Одоо байгаа GCE VPN гарц дээр IP дамжуулалтыг идэвхжүүлэх

VM нь IP дамжуулалтгүйгээр үүсгэгдсэн, VPN программыг аль хэдийн ажиллуулж байгаа бөгөөд тугыг асаасан загвараас дахин барих нь зөн совин юм. Тэр дахин барилт шаардлагагүй. Compute Engine нь canIpForward-ыг шинэчлэгдэх боломжтой шинж чанар болгон ил гаргадаг бөгөөд баримтжуулсан шинэчлэх зам нь үүнийг дахин эхлүүлэхийн оронд refresh-тэй хамт хэрэглэдэг. Тугын бодитоор удирддаг зүйл нь явцууд: түүнгүйгээр платформ нь инстанц руу ирсэн боловч инстанцын өөрийн хаяг руу хаяглагдаагүй пакетуудыг хаядаг. Бусад машины урсгалыг дамжуулдаг гарц яг үүнийг хийдэг тул туг асаалттай байх ёстой. Үүний дараах бүхэн нь зочны тохиргоо ба маршрутлалт бөгөөд туг тэдэнд хүрдэггүй.

Туг юуг зөвшөөрдөг, юуг зөвшөөрдөггүй

Дамжуулалт идэвхгүй үед платформ инстанцыг төгсгөлийн цэг гэж үздэг. Очих газар нь инстанцын өөрийн хаяг болох пакетууд хүргэгдэнэ; инстанц бусдын өмнөөс цааш дамжуулах ёстой пакетууд хүргэгдэхгүй.

Дамжуулалт идэвхтэй үед инстанц нь VPC маршрутын дараагийн үсрэлт болж чадна, энэ нь VPN төхөөрөмжид хэрэгтэй үүрэг юм. Туг галт хана, зочны маршрутлалт, туннелийн тохиргоо эсвэл буцах замын талаар юу ч хэлдэггүй бөгөөд эвдэрсэн гарц дээрх true утга нь одоо ч эвдэрсэн гарц.

Одоогийн шинж чанарыг уншина уу

Ямар нэг зүйлийг өөрчлөхөөс өмнө тохиргоог шалгана уу, зорилтот инстанц, төсөл, бүсэд зориулсан зөвхөн-унших describe ашиглан:

gcloud compute instances describe VM_NAME --project PROJECT_ID --zone ZONE --format='value(canIpForward)'

false утга нь зөвхөн энэ VM дараагийн үсрэлт байх ёстой үед л чухал. Хэрэв тийм бол замын үлдсэн хэсгийг тусад нь шалгах шаардлагатай хэвээр, учир нь шинж чанар нь урт гинжин хэлхээний нэг мөр.

Одоо байгаа инстанцыг шинэчилнэ үү

Google-ын инстанцын шинж чанарыг шинэчлэх журам одоогийн нөөцийг экспортолж, шинж чанарыг өөрчилж, үр дүнг илгээдэг. Энэ нь үүсгэх үеийн --can-ip-forward тугаас өөр ажлын урсгал бөгөөд ажиллаж буй VM дээр ажилладаг нь энэ.

Эхлээд тодорхойлолтыг локал файл руу экспортолж, харьцуулахад зориулж өөрчлөгдөөгүй хуулбарыг хадгална уу:

gcloud compute instances export VM_NAME --project PROJECT_ID --zone ZONE --destination=instance.yaml

Тухайн экспортолсон файлд шинж чанарыг тохируулж, өөр юуг ч бүү өөрчил:

canIpForward: true

Бүх нөөцийг, түүний хурууны хээг оролцуулан хадгал. Файлыг нэг мөрт YAML баримт бичгээр солих, эсвэл машины төрөл, диск, интерфэйсийн хамааралгүй засваруудыг нэг илгээлтэд нэгтгэх нь шинж чанарын өөрчлөлт тасалдал болох зам юм.

