Virkja IP-framsending á fyrirliggjandi GCE VPN-gátt

VM-ið var búið til án IP-framsendingar, það keyrir nú þegar VPN-hugbúnaðinn, og eðlishvötin er að byggja það upp að nýju úr sniðmátinu með fánann stilltan. Sú endurbygging er óþörf. Compute Engine birtir canIpForward sem uppfæranlegan eiginleika, og skjalfesta uppfærsluleiðin beitir honum með refresh í stað endurræsingar. Það sem fáninn stjórnar í raun er þröngt: án hans sleppir pallurinn pakkum sem berast instansinum en eru ekki stýrð á eigið vistfang instansins. Gátt sem sendir umferð annarra véla áfram gerir einmitt það, svo fáninn verður að vera á. Allt það sem kemur á eftir er uppsetning gestanna og leiðarstýring, sem fáninn snertir ekki.

Hvað fáninn leyfir, og hvað ekki

Þegar framsending er óvirk meðhöndlar pallurinn instansið sem endapunkt. Pakkar sem eru á eigið vistfang instansins eru afhentir; pakkar sem instansinu á að senda áfram fyrir hönd einhvers annars eru það ekki.

Þegar framsending er virk má instansið vera næsta stökk fyrir VPC-leið, og það er hlutverkið sem VPN-tæki þarf. Fáninn segir ekkert um eldveggi, leiðarstýringu gestsins, stillingu gönganna eða bakleiðir, og gildið true á biluðum gátt er enn biluð gátt.

Lestu núverandi eiginleika

Skoðaðu stillinguna áður en þú breytir nokkru, með leseinungis describe á móti fyrirhuguðu instansi, verkefni og svæði:

gcloud compute instances describe VM_NAME --project PROJECT_ID --zone ZONE --format='value(canIpForward)'

Gildið false skiptir aðeins máli ef þetta VM á að vera næsta stökk. Ef svo er, verður samt að athuga restina af leiðinni sérstaklega, því eiginleikinn er ein lína í lengri keðju.

Uppfærðu fyrirliggjandi instans

Aðferð Google við uppfærslu eiginleika instansa flytur út núverandi tilfang, breytir eiginleikanum og sendir niðurstöðuna. Það er annar vinnuferill en fáninn --can-ip-forward við sköpunina, og það er sá sem virkar á keyrandi VM.

Flytjið skilgreiningunni fyrst út í staðbundið skrá, og geymið óbreytta afrit til samanburðar:

gcloud compute instances export VM_NAME --project PROJECT_ID --zone ZONE --destination=instance.yaml

Í þeirri útfluttu skrá, stilltu eiginleikann og breyttu engu öðru:

canIpForward: true

Geymdu allt tilfangið, þar á meðal fingrafar þess. Að skipta skránni út fyrir eins línu YAML-skjal, eða pakka ótengdum breytingum á vélartegund, diski eða tengi í sömu sendingu, er leiðin sem breyting á eiginleika verður að niðurtíma.

Biddu uppfærslukerfið að sannprófa skrána og segja til um hvað það myndi krefjast, áður en nokkur raunveruleg breyting er leyfð:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=NO_EFFECT

Sú sannprófunarakstur virkjar ekki framsendingu. Lestu svarið varðandi ógilda eiginleika og aðgerðina sem sagt er að þurfi. Fyrir þessa einangruðu breytingu er skjalfesta aðgerðin REFRESH. Ef niðurstaðan biður um endurræsingu inniheldur skráin meira en eiginleikann sem þú ætlaðir að breyta, svo skoðaðu hana í stað þess að veita endurræsinguna.

Beittu yfirfarðu skránni með refresh-mörkum:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=REFRESH

Athugaðu að aðgerðin kláraðist og keyrðu describe-skipunina aftur. Ef fingrafarið passar ekki lengur hefur einhver annar breytt instansinu á meðan þú breyttir, svo flyttu út nýtt afrit og farðu yfir breytinguna aftur í stað þess að þröngva gömlu skránni þinni í gegn.

Gesturinn verður samt að leiða pakkann

Skýjaheimild gerir tækið ekki að leiðara. Staðfestu að VPC-leið velji þetta VM sem næsta stökk fyrir áfangastaðar forskeytið, og að gesturinn leiði milli göngunnar og rétta tengisins með eigin framsendingarstefnu virka.

Eldveggsstefnan verður að leyfa innri flæðið jafnt sem ytri hlustandann. Að opna aðeins VPN-portið lýsir dulkóðuðu flutningnum og segir ekkert um forritaskiptin inni í honum.

Að lokum þarf áfangastaðurinn bakleið að biðlaraþyrpingunni, eða hönnunin verður að þýða uppruna viljandi. Ef áfangastaðurinn sér þýdda umferð, athugaðu þýdda upprunann; ef hönnunin varðveitir þyrpinguna, athugaðu þá þyrpingu í bakleiðinni og aðgangsreglunum. Að bæta NAT við áður en þú ákveður hvaða hönnun þú vilt felur leið sem vantar og breytir stefnunni sem áfangastaðurinn sér.

Á Linux-gátt er framsending kjarnans hluti af uppsetningu gestsins. pfSense-tæki hefur sína eigin samsvarandi lausn, og að afrita Linux sysctl-skipun inn í það er ekki samsvarandi skref.

Sannprófaðu frá biðlaranum sem þarf aðgang

Prófaðu frá VPN-biðlara að einni markþjónustu, ekki frá gáttinni sjálfri. Tenging sem hefst á gáttinni notar annan uppruna og æfir aldrei framsendingarreglurnar sem þú virkjaðir rétt í þessu.

Skráðu eiginleikann í því sem stjórnar tækinu. Handvirkt leiðrétt VM virkar þar til næsta skipti á því kemur upprunalegu stillingunni aftur hljóðlega, og sú bilun mun líta út eins og bakslag í VPN-hugbúnaðinum.

Vinnulagið: lestu eiginleikann, flyttu út og breyttu einni línu, sannprófaðu með NO_EFFECT, beittu með REFRESH, staðfestu að gesturinn sendi áfram, prófaðu svo frá biðlara.