GCP Cloud VPN: Gateway, Tunnel a Firewall an der richteger Reihenfolge prüfen

En Tunnel, deen als etabléiert mellar, während all Probe an Timeout leeft, huet meeschtens keng VPC-Firewall-Regel. Prüft Gateway, Selektoren an Routingstyp an där Reihenfolge.

Är Konsole weist en grénge Tunnel, d'Iwwerwaachung op der Plaz kann nach ëmmer keng eenzeg Instanz erreechen, an den Tunnel nei ze bauen schéngt déi offensichtlech Léisung. Dat ass et seelen. En etabléierten Tunnel beweist just, datt zwou Gatewayen den IKE-Austausch fäerdeg bruecht hunn. Et seet näischt doriwwer, ob e Pak jeemools an Är VPC eragelooss gouf.

Véier Entscheedungen stinn tëscht deem grénge Symbol an enger Äntwert, an si feelen an enger viraussobarer Reihenfolge. Fänkt mat där bëllegster un.

Dräi Objeten, an nëmmen een dovun verschlësselt

En VPN-Gateway besëtzt d'extern Adress, op déi Äre Peer verschlësselt. An der Konsole erstellt Dir en ni vun Hand: wielt oder reservéiert eng Adress bannent dem Verbindungsformular an de Gateway erschéngt mat hir. En HA-Gateway hëlt zwou Adressen op zwou Schnëttstellen, wat méi spéit bei der Quoteprüfung zielt.

En Tunnel ass d'Paarung tëscht deem Gateway an dem Peer. Hien dréit de gemeinsame Geheimnis an d'Trafficselektoren, déi en versprécht ze schützen. An deene Selektoren fänke meeschtens déi stille Feeler un. En Tunnel, deem säi lokale Selekter 10.0.0.0/24 deckt, liwwert net 10.0.1.0/24, wéi gesond den Status och ausgesäit.

Déi wäit Säit hält seng eege Lëscht, meeschtens Verschlësselungsdomän genannt, an d'Terminéierungs-Hardware vergläicht se mat Ärer. Keng Säit verhandelt e Selekter, deen hir ni ginn ass.

Den Routingstyp entscheet, wat an d'Routentabell kënnt

Cloud VPN bitt dräi Routingformen a si mëschen sech net propper. Politikbaséiert Routing behält déi statesch Selekterpaaren, routebaséiert Routing erwaart, datt Dir statesch Routen selwer bäisetzt, an dynamescht Routing annoncéiert Prefixe duerch e Cloud Router iwwer BGP. Wielt ee bewosst.

En dynameschen Tunnel mat handgeschriwwenen statesche Routen dernieft produzéiert eng Routentabell, déi sech leedert, all Kéier wann d'BGP-Sessioun schwankt.

Dynamesch ass déi eenzeg Form, déi déi geschützt Prefixe sech ännere léisst, ouni den Tunnel nei ze bauen, an et zitt de Cloud Router an de Set vun Objeten, déi Dir musst iwwerpréiwen. Statesch Selektoren bleiwen funktionell, wann de Peer eng Hardware-Firewall ass, déi kee BGP schwätze kann. Dann brauchen béid Enner déiselwecht Beräicher, an den méi spezifeschen Agang muss op béide gewannen. E Paar, dat sech ëm ee Subnetz ënnerscheet, etabléiert sech a dréit duerno d'Halschent vun Ärem Traffic.

De impliziten Oflehnung sëtzt hannert dem Tunnel

Agäng gëtt géint eng implizit Oflehnung op der niddregster Prioritéit bewäert, an déi Regel këmmert sech net dorëm, datt de Pak verschlësselt ukomm ass. Bis eng Firewall-Regel de Beräich op der Plaz an de benotzte Port nennt, gëtt de Pak entschlësselt, iwwerpréift an verweigert. De VPN-Log bleift déi ganz Zäit propper, well den Tunnel genee dat gemaach huet, wat en versprach huet.

Liest amplaz de Verweigerungslog vun der Firewall, wann den Tunnel steet an d'Probe an Timeout leeft, a begrenzt duerno eng Regel op de Quellberäich an déi Porten, déi Dir braucht:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Eng eenzeg Richtung, déi funktionnéiert, ass en Hiweis op d'Firewall

Egress verhält sech anescht, well déi implizit Erlabnes-Regel Instanze ka schécken, wou se wëll. En Datezentrum, deen eng VM net erreecht, sëtzt dacks hannert engem perfekt funktionéierende Ausgangswee an déi aner Richtung. Déi Asymmetrie trennt eng Firewall-Versuermnes vun engem Routingfeeler, well e Routingfeeler béid Richtungen op eemol brécht. Test déi ëmgedréit Richtung, ier Dir nach eng Regel ännert.

D'Erstelle vun Adressen ass och eng Quotenoperatioun. E Projet no sengem Limite fir extern Adressen am Gebrauch verwierft d'Verbindung mat engem Feeler, deen wéi e Berechtegungsfeeler liest.

Selektoren, Quoten, duerno déi véier Prüfungen

An der Konsole erstallte Tunnelen ginn heiansdo en eidelen distante Trafficselekter aus gcloud compute vpn-tunnels describe zréck, während déi generéiert Route den Traffic richteg droen. Vergläicht, wat d'API festhält, mat de Beräicher, déi Dir tatsächlech schützt, ier Dir entscheet, datt den Tunnel falsch ass. En iwwer d'API oder SDK ze erstellen hält de Selekter explizit.

Quoten sinn deen aneren einfachen Iwwersinn. Frot d'Erhéijung virum Ënnerhaltsfenster un, net wärend, a kontrolléiert d'Zuel vun Adressen am selwechte Projet wéi de Gateway.

Schafft vun dobaussen no bannen: Peerstatus, béid Selekterlëschten, eng Route pro Säit, eng Agangsregel fir de Quellberäich an de Port, duerno eng Pakopnam. Schreift d'Gatewayadress, béid Selekterlëschten an den Routingstyp an den Ännerungsticket, soulaang den Tunnel nei ass, well den nächsten Ingenieur, deen e Subnetz bäisetzt, wäert all dräi brauchen.

Ähnlech Artikelen