GCP Cloud VPN: шлюзди, туннелди жана firewall-ды тартиби менен текшериңиз

Ар бир текшерүү убакыттан өтүп жатканда туннель орнотулду деп билдирсе, адатта VPC firewall эрежеси жетишпейт. Шлюзди, селекторлорду жана маршруттоо түрүн ушул тартипте текшериңиз.

Консолуңуз жашыл туннелди көрсөтөт, жергиликтүү мониторинг дагы эле бир да инстанска жете албайт, ал эми туннелди кайра куруу айкын чечим болуп көрүнөт. Бирок бул сейрек. Орнотулган туннель эки шлюз IKE алмашууну бүтүргөнүн гана далилдейт. Ал пакет VPCңизге эч качан киргизилген-киргизилбегени тууралуу эч нерсе айтпайт.

Ошол жашыл белги менен жооптун ортосунда төрт чечим турат жана алар алдын ала айтууга боло турган тартипте ишке ашпайт. Эң арзанынан баштаңыз.

Үч объект, жана алардын бирөө гана шифрлейт

VPN шлюзу сиздин өнөктөшүңүз шифрлеген тышкы дарекке ээ. Консолдо аны эч качан кол менен түзбөйсүз: туташуу формасынын ичинде даректи тандаңыз же резервдеңиз, ошондо шлюз аны менен чогуу пайда болот. HA шлюзу эки интерфейсте эки даректи алат, бул кийинчерээк квота текшерүүдө маанилүү.

Туннель — ошол шлюз менен өнөктөштүн ортосундагы жупташуу. Ал жалпы сырды жана коргоого убада берген трафик селекторлорун алып жүрөт. Эң көп үнсүз бузулуулар ушул селекторлордон башталат. Жергиликтүү селектору 10.0.0.0/24-тү камтыган туннель 10.0.1.0/24-тү жеткирбейт, статус канчалык ден соолуктуу көрүнсө да.

Алыскы тарап өз тизмесин кармайт, аны адатта шифрлөө домени деп аташат, ал эми аяктоочу аппарат аны сиздики менен салыштырат. Эч бир тарап өзүнө берилбеген селектор жөнүндө сүйлөшпөйт.

Маршруттоо түрү маршруттар таблицасына эмне жетерин чечет

Cloud VPN үч маршруттоо формасын сунуштайт жана алар таза аралашпайт. Саясатка негизделген маршруттоо статикалык селектор жуптарын сактайт, маршрутка негизделген маршруттоо статикалык маршруттарды өзүңүз кошууңузду күтөт, ал эми динамикалык маршруттоо префикстерди BGP аркылуу Cloud Router аркылуу жарыялайт. Бирөөнү атайын тандаңыз.

Жанында кол менен жазылган статикалык маршруттары бар динамикалык туннель BGP сессиясы ар бир солкулдаганда бошоп калган маршруттар таблицасын жаратат.

Динамикалык — туннелди кайра курбастан корголгон префикстерди өзгөртүүгө мүмкүндүк берген жалгыз форма, жана ал Cloud Routerди текшерүүгө тийиш болгон объектилердин топтомуна тартат. Өнөктөш BGP сүйлөй албаган аппараттык firewall болгондо статикалык селекторлор жарактуу бойдон калат. Ошондо эки учакка тең бирдей диапазондор керек, ал эми так жазуу экөөндө тең жеңиши керек. Бир ички тармак менен айырмаланган жуп орнотулат да, анан трафигиңиздин жарымын алып жүрөт.

Имплициттүү баш тартуу туннелдин артында турат

Кирүүчү трафик эң төмөнкү артыкчылыктагы имплициттүү баш тартууга каршы бааланат, жана бул эреже пакеттин шифрленип келгенине көңүл бурбайт. Firewall эрежеси жергиликтүү диапазонду жана колдонулуп жаткан портту атамайынча, пакеттин шифры чечилет, текшерилет жана ыргытылат. VPN журналы бүт убакыт таза бойдон калат, анткени туннель так убада кылганын аткарды.

Анын ордуна туннель иштеп, текшерүү убакыттан өткөндө firewallдын баш тартуу журналын окуңуз, анан эрежени баштапкы диапазон менен керектүү портторго чектеңиз:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Бир багыттын иштеши firewallдын белгиси

Чыгуучу трафик башкача жүрөт, анткени имплициттүү уруксат эрежеси инстанстарга кайда болсо да жөнөтүүгө мүмкүндүк берет. VMге жете албаган маалымат борбору көбүнчө каршы багытта толук иштеген чыгуу жолунун артында турат. Бул асимметрия firewallдын өткөрүп жиберишин маршруттоо бузулушунан ажыратат, анткени маршруттоо бузулушу эки багытты тең бир убакта бузат. Дагы бир эрежени оңдоодон мурун каршы багытты сынап көрүңүз.

Дарек жаратуу да квота операциясы. Колдонулуп жаткан тышкы даректердин чегине жакын долбоор туташууну уруксат катасына окшош ката менен четке кагат.

Селекторлор, квоталар, анан төрт текшерүү

Консолдо түзүлгөн туннелдер кээде gcloud compute vpn-tunnels describeден бош алыскы трафик селекторун кайтарат, ал эми жаралган маршруттар трафикти туура алып жүрөт. Туннелди туура эмес деп чечүүдөн мурун API эмнени жазарын сиз чындап коргогон диапазондор менен салыштырыңыз. Аны API же SDK аркылуу түзүү селекторду ачык кармайт.

Квоталар — дагы бир оңой өткөрүп жиберүү. Көбөйтүүнү тейлөө терезесинин алдында сураңыз, анын убагында эмес, жана даректердин санын шлюз менен бир долбоордо текшериңиз.

Сырттан ичке карай иштеңиз: өнөктөштүн абалы, эки селектор тизмеси, ар бир тарап үчүн маршрут, баштапкы диапазон жана порт үчүн кирүү эрежеси, анан пакеттерди кармоо. Туннель жаңы кезинде шлюздун дарегин, эки селектор тизмесин жана маршруттоо түрүн өзгөртүү билетине жазыңыз, анткени ички тармак кошкон кийинки инженерге үчөө тең керек болот.

Тектеш макалалар