Cloud VPN i VM ar GCP: defnyddiwch y IP mewnol, nid yr IP NAT

Unwaith y bydd rhwydwaith ar-safle yn cyrraedd VPC drwy Cloud VPN, y cyrchfan ar gyfer gwasanaeth Compute Engine fel arfer yw cyfeiriad mewnol y VM. Nid yw’r cyfeiriad IPv4 allanol yn ail gyfeiriad y gallwch ei roi yn yr un llwybr preifat. Daw’r rhan fwyaf o’r dryswch yn y maes hwn o drin tri chyfeiriad â thair swyddogaeth fel pethau cyfnewidiol, felly dechreuwch drwy enwi pa un y mae pecyn penodol yn ei ddefnyddio.

Tri chyfeiriad, tair swyddogaeth

Enwch y tri ohonynt cyn dadfygio unrhyw un, oherwydd mae’r ateb yn newid y gwrthrych rydych yn ei archwilio nesaf.

Mae’r cyntaf yn perthyn i’r tiwnel. Mae’r ail yn perthyn i’ch cynllun llwybr a wal dân. Mae’r trydydd yn perthyn i fynediad rhyngrwyd sy’n dod i mewn ac mae’n cael ei fapio, nid ei atodi. Nid yw cynllun sy’n gweithio i un ohonynt yn dweud dim am y ddau arall.

Pam nad yw’r cyfeiriad allanol yn ail ryngwyneb

Y canllaw cyfeirio yw’r awdurdod ar y ffordd y mae cyrhaeddiad mewnol ac allanol yn wahanol ar Compute Engine. Mae IPv4 allanol Compute Engine yn mapio un-i-un ar unig NIC mewnol y gwrthrych, felly nid yw’r gwestai byth yn gweld ail ryngwyneb nac ail gyfeiriad ar y NIC hwnnw. Yr hyn y mae’r VM yn ei adrodd o’r tu mewn yw un cyfeiriad mewnol sylfaenol o hyd.

Dyna pam mae cleient preifat sy’n llwybro tuag at 10.24.1.7 drwy’r tiwnel, a chleient sy’n targedu cyfeiriad allanol y VM, ar wahanol lwybrau. Nid yw agor rheol wal dân ar gyfer y cyfeiriad cyhoeddus yn newid dim ar y llwybr VPC sy’n gorfod cario traffig y tiwnel, ac nid yw golygu llwybr ar y gwestai yn symud mapio’r platfform. Dewiswch y cyfeiriad y mae eich llwybr yn ei enwi, yna archwiliwch yn unig y gwrthrychau sy’n ei lywodraethu. Mae’r ddisgyblaeth hon yn tynnu’r rhan fwyaf o’r dyfalu o’r llwybr datrys problemau hwn.

Cerddwch y llwybr gyda gcloud

Dechreuwch o’r gwrthrych a darllenwch y ddau gyfeiriad o’r un gwrthrych, fel y gwyddoch pa un y mae eich dogfennaeth yn sôn amdano:

gcloud compute instances describe app-1 --zone=europe-west1-b \
  --format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"

Yna cadarnhewch y llwybro a’r caniatâd y mae’r llwybr yn dibynnu arnynt mewn gwirionedd:

gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1

Darllenwch yr ystodau a hysbysebir ac a ddysgir gan y tiwnel, llwybr VPC ar gyfer is-rwydwaith y llwyth gwaith, a’r rheol wal dân sy’n caniatáu’r ffynhonnell ar-safle. Mae’n rhaid i’r tri hyn gytuno cyn bod gwrandäwr ar y gwestai yn berthnasol o gwbl.

Yna gwiriwch y gwestai: a yw’r gwasanaeth yn gwrando ar y cyfeiriad mewnol, ac a yw ei lwybr dychwelyd yn mynd yn ôl drwy’r VPC? Bydd gwrandäwr sydd wedi’i rwymo i gyfeiriad cyhoeddus yn unig yn methu’r prawf hwn hyd yn oed pan fo pob gwrthrych ar ochr y cwmwl yn gywir.

Mae rhagddodiad cyhoeddus yn gwestiwn gwahanol

Nid yw dim o’r uchod yn golygu bod yn rhaid i bob cyfeiriad a gludir y tu mewn i VPN fod yn RFC1918. Gellir rhifo rhwydwaith pell yn gyfreithlon o ofod cyhoeddus, ar yr amod bod y platfform yn cefnogi’r llwybro a bod yr gweithredwr yn dal awdurdod y cyfeiriad. Mae hynny’n ddewis cynllun arferol.

Nid yw hyn yr un peth â thrin cyfeiriad NAT allanol cyffredin fel pe bai’n gyfeiriad is-rwydwaith mewnol arall. Mae un yn rhagddodiad rydych yn ei lwybro; mae’r llall yn fapio y mae’r platfform yn ei gymhwyso i fynediad sy’n dod i mewn.

Mae gan IPv6 allanol a threfniadau cyfeiriad a gynlluniwyd yn arbennig eu semanteg eu hunain. Os yw eich cynllun yn dibynnu ar un o’r rheini, darllenwch ddogfennaeth y platfform ar gyfer y nodwedd honno yn lle cyffredinoli o achos IPv4. Mapio IPv4 yw’r achos cyffredin, nid yr unig un, ac mae gan bob eithriad ei reolau ei hun.

Mae ystodau sy’n gorgyffwrdd yn broblem wahanol

Mae ystodau preifat sy’n gorgyffwrdd yn rheswm go iawn pam mae pobl yn troi at y cyfeiriad cyhoeddus, a’r offeryn anghywir yw hwnnw. Nid yw newid y cyrchfan i gyfeiriad NAT y VM yn datrys y gorgyffwrdd; mae’n newid pa gyfeiriad y mae’r pecyn yn honni ei fod ar ei gyfer, heb ddiffinio sut y mae’r llwybr dychwelyd yn gweithio.

Datryswch y gorgyffwrdd yn fwriadol: ail-rifwch, defnyddiwch gynllun cyfieithu a gefnogir, neu lwybrowch drwy rwydwaith lle nad yw’r rhagddodiadau’n gwrthdaro. Mae pob un o’r rhain yn gynllun sydd ag perchennog. Nid yw’r cyfeiriad NAT yn gynllun.

Dogfennwch y dau faes ar wahân

Cofnodwch gymar y tiwnel a chyrchfan y llwyth gwaith fel dau faes runbook ar wahân, pob un gyda’r llwybr a’r rheol wal dân sy’n ei gefnogi. Nid yw tiwnel IPsec sy’n codi yn dweud wrthych ond bod y partïon yn cytuno; nid yw’n dweud dim am ba gyfeiriad y mae’r llwyth gwaith yn hygyrch arno, nac am ba un a yw ei lwybr preifat yn gyflawn.

Gwiriwch gyda chleient go iawn ar yr ochr arall: datryswch yr enw, cadarnhewch ei fod yn dychwelyd y cyfeiriad mewnol, cysylltwch, a gwiriwch y traffig dychwelyd. Y dogfennaeth cyfeiriadau IP Compute Engine yw’r cyfeirlyfr ar gyfer y gwahaniaeth rhwng mewnol ac allanol a ddefnyddir uchod.