GCP Cloud VPN: गेटवे, टनेल र फायरवाल क्रममा जाँच्नुहोस्

प्रत्येक प्रोब समय सकिँदा टनेल स्थापित भएको रिपोर्ट गर्छ भने सामान्यतया VPC फायरवाल नियम हुँदैन। गेटवे, सेलेक्टर र राउटिङ प्रकार त्यही क्रममा जाँच्नुहोस्।

तपाईंको कन्सोलले हरियो टनेल देखाउँछ, अन-प्रिमाइस अनुगमन अझै एउटै इन्स्ट्यान्समा पुग्न सक्दैन, र टनेल पुनः निर्माण गर्नु नै स्पष्ट समाधान जस्तो देखिन्छ। तर त्यसो हुनु दुर्लभ हो। स्थापित टनेलले दुई गेटवेले IKE आदानप्रदान सकाएको मात्र प्रमाणित गर्छ। प्याकेटलाई तपाईंको VPC मा कहिल्यै प्रवेश दिइयो कि दिइएन भन्नेबारे यसले केही भन्दैन।

त्यो हरियो आइकन र जवाफबीच चार निर्णय छन्, र ती अनुमानयोग्य क्रममा असफल हुन्छन्। सबैभन्दा सस्तोबाट सुरु गर्नुहोस्।

तीन वस्तु, र तीमध्ये एउटा मात्र इन्क्रिप्ट गर्छ

VPN गेटवे त्यो बाह्य ठेगानाको मालिक हुन्छ जहाँ तपाईंको पियर इन्क्रिप्ट गर्छ. कन्सोलमा तपाईं यसलाई कहिल्यै हातले बनाउनुहुन्न: जडान फारमभित्र ठेगाना छान्नुहोस् वा आरक्षित गर्नुहोस् र गेटवे त्यससँगै देखा पर्छ। HA गेटवेले दुई इन्टरफेसमा दुई ठेगाना लिन्छ, जुन पछि कोटा जाँचमा महत्त्वपूर्ण हुन्छ।

टनेल त्यो गेटवे र पियरबीचको जोडी हो। यसले साझा गोप्य र सुरक्षित गर्ने वाचा गरेका ट्राफिक सेलेक्टर बोक्छ। अधिकांश मौन असफलता त्यही सेलेक्टरबाट सुरु हुन्छन्। जसको स्थानीय सेलेक्टरले 10.0.0.0/24 समेट्छ त्यो टनेलले स्थिति जतिसुकै स्वस्थ देखिए पनि 10.0.1.0/24 पुर्याउँदैन।

टाढाको छेउले आफ्नै सूची राख्छ, सामान्यतया यसलाई इन्क्रिप्शन डोमेन भनिन्छ, र टर्मिनेट गर्ने हार्डवेयरले त्यसलाई तपाईंकोसँग तुलना गर्छ। कुनै पनि पक्षले कहिल्यै नदिइएको सेलेक्टरमा वार्ता गर्दैन।

राउटिङ प्रकारले राउट तालिकासम्म के पुग्छ भन्ने निर्धारण गर्छ

Cloud VPN ले तीन राउटिङ आकार दिन्छ र ती सफासँग मिसिँदैनन्। नीति-आधारित राउटिङले स्थिर सेलेक्टर जोडी राख्छ, रुट-आधारित राउटिङले तपाईं आफैं स्थिर रुट थप्ने अपेक्षा गर्छ, र गतिशील राउटिङले BGP माथि Cloud Router मार्फत प्रिफिक्स घोषणा गर्छ। जानाजान एउटा छान्नुहोस्।

छेउमा हातले लेखिएका स्थिर रुट भएको गतिशील टनेलले BGP सत्र हल्लिँदा खाली हुने राउट तालिका बनाउँछ।

