GCP Cloud VPN: ગેટવે, ટનલ અને ફાયરવોલ ક્રમમાં તપાસો

તમારું કન્સોલ લીલી ટનલ દર્શાવે છે, સ્થળ પરનું મોનિટરિંગ હજી એક પણ ઇન્સ્ટન્સ સુધી પહોંચી શકતું નથી, અને ટનલ ફરી બનાવવી સ્પષ્ટ ઉકેલ લાગે છે. તે ભાગ્યે જ હોય છે. સ્થાપિત ટનલ ફક્ત એ સાબિત કરે છે કે બે ગેટવેએ IKE વિનિમય પૂરો કર્યો. પેકેટને ક્યારેય તમારા VPC માં પ્રવેશ આપવામાં આવ્યો હતો કે નહીં, તે વિશે તે કંઈ કહેતું નથી.

તે લીલા આઇકોન અને જવાબ વચ્ચે ચાર નિર્ણયો ઊભા છે, અને તેઓ અનુમાનિત ક્રમમાં નિષ્ફળ જાય છે. સૌથી સસ્તાથી શરૂ કરો.

ત્રણ ઑબ્જેક્ટ, અને તેમાંથી ફક્ત એક જ એન્ક્રિપ્ટ કરે છે

VPN ગેટવે તે બાહ્ય સરનામાનો માલિક છે જેના પર તમારો પીઅર એન્ક્રિપ્ટ કરે છે. કન્સોલમાં તમે તેને ક્યારેય હાથથી બનાવતા નથી: કનેક્શન ફોર્મની અંદર સરનામું પસંદ કરો અથવા અનામત રાખો અને ગેટવે તેની સાથે દેખાય છે. HA ગેટવે બે ઇન્ટરફેસ પર બે સરનામાં લે છે, જે પછીથી ક્વોટા તપાસમાં મહત્વનું છે.

ટનલ એ તે ગેટવે અને પીઅર વચ્ચેનું જોડાણ છે. તે શેર કરેલી ગુપ્તતા અને જે ટ્રાફિક સિલેક્ટરનું રક્ષણ કરવાનું વચન આપે છે તે લઈ જાય છે. તે જ સિલેક્ટરમાંથી મોટાભાગની શાંત નિષ્ફળતાઓ શરૂ થાય છે. જે ટનલનો સ્થાનિક સિલેક્ટર 10.0.0.0/24 આવરી લે છે તે 10.0.1.0/24 પહોંચાડશે નહીં, સ્થિતિ ગમે તેટલી સ્વસ્થ દેખાય.

દૂરનો છેડો પોતાની યાદી રાખે છે, જેને સામાન્ય રીતે એન્ક્રિપ્શન ડોમેન કહેવાય છે, અને અંતિમ હાર્ડવેર તેની તમારી સાથે સરખામણી કરે છે. કોઈ પણ બાજુ એવા સિલેક્ટર પર વાટાઘાટ કરતી નથી જે તેને ક્યારેય આપવામાં આવ્યો ન હોય.

રાઉટિંગ પ્રકાર નક્કી કરે છે કે રાઉટ કોષ્ટક સુધી શું પહોંચે છે

Cloud VPN ત્રણ રાઉટિંગ આકાર આપે છે અને તે સ્વચ્છ રીતે ભળતા નથી. નીતિ-આધારિત રાઉટિંગ સ્થિર સિલેક્ટર જોડીઓ રાખે છે, રૂટ-આધારિત રાઉટિંગ અપેક્ષા રાખે છે કે તમે જાતે સ્થિર રૂટ ઉમેરો, અને ગતિશીલ રાઉટિંગ BGP પર Cloud Router દ્વારા પ્રીફિક્સ જાહેર કરે છે. જાણી જોઈને એક પસંદ કરો.

બાજુમાં હાથે લખેલા સ્થિર રૂટ સાથેની ગતિશીલ ટનલ એવું રાઉટ કોષ્ટક બનાવે છે જે BGP સત્ર ડગમગે ત્યારે ખાલી થઈ જાય છે.

ગતિશીલ એ જ એકમાત્ર આકાર છે જે ટનલ ફરી બનાવ્યા વિના સંરક્ષિત પ્રીફિક્સ બદલવા દે છે, અને તે Cloud Router ને તમારે ચકાસવાના ઑબ્જેક્ટના સમૂહમાં ખેંચી લાવે છે. જ્યારે પીઅર એવો હાર્ડવેર ફાયરવોલ હોય જે BGP બોલી શકતો નથી, ત્યારે સ્થિર સિલેક્ટર કામ કરતા રહે છે. પછી બંને છેડાને સમાન શ્રેણીઓની જરૂર પડે છે, અને વધુ ચોક્કસ એન્ટ્રીએ બંને તરફ જીતવું પડે છે. એક સબનેટથી અસંમત જોડી સ્થપાય છે અને પછી તમારા અડધા ટ્રાફિકનું વહન કરે છે.

