GCP Cloud VPN: గేట్‌వే, టన్నెల్ మరియు ఫైర్‌వాల్‌ను క్రమంగా తనిఖీ చేయండి

మీ కన్సోల్ ఆకుపచ్చ టన్నెల్‌ను చూపిస్తుంది, ఆన్-ప్రెమిస్ మానిటరింగ్ ఇప్పటికీ ఒక్క ఇన్‌స్టాన్స్‌కూ చేరుకోలేదు, టన్నెల్‌ను తిరిగి నిర్మించడం స్పష్టమైన పరిష్కారంగా కనిపిస్తుంది. కానీ అలా జరగడం అరుదు. స్థాపిత టన్నెల్ రెండు గేట్‌వేలు IKE మార్పిడిని పూర్తి చేశాయని మాత్రమే నిరూపిస్తుంది. ప్యాకెట్ ఎప్పుడైనా మీ VPC లోకి అనుమతించబడిందా అనే దాని గురించి ఇది ఏమీ చెప్పదు.

ఆ ఆకుపచ్చ చిహ్నానికి, సమాధానానికి మధ్య నాలుగు నిర్ణయాలు ఉన్నాయి, అవి ఊహించదగిన క్రమంలో విఫలమవుతాయి. అతి చవకైనదానితో ప్రారంభించండి.

మూడు వస్తువులు, వాటిలో ఒకటి మాత్రమే ఎన్‌క్రిప్ట్ చేస్తుంది

VPN గేట్‌వే మీ పీర్ ఎన్‌క్రిప్ట్ చేసే బాహ్య చిరునామాను కలిగి ఉంటుంది. కన్సోల్‌లో మీరు దాన్ని ఎప్పుడూ చేతితో సృష్టించరు: కనెక్షన్ ఫారమ్ లోపల చిరునామాను ఎంచుకోండి లేదా రిజర్వ్ చేయండి, గేట్‌వే దానితో కనిపిస్తుంది. HA గేట్‌వే రెండు ఇంటర్‌ఫేస్‌లపై రెండు చిరునామాలను తీసుకుంటుంది, ఇది తర్వాత కోటా తనిఖీలో ముఖ్యం.

టన్నెల్ అనేది ఆ గేట్‌వేకు, పీర్‌కు మధ్య జంట. ఇది పంచుకున్న రహస్యాన్ని, రక్షిస్తానని వాగ్దానం చేసే ట్రాఫిక్ సెలెక్టర్లను మోసుకెళ్తుంది. చాలా నిశ్శబ్ద వైఫల్యాలు ఆ సెలెక్టర్ల నుంచే మొదలవుతాయి. స్థానిక సెలెక్టర్ 10.0.0.0/24 ను కవర్ చేసే టన్నెల్, స్థితి ఎంత ఆరోగ్యంగా కనిపించినా 10.0.1.0/24 ను పంపిణీ చేయదు.

దూరపు చివర తన స్వంత జాబితాను ఉంచుతుంది, సాధారణంగా దాన్ని ఎన్‌క్రిప్షన్ డొమైన్ అంటారు, మరియు ముగింపు హార్డ్‌వేర్ దాన్ని మీ జాబితాతో పోలుస్తుంది. ఏ పక్షం తనకు ఎప్పుడూ ఇవ్వని సెలెక్టర్ గురించి చర్చించదు.

రూటింగ్ రకం రూట్ పట్టికకు ఏమి చేరుతుందో నిర్ణయిస్తుంది

Cloud VPN మూడు రూటింగ్ ఆకారాలను అందిస్తుంది, అవి శుభ్రంగా కలవవు. విధాన ఆధారిత రూటింగ్ స్థిర సెలెక్టర్ జంటలను ఉంచుతుంది, మార్గం ఆధారిత రూటింగ్ మీరే స్థిర మార్గాలను జోడిస్తారని ఆశిస్తుంది, మరియు క్రియాశీల రూటింగ్ BGP పై Cloud Router ద్వారా ప్రిఫిక్స్‌లను ప్రకటిస్తుంది. ఉద్దేశపూర్వకంగా ఒకటి ఎంచుకోండి.

పక్కన చేతితో రాసిన స్థిర మార్గాలు ఉన్న క్రియాశీల టన్నెల్, BGP సెషన్ ఊగిన ప్రతిసారీ ఖాళీ అయ్యే రూట్ పట్టికను ఉత్పత్తి చేస్తుంది.

క్రియాశీలమే టన్నెల్‌ను తిరిగి నిర్మించకుండా రక్షిత ప్రిఫిక్స్‌లను మార్చడానికి అనుమతించే ఏకైక ఆకారం, మరియు అది Cloud Router ను మీరు ధృవీకరించాల్సిన వస్తువుల సమూహంలోకి లాగుతుంది. పీర్ BGP మాట్లాడలేని హార్డ్‌వేర్ ఫైర్‌వాల్ అయినప్పుడు స్థిర సెలెక్టర్లు పనికివస్తాయి. అప్పుడు రెండు చివరలకూ ఒకే పరిధులు అవసరం, మరియు ఎక్కువ నిర్దిష్ట నమోదు రెండింటిలో గెలవాలి. ఒక సబ్‌నెట్ తేడాతో ఉన్న జంట స్థాపించబడి తర్వాత మీ సగం ట్రాఫిక్‌ను మోసుకెళ్తుంది.

