GCP Cloud VPN: ਗੇਟਵੇ, ਟਨਲ ਅਤੇ ਫਾਇਰਵਾਲ ਕ੍ਰਮ ਵਿੱਚ ਜਾਂਚੋ

ਤੁਹਾਡਾ ਕੰਸੋਲ ਹਰਾ ਟਨਲ ਦਿਖਾਉਂਦਾ ਹੈ, ਸਾਈਟ 'ਤੇ ਨਿਗਰਾਨੀ ਅਜੇ ਵੀ ਇੱਕ ਵੀ ਇੰਸਟੈਂਸ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦੀ, ਅਤੇ ਟਨਲ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਸਪੱਸ਼ਟ ਹੱਲ ਜਾਪਦਾ ਹੈ। ਪਰ ਅਜਿਹਾ ਘੱਟ ਹੀ ਹੁੰਦਾ ਹੈ। ਸਥਾਪਿਤ ਟਨਲ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਦੋ ਗੇਟਵੇ ਨੇ IKE ਅਦਲ-ਬਦਲ ਪੂਰਾ ਕੀਤਾ। ਇਹ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ ਕਿ ਕਿਸੇ ਪੈਕਟ ਨੂੰ ਕਦੇ ਤੁਹਾਡੇ VPC ਵਿੱਚ ਆਉਣ ਦਿੱਤਾ ਗਿਆ ਸੀ ਜਾਂ ਨਹੀਂ।

ਉਸ ਹਰੇ ਆਈਕਨ ਅਤੇ ਜਵਾਬ ਵਿਚਕਾਰ ਚਾਰ ਫੈਸਲੇ ਹਨ, ਅਤੇ ਉਹ ਅਨੁਮਾਨਿਤ ਕ੍ਰਮ ਵਿੱਚ ਫੇਲ ਹੁੰਦੇ ਹਨ। ਸਭ ਤੋਂ ਸਸਤੇ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ।

ਤਿੰਨ ਆਬਜੈਕਟ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ

VPN ਗੇਟਵੇ ਉਸ ਬਾਹਰੀ ਪਤੇ ਦਾ ਮਾਲਕ ਹੈ ਜਿਸ 'ਤੇ ਤੁਹਾਡਾ ਪੀਅਰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ. ਕੰਸੋਲ ਵਿੱਚ ਤੁਸੀਂ ਇਸਨੂੰ ਕਦੇ ਹੱਥ ਨਾਲ ਨਹੀਂ ਬਣਾਉਂਦੇ: ਕਨੈਕਸ਼ਨ ਫਾਰਮ ਦੇ ਅੰਦਰ ਪਤਾ ਚੁਣੋ ਜਾਂ ਰਾਖਵਾਂ ਕਰੋ ਅਤੇ ਗੇਟਵੇ ਉਸਦੇ ਨਾਲ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ। HA ਗੇਟਵੇ ਦੋ ਇੰਟਰਫੇਸ 'ਤੇ ਦੋ ਪਤੇ ਲੈਂਦਾ ਹੈ, ਜੋ ਬਾਅਦ ਵਿੱਚ ਕੋਟਾ ਜਾਂਚ ਵਿੱਚ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ।

ਟਨਲ ਉਸ ਗੇਟਵੇ ਅਤੇ ਪੀਅਰ ਵਿਚਕਾਰ ਜੋੜੀ ਹੈ। ਇਹ ਸਾਂਝਾ ਭੇਤ ਅਤੇ ਉਹ ਟ੍ਰੈਫਿਕ ਸਿਲੈਕਟਰ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦੀ ਸੁਰੱਖਿਆ ਦਾ ਵਾਅਦਾ ਕਰਦਾ ਹੈ। ਉਨ੍ਹਾਂ ਸਿਲੈਕਟਰਾਂ ਤੋਂ ਹੀ ਬਹੁਤੀਆਂ ਚੁੱਪ ਫੇਲ੍ਹਤਾਵਾਂ ਸ਼ੁਰੂ ਹੁੰਦੀਆਂ ਹਨ। ਜਿਸ ਟਨਲ ਦਾ ਸਥਾਨਕ ਸਿਲੈਕਟਰ 10.0.0.0/24 ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ, ਉਹ ਸਥਿਤੀ ਕਿੰਨੀ ਵੀ ਸਿਹਤਮੰਦ ਦਿਖੇ, 10.0.1.0/24 ਨਹੀਂ ਪਹੁੰਚਾਏਗਾ।

