওয়ে, টানেল ও ফায়ারওয়াল ক্রম অনুসারে যাচাই করুন

যে টানেল প্রতিষ্ঠিত রিপোর্ট করে অথচ প্রতিটি প্রোব সময় শেষ হয়ে যায়, তার সাধারণত VPC ফায়ারওয়াল নিয়ম থাকে না। গেটওয়ে, সিলেক্টর ও রাউটিং ধরন এই ক্রমে যাচাই করুন।

আপনার কনসোল একটি সবুজ টানেল দেখায়, অন-প্রিমাইজ মনিটরিং এখনও একটি ইনস্ট্যান্সেও পৌঁছাতে পারে না, আর টানেল পুনর্নির্মাণই স্পষ্ট সমাধান মনে হয়। এটি বিরল ক্ষেত্রেই তাই। প্রতিষ্ঠিত টানেল কেবল প্রমাণ করে দুটি গেটওয়ে IKE বিনিময় শেষ করেছে। আপনার VPC-তে কোনো প্যাকেট কখনও অনুমোদিত হয়েছিল কি না, সে সম্পর্কে এটি কিছুই বলে না।

সেই সবুজ আইকন ও উত্তরটির মাঝে চারটি সিদ্ধান্ত দাঁড়িয়ে আছে, আর সেগুলো একটি পূর্বানুমেয় ক্রমে ব্যর্থ হয়। সবচেয়ে কম খরচেরটি আগে করুন।

তিনটি বস্তু, এবং তাদের মধ্যে কেবল একটি এনক্রিপ্ট করে

একটি VPN গেটওয়ে সেই বাহ্যিক ঠিকানার মালিক যেখানে আপনার পিয়ার এনক্রিপ্ট করে. কনসোলে আপনি এটি কখনও হাতে তৈরি করেন না: সংযোগ ফর্মের ভিতরে একটি ঠিকানা বেছে নিন বা সংরক্ষিত করুন এবং গেটওয়ে তার সঙ্গে হাজির হয়। একটি HA গেটওয়ে দুটি ইন্টারফেসে দুটি ঠিকানা নেয়, যা পরে কোটা যাচাইয়ে গুরুত্বপূর্ণ।

টানেল হলো ওই গেটওয়ে ও পিয়ারের মধ্যে জোড়। এটি ভাগ করা গোপন তথ্য এবং যে ট্রাফিক সিলেক্টরগুলো সুরক্ষিত করার প্রতিশ্রুতি দেয় সেগুলো বহন করে। সেই সিলেক্টরগুলোতেই অধিকাংশ নীরব ব্যর্থতা শুরু হয়। যে টানেলের স্থানীয় সিলেক্টর 10.0.0.0/24 কভার করে, সেটি 10.0.1.0/24 পৌঁছে দেবে না, স্ট্যাটাস যতই সুস্থ দেখাক।

দূর প্রান্তটি নিজের তালিকা রাখে, সাধারণত যাকে এনক্রিপশন ডোমেইন বলা হয়, এবং টার্মিনেটিং হার্ডওয়্যার তা আপনারটির সঙ্গে তুলনা করে। কোনো পক্ষই এমন সিলেক্টর নিয়ে দরকষাকষি করে না যা তাকে কখনও দেওয়া হয়নি।

রাউটিং ধরন ঠিক করে কী রাউট টেবিলে পৌঁছায়

Cloud VPN তিনটি রাউটিং আকৃতি দেয় এবং সেগুলো পরিষ্কারভাবে মেশে না। নীতি-ভিত্তিক রাউটিং স্থির সিলেক্টর জোড়া রাখে, রাউট-ভিত্তিক রাউটিং আপনার কাছ থেকে নিজে স্থির রাউট যোগ করার প্রত্যাশা করে, আর গতিশীল রাউটিং BGP-এর উপর দিয়ে Cloud Router এর মাধ্যমে প্রিফিক্স ঘোষণা করে। সচেতনভাবে একটি বেছে নিন।

পাশে হাতে লেখা স্থির রাউটযুক্ত একটি গতিশীল টানেল এমন রাউট টেবিল তৈরি করে যা BGP সেশন দোল খেললেই খালি হয়ে যায়।

গতিশীলই একমাত্র আকৃতি যা টানেল পুনর্নির্মাণ ছাড়াই সুরক্ষিত প্রিফিক্স বদলাতে দেয়, এবং এটি Cloud Router-কে আপনার যাচাই করার বস্তুর তালিকায় টেনে আনে। পিয়ার যখন এমন হার্ডওয়্যার ফায়ারওয়াল যা BGP বলতে পারে না, তখন স্থির সিলেক্টর কাজ চালিয়ে যায়। তখন দুই প্রান্তেরই একই রেঞ্জ দরকার, এবং বেশি নির্দিষ্ট এন্ট্রিকেই দুই দিকে জিততে হয়। এক সাবনেটে মতভেদকারী জোড়া প্রতিষ্ঠিত হয় এবং পরে আপনার অর্ধেক ট্রাফিক বহন করে।

