GCP Cloud VPN: kontroller gateway, tunnel og brannmur i rett rekkjefølgje

Ein tunnel som melder at han er etablert medan kvar sondering renn ut, manglar vanlegvis ei VPC-brannmurregel. Kontroller gateway, selektorar og rutetype i den rekkjefølgja.

Konsollen din viser ein grøn tunnel, overvaking på staden når framleis ikkje ein einaste instans, og å byggje tunnelen på nytt ser ut som den openberre løysinga. Det er han sjeldan. Ein etablert tunnel beviser berre at to gatewayar fullførte IKE-utvekslinga. Han seier ingenting om ein pakke nokon gong vart sleppt inn i VPC-en din.

Fire avgjerder står mellom det grøne ikonet og eit svar, og dei feilar i ei føreseieleg rekkjefølgje. Tak dei billegaste først.

Tre objekt, og berre eitt av dei krypterer

Ein VPN-gateway eig den eksterne adressa som peeren din krypterer til. I konsollen opprettar du henne aldri manuelt: vel eller reserver ei adresse i tilkoplingsskjemaet, og gatewayen dukkar opp med henne. Ein HA-gateway tek to adresser på to grensesnitt, noko som tel ved kvotekontrollen seinare.

Ein tunnel er pardanninga mellom den gatewayen og peeren. Han ber den delte hemmelegheita og trafikkselektorane han lovar å verne. Det er i desse selektorane dei fleste stille feila byrjar. Ein tunnel der den lokale selektoren dekkjer 10.0.0.0/24, leverer ikkje 10.0.1.0/24, same kor sunn statusen ser ut.

Den fjerne enden held si eiga liste, vanlegvis kalla eit krypteringsdomene, og maskinvara som terminerer samanliknar henne med di. Ingen side forhandlar om ein selektor ho aldri har fått.

Rutetypen avgjer kva som når rutetabellen

Cloud VPN tilbyr tre ruteformer, og dei blandar seg ikkje reint. Politikkbasert ruting held på dei statiske selektorpara, rutebasert ruting ventar at du legg til statiske ruter sjølv, og dynamisk ruting annonserer prefiks gjennom ein Cloud Router over BGP. Vel éin med vilje.

Ein dynamisk tunnel med handskrivne statiske ruter ved sida gir ein rutetabell som tømmest kvar gong BGP-økta vippar.

Dynamisk er den einaste forma som lèt dei verna prefiksa endre seg utan å byggje tunnelen på nytt, og ho dreg Cloud Router inn i settet med objekt du må stadfeste. Statiske selektorar held seg brukbare når peeren er ein maskinvarebrannmur som ikkje kan snakke BGP. Då treng begge endar dei same områda, og den meir spesifikke oppføringa må vinne på begge. Eit par som er usamde om eitt subnett, etablerest og ber deretter halvparten av trafikken din.

Den implisitte nektinga sit bak tunnelen

Inngåande trafikk vert vurdert mot ei implisitt nekting med lågast prioritet, og den regelen bryr seg ikkje om at pakken kom kryptert. Inntil ei brannmurregel namngjev området på staden og porten som vert brukt, vert pakken dekryptert, inspisert og droppa. VPN-loggen held seg rein heile vegen, fordi tunnelen gjorde nøyaktig det han lova.

Les i staden avvisingsloggen til brannmuren når tunnelen er oppe og sonderinga renn ut, og avgrens deretter ei regel til kjeldeområdet og portane du treng:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

At éin retning verkar er eit brannmurspor

Utgåande trafikk oppfører seg annleis, fordi den implisitte løyveregelen lèt instansar sende kvar som helst. Eit datasenter som ikkje når ein VM, sit ofte bak ein perfekt fungerande utgåande veg i den andre retninga. Den asymmetrien skil ei brannmuruting frå ein rutefeil, sidan ein rutefeil bryt begge retningane på éin gong. Test den motsette retninga før du redigerer endå ei regel.

Oppretting av adresser er òg ein kvoteoperasjon. Eit prosjekt nær grensa for eksterne adresser i bruk avviser tilkoplinga med ein feil som høyrest ut som ein løyvefeil.

Selektorar, kvoter, så dei fire kontrollane

Tunnelar oppretta i konsollen returnerer stundom ein tom ekstern trafikkselektor frå gcloud compute vpn-tunnels describe, medan genererte ruter ber trafikken rett. Samanlikn det API-et registrerer med områda du faktisk vernar, før du konkluderer med at tunnelen er feil. Å opprette han via API eller SDK held selektoren eksplisitt.

Kvoter er den andre enkle utelatinga. Be om auken før vedlikehalsvindauget, ikkje under det, og kontroller adressetalet i same prosjekt som gatewayen.

Arbeid utanfrå og inn: peer-status, begge selektorlistene, ei rute for kvar side, ei inngåande regel for kjeldeområdet og porten, deretter ein pakkefangst. Skriv gatewayadressa, begge selektorlistene og rutetypen i endringsbilletten medan tunnelen er ny, fordi den neste ingeniøren som legg til eit subnett, treng alle tre.

Relaterte artiklar