GCP Cloud VPN: preverite prehod, tunel in požarni zid po vrsti

Tunel, ki poroča o vzpostavljenem stanju, medtem ko vsaka preveritev poteče, običajno nima pravila požarnega zidu v VPC. Preverite prehod, selektorje in vrsto usmerjanja v tem vrstnem redu.

Vaša konzola prikazuje zelen tunel, lokalno spremljanje še vedno ne doseže nobene instance, in ponovna izgradnja tunela se zdi očitna rešitev. Redko je. Vzpostavljen tunel dokazuje le, da sta dva prehoda dokončala izmenjavo IKE. Ne pove ničesar o tem, ali je bil paket kdaj spuščen v vaš VPC.

Med to zeleno ikono in odgovorom stojijo štiri odločitve in spodletijo v predvidljivem vrstnem redu. Začnite z najcenejšo.

Trije objekti in samo eden od njih šifrira

Prehod VPN ima zunanji naslov, v katerega šifrira vaš partner. V konzoli ga nikoli ne ustvarite ročno: v obrazcu povezave izberite ali rezervirajte naslov in prehod se pojavi z njim. Prehod HA zavzame dva naslova na dveh vmesnikih, kar šteje pri preverjanju kvot pozneje.

Tunel je seznanjanje med tem prehodom in partnerjem. Prenese skupno skrivnost in selektorje prometa, ki jih obljubi zaščititi. Prav v teh selektorjih se začne večina tihih okvar. Tunel, katerega lokalni selektor pokriva 10.0.0.0/24, ne bo dostavil 10.0.1.0/24, ne glede na to, kako zdravo je videti stanje.

Oddaljena stran vodi svoj seznam, običajno imenovan šifrirna domena, in zaključna strojna oprema ga primerja z vašim. Nobena stran se ne pogaja o selektorju, ki ga ni nikoli prejela.

Vrsta usmerjanja odloči, kaj pride v usmerjevalno tabelo

Cloud VPN ponuja tri oblike usmerjanja in ti se ne mešajo čisto. Usmerjanje na podlagi pravil ohrani statične pare selektorjev, usmerjanje na podlagi poti pričakuje, da boste statične poti dodali sami, dinamično usmerjanje pa oglašuje predpone prek Cloud Routerja po BGP. Izberite eno namerno.

Dinamičen tunel z ročno napisanimi statičnimi potmi ob njem ustvari usmerjevalno tabelo, ki se izprazni vsakič, ko zaniha seja BGP.

Dinamično je edina oblika, ki zaščitenim predponam omogoča spremembo brez ponovne izgradnje tunela, in potegne Cloud Router v množico objektov, ki jih morate preveriti. Statični selektorji ostanejo uporabni, ko je partner strojni požarni zid, ki ne zna govoriti BGP. Takrat oba konca potrebujeta enake obsege in bolj natančen vnos mora zmagati na obeh. Par, ki se razlikuje za eno podomrežje, se vzpostavi in nato nosi polovico vašega prometa.

Implicitna zavrnitev sedi za tunelom

Vhodni promet se ocenjuje glede na implicitno zavrnitev z najnižjo prioriteto in tega pravila ne zanima, da je paket prispel šifriran. Dokler pravilo požarnega zidu ne imenuje lokalnega obsega in uporabljenih vrat, se paket dešifrira, pregleda in zavrže. Dnevnik VPN ostane ves čas čist, ker je tunel naredil natanko to, kar je obljubil.

Namesto tega berite dnevnik zavrnitev požarnega zidu, ko je tunel aktiven in preveritev poteče, nato omejite pravilo na izvorni obseg in potrebna vrata:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Delovanje samo v eno smer je namig o požarnem zidu

Izhodni promet se obnaša drugače, ker implicitno pravilo dovoljenja pustí instancam pošiljati kamor koli. Podatkovni center, ki ne doseže VM, pogosto stoji za popolnoma delujočo izhodno potjo v drugo smer. Ta asimetrija loči spregled požarnega zidu od napake usmerjanja, ker napaka usmerjanja prekine obe smeri hkrati. Preizkusite nasprotno smer, preden uredite še eno pravilo.

Ustvarjanje naslovov je tudi kvotna operacija. Projekt blizu meje uporabljenih zunanjih naslovov zavrne povezavo z napako, ki se bere kot neuspeh dovoljenj.

Selektorji, kvote, nato štiri preveritve

Tuneli, ustvarjeni v konzoli, včasih vrnejo prazen oddaljeni selektor prometa iz gcloud compute vpn-tunnels describe, medtem ko ustvarjene poti pravilno prenašajo promet. Primerjajte, kaj zabeleži API, z obsegi, ki jih resnično ščitite, preden sklepate, da je tunel napačen. Ustvarjanje prek API ali SDK ohrani selektor ekspliciten.

Kvote so druga lahka spregled. Zaprosite za povečanje pred oknom vzdrževanja in ne med njim, ter preverite število naslovov v istem projektu kot prehod.

Delajte od zunaj navznoter: stanje partnerja, oba seznama selektorjev, pot za vsako stran, vhodno pravilo za izvorni obseg in vrata, nato zajem paketov. Zapišite naslov prehoda, oba seznama selektorjev in vrsto usmerjanja v zahtevek za spremembo, dokler je tunel nov, ker bo naslednji inženir, ki bo dodal podomrežje, potreboval vse tri.

Sorodni članki