GCP Classic VPN yn Terraform: meitsje de tunnel rûtebasearre

Yn Classic VPN bepaalt it label it gedrach net. Rûtebasearre is in lokale selektor 0.0.0.0/0, oerienkommende fiere selektors en in eksplisite rûte.

It plan wurdt skjin tapast, de tunnel komt omheech en de konsola neamt him beliedsbasearre. It ferkear giet noch altyd net troch, en it sykjen nei in rûtebasearre skeakel yn ’e Terraform-boarne liedt nearne ta, om’t sa’n fjild net bestiet. Yn Classic VPN is rûtebasearre gedrach gjin modus dy’t jo kieze. It is wat jo krije as de lokale ferkearsselektor 0.0.0.0/0 is, de fiere selektors de netwurken listigje dy’t jo echt wolle en in rûte nei de tunnel wiist. Trije dingen, en it label folget.

De myte: in fjild foar tunnelmodus

It label fan ’e konsola wjerspegelet wat de API yn ’e selektors sjocht. Neat yn ’e boarne seit rûtebasearre, dus der is neat om op wier te setten.

It sykjen nei dat fjild kostet it earste oere fan it probleem, wylst it lêzen fan ’e selektorwearden de lêste fiif minuten kostet.

Wat rûtebasearre hjir betsjut

Google dokumintearret de rûtebasearre tunnels fan Classic VPN as beliedsbasearre tunnels wêrfan de lokale selektor 0.0.0.0/0 is. Allinnich de fiere berikken wurde neamd, en de lokale kant wurdt as elk adres behannele. Dêrom is de marker yn jo konfiguraasje in wearde en gjin modus. Skriuw beide selektors eksplisyt en lês se yn ’e útfier fan it plan:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

It foarheaksel fan ’e partner yn dat stikje is yllustratyf; de foarm is it part dat ta docht.

De rûte is in apart objekt

In tunnelobjekt ynstallearret gjin rûte. Pakketten kinne by it belied fan ’e tunnel passe en dochs nearne hinne kinne, om’t de VPC-routingtabel de folgjende hop bepaalt. De rûte hat it bestimmingsberik, it netwurk, de tunnel as folgjende hop en in prioriteit nedich dy’t alles breder ferslacht. As jo dat ferjitte, krije jo in tunnel dy’t ferbûn rapporteart en in ping dy’t de VPC nea ferlit.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Meitsje de rûte yn deselde module as de tunnel, sadat de twa by de beoardieling net út elkoar rinne kinne.

Spegelje de selektors op ’e partner

It fiere apparaat moat mei it spegelbyld konfigurearre wurde: syn lokale berik is jo fiere selektor, en syn fiere berik moat de GCP-subnetten dekke dy’t jo ferwachtsje te brûken. As ien fan beide kanten fersmalt, mislearret faze 2 ek al slagget faze 1. Dat is de meast foarkommende foarm fan in konfiguraasje dy’t yn ’e konsola goed liket en gjin ferkear draacht.

Print de selektors fan beide kanten njonken elkoar by de beoardieling fan ’e wiziging.

Diel it statyske adres op yn twa tapassings

It oanmeitsjen fan it reservearre adres en de tunnel dy’t dêrnei ferwiist yn ien tapassing is in bekende boarne fan ûnrêst, om’t it adres bestean moat foardat de trochstjoerregel it brûke kin. Tapasje earst allinnich de adresboarne ta, foegje dan de gateway, de trochstjoerregels en de tunnel ta en tapasje opnij ta. Terraform lêst it besteande adres by de twadde run út ’e steat en brûkt it opnij. As jo dat oerslje, kin de tunnel by elke tapassing in nij iepenbier adres krije, wat de konfiguraasje fan ’e partner elke kear brekt.

Twa tapassings no binne goedkeaper as in partnerwiziging by elke útjefte.

Ferifiearje de ûnderhanneling, net it label

Kontrolearje nei it tapassen trije aparte feiten: de tunnel rapporteart ferbûn, de rûte bestiet mei de bedoelde folgjende hop en de partner rapporteart dat sawol faze 1 as faze 2 omheech binne.

In tunnel dy’t omheech is wylst faze 2 del is, betsjut dat de twa kanten it net iens binne oer de selektors:

  • Ien kant listiget in subnet dat de oare net listiget.
  • Ien kant brûkt in aggregaat dat de oare fersmale hat.
  • De rûte bestiet mar wiist nei in oare tunnel.

Classic VPN is ien tunnel mei in legere SLA as HA VPN, en HA VPN brûkt twa ynterfaces, twa tunnels en BGP mei oare boarnetypen. In klassyk foarbyld nei in HA-konfiguraasje kopiearje en ferwachtsje dat de selektor-fjilden itselde gedrage, is in aparte flater dy’t it wurdich is te foarkommen. De tunnel-fjilden sels binne dokumintearre yn ’e referinsje fan google_compute_vpn_tunnel.

Relatearre artikelen