ਦੂਰ ਦਾ ਸਿਰਾ ਆਪਣੀ ਸੂਚੀ ਰੱਖਦਾ ਹੈ, ਜਿਸਨੂੰ ਆਮ ਤੌਰ 'ਤੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਡੋਮੇਨ ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਟਰਮੀਨੇਟ ਕਰਨ ਵਾਲਾ ਹਾਰਡਵੇਅਰ ਇਸਦੀ ਤੁਹਾਡੀ ਨਾਲ ਤੁਲਨਾ ਕਰਦਾ ਹੈ। ਕੋਈ ਵੀ ਧਿਰ ਅਜਿਹੇ ਸਿਲੈਕਟਰ 'ਤੇ ਗੱਲਬਾਤ ਨਹੀਂ ਕਰਦੀ ਜੋ ਉਸਨੂੰ ਕਦੇ ਦਿੱਤਾ ਹੀ ਨਹੀਂ ਗਿਆ।

ਰਾਊਟਿੰਗ ਕਿਸਮ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਰਾਊਟ ਟੇਬਲ ਤੱਕ ਕੀ ਪਹੁੰਚਦਾ ਹੈ

Cloud VPN ਤਿੰਨ ਰਾਊਟਿੰਗ ਆਕਾਰ ਦਿੰਦਾ ਹੈ ਅਤੇ ਉਹ ਸਾਫ਼-ਸੁਥਰੇ ਨਹੀਂ ਮਿਲਦੇ। ਨੀਤੀ-ਆਧਾਰਿਤ ਰਾਊਟਿੰਗ ਸਥਿਰ ਸਿਲੈਕਟਰ ਜੋੜੀਆਂ ਰੱਖਦੀ ਹੈ, ਰੂਟ-ਆਧਾਰਿਤ ਰਾਊਟਿੰਗ ਤੁਹਾਡੇ ਤੋਂ ਖੁਦ ਸਥਿਰ ਰੂਟ ਜੋੜਨ ਦੀ ਉਮੀਦ ਕਰਦੀ ਹੈ, ਅਤੇ ਗਤੀਸ਼ੀਲ ਰਾਊਟਿੰਗ BGP ਉੱਤੇ Cloud Router ਰਾਹੀਂ ਪ੍ਰੀਫਿਕਸ ਦਾ ਐਲਾਨ ਕਰਦੀ ਹੈ। ਜਾਣਬੁੱਝ ਕੇ ਇੱਕ ਚੁਣੋ।

ਪਾਸੇ ਹੱਥ ਨਾਲ ਲਿਖੇ ਸਥਿਰ ਰੂਟਾਂ ਵਾਲਾ ਗਤੀਸ਼ੀਲ ਟਨਲ ਅਜਿਹੀ ਰਾਊਟ ਟੇਬਲ ਬਣਾਉਂਦਾ ਹੈ ਜੋ BGP ਸੈਸ਼ਨ ਹਿਲਣ 'ਤੇ ਖਾਲੀ ਹੋ ਜਾਂਦੀ ਹੈ।

ਗਤੀਸ਼ੀਲ ਹੀ ਇੱਕੋ ਆਕਾਰ ਹੈ ਜੋ ਟਨਲ ਦੁਬਾਰਾ ਬਣਾਏ ਬਿਨਾਂ ਸੁਰੱਖਿਅਤ ਪ੍ਰੀਫਿਕਸ ਬਦਲਣ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਹ Cloud Router ਨੂੰ ਤੁਹਾਡੇ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਵਾਲੇ ਆਬਜੈਕਟਾਂ ਦੇ ਸਮੂਹ ਵਿੱਚ ਖਿੱਚ ਲਿਆਉਂਦਾ ਹੈ। ਜਦੋਂ ਪੀਅਰ ਅਜਿਹਾ ਹਾਰਡਵੇਅਰ ਫਾਇਰਵਾਲ ਹੋਵੇ ਜੋ BGP ਨਹੀਂ ਬੋਲ ਸਕਦਾ, ਤਾਂ ਸਥਿਰ ਸਿਲੈਕਟਰ ਕੰਮ ਦੇਂਦੇ ਰਹਿੰਦੇ ਹਨ। ਤਦ ਦੋਵੇਂ ਸਿਰਿਆਂ ਨੂੰ ਇੱਕੋ ਰੇਂਜਾਂ ਚਾਹੀਦੀਆਂ ਹਨ, ਅਤੇ ਵਧੇਰੇ ਖਾਸ ਐਂਟਰੀ ਨੂੰ ਦੋਵਾਂ ਪਾਸੇ ਜਿੱਤਣਾ ਪਵੇਗਾ। ਇੱਕ ਸਬਨੈੱਟ ਨਾਲ ਵੱਖਰੀ ਜੋੜੀ ਸਥਾਪਿਤ ਹੁੰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਤੁਹਾਡਾ ਅੱਧਾ ਟ੍ਰੈਫਿਕ ਢੋਂਦੀ ਹੈ।

