GCP Classic VPN yn Terraform: gwnewch y twnnel yn seiliedig ar lwybr

Yn Classic VPN nid yw'r label yn penderfynu'r ymddygiad. Mae seiliedig ar lwybr yn ddetholwr lleol 0.0.0.0/0, detholwyr pell cyfatebol a llwybr penodol.

Mae'r cynllun yn gweithredu'n lân, mae'r twnnel yn codi, ac mae'r consol yn ei alw'n seiliedig ar bolisi. Nid yw'r traffig yn mynd trwodd o hyd, ac nid yw'r chwilio am doll seiliedig ar lwybr yn yr adnodd Terraform yn mynd i unman oherwydd nad oes maes o'r fath. Yn Classic VPN, nid yw ymddygiad seiliedig ar lwybr yn fodd rydych chi'n ei ddewis. Dyma'r hyn a gewch pan fo'r detholwr traffig lleol yn 0.0.0.0/0, mae'r detholwyr pell yn rhestru'r rhwydweithiau rydych chi eu heisiau mewn gwirionedd, ac mae llwybr yn pwyntio at y twnnel. Tri pheth, ac mae'r label yn dilyn.

Y myth: maes modd twnnel

Mae label y consol yn adlewyrchu'r hyn y mae'r API yn ei weld yn y detholwyr. Nid oes dim yn yr adnodd yn dweud seiliedig ar lwybr, felly nid oes dim i'w osod yn wir.

Mae chwilio am y maes hwnnw'n bwyta awr gyntaf y broblem, tra mae darllen gwerthoedd y detholwyr yn cymryd y pum munud olaf.

Beth mae seiliedig ar lwybr yn ei olygu yma

Mae Google yn dogfennu twneli seiliedig ar lwybr Classic VPN fel twneli seiliedig ar bolisi y mae eu detholwr lleol yn 0.0.0.0/0. Dim ond yr ystodau pell sy'n cael eu henwi, ac mae'r ochr leol yn cael ei thrin fel unrhyw gyfeiriad. Dyna pam mae'r marc yn eich cyfluniad yn werth yn hytrach nag yn fodd. Ysgrifennwch y ddau ddetholwr yn benodol a'u darllen yn allbwn y cynllun:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

Mae rhagddodiad y cymar yn y darn hwnnw'n ddarluniadol; y siâp yw'r rhan sy'n bwysig.

Mae'r llwybr yn wrthrych ar wahân

Nid yw gwrthrych twnnel yn gosod llwybr. Gall pecynnau gyfateb i bolisi'r twnnel ac eto heb fod â lle i fynd, oherwydd y tabl llwybro VPC sy'n penderfynu'r naid nesaf. Mae'r llwybr angen yr ystod gyrchfan, y rhwydwaith, y twnnel fel y naid nesaf, a blaenoriaeth sy'n curo unrhyw beth ehangach. Os anghofiwch hynny, gewch dwnnel sy'n adrodd ei fod wedi'i sefydlu a phrawf nad yw byth yn gadael y VPC.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Crëwch y llwybr yn yr un modiwl â'r twnnel, fel na all y ddau wyro oddi wrth ei gilydd yn ystod yr adolygiad.

Adlewyrchwch y detholwyr ar y cymar

Rhaid ffurfweddu'r ddyfais bell â'r ddelwedd drych: ei hystod leol yw eich detholwr pell, ac mae'n rhaid i'w hystod bell gwmpasu'r is-rwydweithiau GCP rydych chi'n disgwyl eu defnyddio. Os bydd unrhyw ochr yn culhau, bydd cam 2 yn methu er bod cam 1 yn llwyddo. Dyma'r ffurf fwyaf cyffredin ar ffurfweddiad sy'n edrych yn iawn yn y consol ac nad yw'n cario unrhyw draffig.

Argraffwch ddetholwyr y ddwy ochr wrth ei gilydd yn ystod adolygiad y newid.

Rhannwch y cyfeiriad statig yn ddau gymhwysiad

Mae creu'r cyfeiriad neilltuedig a'r twnnel sy'n cyfeirio ato mewn un cymhwysiad yn ffynhonnell hysbys o aflonyddwch, oherwydd rhaid i'r cyfeiriad fodoli cyn i'r rheol anfon ei ddefnyddio. Cymhwyswch adnodd y cyfeiriad ar ei ben yn gyntaf, yna ychwanegwch y porth, y rheolau anfon a'r twnnel a chymhwyso eto. Mae Terraform yn darllen y cyfeiriad presennol o'r cyflwr ar yr ail rediad ac yn ei ailddefnyddio. Os byddwch yn hepgor hynny, gall y twnnel gael cyfeiriad cyhoeddus newydd ar bob cymhwysiad, sy'n torri cyfluniad y cymar bob tro.

Mae dau gymhwysiad nawr yn rhatach na newid cymar ar bob rhyddhau.

Gwiriwch y trafodaethau, nid y label

Ar ôl cymhwyso, gwiriwch dri ffaith ar wahân: mae'r twnnel yn adrodd ei fod wedi ei sefydlu, mae'r llwybr yn bodoli gyda'r naid nesaf a fwriadwyd, ac mae'r cymar yn adrodd bod cam 1 a cham 2 i fyny.

Mae twnnel sydd i fyny gyda cham 2 i lawr yn golygu bod y ddwy ochr yn anghytuno am y detholwyr:

  • Mae un ochr yn rhestru is-rwydwaith nad yw'r llall yn ei restru.
  • Mae un ochr yn defnyddio agregiad y mae'r llall wedi'i gulhau.
  • Mae'r llwybr yn bodoli ond yn pwyntio at dwnnel gwahanol.

Un twnnel yn unig yw Classic VPN gyda SLA is na HA VPN, ac mae HA VPN yn defnyddio dwy ryngwyneb, dau dwnnel a BGP gyda mathau gwahanol o adnoddau. Mae copïo enghraifft glasurol i ffurfweddiad HA a disgwyl i'r meysydd detholwr ymddwyn yr un fath yn gamgymeriad ar wahân sy'n werth ei osgoi. Mae meysydd y twnnel eu hunain wedi'u dogfennu yn cyfeirlyfr google_compute_vpn_tunnel.

Erthyglau cysylltiedig