GCP VM na may maraming NIC: bakit lumalabas ang mga tugon sa maling interface

Ang paglalakip ng pangalawang interface sa isang Compute Engine VM ay nagbibigay dito ng isa pang koneksyon sa network, hindi simetriko na daan ng pagbabalik. Pinipili pa rin ng guest ang isang interface at isang address ng pinagmulan mula sa sarili nitong mga ruta at patakaran. Pagkatapos ay inilalapat ng Google Cloud ang VPC routing at patakaran ng firewall sa paligid ng interface kung saan lumabas ang packet. Kapag hindi nagtutugma ang dalawang desisyong ito, dumarating ang mga kahilingan sa isang NIC at lumalabas ang mga tugon sa isa pa, at nakikita ng sangay ang kalahating bukas na usapan.

Dumaan sa landas sa limang hakbang at lalabas ang pagkakaiba bago ka magsulat ng tuntunin ng polisiya.

Hakbang 1: itugma ang mga NIC ng cloud sa mga device ng guest

Pinangalanan ng cloud ang mga interface na nic0, nic1 at iba pa, at nakikita ng guest ang mga pangalan ng device na hindi kailangang magtugma. Lutasin ang pagmamapa mula sa metadata ng instance o mula sa sariling address ng interface bago ang anupaman. Ang karaniwang default na ruta na ibinibigay ng DHCP ay nauugnay sa nic0, kaya madalas na nananalo nang aksidente ang daan patungo sa internet. Ang pagsulat ng polisiya laban sa isang hinulaang pangalan ng device ay ang paraan kung paano napupunta ang tamang tuntunin sa maling interface.

Itala ang mga address, pangalan ng device at ang VPC na kinabibilangan ng bawat isa. Ang tatlong-kolum na mapa ay input sa bawat susunod na hakbang.

Hakbang 2: pangalanan ang dalawang desisyon sa routing

Ang unang desisyon ay sa guest: aling interface at aling address ng pinagmulan para sa packet na ito. Ang pangalawa ay sa cloud: ano ang pinapayagan ng mga ruta ng VPC at patakaran ng firewall sa paligid ng interface na iyon.

Ang rutang nakikita sa VPC na nakaharap sa VPN ay hindi nagiging rutang guest na pipili sa NIC na iyon. Inilalarawan ng ruta ng cloud kung ano ang maaaring ihatid ng network, samantalang pinagpapasyahan ng ruta ng guest kung ano ang ginagawa ng packet.

Hakbang 3: pumili ng patakaran sa daan ng pagbabalik

Para sa maliit at matatag na hanay ng mga prefix ng sangay, ang mga tahasang ruta ng destinasyon sa guest ang pinakasimpleng pagpapahayag: lumalabas ang mga tugon sa mga prefix na iyon sa interface na nakaharap sa VPN. Kapag sadyang gumagamit ang ilang serbisyo ng magkakaibang lokal na address ng pinagmulan, pinananatili ng mga tuntuning nakabatay sa pinagmulan na pumipili ng talahanayan sa bawat interface ang bawat tugon sa tamang konteksto. Inilalarawan ng dokumentasyon tungkol sa maraming interface ang pagpapangalan ng NIC at pag-uugali ng default na ruta na pinagbabatayan ng mga disenyong ito.

Kailangan ng bawat talahanayan ng mga wastong konektadong ruta at susunod na hop, at ang mga destinasyon kung saan tatanungin ito. Ang tuntuning tumuturo sa hindi kumpletong talahanayan ay hindi disenyo ng daan ng pagbabalik. Gamitin ang dokumentadong gateway para sa NIC na iyon sa halip na mag-imbento ng Ethernet gateway mula sa anyo ng subnet.

Hakbang 4: suriin ang sariling mga filter ng guest

Suriin kung saan nakikinig ang server at kung aling lokal na pinagmulan ang dala ng tugon. Ang tagapakinig sa lahat ng address ay hindi nanaig sa patakaran ng routing, kaya walang nababago sa pagbigkis sa lahat ng address tungkol sa interface kung saan lumalabas ang sagot.

Sa Linux, repasuhin ang pagpapatunay ng baliktad na daan laban sa inilaan na disenyo. Ang pagpapawalang-bisa nito nang pandaigdigan bilang unang hakbang ay nagpapalit ng bug sa routing para sa pagkakalantad sa spoofing, at itinatago ang asimetriyang sinusubukan mong hanapin.

Hakbang 5: subukan ang isang daloy sa bawat daan

I-verify nang hiwalay ang pinahihintulutang kahilingan ng sangay at ang walang kaugnayang kahilingan sa internet, bawat isa kasama ang tunay na pinagmulan at destinasyon. Kunin sa parehong interface kapag kaya mo, dahil ang kapaki-pakinabang na ebidensya ay kung aling interface ang nagdala ng tugon. Pagkatapos ay kumpirmahin na iginagalang ng patakaran sa panig ng cloud ang daang dinisenyo mo. Ang isang matagumpay na kahilingan ay nagpapatunay ng isang daloy, hindi isang simetriko na disenyo.

Panatilihing hiwalay ang dalawang pagsubok sa iyong mga tala, dahil gumagamit sila ng magkaibang ruta at magkaibang tuntunin ng firewall.

Ano ang hindi ibinibigay sa iyo ng pangalawang NIC

Ang pangalawang interface ay nagdaragdag ng koneksyon sa network at isa pang address. Hindi ito nagdaragdag ng awtomatikong simetriko na routing at hindi nito nilalampasan ang patakaran ng firewall. Ang pagtrato dito bilang pag-aayos ng routing ang dahilan kung bakit nag-iipon ang mga disenyong may maraming NIC ng mga tuntuning walang makapagpapaliwanag mamaya.

Kung kailangan ng VM na ipasa ang trapiko ng ibang makina, planuhin nang tahasan ang tungkulin ng router na iyon, kasama ang setting ng cloud na nagpapahintulot sa pagpasa at ang mga filter ng guest na kasama nito.