GCP Cloud VPN: ελέγξτε πύλη, σήραγγα και τείχος προστασίας με τη σειρά

Η κονσόλα σας δείχνει μια πράσινη σήραγγα, η παρακολούθηση στην εγκατάσταση εξακολουθεί να μην φτάνει ούτε ένα στιγμιότυπο, και η ανακατασκευή της σήραγγας φαίνεται ως η προφανής λύση. Σπάνια είναι. Μια συστημένη σήραγγα αποδεικνύει μόνο ότι δύο πύλες ολοκλήρωσαν την ανταλλαγή IKE. Δεν λέει τίποτα για το αν επιτράπηκε ποτέ σε ένα πακέτο να μπει στο VPC σας.

Τέσσερις αποφάσεις στέκονται ανάμεσα σε αυτό το πράσινο εικονίδιο και μια απάντηση, και αποτυγχάνουν με προβλέψιμη σειρά. Ξεκινήστε από τη φθηνότερη.

Τρία αντικείμενα, και μόνο ένα από αυτά κρυπτογραφεί

Μια πύλη VPN κατέχει την εξωτερική διεύθυνση στην οποία κρυπτογραφεί ο ομότιμος σας. Στην κονσόλα δεν τη δημιουργείτε ποτέ με το χέρι: επιλέξτε ή δεσμεύστε μια διεύθυνση μέσα στη φόρμα σύνδεσης και η πύλη εμφανίζεται μαζί της. Μια πύλη HA παίρνει δύο διευθύνσεις σε δύο διασυνδέσεις, κάτι που μετράει στον έλεγχο ορίων αργότερα.

Μια σήραγγα είναι το ζευγάρωμα ανάμεσα σε αυτή την πύλη και τον ομότιμο. Μεταφέρει το κοινό μυστικό και τους επιλογείς κίνησης που υπόσχεται να προστατεύσει. Σε αυτούς τους επιλογείς ξεκινούν οι περισσότερες σιωπηλές αποτυχίες. Μια σήραγγα της οποίας ο τοπικός επιλογέας καλύπτει το 10.0.0.0/24 δεν θα παραδώσει το 10.0.1.0/24, όσο υγιής κι αν φαίνεται η κατάσταση.

Το απομακρυσμένο άκρο κρατά τη δική του λίστα, που συνήθως ονομάζεται τομέας κρυπτογράφησης, και το υλικό τερματισμού τη συγκρίνει με τη δική σας. Καμία πλευρά δεν διαπραγματεύεται επιλογέα που δεν της δόθηκε ποτέ.

Ο τύπος δρομολόγησης αποφασίζει τι φτάνει στον πίνακα δρομολόγησης

Το Cloud VPN προσφέρει τρεις μορφές δρομολόγησης και δεν αναμειγνύονται καθαρά. Η δρομολόγηση βάσει πολιτικής κρατά τα στατικά ζεύγη επιλογέων, η δρομολόγηση βάσει διαδρομών περιμένει να προσθέσετε εσείς στατικές διαδρομές, και η δυναμική δρομολόγηση διαφημίζει προθέματα μέσω ενός Cloud Router πάνω από BGP. Διαλέξτε μία επίτηδες.

Μια δυναμική σήραγγα με χειρόγραφες στατικές διαδρομές δίπλα της παράγει πίνακα δρομολόγησης που αδειάζει κάθε φορά που ταλαντεύεται η συνεδρία BGP.

Η δυναμική είναι η μόνη μορφή που αφήνει τα προστατευμένα προθέματα να αλλάξουν χωρίς ανακατασκευή της σήραγγας, και σέρνει το Cloud Router στο σύνολο αντικειμένων που πρέπει να επαληθεύσετε. Οι στατικοί επιλογείς παραμένουν εφικτοί όταν ο ομότιμος είναι υλικό τείχους προστασίας που δεν μιλά BGP. Τότε και τα δύο άκρα χρειάζονται τα ίδια εύρη, και η πιο συγκεκριμένη εγγραφή πρέπει να κερδίσει και στα δύο. Ένα ζεύγος που διαφωνεί κατά ένα υποδίκτυο συστήνεται και μετά μεταφέρει τη μισή κίνηση σας.

