Gaitu IP birbidalketa lehendik dagoen GCE VPN atebide batean

VM-a IP birbidalketarik gabe sortu zen, VPN softwarea jada exekutatzen du, eta sena da txantiloitik berreraikitzea bandera ezarrita. Berreraikuntza hori alferrikakoa da. Compute Engine-k canIpForward eguneratu daitekeen propietate gisa eskaintzen du, eta dokumentatutako eguneratzeko bideak refresh batekin aplikatzen du, berrabiarazi beharrean. Banderak benetan kontrolatzen duena estua da: hura gabe, plataformak instantziara iristen diren baina instantziaren beraren helbidera zuzenduta ez dauden paketeak baztertzen ditu. Beste makinen trafikoa birbidaltzen duen atebide batek zehazki hori egiten du, beraz banderak piztuta egon behar du. Horren ondorengo guztia gonbidatuaren konfigurazioa eta bideratzea da, eta banderak ez die ukitzen.

Zer ahalbidetzen duen banderak, eta zer ez

Birbidalketa desgaituta, plataformak instantzia amaierako puntu gisa tratatzen du. Helmuga instantziaren beraren helbidea duten paketeak entregatzen dira; instantziak beste baten izenean aurrera eraman beharko lituzkeen paketeak ez.

Birbidalketa gaituta, instantziak VPC ibilbide baten hurrengo jauzi gisa joka dezake, eta hori da VPN gailu batek behar duen rola. Banderak ez du ezer esaten suebakien, gonbidatuaren bideratzearen, tunelaren konfigurazioaren edo itzulera-bideen inguruan, eta true balio bat atebide hautsi batean oraindik atebide hautsi bat da.

Irakurri uneko propietatea

Aztertu ezarpena ezer aldatu aurretik, irakurketa-soileko describe bat erabiliz aurreikusitako instantziaren, proiektuaren eta zonaren aurka:

gcloud compute instances describe VM_NAME --project PROJECT_ID --zone ZONE --format='value(canIpForward)'

False balioak garrantzia du soilik VM honek hurrengo jauzi izan behar badu. Hala bada, bidearen gainerakoa bereizita egiaztatu behar da oraindik, propietatea kate luzeago bateko lerro bat baita.

Eguneratu lehendik dagoen instantzia

Google-ren instantzia-propietateak eguneratzeko prozedura prozedurak uneko baliabidea esportatzen du, propietatea aldatzen du eta emaitza bidaltzen du. Hori sorrera-garaiako --can-ip-forward banderaren lan-fluxu ezberdina da, eta martxan dagoen VM batean funtzionatzen duena da.

Esportatu lehenik definizioa tokiko fitxategi batera, eta gorde aldatu gabeko kopia bat alderatzeko:

gcloud compute instances export VM_NAME --project PROJECT_ID --zone ZONE --destination=instance.yaml

Esportatutako fitxategi horretan, ezarri propietatea eta ez aldatu beste ezer:

canIpForward: true

Mantendu baliabide osoa, haren hatz-marka barne. Fitxategia lerro bakarreko YAML dokumentu batekin ordezkatzea, edo makina-mota, disko edo interfazearen aldaketa lotu gabeak bidalketa berean elkartzea da propietate-aldaketa bat eten bihurtzeko modua.

Eskatu eguneratzeko mekanismoari fitxategia balidatzeko eta zer eskatuko lukeen jakinarazteko, edozein aldaketa eraginkor baimendu aurretik:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=NO_EFFECT

Balidazio-exekuzio horrek ez du birbidalketa gaitzen. Irakurri erantzuna propietate baliogabeen eta beharrezkoa dela dioen ekintzaren bila. Aldaketa isolatu honetarako, dokumentatutako ekintza REFRESH da. Emaitzak berrabiaraztea eskatzen badu, fitxategiak aldatu nahi zenuen propietatea baino gehiago dauka, beraz aztertu ezazu berrabiaraztea eman beharrean.

Aplikatu berrikusitako fitxategia refresh-mugarekin:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=REFRESH

Egiaztatu eragiketa amaitu dela eta exekutatu describe komandoa berriro. Hatz-markak bat ez badatoz, norbaitek instantzia aldatu du zu editatzen ari zinen bitartean, beraz esportatu kopia berri bat eta berrikusi aldaketa berriro, zure fitxategi zaharkitua bultzatzearen ordez.

Gonbidatuak paketea bideratu behar du oraindik

Hodeiko baimenak ez du gailua bideratzaile bihurtzen. Egiaztatu VPC ibilbide batek VM hau hautatzen duela helmuga-prefixaren hurrengo jauzi gisa, eta gonbidatuak tunelaren eta interfaze egokiaren artean bideratzen duela bere birbidalketa-politika gaituta.

Suebakiaren politikak barne-fluxua eta kanpoko entzulea baimendu behar ditu. VPN ataka soilik irekitzeak garraio zifratua deskribatzen du eta ez du ezer esaten haren barneko aplikazio-trukearen inguruan.

Azkenez, helmugak bezero-poolerako itzulera-bide bat behar du, edo diseinuak iturriak berariaz itzuli behar ditu. Helmugak trafiko itzulia ikusten badu, egiaztatu itzulitako iturria; diseinuak pool-a mantentzen badu, egiaztatu pool hori itzulera-ibilbidean eta sarbide-arauetan. NAT gehitzea zein diseinu nahi duzun erabaki aurretik falta den ibilbide bat ezkutatzen du eta helmugak ikusten duen politika aldatzen du.

Linux atebide batean, kernelaren birbidalketa gonbidatuaren konfigurazioaren parte da. pfSense gailu batek bere baliokidea du, eta Linux sysctl komando bat hara kopiatzea ez da dagokion urratsa.

Egiaztatu sarbidea behar duen bezeroaren aldetik

Probatu VPN bezero batetik helburuko zerbitzu batera, ez atebidetik beretik. Atebidean hasitako konexioak iturri ezberdina erabiltzen du eta ez ditu inoiz erabiltzen berriki gaitu dituzun birbidalketa-arauak.

Erregistratu propietatea gailua kudeatzen duen edozertan. Eskuz zuzendutako VM batek funtzionatzen du hurrengo ordezkapenak jatorrizko ezarpena isilpean berriro sartu arte, eta hutsegite hori VPN softwarearen erregresio gisa ikusiko da.

Lan-ordena: irakurri propietatea, esportatu eta editatu lerro bat, balidatu NO_EFFECT-ekin, aplikatu REFRESH-ekin, egiaztatu gonbidatuak birbidaltzen duela, eta gero probatu bezero batetik.