GCP-VM mat méi NICen: firwat d'Äntwerten iwwer déi falsch Schnëttstell erausginn

Eng zweet Schnëttstell un eng Compute Engine-VM unzehänken gëtt hir eng aner Netzwierkuwendung, net e symmetresche Réckwee. De Gaascht wielt nach ëmmer eng Schnëttstell an eng Quelladress aus sengen eegene Routen a Regelen. Duerno wend Google Cloud VPC-Routing a Firewall-Politik ronderëm déi Schnëttstell un, iwwer déi de Paket erausgoung. Wann déi zwou Entscheedungen net iwwerenee stëmmen, kommen Ufroen op enger NIC un an d'Äntwerten eraus iwwer déi aner, an d'Filial gesäit eng hallef oppe Konversatioun.

Gitt de Wee a fënnef Schrëtt a weist sech den Dissens, ier Dir eng Politikregel schreift.

Schrëtt 1: Kartéiert d'Cloud-NICen op d'Gaascht-Geräter

D'Cloud nennt d'Schnëttstellen nic0, nic1 a sou weider, an de Gaascht gesäit Geräternimm, déi net mussen iwwerenee stëmmen. Kläert d'Kartéierung aus den Instanz-Metadaten oder aus der Adress vun der Schnëttstell selwer, ier Dir eppes anescht maacht. Déi gewéinlech Standardroute vum DHCP ass mat nic0 verbonnen, dofir gewënnt de Wee Richtung Internet sou dacks duerch Zoufall. Eng Politik op e gerotenen Geräternumm ze schreiwen ass de Wee, wéi eng korrekt Regel op der falscher Schnëttstell landt.

Notéiert Adressen, Geräternimm an de VPC, zu deem jiddwereen gehéiert. Dës Tabell mat dräi Sailen ass den Input fir all weidere Schrëtt.

Schrëtt 2: Benennt déi zwou Routing-Entscheedungen

Déi éischt Entscheedung gehéiert dem Gaascht: wéi eng Schnëttstell a wéi eng Quelladress fir dëse Paket. Déi zweet gehéiert der Cloud: wat d'Routen vum VPC an d'Firewall-Politik ronderëm déi Schnëttstell erlaben.

Eng Route, déi am VPN-gewieften VPC ze gesinn ass, gëtt keng Gaaschtroute, déi déi NIC auswielt. D'Cloud-Route beschreift, wat d'Netz liwwere kann, während d'Gaaschtroute décidéiert, wat de Paket mécht.

Schrëtt 3: Wielt eng Politik fir de Réckwee

Fir eng kleng, stabil Rei vu Filialpräfixen sinn explizit Gaascht-Destinatiounsrouten deen einfachsten Ausdrock: Äntwerten op déi Präfixe ginn iwwer déi VPN-gewielt Schnëttstell eraus. Wann e puer Servicer bewosst verschidde lokal Quelladressen notzen, halen quellbaséiert Regelen, déi pro Schnëttstell eng Tabell auswielen, all Äntwert am richtege Kontext. D'Dokumentatioun iwwer méi Schnëttstellen beschreift d'NIC-Nummgebung an d'Verhalen vun der Standardroute, op déi dës Entwërf sech stäipen.

All Tabell brauch gëlteg verbonnen Routen an nächst Hops, plus d'Destinatiounen, no deenen gefrot gëtt. Eng Regel, déi an eng onvollstänneg Tabell weist, ass keen Entworf fir de Réckwee. Benotzt de dokumentéierte Gateway fir déi NIC, amplaz aus dem Ausgesinn vum Subnet en Ethernet-Gateway ze erfinden.

Schrëtt 4: Kontrolléiert dem Gaascht seng eege Filter

Kontrolléiert, wou de Server lauschtert a wéi eng lokal Quell d'Äntwert dréit. E Lauschterer op allen Adressen hieft d'Routing-Politik net op, dofir ännert d'Bannen un all Adressen näischt un der Schnëttstell, iwwer déi d'Äntwert erausgeet.

Op Linux iwwerpréift d'Validéierung vum ëmgedréinte Wee géint den intendéierten Entworf. Et global als éischte Schrëtt auszeschalten tauscht e Routing-Fehler géint eng Spoofing-Beluechtung an a verstoppt d'Asymmetrie, déi Dir gesicht hutt.

Schrëtt 5: Test engem Flux pro Wee

Iwwerpréift eng erlaabte Filial-Ufro an eng onbetraff Internet-Ufro getrennt, jiddwer mat hirem richtegen Ursprong an Zil. Fänkt op béide Schnëttstellen un, wann Dir kënnt, well de nëtzlechen Beweis ass, wéi eng Schnëttstell d'Äntwert gedroen huet. Duerno bestätegt, datt d'Politik op der Cloud-Säit de Wee respektéiert huet, deen Dir entworf hutt. Eng erfollegräich Ufro beweist engem Flux, keen symmetreschen Entworf.

Halt déi zwou Tester getrennt an Ären Notizen, well se verschidde Routen a verschidde Firewall-Regele benotzen.

Wat eng zweet NIC Iech net gëtt

Eng zweet Schnëttstell füügt eng Netzwierkuwendunge an eng aner Adress dobäi. Si füügt keng automatesch symmetresch Routing dobäi a geet kenger Firewall-Politik aus dem Wee. Et als Routing-Korrektur ze behandelen ass de Grond, firwat Multi-NIC-Entwërf Regele sammelen, déi spéider keen erkläre kann.

Wann d'VM den Trafik vun anere Maschinne muss virulescht maachen, plangt déi Router-Roll ausdrécklech, inklusiv der Cloud-Astellung, déi d'Virulescht erlaabt, an de Gaascht-Filteren, déi dozou gehéieren.