GCP Cloud VPN: iċċekkja gateway, tunnel u firewall fl-ordni

Tunnel li jirrapporta stabbilit waqt li kull prova tispiċċa fi timeout normalment ma jkollux regola tal-firewall tal-VPC. Iċċekkja l-gateway, is-seletturi u t-tip ta' routing f'dan l-ordni.

Il-console tiegħek turi tunnel aħdar, il-monitoraġġ fuq il-post għadu ma jistax jilħaq lanqas istanza waħda, u li terġa' tibni t-tunnel jidher bħala s-soluzzjoni ovvja. Rari tkun hekk. Tunnel stabbilit jagħti prova biss li żewġ gateways temmew l-iskambju IKE. Ma jgħid xejn dwar jekk pakkett qatt tħalla jidħol fil-VPC tiegħek.

Erba' deċiżjonijiet jinsabu bejn dik l-ikona ħadra u tweġiba, u jonqsu fi ordni prevedibbli. Ibda mill-orħos waħda.

Tliet oġġetti, u wieħed biss minnhom jikkripta

Gateway VPN jippossjedi l-indirizz estern li lejh il-peer tiegħek jikkripta. Fil-console qatt ma toħloqha bl-idejn: agħżel jew irriżerva indirizz ġewwa l-formola tal-konnessjoni u l-gateway jidher miegħu. Gateway HA jieħu żewġ indirizzi fuq żewġ interfaces, li jgħodd fil-verifika tal-kwota aktar tard.

Tunnel huwa t-tqabbil bejn dak il-gateway u l-peer. Huwa jġorr is-sigriet komuni u s-seletturi tat-traffiku li jwiegħed li jipproteġi. F'dawn is-seletturi jibdew il-biċċa l-kbira tal-fallimenti siekta. Tunnel li s-selettur lokali tiegħu jkopri 10.0.0.0/24 mhux se jwassal 10.0.1.0/24, kemm jidher b'saħħtu l-istat.

It-tarf imbiegħed iżomm il-lista tiegħu stess, normalment imsejħa dominju tal-kriptaġġ, u l-ħardwer li jtemm iqabbelha ma' tiegħek. Ebda naħa ma tinnegozja selettur li qatt ma ngħataha.

It-tip ta' routing jiddeċiedi x'jilħaq it-tabella tar-routing

Cloud VPN joffri tliet forom ta' routing u dawn ma jitħalltux b'mod nadif. Ir-routing ibbażat fuq il-politika jżomm il-pari tas-seletturi statiċi, ir-routing ibbażat fuq ir-rotot jistenna li inti żżid rotot statiċi, u r-routing dinamiku jħabbar il-prefissi permezz ta' Cloud Router fuq BGP. Agħżel wieħed apposta.

Tunnel dinamiku b'rotot statiċi miktuba bl-idejn ħdejh jipproduċi tabella tar-routing li tiġġarraf kull darba li s-sessjoni BGP tixxengel.

Id-dinamiku huwa l-uniku forma li tħalli l-prefissi protetti jinbidlu mingħajr ma terġa' tibni t-tunnel, u jġib il-Cloud Router fis-sett ta' oġġetti li trid tivverifika. Is-seletturi statiċi jibqgħu prattiċi meta l-peer huwa firewall tal-ħardwer li ma jafx jitkellem BGP. Imbagħad iż-żewġ trufijiet jeħtieġu l-istess firxiet, u d-dħul aktar speċifiku għandu jirbaħ f'kull waħda. Par li jaqbel ħażin fuq subnet wieħed jistabbilixxi u mbagħad iġorr nofs it-traffiku tiegħek.

Iċ-ċaħda impliċita tinsab wara t-tunnel

It-traffiku deħlin jiġi vvalutat kontra ċaħda impliċita fl-inqas prijorità, u dik ir-regola ma timpurtahiex li l-pakkett wasal ikkriptat. Sakemm regola tal-firewall ma ssemmi l-firxa fuq il-post u l-port użat, il-pakkett jiġi dekkriptat, spezzjonat u mwarrab. Il-log tal-VPN jibqa' nadif il-ħin kollu, għax it-tunnel għamel eżattament dak li wiegħed.

Minflok aqra l-log taċ-ċaħdiet tal-firewall meta t-tunnel ikun attiv u l-prova tispiċċa fi timeout, imbagħad illimita regola għall-firxa tas-sors u l-ports li għandek bżonn:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Direzzjoni waħda li taħdem hija ħjiel tal-firewall

It-traffiku li joħroġ iġib ruħu b'mod differenti, għax ir-regola tal-permess impliċitu tħalli lill-istanzi jibagħtu kullimkien. Ċentru tad-data li ma jilħaqx VM spiss jinsab wara mogħdija tal-ħruġ li taħdem perfettament fid-direzzjoni l-oħra. Din l-asimetrija tifred nuqqas fil-firewall minn ħsara fir-routing, għax ħsara fir-routing tkisser iż-żewġ direzzjonijiet f'daqqa. Ittestja d-direzzjoni opposta qabel ma tibdel regola oħra.

Il-ħolqien tal-indirizzi hija wkoll operazzjoni tal-kwota. Proġett qrib il-limitu tiegħu ta' indirizzi esterni użati jirrifjuta l-konnessjoni bi żball li jaqra bħal falliment ta' permess.

Seletturi, kwoti, imbagħad l-erba' verifiki

Tunnels maħluqa fil-console xi drabi jirritornaw selettur tat-traffiku remot vojt minn gcloud compute vpn-tunnels describe waqt li r-rotot iġġenerati jġorru t-traffiku b'mod korrett. Qabbel dak li jirrekordja l-API mal-firxiet li tassew tipproteġi qabel ma tiddeċiedi li t-tunnel huwa ħażin. Il-ħolqien tiegħu permezz tal-API jew l-SDK iżomm is-selettur espliċitu.

Il-kwoti huma l-altra nuqqas faċli. Itlob iż-żieda qabel it-tieqa tal-manutenzjoni, mhux waqtiha, u ċċekkja l-għadd tal-indirizzi fl-istess proġett bħall-gateway.

Aħdem minn barra għal ġewwa: l-istat tal-peer, iż-żewġ listi tas-seletturi, rotta għal kull naħa, regola tad-dħul għall-firxa tas-sors u l-port, imbagħad qbid tal-pakketti. Ikteb l-indirizz tal-gateway, iż-żewġ listi tas-seletturi u t-tip ta' routing fil-biljett tal-bidla waqt li t-tunnel għadu ġdid, għax l-inġinier li jmiss li jżid subnet se jkollu bżonn it-tlieta kollha.

Artikli relatati