GCP Cloud VPN: provjerite gateway, tunel i firewall po redu

Tunel koji prijavljuje uspostavljeno stanje dok svaka provjera ističe obično nema VPC firewall pravilo. Provjerite gateway, selektore i tip rutiranja tim redom.

Vaša konzola prikazuje zeleni tunel, lokalni monitoring još uvijek ne može dosegnuti nijednu instancu, a ponovna izgradnja tunela izgleda kao očito rješenje. Rijetko je tako. Uspostavljeni tunel dokazuje samo da su dva gatewaya završila IKE razmjenu. Ne govori ništa o tome je li paket ikada pušten u vaš VPC.

Četiri odluke stoje između te zelene ikone i odgovora, i one padaju u predvidljivom redu. Krenite od najjeftinije.

Tri objekta, a samo jedan od njih šifrira

VPN gateway posjeduje vanjsku adresu na koju šifrira vaš peer. U konzoli ga nikada ne stvarate ručno: odaberite ili rezervirajte adresu unutar obrasca veze i gateway se pojavljuje s njom. HA gateway zauzima dvije adrese na dva sučelja, što je važno kod provjere kvota kasnije.

Tunel je uparivanje između tog gatewaya i peera. Nosi zajedničku tajnu i prometne selektore koje obećava štititi. Upravo u tim selektorima počinje većina tihih kvarova. Tunel čiji lokalni selektor pokriva 10.0.0.0/24 neće dostavljati 10.0.1.0/24, koliko god status izgledao zdrav.

Suprotna strana drži svoj vlastiti popis, obično nazvan enkripcijska domena, a terminalni hardver ga uspoređuje s vašim. Nijedna strana ne pregovara o selektoru koji joj nikada nije dan.

Tip rutiranja odlučuje što stiže u tablicu ruta

Cloud VPN nudi tri oblika rutiranja i oni se ne miješaju čisto. Rutiranje temeljeno na pravilima čuva statične parove selektora, rutiranje temeljeno na rutama očekuje da sami dodate statične rute, a dinamičko rutiranje oglašava prefikse kroz Cloud Router preko BGP-a. Odaberite jedan namjerno.

Dinamički tunel s rukom napisanim statičnim rutama pokraj sebe stvara tablicu ruta koja se isprazni svaki put kad BGP sesija zatitra.

Dinamičko je jedini oblik koji dopušta da se zaštićeni prefiksi promijene bez ponovne izgradnje tunela, i ono uvlači Cloud Router u skup objekata koje morate provjeriti. Statični selektori ostaju upotrebljivi kad je peer hardverski firewall koji ne može govoriti BGP. Tada oba kraja trebaju iste raspone, a konkretniji unos mora pobijediti na oba. Par koji se razlikuje za jednu podmrežu uspostavi se i zatim nosi pola vašeg prometa.

Podrazumijevano odbijanje sjedi iza tunela

Dolazni promet ocjenjuje se prema podrazumijevanom odbijanju na najnižem prioritetu, i to pravilo ne zanima što je paket stigao šifriran. Dok firewall pravilo ne navede lokalni raspon i port koji se koristi, paket se dešifrira, pregleda i odbacuje. VPN zapis ostaje čist cijelo vrijeme, jer je tunel učinio točno ono što je obećao.

Umjesto toga čitajte zapis odbijanja firewalla kad je tunel aktivan, a provjera istekne, pa ograničite pravilo na izvorni raspon i portove koji su vam potrebni:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Rad samo jednog smjera trag je o firewallu

Izlazni promet ponaša se drukčije, jer podrazumijevano pravilo dopuštanja pušta instance da šalju bilo kamo. Datacentar koji ne može dosegnuti VM često stoji iza savršeno ispravnog izlaznog puta u drugom smjeru. Ta asimetrija odvaja propust u firewallu od kvara rutiranja, jer kvar rutiranja lomi oba smjera odjednom. Testirajte obrnuti smjer prije nego uredite još jedno pravilo.

Stvaranje adrese također je kvotna operacija. Projekt blizu svog ograničenja vanjskih adresa u upotrebi odbija vezu s greškom koja se čita kao neuspjeh dopuštenja.

Selektori, kvote, pa četiri provjere

Tuneli stvoreni u konzoli ponekad vraćaju prazan udaljeni prometni selektor iz gcloud compute vpn-tunnels describe, dok generirane rute ispravno nose promet. Usporedite što API bilježi s rasponima koje stvarno štitite prije nego zaključite da tunel nije ispravan. Stvaranje kroz API ili SDK drži selektor eksplicitnim.

Kvote su drugi laki propust. Zatražite povećanje prije prozora održavanja, a ne tijekom njega, i provjerite broj adresa u istom projektu kao gateway.

Radite izvana prema unutra: status peera, oba popisa selektora, ruta za svaku stranu, dolazno pravilo za izvorni raspon i port, zatim snimanje paketa. Zapišite adresu gatewaya, oba popisa selektora i tip rutiranja u tiket za promjenu dok je tunel nov, jer sljedećem inženjeru koji doda podmrežu trebat će sve troje.

Povezani članci