GCP Classic VPN f'Terraform: għamel it-tunnel ibbażat fuq ir-rotot

F'Classic VPN it-tikketta ma tiddeċidix l-imġiba. Ibbażat fuq ir-rotot ifisser selettur lokali 0.0.0.0/0, seletturi remot li jaqblu u rotta espliċita.

Il-pjan jiġi applikat b'mod nadif, it-tunnel jinġieb il fuq, u l-konsola ssejjaħlu bbażat fuq il-politika. It-traffiku xorta ma jgħaddix, u t-tfittxija għal swiċċ ibbażat fuq ir-rotot fir-riżors Terraform ma twassal imkien għax dak il-qasam ma jeżistix. F'Classic VPN, l-imġiba bbażata fuq ir-rotot mhijiex mod li tagħżel. Dan huwa dak li tikseb meta s-selettur lokali tat-traffiku jkun 0.0.0.0/0, is-seletturi remoti jelenkaw in-netwerks li tassew trid, u rotta tindika lejn it-tunnel. Tliet affarijiet, u t-tikketta ssegwi.

Il-mit: qasam tal-mod tat-tunnel

It-tikketta tal-konsola tirrifletti dak li l-API jara fis-seletturi. Xejn fir-riżors ma jgħid ibbażat fuq ir-rotot, għalhekk m'hemm xejn x'jissetja għal veru.

It-tfittxija għal dak il-qasam tiekol l-ewwel siegħa tal-problema, filwaqt li l-qari tal-valuri tas-seletturi jieħu l-aħħar ħames minuti.

Xi jfisser ibbażat fuq ir-rotot hawn

Google tiddokumenta t-tunnels ibbażati fuq ir-rotot ta' Classic VPN bħala tunnels ibbażati fuq il-politika li s-selettur lokali tagħhom huwa 0.0.0.0/0. Jinġibdu biss il-medda remoti, u n-naħa lokali tiġi ttrattata bħala kwalunkwe indirizz. Għalhekk il-markatur fil-konfigurazzjoni tiegħek huwa valur, mhux mod. Ikteb iż-żewġ seletturi b'mod espliċitu u aqrahom fl-output tal-pjan:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

Il-prefiss tal-pari f'dak is-silta huwa illustrattiv; il-forma hija l-parti li timporta.

Ir-rotta hija oġġett separat

Oġġett tat-tunnel ma jinstallax rotta. Il-pakketti jistgħu jaqblu mal-politika tat-tunnel u xorta ma jkollhomx fejn imorru, għax it-tabella tar-routing tal-VPC tiddeċiedi l-hop li jmiss. Ir-rotta teħtieġ il-medda tad-destinazzjoni, in-netwerk, it-tunnel bħala hop li jmiss u prijorità li tegħleb kull ħaġa usa'. Jekk tinsiha, tikseb tunnel li jirrapporta stabbilita u ping li qatt ma joħroġ mill-VPC.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Oħloq ir-rotta fl-istess modulu tat-tunnel, sabiex it-tnejn ma jinfirxux flimkien fir-reviżjoni.

Ikkopja s-seletturi fuq il-pari

L-apparat remot irid jiġi kkonfigurat b'immaġni mera: il-medda lokali tiegħu hija s-selettur remot tiegħek, u l-medda remota tiegħu trid tkopri s-subnets GCP li tistenna tuża. Jekk xi naħa tidjieq, il-fażi 2 tfalli għalkemm il-fażi 1 tirnexxi. Din hija l-aktar forma komuni ta' konfigurazzjoni li tidher tajba fil-konsola u ma ġġorr l-ebda traffiku.

Ipprintja s-seletturi taż-żewġ naħat ma' xulxin waqt ir-reviżjoni tal-bidla.

Aqsam l-indirizz statiku f'żewġ applikazzjonijiet

Il-ħolqien tal-indirizz riżervat u t-tunnel li jirreferi għalih f'applikazzjoni waħda huwa sors magħruf ta' instabbiltà, għax l-indirizz irid jeżisti qabel ma r-regola tal-ippeġjar tkun tista' tużah. Applika l-ewwel biss ir-riżors tal-indirizz, imbagħad żid il-gateway, ir-regoli tal-ippeġjar u t-tunnel u erġa' applika. Terraform jaqra l-indirizz eżistenti mill-istat fit-tieni run u jerġa' jużah. Jekk taqbiżlu dan, it-tunnel jista' jircievi indirizz pubbliku ġdid f'kull applikazzjoni, li jkisser il-konfigurazzjoni tal-pari kull darba.

Żewġ applikazzjonijiet issa huma orħos minn bidla tal-pari f'kull rilaxx.

Ivverifika n-negozjar, mhux it-tikketta

Wara l-applikazzjoni, iċċekkja tliet fatti separati: it-tunnel jirrapporta stabbilita, ir-rotta teżisti bil-hop li jmiss maħsub, u l-pari jirrapporta li l-fażi 1 u l-fażi 2 huma t-tnejn attivi.

Tunnel li huwa attiv bil-fażi 2 nieżla jfisser li ż-żewġ naħat ma jaqblux dwar is-seletturi:

  • Naħa waħda telenka subnet li n-naħa l-oħra ma telenkax.
  • Naħa waħda tuża aggregat li n-naħa l-oħra dejqet.
  • Ir-rotta teżisti iżda tindika lejn tunnel ieħor.

Classic VPN huwa tunnel wieħed b'SLA aktar baxx minn HA VPN, u HA VPN juża żewġ interfaces, żewġ tunnels u BGP b'tipi ta' riżorsi differenti. L-ikkupjar ta' eżempju klassiku f'konfigurazzjoni HA u l-istennija li l-oqsma tas-selettur iġibu ruħhom l-istess huwa żball separat li jġejjien jiġi evitat. L-oqsma tat-tunnel infushom huma dokumentati fir- referenza google_compute_vpn_tunnel.

Artikli relatati