GCP Cloud VPN: semak gateway, terowong dan firewall mengikut urutan

Terowong yang melaporkan established sementara setiap probe tamat masa biasanya tiada peraturan firewall VPC. Semak gateway, pemilih dan jenis penghalaan dalam urutan itu.

Konsol anda memaparkan terowong hijau, pemantauan di premis masih tidak dapat mencapai satu instans pun, dan membina semula terowong kelihatan seperti pembaikan yang jelas. Ia jarang begitu. Terowong yang terbentuk hanya membuktikan dua gateway telah menamatkan pertukaran IKE. Ia tidak berkata apa-apa tentang sama ada paket pernah dibenarkan masuk ke VPC anda.

Empat keputusan terletak antara ikon hijau itu dan satu balasan, dan ia gagal dalam urutan yang boleh dijangka. Mulakan dengan yang paling murah.

Tiga objek, dan hanya satu daripadanya menyulitkan

Gateway VPN memiliki alamat luaran yang menjadi sasaran penyulitan rakan anda. Dalam konsol anda tidak pernah menciptanya secara manual: pilih atau tempah alamat di dalam borang sambungan dan gateway muncul bersamanya. Gateway HA mengambil dua alamat pada dua antara muka, yang penting dalam semakan kuota kemudian.

Terowong ialah pasangan antara gateway itu dan rakan. Ia membawa rahsia bersama dan pemilih trafik yang dijanjikan untuk dilindungi. Pemilih itulah tempat kebanyakan kegagalan senyap bermula. Terowong yang pemilih tempatannya meliputi 10.0.0.0/24 tidak akan menghantar 10.0.1.0/24, walau seberapa sihat statusnya kelihatan.

Hujung jauh menyimpan senarainya sendiri, biasanya dipanggil domain penyulitan, dan perkakasan penamat membandingkannya dengan senarai anda. Tiada pihak berunding tentang pemilih yang tidak pernah diberikan kepadanya.

Jenis penghalaan menentukan apa yang sampai ke jadual penghalaan

Cloud VPN menawarkan tiga bentuk penghalaan dan ia tidak bercampur dengan bersih. Penghalaan berasaskan dasar mengekalkan pasangan pemilih statik, penghalaan berasaskan laluan menjangka anda menambah laluan statik sendiri, dan penghalaan dinamik mengiklankan awalan melalui Cloud Router menerusi BGP. Pilih satu dengan sengaja.

Terowong dinamik dengan laluan statik yang ditulis tangan di sisinya menghasilkan jadual penghalaan yang kosong setiap kali sesi BGP bergoyang.

Dinamik ialah satu-satunya bentuk yang membolehkan awalan terlindung berubah tanpa membina semula terowong, dan ia menyeret Cloud Router ke dalam set objek yang mesti anda sahkan. Pemilih statik kekal boleh digunakan apabila rakan ialah firewall perkakasan yang tidak boleh bertutur BGP. Ketika itu kedua-dua hujung memerlukan julat yang sama, dan entri yang lebih khusus mesti menang pada kedua-duanya. Pasangan yang berbeza satu subnet akan terbentuk dan kemudian membawa separuh trafik anda.

Penafian tersirat terletak di belakang terowong

Trafik masuk dinilai terhadap penafian tersirat pada keutamaan terendah, dan peraturan itu tidak peduli bahawa paket itu tiba tersulit. Sehingga peraturan firewall menamakan julat di premis dan port yang digunakan, paket itu dinyahsulit, diperiksa dan digugurkan. Log VPN kekal bersih sepanjang masa, kerana terowong melakukan tepat apa yang dijanjikannya.

Sebaliknya baca log penafian firewall apabila terowong aktif dan probe tamat masa, kemudian hadkan peraturan kepada julat sumber dan port yang anda perlukan:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Satu arah berfungsi ialah petunjuk firewall

Trafik keluar berkelakuan berbeza, kerana peraturan kebenaran tersirat membenarkan instans menghantar ke mana-mana sahaja. Pusat data yang tidak dapat mencapai VM sering berada di belakang laluan keluar yang berfungsi sempurna dalam arah yang bertentangan. Asimetri itu memisahkan kecuaian firewall daripada kerosakan penghalaan, kerana kerosakan penghalaan memutuskan kedua-dua arah sekali gus. Uji arah bertentangan sebelum anda menyunting satu lagi peraturan.

Penciptaan alamat juga merupakan operasi kuota. Projek yang hampir dengan had alamat luaran yang digunakan menolak sambungan dengan ralat yang berbunyi seperti kegagalan kebenaran.

Pemilih, kuota, kemudian empat semakan

Terowong yang dicipta dalam konsol kadangkala memulangkan pemilih trafik jauh yang kosong daripada gcloud compute vpn-tunnels describe sementara laluan yang dijana membawa trafik dengan betul. Bandingkan apa yang direkodkan API dengan julat yang benar-benar anda lindungi sebelum memutuskan terowong itu salah. Menciptanya melalui API atau SDK mengekalkan pemilih secara eksplisit.

Kuota ialah kecuaian mudah yang lain. Minta peningkatan sebelum tetingkap penyelenggaraan, bukan semasanya, dan semak bilangan alamat dalam projek yang sama dengan gateway.

Bekerja dari luar ke dalam: status rakan, kedua-dua senarai pemilih, laluan untuk setiap pihak, peraturan masuk untuk julat sumber dan port, kemudian tangkapan paket. Tulis alamat gateway, kedua-dua senarai pemilih dan jenis penghalaan dalam tiket perubahan semasa terowong masih baharu, kerana jurutera seterusnya yang menambah subnet akan memerlukan ketiga-tiganya.

Artikel berkaitan