GCP Cloud VPN: kontrollo gateway-in, tunelin dhe firewall-in sipas radhës

Një tunel që raporton i vendosur ndërsa çdo provë skadon zakonisht nuk ka rregull firewall të VPC. Kontrollo gateway-in, selektorët dhe llojin e rrugëzimit në atë radhë.

Konsola juaj tregon një tunel të gjelbër, monitorimi në vend ende nuk arrin as edhe një instancë, dhe rindërtimi i tunelit duket si zgjidhja e dukshme. Rrallë është. Një tunel i vendosur vërteton vetëm se dy gateway-e përfunduan shkëmbimin IKE. Nuk thotë asgjë nëse një paketë u lejua ndonjëherë të hyjë në VPC-në tuaj.

Katër vendime qëndrojnë midis atij ikoni të gjelbër dhe një përgjigjeje, dhe ato dështojnë në një radhë të parashikueshme. Filloni me më të lirën.

Tre objekte, dhe vetëm njëri prej tyre kripton

Një gateway VPN zotëron adresën e jashtme në të cilën kripton partneri juaj. Në konsolë nuk e krijoni kurrë me dorë: zgjidhni ose rezervoni një adresë brenda formularit të lidhjes dhe gateway-i shfaqet me të. Një gateway HA merr dy adresa në dy ndërfaqe, gjë që ka rëndësi në kontrollin e kuotave më vonë.

Një tunel është çiftimi midis atij gateway-i dhe partnerit. Ai mbart sekretin e përbashkët dhe selektorët e trafikut që premton të mbrojë. Pikërisht në këta selektorë fillojnë shumica e dështimeve të heshtura. Një tunel, selektori lokal i të cilit mbulon 10.0.0.0/24, nuk do të dorëzojë 10.0.1.0/24, sado i shëndetshëm të duket statusi.

Skaji i largët mban listën e vet, zakonisht e quajtur domen kriptimi, dhe hardueri përfundimtar e krahason me tuajin. Asnjë palë nuk negocion një selektor që nuk i është dhënë kurrë.

Lloji i rrugëzimit vendos çfarë arrin në tabelën e rrugëve

Cloud VPN ofron tre forma rrugëzimi dhe ato nuk përzihen pastër. Rrugëzimi i bazuar në politika mban çiftet statike të selektorëve, rrugëzimi i bazuar në rrugë pret që ju vetë të shtoni rrugë statike, dhe rrugëzimi dinamik shpall prefikset përmes një Cloud Router mbi BGP. Zgjidhni një me qëllim.

Një tunel dinamik me rrugë statike të shkruara me dorë pranë tij prodhon një tabelë rrugësh që zbrazet sa herë lëkundet sesioni BGP.

Dinamiku është forma e vetme që lejon prefikset e mbrojtura të ndryshojnë pa rindërtuar tunelin, dhe e tërheq Cloud Router në grupin e objekteve që duhet të verifikoni. Selektorët statikë mbeten të përdorshëm kur partneri është një firewall harduerik që nuk flet dot BGP. Atëherë të dy skajet kanë nevojë për të njëjtat vargje, dhe hyrja më specifike duhet të fitojë në të dyja. Një çift që ndryshon për një nënrrjet vendoset dhe më pas mbart gjysmën e trafikut tuaj.

Mohimi i nënkuptuar qëndron pas tunelit

Trafiku hyrës vlerësohet kundër një mohimi të nënkuptuar në prioritetin më të ulët, dhe ai rregull nuk interesohet që paketa mbërriti e kriptuar. Derisa një rregull firewall të emërojë vargun në vend dhe portën në përdorim, paketa dekriptohet, inspektohet dhe hidhet. Regjistri i VPN mbetet i pastër gjatë gjithë kohës, sepse tuneli bëri pikërisht atë që premtoi.

Në vend të kësaj lexoni regjistrin e mohimeve të firewall-it kur tuneli është lart dhe prova skadon, pastaj kufizoni një rregull në vargun burimor dhe portat që ju nevojiten:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Funksionimi i vetëm një drejtimi është një të dhënë për firewall-in

Trafiku dalës sillet ndryshe, sepse rregulli i lejes së nënkuptuar i lejon instancat të dërgojnë kudo. Një qendër të dhënash që nuk arrin një VM shpesh qëndron pas një rruge dalëse që funksionon në mënyrë të përsosur në drejtimin tjetër. Kjo asimetri ndan një lëshim firewall nga një defekt rrugëzimi, pasi një defekt rrugëzimi thyen të dy drejtimet njëherësh. Provoni drejtimin e kundërt përpara se të redaktoni edhe një rregull.

Krijimi i adresave është gjithashtu një operacion kuote. Një projekt pranë kufirit të adresave të jashtme në përdorim e refuzon lidhjen me një gabim që lexohet si dështim leje.

Selektorë, kuota, pastaj katër kontrollet

Tunelet e krijuara në konsolë ndonjëherë kthejnë një selektor trafiku të largët bosh nga gcloud compute vpn-tunnels describe, ndërsa rrugët e gjeneruara e mbartin trafikun saktë. Krahasoni atë që regjistron API me vargjet që mbroni vërtet përpara se të vendosni që tuneli është i gabuar. Krijimi i tij përmes API ose SDK e mban selektorin të qartë.

Kuotat janë lëshimi tjetër i lehtë. Kërkoni rritjen përpara dritares së mirëmbajtjes dhe jo gjatë saj, dhe kontrolloni numrin e adresave në të njëjtin projekt si gateway-i.

Punoni nga jashtë nga brenda: statusi i partnerit, të dyja listat e selektorëve, një rrugë për secilën anë, një rregull hyrës për vargun burimor dhe portën, pastaj një kapje paketash. Shkruani adresën e gateway-it, të dyja listat e selektorëve dhe llojin e rrugëzimit në tiketën e ndryshimit ndërsa tuneli është i ri, sepse inxhinieri i radhës që shton një nënrrjet do t'i ketë të nevojshme të tria.

Artikuj të ngjashëm