VM GCP b'ħafna NIC: għaliex it-tweġibiet joħorġu mill-interface ħażina

It-twaħħil ta' tieni interface ma' VM ta' Compute Engine jagħtiha twaħħila oħra tan-netwerk, mhux triq ta' ritorn simetrika. Il-mistieden xorta jagħżel interface u indirizz tas-sors mir-rotot u r-regoli tiegħu stess. Google Cloud imbagħad japplika r-routing tal-VPC u l-politika tal-firewall madwar l-interface li minnha ħareġ il-pakkett. Meta dawn iż-żewġ deċiżjonijiet ma jaqblux, it-talbiet jaslu fuq NIC waħda u t-tweġibiet joħorġu mill-oħra, u l-fergħa tara konversazzjoni nofsha miftuħa.

Għaddi t-triq f'ħames passi u n-nuqqas ta' qbil jidher qabel ma tikteb regola tal-politika.

Pass 1: ippjana n-NICs tal-cloud għall-apparati tal-mistieden

Il-cloud isemmi l-interfaces nic0, nic1 u hekk, u l-mistieden jara ismijiet tal-apparat li m'għandhomx għalfejn jaqblu. Irrisolvi l-mappa mill-metadata tal-instanza jew mill-indirizz tal-interface stess qabel kull ħaġa oħra. Ir-rotta default tas-soltu li tipprovdi DHCP hija assoċjata ma' nic0, u għalhekk it-triq lejn l-internet spiss tirbaħ b'aċċident. Li tikteb politika fuq isem tal-apparat stmat huwa kif regola korretta tispiċċa fuq l-interface ħażina.

Irreġistra l-indirizzi, l-ismijiet tal-apparat u l-VPC li jappartjeni għaliha kull wieħed. Dik il-mappa b'tliet kolonni hija l-input għal kull pass li jmiss.

Pass 2: semmi ż-żewġ deċiżjonijiet tar-routing

L-ewwel deċiżjoni hija tal-mistieden: liema interface u liema indirizz tas-sors għal dan il-pakkett. It-tieni hija tal-cloud: x'jippermettu r-rotot tal-VPC u l-politika tal-firewall madwar dik l-interface.

Rotta li tidher fil-VPC li tħares lejn il-VPN ma ssirx rotta tal-mistieden li tagħżel dik in-NIC. Ir-rotta tal-cloud tiddeskrivi x'jista' jwassal in-netwerk, filwaqt li r-rotta tal-mistieden tiddeċiedi x'jagħmel il-pakkett.

Pass 3: agħżel politika tat-triq tar-ritorn

Għal sett żgħir u stabbli ta' prefissi tal-fergħa, ir-rotot tad-destinazzjoni espliċiti fil-mistieden huma l-espressjoni l-aktar sempliċi: it-tweġibiet għal dawk il-prefissi joħorġu mill-interface li tħares lejn il-VPN. Meta diversi servizzi jużaw bżonn indirizzi tas-sors lokali differenti, regoli bbażati fuq is-sors li jagħżlu tabella għal kull interface iżommu kull tweġiba fil-kuntest it-tajjeb. Id-dokumentazzjoni dwar interfaces multipli tiddeskrivi l-isem tan-NIC u l-imġiba tar-rotta default li dawn id-disinni jiddependu fuqhom.

Kull tabella teħtieġ rotot konnessi validi u hops li jmiss, flimkien mad-destinazzjonijiet li se jintalbu minnha. Regola li tipponta lejn tabella mhux kompluta mhijiex disinn tat-triq tar-ritorn. Uża l-gateway dokumentat għal dik in-NIC minflok ma tivvinta gateway Ethernet mill-għamla tas-subnet.

Pass 4: iċċekkja l-filtri tal-mistieden stess

Iċċekkja fejn is-server jisma' u liema sors lokali jġorr it-tweġiba. Semmiegħa fuq l-indirizzi kollha ma tgħaddix il-politika tar-routing, għalhekk it-twaħħil mal-indirizzi kollha ma jbiddel xejn dwar l-interface li minnha toħroġ it-tweġiba.

Fuq Linux, erġa' eżamina l-validazzjoni tat-triq maqluba kontra d-disinn maħsub. L-iżattivar tagħha globalment bħala l-ewwel mossa jbiddel bug tar-routing ma' espożizzjoni għall-iffalsifikar, u jaħbi l-asimetrija li kont qed tipprova ssib.

Pass 5: ittestja fluss wieħed għal kull triq

Ivverifika separatament talba tal-fergħa permessa u talba tal-internet mhux relatata, kull waħda bis-sors u d-destinazzjoni reali tagħha. Aqbad fuq iż-żewġ interfaces meta tista', għax il-prova utli hija liema interface ġarret it-tweġiba. Imbagħad ikkonferma li l-politika fuq in-naħa tal-cloud irrispettat it-triq li ddisinjajt. Talba waħda b'suċċess tipprova fluss wieħed, mhux disinn simetrika.

Żomm iż-żewġ testijiet separatament fin-noti tiegħek, għax jużaw rotot differenti u regoli tal-firewall differenti.

X'ma jagħtikx it-tieni NIC

It-tieni interface żżid twaħħila tan-netwerk u indirizz ieħor. Ma żżidx routing simetrika awtomatika u ma taqbiżx il-politika tal-firewall. Li tittrattaha bħala tiswija tar-routing hija r-raġuni għaliex id-disinni b'ħafna NIC jiġbru regoli li ħadd ma jista' jispjega aktar tard.

Jekk il-VM trid tittrasferixxi t-traffiku ta' magni oħra, ippjana dak ir-rwol tar-router b'mod espliċitu, inkluża s-setting tal-cloud li tippermetti t-trasferiment u l-filtri tal-mistieden li jmorru magħha.