Terraform ичиндеги GCP Classic VPN: туннелди маршруттук негизге өткөрүңүз

Classic VPN ичинде белги жүрүм-турумду аныктабайт. Маршруттук негиз дегенибиз 0.0.0.0/0 жергиликтүү селектор, дал келген алыскы селекторлор жана ачык маршрут.

План таза колдонулат, туннель көтөрүлөт, жана консоль аны саясатка негизделген деп атайт. Трафик дагы эле өтпөйт, ал эми Terraform ресурсунда маршруттук негиздеги которгучту издөө эч жакка алып барбайт, анткени мындай талаа жок. Classic VPN ичинде маршруттук негиздеги жүрүм-турум — сиз тандаган режим эмес. Бул жергиликтүү трафик селектору 0.0.0.0/0 болгондо, алыскы селекторлор чындап каалаган тармактарды тизмелегенде жана маршрут туннелге көрсөткөндө алынат. Үч нерсе, жана белги алардын артынан ээрчийт.

Уламыш: туннель режиминин талаасы

Консолдун белгиси API селекторлордо эмнени көрөрүн чагылдырат. Ресурста эч нерсе маршруттук деп айтпайт, ошондуктан туура мааниге коюуга эч нерсе жок.

Ошол талааны издөө маселенин биринчи саатын жейт, ал эми селектор маанилерин окуу акыркы беш мүнөттү алат.

Бул жерде маршруттук негиз эмнени билдирет

Google Classic VPNдин маршруттук туннелдерин жергиликтүү селектору 0.0.0.0/0 болгон саясатка негизделген туннелдер катары документтештирет. Бир гана алыскы диапазондор аталат, ал эми жергиликтүү тарап каалаган дарек катары каралат. Ошондуктан конфигурацияңыздагы белги режим эмес, маани. Эки селекторду тең ачык жазып, аларды пландын чыгышында окуңуз:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

Ошол үзүндүдөгү өнөктөш префикси мисал гана; маанилүүсү — форма.

Маршрут — өзүнчө объект

Туннель объектиси маршрут орнотпойт. Пакеттер туннелдин саясатына дал келип, бирок бара турган жери болбошу мүмкүн, анткени кийинки секирүүнү VPC маршруттоо таблицасы чечет. Маршрутка багыт диапазону, тармак, кийинки секирүү катары туннель жана кандайдыр кеңири нерседен утуп туруучу артыкчылык керек. Эгер аны унутсаңыз, туташуу орнотулду деп билдирген туннель жана VPCдан эч качан чыкпаган текшерүү аласыз.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Маршрутту туннел менен бир модулда түзүңүз, ошондо экөө кароо учурунда ажырап кетпейт.

Селекторлорду өнөктөштө чагылдырыңыз

Алыскы түзмөк күзгү сүрөт менен конфигурацияланышы керек: анын жергиликтүү диапазону — сиздин алыскы селекторуңуз, ал эми алыскы диапазону пайдаланууну пландаган GCP субтармактарын камтышы керек. Кайсы тарап тарылса, 1-фаза ийгиликтүү болсо да 2-фаза ийгиликсиз болот. Бул консолдо туура көрүнгөн жана эч кандай трафик ташыбаган конфигурациянын эң кеңири тараган түрү.

Өзгөртүү кароосу учурунда эки тараптын селекторлорун катар басып чыгарыңыз.

Статикалык даректи эки колдонууга бөлүңүз

Резервделген даректи жана ага шилтеме кылган туннелди бир колдонууда түзүү — туруксуздуктун белгилүү булагы, анткени дарек жиберүү эрежеси аны колдонгонго чейин болушу керек. Адегенде гана дарек ресурсун колдонуңуз, анан шлюзди, жиберүү эрежелерин жана туннелди кошуп, кайра колдонуңуз. Terraform экинчи иштетүүдө бар даректи абалдан окуп, аны кайра пайдаланат. Эгер аны өткөрүп жиберсеңиз, туннель ар бир колдонууда жаңы коомдук дарек алышы мүмкүн, бул өнөктөштүн конфигурациясын ар жолу бузат.

Азыр эки колдонуу ар бир чыгарылышта өнөктөштү өзгөртүүдөн арзан.

Белгини эмес, сүйлөшүүлөрдү текшериңиз

Колдонгондон кийин үч өзүнчө фактыны текшериңиз: туннель туташуу орнотулду деп билдирет, маршрут көздөлгөн кийинки секирүү менен бар, жана өнөктөш 1-фаза жана 2-фаза экөө тең иштеп жатканын билдирет.

Туннель иштеп турса да 2-фаза төмөндө болсо, эки тарап селекторлор боюнча макул эмес:

  • Бир тарап экинчиси тизмелеген эмес субтармакты тизмелейт.
  • Бир тарап экинчиси тарылткан агрегатты пайдаланат.
  • Маршрут бар, бирок башка туннелге көрсөтөт.

Classic VPN — HA VPNден төмөн SLA менен бир туннель, ал эми HA VPN эки интерфейс, эки туннель жана башка ресурс түрлөрү менен BGP пайдаланат. Классикалык мисалды HA конфигурациясына көчүрүп, селектор талаалары ошондой жүрүм-турум көрсөтөт деп күтүү — качууга татыктуу өзүнчө ката. Туннелдин талаалары өзү google_compute_vpn_tunnel маалымдамасында.

Тектеш макалалар