Terraform дахь GCP Classic VPN: туннелийг маршрутад суурилуул

Classic VPN-д шошго зан төлөвийг тодорхойлохгүй. Маршрутад суурилсан гэдэг нь 0.0.0.0/0 локал селектор, тохирох алсын селекторууд, тодорхой маршрут юм.

Төлөвлөгөө цэвэрхэн хэрэгжиж, туннель босч, консол үүнийг бодлогод суурилсан гэж нэрлэдэг. Хөдөлгөөн нэвтрэхгүй хэвээр байгаа бөгөөд Terraform нөөцөөс маршрутын шилжүүлэгч хайх нь ийм талбар байхгүй тул хаашаа ч хүрэхгүй. Classic VPN-д маршрутад суурилсан зан төлөв нь таны сонгодог горим биш. Энэ нь локал хөдөлгөөний селектор 0.0.0.0/0 байх үед, алсын селекторууд таны үнэхээр хүсч буй сүлжээг жагсааж, маршрут туннель рүү заах үед олддог. Гурван зүйл, шошго дагана.

Домог: туннелийн горимын талбар

Консолын шошго нь API селекторуудад юу харж байгааг илэрхийлнэ. Нөөцөд юу ч маршрутад суурилсан гэж хэлэхгүй тул үнэн утгад тохируулах зүйл байхгүй.

Тэр талбарыг хайх нь асуудлын эхний цагийг идэж, селекторын утгыг унших нь сүүлийн таван минутыг авна.

Энд маршрутад суурилсан гэдэг нь юу гэсэн үг вэ

Google нь Classic VPN-ийн маршрутад суурилсан туннелүүдийг локал селектор нь 0.0.0.0/0 байдаг бодлогод суурилсан туннель гэж баримтжуулдаг. Зөвхөн алсын хүрээг нэрлэх бөгөөд локал талыг дурын хаяг гэж үзнэ. Тиймээс таны тохиргоон дахь тэмдэглэгээ нь горим биш, утга юм. Хоёр селекторыг тодорхой бичээд төлөвлөгөөний гаралтаас уншина уу:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

Тэр хэсэг дэх хамтрагчийн угтвар нь жишээ юм; хэлбэр нь чухал.

Маршрут нь тусдаа объект юм

Туннелийн объект маршрут суулгахгүй. Пакетууд туннелийн бодлогод тохирч болох боловч очих газаргүй байж болно, учир нь дараагийн үсрэлтийг VPC маршрутжуулалтын хүснэгт шийднэ. Маршрутад очих хүрээ, сүлжээ, дараагийн үсрэлт болох туннель, илүү өргөн бүхнийг ялдаг тэргүүлэх чиглэл хэрэгтэй. Үүнийг мартвал холболт тогтсон гэж мэдээлдэг туннель, VPC-ээс хэзээ ч гарахгүй шалгалт үлдэнэ.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Маршрутыг туннельтай ижил модульд үүсгэж, хяналт шалгалтад хоёр нь салж болохгүй.

Селекторуудыг хамтрагч дээр тусга

Алсын төхөөрөмжийг толь дүрсээр тохируулах ёстой: түүний локал хүрээ нь таны алсын селектор бөгөөд түүний алсын хүрээ нь таны ашиглахаар төлөвлөж буй GCP дэд сүлжээг хамах ёстой. Аль нэг тал нарийсвал 1-р үе шат амжилттай ч 2-р үе шат бүтэлгүйтнэ. Энэ нь консолд зөв харагдаж, хөдөлгөөн дамжуулдаггүй тохиргооны хамгийн түгээмэл хэлбэр юм.

Өөрчлөлтийн хяналтын үеэр хоёр талын селекторуудыг зэрэгцүүлэн хэвлэ.

Статик хаягийг хоёр хэрэглээнд хуваа

Нөөцлөсөн хаяг болон түүнд иш татсан туннелийг нэг хэрэглээнд үүсгэх нь тогтворгүй байдлын мэдэгдэж буй эх сурвалж бөгөөд хаяг нь дамжуулах дүрэм ашиглахаас өмнө байх ёстой. Эхлээд зөвхөн хаягийн нөөцийг хэрэглэж, дараа нь гарц, дамжуулах дүрэм, туннелийг нэмээд дахин хэрэглэ. Terraform хоёр дахь ажиллагаанд одоогийн хаягийг төлөвөөс уншиж, дахин ашигладаг. Үүнийг алгасвал туннель хэрэглэх бүрд шинэ нийтийн хаяг авч болох бөгөөд энэ нь хамтрагчийн тохиргоог бүрт зөрчих болно.

Одоо хоёр хэрэглээ нь гаргах бүрд хамтрагчийг өөрчлөхөөс хямд.

Шошгыг биш, хэлэлцээрийг шалга

Хэрэглэсний дараа гурван тусдаа баримтыг шалга: туннель холболт тогтсон гэж мэдээлдэг, маршрут зорилготой дараагийн үсрэлттэй байна, хамтрагч 1-р болон 2-р үе шат хоёулаа босч байгааг мэдээлнэ.

Туннель босч байхад 2-р үе шат доор байгаа нь хоёр тал селекторуудын талаар санал нийлэхгүй байгааг илтгэнэ:

  • Нэг тал нөгөө талын жагсаадаггүй дэд сүлжээг жагсаана.
  • Нэг тал нөгөө талын нарийсгасан агрегатыг ашиглана.
  • Маршрут байгаа боловч өөр туннель рүү заана.

Classic VPN нь HA VPN-ээс доогуур SLA-тай ганц туннель бөгөөд HA VPN нь хоёр интерфэйс, хоёр туннель, өөр нөөцийн төрөл бүхий BGP ашигладаг. Классик жишээг HA тохиргоонд хуулж, селекторын талбарууд ижил ажиллана гэж хүлээх нь зайлсхийх ёстой тусдаа алдаа юм. Туннелийн талбарууд нь өөрсдөө google_compute_vpn_tunnel лавлагаанд.

Холбоотой нийтлэлүүд