ગર્ભિત નકાર ટનલની પાછળ બેસે છે

આવક ટ્રાફિક સૌથી નીચી પ્રાથમિકતા પર ગર્ભિત નકાર સામે મૂલ્યાંકન કરવામાં આવે છે, અને તે નિયમને પેકેટ એન્ક્રિપ્ટ થઈને આવ્યું તેની પરવા નથી. જ્યાં સુધી ફાયરવોલ નિયમ સ્થળની શ્રેણી અને વપરાતું પોર્ટ નામ ન આપે, પેકેટ ડિક્રિપ્ટ થાય, તપાસાય અને કાઢી નાખવામાં આવે. VPN લોગ આખા સમય દરમિયાન સ્વચ્છ રહે છે, કારણ કે ટનલે બરાબર એ જ કર્યું જેનું વચન આપ્યું હતું.

તેના બદલે જ્યારે ટનલ ચાલુ હોય અને પ્રોબ સમયસીમા વટાવે ત્યારે ફાયરવોલ નકાર લોગ વાંચો, પછી નિયમને સ્રોત શ્રેણી અને તમને જરૂરી પોર્ટ સુધી મર્યાદિત કરો:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

એક દિશા કામ કરવી એ ફાયરવોલનો સંકેત છે

આવકની બહાર જતો ટ્રાફિક અલગ રીતે વર્તે છે, કારણ કે ગર્ભિત પરવાનગી નિયમ ઇન્સ્ટન્સને ગમે ત્યાં મોકલવા દે છે. જે ડેટા સેન્ટર VM સુધી પહોંચી શકતું નથી તે ઘણી વાર બીજી દિશામાં સંપૂર્ણ કાર્યરત બહાર જતા માર્ગની પાછળ બેઠું હોય છે. આ અસમપ્રમાણતા ફાયરવોલની ચૂકને રાઉટિંગ ખામીથી અલગ પાડે છે, કારણ કે રાઉટિંગ ખામી બંને દિશાઓને એકસાથે તોડે છે. બીજો એક નિયમ સંપાદિત કરતા પહેલા વિપરીત દિશા ચકાસો.

સરનામું બનાવવું પણ ક્વોટા કામગીરી છે. વપરાશમાં રહેલા બાહ્ય સરનામાંની મર્યાદાની નજીકનો પ્રોજેક્ટ કનેક્શનને એવી ભૂલ સાથે નકારે છે જે પરવાનગી નિષ્ફળતા જેવી લાગે છે.

સિલેક્ટર, ક્વોટા, પછી ચાર તપાસ

કન્સોલમાં બનાવેલી ટનલ કેટલીક વાર gcloud compute vpn-tunnels describe માંથી ખાલી દૂરસ્થ ટ્રાફિક સિલેક્ટર પરત કરે છે જ્યારે જનરેટ થયેલા રૂટ ટ્રાફિક યોગ્ય રીતે લઈ જાય છે. ટનલ ખોટી છે એવું નક્કી કરતા પહેલા API જે નોંધે છે તેની તમે ખરેખર જે શ્રેણીઓનું રક્ષણ કરો છો તેની સાથે સરખામણી કરો. API અથવા SDK દ્વારા બનાવવાથી સિલેક્ટર સ્પષ્ટ રહે છે.

ક્વોટા એ બીજી સહેલી ચૂક છે. જાળવણી વિન્ડો પહેલાં વધારો માંગો, તે દરમિયાન નહીં, અને ગેટવે જેવા જ પ્રોજેક્ટમાં સરનામાંની સંખ્યા તપાસો.

બહારથી અંદર કામ કરો: પીઅર સ્થિતિ, બંને સિલેક્ટર યાદીઓ, દરેક બાજુ માટે રૂટ, સ્રોત શ્રેણી અને પોર્ટ માટે આવક નિયમ, પછી પેકેટ કેપ્ચર. ટનલ નવી હોય ત્યારે જ ગેટવે સરનામું, બંને સિલેક્ટર યાદીઓ અને રાઉટિંગ પ્રકાર પરિવર્તન ટિકિટમાં લખો, કારણ કે સબનેટ ઉમેરનાર આગલા ઇજનેરને ત્રણેયની જરૂર પડશે.