GCP VM-కు Cloud VPN: NAT IP కాదు, అంతర్గత IP ఉపయోగించండి
గేట్‌వే ముగింపు బిందువు, VM యొక్క అంతర్గత చిరునామా మరియు బాహ్య ఒకటి-నుండి-ఒకటి NAT చిరునామా మూడు వేర్వేరు పనులు చేస్తాయి. మీ మార్గం ఏది ఉపయోగిస్తుందో తనిఖీ చేయండి.
స్థానిక నెట్‌వర్క్ Cloud VPN ద్వారా VPC-కి చేరుకున్నప్పుడు, Compute Engine సేవకు గమ్యం సాధారణంగా VM యొక్క అంతర్గత చిరునామా. బాహ్య IPv4 చిరునామా అదే ప్రైవేట్ మార్గంలో భర్తీ చేయగల రెండవ చిరునామా కాదు. ఈ రంగంలో చాలా గందరగోళం మూడు పనులతో కూడిన మూడు చిరునామాలను పరస్పరం మార్చుకోగలిగినవిగా పరిగణించడం వల్ల వస్తుంది, కాబట్టి ఇచ్చిన ప్యాకెట్ ఏది ఉపయోగిస్తుందో పేరు పెట్టడంతో ప్రారంభించండి.
మూడు చిరునామాలు, మూడు పనులు
వాటిలో ఏదైనా డీబగ్ చేసే ముందు మూడింటినీ పేరు పెట్టండి, ఎందుకంటే సమాధానం తర్వాత మీరు పరిశీలించే వస్తువును మారుస్తుంది.
| Address | Job |
|---|---|
| Cloud VPN endpoint | where the IPsec peers meet |
| Internal IP | the address your route and firewall must name |
| External IPv4 | the platform's inbound mapping, not a guest address |
మొదటిది సొరంగానికి చెందుతుంది. రెండవది మీ మార్గం మరియు ఫైర్‌వాల్ రూపకల్పనకు చెందుతుంది. మూడవది లోపలికి వచ్చే ఇంటర్నెట్ యాక్సెస్‌కు చెందుతుంది మరియు అది మ్యాప్ చేయబడుతుంది, జోడించబడదు. వాటిలో ఒకదానికి పనిచేసే రూపకల్పన మిగిలిన రెండింటి గురించి ఏమీ చెప్పదు.
బాహ్య చిరునామా రెండవ ఇంటర్ఫేస్ ఎందుకు కాదు
Compute Engine లో అంతర్గత మరియు బాహ్య చేరువు ఎలా భిన్నంగా ఉంటాయనే దానికి చిరునామా మార్గదర్శిని అధికారం. Compute Engine యొక్క బాహ్య IPv4 అనేది ఇన్‌స్టాన్స్ యొక్క ఏకైక అంతర్గత NIC పై ఒకటి-నుండి-ఒకటి మ్యాపింగ్, కాబట్టి అతిథి ఆ NIC పై రెండవ ఇంటర్‌ఫేస్‌ను లేదా రెండవ చిరునామాను ఎప్పుడూ చూడదు. VM లోపలి నుండి నివేదించేది ఇప్పటికీ ఒక ప్రాథమిక అంతర్గత చిరునామా.
అందుకే ప్రైవేట్ క్లయింట్ సొరంగం ద్వారా 10.24.1.7 వైపు మార్గం చేస్తే, మరియు VM యొక్క బాహ్య చిరునామాన్ని లక్ష్యంగా చేసుకునే క్లయింట్ వేర్వేరు మార్గాల్లో ఉంటాయి. పబ్లిక్ చిరునామా కోసం ఫైర్‌వాల్ నియమాన్ని తెరవడం సొరంగ ట్రాఫిక్‌ను మోసుకోవాల్సిన VPC మార్గంలో ఏమీ మార్చదు, మరియు అతిథిలోని మార్గాన్ని సవరించడం ప్లాట్‌ఫారమ్ మ్యాపింగ్‌ను కదిలించదు. మీ మార్గం పేరు పెట్టే చిరునామాను ఎంచుకోండి, తర్వాత దాన్ని నియంత్రించే వస్తువులను మాత్రమే పరిశీలించండి. ఈ క్రమశిక్షణ ఈ సమస్య పరిష్కార మార్గం నుండి చాలా ఊహలను తొలగిస్తుంది.
gcloud తో మార్గాన్ని నడవండి
ఇన్‌స్టాన్స్ నుండి ప్రారంభించి రెండు చిరునామాలను ఒకే వస్తువు నుండి చదవండి, అప్పుడు మీ పత్రం ఏది గురించి మాట్లాడుతోందో మీకు తెలుస్తుంది:
gcloud compute instances describe app-1 --zone=europe-west1-b \
--format="value(networkInterfaces[0].networkIP,networkInterfaces[0].accessConfigs[0].natIP)"తర్వాత మార్గం నిజంగా ఆధారపడే రూటింగ్ మరియు అనుమతిని నిర్ధారించండి:
gcloud compute routes list --filter="destRange:10.24.1.0/24"
gcloud compute firewall-rules list --filter="sourceRanges:10.99.0.0/24"
gcloud compute vpn-tunnels describe TUNNEL_NAME --region=europe-west1సొరంగం ప్రకటించిన మరియు నేర్చుకున్న పరిధులను చదవండి, పనిభారం సబ్‌నెట్ కోసం VPC మార్గం, మరియు స్థానిక మూలాన్ని అనుమతించే ఫైర్‌వాల్ నియమం. అతిథిపై శ్రోత సంబంధితం కావడానికి ముందు ఈ మూడూ సరిపోలాలి.
