Cloud VPN ته GCP VM: داخلي IP وکاروئ، نه NAT IP
د ګیټ وې مخکی ټکی، د VM داخلي پته او بهرنۍ یوه-په-یوه NAT پته درې بېلابېلې دندې لري. وګورئ چې ستاسو لاره کومه کاروي.
کله چې یو محلي شبکه د Cloud VPN له لارې VPC ته ورسیږي، د Compute Engine خدمت لپاره منزل معمولاً د VM داخلي پته وي. بهرنۍ IPv4 پته هغه دوهمه پته نه ده چې تاسو یې په هماغه خصوصي لاره کې ځای پرځای کړای شئ. په دې برخه کې ډېره ګډوډي له دې څخه راځي چې د درېیو دندو درې پتې د یو بل پر ځای د کارېدونکو په توګه ګڼل کیږي، نو له دې سره پیل وکړئ چې نوم یې واخلئ کومه یوه یو ورکړل شوی پاکټ کاروي.
درې پتې، درې دندې
د دوی له جملې هر یو د ډیبګ کولو دمخه درې واړه ونوموئ، ځکه چې ځواب هغه څیز بدلوي چې تاسو به یې بل وګورئ.
| Address | Job |
|---|---|
| Cloud VPN endpoint | where the IPsec peers meet |
| Internal IP | the address your route and firewall must name |
| External IPv4 | the platform's inbound mapping, not a guest address |
لومړی د تونل دی. دوهم ستاسو د لارې او فایر وال ډیزاین دی. دریم د راتلونکي انټرنیټ لاسرسي دی او نقشه کیږي، نه نښلول کیږي. هغه ډیزاین چې د دوی له یوه لپاره کار کوي د نورو دوه په اړه هیڅ نه وایي.
ولې بهرنۍ پته دوهم انټرفیس نه ده
د پتو لارښود د دې لپاره واکمن دی چې په Compute Engine کې داخلي او بهرنۍ لاسرسي څنګه توپیر لري. په Compute Engine کې بهرنۍ IPv4 د انسټانس پر یوازیني داخلي NIC یوه-په-یوه نقشه ده، نو مېلمه په هغه NIC کې هېڅکله دوهم انټرفیس یا دوهمه پته نه ګوري. هغه څه چې VM له داخل څخه راپور ورکوي لا هم یوه اصلي داخلي پته ده.
نو ځکه یو خصوصي کلاینټ چې د تونل له لارې 10.24.1.7 ته لارښوونه کوي، او یو کلاینټ چې د VM بهرنۍ پته په نښه کوي په بېلابېلو لارو کې دي. د عامې پتې لپاره د فایر وال قاعده پرانیستل په هغه VPC لاره کې هیڅ نه بدلوي چې باید د تونل ترافیک وړي، او په مېلمه کې د لارې سمول د پلیټ فارم نقشه نه خوځوي. هغه پته غوره کړئ چې ستاسو لاره یې نوم اخلي، بیا یوازې هغه څیزونه وګورئ چې هغه کنټرولوي. دا نظم د دې ستونزې حل لارې څخه ډېر اټکل لرې کوي.
لاره د gcloud سره ووهئ
له انسټانس څخه پیل کړئ او دواړه پتې له هماغه یوه څیز څخه ولولئ، ترڅو پوه شئ چې ستاسو سند د کومې په اړه خبرې کوي:
gcloud compute instances describe app-1 --zone=europe-west1-b \
--format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"بیا هغه لارښوونه او اجازه تایید کړئ چې لاره واقعاً پرې تکیه ده:
gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1د تونل اعلان شوي او زده شوي حدونه ولولئ, د کاري بار د فرعي شبکې لپاره VPC لاره، او هغه فایر وال قاعده چې محلي سرچینې ته اجازه ورکوي. مېلمه کې اورېدونکی د اړوند کېدو دمخه باید دا درې سره سمون ولري.
بیا مېلمه وګورئ: ایا خدمت په داخلي پته اورېدل کوي، او ایا د هغه د بیرته راستنیدو لاره بیا د VPC له لارې ځي؟ یوازې په عامه پته تړل شوی اورېدونکی به په دې ازموینه کې پاتې شي حتی کله چې د ورېځې اړخ هر څیز سم وي.
عامه مختګ یو بل پوښتنه ده
پورتنیو څخه هیڅ یو دا نه وایي چې د VPN په داخل کې وړل کیږي هر پته باید RFC1918 وي. لرې شبکه کولای شي په قانوني ډول له عامه فضا څخه شمېره شي، په دې شرط چې پلیټ فارم لارښوونه ملاتړ کوي او آپریټر د پتې واک لري. دا یو نورمال ډیزاین انتخاب دی.
دا د یوې عادي بهرنۍ NAT پتې سره د بلې داخلي فرعي شبکې پتې په څېر چلند کول نه دي. یوه مختګ ده چې تاسو یې لاره ښیئ؛ بله نقشه ده چې پلیټ فارم پر راتلونکي لاسرسي پلي کوي.
بهرنۍ IPv6 او په ځانګړي ډول جوړ شوي پته ترتیبات خپله معنویت لري. که ستاسو پلان پر یوه له دوی تکیه وي، د IPv4 قضیې څخه عمومي کولو پرځای د هغه ځانګړتیا لپاره د پلیټ فارم سند ولولئ. د IPv4 نقشه عادي قضیه ده، نه یوازینې، او هر استثنا خپل قواعد لري.
یو بل پر بل پریوتل شوي حدونه بله ستونزه ده
یو بل پر بل پریوتل شوي خصوصي حدونه یو ریښتینی دلیل دی چې ولې خلک عامې پتې ته ورځي، او دا غلط اوزار دی. منزل د VM NAT پتې ته بدلول پریوتنه نه حلوې؛ دا بدلوي چې پاکټ د کومې پتې لپاره دی ادعا کوي، پرته له دې چې د بیرته راستنیدو لاره څنګه کار کوي تعریف کړي.
پریوتنه په قصد حل کړئ: بیا شمېره کړئ، ملاتړ شوی ژباړې ډیزاین وکاروئ، یا د هغې شبکې له لارې لاره وښیئ چېرې چې مختګونه نه ټکر کیږي. له دې هر یو څخه د مالک سره ډیزاین دی. NAT پته ډیزاین نه ده.
دواړه ساحې جلا جلا سند کړئ
د تونل ملګری او د کاري بار منزل د دوو جلا runbook ساحو په توګه ثبت کړئ، هر یو د هغه لارې او فایر وال قاعدې سره چې ملاتړ یې کوي. پورته راتلونکی IPsec تونل یوازې دا وایي چې خواوې سره موافقې دي؛ د دې په اړه هیڅ نه وایي چې کاري بار پر کومه پته لاسرسي لري، او نه دا چې ایا د هغه خصوصي لاره بشپړه ده.
په بله خوا کې د یو ریښتیني کلاینټ سره تایید کړئ: نوم حل کړئ، تایید کړئ چې داخلي پته بیرته راګرځوي، نښلئ او د بیرته راستنیدو ترافیک وګورئ. د Compute Engine IP پتو سند د پورته کارول شوي داخلي-په-مقابل-بهرني توپیر لپاره مرجع دی.