Cloud VPN chu VM ar GCP: úsáid an IP inmheánach, ní an IP NAT

Nuair a shroicheann líonra áitiúil VPC trí Cloud VPN, is gnách gurb é seoladh inmheánach an VM an ceann scríbe do sheirbhís Compute Engine. Ní seoladh eile é an seoladh IPv4 seachtrach is féidir leat a chur in ionad an rianta phríobháidigh chéanna. Tagann an chuid is mó den mhearbhall sa réimse seo as trí sheoladh le trí jab a chaitheamh mar rudaí idirmhalartacha, mar sin tosaigh trí ainmniú cé acu a úsáideann paicéad ar leith.

Trí sheoladh, trí jab

Ainmnigh an triúr sula ndéanann tú dífhabhtú ar aon cheann acu, mar athraíonn an freagra an réad a scrúdaíonn tú ansin.

Baineann an chéad cheann leis an tollán. Baineann an dara ceann le do dhearadh rianta agus balla dóiteáin. Baineann an tríú ceann le rochtain isteach ón idirlíon agus déantar é a mhapáil, ní a cheangal. Ní deir dearadh a oibríonn do cheann amháin aon rud faoin dá cheann eile.

Cén fáth nach é an seoladh seachtrach an dara comhéadan

Is é an treoir seoladh an t-údarás ar an gcaoi a bhfuil infhaighteacht inmheánach agus sheachtrach difriúil ar Compute Engine. Is mapáil aon-le-haon é IPv4 seachtrach Compute Engine ar an aon NIC inmheánach atá ag an gcás, mar sin ní fheiceann an t-aoi an dara comhéadan ná an dara seoladh riamh ar an NIC sin. Is éard a thuairiscíonn an VM ón taobh istigh ná aon seoladh inmheánach príomhúil amháin fós.

Sin an fáth a mbíonn cliant príobháideach a dhéanann ródú tríd an tollán go 10.24.1.7 agus cliant a dhíríonn ar sheoladh seachtrach an VM ar chonairí éagsúla. Ní athraíonn oscailt riail balla dóiteáin don seoladh poiblí aon rud ar rianta an VPC a chaithfidh trácht an tolláin a iompar, agus ní aistríonn eagarthóireacht riain ar an aoi mapáil an ardáin. Roghnaigh an seoladh a ainmníonn do rianta, ansin scrúdaigh na réada amháin a rialaíonn é. Baineann an smacht sin an chuid is mó den bhuille faoi thuairim as an gconair fabhtcheartaithe seo.

Siúil an chonair le gcloud

Tosaigh ag an gcás agus léigh an dá sheoladh ón réad céanna, ionas go mbeidh a fhios agat cé acu a labhraíonn do dhoiciméadú faoi:

gcloud compute instances describe app-1 --zone=europe-west1-b \
  --format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"

Ansin dearbhaigh an ródú agus an cead a bhfuil an chonair ag brath orthu i ndáiríre:

gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1

Léigh raonta fógartha agus foghlamtha an tolláin, rianta an VPC don fho-líonra ualaigh agus an riail balla dóiteáin a cheadaíonn an fhoinse áitiúil. Caithfidh an triúr sin a bheith ar aon intinn sula mbíonn éisteoir ar an aoi ábhartha ar chor ar bith.

Ansin seiceáil an t-aoi: an bhfuil an tseirbhís ag éisteacht ar an seoladh inmheánach, agus an dtéann a conair fillte ar ais tríd an VPC? Teipfidh ar éisteoir atá ceangailte le seoladh poiblí amháin sa tástáil seo fiú nuair a bhíonn gach réad ar thaobh an néil ceart.

Is ceist eile é réimír phoiblí

Ní chiallaíonn aon rud thuas go gcaithfidh gach seoladh a iompraítear laistigh de VPN a bheith ina RFC1918. Is féidir líonra cianda a uimhriú go dlisteanach ó spás poiblí, ar choinníoll go dtacaíonn an t-ardán leis an ródú agus go bhfuil údarás an tseolta ag an oibreoir. Is rogha dearaidh gnáth é sin.

Ní hionann sin agus déileáil le gnáthsheoladh NAT seachtrach amhail is gurb é seoladh fho-líonra inmheánach eile é. Is réimír é ceann a ródaíonn tú; is mapáil é an ceann eile a chuireann an t-ardán i bhfeidhm ar rochtain isteach.

Tá a shéimeantach féin ag IPv6 seachtrach agus ag socruithe seolta atá deartha go speisialta. Má tá do phlean ag brath ar cheann acu, léigh doiciméadú an ardáin don ghné sin seachas ginearálú ó chás IPv4. Is é mapáil IPv4 an gnáthchás, ní an t-aon chás, agus tá a rialacha féin ag gach eisceacht.

Is fadhb eile iad raonta forluiteacha

Is cúis fhíor é raonta príobháideacha forluiteacha a gcuireann daoine lámh ar an seoladh poiblí, agus is é an luamhán mícheart é. Ní réitíonn athrú an chinn scríbe go seoladh NAT an VM an forluí; athraíonn sé cé don seoladh a mhaíonn an paicéad gur leis, gan sainiú conas a oibríonn an chonair fillte.

Réitigh an forluí go beartaithe: athuimhrigh, úsáid dearadh aistriúcháin a dtacaítear leis, nó ródaigh trí líonra nach n-imbhuaileann na réimíreanna ann. Is dearadh le húinéir gach ceann acu. Ní dearadh é an seoladh NAT.

Déan doiciméadú ar an dá réimse ar leith

Taifead piara an tolláin agus ceann scríbe an ualaigh mar dhá réimse runbook ar leith, gach ceann leis an rianta agus an riail balla dóiteáin a thacaíonn leis. Ní deir tollán IPsec a éiríonn ach go bhfuil na páirtithe ar aon intinn; ní deir sé aon rud faoi cén seoladh a bhfuil an t-ualach inrochtana air, ná faoi an bhfuil a rianta príobháideach iomlán.

Fíoraigh le fíorchliant ar an taobh eile: réitigh an t-ainm, dearbhaigh go dtugann sé an seoladh inmheánach ar ais, ceangail, agus seiceáil an trácht fillte. Is é doiciméadú seoladh IP Compute Engine an tagairt don idirdhealú idir inmheánach agus seachtrach a úsáidtear thuas.