Cloud VPN zuwa VM a GCP: yi amfani da IP na ciki, ba IP na NAT ba

Lokacin da cibiyar sadarwa ta gida ta isa VPC ta hanyar Cloud VPN, makoma ga sabis na Compute Engine yawanci ita ce adireshin ciki na VM. Adireshin IPv4 na waje ba adireshi na biyu ba ne da za ka iya saka a cikin wannan hanyar sirri ɗaya. Yawancin ruɗani a wannan fanni ya fito ne daga ɗaukar adireshi uku masu ayyuka uku a matsayin masu musanya, don haka fara da ambaton wanda wani fakiti ke amfani da shi.

Adireshi uku, ayyuka uku

Ambaci duka uku kafin ka gyara ɗayansu, domin amsar tana canza abin da za ka bincika na gaba.

Na farko na rami ne. Na biyu na tsarin hanyarka da bangon wuta ne. Na uku na shigowar intanet ne kuma ana yin taswira da shi, ba a haɗa shi ba. Tsarin da ke aiki ga ɗayansu ba ya faɗin komai game da sauran biyun.

Me ya sa adireshin waje ba wata fuska ta biyu ba

Jagorar adireshi ita ce hukuma kan yadda isa ciki da waje suka bambanta a Compute Engine. IPv4 na waje na Compute Engine taswira ce ta ɗaya-zuwa-ɗaya a kan NIC na ciki guda ɗaya na misalin, don haka baƙo ba ya taɓa ganin wata fuska ta biyu ko wani adireshi na biyu a wannan NIC. Abin da VM ke bayar da rahoto daga ciki har yanzu adireshi ne na farko na ciki guda ɗaya.

Shi ya sa abokin ciniki na sirri da ke tafiyar da hanya ta ramin zuwa 10.24.1.7 da abokin ciniki da ke nufin adireshin waje na VM suna kan hanyoyi daban-daban. Buɗe ƙa'idar bangon wuta don adireshin jama'a ba ya canza komai a hanyar VPC wadda dole ta ɗauki zirga-zirgar ramin, kuma gyara hanya a kan baƙo ba ya motsa taswirar dandamali. Zaɓi adireshin da hanyarka ke ambata, sannan duba kawai abubuwan da suke tafiyar da shi. Wannan horo yana cire yawancin zato daga wannan hanyar warware matsala.

Bi hanyar da gcloud

Fara daga misalin ka karanta duka adireshin biyu daga abu ɗaya, domin ka san wanda takardunka ke magana akai:

gcloud compute instances describe app-1 --zone=europe-west1-b \
  --format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"

Sannan tabbatar da tafiyar da hanya da izinin da hanyar ta dogara da su a zahiri:

gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1

Karanta jeri da aka sanar da kuma aka koya na ramin, hanyar VPC don ƙaramin cibiyar aikin, da ƙa'idar bangon wuta da ke ba da izinin tushen gida. Waɗannan uku dole su daidaita kafin mai saurare a kan baƙo ya zama mai mahimmanci ko kaɗan.

Sannan duba baƙo: shin sabis ɗin yana saurare a kan adireshin ciki, kuma hanyarsa ta dawowa tana komawa ta VPC? Mai saurare da aka ɗaure da adireshin jama'a kawai zai faɗi wannan gwajin ko da kowane abu a gefen girgije daidai ne.

Faifin jama'a tambaya ce ta dabam

Babu wani abu daga sama da ke nufin kowane adireshi da ake ɗauka cikin VPN dole ya zama RFC1918. Ana iya yi wa cibiyar sadarwa mai nisa lamba bisa doka daga sararin jama'a, matuƙar dandamali yana goyon bayan tafiyar da hanya kuma mai aiki yana da ikon adireshin. Wannan zaɓi ne na ƙira na al'ada.

Wannan ba ɗaya ba ne da ɗaukar adireshin NAT na waje na yau da kullum kamar wani adireshin ƙaramin cibiyar ciki. Ɗaya prefix ne da kake tafiyar da shi; ɗayan taswira ce da dandamali ke amfani da ita ga shigowa.

IPv6 na waje da shirye-shiryen adireshi na musamman suna da nasu ma'ana. Idan shirinka ya dogara da ɗayansu, karanta takardun dandamali na wannan fasalin maimakon yin gama-gari daga yanayin IPv4. Taswirar IPv4 ita ce yanayin gama-gari, ba ita kaɗai ba, kuma kowace keɓancewa tana da nata dokoki.

Jerin da suka haɗu matsala ce ta dabam

Jerin sirri da suka haɗu dalili ne na gaske da yasa mutane ke nufin adireshin jama'a, kuma ita ce kayan aiki mara kyau. Canza makoma zuwa adireshin NAT na VM ba ya warware haɗuwar; yana canza adireshin da fakiti ke cewa nasa ne, ba tare da bayyana yadda hanyar dawowa ke aiki ba.

Warware haɗuwar da gangan: sake lamba, yi amfani da tsarin fassara da aka goyan baya, ko tafiyar da hanya ta hanyar sadarwa inda prefixes ba sa yin karo. Kowanne daga waɗannan tsari ne mai mai shi. Adireshin NAT ba tsari ba ne.

Rubuta filaye biyu daban

Rubuta abokin ramin da makomar aikin a matsayin filayen runbook guda biyu daban, kowanne tare da hanyar da ƙa'idar bangon wuta da ke goyon bayansa. Ramin IPsec da ya tashi yana gaya maka kawai cewa ɓangarorin sun yarda; ba ya faɗin komai game da adireshin da aikin yake isa a kai, ko kuma ko hanyarsa ta sirri cika take.

Tabbatar da ainihin abokin ciniki a wancan gefen: warware sunan, tabbatar yana mayar da adireshin ciki, haɗa, sannan duba zirga-zirgar dawowa. takardun adireshin IP na Compute Engine su ne jagora ga bambancin ciki da waje da aka yi amfani da shi a sama.