GCP Cloud VPN: kontrolu pordegon, tunelon kaj fajroŝirmilon laŭ ordo

Via konzolo montras verdan tunelon, loka monitorado ankoraŭ ne povas atingi eĉ unu instancon, kaj rekonstruado de la tunelo ŝajnas la evidenta solvo. Ĝi malofte estas. Establita tunelo pruvas nur ke du pordegoj finis la IKE-interŝanĝon. Ĝi diras nenion pri tio, ĉu pako iam estis permesita en vian VPC.

Kvar decidoj staras inter tiu verda ikono kaj respondo, kaj ili malsukcesas laŭ antaŭvidebla ordo. Prilaboru ilin ekde la plej malmultekosta.

Tri objektoj, kaj nur unu el ili ĉifras

VPN-pordego posedas la eksteran adreson al kiu via samtavolano ĉifras. En la konzolo vi neniam kreas ĝin permane: elektu aŭ rezervu adreson ene de la konekta formularo kaj la pordego aperas kun ĝi. HA-pordego prenas du adresojn sur du interfacoj, kio gravas ĉe la kvota kontrolo poste.

Tunelo estas la parigo inter tiu pordego kaj la samtavolano. Ĝi portas la komunan sekreton kaj la trafikajn selektilojn, kiujn ĝi promesas protekti. Ĝuste ĉe tiuj selektiloj komenciĝas la plej multaj silentaj fiaskoj. Tunelo, kies loka selektilo kovras 10.0.0.0/24, ne liveros 10.0.1.0/24, kiom ajn sana la stato aspektos.

La malproksima flanko tenas sian propran liston, kutime nomatan ĉifrada domajno, kaj la fina aparataro komparas ĝin kun la via. Neniu flanko intertraktas selektilon, kiun ĝi neniam ricevis.

La enkursiga tipo decidas, kio atingas la enkursigan tabelon

Cloud VPN proponas tri enkursigajn formojn kaj ili ne miksiĝas pure. Politikbazita enkursigado tenas la statikajn selektilajn parojn, vojbazita enkursigado atendas, ke vi mem aldonu statikajn vojojn, kaj dinamika enkursigado anoncas prefiksojn tra Cloud Router per BGP. Elektu unu intence.

Dinamika tunelo kun permane skribitaj statikaj vojoj apud ĝi produktas enkursigan tabelon, kiu malpleniĝas ĉiufoje kiam la BGP-sesio ŝanceliĝas.

Dinamika estas la sola formo, kiu lasas la protektitajn prefiksojn ŝanĝiĝi sen rekonstrui la tunelon, kaj ĝi trenas la Cloud Router en la aron da objektoj, kiujn vi devas kontroli. Statikaj selektiloj restas fareblaj kiam la samtavolano estas aparatara fajroŝirmilo, kiu ne povas paroli BGP. Tiam ambaŭ finoj bezonas la samajn gamojn, kaj la pli specifa rikordo devas venki ĉe ambaŭ. Paro, kiu malkonsentas pri unu subreto, establiĝas kaj poste portas duonon de via trafiko.

La implicita malpermeso sidas malantaŭ la tunelo

Envena trafiko estas taksata kontraŭ implicita malpermeso ĉe la plej malalta prioritato, kaj tiu regulo ne zorgas, ke la pako alvenis ĉifrita. Ĝis fajroŝirmila regulo nomas la lokan gamon kaj la uzatan pordon, la pako estas malĉifrata, inspektata kaj forĵetata. La VPN-protokolo restas pura la tutan tempon, ĉar la tunelo faris ĝuste tion, kion ĝi promesis.

Anstataŭe legu la malakceptan protokolon de la fajroŝirmilo, kiam la tunelo funkcias kaj la provo elĉerpiĝas, poste limigu regulon al la fonta gamo kaj la pordoj, kiujn vi bezonas:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Funkcianta unu direkto estas fajroŝirmila signo

Elvena trafiko kondutas alie, ĉar la implicita permesa regulo lasas instancojn sendi ie ajn. Datena centro, kiu ne povas atingi VM, ofte sidas malantaŭ perfekte funkcianta elira vojo en la alia direkto. Tiu asimetrio apartigas fajroŝirmilan preterlasaĵon de enkursiga paneo, ĉar enkursiga paneo rompas ambaŭ direktojn samtempe. Testu la inversan direkton antaŭ ol vi redaktu ankoraŭ unu regulon.

Kreado de adreso ankaŭ estas kvota operacio. Projekto proksima al sia limo de uzataj eksteraj adresoj malakceptas la konekton per eraro, kiu legiĝas kiel permessa fiasko.

Selektiloj, kvotoj, poste la kvar kontroloj

Konzole kreitaj tuneloj foje redonas malplenan malproksiman trafikan selektilon el gcloud compute vpn-tunnels describe, dum generitaj vojoj portas la trafikon ĝuste. Komparu, kion la API registras, kun la gamoj, kiujn vi efektive protektas, antaŭ ol decidi, ke la tunelo estas malĝusta. Krei ĝin per API aŭ SDK tenas la selektilon eksplicita.

Kvotoj estas la alia facila preterlasaĵo. Petu la pliigon antaŭ la prizorga fenestro, ne dum ĝi, kaj kontrolu la adresan nombron en la sama projekto kiel la pordego.

Laboru de ekstere enen: samtavolana stato, ambaŭ selektilaj listoj, vojo por ĉiu flanko, envena regulo por la fonta gamo kaj pordo, poste pakkaptado. Skribu la pordegan adreson, ambaŭ selektilajn listojn kaj la enkursigan tipon en la ŝanĝbileton dum la tunelo estas nova, ĉar la sekva inĝeniero, kiu aldonos subreton, bezonos ĉiujn tri.