అంతర్లీన నిరాకరణ టన్నెల్ వెనుక కూర్చుంది

ఇన్‌బౌండ్ ట్రాఫిక్ అత్యల్ప ప్రాధాన్యతలోని అంతర్లీన నిరాకరణతో పోల్చి అంచనా వేయబడుతుంది, ఆ నియమం ప్యాకెట్ ఎన్‌క్రిప్ట్ అయి వచ్చిందని పట్టించుకోదు. ఫైర్‌వాల్ నియమం ఆన్-ప్రెమిస్ పరిధిని, వాడుతున్న పోర్టును పేర్కొనే వరకు ప్యాకెట్ డీక్రిప్ట్ అయి, తనిఖీ చేయబడి, విస్మరించబడుతుంది. VPN లాగ్ మొత్తం సమయం శుభ్రంగా ఉంటుంది, ఎందుకంటే టన్నెల్ వాగ్దానం చేసినట్టే చేసింది.

బదులుగా టన్నెల్ పనిచేస్తున్నప్పుడు, ప్రోబ్ సమయం మించిపోతున్నప్పుడు ఫైర్‌వాల్ నిరాకరణ లాగ్ చదవండి, తర్వాత నియమాన్ని మూల పరిధికి, అవసరమైన పోర్టులకు పరిమితం చేయండి:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

ఒక దిశ మాత్రమే పనిచేయడం ఫైర్‌వాల్ సూచన

అవుట్‌బౌండ్ ట్రాఫిక్ భిన్నంగా ప్రవర్తిస్తుంది, ఎందుకంటే అంతర్లీన అనుమతి నియమం ఇన్‌స్టాన్సులను ఎక్కడికైనా పంపనిస్తుంది. VM ను చేరుకోలేని డేటా సెంటర్ తరచుగా రెండో దిశలో పూర్తిగా పనిచేసే బయటి మార్గం వెనుక ఉంటుంది. ఈ అసమానత ఫైర్‌వాల్ మినహాయింపును రూటింగ్ వైఫల్యం నుంచి వేరు చేస్తుంది, ఎందుకంటే రూటింగ్ వైఫల్యం రెండు దిశలను ఒకేసారి విచ్ఛిన్నం చేస్తుంది. మరో నియమాన్ని సవరించే ముందు వ్యతిరేక దిశను పరీక్షించండి.

చిరునామా సృష్టి కూడా కోటా చర్య. వాడుకలో ఉన్న బాహ్య చిరునామాల పరిమితికి దగ్గరగా ఉన్న ప్రాజెక్ట్, అనుమతి వైఫల్యంలా చదవబడే లోపంతో కనెక్షన్‌ను తిరస్కరిస్తుంది.

సెలెక్టర్లు, కోటాలు, తర్వాత నాలుగు తనిఖీలు

కన్సోల్‌లో సృష్టించిన టన్నెల్లు కొన్నిసార్లు gcloud compute vpn-tunnels describe నుంచి ఖాళీ రిమోట్ ట్రాఫిక్ సెలెక్టర్‌ను తిరిగి ఇస్తాయి, అయితే ఉత్పత్తి అయిన మార్గాలు ట్రాఫిక్‌ను సరిగ్గా మోసుకెళ్తాయి. టన్నెల్ తప్పు అని నిర్ణయించే ముందు API నమోదు చేసేదాన్ని మీరు నిజంగా రక్షించే పరిధులతో పోల్చండి. API లేదా SDK ద్వారా సృష్టించడం సెలెక్టర్‌ను స్పష్టంగా ఉంచుతుంది.

కోటాలు మరో సులభమైన మినహాయింపు. నిర్వహణ విండోకు ముందు పెంపును అడగండి, దాని సమయంలో కాదు, మరియు గేట్‌వే ఉన్న అదే ప్రాజెక్ట్‌లో చిరునామాల సంఖ్యను తనిఖీ చేయండి.

బయటి నుంచి లోపలికి పని చేయండి: పీర్ స్థితి, రెండు సెలెక్టర్ జాబితాలు, ప్రతి వైపుకు ఒక మార్గం, మూల పరిధి, పోర్టుకు ఇన్‌బౌండ్ నియమం, తర్వాత ప్యాకెట్ క్యాప్చర్. టన్నెల్ కొత్తదిగా ఉన్నప్పుడే గేట్‌వే చిరునామా, రెండు సెలెక్టర్ జాబితాలు, రూటింగ్ రకాన్ని మార్పు టికెట్‌లో రాయండి, ఎందుకంటే సబ్‌నెట్ జోడించే తదుపరి ఇంజినీర్‌కు మూడూ అవసరం.