অন্তর্নিহিত অস্বীকৃতি টানেলের পিছনে বসে আছে

ইনগ্রেস সবচেয়ে কম অগ্রাধিকারে একটি অন্তর্নিহিত অস্বীকৃতির বিরুদ্ধে মূল্যায়িত হয়, এবং সেই নিয়ম প্যাকেটটি এনক্রিপ্ট হয়ে এসেছে কি না তা গ্রাহ্য করে না। যতক্ষণ না একটি ফায়ারওয়াল নিয়ম অন-প্রিমাইজ রেঞ্জ ও ব্যবহৃত পোর্টের নাম নেয়, প্যাকেটটি ডিক্রিপ্ট হয়, পরীক্ষা হয় এবং ফেলে দেওয়া হয়। VPN লগ পুরো সময় পরিষ্কার থাকে, কারণ টানেল ঠিক যা প্রতিশ্রুতি দিয়েছিল তাই করেছে।

টানেল চালু থাকলে আর প্রোব সময় শেষ হলে বরং ফায়ারওয়াল অস্বীকৃতি লগ পড়ুন, তারপর নিয়মটিকে সোর্স রেঞ্জ ও আপনার প্রয়োজনীয় পোর্টে সীমাবদ্ধ করুন:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

একটি দিক কাজ করা ফায়ারওয়ালের সূত্র

ইগ্রেস ভিন্নভাবে আচরণ করে, কারণ অন্তর্নিহিত অনুমোদন নিয়ম ইনস্ট্যান্সগুলোকে যেকোনো জায়গায় পাঠাতে দেয়। যে ডেটা সেন্টার একটি VM-এ পৌঁছাতে পারে না, সেটি প্রায়ই অন্য দিকে নিখুঁতভাবে কাজ করা বহির্গামী পথের পিছনে থাকে। এই অসমতা ফায়ারওয়ালের বাদ পড়া থেকে রাউটিং ত্রুটি আলাদা করে, কারণ রাউটিং ত্রুটি একসঙ্গে দুই দিকই ভাঙে। আরও একটি নিয়ম সম্পাদনা করার আগে বিপরীত দিকটি পরীক্ষা করুন।

ঠিকানা তৈরি করাও একটি কোটা কাজ। ব্যবহারাধীন বাহ্যিক ঠিকানার সীমার কাছাকাছি একটি প্রকল্প সংযোগটি এমন ত্রুটি দিয়ে প্রত্যাখ্যান করে যা অনুমতি ব্যর্থতার মতো শোনায়।

সিলেক্টর, কোটা, তারপর চারটি যাচাই

কনসোল-তৈরি টানেল কখনও কখনও gcloud compute vpn-tunnels describe থেকে খালি রিমোট ট্রাফিক সিলেক্টর ফেরত দেয়, অথচ উৎপন্ন রাউট ট্রাফিক সঠিকভাবে বহন করে। টানেল ভুল বলে সিদ্ধান্ত নেওয়ার আগে API যা রেকর্ড করে তা আপনার সত্যিই সুরক্ষিত রেঞ্জের সঙ্গে তুলনা করুন। API বা SDK দিয়ে এটি তৈরি করলে সিলেক্টর স্পষ্ট থাকে।

কোটা হলো অন্য সহজ বাদ পড়া। রক্ষণাবেক্ষণ উইন্ডোর সময় নয়, তার আগে বৃদ্ধি চান, এবং গেটওয়ের মতো একই প্রকল্পে ঠিকানার সংখ্যা যাচাই করুন।

বাইরে থেকে ভিতরে কাজ করুন: পিয়ার স্ট্যাটাস, দুই সিলেক্টর তালিকা, প্রতিটি পাশের জন্য একটি রাউট, সোর্স রেঞ্জ ও পোর্টের জন্য একটি ইনগ্রেস নিয়ম, তারপর প্যাকেট ক্যাপচার। টানেল নতুন থাকতেই গেটওয়ে ঠিকানা, দুই সিলেক্টর তালিকা ও রাউটিং ধরন পরিবর্তন টিকিটে লিখুন, কারণ সাবনেট যোগ করা পরবর্তী ইঞ্জিনিয়ারের তিনটিই লাগবে।

সম্পর্কিত নিবন্ধ