GCP Cloud VPN: гарц, туннель, firewall-ыг дарааллаар нь шалгана уу

Хяналт бүр хугацаа хэтэрч байхад туннель тогтсон гэж мэдээлдэг бол ихэвчлэн VPC firewall дүрэм дутагдаж байна. Гарц, селекторууд болон маршрутын төрлийг энэ дарааллаар шалгана уу.

Таны консол ногоон туннель харуулж байгаа ч байршлын хяналт нэг ч инстанс руу хүрч чадахгүй байсаар, туннелийг дахин барих нь ойлгомжтой шийдэл мэт санагдана. Гэвч тийм байх нь ховор. Тогтсон туннель нь хоёр гарц IKE солилцоог дуусгасныг л батална. Энэ нь пакет таны VPC-д орж байсан эсэхийг огт хэлэхгүй.

Тэр ногоон дүрс болон хариултын хооронд дөрвөн шийдвэр байгаа бөгөөд тэд урьдчилан таамаглах дарааллаар бүтэлгүйтдэг. Хамгийн хямдаас эхэл.

Гурван объект, тэдгээрийн зөвхөн нэг нь шифрлэдэг

VPN гарц нь таны хамтрагч шифрлэдэг гадаад хаягийг эзэмшдэг. Консол дээр та үүнийг хэзээ ч гараар үүсгэхгүй: холболтын маягтын дотор хаяг сонгох эсвэл нөөцлөхөд гарц түүнтэй хамт гарч ирнэ. HA гарц хоёр интерфейс дээр хоёр хаяг авдаг бөгөөд энэ нь дараа квот шалгахад чухал.

Туннель бол тэр гарц ба хамтрагчийн хоорондын хослол юм. Энэ нь хуваалцсан нууц болон хамгаалахаа амласан траффикийн селекторуудыг зөөдөг. Ихэнх чимээгүй алдаа эдгээр селектороос эхэлдэг. Локал селектор нь 10.0.0.0/24-ийг хамарсан туннель төлөв хичнээн эрүүл харагдавч 10.0.1.0/24-ийг хүргэхгүй.

Холын тал өөрийн жагсаалтыг хадгалдаг бөгөөд ихэвчлэн шифрлэлтийн домэйн гэж нэрлэдэг, харин төгсгөлийн техник үүнийг таныхтай харьцуулдаг. Аль ч тал өөрт нь хэзээ ч өгөөгүй селекторын талаар хэлэлцэхгүй.

Маршрутын төрөл нь маршрутын хүснэгтэд юу хүрэхийг шийддэг

Cloud VPN гурван маршрутын хэлбэрийг санал болгодог бөгөөд тэд цэвэрхэн холилддоггүй. Бодлогод суурилсан маршрут нь статик селекторын хосуудыг хадгалдаг, маршрутад суурилсан маршрут нь статик маршрутуудыг та өөрөө нэмнэ гэж хүлээдэг, динамик маршрут нь BGP-ээр дамжуулан Cloud Router-оор префиксүүдийг зарладаг. Нэгийг нь зориуд сонго.

Хажууд нь гараар бичсэн статик маршрутуудтай динамик туннель нь BGP сесс бүр найгах бүрт хоосордог маршрутын хүснэгт үүсгэдэг.

Динамик нь туннелийг дахин барихгүйгээр хамгаалагдсан префиксүүдийг өөрчлөх боломж олгодог цорын ганц хэлбэр бөгөөд Cloud Router-ыг таны шалгах ёстой объектуудын багцад татдаг. Хамтрагч BGP ярьж чаддаггүй техник firewall байх үед статик селекторууд ажиллах боломжтой хэвээр байна. Тэгвэл хоёр төгсгөлд ижил хүрээ хэрэгтэй бөгөөд илүү тодорхой бичлэг хоёуланд нь ялах ёстой. Нэг дэд сүлжээгээр зөрүүтэй хос тогтож, дараа нь таны траффикийн хагасыг зөөдөг.

Далд татгалзал туннелийн ард сууж байна

Орж буй траффик нь хамгийн бага тэргүүлэх чиглэл дэх далд татгалзалтай харьцуулагдаж үнэлэгддэг бөгөөд тэр дүрэм нь пакет шифрлэгдсэн ирснийг тоохгүй. Firewall дүрэм байршлын хүрээ болон ашиглагдаж буй портыг нэрлэх хүртэл пакетыг тайлж, шалгаад хаядаг. VPN лог бүх хугацаанд цэвэр хэвээр байна, учир нь туннель амласнаа яг хийсэн.

Харин туннель ажиллаж, шалгалт хугацаа хэтэрсэн үед firewall-ын татгалзлын логийг уншаад, дараа нь дүрмийг эх хүрээ болон хэрэгтэй портуудад хязгаарла:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Нэг чиглэл ажиллах нь firewall-ын сэжүүр

Гарч буй траффик өөрөөр ажилладаг, учир нь далд зөвшөөрлийн дүрэм инстансуудад хаа ч явуулахыг зөвшөөрдөг. VM-д хүрч чадахгүй байгаа өгөгдлийн төв нь ихэвчлэн нөгөө чиглэлд төгс ажилладаг гарах замын ард суудаг. Энэ тэгш бус байдал нь firewall-ын орхигдлыг маршрутын гэмтлээс ялгадаг, учир нь маршрутын гэмтэл хоёр чиглэлийг нэгэн зэрэг эвддэг. Дахиад нэг дүрэм засахаас өмнө эсрэг чиглэлийг туршаарай.

Хаяг үүсгэх нь мөн квотын үйлдэл юм. Ашиглагдаж буй гадаад хаягийн хязгаарт ойрхон төсөл холболтыг зөвшөөрлийн алдаа мэт уншигдах алдаагаар татгалздаг.

Селекторууд, квотууд, дараа нь дөрвөн шалгалт

Консол дээр үүсгэсэн туннель заримдаа gcloud compute vpn-tunnels describe-ээс хоосон алсын траффикийн селектор буцаадаг бөгөөд үүсгэсэн маршрутууд траффикийг зөв зөөдөг. Туннелийг буруу гэж шийдэхээс өмнө API юу бүртгэдэг таны үнэхээр хамгаалж буй хүрээтэй харьцуул. API эсвэл SDK-ээр үүсгэх нь селекторыг тодорхой байлгадаг.

Квот нь өөр нэг амархан орхигдол юм. Өсөлтийг засвар үйлчилгээний цонхны өмнө хүс, түүний үеэр биш, мөн хаягийн тоог гарцтай ижил төсөлд шалга.

Гаднаас дотогш ажилла: хамтрагчийн төлөв, хоёр селекторын жагсаалт, тал бүрийн маршрут, эх хүрээ болон портын оролтын дүрэм, дараа нь пакет барих. Туннель шинэ байх үед гарцын хаяг, хоёр селекторын жагсаалт, маршрутын төрлийг өөрчлөлтийн тасалбарт бич, учир нь дэд сүлжээ нэмэх дараагийн инженер гурвыг бүгдийг нь хэрэгтэй болно.

Холбоотой нийтлэлүүд