Cloud VPN kwa VM kwenye GCP: tumia IP ya ndani, si IP ya NAT

Wakati mtandao wa ndani unafika VPC kupitia Cloud VPN, lengo la huduma ya Compute Engine kwa kawaida ni anwani ya ndani ya VM. Anwani ya nje ya IPv4 si anwani ya pili ambayo unaweza kuiweka katika njia ile ile ya faragha. Machafuko mengi katika eneo hili yanatoka kwa kuchukua anwani tatu zenye kazi tatu kama zinazoweza kubadilishana, kwa hiyo anza kwa kutaja ni ipi pakiti fulani inatumia.

Anwani tatu, kazi tatu

Taja zote tatu kabla ya kutatua hitilafu ya yoyote kati yao, kwa sababu jibu hubadilisha kitu utakachokagua baadaye.

Ya kwanza ni ya handaki. Ya pili ni ya muundo wa njia na ukuta wa moto wako. Ya tatu ni ya ufikiaji wa intaneti unaoingia na inachorwa ramani, haijaambatanishwa. Muundo unaofaa mmoja wao hausemi chochote kuhusu wengine wawili.

Kwa nini anwani ya nje si kiolesura cha pili

Mwongozo wa anwani ndio mamlaka kuhusu jinsi ufikiaji wa ndani na wa nje unavyotofautiana kwenye Compute Engine. IPv4 ya nje ya Compute Engine ni ramani moja-kwa-moja kwenye NIC moja ya ndani ya mfano, kwa hiyo mgeni huwa haoni kiolesura cha pili wala anwani ya pili kwenye NIC hiyo. Kile ambacho VM huripoti kutoka ndani bado ni anwani moja ya msingi ya ndani.

Ndiyo sababu mteja wa faragha anayeelekeza kupitia handaki kuelekea 10.24.1.7 na mteja anayelenga anwani ya nje ya VM wako kwenye njia tofauti. Kufungua kanuni ya ukuta wa moto kwa anwani ya umma hakubadilishi chochote kwenye njia ya VPC ambayo lazima ibebe trafiki ya handaki, na kuhariri njia kwenye mgeni hakuhamishi ramani ya jukwaa. Chagua anwani ambayo njia yako inaitaja, kisha kagua tu vitu vinavyoiongoza. Nidhamu hiyo huondoa sehemu kubwa ya kubahatisha kutoka kwenye njia hii ya utatuzi wa matatizo.

Pitia njia kwa gcloud

Anza kutoka kwa mfano na usome anwani zote mbili kutoka kwenye kitu kimoja, ili ujue ni ipi ambayo nyaraka zako zinazungumzia:

gcloud compute instances describe app-1 --zone=europe-west1-b \
  --format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"

Kisha thibitisha uelekezaji na ruhusa ambazo njia inategemea kwa kweli:

gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1

Soma safu zilizotangazwa na zilizojifunza za handaki, njia ya VPC ya subneti ya mzigo wa kazi, na kanuni ya ukuta wa moto inayoruhusu chanzo cha ndani. Hizi tatu lazima zikubaliane kabla msikilizaji kwenye mgeni kuwa muhimu hata kidogo.

Kisha kagua mgeni: huduma inasikiliza kwenye anwani ya ndani, na njia yake ya kurudi inapita tena kupitia VPC? Msikilizaji aliyefungwa kwa anwani ya umma pekee atashindwa jaribio hili hata wakati kila kitu upande wa wingu ni sahihi.

Kiambishi cha umma ni swali lingine

Hakuna lolote la hapo juu linalomaanisha kwamba kila anwani inayobebwa ndani ya VPN lazima iwe RFC1918. Mtandao wa mbali unaweza kupewa nambari kihalali kutoka nafasi ya umma, mradi jukwaa linaunga mkono uelekezaji na mwendeshaji ana mamlaka ya anwani. Hiyo ni chaguo la kawaida la muundo.

Hii si sawa na kutendea anwani ya kawaida ya nje ya NAT kana kwamba ni anwani nyingine ya subneti ya ndani. Moja ni kiambishi unachoelekeza; nyingine ni ramani ambayo jukwaa linaitumia kwa ufikiaji unaoingia.

IPv6 ya nje na mipangilio ya anwani iliyoundwa mahususi zina maana zake. Ikiwa mpango wako unategemea moja yao, soma nyaraka za jukwaa kwa kipengele hicho badala ya kujumlisha kutoka kwa kisa cha IPv4. Ramani ya IPv4 ni kisa cha kawaida, si cha pekee, na kila ubaguzi una kanuni zake.

Safu zinazopishana ni tatizo lingine

Safu za faragha zinazopishana ni sababu halisi kwa nini watu huchukua anwani ya umma, na ni kifaa kibaya. Kubadilisha lengo kuwa anwani ya NAT ya VM hakutatui upishano; hubadilisha ni anwani ipi pakiti inadai kuwa yake, bila kufafanua jinsi njia ya kurudi inavyofanya kazi.

Tatua upishano kwa makusudi: panga nambari upya, tumia muundo wa tafsiri unaoungwa mkono, au elekeza kupitia mtandao ambapo viambishi havigongani. Kila kimoja cha hivi ni muundo wenye mmiliki. Anwani ya NAT si muundo.

Andika kumbukumbu za sehemu mbili kando

Rekodi mwenza wa handaki na lengo la mzigo wa kazi kama sehemu mbili tofauti za runbook, kila moja ikiwa na njia na kanuni ya ukuta wa moto inayoisaidia. Handaki la IPsec linalopanda huripoti tu kwamba pande zote zimekubaliana; halisemi chochote kuhusu anwani ambayo mzigo wa kazi unafikiwa, wala kama njia yake ya faragha imekamilika.

Thibitisha kwa mteja halisi upande wa pili: tatua jina, thibitisha kwamba linarudisha anwani ya ndani, unganisha, na angalia trafiki ya kurudi. Nyaraka za anwani za IP za Compute Engine ni rejeleo la tofauti kati ya ya ndani na ya nje iliyotumika hapo juu.