GCP Classic VPN Terraform-ში: გახადეთ გვირაბი მარშრუტულზე დაფუძნებული

გეგმა სუფთად გამოიყენება, გვირაბი ადის და კონსოლი მას პოლიტიკაზე დაფუძნებულს უწოდებს. ტრაფიკი მაინც არ გადის, და Terraform რესურსში მარშრუტულზე დაფუძნებული გადამრთველის ძებნა არსად მიდის, რადგან ასეთი ველი არ არსებობს. Classic VPN-ში მარშრუტული ქცევა არ არის რეჟიმი, რომელსაც ირჩევთ. ეს არის ის, რასაც იღებთ, როცა ლოკალური ტრაფიკის სელექტორი 0.0.0.0/0 არის, დისტანციური სელექტორები ჩამოთვლიან ქსელებს, რომლებიც ნამდვილად გსურთ, და მარშრუტი მიუთითებს გვირაბზე. სამი რამ, და იარლიყი მიჰყვება.

მითი: გვირაბის რეჟიმის ველი

კონსოლის იარლიყი ასახავს იმას, რასაც API ხედავს სელექტორებში. რესურსში არაფერი ამბობს მარშრუტულს, ამიტომ არაფერია ჭეშმარიტ მნიშვნელობაზე დასაყენებელი.

იმ ველის ძებნა პრობლემის პირველ საათს ხარჯავს, სელექტორების მნიშვნელობების კითხვა კი ბოლო ხუთ წუთს იკავებს.

რას ნიშნავს აქ მარშრუტულზე დაფუძნებული

Google Classic VPN-ის მარშრუტულ გვირაბებს აღწერს როგორც პოლიტიკაზე დაფუძნებულ გვირაბებს, რომელთა ლოკალური სელექტორი 0.0.0.0/0 არის. სახელდება მხოლოდ დისტანციური დიაპაზონები, და ლოკალური მხარე განიხილება როგორც ნებისმიერი მისამართი. ამიტომ თქვენს კონფიგურაციაში ნიშანი მნიშვნელობაა და არა რეჟიმი. ჩამოწერეთ ორივე სელექტორი ცხადად და წაიკითხეთ ისინი გეგმის გამოსავალში:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

ამ ფრაგმენტში პარტნიორის პრეფიქსი საილუსტრაციოა; მთავარია ფორმა.

მარშრუტი ცალკე ობიექტია

გვირაბის ობიექტი მარშრუტს არ აყენებს. პაკეტებს შეუძლიათ შეესაბამებოდნენ გვირაბის პოლიტიკას და მაინც არ ჰქონდეთ სად წავიდნენ, რადგან შემდეგ ნახტომს VPC-ის მარშრუტიზაციის ცხრილი წყვეტს. მარშრუტს სჭირდება დანიშნულების დიაპაზონი, ქსელი, გვირაბი როგორც შემდეგი ნახტომი და პრიორიტეტი, რომელიც ამარცხებს ყველაფერს უფრო ფართოს. თუ დაივიწყებთ, მიიღებთ გვირაბს, რომელიც აცნობებს დაკავშირებას, და შემოწმებას, რომელიც არასდროს ტოვებს VPC-ს.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

შექმენით მარშრუტი იმავე მოდულში, როგორც გვირაბი, რათა ორივე განხილვისას არ დაშორდეს ერთმანეთს.

აისახეთ სელექტორები პარტნიორზე

დისტანციური მოწყობილობა უნდა დაკონფიგურირდეს სარკული გამოსახულებით: მისი ლოკალური დიაპაზონი თქვენი დისტანციური სელექტორია, და მისი დისტანციური დიაპაზონი უნდა ფარავდეს იმ GCP ქვექსელებს, რომელთა გამოყენებასაც ელოდებით. თუ რომელიმე მხარე შევიწროვდა, ფაზა 1-ის წარმატების მიუხედავად ფაზა 2 ვერ ხერხდება. ეს არის კონფიგურაციის ყველაზე გავრცელებული ფორმა, რომელიც კონსოლში სწორად გამოიყურება და ტრაფიკს არ ატარებს.

ცვლილების განხილვისას დაბეჭდეთ ორივე მხარის სელექტორები გვერდიგვერდ.

დაყავით სტატიკური მისამართი ორ გამოყენებად

დაჯავშნილი მისამართის და მასზე მიმთითებელი გვირაბის ერთ გამოყენებაში შექმნა არასტაბილურობის ცნობილი წყაროა, რადგან მისამართი უნდა არსებობდეს მანამ, სანამ გადამისამართების წესი გამოიყენებს. ჯერ გამოიყენეთ მხოლოდ მისამართის რესურსი, შემდეგ დაამატეთ კარიბჭე, გადამისამართების წესები და გვირაბი და კვლავ გამოიყენეთ. Terraform მეორე გაშვებისას კითხულობს არსებულ მისამართს მდგომარეობიდან და ხელახლა იყენებს. თუ გამოტოვებთ, გვირაბმა შეიძლება ყოველ გამოყენებაზე ახალი საჯარო მისამართი მიიღოს, რაც ყოველ ჯერზე ამტვრევს პარტნიორის კონფიგურაციას.

ორი გამოყენება ახლა უფრო იაფია, ვიდრე პარტნიორის შეცვლა ყოველ გამოშვებაზე.

შეამოწმეთ მოლაპარაკება და არა იარლიყი

გამოყენების შემდეგ შეამოწმეთ სამი ცალკე ფაქტი: გვირაბი აცნობებს დაკავშირებას, მარშრუტი არსებობს განზრახული შემდეგი ნახტომით, და პარტნიორი აცნობებს, რომ ორივე ფაზა 1 და ფაზა 2 აქტიურია.

გვირაბი აქტიურია, მაგრამ ფაზა 2 ქვემოთაა, რაც ნიშნავს, რომ ორი მხარე სელექტორებზე არ თანხმდება:

• ერთი მხარე ჩამოთვლის ქვექსელს, რომელსაც მეორე არ ჩამოთვლის.
• ერთი მხარე იყენებს აგრეგატს, რომელიც მეორემ შევიწროვა.
• მარშრუტი არსებობს, მაგრამ სხვა გვირაბზე მიუთითებს.

Classic VPN არის ერთი გვირაბი HA VPN-ზე დაბალი SLA-ით, ხოლო HA VPN იყენებს ორ ინტერფეისს, ორ გვირაბს და BGP-ს სხვადასხვა რესურსის ტიპით. კლასიკური მაგალითის HA კონფიგურაციაში კოპირება და იმის მოლოდინი, რომ სელექტორის ველები ერთნაირად მოიქცევიან, ცალკე შეცდომაა, რომლის თავიდან აცილებაც ღირს. თვით გვირაბის ველები დოკუმენტირებულია google_compute_vpn_tunnel-ის ცნობარში.