GCP Classic VPN an Terraform: maacht den Tunnel routebaséiert

An Classic VPN entscheed d'Etikett net d'Verhalen. Routebaséiert heescht e lokale Selekter 0.0.0.0/0, passend Remote-Selekteren an eng explizit Route.

De Plang gëtt propper ugewannt, den Tunnel kënnt erop, an d'Konsole nennt en policybaséiert. Den Traffic geet awer nach ëmmer net duerch, an d'Sich no engem routebaséierte Schalter an der Terraform-Ressource féiert néierend, well et esou e Feld net gëtt. An Classic VPN ass routebaséiert Verhalen kee Modus, deen Dir auswieelt. Et ass dat, wat Dir kritt, wann de lokale Traffic-Selekter 0.0.0.0/0 ass, déi remote Selekteren déi Netzwierker oplëschten, déi Dir wierklech wëllt, an eng Route op den Tunnel weist. Dräi Saachen, an d'Etikett follegt.

De Mythos: e Feld fir den Tunnelmodus

D'Etikett vun der Konsole spigelt wat d'API an de Selekteren gesäit. Naischt an der Ressource seet routebaséiert, also gëtt et naischt op richteg ze setzen.

D'Sich no deem Feld kascht déi éischt Stonn vum Problem, wärend d'Liese vun de Selekterwäerter déi lescht fënnef Minutten hëlt.

Wat routebaséiert hei bedeit

Google dokumentéiert d'routebaséiert Tunnelen vum Classic VPN als policybaséiert Tunnelen, deenen hire lokale Selekter 0.0.0.0/0 ass. Nëmmen déi remote Beräicher ginn genannt, an déi lokal Säit gëtt als eng beliebig Adress behandelt. Dofir ass de Marker an Ärer Konfiguratioun e Wäert an net e Modus. Schreift béid Selekteren explizit an liest se an der Ausgab vum Plang:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

De Peer-Prefix an deem Auszuch ass illustrativ; d'Form ass deen Deel, op deen et ukënnt.

D'Route ass en eegene Objet

En Tunnelobjekt installéiert keng Route. Pakete kënnen zur Politik vum Tunnel passen an hunn awer néierend wou se higinn, well d'VPC-Routingtabell den nächsten Hop entscheed. D'Route brauch de Bestëmmungsberäich, d'Netzwierk, den Tunnel als nächsten Hop an eng Prioritéit déi géint alles Breet gewënnt. Wien dat vergësst, kritt en Tunnel deen etabléiert mellt an e Ping dee d'VPC ni verléisst.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Leet d'Route am selwechte Modul un wéi den Tunnel, sou datt déi zwee am Review net ausenaner ginn.

Spigelt d'Selekteren op de Peer

Dat remote Gerät muss gespigelt konfiguréiert ginn: säi lokale Beräich ass Ären remote Selekter, a säi remote Beräich muss d'GCP-Subnetzen decken, déi Dir wëllt benotzen. Wann eng Säit sech verschmälert, feelt Fase 2 och wann Fase 1 geléngt. Dat ass déi heefegst Form vun enger Konfiguratioun déi an der Konsole richteg ausgesäit an keen Traffic dréit.

Dréckt d'Selektere vu béide Säiten niewenteneen während dem Ännerungs-Review.

Deelt d'statesch Adress an zwou Uwendungen

Déi reservéiert Adress an den Tunnel deen drop verweist an enger Uwendung unzeleeën ass eng bekannt Quell vu Kaméidi, well d'Adress muss existéieren ier d'Weiderleeungsregel se benotze kann. Uwennt fir d'éischt just d'Adressressource un, füügt dann de Gateway, d'Weiderleeungsregelen an den Tunnel bäi a wend nach eng Kéier un. Terraform liest déi existéierend Adress aus dem State beim zweeten Laf a benotzt se weider. Wien dat iwwerspréngt, kann bei all Uwendung eng nei ëffentlech Adress kréien, wat d'Peer-Konfiguratioun all Kéier brécht.

Zwou Uwendungen elo si bëlleg wéi eng Peer-Ännerung bei all Release.

Iwwerpréift d'Aushandlung, net d'Etikett

Iwwerpréift no der Uwendung dräi getrennte Fakten: den Tunnel mellt etabléiert, d'Route existéiert mam beabsichtigten nächsten Hop, an de Peer mellt datt Fase 1 a Fase 2 allebéid erop sinn.

En Tunnel deen erop ass wärend Fase 2 ënnen ass bedeit, datt déi zwou Säiten iwwer d'Selektere net eens sinn:

  • Eng Säit oplëscht en Subnetz dat déi aner net oplëscht.
  • Eng Säit benotzt en Aggregat dat déi aner verschmälert huet.
  • D'Route existéiert, weist awer op en aneren Tunnel.

Classic VPN ass een eenzegen Tunnel mat engem méi nidderegen SLA wéi HA VPN, an HA VPN benotzt zwee Interface, zwee Tunnel a BGP mat aneren Ressourcetypen. E klassescht Beispill an eng HA-Konfiguratioun ze kopéieren an ze erwaarden datt d'Selekterfelder sech gläich behuelen ass en eegene Feeler deen et wäert ass ze vermeiden. D'Tunnelfelder selwer sinn dokumentéiert an der Referenz zu google_compute_vpn_tunnel.

Ähnlech Artikelen