Terraform ішіндегі GCP Classic VPN: туннельді маршруттық негізге көшіріңіз

Classic VPN ішінде белгі әрекетті анықтамайды. Маршруттық негіз дегеніміз 0.0.0.0/0 жергілікті селекторы, сәйкес қашықтағы селекторлар және айқын маршрут.

Жоспар таза қолданылады, туннель көтеріледі, ал консоль оны саясатқа негізделген деп атайды. Трафик әлі де өтпейді, ал Terraform ресурсында маршруттық негіздегі ауыстырғышты іздеу ешқайда апармайды, себебі мұндай өріс жоқ. Classic VPN ішінде маршруттық негіздегі әрекет — сіз таңдайтын режим емес. Бұл жергілікті трафик селекторы 0.0.0.0/0 болғанда, қашықтағы селекторлар шынымен қалайтын желілерді тізімдегенде және маршрут туннельге сілтегенде алынады. Үш нәрсе, ал белгі соңынан ереді.

Аңыз: туннель режимінің өрісі

Консоль белгісі API селекторларда көретінін көрсетеді. Ресурста ештеңе маршруттық деп айтпайды, сондықтан шын мәніне қоятын ештеңе жоқ.

Сол өрісті іздеу мәселенің бірінші сағатын жұмсайды, ал селектор мәндерін оқу соңғы бес минутты алады.

Мұнда маршруттық негіз нені білдіреді

Google Classic VPN-нің маршруттық туннельдерін жергілікті селекторы 0.0.0.0/0 болатын саясатқа негізделген туннельдер ретінде құжаттайды. Тек қашықтағы ауқымдар аталады, ал жергілікті жақ кез келген мекенжай ретінде қаралады. Сондықтан конфигурацияңыздағы белгі режим емес, мән. Екі селекторды да айқын жазып, оларды жоспар шығысында оқыңыз:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

Сол үзіндідегі серіктес префиксі мысал ретінде берілген; маңыздысы — пішін.

Маршрут — жеке объект

Туннель объектісі маршрут орнатпайды. Пакеттер туннель саясатына сәйкес келіп, бірақ баратын жері болмауы мүмкін, себебі келесі секірісті VPC маршруттау кестесі шешеді. Маршрутқа межелік ауқым, желі, келесі секіріс ретінде туннель және кез келген кеңірек нәрседен ұтып тұратын басымдық керек. Егер оны ұмытсаңыз, қосылым орнады деп хабарлайтын туннель және VPC-дан ешқашан шықпайтын тексеріс аласыз.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Маршрутты туннельмен бір модульде жасаңыз, сонда екеуі қарау кезінде ажырап кетпейді.

Селекторларды серіктесте көрсетіңіз

Қашықтағы құрылғы айна кескінмен конфигурациялануы керек: оның жергілікті ауқымы — сіздің қашықтағы селекторыңыз, ал қашықтағы ауқымы пайдалануды жоспарлаған GCP қосалқы желілерін қамтуы тиіс. Кез келген жақ тарылса, 1-фаза сәтті болса да 2-фаза сәтсіз аяқталады. Бұл консольде дұрыс көрінетін және ешқандай трафик тасымалдамайтын конфигурацияның ең көп тараған түрі.

Өзгеріс қарауы кезінде екі жақтың селекторларын қатар басып шығарыңыз.

Статикалық мекенжайды екі қолдануға бөліңіз

Резервтелген мекенжайды және оған сілтейтін туннельді бір қолдануда жасау — тұрақсыздықтың белгілі көзі, себебі мекенжай жіберу ережесі оны пайдаланғанға дейін болуы керек. Алдымен тек мекенжай ресурсын қолданыңыз, содан кейін шлюзді, жіберу ережелерін және туннельді қосып, қайта қолданыңыз. Terraform екінші іске қосуда бар мекенжайды күйден оқып, оны қайта пайдаланады. Егер оны өткізіп жіберсеңіз, туннель әр қолдануда жаңа жалпыға ортақ мекенжай алуы мүмкін, бұл серіктес конфигурациясын әр жолы бұзады.

Қазір екі қолдану әр шығарылымда серіктесті өзгертуден арзан.

Белгіні емес, келіссөзді тексеріңіз

Қолданғаннан кейін үш бөлек фактіні тексеріңіз: туннель қосылым орнады деп хабарлайды, маршрут көзделген келесі секіріспен бар, және серіктес 1-фаза мен 2-фазаның екеуі де жұмыс істеп тұрғанын хабарлайды.

Туннель жұмыс істеп тұрса да 2-фаза төменде болса, екі жақ селекторлар туралы келіспегені:

  • Бір жақ екіншісі тізімдемеген қосалқы желіні тізімдейді.
  • Бір жақ екіншісі тарылтқан агрегатты пайдаланады.
  • Маршрут бар, бірақ басқа туннельге сілтейді.

Classic VPN — HA VPN-нен төмен SLA-сы бар жалғыз туннель, ал HA VPN екі интерфейс, екі туннель және басқа ресурс түрлерімен BGP пайдаланады. Классикалық мысалды HA конфигурациясына көшіріп, селектор өрістері дәл солай әрекет етеді деп күту — аулақ болуға тұрарлық бөлек қате. Туннель өрістерінің өзі google_compute_vpn_tunnel анықтамасында.

Қатысты мақалалар