गतिशील मात्र यस्तो आकार हो जसले टनेल पुनः नबनाई सुरक्षित प्रिफिक्स बदल्न दिन्छ, र यसले Cloud Router लाई तपाईंले प्रमाणित गर्नुपर्ने वस्तुहरूको समूहमा तान्छ। पियर BGP बोल्न नसक्ने हार्डवेयर फायरवाल हुँदा स्थिर सेलेक्टर काम लाग्ने रहन्छन्। त्यसबेला दुवै छेउलाई एउटै दायरा चाहिन्छ, र बढी विशिष्ट प्रविष्टिले दुवैतिर जित्नुपर्छ। एउटा सबनेटले फरक पर्ने जोडी स्थापित हुन्छ र त्यसपछि तपाईंको आधा ट्राफिक बोक्छ।

निहित अस्वीकृति टनेलको पछाडि बस्छ

आगमन ट्राफिकको मूल्याङ्कन सबैभन्दा कम प्राथमिकतामा रहेको निहित अस्वीकृतिसँग गरिन्छ, र त्यो नियमलाई प्याकेट इन्क्रिप्ट भएर आयो भन्ने वास्ता छैन। फायरवाल नियमले अन-प्रिमाइस दायरा र प्रयोगमा रहेको पोर्ट नाम नलिएसम्म प्याकेट डिक्रिप्ट हुन्छ, जाँचिन्छ र फालिन्छ। VPN लग सधैं सफा रहन्छ, किनकि टनेलले वाचा गरेको कुरा ठ्याक्कै गर्यो।

बरु टनेल चालु भएर प्रोबको समय सकिँदा फायरवाल अस्वीकृति लग पढ्नुहोस्, त्यसपछि नियमलाई स्रोत दायरा र आवश्यक पोर्टमा सीमित गर्नुहोस्:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

एउटा दिशा मात्र चल्नु फायरवालको संकेत हो

बहिर्गमन ट्राफिक फरक व्यवहार गर्छ, किनकि निहित अनुमति नियमले इन्स्ट्यान्सलाई जहाँ पनि पठाउन दिन्छ। VM सम्म पुग्न नसक्ने डेटा केन्द्र प्रायः अर्को दिशामा पूर्ण रूपमा काम गर्ने बहिर्गमन मार्गको पछाडि हुन्छ। यो असमानताले फायरवालको छुटलाई राउटिङ खराबीबाट अलग गर्छ, किनकि राउटिङ खराबीले दुवै दिशा एकैचोटि तोड्छ। अर्को नियम सम्पादन गर्नुअघि उल्टो दिशा परीक्षण गर्नुहोस्।

ठेगाना सिर्जना पनि कोटा कार्य हो। प्रयोगमा रहेका बाह्य ठेगानाको सीमानजिकको परियोजनाले जडानलाई अनुमति असफलता जस्तो पढिने त्रुटिसँग अस्वीकार गर्छ।

सेलेक्टर, कोटा, त्यसपछि चार जाँच

कन्सोलमा बनाइएका टनेलले कहिलेकाहीँ gcloud compute vpn-tunnels describe बाट खाली टाढाको ट्राफिक सेलेक्टर फर्काउँछन्, जबकि उत्पन्न रुटहरूले ट्राफिक ठीकसँग बोक्छन्। टनेल गलत छ भनी निर्णय गर्नुअघि API ले अभिलेख गर्ने कुरालाई तपाईंले वास्तवमा सुरक्षित गर्ने दायरासँग तुलना गर्नुहोस्। API वा SDK मार्फत बनाउँदा सेलेक्टर स्पष्ट रहन्छ।

कोटा अर्को सजिलो छुट हो। मर्मत विन्डोभन्दा अघि वृद्धि माग्नुहोस्, त्यसको समयमा होइन, र गेटवे भएकै परियोजनामा ठेगानाको संख्या जाँच्नुहोस्।

बाहिरबाट भित्र काम गर्नुहोस्: पियर स्थिति, दुवै सेलेक्टर सूची, प्रत्येक पक्षका लागि एक रुट, स्रोत दायरा र पोर्टका लागि आगमन नियम, त्यसपछि प्याकेट क्याप्चर। टनेल नयाँ हुँदै गेटवे ठेगाना, दुवै सेलेक्टर सूची र राउटिङ प्रकार परिवर्तन टिकटमा लेख्नुहोस्, किनकि सबनेट थप्ने अर्को इन्जिनियरलाई तीनवटै चाहिन्छ।

सम्बन्धित लेखहरू