GCP VM több NIC-vel: miért a rossz interfészen távoznak a válaszok

Egy második interfész csatolása egy Compute Engine VM-hez újabb hálózati kapcsolatot ad neki, nem szimmetrikus visszaútvonalat. A vendég továbbra is a saját útvonalaiból és szabályaiból választ interfészt és forrás-címet. A Google Cloud ezután VPC-útválasztást és tűzfal-házirendet alkalmaz azon interfész körül, amelyen a csomag elhagyta a hálózatot. Amikor ez a két döntés nem egyezik, a kérések az egyik NIC-en érkeznek és a válaszok a másikon távoznak, a fiók pedig félig nyitott beszélgetést lát.

Járja végig az útvonalat öt lépésben, és az ellentmondás még a házirend-szabály megírása előtt megmutatkozik.

Lépés 1: rendelje a felhő NIC-jeit a vendég eszközeihez

A felhő nic0, nic1 és így tovább néven nevezi el az interfészeket, a vendég pedig olyan eszközneveket lát, amelyeknek nem kell egyezniük. Oldja fel a megfeleltetést a példány metaadataiból vagy magának az interfésznek a címéből, mielőtt bármi mást tenne. A DHCP által biztosított szokásos alapértelmezett útvonal a nic0-hoz tartozik, ezért az internet felé vezető útvonal olyan gyakran nyer véletlenül. Ha egy kitalált eszköznévhez ír házirendet, az a mód, ahogy egy helyes szabály a rossz interfészre kerül.

Jegyezze fel a címeket, az eszközneveket és azt a VPC-t, amelyhez mindegyik tartozik. Ez a háromoszlopos térkép minden későbbi lépés bemenete.

Lépés 2: nevezze meg a két útválasztási döntést

Az első döntés a vendégé: melyik interfész és melyik forrás-cím ehhez a csomaghoz. A második a felhőé: mit engednek a VPC útvonalai és a tűzfal-házirend az adott interfész körül.

A VPN felé néző VPC-ben látható útvonal nem válik olyan vendég-útvonallá, amely azt a NIC-et választaná. A felhő útvonala leírja, mit tud a hálózat kézbesíteni, míg a vendég útvonala eldönti, mit tesz a csomag.

Lépés 3: válasszon visszaútvonal-házirendet

Egy kicsi, stabil fióki előtagkészlet esetén a vendégben megadott kifejezett célútvonalak a legegyszerűbb kifejezés: az ezekre az előtagokra adott válaszok a VPN felé néző interfészen távoznak. Amikor több szolgáltatás szándékosan különböző helyi forrás-címeket használ, az interfészenként táblát választó forrásalapú szabályok minden választ a megfelelő kontextusban tartanak. A több interfészről szóló dokumentáció leírja a NIC-elnevezést és az alapértelmezett útvonal viselkedését, amelyre ezek a tervek támaszkodnak.

Minden táblának érvényes csatlakoztatott útvonalakra és következő ugrásokra van szüksége, valamint azokra a célokra, amelyekről kérdezni fogják. A hiányos táblára mutató szabály nem visszaútvonal-terv. Használja az adott NIC-hez dokumentált átjárót, ahelyett hogy az alhálózat kinézetéből Ethernet-átjárót találna ki.

Lépés 4: ellenőrizze a vendég saját szűrőit

Ellenőrizze, hol figyel a kiszolgáló, és melyik helyi forrást hordozza a válasz. A minden címre figyelő hallgató nem írja felül az útválasztási házirendet, így az összes címre kötés semmit sem változtat azon az interfészen, amelyen a válasz távozik.

Linuxon vizsgálja felül a fordított útvonal ellenőrzését a tervezett kialakítással szemben. Globális kikapcsolása első lépésként az útválasztási hibát hamisítási kitettségre cseréli, és elrejti azt az aszimmetriát, amelyet keresni próbált.

Lépés 5: teszteljen egy folyamot útvonalanként

Ellenőrizze külön az engedélyezett fióki kérést és egy kapcsolódó internetes kérést, mindegyiket a valódi forrásával és céljával. Rögzítsen mindkét interfészen, amikor tud, mert a hasznos bizonyíték az, hogy melyik interfész vitte a választ. Ezután erősítse meg, hogy a felhő oldali házirend tiszteletben tartotta a tervezett útvonalat. Egy sikeres kérés egy folyamot bizonyít, nem szimmetrikus tervet.

Tartsa külön a két tesztet a jegyzeteiben, mert különböző útvonalakat és különböző tűzfalszabályokat gyakorolnak.

Mit nem ad meg a második NIC

Egy második interfész hálózati kapcsolatot és még egy címet ad hozzá. Nem ad hozzá automatikus szimmetrikus útválasztást, és nem kerüli meg a tűzfal-házirendet. Útválasztási javításként kezelni az az oka, hogy a több NIC-es tervek olyan szabályokat halmoznak fel, amelyeket később senki sem tud megmagyarázni.

Ha a VM-nek más gépek forgalmát kell továbbítania, tervezze meg ezt a router-szerepet kifejezetten, beleértve a felhőbeállítást, amely engedélyezi a továbbítást, és a hozzá tartozó vendégszűrőket.