GCP Cloud VPN: kontrolearje gateway, tunnel en firewall yn folchoarder

Jo konsola lit in griene tunnel sjen, monitoring op it plak kin noch hieltyd gjin inkel eksimplaar berikke, en it opnij bouwen fan de tunnel liket de foar de hân lizzende oplossing. Dat is it selden. In fêstige tunnel bewiist allinnich dat twa gateways de IKE-útwikseling ôfmakke hawwe. It seit neat oer de fraach oft in pakket ea talitten waard yn jo VPC.

Fjouwer besluten steane tusken dat griene ikoan en in antwurd, en se mislearje yn in foarsisbere folchoarder. Wurkje se fan de goedkeapste ôf.

Trije objekten, en mar ien fan har fersiferet

In VPN-gateway besit it eksterne adres dêr't jo peer nei fersiferet. Yn de konsola meitsje jo it nea mei de hân: kies of reservearje in adres binnen it ferbiningformulier en de gateway ferskynt der mei. In HA-gateway nimt twa adressen op twa ynterfaces, wat letter by de kwotakontrôle fan belang is.

In tunnel is de peareing tusken dy gateway en de peer. Hy draacht it dielde geheim en de ferkiersselektors dy't er belooft te beskermjen. Yn dy selektors begjinne de measte stille mistreppen. In tunnel wêrfan de lokale selektor 10.0.0.0/24 beslacht, leveret gjin 10.0.1.0/24, hoe sûn oft de status ek liket.

De fiere kant hâldt syn eigen list, meastentiids in fersiferingsdomein neamd, en de ôfslutende hardware fergeliket dy mei jo list. Gjin kant ûnderhannelt in selektor dy't er nea krigen hat.

It routingstype beslút wat de routingstabel berikt

Cloud VPN biedt trije routingfoarmen en se minge net skjin. Beliedsbasearre routing hâldt de statyske selektorspearen, rûtebasearre routing ferwachtet dat jo sels statyske rûtes tafoegje, en dynamyske routing advertearret foarheaksels fia in Cloud Router oer BGP. Kies ien mei opset.

In dynamyske tunnel mei hânskreaune statyske rûtes derneist jout in routingstabel dy't leechrint eltse kear as de BGP-sesje skommelt.

Dynamysk is de iennige foarm dy't de beskerme foarheaksels feroarje lit sûnder de tunnel opnij te bouwen, en it sleept de Cloud Router yn 'e set objekten dy't jo ferifiearje moatte. Statyske selektors bliuwe wurkber as de peer in hardware-firewall is dy't gjin BGP prate kin. Dan hawwe beide einen deselde berikken nedich, en de mear spesifike yngong moat oan beide kanten winne. In pear dat in subnet ferskilt, stelt him fêst en draacht dan de helte fan jo ferkear.

De ymplisite wegering sit efter de tunnel

Yngeand ferkear wurdt beoardiele tsjin in ymplisite wegering op 'e leechste prioriteit, en dy regel hat gjin noed dat it pakket fersifere oankaam. Oant in firewallregel it berik op it plak en de brûkte poarte neamt, wurdt it pakket ûntsifere, ynspektearre en ôfwiisd. It VPN-loch bliuwt de hiele tiid skjin, want de tunnel die krekt wat er beloofde.

Lês ynstee it wegeringsloch fan de firewall as de tunnel oan is en de probe ferrint, en behein dan in regel ta it boarneberik en de poarten dy't jo nedich hawwe:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Ien rjochting dy't wurket is in firewall-oanwizing

Utgeand ferkear gedraacht him oars, want de ymplisite tastimmingregel lit eksimplaren oeral hinne stjoere. In datacenter dat in VM net berikke kin, sit faak efter in folslein wurkjend útgeand paad yn 'e oare rjochting. Dy asymmetry skiedt in firewall-fergitting fan in routingflater, want in routingflater brekt beide rjochtingen tagelyk. Test de tsjinoerstelde rjochting foardat jo noch ien regel bewurkje.

It meitsjen fan adressen is ek in kwota-operaasje. In projekt tichtby syn limyt foar brûkte eksterne adressen wiist de ferbining ôf mei in flater dy't as in tastimmingsflater lêst.

Selektors, kwota's, dan de fjouwer kontrôles

Tunnels makke yn de konsola jouwe soms in lege selektor foar fier ferkear werom út gcloud compute vpn-tunnels describe, wylst generearre rûtes it ferkear korrekt drage. Fergelykje wat de API fêstleit mei de berikken dy't jo feitlik beskermje foardat jo beslute dat de tunnel ferkeard is. It meitsjen fia de API of SDK hâldt de selektor eksplisyt.

Kwota's binne de oare maklike mistelling. Freegje de ferheging oan foar it ûnderhâldsfenster, net derûnder, en kontrolearje it adresaantal yn itselde projekt as de gateway.

Wurkje fan bûten nei binnen: peerstatus, beide selektorslisten, in rûte foar elke kant, in yngongsregel foar it boarneberik en de poarte, dan in pakketfangst. Skriuw it gateway-adres, beide selektorslisten en it routingstype yn it feroarjingskaartsje wylst de tunnel nij is, want de folgjende yngenieur dy't in subnet tafoeget, sil alle trije nedich hawwe.