GCP Classic VPN në Terraform: bëjeni tunelin të bazuar në rrugë

Plani zbatohet pastër, tuneli ngrihet dhe konsola e quan të bazuar në politika. Trafiku prapë nuk kalon, dhe kërkimi i një ndërprerësi të bazuar në rrugë në burimin Terraform nuk të çon askund sepse ai fushë nuk ekziston. Në Classic VPN, sjellja e bazuar në rrugë nuk është një modalitet që zgjedh. Është ajo që merr kur përzgjedhësi lokal i trafikut është 0.0.0.0/0, përzgjedhësit e largët listojnë rrjetet që vërtet dëshiron dhe një rrugë tregon tunelin. Tri gjëra, dhe etiketa ndjek.

Miti: një fushë modaliteti tuneli

Etiketa e konsolës pasqyron atë që API sheh në përzgjedhës. Asgjë në burim nuk thotë i bazuar në rrugë, prandaj nuk ka asgjë për të vendosur në e vërtetë.

Kërkimi i asaj fushe harxhon orën e parë të problemit, ndërsa leximi i vlerave të përzgjedhësve merr pesë minutat e fundit.

Çfarë do të thotë këtu i bazuar në rrugë

Google i dokumenton tunelët e bazuar në rrugë të Classic VPN si tunelë të bazuar në politika, përzgjedhësi lokal i të cilëve është 0.0.0.0/0. Emërtohen vetëm intervalet e largëta, dhe ana lokale trajtohet si çdo adresë. Prandaj shënuesi në konfigurimin tuaj është vlerë dhe jo modalitet. Shkruani të dy përzgjedhësit në mënyrë eksplicite dhe lexojini në daljen e planit:

local_traffic_selector  = ["0.0.0.0/0"]
remote_traffic_selector = ["10.20.0.0/16"]

Parashtesa e palës në atë fragment është ilustruese; forma është pjesa që ka rëndësi.

Rruga është një objekt më vete

Një objekt tuneli nuk instalon rrugë. Paketat mund të përputhen me politikën e tunelit dhe prapë të mos kenë ku të shkojnë, sepse kërcimi i radhës vendoset nga tabela e rrugëzimit të VPC. Rruga kërkon intervalin e destinacionit, rrjetin, tunelin si kërcim i radhës dhe një përparësi që fiton mbi çdo gjë më të gjerë. Nëse harrohet, merret një tunel që raporton i vendosur dhe një ping që nuk del kurrë nga VPC.

resource "google_compute_route" "office" {
  name                = "office-via-vpn"
  dest_range          = "10.20.0.0/16"
  network             = google_compute_network.vpc.name
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.to_office.id
  priority            = 1000
}

Krijo rrugën në të njëjtin modul si tuneli, që të dy të mos ndahen gjatë rishikimit.

Pasqyro përzgjedhësit te pala

Pajisja e largët duhet të konfigurohet me imazhin e pasqyrës: intervali i saj lokal është përzgjedhësi juaj i largët, dhe intervali i saj i largët duhet të mbulojë nënrrjetet GCP që prisni të përdorni. Nëse ndonjëra anë ngushtohet, faza 2 dështon edhe pse faza 1 ka sukses. Kjo është forma më e zakonshme e një konfigurimi që duket i saktë në konsolë dhe nuk mbart trafik.

Printo përzgjedhësit e të dy anëve krah për krah gjatë rishikimit të ndryshimit.

Ndaj adresën statike në dy zbatime

Krijimi i adresës së rezervuar dhe tunelit që i referohet asaj në një zbatim të vetëm është burim i njohur paqëndrueshmërie, sepse adresa duhet të ekzistojë përpara se rregulli i përcjelljes ta përdorë. Zbato fillimisht vetëm burimin e adresës, pastaj shto portën, rregullat e përcjelljes dhe tunelin dhe zbato përsëri. Terraform lexon adresën ekzistuese nga gjendja në ekzekutimin e dytë dhe e ripërdor. Nëse kjo anashkalohet, tuneli mund të marrë një adresë publike të re në çdo zbatim, gjë që prish konfigurimin e palës çdo herë.

Dy zbatime tani janë më lirë se një ndryshim i palës në çdo version.

Verifiko negociatën, jo etiketën

Pas zbatimit, kontrollo tri fakte të ndara: tuneli raporton i vendosur, rruga ekziston me kërcimin e radhës të synuar, dhe pala raporton se faza 1 dhe faza 2 janë të dyja lart.

Tuneli është lart ndërsa faza 2 është poshtë, që do të thotë se dy anët nuk bien dakord për përzgjedhësit:

• Njëra anë liston një nënrrjet që tjetra nuk e liston.
• Njëra anë përdor një agregat që tjetra e ngushtoi.
• Rruga ekziston por tregon një tunel tjetër.

Classic VPN është një tunel i vetëm me SLA më të ulët se HA VPN, dhe HA VPN përdor dy ndërfaqe, dy tunele dhe BGP me lloje të tjera burimesh. Kopjimi i një shembulli klasik në një konfigurim HA dhe pritja që fushat e përzgjedhësit të sillen njësoj është një gabim më vete që ia vlen të shmanget. Vetë fushat e tunelit janë dokumentuar në referencën e google_compute_vpn_tunnel.