GCP Cloud VPN: проверите гејтвеј, тунел и firewall по реду

Тунел који пријављује успостављено стање док свака провера истиче обично нема VPC firewall правило. Проверите гејтвеј, селекторе и тип рутирања тим редом.

Ваша конзола приказује зелени тунел, локални мониторинг још увек не може да достигне ниједну инстанцу, а поновна изградња тунела изгледа као очигледно решење. Ретко је тако. Успостављени тунел доказује само да су два гејтвеја завршила IKE размену. Не говори ништа о томе да ли је пакет икада пуштен у ваш VPC.

Четири одлуке стоје између те зелене иконе и одговора, и оне падају у предвидивом реду. Почните од најјефтиније.

Три објекта, а само један од њих шифрује

VPN гејтвеј поседује спољашњу адресу на коју шифрује ваш партнер. У конзоли га никада не стварате ручно: изаберите или резервишите адресу унутар обрасца везе и гејтвеј се појављује са њом. HA гејтвеј заузима две адресе на два интерфејса, што је важно код провере квота касније.

Тунел је упаривање између тог гејтвеја и партнера. Носи заједничку тајну и саобраћајне селекторе које обећава да ће штитити. Управо у тим селекторима почиње већина тихих кварова. Тунел чији локални селектор покрива 10.0.0.0/24 неће достављати 10.0.1.0/24, колико год статус изгледао здрав.

Супространа страна држи сопствену листу, обично названу домен шифровања, а терминални хардвер је упоређује са вашом. Ниједна страна не преговара о селектору који јој никада није дат.

Тип рутирања одлучује шта стиже у табелу рута

Cloud VPN нуди три облика рутирања и она се не мешају чисто. Рутирање засновано на правилима чува статичне парове селектора, рутирање засновано на рутама очекује да сами додате статичне руте, а динамичко рутирање оглашава префиксе кроз Cloud Router преко BGP-а. Изаберите једно намерно.

Динамички тунел са ручно написаним статичним рутама поред себе ствара табелу рута која се испразни сваки пут кад BGP сесија затресе.

Динамичко је једини облик који дозвољава да се заштићени префикси промене без поновне изградње тунела, и увлачи Cloud Router у скуп објеката које морате проверити. Статични селектори остају употребљиви када је партнер хардверски firewall који не може да говори BGP. Тада оба краја требају исте опсеге, а конкретнији унос мора да победи на оба. Пар који се разликује за једну подмрежу успостави се и затим носи половину вашег саобраћаја.

Подразумевано одбијање седи иза тунела

Долазни саобраћај се оцењује према подразумеваном одбијању на најнижем приоритету, и то правило не занима што је пакет стигао шифрован. Док firewall правило не наведе локални опсег и порт који се користи, пакет се дешифрује, прегледа и одбацује. VPN дневник остаје чист све време, јер је тунел учинио тачно оно што је обећао.

Уместо тога читајте дневник одбијања firewall-а када је тунел активан, а провера истекне, па ограничите правило на изворни опсег и портове који су вам потребни:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Рад само једног смера траг је о firewall-у

Излазни саобраћај се понаша другачије, јер подразумевано правило дозволе пушта инстанце да шаљу било где. Дата центар који не може да достигне VM често стоји иза савршено исправног излазног пута у другом смеру. Та асиметрија одваја пропуст у firewall-у од квара рутирања, јер квар рутирања ломи оба смера одједном. Тестирајте обрнути смер пре него што уредите још једно правило.

Стварање адресе је такође квотна операција. Пројекат близу свог ограничења спољашњих адреса у употреби одбија везу са грешком која се чита као неуспех дозволе.

Селектори, квоте, па четири провере

Тунели створени у конзоли понекад враћају празан удаљени саобраћајни селектор из gcloud compute vpn-tunnels describe, док генерисане руте исправно носе саобраћај. Упоредите шта API бележи са опсезима које стварно штитите пре него што закључите да тунел није исправан. Стварање кроз API или SDK држи селектор експлицитним.

Квоте су други лаки пропуст. Затражите повећање пре прозора одржавања, а не током њега, и проверите број адреса у истом пројекту као гејтвеј.

Радите споља према унутра: статус партнера, обе листе селектора, рута за сваку страну, долазно правило за изворни опсег и порт, затим снимање пакета. Запишите адресу гејтвеја, обе листе селектора и тип рутирања у тикет за промену док је тунел нов, јер следећем инжењеру који дода подмрежу требаће сва три.

Повезани чланци