Бир нече NIC бар GCP VM: жооптор эмне үчүн туура эмес интерфейстен чыгат

Compute Engine VMге экинчи интерфейсти тиркөө ага дагы бир тармактык туташуу берет, симметриялуу кайтуу жолун эмес. Конок дагы эле интерфейс менен баштапкы даректи өзүнүн маршруттары жана эрежелеринен тандайт. Андан кийин Google Cloud пакет чыккан интерфейстин айланасында VPC маршруттоосун жана firewall саясатын колдонот. Бул эки чечим дал келбесе, суроолор бир NICке келет, ал эми жооптор экинчисинен чыгат, жана филиал жарым ачык сүйлөшүүнү көрөт.

Жолду беш кадам менен өтүңүз, саясат эрежесин жазганга чейин дал келбестик көрүнөт.

1-кадам: булут NICтерин конок түзмөктөрүнө дал келтириңиз

Булут интерфейстерди nic0, nic1 жана ушул сыяктуу деп атайт, ал эми конок дал келиши милдеттүү эмес түзмөк аттарын көрөт. Башка нерседен мурун дал келүүнү инстанстын метаберилиштеринен же интерфейстин өз дарегинен аныктаңыз. DHCP сунуштаган кадимки демейки маршрут nic0 менен байланышкан, ошондуктан интернетке карай жол көп учурда кокусунан жеңет. Болжолдуу түзмөк атына саясат жазуу — туура эреженин туура эмес интерфейске түшүү жолу.

Даректерди, түзмөк аттарын жана ар бири тиешелүү VPCни жазып алыңыз. Ошол үч мамычалуу карта ар бир кийинки кадамдын кириши.

2-кадам: эки маршруттоо чечимин атаңыз

Биринчи чечим конокко таандык: бул пакет үчүн кайсы интерфейс жана кайсы баштапкы дарек. Экинчиси булутка таандык: VPC маршруттары жана firewall саясаты ошол интерфейстин айланасында эмнеге уруксат берет.

VPNге карай VPCде көрүнгөн маршрут ошол NICти тандаган конок маршрутуна айланбайт. Булут маршруту тармак эмнени жеткире алаарын сүрөттөйт, ал эми конок маршруту пакет эмне кылаарын чечет.

3-кадам: кайтуу жолунун саясатын тандаңыз

Филиал префикстеринин кичине, туруктуу жыйындысы үчүн коноктогу ачык барар жер маршруттары эң жөнөкөй туюнтма: ошол префикстерге жооптор VPNге карай интерфейстен чыгат. Бир нече кызмат атайын түрдө ар башка жергиликтүү баштапкы даректерди колдонсо, ар бир интерфейске таблица тандаган баштапкыга негизделген эрежелер ар бир жоопту туура контекстте кармайт. Бир нече интерфейс боюнча документ ушул долбоорлор таянган NIC атоосун жана демейки маршрут жүрүм-турумун сүрөттөйт.

Ар бир таблицага жарактуу туташкан маршруттар жана кийинки секириктер, ошондой эле андан сурала турган барар жерлер керек. Толук эмес таблицага көрсөткөн эреже кайтуу жолунун долбоору эмес. Ошол NIC үчүн документтелген шлюзду колдонуңуз, кошумча тармактын көрүнүшүнөн Ethernet шлюзун ойлоп таппаңыз.

4-кадам: коноктун өз чыпкаларын текшериңиз

Сервердин кайда угаарын жана жооп кайсы жергиликтүү баштапкыны алып жүрөрүн текшериңиз. Бардык даректерди угуучу тыңшоочу маршруттоо саясатын жокко чыгарбайт, ошондуктан бардык даректерге байлоо жооп чыккан интерфейске эч нерсе өзгөртпөйт.

Linuxте тескери жолду текшерүүнү пландалган долбоорго каршы карап чыгыңыз. Аны биринчи кадам катары глобалдык өчүрүү маршруттоо катасын жасалмалоого ачыктык менен алмаштырат жана сиз издеген асимметрияны жашырат.

5-кадам: ар бир жол үчүн бир агымды сынаңыз

Уруксат берилген филиал суроосун жана байланышы жок интернет суроосун өзүнчө текшериңиз, ар бири өзүнүн чыныгы булагы жана барар жери менен. Мүмкүн болсо эки интерфейстен тең кармаңыз, анткени пайдалуу далил — кайсы интерфейс жоопту ташыганы. Андан кийин булут тараптагы саясат сиз долбоорлогон жолду сыйлаганын ырастаңыз. Бир ийгиликтүү суроо бир агымды далилдейт, симметриялуу долбоорду эмес.

Эки сыноону жазууларыңызда өзүнчө кармаңыз, анткени алар ар башка маршруттарды жана ар башка firewall эрежелерин колдонушат.

Экинчи NIC сизге эмнени бербейт

Экинчи интерфейс тармактык туташуу жана дагы бир дарек кошот. Ал автоматтык симметриялуу маршруттоону кошпойт жана firewall саясатын айланып өтпөйт. Аны маршруттоо оңдоосу катары кароо — көп NICтүү долбоорлордо кийин эч ким түшүндүрө албаган эрежелердин жыйналышынын себеби.

Эгер VM башка машиналардын трафигин өткөрүп бериши керек болсо, ошол маршрутизатор ролун ачык пландаңыз, анын ичинде өткөрүп берүүгө уруксат берген булут параметри жана ага коштолгон конок чыпкалары.