GCP Cloud VPN: ګیټوې، ټانل او فایر وال په ترتیب سره وګورئ

ستاسو کنسول یو شنه ټانل ښیي، په ځای کې څارنه لا هم یوې نمونې ته نه رسېږي، او د ټانل بیا جوړول روښانه حل ښکاري. خو دا نادر وي. جوړ شوی ټانل یوازې دا ثابتوي چې دوه ګیټوې د IKE تبادله بشپړه کړې. دا هېڅ نه وایي چې ایا پاکټ کله ستاسو VPC ته د ننوتلو اجازه درلوده که نه.

د هغې شنې نښې او ځواب ترمنځ څلور پرېکړې دي، او دوی په وړاندوینه کېدونکي ترتیب کې ناکامېږي. له ترټولو ارزانه پیل وکړئ.

درې شیان، او یوازې یو یې کوډ کوي

VPN ګیټوې هغه بهرنی پته لري چې ستاسو همکار ورته کوډ کوي. په کنسول کې تاسو هغه هېڅکله په لاس نه جوړوئ: د اړیکې فورمې دننه پته وټاکئ یا یې وساتئ او ګیټوې ورسره ښکاري. HA ګیټوې په دوه انټرفېسونو کې دوه پتې اخلي، چې وروسته د کوانټا په ګوته کې مهم دي.

ټانل د هغې ګیټوې او همکار ترمنځ جوړه ده. دا شریکه پټه او هغه ترافیکي ټاکونکي لېږدوي چې د ساتنې ژمنه یې کوي. ډېری غږ نه لرونکي ناکامۍ له همدې ټاکونکو پیلېږي. هغه ټانل چې ځاینی ټاکونکی یې 10.0.0.0/24 پوښي، 10.0.1.0/24 نه رسوي، هرڅومره چې حالت روغ ښکاري.

لرې اړخ خپله لیست ساتي، چې معمولاً د کوډ کولو ډومین بلل کېږي، او پای ته رسولونکی هارډویر هغه ستاسو سره پرتله کوي. هېڅ اړخ د داسې ټاکونکي په اړه خبرې نه کوي چې هغه ته هېڅکله نه دی ورکړل شوی.

د لارښوونې ډول پرېکړه کوي چې څه د لارې جدول ته رسېږي

Cloud VPN درې شکله لارښوونه وړاندې کوي او دوی په پاکه توګه نه ګډېږي. د تګلارې پر بنسټ لارښوونه ثابتې ټاکونکې جوړې ساتي، د لارې پر بنسټ لارښوونه تمه لري چې تاسو پخپله ثابتې لارې اضافه کړئ، او متحرک لارښوونه د BGP له لارې د Cloud Router له مخې مخکښې اعلانوي. په قصد یوه وټاکئ.

متحرک ټانل چې څنګ ته یې په لاس لیکل شوې ثابتې لارې وي، داسې د لارې جدول جوړوي چې هرکله چې BGP ناسته وخوځېږي خالي شي.

متحرک یوازینی شکل دی چې ساتل شوې مخکښې پرته له دې چې ټانل بیا جوړ شي بدلېدلی شي، او Cloud Router ته هغه شیانو ته کش کوي چې باید یې تایید کړئ. ثابت ټاکونکي هغه وخت کار وړ پاتې کېږي چې همکار یو هارډویر فایر وال وي چې BGP نه شي ویلی. بیا دواړو سرونو ته ورته سیمې ته اړتیا وي، او ډېر ځانګړی داخل باید په دواړو وګټي. هغه جوړه چې په یوه فرعي شبکه کې توپیر لري جوړېږي او بیا ستاسو نیم ترافیک لېږدوي.

پټ انکار د ټانل شاته ناست دی

د ننوتلو ترافیک په ترټولو ټیټ لومړیتوب کې د پټ انکار پر وړاندې ارزول کېږي، او هغه قاعده پروا نه کوي چې پاکټ کوډ شوی راغی. تر هغه چې د فایر وال قاعده د ځای سیمه او کارېدونکی پورت ونوموي، پاکټ کوډ پرانیستل کېږي، څېړل کېږي او غورځول کېږي. د VPN ثبت په ټول وخت پاک پاتې کېږي، ځکه ټانل بالکل هغه څه وکړل چې ژمنه یې کړې وه.

پرځای یې د فایر وال د انکار ثبت ولولئ کله چې ټانل فعال وي او ازموینه وخت تېروي، بیا قاعده د سرچینې سیمې او اړینو پورتونو پورې محدوده کړئ:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

یوازې یو لوري کار کول د فایر وال نښه ده

وتلو ترافیک بل ډول چلند کوي، ځکه پټ اجازې قاعده نمونو ته اجازه ورکوي هرچېرته ولېږي. هغه ډیټا مرکز چې یو VM ته نه رسېږي، ډېری وخت په بل لوري کې په بشپړه توګه کار کوونکې وتلې لارې شاته وي. دا ناهمغږي د فایر وال له پریښودو د لارښوونې خرابۍ جلا کوي، ځکه د لارښوونې خرابي دواړه لوري یوځای ماتوي. د بلې قاعدې له سمون مخکې مخالف لوری وآزمویئ.

د پتې جوړول هم د کوانټا عملیه ده. هغه پروژه چې د کارېدونکو بهرنیو پتو حد ته نږدې وي، اړیکه د داسې تېروتنې سره ردوي چې د اجازې ناکامۍ په څېر لوستل کېږي.

ټاکونکي، کوانټا، بیا څلور ګوتې

په کنسول کې جوړ شوي ټانلونه کله ناکله له gcloud compute vpn-tunnels describe څخه خالي لرې ترافیکي ټاکونکی بېرته راګرځوي، پداسې حال کې چې جوړ شوي لارې ترافیک سم لېږدوي. د دې له مخکې چې ټانل غلط وبولئ، هغه څه چې API ثبتوي د هغو سیمو سره پرتله کړئ چې واقعاً یې ساتئ. د API یا SDK له لارې جوړول ټاکونکی ښکاره ساتي.

کوانټا بله اسانه پریښودنه ده. د ساتنې کړکۍ له مخکې زیاتوالی وغواړئ، نه د هغې په جریان کې، او د پتو شمېر په هغه پروژه کې وګورئ چې ګیټوې پکې ده.

له بهر څخه دننه کار وکړئ: د همکار حالت، دواړه ټاکونکي لیستونه، د هر اړخ لپاره یوه لار، د سرچینې سیمې او پورت لپاره د ننوتلو قاعده، بیا د پاکټ نیول. تر هغه چې ټانل نوی دی د ګیټوې پته، دواړه ټاکونکي لیستونه او د لارښوونې ډول د بدلون ټیکټ کې ولیکئ، ځکه بل انجینر چې فرعي شبکه اضافه کوي درې واړه ته اړتیا لري.