GCP Cloud VPN: دروازه، تونل و فایروال را به ترتیب بررسی کنید

کنسول شما یک تونل سبز نشان می‌دهد، پایش در محل هنوز نمی‌تواند به حتی یک نمونه برسد، و بازسازی تونل راه‌حل بدیهی به نظر می‌رسد. اما به‌ندرت چنین است. تونل برقرارشده فقط ثابت می‌کند که دو دروازه تبادل IKE را تمام کرده‌اند. درباره اینکه آیا بسته‌ای هرگز اجازه ورود به VPC شما را داشته است، چیزی نمی‌گوید.

چهار تصمیم میان آن نماد سبز و یک پاسخ ایستاده‌اند و به ترتیبی قابل پیش‌بینی شکست می‌خورند. از ارزان‌ترین شروع کنید.

سه شیء، و تنها یکی از آن‌ها رمزگذاری می‌کند

یک دروازه VPN مالک نشانی خارجی است که همتای شما به آن رمزگذاری می‌کند. در کنسول هرگز آن را دستی نمی‌سازید: نشانی‌ای را داخل فرم اتصال انتخاب یا رزرو کنید و دروازه با آن ظاهر می‌شود. دروازه HA دو نشانی روی دو رابط می‌گیرد، که بعداً در بررسی سهمیه اهمیت دارد.

تونل جفت‌شدن میان آن دروازه و همتا است. رمز مشترک و انتخابگرهای ترافیکی را که وعده محافظت از آن‌ها را می‌دهد حمل می‌کند. بیشتر شکست‌های خاموش از همان انتخابگرها آغاز می‌شوند. تونلی که انتخابگر محلی‌اش 10.0.0.0/24 را پوشش می‌دهد، 10.0.1.0/24 را تحویل نمی‌دهد، هرچند وضعیت سالم به نظر برسد.

طرف دور فهرست خودش را نگه می‌دارد، که معمولاً دامنه رمزگذاری نامیده می‌شود، و سخت‌افزار پایانی آن را با فهرست شما مقایسه می‌کند. هیچ طرفی بر سر انتخابگری که هرگز به او داده نشده مذاکره نمی‌کند.

نوع مسیریابی تعیین می‌کند چه چیزی به جدول مسیرها می‌رسد

Cloud VPN سه شکل مسیریابی ارائه می‌دهد و آن‌ها تمیز با هم مخلوط نمی‌شوند. مسیریابی مبتنی بر سیاست جفت‌های انتخابگر ثابت را نگه می‌دارد، مسیریابی مبتنی بر مسیر انتظار دارد خودتان مسیرهای ثابت را اضافه کنید، و مسیریابی پویا پیشوندها را از طریق Cloud Router روی BGP اعلام می‌کند. آگاهانه یکی را انتخاب کنید.

تونل پویا با مسیرهای ثابت دست‌نویس در کنارش جدول مسیری می‌سازد که هر بار جلسه BGP بلرزد خالی می‌شود.

پویا تنها شکلی است که اجازه می‌دهد پیشوندهای محافظت‌شده بدون بازسازی تونل تغییر کنند، و Cloud Router را به مجموعه اشیایی می‌کشاند که باید بررسی کنید. انتخابگرهای ثابت زمانی که همتا یک فایروال سخت‌افزاری بدون توان BGP باشد کارآمد می‌مانند. آن‌گاه دو سر به همان بازه‌ها نیاز دارند و ورودی مشخص‌تر باید در هر دو برنده شود. جفتی که در یک زیرشبکه اختلاف دارد برقرار می‌شود و سپس نیمی از ترافیک شما را حمل می‌کند.

رد ضمنی پشت تونل نشسته است

ترافیک ورودی در پایین‌ترین اولویت در برابر یک رد ضمنی ارزیابی می‌شود و آن قاعده اهمیتی نمی‌دهد که بسته رمزگذاری‌شده رسیده است. تا زمانی که قاعده فایروال بازه در محل و پورت در حال استفاده را نام نبرد، بسته رمزگشایی، بازرسی و رها می‌شود. گزارش VPN در تمام مدت پاک می‌ماند، چون تونل دقیقاً همان کاری را کرد که وعده داده بود.

در عوض وقتی تونل برپاست و بررسی زمان‌بندی می‌شود گزارش رد فایروال را بخوانید، سپس قاعده‌ای را به بازه مبدأ و پورت‌های موردنیاز محدود کنید:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

کارکردن یک جهت نشانه فایروال است

ترافیک خروجی متفاوت رفتار می‌کند، چون قاعده اجازه ضمنی به نمونه‌ها اجازه می‌دهد به هر جا بفرستند. مرکز داده‌ای که به یک VM نمی‌رسد اغلب پشت مسیری خروجی کاملاً سالم در جهت دیگر نشسته است. این ناهمسانی یک حذف فایروال را از خرابی مسیریابی جدا می‌کند، چون خرابی مسیریابی هر دو جهت را همزمان می‌شکند. پیش از ویرایش یک قاعده دیگر، جهت معکوس را بیازمایید.

ساخت نشانی هم یک عملیات سهمیه‌ای است. پروژه‌ای نزدیک به سقف نشانی‌های خارجی در حال استفاده، اتصال را با خطایی که مانند شکست مجوز خوانده می‌شود رد می‌کند.

انتخابگرها، سهمیه‌ها، سپس چهار بررسی

تونل‌های ساخته‌شده در کنسول گاهی انتخابگر ترافیک دور خالی از gcloud compute vpn-tunnels describe برمی‌گردانند در حالی که مسیرهای تولیدشده ترافیک را درست حمل می‌کنند. پیش از تصمیم به اشتباه بودن تونل، آنچه API ثبت می‌کند را با بازه‌هایی که واقعاً محافظت می‌کنید مقایسه کنید. ساخت آن از طریق API یا SDK انتخابگر را صریح نگه می‌دارد.

سهمیه‌ها دیگر از قلم‌افتادگی آسان است. افزایش را پیش از پنجره نگهداری و نه در حین آن درخواست کنید و شمار نشانی‌ها را در همان پروژه دروازه بررسی کنید.

از بیرون به درون کار کنید: وضعیت همتا، هر دو فهرست انتخابگر، یک مسیر برای هر طرف، یک قاعده ورودی برای بازه مبدأ و پورت، سپس ضبط بسته. تا تونل تازه است نشانی دروازه، هر دو فهرست انتخابگر و نوع مسیریابی را در تیکت تغییر بنویسید، چون مهندس بعدی که زیرشبکه‌ای اضافه می‌کند به هر سه نیاز خواهد داشت.