GCP Classic VPN Terraformen: egin tunela bideetan oinarritua

Classic VPNn etiketak ez du portaera erabakitzen. Bideetan oinarritua 0.0.0.0/0 tokiko hautatzailea, bat datozen urruneko hautatzaileak eta bide esplizitua da.

Plana garbi aplikatzen da, tunela igotzen da eta kontsolak politikan oinarritua deitzen dio. Trafikoak oraindik ez du pasatzen, eta Terraform baliabidean bideetan oinarritutako etengailuaren bila ez da inora iristen, halako eremurik ez baitago. Classic VPNn, bideetan oinarritutako portaera ez da aukeratzen duzun modu bat. Hauxe da lortzen duzuna tokiko trafiko-hautatzailea 0.0.0.0/0 denean, urruneko hautatzaileek benetan nahi dituzun sareak zerrendatzen dituztenean eta bide batek tunelera seinalatzen duenean. Hiru gauza, eta etiketa atzetik dator.

Mitoa: tunelaren modu-eremua

Kontsolako etiketak APIak hautatzaileetan ikusten duena islatzen du. Baliabidean ezerk ez du bideetan oinarritua dioenik, beraz ez dago ezer egia balioan jartzeko.

Eremu horren bila ibiltzeak arazoaren lehen ordua jaten du, eta hautatzaileen balioak irakurtzeak azken bost minutuak hartzen ditu.

Zer esan nahi du hemen bideetan oinarrituak

Googlek Classic VPNren bideetan oinarritutako tunelak politikan oinarritutako tunel gisa dokumentatzen ditu, eta horien tokiko hautatzailea 0.0.0.0/0 da. Urruneko barrutiak soilik izendatzen dira, eta tokiko aldea edozein helbide gisa hartzen da. Horregatik zure konfigurazioko marka balio bat da, ez modu bat. Idatzi bi hautatzaileak modu esplizituan eta irakurri planaren irteeran:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

Zati horretako parearen aurrizkia adibidezkoa da; forma da garrantzitsuena.

Bidea objektu bereizia da

Tunel-objektu batek ez du biderik instalatzen. Paketeek tunelaren politikarekin bat egin dezakete eta hala ere ez dute nora joango, VPCren bideratze-taulak erabakitzen baitu hurrengo jauzia. Bideak helmuga-barrutia, sarea, tunela hurrengo jauzi gisa eta zabalagoa den edozer irabazten duen lehentasuna behar ditu. Hori ahaztuz gero, konexioa ezarrita dagoela jakinarazten duen tunela eta VPCtik inoiz irteten ez den egiaztapen bat lortzen dituzu.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Sortu bidea tunelaren modulu berean, biak berrikuspenean elkarrengandik urrun ez daitezen.

Ispilatu hautatzaileak parean

Urruneko gailua ispilu-irudiarekin konfiguratu behar da: bere tokiko barrutia zure urruneko hautatzailea da, eta bere urruneko barrutiak erabili nahi dituzun GCP azpisareak estali behar ditu. Edozein alde estutzen bada, fase 2k huts egiten du fase 1 lortu arren. Hau da kontsolaren aurrean zuzena dirudien eta trafikorik eramaten ez duen konfigurazioaren forma ohikoena.

Inprimatu bi aldeen hautatzaileak elkarren ondoan aldaketaren berrikuspenean.

Zatitu helbide estatikoa bi aplikaziotan

Erreserbatutako helbidea eta hura erreferentziatzen duen tunela aplikazio bakarrean sortzea ezegonkortasun-iturri ezaguna da, helbideak egon behar baitu birbidalketa-arauak erabili ahal izan baino lehen. Aplikatu lehenengo helbidearen baliabidea soilik, gero gehitu atazaria, birbidalketa-arauak eta tunela eta aplikatu berriro. Terraformek bigarren exekuzioan egoeratik irakurtzen du lehendik dagoen helbidea eta berrerabili egiten du. Hori saltatuz gero, tunelak helbide publiko berria jaso dezake aplikazio bakoitzean, eta horrek parearen konfigurazioa hautsi dezake aldi bakoitzean.

Bi aplikazio orain parearen aldaketa baino merkeagoak dira bertsio bakoitzean.

Egiaztatu negoziazioa, ez etiketa

Aplikatu ondoren, egiaztatu hiru gertaera bereizi: tunelak konexioa ezarrita dagoela jakinarazten du, bidea badago aurreikusitako hurrengo jauziarekin, eta pareak fase 1 eta fase 2 martxan daudela jakinarazten du.

Tunela martxan dagoela fase 2 behera badago, bi aldeak hautatzaileetan ados ez daudela esan nahi du:

  • Alde batek bestea zerrendatzen ez duen azpisare bat zerrendatzen du.
  • Alde batek bestea estutu duen agregatu bat erabiltzen du.
  • Bidea badago baina beste tunel batera seinalatzen du.

Classic VPN tunel bakarra da, HA VPN baino SLA baxuagoarekin, eta HA VPNk bi interfaze, bi tunel eta erregistro mota ezberdineko BGP erabiltzen ditu. Adibide klasiko bat HA konfigurazio batera kopiatzea eta hautatzaile-eremuek berdin jokatuko dutela espero izatea saihestu beharreko beste akats bat da. Tunelaren eremuak berak google_compute_vpn_tunnel erreferentzian.

Erlazionatutako artikuluak