GCP Cloud VPN: skontrolujte bránu, tunel a firewall v tomto poradí

Tunel, ktorý hlási stav vytvorený, zatiaľ čo každá kontrola vyprší, zvyčajne nemá pravidlo firewallu vo VPC. Skontrolujte bránu, selektory a typ smerovania v tomto poradí.

Vaša konzola ukazuje zelený tunel, miestne monitorovanie stále nedosiahne ani jednu inštanciu a prestavba tunela vyzerá ako zrejmé riešenie. Málokedy ním je. Vytvorený tunel dokazuje len to, že dve brány dokončili výmenu IKE. Nehovorí nič o tom, či bol paket niekedy vpustený do vašej VPC.

Medzi tou zelenou ikonou a odpoveďou stoja štyri rozhodnutia a zlyhávajú v predvídateľnom poradí. Začnite tým najlacnejším.

Tri objekty a len jeden z nich šifruje

Brána VPN vlastní externú adresu, na ktorú šifruje váš partner. V konzole ju nikdy nevytvárate ručne: vyberte alebo rezervujte adresu vo formulári pripojenia a brána sa objaví s ňou. Brána HA zaberá dve adresy na dvoch rozhraniach, čo sa hodí pri kontrole kvót neskôr.

Tunel je spárovanie medzi touto bránou a partnerom. Nesie zdieľané tajomstvo a selektory prevádzky, ktoré sľubuje chrániť. Práve v týchto selektoroch začína väčšina tichých porúch. Tunel, ktorého miestny selektor pokrýva 10.0.0.0/24, nedoručí 10.0.1.0/24, nech vyzerá stav akokoľvek zdravo.

Vzdialená strana si drží vlastný zoznam, zvyčajne nazývaný šifrovacia doména, a terminujúci hardvér ho porovnáva s vaším. Žiadna strana nevyjednáva selektor, ktorý jej nikdy nebol daný.

Typ smerovania určuje, čo sa dostane do smerovacej tabuľky

Cloud VPN ponúka tri tvary smerovania a tie sa nemiešajú čisto. Smerovanie založené na zásadách drží statické dvojice selektorov, smerovanie založené na trasách očakáva, že statické trasy pridáte sami, a dynamické smerovanie inzeruje prefixy cez Cloud Router pomocou BGP. Vyberte jeden zámerne.

Dynamický tunel s ručne napísanými statickými trasami vedľa seba vytvára smerovaciu tabuľku, ktorá sa vyprázdni vždy, keď BGP relácia zakolíše.

Dynamické je jediný tvar, ktorý dovoľuje chráneným prefixom meniť sa bez prestavby tunela, a vtiahne Cloud Router do množiny objektov, ktoré musíte overiť. Statické selektory zostávajú použiteľné, keď je partner hardvérový firewall, ktorý nevie hovoriť BGP. Potom oba konce potrebujú rovnaké rozsahy a konkrétnejší záznam musí zvíťaziť na oboch. Dvojica, ktorá sa rozchádza o jednu podsiete, sa vytvorí a potom nesie polovicu vašej prevádzky.

Implicitné zamietnutie sedí za tunelom

Prichádzajúca prevádzka sa vyhodnocuje proti implicitnému zamietnutiu s najnižšou prioritou a toto pravidlo nezaujíma, že paket dorazil zašifrovaný. Kým pravidlo firewallu nepomenuje miestny rozsah a používaný port, paket sa dešifruje, prehliadne a zahodí. Protokol VPN zostáva celý čas čistý, pretože tunel urobil presne to, čo sľúbil.

Namiesto toho čítajte protokol zamietnutí firewallu, keď je tunel aktívny a kontrola vyprší, a potom obmedzte pravidlo na zdrojový rozsah a porty, ktoré potrebujete:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Fungovanie jedného smeru je stopa firewallu

Odchádzajúca prevádzka sa správa inak, pretože implicitné pravidlo povolenia necháva inštancie odosielať kamkoľvek. Dátové centrum, ktoré nedosiahne VM, často stojí za dokonale fungujúcou odchádzajúcou cestou v opačnom smere. Táto asymetria oddeľuje opomenutie firewallu od poruchy smerovania, pretože porucha smerovania preruší oba smery naraz. Otestujte opačný smer, kým upravíte ďalšie pravidlo.

Vytvorenie adresy je tiež kvótová operácia. Projekt blízko svojho limitu používaných externých adries odmietne pripojenie s chybou, ktorá znie ako zlyhanie oprávnení.

Selektory, kvóty, potom štyri kontroly

Tunely vytvorené v konzole niekedy vracajú prázdny vzdialený selektor prevádzky z gcloud compute vpn-tunnels describe, zatiaľ čo generované trasy nesú prevádzku správne. Porovnajte, čo API zaznamenáva, s rozsahmi, ktoré skutočne chránite, kým usúdite, že tunel je nesprávny. Vytvorenie cez API alebo SDK udrží selektor explicitný.

Kvóty sú ďalšie ľahké opomenutie. Požiadajte o navýšenie pred oknom údržby, nie počas neho, a skontrolujte počet adries v tom istom projekte ako brána.

Pracujte zvonku dovnútra: stav partnera, oba zoznamy selektorov, trasa pre každú stranu, pravidlo prichádzajúcej prevádzky pre zdrojový rozsah a port, potom zachytávanie paketov. Zapíšte adresu brány, oba zoznamy selektorov a typ smerovania do tiketu zmeny, kým je tunel nový, pretože ďalší inžinier, ktorý pridá podsiete, bude potrebovať všetky tri.

Súvisiace články