GCP Cloud VPN: suriin ang gateway, tunnel at firewall ayon sa pagkakasunod-sunod

Nagpapakita ang iyong console ng berdeng tunnel, hindi pa rin maabot ng monitoring sa lugar ang kahit isang instance, at ang muling pagbuo ng tunnel ay mukhang halatang solusyon. Bihirang maging ganoon. Ang established na tunnel ay nagpapatunay lamang na natapos ng dalawang gateway ang palitan ng IKE. Wala itong sinasabi tungkol sa kung ang isang packet ay pinayagang pumasok sa iyong VPC.

Apat na desisyon ang nasa pagitan ng berdeng icon at ng sagot, at nabigo sila sa mahuhulaang pagkakasunod-sunod. Simulan sa pinakamura.

Tatlong object, at isa lamang sa kanila ang nag-e-encrypt

Ang gateway ng VPN ang may-ari ng panlabas na address na ine-encrypt ng iyong peer. Sa console hindi mo ito ginagawa nang manwal: pumili o mag-reserve ng address sa loob ng form ng koneksyon at lalabas ang gateway kasama nito. Ang HA gateway ay kumukuha ng dalawang address sa dalawang interface, na mahalaga sa pagsusuri ng quota mamaya.

Ang tunnel ay ang pagpapares ng gateway na iyon at ng peer. Dinadala nito ang shared secret at ang mga selector ng trapiko na ipinangangako nitong protektahan. Sa mga selector na iyon nagsisimula ang karamihan ng tahimik na pagkabigo. Ang tunnel na ang lokal na selector ay sumasaklaw sa 10.0.0.0/24 ay hindi maghahatid ng 10.0.1.0/24, gaano man kaganda ang hitsura ng status.

Ang malayong dulo ay may sariling listahan, karaniwang tinatawag na encryption domain, at inihahambing ito ng terminating hardware sa iyong listahan. Walang panig na nakikipagnegosasyon sa selector na hindi naman ibinigay sa kanila.

Ang uri ng routing ang nagtatakda kung ano ang umaabot sa routing table

Nag-aalok ang Cloud VPN ng tatlong hugis ng routing at hindi sila malinis na naghahalo. Ang routing na batay sa patakaran ay nagpapanatili ng mga static na pares ng selector, ang routing na batay sa ruta ay umaasa na ikaw mismo ang magdadagdag ng mga static na ruta, at ang dynamic na routing ay nag-aanunsyo ng mga prefix sa pamamagitan ng Cloud Router sa BGP. Pumili ng isa nang sinasadya.

Ang dynamic na tunnel na may mga static na rutang nakasulat sa kamay sa tabi nito ay gumagawa ng routing table na nagiging walang laman sa tuwing umuuga ang sesyon ng BGP.

Ang dynamic ang tanging hugis na nagpapahintulot sa mga protektadong prefix na magbago nang hindi muling binubuo ang tunnel, at hinihila nito ang Cloud Router sa hanay ng mga object na kailangan mong i-verify. Nananatiling magagamit ang mga static na selector kapag ang peer ay isang hardware firewall na hindi marunong magsalita ng BGP. Kailangan noon ng dalawang dulo ang parehong mga saklaw, at ang mas tiyak na entry ay dapat manalo sa pareho. Ang pares na nagkakaiba ng isang subnet ay naitatag at pagkatapos ay nagdadala ng kalahati ng iyong trapiko.

Ang ipinahiwatig na pagtanggi ay nakaupo sa likod ng tunnel

Ang papasok na trapiko ay tinatasa laban sa isang ipinahiwatig na pagtanggi sa pinakamababang priyoridad, at walang pakialam ang patakarang iyon kung ang packet ay dumating na naka-encrypt. Hanggang sa pangalanan ng isang patakaran ng firewall ang saklaw sa lugar at ang port na ginagamit, ang packet ay dine-decrypt, sinusuri at itinatapon. Nananatiling malinis ang log ng VPN sa buong oras, dahil ginawa ng tunnel ang eksaktong ipinangako nito.

Sa halip, basahin ang log ng pagtanggi ng firewall kapag nakabukas ang tunnel at lumalampas sa oras ang probe, pagkatapos ay limitahan ang isang patakaran sa saklaw ng pinagmulan at sa mga port na kailangan mo:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Ang isang direksyon lang na gumagana ay indikasyon ng firewall

Iba ang ugali ng palabas na trapiko, dahil pinapayagan ng ipinahiwatig na patakaran ng pahintulot ang mga instance na magpadala kahit saan. Ang data center na hindi marating ang isang VM ay madalas nasa likod ng perpektong gumaganang palabas na landas sa kabilang direksyon. Ang asimetriyang iyon ay naghihiwalay ng pagkukulang sa firewall mula sa sira ng routing, dahil ang sira ng routing ay sabay na binabali ang dalawang direksyon. Subukan ang kabaligtarang direksyon bago mo i-edit ang isa pang patakaran.

Ang paglikha ng address ay operasyon din ng quota. Ang proyektong malapit sa limitasyon ng mga ginagamit na panlabas na address ay tumatanggi sa koneksyon na may error na parang kabiguan ng pahintulot.

Mga selector, quota, pagkatapos ang apat na pagsusuri

Ang mga tunnel na ginawa sa console kung minsan ay nagbabalik ng walang laman na malayong selector ng trapiko mula sa gcloud compute vpn-tunnels describe habang ang mga nalikhang ruta ay tama ang pagdala ng trapiko. Ihambing ang itinatala ng API sa mga saklaw na talagang pinoprotektahan mo bago magpasya na mali ang tunnel. Ang paggawa nito sa pamamagitan ng API o SDK ay nagpapanatili ng selector na malinaw.

Ang quota ang isa pang madaling pagkakaligtaan. Hilingin ang pagtaas bago ang window ng maintenance, hindi habang ito ay nangyayari, at suriin ang bilang ng address sa parehong proyekto ng gateway.

Magtrabaho mula sa labas papasok: status ng peer, dalawang listahan ng selector, isang ruta bawat panig, patakaran ng papasok para sa saklaw ng pinagmulan at port, pagkatapos ay paghuli ng packet. Isulat ang address ng gateway, dalawang listahan ng selector at uri ng routing sa ticket ng pagbabago habang bago pa ang tunnel, dahil ang susunod na inhinyero na magdadagdag ng subnet ay kakailanganin ang tatlo.