Ippermetti l-forwarding tal-IP fuq gateway GCE VPN eżistenti

Il-VM inħoloq mingħajr il-forwarding tal-IP, diġà qed iħaddem is-software VPN, u l-istint huwa li terġa’ tibnih mill-mudell bil-bandiera mixgħula. Dik it-tibnija mill-ġdid mhija meħtieġa. Compute Engine jesponi canIpForward bħala proprjetà aġġornabbli, u l-mogħdija tal-aġġornament dokumentata tapplikaha b'refresh minflok restart. Dak li l-bandiera fil-fatt tikkontrolla huwa dejjaq: mingħajrha, il-pjattaforma tarmi pakketti li jaslu fl-istanza imma mhumiex indirizzati lejn l-indirizz tal-istanza nnifisha. Gateway li jibgħat it-traffiku ta’ magni oħra jagħmel eżattament dan, għalhekk il-bandiera trid tkun mixgħula. Kollox wara dan hija konfigurazzjoni tal-mistieden u routing, li l-bandiera ma tmissx.

X'jippermetti l-bandiera, u x'ma tippermettix

Meta l-forwarding huwa diżattivat, il-pjattaforma tittratta l-istanza bħala punt ta' tmiem. Il-pakketti li d-destinazzjoni tagħhom hija l-indirizz tal-istanza nnifisha jiġu kkonsenjati; il-pakketti li l-istanza suppost tgħaddi għal ħaddieħor ma jiġux ikkonsenjati.

Meta l-forwarding huwa attivat, l-istanza tista' taġixxi bħala l-qabża li jmiss għal rotta VPC, u dan huwa r-rwol li għandu bżonn apparat VPN. Il-bandiera ma tgħid xejn dwar firewalls, routing tal-mistieden, konfigurazzjoni tal-mina jew mogħdijiet tar-ritorn, u valur true fuq gateway miksur għadu gateway miksur.

Aqra l-proprjetà attwali

Iċċekkja s-setting qabel ma tbiddel xi ħaġa, b'describe biss-qari kontra l-istanza, il-proġett u ż-żona maħsuba:

gcloud compute instances describe VM_NAME --project PROJECT_ID --zone ZONE --format='value(canIpForward)'

Valur false għandu importanza biss jekk dan il-VM għandu jkun il-qabża li jmiss. Jekk inhu, il-bqija tal-mogħdija xorta trid tiġi ċċekkjata separatament, għax il-proprjetà hija linja waħda f'katina itwal.

Aġġorna l-istanza eżistenti

Il-proċedura ta' Google għall-aġġornament tal-proprjetajiet tal-istanza tesporta r-riżors attwali, timmodifika l-proprjetà u tissottometti r-riżultat. Dan huwa fluss tax-xogħol differenti mill-bandiera --can-ip-forward fil-ħin tal-ħolqien, u dan huwa dak li jaħdem fuq VM li qed taħdem.

L-ewwel esporta d-definizzjoni f'fajl lokali, u żomm kopja mhux mibdula għat-tqabbil:

gcloud compute instances export VM_NAME --project PROJECT_ID --zone ZONE --destination=instance.yaml

F'dak il-fajl esportat, issettja l-proprjetà u tibdilx xi ħaġa oħra:

canIpForward: true

Żomm ir-riżors kollu, inkluż il-marka tas-swaba' tiegħu. Li tissostitwixxi l-fajl b'dokument YAML ta' linja waħda, jew li tgħaqqad editjar mhux relatat tat-tip tal-magna, tad-diska jew tal-interface fl-istess sottomissjoni, huwa l-mod kif bidla fil-proprjetà ssir waqfien.

Itlob lill-mekkaniżmu tal-aġġornament jivvalida l-fajl u jirrapporta x'ikun jeħtieġ, qabel ma tiġi permessa xi bidla effettiva:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=NO_EFFECT

Dik il-ġirja tal-validazzjoni ma tattivax il-forwarding. Aqra r-risposta għal proprjetajiet invalidi u għall-azzjoni li tgħid li hija meħtieġa. Għal din il-bidla iżolata l-azzjoni dokumentata hija REFRESH. Jekk ir-riżultat jitlob restart, il-fajl fih aktar mill-proprjetà li ridt tbiddel, għalhekk iċċekkjah minflok ma tagħti r-restart.

Applika l-fajl rivedut bil-limitu refresh:

gcloud compute instances update-from-file VM_NAME --project PROJECT_ID --zone ZONE --source=instance.yaml --most-disruptive-allowed-action=REFRESH

Iċċekkja li l-operazzjoni temmet u erġa' ħaddem il-kmand describe. Jekk il-marka tas-swaba' ma tibqax taqbel, xi ħaddieħor bidel l-istanza waqt li kont qed teditja, għalhekk esporta kopja friska u erġa' rrevedi l-bidla minflok ma tisfurza l-fajl skadut tiegħek.

Il-mistieden xorta jrid jagħti rotta lill-pakkett

Il-permess fil-cloud ma jagħmilx l-apparat router. Ivverifika li rotta VPC tagħżel dan il-VM bħala l-qabża li jmiss għall-prefiss tad-destinazzjoni, u li l-mistieden jagħti rotta bejn il-mina u l-interface t-tajba bil-politika tal-forwarding tiegħu stess mixgħula.

Il-politika tal-firewall trid tippermetti l-fluss intern kif ukoll is-semmiegħa estern. Li tiftaħ biss il-port VPN jiddeskrivi t-trasport encrypted u ma jgħid xejn dwar l-iskambju tal-applikazzjoni ġewwa fih.

Fl-aħħar, id-destinazzjoni teħtieġ mogħdija tar-ritorn lejn il-pool tal-klijenti, jew id-disinn irid jittraduċi s-sorsi b'mod intenzjonat. Jekk id-destinazzjoni tara traffiku tradott, iċċekkja s-sors tradott; jekk id-disinn jippreserva l-pool, iċċekkja dak il-pool fil-mogħdija tar-ritorn u r-regoli tal-aċċess. Iż-żieda ta' NAT qabel ma tiddeċiedi liema disinn trid taħbi rotta neqsin u tbiddel il-politika li tara d-destinazzjoni.

Fuq gateway Linux, il-forwarding fil-kernel huwa parti mill-konfigurazzjoni tal-mistieden. Apparat pfSense għandu l-ekwivalenti tiegħu, u l-kopja ta' kmand sysctl ta' Linux fih mhijiex il-pass li jaqbel.

Ivverifika mill-klijent li għandu bżonn l-aċċess

Ittestja minn klijent VPN lejn servizz wieħed fil-mira, mhux mill-gateway innifsu. Konnessjoni mibdija fuq il-gateway tuża sors differenti u qatt ma teżerċita r-regoli tal-forwarding li għadek kif attejt.

Irreġistra l-proprjetà f'kull ma jmexxi l-apparat. VM ikkoreġut manwalment jaħdem sakemm is-sostituzzjoni li jmiss tiegħu terġa' ddaħħal is-setting oriġinali bil-kwiet, u dak il-falliment jidher bħala rigressjoni fis-software VPN.

L-ordni tax-xogħol: aqra l-proprjetà, esporta u editja linja waħda, ivvalida b'NO_EFFECT, applika b'REFRESH, ivverifika li l-mistieden jibgħat, imbagħad ittestja minn klijent.