GCP VM рүү Cloud VPN: NAT IP биш, дотоод IP ашиглана уу

Орон нутгийн сүлжээ Cloud VPN-ээр дамжин VPC-д хүрэх үед Compute Engine үйлчилгээний очих газар нь ихэвчлэн VM-ийн дотоод хаяг байдаг. Гадаад IPv4 хаяг нь ижил хувийн маршрутад орлуулж болох хоёр дахь хаяг биш юм. Энэ салбарын ихэнх төөрөгдөл нь гурван ажилтай гурван хаягийг бие биенээ орлож болох зүйл гэж үзэхээс үүдэлтэй тул эхлээд тухайн пакет алийг ашиглаж байгааг нэрлээрэй.

Гурван хаяг, гурван ажил

Аль нэгийг нь ч засахаас өмнө гурвыг нь нэрлээрэй, учир нь хариулт нь дараа нь шалгах объектыг өөрчилдөг.

Эхнийх нь туннельд хамаарна. Хоёр дахь нь таны маршрут болон галт хананы загварт хамаарна. Гурав дахь нь ирж буй интернэт хандалтад хамаарах бөгөөд энэ нь зураглагддаг, холбогддоггүй. Аль нэгэнд нь ажилладаг загвар нь бусад хоёрын талаар юу ч хэлэхгүй.

Гадаад хаяг яагаад хоёр дахь интерфейс болохгүй вэ

Хаяглалын гарын авлага нь Compute Engine дээр дотоод болон гадаад хүртээмж хэрхэн ялгаатай болохыг тодорхойлдог эрх бүхий эх сурвалж юм. Compute Engine-ийн гадаад IPv4 нь инстансын ганц дотоод NIC дээр нэг-нэг зураглал тул зочин тэр NIC дээр хэзээ ч хоёр дахь интерфейс эсвэл хоёр дахь хаяг хардаггүй. VM дотроос мэдээлдэг зүйл нь одоо ч нэг үндсэн дотоод хаяг юм.

Тиймээс туннелиар 10.24.1.7 рүү маршрутладаг хувийн клиент болон VM-ийн гадаад хаягийг зоридог клиент өөр өөр замд байдаг. Нийтийн хаягийн галт хананы дүрмийг нээх нь туннелийн урсгалыг зөөх ёстой VPC маршрутад юу ч өөрчлөхгүй, зочины маршрутыг засах нь платформын зураглалыг хөдөлгөхгүй. Маршрут чинь нэрлэсэн хаягийг сонгоод, дараа нь зөвхөн түүнийг удирддаг объектуудыг шалгаарай. Энэ сахилга бат нь энэ алдаа оношлох замаас ихэнх таамаглалыг арилгадаг.

gcloud-оор замаар алхаарай

Инстансаас эхэлж, хоёр хаягийг нэг объектоос уншина уу, ингэснээр таны баримт бичиг алийг нь ярьж байгааг мэдэх болно:

gcloud compute instances describe app-1 --zone=europe-west1-b \
  --format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"

Дараа нь зам үнэхээр хамааралтай маршрутлал болон зөвшөөрлийг баталгаажуулна уу:

gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1

Туннелийн зарласан болон сурсан мужуудыг уншина уу, ажлын ачааллын дэд сүлжээний VPC маршрут, орон нутгийн эх сурвалжийг зөвшөөрдөг галт хананы дүрэм. Зочин дээрх сонсогч ер нь хамаатай болохын өмнө энэ гурав нийцэх ёстой.

Дараа нь зочиныг шалгана уу: үйлчилгээ дотоод хаяг дээр сонсож байна уу, буцах зам нь дахин VPC-ээр дамжиж байна уу? Зөвхөн нийтийн хаягт холбогдсон сонсогч нь үүлэн талын бүх объект зөв байсан ч энэ шалгалтад унах болно.

Нийтийн угтвар нь өөр асуулт

Дээрх зүйлсийн аль нь ч VPN дотор зөөгддөг бүх хаяг RFC1918 байх ёстой гэсэн үг биш. Алсын сүлжээг нийтийн орон зайгаас хууль ёсоор дугаарлаж болно, хэрэв платформ маршрутлалыг дэмждэг бөгөөд оператор хаягийн эрх мэдэлтэй бол. Энэ бол ердийн загварын сонголт.

Энэ нь ердийн гадаад NAT хаягийг өөр дотоод дэд сүлжээний хаяг мэт үзэхтэй ижил биш юм. Нэг нь таны маршрутладаг угтвар; нөгөө нь платформын ирж буй хандалтад хэрэглэдэг зураглал.

Гадаад IPv6 болон тусгайлан зохиосон хаягийн зохицуулалт нь өөрийн семантиктай. Хэрэв таны төлөвлөгөө тэдний аль нэгээс хамаардаг бол IPv4-ийн тохиолдлоос ерөнхийлөхгүйгээр тэр боломжийн платформын баримт бичгийг уншина уу. IPv4 зураглал бол нийтлэг тохиолдол, цорын ганц биш бөгөөд үл хамаарах зүйл бүр өөрийн дүрэмтэй.

Давхцсан мужууд нь өөр асуудал

Давхцсан хувийн мужууд нь хүмүүсийн нийтийн хаяг руу тэмүүлэх бодит шалтгаан бөгөөд энэ нь буруу хэрэгсэл юм. Очих газрыг VM-ийн NAT хаяг руу өөрчлөх нь давхцлыг шийдэхгүй; пакет аль хаягийнх гэж мэдэгдэж байгааг өөрчилдөг бөгөөд буцах зам хэрхэн ажилладагийг тодорхойлохгүй.

Давхцлыг санаатайгаар шийдээрэй: дахин дугаарлана уу, дэмжигдсэн хөрвүүлэх загвар ашиглана уу, эсвэл угтварууд мөргөлдөхгүй сүлжээгээр маршрутлана уу. Эдгээр нь тус бүр эзэнтэй загвар. NAT хаяг бол загвар биш.

Хоёр талбарыг тусад нь баримтжуулна уу

Туннелийн хамтрагч болон ажлын ачааллын очих газрыг хоёр тусдаа runbook талбар болгон бүртгэж, тус бүрийг дэмжих маршрут болон галт хананы дүрмийг хавсаргана уу. Боссон IPsec туннель нь талууд тохирсныг л хэлнэ; ажлын ачаалал аль хаяг дээр хүртээмжтэй, түүний хувийн маршрут бүрэн эсэхийг юу ч хэлэхгүй.

Нөгөө талд бодит клиентээр баталгаажуулна уу: нэрийг шийдэж, дотоод хаягийг буцааж өгч байгааг баталж, холбогдож, буцах урсгалыг шалгана уу. Compute Engine-ийн IP хаягийн баримт бичиг нь дээр ашигласан дотоод-гадаад ялгааны лавлагаа юм.