VM GCP â sawl NIC: pam y mae atebion yn gadael drwy’r rhyngwyneb anghywir

Mae ychwanegu ail ryngwyneb at VM Compute Engine yn rhoi iddo gysylltiad rhwydwaith arall, nid llwybr dychwelyd cymesur. Mae’r gwestai yn dal i ddewis rhyngwyneb a chyfeiriad ffynhonnell o’i lwybrau a’i reolau ei hun. Yna mae Google Cloud yn cymhwyso llwybrau VPC a pholisi’r mur tân o amgylch y rhyngwyneb y gadawodd y pecyn drwyddo. Pan fo’r ddau benderfyniad yn anghytuno, mae ceisiadau’n cyrraedd un NIC ac mae atebion yn gadael drwy’r llall, ac mae’r gangen yn gweld sgwrs hanner agored.

Cerddwch y llwybr mewn pump cam, ac fe ddaw’r anghytundeb i’r amlwg ar ôl hynny cyn i chi ysgrifennu rheol bolisi.

Cam 1: mapiwch NIC y cwmwl i ddyfeisiau’r gwestai

Mae’r cwmwl yn enwi rhyngwynebau nic0, nic1 ac yn y blaen, ac mae’r gwestai yn gweld enwau dyfeisiau nad oes rhaid iddynt gyd-fynd. Datryswch y mapio o fetadata’r achos neu o gyfeiriad y rhyngwyneb ei hun cyn unrhyw beth arall. Mae’r llwybr diofyn arferol a ddarperir gan DHCP yn gysylltiedig â nic0, a dyna pam mae’r llwybr tuag at y rhyngrwyd mor aml yn ennill ar ddamwain. Ysgrifennu polisi yn erbyn enw dyfais a ddyfalwyd yw’r ffordd y mae rheol gywir yn glanio ar y rhyngwyneb anghywir.

Cofnodwch y cyfeiriadau, enwau’r dyfeisiau a’r VPC y mae pob un yn perthyn iddo. Y map tair colofn hwnnw yw’r mewnbwn i bob cam diweddarach.

Cam 2: enwch y ddau benderfyniad llwybr

Mae’r penderfyniad cyntaf yn perthyn i’r gwestai: pa ryngwyneb a pha gyfeiriad ffynhonnell ar gyfer y pecyn hwn. Mae’r ail yn perthyn i’r cwmwl: beth mae llwybrau’r VPC a pholisi’r mur tân yn ei ganiatáu o amgylch y rhyngwyneb hwnnw.

Nid yw llwybr sy’n weladwy yn y VPC sy’n wynebu’r VPN yn dod yn llwybr gwestai sy’n dewis y NIC hwnnw. Mae llwybr y cwmwl yn disgrifio’r hyn y gall y rhwydwaith ei ddanfon, tra mae llwybr y gwestai yn penderfynu beth mae’r pecyn yn ei wneud.

Cam 3: dewiswch bolisi llwybr dychwelyd

Ar gyfer set fach a sefydlog o ragddodiaid cangen, llwybrau cyrchfan pendant y gwestai yw’r mynegiant symlaf: mae atebion i’r rhagddodiaid hynny yn gadael drwy’r rhyngwyneb sy’n wynebu’r VPN. Pan fo sawl gwasanaeth yn defnyddio cyfeiriadau ffynhonnell lleol gwahanol yn fwriadol, mae rheolau sy’n seiliedig ar ffynhonnell sy’n dewis tabl fesul rhyngwyneb yn cadw pob ateb yn y cyd-destun cywir. Mae dogfennaeth y rhyngwynebau lluosog yn disgrifio enwi NIC ac ymddygiad y llwybr diofyn y mae’r cynlluniau hyn yn dibynnu arnynt.

Mae angen llwybrau cysylltiedig dilys a naid nesaf ar bob tabl, ynghyd â’r cyrchfannau y gofynnir iddo amdanynt. Nid yw rheol sy’n pwyntio i mewn i dabl anghyflawn yn gynllun llwybr dychwelyd. Defnyddiwch y giât a ddogfenmwyd ar gyfer y NIC hwnnw yn lle dyfeisio giât Ethernet o olwg y isrwyd.

Cam 4: archwiliwch hidlwyr y gwestai ei hun

Gwiriwch ble mae’r gweinydd yn gwrando a pha ffynhonnell leol y mae’r ateb yn ei chario. Nid yw gwrandawr sy’n derbyn pob cyfeiriad yn diystyru polisi llwybro, felly nid yw rhwymo i bob cyfeiriad yn newid dim am y rhyngwyneb y mae’r ateb yn gadael drwyddo.

Ar Linux, adolygwch y dilysiad llwybr gwrthdro yn erbyn y cynllun a fwriadwyd. Mae ei analluogi’n fyd-eang fel cam cyntaf yn cyfnewid nam llwybro am agosrwydd i ffugio, ac mae’n cuddio’r anghymesuredd yr oeddech yn ceisio ei ganfod.

Cam 5: profwch un ffrwd fesul llwybr

Gwiriwch gais cangen a ganiateir a chais rhyngrwyd anghysylltiedig ar wahân, pob un â’i wir ffynhonnell a chyrchfan. Cipiwch ar y ddau ryngwyneb pan allwch, oherwydd y dystiolaeth ddefnyddiol yw pa ryngwyneb a gariodd yr ateb. Yna cadarnhewch fod polisi ochr y cwmwl wedi parchu’r llwybr a gynlluniwyd gennych. Mae un cais llwyddiannus yn profi un ffrwd, nid cynllun cymesur.

Cadwch y ddau brawf ar wahân yn eich nodiadau, gan eu bod yn defnyddio llwybrau gwahanol a rheolau mur tân gwahanol.

Yr hyn nad yw ail NIC yn ei roi i chi

Mae ail ryngwyneb yn ychwanegu cysylltiad rhwydwaith a chyfeiriad arall. Nid yw’n ychwanegu llwybro cymesur awtomatig ac nid yw’n osgoi polisi’r mur tân. Trin hynny fel trwsgl llwybro yw’r rheswm y mae cynlluniau aml-NIC yn cronni rheolau na all neb eu hesbonio yn ddiweddarach.

Os oes rhaid i’r VM anfon traffig peiriannau eraill ymlaen, cynlluniwch y rôl llwybrydd honno’n benodol, gan gynnwys y gosodiad cwmwl sy’n caniatáu anfon ymlaen a hidlwyr y gwestai sy’n mynd gydag ef.