VM GCP me disa NIC: pse përgjigjet dalin nga ndërfaqja e gabuar

Lidhja e një ndërfaqeje të dytë me një VM të Compute Engine i jep asaj një lidhje tjetër rrjeti, jo një rrugë kthimi simetrike. Mysafiri ende zgjedh një ndërfaqe dhe një adresë burimi nga rrugët dhe rregullat e tij. Google Cloud më pas zbaton rrugëtimin e VPC dhe politikën e firewall-it rreth ndërfaqes nga e cila doli paketa. Kur këto dy vendime nuk përputhen, kërkesat mbërrijnë në një NIC dhe përgjigjet dalin nga tjetra, dhe dega sheh një bisedë gjysmë të hapur.

Kaloni rrugën në pesë hapa dhe mospërputhja do të shfaqet përpara se të shkruani një rregull politike.

Hapi 1: përputhni NIC-të e resë me pajisjet e mysafirit

Reja i emërton ndërfaqet nic0, nic1 e kështu me radhë, dhe mysafiri sheh emra pajisjesh që nuk duhet të përputhen. Zgjidhni hartëzimin nga metadata e instancës ose nga adresa e vetë ndërfaqes përpara çdo gjëje tjetër. Rruga standarde e zakonshme që jep DHCP lidhet me nic0, prandaj rruga drejt internetit fiton kaq shpesh rastësisht. Të shkruash politikë sipas një emri pajisjeje të hamendësuar është mënyra se si një rregull i saktë përfundon në ndërfaqen e gabuar.

Shënoni adresat, emrat e pajisjeve dhe VPC-në të cilës i përket secili. Ai hartë me tre kolona është hyrja për çdo hap pasardhës.

Hapi 2: emërtoni dy vendimet e rrugëtimit

Vendimi i parë i përket mysafirit: cila ndërfaqe dhe cila adresë burimi për këtë paketë. I dyti i përket resë: çfarë lejojnë rrugët e VPC-së dhe politika e firewall-it rreth asaj ndërfaqeje.

Një rrugë e dukshme në VPC-në që drejtohet nga VPN nuk bëhet rrugë e mysafirit që zgjedh atë NIC. Rruga e resë përshkruan çfarë mund të dorëzojë rrjeti, ndërsa rruga e mysafirit vendos çfarë bën paketa.

Hapi 3: zgjidhni një politikë rruge kthimi

Për një grup të vogël e të qëndrueshëm prefixesh dege, rrugët eksplicite të destinacionit te mysafiri janë shprehja më e thjeshtë: përgjigjet ndaj atyre prefixeve dalin nga ndërfaqja që drejtohet nga VPN. Kur disa shërbime përdorin qëllimisht adresa burimi lokale të ndryshme, rregullat e bazuara në burim që zgjedhin një tabelë për çdo ndërfaqe i mbajnë çdo përgjigje në kontekstin e duhur. Dokumentacioni për disa ndërfaqe përshkruan emërtimin e NIC-ve dhe sjelljen e rrugës standarde mbi të cilat mbështeten këto modele.

Çdo tabelë ka nevojë për rrugë të lidhura të vlefshme dhe kërcime të radhës, plus destinacionet për të cilat do të pyetet. Një rregull që tregon drejt një tabele të paplotë nuk është model rruge kthimi. Përdorni gateway-in e dokumentuar për atë NIC në vend që të shpikni një gateway Ethernet nga pamja e nënrrjetit.

Hapi 4: kontrolloni filtrat e vetë mysafirit

Kontrolloni ku dëgjon serveri dhe cila burim lokal mbart përgjigjen. Një dëgjues në të gjitha adresat nuk anulon politikën e rrugëtimit, prandaj lidhja me të gjitha adresat nuk ndryshon asgjë rreth ndërfaqes nga e cila del përgjigja.

Në Linux, rishikoni validimin e rrugës së kundërt kundrejt modelit të synuar. Çaktivizimi i tij globalisht si hapi i parë shkëmben një gabim rrugëtimi me ekspozim ndaj falsifikimit, dhe fsheh asimetrinë që po përpiqeshit të gjenit.

Hapi 5: provoni një rrjedhë për çdo rrugë

Verifikoni veçmas një kërkesë dege të lejuar dhe një kërkesë interneti të palidhur, secilën me burimin dhe destinacionin e vet real. Regjistroni në të dyja ndërfaqet kur mundeni, sepse prova e dobishme është cila ndërfaqe mbarti përgjigjen. Më pas konfirmoni që politika në anën e resë respektoi rrugën që modeluat. Një kërkesë e suksesshme provon një rrjedhë, jo një model simetrik.

Mbani dy testet të ndara në shënimet tuaja, sepse përdorin rrugë të ndryshme dhe rregulla firewall-i të ndryshme.

Çfarë nuk ju jep një NIC e dytë

Një ndërfaqe e dytë shton një lidhje rrjeti dhe një adresë tjetër. Ajo nuk shton rrugëtim simetrik automatik dhe nuk anashkalon politikën e firewall-it. Trajtimi i saj si një rregullim rrugëtimi është arsyeja pse modelet me shumë NIC grumbullojnë rregulla që askush nuk mund t'i shpjegojë më vonë.

Nëse VM-ja duhet të përcjellë trafikun e makinerive të tjera, planifikoni atë rol routeri në mënyrë eksplicite, duke përfshirë cilësimin e resë që lejon përcjelljen dhe filtrat e mysafirit që e shoqërojnë.