ਅਣਕਹੀ ਨਾ-ਮਨਜ਼ੂਰੀ ਟਨਲ ਦੇ ਪਿੱਛੇ ਬੈਠੀ ਹੈ

ਆਉਂਦੇ ਟ੍ਰੈਫਿਕ ਦਾ ਮੁਲਾਂਕਣ ਸਭ ਤੋਂ ਘੱਟ ਤਰਜੀਹ ਵਾਲੀ ਅਣਕਹੀ ਨਾ-ਮਨਜ਼ੂਰੀ ਵਿਰੁੱਧ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਉਸ ਨਿਯਮ ਨੂੰ ਇਸ ਗੱਲ ਦੀ ਪਰਵਾਹ ਨਹੀਂ ਕਿ ਪੈਕਟ ਐਨਕ੍ਰਿਪਟ ਹੋ ਕੇ ਆਇਆ। ਜਦ ਤੱਕ ਕੋਈ ਫਾਇਰਵਾਲ ਨਿਯਮ ਸਾਈਟ ਦੀ ਰੇਂਜ ਅਤੇ ਵਰਤੋਂ ਵਿੱਚ ਪੋਰਟ ਦਾ ਨਾਮ ਨਹੀਂ ਲੈਂਦਾ, ਪੈਕਟ ਡੀਕ੍ਰਿਪਟ ਹੁੰਦਾ ਹੈ, ਜਾਂਚਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਸੁੱਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। VPN ਲਾਗ ਹਰ ਸਮੇਂ ਸਾਫ਼ ਰਹਿੰਦੀ ਹੈ, ਕਿਉਂਕਿ ਟਨਲ ਨੇ ਠੀਕ ਉਹੀ ਕੀਤਾ ਜਿਸਦਾ ਵਾਅਦਾ ਕੀਤਾ ਸੀ।

ਇਸਦੀ ਥਾਂ ਜਦੋਂ ਟਨਲ ਚੱਲ ਰਿਹਾ ਹੋਵੇ ਅਤੇ ਪ੍ਰੋਬ ਦਾ ਸਮਾਂ ਖਤਮ ਹੋਵੇ ਤਾਂ ਫਾਇਰਵਾਲ ਇਨਕਾਰ ਲਾਗ ਪੜ੍ਹੋ, ਫਿਰ ਨਿਯਮ ਨੂੰ ਸਰੋਤ ਰੇਂਜ ਅਤੇ ਲੋੜੀਂਦੇ ਪੋਰਟਾਂ ਤੱਕ ਸੀਮਤ ਕਰੋ:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

ਇੱਕ ਦਿਸ਼ਾ ਦਾ ਚੱਲਣਾ ਫਾਇਰਵਾਲ ਦਾ ਸੰਕੇਤ ਹੈ

ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਅਣਕਹੀ ਇਜਾਜ਼ਤ ਨਿਯਮ ਇੰਸਟੈਂਸਾਂ ਨੂੰ ਕਿਤੇ ਵੀ ਭੇਜਣ ਦਿੰਦਾ ਹੈ। ਜੋ ਡੇਟਾ ਸੈਂਟਰ ਕਿਸੇ VM ਤੱਕ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦਾ, ਉਹ ਅਕਸਰ ਦੂਜੀ ਦਿਸ਼ਾ ਵਿੱਚ ਪੂਰੀ ਤਰ੍ਹਾਂ ਕੰਮ ਕਰਨ ਵਾਲੇ ਬਾਹਰੀ ਮਾਰਗ ਦੇ ਪਿੱਛੇ ਹੁੰਦਾ ਹੈ। ਇਹ ਅਸਮਾਨਤਾ ਫਾਇਰਵਾਲ ਦੀ ਖੁੰਝੀ ਨੂੰ ਰਾਊਟਿੰਗ ਖਰਾਬੀ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ, ਕਿਉਂਕਿ ਰਾਊਟਿੰਗ ਖਰਾਬੀ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਨੂੰ ਇਕੱਠੇ ਤੋੜਦੀ ਹੈ। ਇੱਕ ਹੋਰ ਨਿਯਮ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਉਲਟੀ ਦਿਸ਼ਾ ਪਰਖੋ।