Η υπονοούμενη άρνηση κάθεται πίσω από τη σήραγγα

Η εισερχόμενη κίνηση αξιολογείται απέναντι σε μια υπονοούμενη άρνηση με τη χαμηλότερη προτεραιότητα, και αυτός ο κανόνας δεν νοιάζεται που το πακέτο έφτασε κρυπτογραφημένο. Μέχρι ένας κανόνας τείχους προστασίας να ονομάσει το εύρος της εγκατάστασης και τη θύρα σε χρήση, το πακέτο αποκρυπτογραφείται, ελέγχεται και απορρίπτεται. Το αρχείο καταγραφής VPN μένει καθαρό σε όλη τη διάρκεια, γιατί η σήραγγα έκανε ακριβώς αυτό που υποσχέθηκε.

Διαβάστε αντί γι' αυτό το αρχείο απορρίψεων του τείχους προστασίας όταν η σήραγγα είναι ενεργή και η δοκιμή λήγει, και μετά περιορίστε έναν κανόνα στο εύρος προέλευσης και στις θύρες που χρειάζεστε:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Η λειτουργία μίας μόνο κατεύθυνσης είναι ένδειξη τείχους προστασίας

Η εξερχόμενη κίνηση συμπεριφέρεται διαφορετικά, γιατί ο υπονοούμενος κανόνας αποδοχής αφήνει τα στιγμιότυπα να στέλνουν οπουδήποτε. Ένα κέντρο δεδομένων που δεν φτάνει ένα VM συχνά κάθεται πίσω από ένα τέλεια λειτουργικό εξερχόμενο μονοπάτι στην άλλη κατεύθυνση. Αυτή η ασυμμετρία χωρίζει μια παράλειψη τείχους προστασίας από βλάβη δρομολόγησης, αφού μια βλάβη δρομολόγησης σπάει και τις δύο κατευθύνσεις μαζί. Δοκιμάστε την αντίστροφη κατεύθυνση πριν επεξεργαστείτε άλλον έναν κανόνα.

Η δημιουργία διεύθυνσης είναι επίσης πράξη ορίου. Ένα έργο κοντά στο όριο του για εξωτερικές διευθύνσεις σε χρήση απορρίπτει τη σύνδεση με σφάλμα που διαβάζεται ως αποτυχία δικαιωμάτων.

Επιλογείς, όρια, μετά οι τέσσερις έλεγχοι

Οι σήραγγες που δημιουργήθηκαν στην κονσόλα μερικές φορές επιστρέφουν κενό απομακρυσμένο επιλογέα κίνησης από το gcloud compute vpn-tunnels describe, ενώ οι παραγόμενες διαδρομές μεταφέρουν σωστά την κίνηση. Συγκρίνετε τι καταγράφει το API με τα εύρη που πραγματικά προστατεύετε πριν αποφασίσετε ότι η σήραγγα είναι λάθος. Η δημιουργία μέσω API ή SDK κρατά τον επιλογέα ρητό.

Τα όρια είναι η άλλη εύκολη παράλειψη. Ζητήστε την αύξηση πριν από το παράθυρο συντήρησης και όχι κατά τη διάρκειά του, και ελέγξτε τον αριθμό διευθύνσεων στο ίδιο έργο με την πύλη.

Δουλέψτε από έξω προς τα μέσα: κατάσταση ομοτίμου, και οι δύο λίστες επιλογέων, διαδρομή για κάθε πλευρά, κανόνας εισερχόμενης κίνησης για το εύρος προέλευσης και τη θύρα, μετά σύλληψη πακέτων. Γράψτε τη διεύθυνση της πύλης, και τις δύο λίστες επιλογέων και τον τύπο δρομολόγησης στο δελτίο αλλαγής όσο η σήραγγα είναι νέα, γιατί ο επόμενος μηχανικός που θα προσθέσει υποδίκτυο θα χρειαστεί και τα τρία.