NIC anitzeko GCP VM: zergatik irteten diren erantzunak interfaze okerretik

Compute Engine VM bati bigarren interfaze bat gehitzeak beste sare estekaketa bat ematen dio, ez bide simetriko bat. Gonbidatuak interfazea eta iturburu helbidea bere ibilbide eta arauetatik aukeratzen ditu oraindik. Gero Google Cloud-ek VPC bideratzea eta suebaki politika aplikatzen ditu paketea irten zen interfazearen inguruan. Bi erabaki horiek bat ez datozenean, eskaerak NIC batera iristen dira eta erantzunak bestetik irteten dira, eta adarrak erdi irekitako elkarrizketa ikusten du.

Egin bidea bost urratsetan eta desadostasuna agertuko da politika arau bat idatzi aurretik.

Urratsa 1: lotu hodeiko NICak gonbidatuaren gailuekin

Hodeiak nic0, nic1 eta abar deitzen ditu interfazeak, eta gonbidatuak bat etorri behar ez duten gailu izenak ikusten ditu. Argitu lotura instantziaren metadatuetatik edo interfazearen beraren helbidetik beste ezer baino lehen. DHCPk ematen duen defektuzko ibilbide arrunta nic0-rekin lotuta dago, eta horregatik irabazten du interneterako bideak hain sarritan ustekabean. Asmatutako gailu izen baten aurka politika idaztea da arau zuzena interfaze okerrean amaitzeko modua.

Idatzi helbideak, gailu izenak eta bakoitza dagokion VPCa. Hiru zutabeko mapa hori da ondorengo urrats bakoitzerako sarrera.

Urratsa 2: izenda itzazu bi bideratze erabakiak

Lehen erabakia gonbidatuarena da: zein interfaze eta zein iturburu helbide pakete honetarako. Bigarrena hodeiarena da: VPCren ibilbideek eta suebaki politikak zer baimentzen duten interfaze horren inguruan.

VPNra begira dagoen VPCn ikusgai den ibilbide bat ez da NIC hori aukeratzen duen gonbidatu ibilbide bihurtzen. Hodeiko ibilbideak sareak zer eman dezakeen deskribatzen du, gonbidatuaren ibilbideak paketeak zer egiten duen erabakitzen duen bitartean.

Urratsa 3: aukeratu itzulera bideko politika bat

Adar aurrizki multzo txiki eta egonkor baterako, gonbidatuko helmuga ibilbide esplizituak dira adierazpenik errazena: aurrizki horietarako erantzunak VPNra begira dagoen interfazetik irteten dira. Zenbait zerbitzuk tokiko iturburu helbide desberdinak nahita erabiltzen dituztenean, interfaze bakoitzeko taula bat aukeratzen duten iturburuan oinarritutako arauek erantzun bakoitza testuinguru egokian mantentzen dute. Interfaze anitzei buruzko dokumentazioak diseinu horiek oinarritzat duten NIC izendapena eta defektuzko ibilbidearen portaera deskribatzen ditu.

Taula bakoitzak konektatutako ibilbide baliodunak eta hurrengo jauziak behar ditu, eta baita galdetuko zaizkion helmugak ere. Taula osatu batera eramaten duen araua ez da itzulera bideko diseinua. Erabili NIC horretarako dokumentatutako atebidea, azpisarearen itxuratik Ethernet atebide bat asmatu beharrean.

Urratsa 4: egiaztatu gonbidatuaren beraren iragazkiak

Egiaztatu non entzuten duen zerbitzariak eta zein tokiko iturburu daraman erantzunak. Helbide guztietan entzuten duen hartzaileak ez du bideratze politika gainidazten, beraz helbide guztietara lotzeak ez du ezer aldatzen erantzuna irteten den interfazean.

Linuxen, berrikusi alderantzizko bidearen balidazioa diseinatu nahi zenaren aurka. Globalki desgaitzeak lehen mugimendu gisa bideratze errore bat ordezkatzen du faltsutze esposizio batekin, eta aurkitzen saiatzen zinen asimetria ezkutatzen du.

Urratsa 5: probatu fluxu bat bide bakoitzeko

Egiaztatu bereiz baimendutako adar eskaera bat eta internet eskaera ez erlazionatu bat, bakoitza bere benetako iturburu eta helmugarekin. Hartu bi interfazeetan ahal duzunean, erantzuna zein interfazek eraman zuen baita froga erabilgarria. Gero egiaztatu hodeiko aldeko politikak diseinatu zenuen bidea errespetatu zuela. Eskaera arrakastatsu batek fluxu bat frogatzen du, ez diseinu simetriko bat.

Eduki bi probak bereiz zure oharretan, ibilbide desberdinak eta suebaki arau desberdinak erabiltzen baitituzte.

Zer ez dizun bigarren NIC batek ematen

Bigarren interfaze batek sare estekaketa bat eta beste helbide bat gehitzen ditu. Ez du bideratze simetriko automatikorik gehitzen eta ez du suebaki politika saihesten. Bideratze konponketa gisa tratatzeak azaltzen du zergatik pilatzen dituzten NIC anitzeko diseinuek geroago inork azaldu ezin dituzten arauak.

VMak beste makinen trafikoa birbidali behar badu, planifikatu router rol hori esplizituki, birbidaltzea baimentzen duen hodeiko ezarpena eta harekin doazen gonbidatu iragazkiak barne.