ਪਤਾ ਬਣਾਉਣਾ ਵੀ ਕੋਟਾ ਕਾਰਵਾਈ ਹੈ। ਵਰਤੋਂ ਵਿੱਚ ਬਾਹਰੀ ਪਤਿਆਂ ਦੀ ਸੀਮਾ ਦੇ ਨੇੜੇ ਦਾ ਪ੍ਰੋਜੈਕਟ ਕਨੈਕਸ਼ਨ ਨੂੰ ਇਜਾਜ਼ਤ ਫੇਲ੍ਹਤਾ ਵਰਗੀ ਪੜ੍ਹੀ ਜਾਣ ਵਾਲੀ ਗਲਤੀ ਨਾਲ ਇਨਕਾਰ ਕਰਦਾ ਹੈ।

ਸਿਲੈਕਟਰ, ਕੋਟਾ, ਫਿਰ ਚਾਰ ਜਾਂਚਾਂ

ਕੰਸੋਲ ਵਿੱਚ ਬਣੇ ਟਨਲ ਕਈ ਵਾਰ gcloud compute vpn-tunnels describe ਤੋਂ ਖਾਲੀ ਦੂਰਸਥ ਟ੍ਰੈਫਿਕ ਸਿਲੈਕਟਰ ਮੋੜਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਬਣੇ ਰੂਟ ਟ੍ਰੈਫਿਕ ਸਹੀ ਢੰਗ ਨਾਲ ਢੋਂਦੇ ਹਨ। ਟਨਲ ਗਲਤ ਹੈ ਅਜਿਹਾ ਫੈਸਲਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ API ਜੋ ਦਰਜ ਕਰਦੀ ਹੈ ਦੀ ਤੁਲਨਾ ਉਨ੍ਹਾਂ ਰੇਂਜਾਂ ਨਾਲ ਕਰੋ ਜਿਨ੍ਹਾਂ ਦੀ ਤੁਸੀਂ ਅਸਲ ਵਿੱਚ ਸੁਰੱਖਿਆ ਕਰਦੇ ਹੋ। API ਜਾਂ SDK ਰਾਹੀਂ ਬਣਾਉਣ ਨਾਲ ਸਿਲੈਕਟਰ ਸਪੱਸ਼ਟ ਰਹਿੰਦਾ ਹੈ।

ਕੋਟਾ ਦੂਜੀ ਸੌਖੀ ਖੁੰਝੀ ਹੈ। ਰੱਖ-ਰਖਾਅ ਵਿੰਡੋ ਤੋਂ ਪਹਿਲਾਂ ਵਾਧਾ ਮੰਗੋ, ਉਸ ਦੌਰਾਨ ਨਹੀਂ, ਅਤੇ ਗੇਟਵੇ ਵਾਲੇ ਉਸੇ ਪ੍ਰੋਜੈਕਟ ਵਿੱਚ ਪਤਿਆਂ ਦੀ ਗਿਣਤੀ ਜਾਂਚੋ।

ਬਾਹਰ ਤੋਂ ਅੰਦਰ ਕੰਮ ਕਰੋ: ਪੀਅਰ ਸਥਿਤੀ, ਦੋਵੇਂ ਸਿਲੈਕਟਰ ਸੂਚੀਆਂ, ਹਰ ਪਾਸੇ ਲਈ ਇੱਕ ਰੂਟ, ਸਰੋਤ ਰੇਂਜ ਅਤੇ ਪੋਰਟ ਲਈ ਆਉਣ ਵਾਲਾ ਨਿਯਮ, ਫਿਰ ਪੈਕਟ ਕੈਪਚਰ। ਟਨਲ ਨਵਾਂ ਹੁੰਦਿਆਂ ਹੀ ਗੇਟਵੇ ਪਤਾ, ਦੋਵੇਂ ਸਿਲੈਕਟਰ ਸੂਚੀਆਂ ਅਤੇ ਰਾਊਟਿੰਗ ਕਿਸਮ ਬਦਲਾਅ ਟਿਕਟ ਵਿੱਚ ਲਿਖੋ, ਕਿਉਂਕਿ ਸਬਨੈੱਟ ਜੋੜਨ ਵਾਲੇ ਅਗਲੇ ਇੰਜੀਨੀਅਰ ਨੂੰ ਤਿੰਨੇ ਚਾਹੀਦੇ ਹੋਣਗੇ।