GCP Cloud VPN: kontrollige lüüsi, tunnelit ja tulemüüri õiges järjekorras

Tunnel, mis teatab ühendatud olekust, samal ajal kui iga kontroll aegub, jääb tavaliselt ilma VPC tulemüürireegelist. Kontrollige lüüsi, valijaid ja marsruutimise tüüpi selles järjekorras.

Teie konsool näitab rohelist tunnelit, kohapealne monitooring ei jõua endiselt ühegi eksemplarini ja tunneli uuesti ehitamine tundub ilmsena lahendusena. Harva on see seda. Ühendatud tunnel tõestab ainult seda, et kaks lüüsi lõpetasid IKE vahetuse. See ei ütle midagi selle kohta, kas pakett lasti kunagi teie VPC-sse.

Selle rohelise ikooni ja vastuse vahel on neli otsust ja need ebaõnnestuvad etteaimatavas järjekorras. Alustage kõige odavamast.

Kolm objekti ja ainult üks neist krüpteerib

VPN-i lüüs omab välisaadressi, millele teie partner krüpteerib. Konsoolis ei loo te seda kunagi käsitsi: valige või broneerige aadress ühenduse vormi sees ja lüüs ilmub koos sellega. HA-lüüs võtab kaks aadressi kahel liidesel, mis loeb hiljem kvoodikontrollis.

Tunnel on selle lüüsi ja partneri vaheline sidumine. See kannab ühiskat salajast võtit ja liikluse valijaid, mida lubab kaitsta. Just nendes valijates algavad enamik vaikseid tõrkeid. Tunnel, mille kohalik valija katab 10.0.0.0/24, ei tarni 10.0.1.0/24, ükskõik kui terve olek ka paistab.

Kaugem pool peab oma nimekirja, mida tavaliselt nimetatakse krüpteerimisdomeeniks, ja lõpetav riistvara võrdleb seda teie omaga. Kumbki pool ei läbi räägi valija üle, mida talle kunagi ei antud.

Marsruutimise tüüp otsustab, mis marsruutimistabelisse jõuab

Cloud VPN pakub kolme marsruutimisvormi ja need ei segune puhtalt. Poliitikapõhine marsruutimine hoiab staatilisi valijapaare, marsruudipõhine marsruutimine eeldab, et lisate staatilised marsruudid ise, ja dünaamiline marsruutimine kuulutab eesliiteid Cloud Routeri kaudu BGP abil. Valige üks meelega.

Dünaamiline tunnel koos kõrvale käsitsi kirjutatud staatiliste marsruutidega loob marsruutimistabeli, mis tühjeneb iga kord, kui BGP seanss kõigub.

Dünaamiline on ainus vorm, mis laseb kaitstud eesliidetel muutuda ilma tunnelit uuesti ehitamata, ja see tõmbab Cloud Routeri nende objektide hulka, mida peate kontrollima. Staatilised valijad jäävad kasutatavaks, kui partner on riistvaraline tulemüür, mis ei oska BGP-d rääkida. Siis vajavad mõlemad otsad samu vahemikke ja täpsem kirje peab võitma mõlemal. Paar, mis erineb ühe alavõrgu võrra, ühendub ja kannab seejärel poole teie liiklusest.

Kaudne keeld istub tunneli taga

Sisenev liiklus hinnatakse kaudse keelu vastu madalaima prioriteediga ja see reegel ei hooli sellest, et pakett saabus krüpteerituna. Kuni tulemüürireegel ei nimeta kohapealset vahemikku ja kasutatavat porti, pakett dekrüpteeritakse, kontrollitakse ja visatakse ära. VPN-i logi jääb kogu aeg puhtaks, sest tunnel tegi täpselt seda, mida lubas.

Selle asemel lugege tulemüüri keeldumislogi, kui tunnel on üleval ja kontroll aegub, seejärel piirake reeglit lähtevohemiku ja vajalike portidega:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Ühe suuna toimimine on tulemüüri vihje

Väljuv liiklus käitub teisiti, sest kaudne lubamisreegel laseb eksemplaridel saata kõikjale. Andmekeskus, mis ei jõua VM-ini, istub sageli teises suunas täiesti toimiva väljuva tee taga. See asümmeetria eristab tulemüüri puudujäägi marsruutimistõrkest, sest marsruutimistõrge lõhub mõlemad suunad korraga. Testige vastassuunda enne, kui muudate veel üht reeglit.

Aadressi loomine on samuti kvooditoiming. Projekt, mis on lähedal oma kasutusel olevate välisaadresside piirile, lükkab ühenduse tagasi veaga, mis kõlab nagu õiguste tõrge.

Valijad, kvoodid, seejärel neli kontrolli

Konsoolis loodud tunnelid tagastavad mõnikord tühja kaugvalija gcloud compute vpn-tunnels describe väljundist, samal ajal kui genereeritud marsruudid kannavad liiklust õigesti. Võrrelge, mida API registreerib, vahemikega, mida te tegelikult kaitsete, enne kui otsustate, et tunnel on vale. Selle loomine API või SDK kaudu hoiab valija selgesõnalisena.

Kvoodid on teine lihtne möödalaskmine. Taotlege suurendust enne hooldusakent, mitte selle ajal, ja kontrollige aadresside arvu samas projektis kui lüüs.

Töötage väljast sissepoole: partneri olek, mõlemad valijate nimekirjad, marsruut kummagi poole jaoks, siseneva liikluse reegel lähtevohemiku ja pordi jaoks, seejärel pakettide püüdmine. Kirjutage lüüsi aadress, mõlemad valijate nimekirjad ja marsruutimise tüüp muudatustaotlusse, kui tunnel on uus, sest järgmine insener, kes alavõrgu lisab, vajab kõiki kolme.

Seotud artiklid