GCP Cloud VPN: gwirio'r giât, y twmnel a'r wal dân yn y drefn iawn

Mae eich consol yn dangos twmnel gwyrdd, mae monitro ar y safle yn dal i fethu cyrraedd unrhyw enghraifft, ac mae ailadeiladu'r twmnel yn edrych fel yr ateb amlwg. Anaml y mae. Nid yw twmnel sefydledig yn profi dim ond bod dau giât wedi gorffen y gyfnewid IKE. Nid yw'n dweud dim am ba un a gafodd pecyn ei ganiatáu erioed i mewn i'ch VPC.

Mae pedair penderfyniad rhwng y eicon gwyrdd hwnnw ac ateb, ac maent yn methu mewn trefn ragweladwy. Dechreuwch gyda'r rhataf.

Tri gwrthrych, a dim ond un ohonynt sy'n amgryptio

Mae giât VPN yn berchen ar y cyfeiriad allanol y mae eich cymar yn amgryptio iddo. Yn y consol ni chrëwch hi byth â llaw: dewiswch neu neilltuwch gyfeiriad y tu mewn i'r ffurflen gysylltu a bydd y giât yn ymddangos gydag ef. Mae giât HA yn cymryd dau gyfeiriad ar ddau ryngwyneb, sy'n bwysig yn y gwiriad cwota yn ddiweddarach.

Mae twmnel yn baru rhwng y giât honno a'r cymar. Mae'n cludo'r gyfrinach a rennir a'r detholwyr traffig y mae'n addo eu hamddiffyn. Yn y detholwyr hynny y mae'r rhan fwyaf o'r methiannau tawel yn dechrau. Ni fydd twmnel y mae ei ddetholydd lleol yn cwmpasu 10.0.0.0/24 yn danfon 10.0.1.0/24, waeth pa mor iach y mae'r statws yn edrych.

Mae'r pen pell yn cadw ei restr ei hun, a elwir fel arfer yn barth amgryptio, ac mae'r caledwedd terfynu yn ei chymharu â'ch un chi. Nid yw'r naill ochr yn trafod detholydd na chafodd erioed.

Math llwybro sy'n penderfynu beth sy'n cyrraedd y tabl llwybrau

Mae Cloud VPN yn cynnig tri siâp llwybro ac nid ydynt yn cymysgu'n lân. Mae llwybro seiliedig ar bolisi yn cadw'r parau detholydd statig, mae llwybro seiliedig ar lwybrau yn disgwyl i chi ychwanegu llwybrau statig eich hun, ac mae llwybro deinamig yn hysbysebu rhagddodiadau drwy Cloud Router dros BGP. Dewiswch un yn fwriadol.

Mae twmnel deinamig gyda llwybrau statig wedi'u hysgrifennu â llaw wrth ei ochr yn cynhyrchu tabl llwybrau sy'n gwagio pryd bynnag y bydd y sesiwn BGP yn siglo.

Deinamig yw'r unig siâp sy'n gadael i'r rhagddodiadau gwarchodedig newid heb ailadeiladu'r twmnel, ac mae'n llusgo'r Cloud Router i mewn i'r set o wrthrychau y mae'n rhaid i chi eu gwirio. Mae detholwyr statig yn parhau'n ymarferol pan fo'r cymar yn wal dân galedwedd nad yw'n gallu siarad BGP. Yna mae angen yr un ystodau ar y ddau ben, a rhaid i'r cofnod mwy penodol ennill ar y ddau. Mae pâr sy'n anghytuno gan un is-rwydwaith yn sefydlu ac yna'n cludo hanner eich traffig.

Mae'r gwadiad ymhlyg yn eistedd y tu ôl i'r twmnel

Mae traffig sy'n dod i mewn yn cael ei asesu yn erbyn gwadiad ymhlyg ar y flaenoriaeth isaf, ac nid yw'r rheol honno'n poeni bod y pecyn wedi cyrraedd wedi'i amgryptio. Hyd nes y bydd rheol wal dân yn enwi'r ystod ar y safle a'r porthladd sy'n cael ei ddefnyddio, mae'r pecyn yn cael ei ddadgryptio, ei archwilio a'i ollwng. Mae log VPN yn aros yn lân drwyddi draw, oherwydd gwnaeth y twmnel yn union yr hyn a addawodd.

Darllenwch y log gwadu wal dân yn lle hynny pan fo'r twmnel i fyny a'r archwiliad yn rhedeg allan o amser, yna cwmpaswch reol i'r ystod ffynhonnell a'r porthladdoedd sydd eu hangen arnoch:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Un cyfeiriad yn gweithio yw cliw wal dân

Mae traffig sy'n mynd allan yn ymddwyn yn wahanol, oherwydd mae'r rheol caniatáu ymhlyg yn gadael i enghreifftiau anfon i unrhyw le. Mae canolfan ddata na all gyrraedd VM yn aml yn eistedd y tu ôl i lwybr allan sy'n gweithio'n berffaith yn y cyfeiriad arall. Mae'r anghymesuredd hwnnw'n gwahanu esgeulustod wal dân oddi wrth fai llwybro, gan fod bai llwybro yn torri'r ddau gyfeiriad ar unwaith. Profwch y cyfeiriad gwrthdro cyn i chi olygu un rheol arall.

Mae creu cyfeiriad yn weithrediad cwota hefyd. Mae prosiect sy'n agos at ei derfyn cyfeiriadau allanol sy'n cael eu defnyddio yn gwrthod y cysylltiad gyda gwall sy'n darllen fel methiant caniatâd.

Detholwyr, cwotâu, yna'r pedwar gwiriad

Mae tunnellau a grëwyd yn y consol weithiau'n dychwelyd detholydd traffig pell gwag o gcloud compute vpn-tunnels describe tra bod llwybrau a gynhyrchwyd yn cludo traffig yn gywir. Cymharwch yr hyn y mae'r API yn ei gofnodi â'r ystodau rydych chi'n eu hamddiffyn mewn gwirionedd cyn penderfynu bod y twmnel yn anghywir. Mae ei greu drwy'r API neu'r SDK yn cadw'r detholydd yn amlwg.

Cwotâu yw'r esgeulustod hawdd arall. Gofynnwch am y cynnydd cyn y ffenestr gynnal a chadw yn hytrach nag yn ystod, a gwirio'r cyfrif cyfeiriadau yn yr un prosiect â'r giât.

Gweithiwch o'r tu allan i mewn: statws cymar, y ddwy restr detholydd, llwybr ar gyfer pob ochr, rheol dod i mewn ar gyfer yr ystod ffynhonnell a'r porthladd, yna cipio pecynnau. Ysgrifennwch gyfeiriad y giât, y ddwy restr detholydd a'r math llwybro yn y tocyn newid tra bo'r twmnel yn newydd, oherwydd bydd y peiriannydd nesaf sy'n ychwanegu is-rwydwaith angen y tri.