Ямар ч бодит өөрчлөлт зөвшөөрөгдөхөөс өмнө шинэчлэх механизмаас файлыг баталгаажуулж, юу шаардагдахыг мэдээлэхийг хүс:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=NO_EFFECT

Тэр баталгаажуулалтын ажиллагаа дамжуулалтыг идэвхжүүлэхгүй. Хариултаас хүчингүй шинж чанарууд болон шаардлагатай гэж хэлсэн үйлдлийг унш. Энэ тусгаарлагдсан өөрчлөлтийн хувьд баримтжуулсан үйлдэл нь REFRESH. Хэрэв үр дүн дахин эхлүүлэхийг шаардвал файлд өөрчлөхөөр зорьсон шинж чанараас илүү зүйл агуулагдаж байгаа тул дахин эхлүүлэхийг зөвшөөрөхийн оронд шалга.

Хянасан файлыг refresh хязгаартай хэрэглэ:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=REFRESH

Үйлдэл дууссан эсэхийг шалгаад describe командыг дахин ажиллуул. Хэрэв хурууны хээ таарахгүй болсон бол таныг засварлаж байх үед өөр хэн нэгэн инстанцыг өөрчилсөн гэсэн үг тул хуучин файлаа хүчээр нэвтрүүлэхийн оронд шинэ хуулбар экспортолж, өөрчлөлтийг дахин хяна.

Зочин пакетыг одоо ч маршрутлах ёстой

Үүлэн зөвшөөрөл нь төхөөрөмжийг маршрутлагч болгодоггүй. VPC маршрут нь очих газрын угтварт энэ VM-ийг дараагийн үсрэлт болгон сонгодог, мөн зочин өөрийн дамжуулалтын бодлогыг идэвхжүүлсэн байхдаа туннель болон зөв интерфэйсийн хооронд маршруталдаг эсэхийг батал.

Галт хананы бодлого нь дотоод урсгал болон гадаад сонсогчийг хоёуланг нь зөвшөөрөх ёстой. Зөвхөн VPN портыг нээх нь шифрлэгдсэн тээврийг тодорхойлдог бөгөөд түүний доторх програмын солилцооны талаар юу ч хэлдэггүй.

Эцэст нь, очих газарт клиентийн сан руу буцах зам хэрэгтэй, эсвэл загвар нь эх сурвалжийг санаатайгаар хөрвүүлэх ёстой. Хэрэв очих газар хөрвүүлсэн урсгалыг харвал хөрвүүлсэн эх сурвалжийг шалга; хэрэв загвар санг хадгалвал буцах маршрут болон хандалтын дүрмээс тэр санг шалга. Аль загварыг хүсэхээ шийдэхээс өмнө NAT нэмэх нь дутуу маршрутыг нууж, очих газрын хардаг бодлогыг өөрчилдөг.

Linux гарц дээр цөмийн дамжуулалт нь зочны тохиргооны хэсэг. pfSense төхөөрөмж өөрийн гэсэн дүйцэлтэй бөгөөд түүн рүү Linux sysctl командыг хуулах нь тохирох алхам биш.

Хандалт хэрэгтэй клиентээс баталгаажуул

Гарц өөрөөс нь биш, VPN клиентээс нэг зорилтот үйлчилгээ рүү туршиж үз. Гарц дээр эхэлсэн холболт өөр эх сурвалж ашигладаг бөгөөд саяхан идэвхжүүлсэн дамжуулалтын дүрмийг хэзээ ч ажиллуулдаггүй.

Шинж чанарыг төхөөрөмжийг удирддаг бүхэнд бүртгэ. Гараар зассан VM нь дараагийн солилт нь анхны тохиргоог чимээгүй эргүүлэн оруулах хүртэл ажиллах бөгөөд тэр алдаа нь VPN программын регресс мэт харагдана.

Ажлын дараалал: шинж чанарыг унш, нэг мөрийг экспортолж засварла, NO_EFFECT-оор баталгаажуул, REFRESH-ээр хэрэглэ, зочин дамжуулж байгааг батал, дараа нь клиентээс турш.