GCP Cloud VPN: गेटवे, टनल और फ़ायरवॉल को क्रम में जाँचें

आपका कंसोल एक हरा टनल दिखाता है, साइट पर मॉनिटरिंग अभी भी एक भी इंस्टेंस तक नहीं पहुँच पाती, और टनल को फिर से बनाना स्पष्ट समाधान लगता है। ऐसा शायद ही होता है। स्थापित टनल केवल यह साबित करता है कि दो गेटवे ने IKE एक्सचेंज पूरा कर लिया। यह इस बारे में कुछ नहीं कहता कि किसी पैकेट को कभी आपके VPC में आने दिया गया या नहीं।

उस हरे आइकन और जवाब के बीच चार निर्णय हैं, और वे पूर्वानुमेय क्रम में विफल होते हैं। सबसे सस्ते से शुरू करें।

तीन ऑब्जेक्ट, और उनमें से केवल एक एन्क्रिप्ट करता है

एक VPN गेटवे उस बाहरी पते का मालिक है जिस पर आपका पीयर एन्क्रिप्ट करता है. कंसोल में आप इसे कभी हाथ से नहीं बनाते: कनेक्शन फ़ॉर्म के भीतर पता चुनें या आरक्षित करें और गेटवे उसके साथ प्रकट होता है। एक HA गेटवे दो इंटरफ़ेस पर दो पते लेता है, जो बाद में कोटा जाँच में मायने रखता है।

टनल उस गेटवे और पीयर के बीच की जोड़ी है। यह साझा रहस्य और उन ट्रैफ़िक सेलेक्टर को ले जाता है जिन्हें सुरक्षित करने का वादा करता है। उन्हीं सेलेक्टर से अधिकांश शांत विफलताएँ शुरू होती हैं। जिस टनल का स्थानीय सेलेक्टर 10.0.0.0/24 कवर करता है, वह 10.0.1.0/24 नहीं पहुँचाएगा, स्थिति कितनी भी स्वस्थ दिखे।

दूर का सिरा अपनी सूची रखता है, जिसे आमतौर पर एन्क्रिप्शन डोमेन कहा जाता है, और अंतिम हार्डवेयर उसकी आपकी सूची से तुलना करता है। कोई भी पक्ष ऐसे सेलेक्टर पर बातचीत नहीं करता जो उसे कभी दिया ही न गया हो।

रूटिंग प्रकार तय करता है कि रूट तालिका तक क्या पहुँचता है

Cloud VPN तीन रूटिंग आकार देता है और वे साफ़-साफ़ नहीं मिलते। नीति-आधारित रूटिंग स्थिर सेलेक्टर जोड़े रखती है, रूट-आधारित रूटिंग अपेक्षा करती है कि आप स्वयं स्थिर रूट जोड़ें, और गतिक रूटिंग BGP पर Cloud Router के माध्यम से प्रीफ़िक्स का विज्ञापन करती है। जानबूझकर एक चुनें।

बगल में हाथ से लिखे स्थिर रूट वाला गतिक टनल ऐसी रूट तालिका बनाता है जो BGP सत्र डगमगाते ही खाली हो जाती है।

गतिक ही एकमात्र आकार है जो टनल को फिर से बनाए बिना सुरक्षित प्रीफ़िक्स बदलने देता है, और यह Cloud Router को उन ऑब्जेक्ट के समुच्चय में खींच लाता है जिन्हें आपको सत्यापित करना है। जब पीयर ऐसा हार्डवेयर फ़ायरवॉल हो जो BGP नहीं बोल सकता, तब स्थिर सेलेक्टर काम करते रहते हैं। फिर दोनों सिरों को समान श्रेणियाँ चाहिए, और अधिक विशिष्ट प्रविष्टि को दोनों पर जीतना होगा। एक सबनेट से असहमत जोड़ी स्थापित होती है और फिर आपका आधा ट्रैफ़िक ढोती है।

निहित अस्वीकृति टनल के पीछे बैठती है

आने वाले ट्रैफ़िक का मूल्यांकन सबसे कम प्राथमिकता पर निहित अस्वीकृति के विरुद्ध होता है, और उस नियम को इससे कोई मतलब नहीं कि पैकेट एन्क्रिप्ट होकर आया। जब तक कोई फ़ायरवॉल नियम साइट की श्रेणी और उपयोग में पोर्ट का नाम नहीं लेता, पैकेट डिक्रिप्ट होता है, जाँचा जाता है और गिरा दिया जाता है। VPN लॉग पूरे समय साफ़ रहता है, क्योंकि टनल ने ठीक वही किया जिसका वादा किया था।

इसके बजाय जब टनल चालू हो और प्रोब समय-सीमा पार करे तो फ़ायरवॉल अस्वीकृति लॉग पढ़ें, फिर नियम को स्रोत श्रेणी और आपके ज़रूरी पोर्ट तक सीमित करें:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

एक दिशा का काम करना फ़ायरवॉल का संकेत है

बाहर जाने वाला ट्रैफ़िक अलग व्यवहार करता है, क्योंकि निहित अनुमति नियम इंस्टेंस को कहीं भी भेजने देता है। जो डेटा सेंटर किसी VM तक नहीं पहुँच पाता, वह अक्सर दूसरी दिशा में पूरी तरह काम करने वाले बाहरी मार्ग के पीछे बैठा होता है। यह असममिति फ़ायरवॉल की चूक को रूटिंग खराबी से अलग करती है, क्योंकि रूटिंग खराबी दोनों दिशाएँ एक साथ तोड़ देती है। एक और नियम संपादित करने से पहले उलटी दिशा जाँचें।

पते बनाना भी कोटा कार्रवाई है। उपयोग में बाहरी पतों की सीमा के करीब का प्रोजेक्ट कनेक्शन को ऐसी त्रुटि से अस्वीकार करता है जो अनुमति विफलता जैसी लगती है।

सेलेक्टर, कोटा, फिर चार जाँचें

कंसोल में बने टनल कभी-कभी gcloud compute vpn-tunnels describe से खाली दूरस्थ ट्रैफ़िक सेलेक्टर लौटाते हैं जबकि उत्पन्न रूट ट्रैफ़िक सही ढंग से ले जाते हैं। टनल को गलत मानने से पहले API जो दर्ज करता है उसकी उन श्रेणियों से तुलना करें जिन्हें आप वास्तव में सुरक्षित करते हैं। API या SDK से बनाने पर सेलेक्टर स्पष्ट रहता है।

कोटा दूसरी आसान चूक है। रखरखाव विंडो से पहले वृद्धि माँगें, उसके दौरान नहीं, और गेटवे वाले उसी प्रोजेक्ट में पतों की संख्या जाँचें।

बाहर से अंदर की ओर काम करें: पीयर स्थिति, दोनों सेलेक्टर सूचियाँ, हर पक्ष के लिए एक रूट, स्रोत श्रेणी और पोर्ट के लिए आने वाला नियम, फिर पैकेट कैप्चर। टनल नया होते ही गेटवे पता, दोनों सेलेक्टर सूचियाँ और रूटिंग प्रकार परिवर्तन टिकट में लिखें, क्योंकि सबनेट जोड़ने वाले अगले इंजीनियर को तीनों की ज़रूरत होगी।