GCP Cloud VPN: шлюз, туннель және firewall-ды ретімен тексеріңіз

Әрбір тексеру уақыт бітіп жатқанда туннель құрылды деп хабарласа, әдетте VPC firewall ережесі жетіспейді. Шлюзді, селекторларды және маршруттау түрін осы ретпен тексеріңіз.

Консолыңыз жасыл туннель көрсетеді, жергілікті мониторинг әлі бір де бір инстансқа жете алмайды, ал туннельді қайта құру айқын шешім болып көрінеді. Бұл сирек. Құрылған туннель екі шлюздің IKE алмасуын аяқтағанын ғана дәлелдейді. Ол пакеттің VPC-ге ешқашан жіберілген-жіберілмегені туралы ештеңе айтпайды.

Сол жасыл белгіше мен жауап арасында төрт шешім тұр және олар болжамды ретпен сәтсіздікке ұшырайды. Ең арзанынан бастаңыз.

Үш нысан, және олардың тек біреуі ғана шифрлайды

VPN шлюзі серіктесіңіз шифрлайтын сыртқы мекенжайға ие. Консольде оны ешқашан қолмен жасамайсыз: қосылым нысанының ішінде мекенжайды таңдаңыз немесе резервтеңіз, сонда шлюз сол мекенжаймен бірге пайда болады. HA шлюзі екі интерфейсте екі мекенжайды алады, бұл кейінірек квота тексеруінде маңызды.

Туннель — сол шлюз бен серіктес арасындағы жуптастыру. Ол ортақ құпияны және қорғауға уәде берген трафик селекторларын тасымалдайды. Ең көп үнсіз ақаулар осы селекторлардан басталады. Жергілікті селекторы 10.0.0.0/24-ді қамтитын туннель 10.0.1.0/24-ді жеткізбейді, күй қаншалықты сау көрінсе де.

Алыс жақ өз тізімін ұстайды, оны әдетте шифрлау домені деп атайды, ал аяқтаушы аппараттық құрал оны сіздікімен салыстырады. Ешбір жақ өзіне берілмеген селектор туралы келіссөз жүргізбейді.

Маршруттау түрі маршруттар кестесіне не жететінін шешеді

Cloud VPN үш маршруттау пішінін ұсынады және олар таза араласпайды. Саясатқа негізделген маршруттау статикалық селектор жұптарын сақтайды, маршрутқа негізделген маршруттау статикалық маршруттарды өзіңіз қосуыңызды күтеді, ал динамикалық маршруттау префикстерді BGP арқылы Cloud Router арқылы жариялайды. Біреуін әдейі таңдаңыз.

Қасында қолмен жазылған статикалық маршруттары бар динамикалық туннель BGP сессиясы әрбір шайқалғанда босап қалатын маршруттар кестесін жасайды.

Динамикалық — туннельді қайта құрмай-ақ қорғалған префикстерді өзгертуге мүмкіндік беретін жалғыз пішін, және ол Cloud Router-ді тексеруге тиіс нысандар жиынына тартады. Серіктес BGP сөйлей алмайтын аппараттық firewall болса, статикалық селекторлар жарамды болып қалады. Сонда екі ұшқа да бірдей ауқымдар қажет, ал нақтырақ жазба екеуінде де жеңуі керек. Бір ішкі желімен алшақтасқан жұп орнайды да, содан кейін трафигіңіздің жартысын тасымалдайды.

Имплицитті бас тарту туннельдің артында тұр

Кіріс трафигі ең төмен басымдықтағы имплицитті бас тартуға қарсы бағаланады және бұл ереже пакеттің шифрланып келгеніне мән бермейді. Firewall ережесі жергілікті ауқымды және қолданыстағы портты атамайынша, пакет шифры шешіліп, тексеріліп, тасталады. VPN журналы бүкіл уақыт бойы таза қалады, өйткені туннель дәл уәде еткенін орындады.

Оның орнына туннель жұмыс істеп, тексеру уақыты біткенде firewall-дың бас тарту журналын оқыңыз, содан кейін ережені бастапқы ауқым мен қажетті порттарға шектеңіз:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Бір бағыттың жұмыс істеуі firewall белгісі

Шығыс трафигі басқаша әрекет етеді, өйткені имплицитті рұқсат ережесі инстанстарға кез келген жерге жіберуге мүмкіндік береді. VM-ге жете алмайтын деректер орталығы көбінесе қарсы бағытта мүлтіксіз жұмыс істейтін шығыс жолының артында тұрады. Бұл асимметрия firewall-дың өткізіп алынуын маршруттау ақауынан ажыратады, өйткені маршруттау ақауы екі бағытты бірден бұзады. Тағы бір ережені өңдеуден бұрын қарсы бағытты сынап көріңіз.

Мекенжай жасау да квота операциясы. Қолданыстағы сыртқы мекенжайлар шегіне жақын жоба қосылымды рұқсат қатесіне ұқсайтын қатемен қабылдамайды.

Селекторлар, квоталар, содан кейін төрт тексеру

Консольде жасалған туннельдер кейде gcloud compute vpn-tunnels describe-тен бос қашықтағы трафик селекторын қайтарады, ал құрылған маршруттар трафикті дұрыс тасымалдайды. Туннельді қате деп шешпес бұрын API тіркейтінді нақты қорғайтын ауқымдармен салыстырыңыз. Оны API немесе SDK арқылы жасау селекторды айқын күйде ұстайды.

Квоталар — тағы бір оңай өткізіп алу. Қосымшаны техникалық қызмет көрсету терезесіне дейін сұраңыз, оның барысында емес, және мекенжайлар санын шлюзбен бір жобада тексеріңіз.

Сырттан ішке қарай жұмыс істеңіз: серіктес күйі, екі селектор тізімі, әр жақ үшін маршрут, бастапқы ауқым мен порт үшін кіру ережесі, содан кейін пакеттерді ұстау. Туннель жаңа кезінде шлюз мекенжайын, екі селектор тізімін және маршруттау түрін өзгеріс билетіне жазыңыз, өйткені ішкі желі қосатын келесі инженерге үшеуі де қажет болады.

Қатысты мақалалар