GCP Cloud VPN: angalia lango, handaki na firewall kwa mpangilio

Handaki linaloripoti kuwa limeundwa wakati kila jaribio linapita muda kwa kawaida halina kanuni ya firewall ya VPC. Angalia lango, vichaguzi na aina ya uelekezaji kwa mpangilio huo.

Konsoli yako inaonyesha handaki la kijani, ufuatiliaji wa eneo bado hauwezi kufikia hata mfano mmoja, na kujenga upya handaki inaonekana kama suluhisho dhahiri. Ni mara chache. Handaki lililoanzishwa linathibitisha tu kwamba malango mawili yalikamilisha mabadilishano ya IKE. Haisemi chochote kuhusu kama pakiti iliruhusiwa kuingia kwenye VPC yako.

Maamuzi manne yanasimama kati ya hiyo ikoni ya kijani na jibu, na yanashindikana kwa mpangilio unaotabirika. Anza na la bei ya chini.

Vitu vitatu, na kimoja tu kati yao husimba

Lango la VPN linamiliki anwani ya nje ambayo mwenzako husimba kwake. Kwenye konsoli hulijengi kamwe kwa mkono: chagua au hifadhi anwani ndani ya fomu ya muunganisho na lango linaonekana pamoja nayo. Lango la HA huchukua anwani mbili kwenye violesura viwili, jambo ambalo ni muhimu katika ukaguzi wa mgao baadaye.

Handaki ni kuoanisha kati ya hilo lango na mwenza. Hubeba siri iliyoshirikiwa na vichaguzi vya trafiki ambavyo linaahidi kulinda. Ni katika vichaguzi hivyo ambapo kushindikana kwa kimya huanza. Handaki ambalo kichaguzi chake cha ndani kinashughulikia 10.0.0.0/24 halitawasilisha 10.0.1.0/24, hata hali ionekane njema kiasi gani.

Upande wa mbali unahifadhi orodha yake, kwa kawaida huitwa kikoa cha usimbaji fiche, na maunzi ya mwisho hulinganisha na yako. Hakuna upande unaojadili kichaguzi ambacho hakikuwahi kupewa.

Aina ya uelekezaji huamua kinachofika kwenye jedwali la njia

Cloud VPN inatoa maumbo matatu ya uelekezaji na hayachanganyiki kwa usafi. Uelekezaji unaotegemea sera huhifadhi jozi za vichaguzi tuli, uelekezaji unaotegemea njia unatarajia wewe mwenyewe kuongeza njia tuli, na uelekezaji unaobadilika hutangaza viambishi awali kupitia Cloud Router juu ya BGP. Chagua mmoja kwa makusudi.

Handaki linalobadilika lenye njia tuli zilizoandikwa kwa mkono kando yake huzalisha jedwali la njia ambalo huwa tupu kila kikao cha BGP kinapoyumba.

Linalobadilika ni umbo pekee linaloruhusu viambishi awali vilindwa kubadilika bila kujenga upya handaki, na huvuta Cloud Router kwenye seti ya vitu ambavyo lazima uthibitishe. Vichaguzi tuli hubaki vikitumika wakati mwenza ni firewall ya maunzi isiyoweza kuzungumza BGP. Wakati huo pande zote mbili zinahitaji safu zile zile, na ingizo mahususi zaidi lazima lishinde pande zote. Jozi linalotofautiana kwa subnet moja huanzishwa kisha hubeba nusu ya trafiki yako.

Kukataa kwa kimya kunakaa nyuma ya handaki

Trafiki inayoingia hutathminiwa dhidi ya kukataa kwa kimya katika kipaumbele cha chini kabisa, na kanuni hiyo haijali kwamba pakiti ilifika ikiwa imesimbwa. Hadi kanuni ya firewall itaje safu ya eneo na bandari inayotumika, pakiti husimbuliwa, hukaguliwa na hutupwa. Kumbukumbu ya VPN hubaki safi muda wote, kwa sababu handaki lilifanya hasa lililoahidi.

Badala yake soma kumbukumbu ya kukataa ya firewall wakati handaki liko juu na jaribio linapita muda, kisha punguza kanuni kwa safu ya chanzo na bandari unazohitaji:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Upande mmoja kufanya kazi ni kidokezo cha firewall

Trafiki inayotoka hujiendesha tofauti, kwa sababu kanuni ya ruhusa ya kimya huruhusu mifano kutuma popote. Kituo cha data kisichoweza kufikia VM mara nyingi hukaa nyuma ya njia ya kutoka inayofanya kazi kikamilifu upande mwingine. Utengano huo hutenganisha upungufu wa firewall na hitilafu ya uelekezaji, kwa kuwa hitilafu ya uelekezaji huvunja pande zote mbili kwa wakati mmoja. Jaribu upande kinyume kabla ya kuhariri kanuni nyingine.

Kuunda anwani pia ni operesheni ya mgao. Mradi ulio karibu na kikomo cha anwani za nje zinazotumika hukataa muunganisho kwa hitilafu inayosomwa kama kushindikana kwa ruhusa.

Vichaguzi, migao, kisha ukaguzi nne

Handaki zilizoundwa kwenye konsoli wakati mwingine hurudisha kichaguzi cha trafiki cha mbali tupu kutoka gcloud compute vpn-tunnels describe, wakati njia zilizozalishwa hubeba trafiki kwa usahihi. Linganisha kile API inarekodi na safu unazolinda kwa kweli kabla ya kuamua kuwa handaki si sahihi. Kuunda kupitia API au SDK huweka kichaguzi wazi.

Migao ni upungufu mwingine rahisi. Omba ongezeko kabla ya dirisha la matengenezo, si wakati wake, na angalia idadi ya anwani katika mradi sawa na lango.

Fanya kazi kutoka nje kuelekea ndani: hali ya mwenza, orodha zote mbili za vichaguzi, njia kwa kila upande, kanuni ya kuingia kwa safu ya chanzo na bandari, kisha kunasa pakiti. Andika anwani ya lango, orodha zote mbili za vichaguzi na aina ya uelekezaji kwenye tiketi ya mabadiliko wakati handaki ni jipya, kwa sababu mhandisi anayefuata atakayeongeza subnet atahitaji zote tatu.

Makala zinazohusiana