Cloud VPN lejn VM fuq GCP: uża l-IP interna, mhux l-IP tan-NAT

Meta netwerk lokali jasal għal VPC permezz ta’ Cloud VPN, id-destinazzjoni għal servizz ta’ Compute Engine normalment tkun l-indirizz intern tal-VM. L-indirizz IPv4 estern mhuwiex it-tieni indirizz li tista’ tpoġġi fl-istess rotta privata. Il-biċċa l-kbira tal-konfużjoni f’dan il-qasam ġejja mill-fatt li tliet indirizzi bi tliet xogħlijiet jiġu trattati bħala li jistgħu jibdlu xulxin, għalhekk ibda billi ssemmi liema juża pakkett partikolari.

Tliet indirizzi, tliet xogħlijiet

Semmi t-tlieta qabel ma tagħmel debug ta’ xi wieħed minnhom, għax it-tweġiba tibdel l-oġġett li se teżamina wara.

L-ewwel waħda tappartjeni lit-tunnel. It-tieni waħda tappartjeni lid-disinn tar-rotta u tal-firewall tiegħek. It-tielet waħda tappartjeni għall-aċċess tal-internet li jidħol u hija mappata, mhux imwaħħla. Disinn li jaħdem għal waħda minnhom ma jgħid xejn dwar it-tnejn l-oħra.

Għaliex l-indirizz estern mhuwiex it-tieni interface

Il-gwida tal-indirizzar hija l-awtorità dwar kif jiddifferixxu l-aċċessibilità interna u esterna fuq Compute Engine. IPv4 estern ta’ Compute Engine huwa mappatura wieħed għal wieħed fuq l-uniku NIC intern tal-istanza, għalhekk il-mistieden qatt ma jara t-tieni interface jew it-tieni indirizz fuq dak in-NIC. Dak li tippjana l-VM minn ġewwa għadu indirizz intern primarju wieħed.

Huwa għalhekk li klijent privat li jgħaddi mit-tunnel lejn 10.24.1.7 u klijent li jimmaġina l-indirizz estern tal-VM huma fi triqat differenti. Il-ftuħ ta’ regola tal-firewall għall-indirizz pubbliku ma jbiddel xejn fir-rotta tal-VPC li trid iġġorr it-traffiku tat-tunnel, u l-editjar ta’ rotta fuq il-mistieden ma jċaqlaqx il-mappatura tal-pjattaforma. Agħżel l-indirizz li ssemmi r-rotta tiegħek, imbagħad iċċekkja biss l-oġġetti li jmexxuha. Din id-dixxiplina tneħħi l-biċċa l-kbira tal-istima minn dan il-mogħdija ta’ soluzzjoni tal-problemi.

Mexxi l-mogħdija bil-gcloud

Ibda mill-istanza u aqra ż-żewġ indirizzi mill-istess oġġett, sabiex tkun taf liema waħda qed titkellem dwarha d-dokumentazzjoni tiegħek:

gcloud compute instances describe app-1 --zone=europe-west1-b \
  --format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"

Imbagħad ikkonferma r-routing u l-permess li l-mogħdija tiddependi verament fuqhom:

gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1

Aqra l-firxiet imħabbra u mitgħallma tat-tunnel, ir-rotta tal-VPC għas-subnet tax-xogħol u r-regola tal-firewall li tippermetti s-sors lokali. Dawn it-tlieta jridu jaqblu qabel ma xi widnez fuq il-mistieden ikun rilevanti xejn.

Imbagħad iċċekkja l-mistieden: is-servizz qed jisma’ fuq l-indirizz intern, u t-triq tar-ritorn tiegħu tgħaddi mill-ġdid mill-VPC? Widnez marbut biss ma’ indirizz pubbliku se jfalli dan it-test anki meta kull oġġett fuq in-naħa tal-cloud ikun korrett.

Prefiss pubbliku hija kwistjoni oħra

Xejn minn dan ma jfisser li kull indirizz li jinġarr ġewwa VPN irid ikun RFC1918. Netwerk remot jista’ jiġi nnumrat b’mod leġittimu mill-ispazju pubbliku, sakemm il-pjattaforma tappoġġja r-routing u l-operatur ikollu l-awtorità tal-indirizz. Din hija għażla tad-disinn normali.

Dan mhuwiex l-istess bħall-li tittratta indirizz NAT estern ordinarju bħallikieku kien indirizz ieħor tas-subnet intern. Wieħed huwa prefiss li inti tgħaddi; l-ieħor hija mappatura li l-pjattaforma tapplika għall-aċċess li jidħol.

L-IPv6 estern u l-arranġamenti tal-indirizzi mfasslin apposta għandhom is-semantika tagħhom. Jekk il-pjan tiegħek jiddependi fuq wieħed minnhom, aqra d-dokumentazzjoni tal-pjattaforma għal dik il-karatteristika minflok ma tiġġeneralizza mill-każ tal-IPv4. Il-mappatura tal-IPv4 hija l-każ komuni, mhux l-uniku, u l-eċċezzjonijiet għandhom kull waħda r-regoli tagħha.

Firxiet li jaqblu fuq xulxin huma problema oħra

Firxiet privati li jaqblu fuq xulxin huma raġuni reali għaliex in-nies jaħtfu l-indirizz pubbliku, u dan huwa l-ingranaġġ żbaljat. Il-bidla tad-destinazzjoni għall-indirizz NAT tal-VM ma ssolvix l-immappjar fuq xulxin; tibdel liema indirizz il-pakkett jallega li huwa għalih, mingħajr ma tiddefinixxi kif jaħdem it-triq tar-ritorn.

Solvi l-immappjar fuq xulxin apposta: erġa’ agħmel in-numrar, uża disinn tat-traduzzjoni appoġġjat, jew għaddi minn netwerk fejn il-prefissi ma jaħbtux. Kull wieħed minn dawn huwa disinn b’sid. L-indirizz NAT mhuwiex disinn.

Iddokumenta ż-żewġ oqsma separatament

Irreġistra l-peer tat-tunnel u d-destinazzjoni tax-xogħol bħala żewġ oqsma runbook separati, kull wieħed bir-rotta u r-regola tal-firewall li jappoġġjawh. Tunnel IPsec li jinbidel għall-istat attiv jgħidlek biss li l-partijiet qablu; ma jgħid xejn dwar liema indirizz ix-xogħol huwa aċċessibbli fuqu, u lanqas dwar jekk ir-rotta privata tiegħu hijiex kompleta.

Ivverifika b’klijent reali fuq in-naħa l-oħra: solvi l-isem, ikkonferma li jirritorna l-indirizz intern, qabbad, u ċċekkja t-traffiku tar-ritorn. Id-dokumentazzjoni tal-indirizzi IP ta’ Compute Engine hija r-referenza għad-distinzjoni bejn intern u estern użata hawn fuq.