GCP Cloud VPN: comproveu la passarel·la, el túnel i el tallafoc per ordre

La consola mostra un túnel verd, el monitoratge local encara no pot arribar a cap instància, i reconstruir el túnel sembla la solució òbvia. Poques vegades ho és. Un túnel establert només demostra que dues passarel·les van acabar l'intercanvi IKE. No diu res sobre si algun paquet va ser admès mai a la vostra VPC.

Quatre decisions separen aquesta icona verda d'una resposta, i fallen en un ordre previsible. Comenceu per la més barata.

Tres objectes, i només un d'ells xifra

Una passarel·la VPN posseeix l'adreça externa a la qual xifra el vostre par. A la consola no la creeu mai a mà: trieu o reserveu una adreça dins del formulari de connexió i la passarel·la apareix amb ella. Una passarel·la HA ocupa dues adreces en dues interfícies, cosa que importa a la comprovació de quotes més endavant.

Un túnel és l'aparellament entre aquesta passarel·la i el par. Porta el secret compartit i els selectors de trànsit que promet protegir. És en aquests selectors on comencen la majoria de fallades silencioses. Un túnel el selector local del qual cobreix 10.0.0.0/24 no lliurarà 10.0.1.0/24, per sa que l'estat sembli saludable.

L'extrem remot manté la seva pròpia llista, normalment anomenada domini de xifrat, i el maquinari terminador la compara amb la vostra. Cap costat no negocia un selector que no se li ha donat mai.

El tipus d'encaminament decideix què arriba a la taula de rutes

Cloud VPN ofereix tres formes d'encaminament i no es barregen net. L'encaminament basat en polítiques conserva els parells de selectors estàtics, l'encaminament basat en rutes espera que afegiu vosaltres mateixos rutes estàtiques, i l'encaminament dinàmic anuncia prefixos a través d'un Cloud Router per BGP. Trieu-ne un a propòsit.

Un túnel dinàmic amb rutes estàtiques escrites a mà al costat produeix una taula de rutes que es buida sempre que la sessió BGP trontolla.

El dinàmic és l'única forma que permet canviar els prefixos protegits sense reconstruir el túnel, i arrossega el Cloud Router al conjunt d'objectes que heu de verificar. Els selectors estàtics segueixen sent viables quan el par és un tallafoc de maquinari que no sap parlar BGP. Aleshores els dos extrems necessiten els mateixos rangs, i l'entrada més específica ha de guanyar en tots dos. Una parella que discrepa en una subxarxa s'estableix i després porta la meitat del vostre trànsit.

La denegació implícita se seu darrere del túnel

L'entrada s'avalua contra una denegació implícita a la prioritat més baixa, i aquesta regla no té cura que el paquet hagi arribat xifrat. Fins que una regla de tallafocs no anomeni el rang local i el port en ús, el paquet es desxifra, s'inspecciona i es descarta. El registre de VPN es manté net tot el temps, perquè el túnel va fer exactament el que prometia.

Llegiu en canvi el registre de denegacions del tallafocs quan el túnel estigui actiu i la prova expire, i després limiteu una regla al rang d'origen i als ports que necessiteu:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Que funcioni una sola direcció és una pista del tallafocs

La sortida es comporta diferentment, perquè la regla d'autorització implícita deixa que les instàncies enviïn a qualsevol lloc. Un centre de dades que no pot arribar a una VM sovint se situa darrere d'un camí de sortida perfectament funcional en l'altra direcció. Aquesta asimetria separa una omissió de tallafocs d'una fallada d'encaminament, ja que una fallada d'encaminament trenca les dues direccions alhora. Proveu la direcció inversa abans d'editar una regla més.

La creació d'adreces també és una operació de quota. Un projecte a prop del seu límit d'adreces externes en ús rebutja la connexió amb un error que sembla una fallada de permisos.

Selectors, quotes, i després les quatre comprovacions

Els túnels creats a la consola de vegades retornen un selector de trànsit remot buit de gcloud compute vpn-tunnels describe mentre les rutes generades porten el trànsit correctament. Compareu què registra l'API amb els rangs que realment protegiu abans de decidir que el túnel és incorrecte. Crear-lo mitjançant l'API o el SDK manté el selector explícit.

Les quotes són l'altra errada fàcil. Demaneu l'augment abans de la finestra de manteniment, no durant, i comproveu el recompte d'adreces al mateix projecte que la passarel·la.

Treballeu de fora cap a dins: estat del par, les dues llistes de selectors, una ruta per a cada costat, una regla d'entrada per al rang d'origen i el port, i després una captura de paquets. Escriviu l'adreça de la passarel·la, les dues llistes de selectors i el tipus d'encaminament al tiquet de canvi mentre el túnel és nou, perquè el proper enginyer que afegeixi una subxarxa necessitarà les tres coses.