తర్వాత అతిథిని తనిఖీ చేయండి: సేవ అంతర్గత చిరునామాపై వినిపిస్తోందా, మరియు దాని తిరిగి వచ్చే మార్గం మళ్లీ VPC ద్వారా వెళ్తోందా? పబ్లిక్ చిరునామాకు మాత్రమే కట్టుబడిన శ్రోత క్లౌడ్ వైపు ప్రతి వస్తువు సరిగ్గా ఉన్నప్పటికీ ఈ పరీక్షలో విఫలమవుతుంది.
పబ్లిక్ ప్రిఫిక్స్ మరో ప్రశ్న
పైన చెప్పినవి ఏవీ VPN లోపల మోసుకెళ్లే ప్రతి చిరునామా RFC1918 అయి ఉండాలని అర్థం కాదు. దూర నెట్‌వర్క్‌ను పబ్లిక్ స్పేస్ నుండి చట్టబద్ధంగా నంబర్ చేయవచ్చు, ప్లాట్‌ఫారమ్ రూటింగ్‌కు మద్దతు ఇచ్చి ఆపరేటర్‌కు చిరునామా అధికారం ఉంటే. ఇది సాధారణ రూపకల్పన ఎంపిక.
ఇది సాధారణ బాహ్య NAT చిరునామాను మరో అంతర్గత సబ్‌నెట్ చిరునామాగా పరిగణించడంతో సమానం కాదు. ఒకటి మీరు మార్గం చేసే ప్రిఫిక్స్; మరొకటి ప్లాట్‌ఫారమ్ లోపలికి వచ్చే యాక్సెస్‌పై అన్వయించే మ్యాపింగ్.
బాహ్య IPv6 మరియు ప్రత్యేకంగా రూపొందించిన చిరునామా ఏర్పాట్లకు వాటి స్వంత అర్థశాస్త్రం ఉంది. మీ ప్రణాళిక వాటిలో ఒకదానిపై ఆధారపడి ఉంటే, IPv4 కేసు నుండి సాధారణీకరించకుండా ఆ లక్షణానికి ప్లాట్‌ఫారమ్ పత్రాన్ని చదవండి. IPv4 మ్యాపింగ్ సాధారణ కేసు, ఏకైక కాదు, మరియు ప్రతి మినహాయింపుకు దాని స్వంత నియమాలు ఉన్నాయి.
అతిక్రమించే పరిధులు మరో సమస్య
అతిక్రమించే ప్రైవేట్ పరిధులు ప్రజలు పబ్లిక్ చిరునామా వైపు మళ్లడానికి నిజమైన కారణం, మరియు అది తప్పు పరికరం. గమ్యాన్ని VM యొక్క NAT చిరునామాకు మార్చడం అతిక్రమణను పరిష్కరించదు; తిరిగి వచ్చే మార్గం ఎలా పనిచేస్తుందో నిర్వచించకుండా, ప్యాకెట్ ఏ చిరునామా కోసం అని చెప్పుకుంటుందో మారుస్తుంది.
అతిక్రమణను ఉద్దేశపూర్వకంగా పరిష్కరించండి: తిరిగి నంబర్ చేయండి, మద్దతు ఉన్న అనువాద రూపకల్పనను ఉపయోగించండి, లేదా ప్రిఫిక్స్‌లు ఢీకొనని నెట్‌వర్క్ ద్వారా మార్గం చేయండి. వీటిలో ప్రతి ఒక్కటి యజమాని ఉన్న రూపకల్పన. NAT చిరునామా రూపకల్పన కాదు.
రెండు ఫీల్డ్‌లను విడివిడిగా పత్రం చేయండి
సొరంగ భాగస్వామిని మరియు పనిభారం గమ్యాన్ని రెండు వేర్వేరు runbook ఫీల్డ్‌లుగా నమోదు చేయండి, ప్రతి ఒక్కటి దానికి మద్దతు ఇచ్చే మార్గం మరియు ఫైర్‌వాల్ నియమంతో. పైకి వచ్చే IPsec సొరంగం పక్షాలు అంగీకరించాయని మాత్రమే చెబుతుంది; పనిభారం ఏ చిరునామాపై చేరుకోగలదో, దాని ప్రైవేట్ మార్గం పూర్తయిందా అనే దాని గురించి ఏమీ చెప్పదు.
అవతలి వైపు నిజమైన క్లయింట్‌తో ధృవీకరించండి: పేరును పరిష్కరించండి, అంతర్గత చిరునామాను తిరిగి ఇస్తుందని నిర్ధారించండి, కనెక్ట్ అవ్వండి, మరియు తిరిగి వచ్చే ట్రాఫిక్‌ను తనిఖీ చేయండి. Compute Engine IP చిరునామా పత్రం పైన ఉపయోగించిన అంతర్గత-వర్సెస్-బాహ్య భేదానికి సూచన.