GCP Classic VPN Terraformban: tegye útvonal-alapúvá az alagutat

A Classic VPN-ben a címke nem dönti el a viselkedést. Az útvonal-alapú helyi szelektor 0.0.0.0/0, egyező távoli szelektorok és egy explicit útvonal.

A terv tisztán alkalmazható, az alagút feljön, és a konzol házirend-alapúnak nevezi. A forgalom mégsem megy át, és az útvonal-alapú kapcsoló keresése a Terraform-erőforrásban nem vezet sehová, mert nincs ilyen mező. A Classic VPN-ben az útvonal-alapú viselkedés nem egy kiválasztható mód. Akkor kapja meg, amikor a helyi forgalomszelektor 0.0.0.0/0, a távoli szelektorok felsorolják a ténylegesen kívánt hálózatokat, és egy útvonal az alagútra mutat. Három dolog, és a címke követi.

A mítosz: alagút-mód mező

A konzol címkéje azt tükrözi, amit az API a szelektorokban lát. Semmi sem mondja az erőforrásban, hogy útvonal-alapú, így nincs mit igaz értékre állítani.

A mező keresése a probléma első óráját viszi el, míg a szelektorértékek olvasása az utolsó öt percet.

Mit jelent itt az útvonal-alapú

A Google a Classic VPN útvonal-alapú alagútjait házirend-alapú alagútként dokumentálja, amelyeknek a helyi szelektoruk 0.0.0.0/0. Csak a távoli tartományok kapnak nevet, a helyi oldalt pedig bármely címként kezeli. Ezért a konfigurációjában a jelölő érték, nem mód. Írja le mindkét szelektort explicit módon, és olvassa ki őket a terv kimenetéből:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

A társ előtagja ebben a részletben szemléltető; a forma az, ami számít.

Az útvonal külön objektum

Az alagút objektum nem telepít útvonalat. A csomagok illeszkedhetnek az alagút házirendjéhez, és mégsem jutnak sehová, mert a következő ugrást a VPC útválasztási táblája dönti el. Az útvonalhoz céltartomány, hálózat, az alagút mint következő ugrás és minden szélesebbet legyőző prioritás kell. Ha ezt elfelejti, olyan alagutat kap, amely kapcsolódott állapotot jelent, és egy pinget, amely soha nem hagyja el a VPC-t.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Hozza létre az útvonalat ugyanabban a modulban, mint az alagutat, hogy a kettő ne távolodjon el a felülvizsgálat során.

Tükrözze a szelektorokat a társ oldalon

A távoli eszközt tükörképként kell beállítani: a helyi tartománya az Ön távoli szelektora, a távoli tartományának pedig le kell fednie azokat a GCP-alhálózatokat, amelyeket használni szeretne. Ha bármelyik oldal szűkít, a 2-es fázis meghiúsul, pedig az 1-es fázis sikerül. Ez a leggyakoribb formája annak a konfigurációnak, amely a konzolon helyesnek látszik, és nem visz forgalmat.

A változás felülvizsgálatakor nyomtassa ki a két oldal szelektorait egymás mellett.

Ossza ketté a statikus címet két alkalmazásra

A lefoglalt cím és a rá hivatkozó alagút egyetlen alkalmazásban történő létrehozása ismert instabilitási forrás, mert a címnek léteznie kell, mielőtt a továbbítási szabály használhatja. Először csak a cím erőforrást alkalmazza, majd adja hozzá az átjárót, a továbbítási szabályokat és az alagutat, és alkalmazza újra. A Terraform a második futáskor az állapotból olvassa ki a meglévő címet, és újra felhasználja. Ha ezt kihagyja, az alagút minden alkalmazáskor új nyilvános címet kaphat, ami minden alkalommal elrontja a társ konfigurációját.

Két alkalmazás most olcsóbb, mint minden kiadásnál társat módosítani.

A tárgyalást ellenőrizze, ne a címkét

Alkalmazás után három külön tényt ellenőrizzen: az alagút kapcsolódott állapotot jelent, az útvonal létezik a szándékolt következő ugrással, és a társ jelzi, hogy az 1-es és a 2-es fázis is fut.

Az alagút fent van, de a 2-es fázis lent, ami azt jelenti, hogy a két oldal nem ért egyet a szelektorokban:

  • Az egyik oldal felsorol egy alhálózatot, a másik nem.
  • Az egyik oldal olyan összesítést használ, amelyet a másik szűkített.
  • Az útvonal létezik, de egy másik alagútra mutat.

A Classic VPN egyetlen alagút a HA VPN-nél alacsonyabb SLA-val, a HA VPN pedig két interfészt, két alagutat és eltérő erőforrástípusú BGP-t használ. Egy klasszikus példát HA-konfigurációba másolni, és azt várni, hogy a szelektor-mezők ugyanúgy viselkednek, külön hiba, amelyet érdemes elkerülni. Magukat az alagút mezőit a google_compute_vpn_tunnel referenciája.

Kapcsolódó cikkek