GCP Cloud VPN: tarkista yhdyskäytävä, tunneli ja palomuuri järjestyksessä

Konsolisi näyttää vihreää tunnelia, paikallinen valvonta ei edelleenkään tavoita yhtäkään instanssia, ja tunnelin uudelleenrakentaminen näyttää ilmeiseltä ratkaisulta. Se on harvoin sitä. Muodostettu tunneli todistaa vain, että kaksi yhdyskäytävää sai IKE-vaihdon valmiiksi. Se ei kerro mitään siitä, päästettiinkö paketti koskaan VPC:hesi.

Neljä päätöstä on sen vihreän kuvakkeen ja vastauksen välissä, ja ne epäonnistuvat ennustettavassa järjestyksessä. Aloita halvimmasta.

Kolme objektia, ja vain yksi niistä salaa

VPN-yhdyskäytävä omistaa ulkoisen osoitteen, johon vastapuolesi salaa. Konsolissa et koskaan luo sitä käsin: valitse tai varaa osoite yhteyden lomakkeessa, niin yhdyskäytävä ilmestyy sen kanssa. HA-yhdyskäytävä ottaa kaksi osoitetta kahdelle liitännälle, millä on merkitystä myöhemmin kiintiötarkistuksessa.

Tunneli on sen yhdyskäytävän ja vastapuolen välinen pariliitos. Se kuljettaa jaetun salaisuuden ja liikenteen valitsimet, jotka se lupaa suojata. Juuri noista valitsimista useimmat hiljaiset viat alkavat. Tunneli, jonka paikallinen valitsin kattaa osoitteen 10.0.0.0/24, ei toimita osoitetta 10.0.1.0/24, oli tila kuinka terve tahansa.

Kaukopää pitää omaa listaansa, jota yleensä kutsutaan salausverkkotunnukseksi, ja päättävä laitteisto vertaa sitä sinun listaasi. Kumpikaan puoli ei neuvottele valitsimesta, jota sille ei koskaan annettu.

Reititystyyppi päättää, mikä päätyy reititystauluun

Cloud VPN tarjoaa kolme reititysmuotoa, eivätkä ne sekoitu siististi. Käytäntöpohjainen reititys pitää staattiset valitsinparit, reittipohjainen reititys odottaa sinun lisäävän staattiset reitit itse, ja dynaaminen reititys mainostaa etuliitteitä Cloud Routerin kautta BGP:llä. Valitse yksi tarkoituksella.

Dynaaminen tunneli, jonka vieressä on käsin kirjoitettuja staattisia reittejä, tuottaa reititystaulun, joka tyhjenee aina, kun BGP-istunto heilahtaa.

Dynaaminen on ainoa muoto, joka sallii suojattujen etuliitteiden muuttua tunnelia uudelleen rakentamatta, ja se vetää Cloud Routerin mukaan objekteihin, jotka sinun on tarkistettava. Staattiset valitsimet pysyvät käyttökelpoisina, kun vastapuoli on laitteistopalomuuri, joka ei osaa puhua BGP:tä. Silloin molemmat päät tarvitsevat samat alueet, ja tarkemman merkinnän on voitettava molemmilla. Pari, joka eroaa yhden aliverkon verran, muodostuu ja kuljettaa sitten puolet liikenteestäsi.

Implisiittinen hylkäys istuu tunnelin takana

Saapuva liikenne arvioidaan implisiittistä hylkäystä vasten alimmalla prioriteetilla, eikä tuo sääntö välitä siitä, että paketti saapui salattuna. Kunnes palomuurisääntö nimeää paikallisen alueen ja käytössä olevan portin, paketti puretaan, tarkastetaan ja pudotetaan. VPN-loki pysyy koko ajan puhtaana, koska tunneli teki täsmälleen sen, minkä lupasi.

Lue sen sijaan palomuurin hylkäysloki, kun tunneli on ylhäällä ja kokeilu aikakatkaistaan, ja rajaa sitten sääntö lähdealueeseen ja tarvitsemiisi portteihin:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Yhden suunnan toimiminen on palomuurin vihje

Lähtevä liikenne käyttäytyy eri tavoin, koska implisiittinen sallintasääntö sallii instanssien lähettää minne tahansa. Datakeskus, joka ei tavoita VM:ää, istuu usein toiseen suuntaan täydellisesti toimivan lähtevän polun takana. Tämä epäsymmetria erottaa palomuurin puutteen reititysviasta, koska reititysvika rikkoo molemmat suunnat kerralla. Testaa vastakkaista suuntaa ennen kuin muokkaat vielä yhtä sääntöä.

Osoitteen luonti on myös kiintiötoimenpide. Projekti, joka on lähellä käytössä olevien ulkoisten osoitteiden rajaa, hylkää yhteyden virheellä, joka kuulostaa käyttöoikeusvirheeltä.

Valitsimet, kiintiöt ja sitten neljä tarkistusta

Konsolissa luodut tunnelit palauttavat joskus tyhjän etäliikenteen valitsimen komennosta gcloud compute vpn-tunnels describe, vaikka luodut reitit kuljettavat liikennettä oikein. Vertaa sitä, mitä API kirjaa, alueisiin, joita todella suojaat, ennen kuin päätät tunnelin olevan väärin. Sen luominen API:n tai SDK:n kautta pitää valitsimen eksplisiittisenä.

Kiintiöt ovat toinen helppo laiminlyönti. Pyydä korotusta ennen huoltokatkoa, älä sen aikana, ja tarkista osoitteiden määrä samassa projektissa kuin yhdyskäytävä.

Työskentele ulkoa sisäänpäin: vastapuolen tila, molemmat valitsinluettelot, reitti kummallekin puolelle, saapuvan liikenteen sääntö lähdealueelle ja portille, sitten paketin kaappaus. Kirjoita yhdyskäytävän osoite, molemmat valitsinluettelot ja reititystyyppi muutostikettiin, kun tunneli on vielä uusi, koska seuraava insinööri, joka lisää aliverkon, tarvitsee kaikki kolme.