GCP Cloud VPN: egiaztatu atebidea, tunela eta suebakia hurrenez hurren

Probak denbora amaitzen diren bitartean ezarrita dagoela jakinarazten duen tunelak VPC suebaki-araua falta izaten du normalean. Egiaztatu atebidea, hautatzaileak eta bideratze mota ordena horretan.

Zure kontsolak tunel berde bat erakusten du, lekuko monitorizazioak oraindik ezin du instantzia bakar bat ere iritsi, eta tunela berreraikitzea irtenbide begi-bistakoa ematen du. Gutxitan da hala. Ezarritako tunel batek bi atebidek IKE trukaketa amaitu dutela frogatzen du soilik. Ez du ezer esaten pakete bat inoiz zure VPCra sartzen utzi zen ala ez.

Lau erabaki daude ikono berde horren eta erantzun baten artean, eta ordena aurreikusgarrian huts egiten dute. Hasi merkeenetik.

Hiru objektu, eta horietako bakarra zifratzen du

VPN atebide batek zure pareak zifratzen duen kanpo helbidea dauka. Kontsolan ez duzu inoiz eskuz sortzen: hautatu edo erreserbatu helbide bat konexio-inprimakiaren barruan eta atebidea berarekin agertzen da. HA atebide batek bi helbide hartzen ditu bi interfazetan, eta horrek garrantzia du geroago kuota-egiaztapenean.

Tunela atebide horren eta parearen arteko parekatzea da. Partekatutako sekretua eta babesteko hitzematen dituen trafiko hautatzaileak daramatza. Hautatzaile horietan hasten dira isil-gordeko hutsegite gehienak. Tokiko hautatzaileak 10.0.0.0/24 estaltzen duen tunel batek ez du 10.0.1.0/24 entregatuko, egoera zenbat eta osasuntsuagoa izan.

Urruneko muturrak bere zerrenda propioa gordetzen du, normalean zifratze-domeinu deritzona, eta amaitze-hardwareak zurearekin alderatzen du. Inongo alderdik ez du inoiz eman ez zitzaion hautatzailerik negoziatzen.

Bideratze motak erabakitzen du zer iristen den bide-tablera

Cloud VPNk hiru bideratze forma eskaintzen ditu eta ez dira garbi nahasten. Politikan oinarritutako bideratzeak hautatzaile-pare estatikoak mantentzen ditu, bideetan oinarritutako bideratzeak zuk bide estatikoak gehitzea espero du, eta bideratze dinamikoak aurrizkiak iragartzen ditu Cloud Router baten bidez BGPren gainean. Aukeratu bat nahita.

Alboko eskuz idatzitako bide estatikoak dituen tunel dinamikoak bide-taula bat sortzen du, BGP saioa kulunkatzen den bakoitzean husten dena.

Dinamikoa da tunela berreraiki gabe babestutako aurrizkiak aldatzea uzten duen forma bakarra, eta Cloud Router egiaztatu behar dituzun objektuen multzora eramaten du. Hautatzaile estatikoak erabilgarri geratzen dira parea BGP hitz egiteko gai ez den hardware suebakia denean. Orduan bi muturrek tarte berak behar dituzte, eta sarrera zehatzenak irabazi behar du bietan. Azpisare batean desadostasuna duen bikotea ezartzen da eta gero zure trafikoaren erdia garraiatzen du.

Ukazio inplizitua tunelaren atzean dago

Sarrerako trafikoa lehentasun baxuenean dagoen ukazio inplizituaren aurka ebaluatzen da, eta arau horri ez zaio axola paketea zifratuta iritsi den. Suebaki-arau batek lekuko tartea eta erabiltzen ari den ataka izendatu arte, paketea deszifratu, ikuskatu eta baztertu egiten da. VPN erregistroa garbi mantentzen da denbora osoan, tunelak hitzemandakoa zehazki bete zuelako.

Irakurri suebakiaren ukapen-erregistroa horren ordez, tunela martxan dagoenean eta proba denboraz kanpo geratzen denean, eta gero mugatu arau bat iturri-tartera eta behar dituzun ataketara:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Norabide bakarra funtzionatzea suebakiaren arrastoa da

Irteerako trafikoak beste modu batean jokatzen du, baimen-arau inplizituak instantziei edonora bidaltzen uzten dielako. VM batera iristen ez den datu-zentro bat askotan beste norabidean ezin hobeto funtzionatzen duen irteera-bide baten atzean egoten da. Asimetria horrek suebakiaren hutsunea bideratze-hutsetik bereizten du, bideratze-hutsegiteak bi norabideak batera hausten baititu. Egiaztatu kontrako norabidea beste arau bat editatu aurretik.

Helbideak sortzea kuota-eragiketa ere bada. Erabilera martxan dauden kanpo helbideen mugarantz dagoen proiektuak konexioa baztertzen du baimen-hutsegitea ematen duen errore batekin.

Hautatzaileak, kuotak, gero lau egiaztapenak

Kontsolan sortutako tunelak batzuetan hautatzaile urrun hutsa itzultzen dute gcloud compute vpn-tunnels describe-tik, sortutako bideek trafikoa behar bezala garraiatzen duten bitartean. Alderatu APIak erregistratzen duena benetan babesten dituzun tarteekin tunela okerra dela erabaki aurretik. API edo SDK bidez sortzeak hautatzailea esplizitu mantentzen du.

Kuotak dira beste ahazte erraza. Eskatu handitzea mantentze-leihoaren aurretik, ez bitartean, eta egiaztatu helbide-kopurua atebidearen proiektu berean.

Lan egin kanpotik barrura: parearen egoera, hautatzaileen bi zerrendak, alde bakoitzeko bide bat, sarrera-araua iturri-tarterako eta atakarako, gero pakete-kaptura. Idatzi atebidearen helbidea, hautatzaileen bi zerrendak eta bideratze mota aldaketa-txartelean tunela berria den bitartean, azpisare bat gehituko duen hurrengo ingeniariak hirurak beharko dituelako.

Erlazionatutako artikuluak