GCP Cloud VPN: ağ geçidini, tüneli ve güvenlik duvarını sırayla kontrol edin

Konsolunuz yeşil bir tünel gösteriyor, yerinde izleme hâlâ tek bir örneğe bile ulaşamıyor ve tüneli yeniden oluşturmak bariz çözüm gibi görünüyor. Nadiren öyledir. Kurulmuş bir tünel yalnızca iki ağ geçidinin IKE değişimini tamamladığını kanıtlar. Bir paketin VPC'nize hiç kabul edilip edilmediği hakkında hiçbir şey söylemez.

O yeşil simge ile bir yanıt arasında dört karar var ve bunlar öngörülebilir bir sırayla başarısız olur. En ucuzundan başlayın.

Üç nesne ve bunlardan yalnızca biri şifreler

Bir VPN ağ geçidi, eşinizin şifrelediği dış adresi elinde bulundurur. Konsolda onu asla elle oluşturmazsınız: bağlantı formunun içinde bir adres seçin veya ayırın, ağ geçidi onunla birlikte görünür. HA ağ geçidi iki arayüzde iki adres alır; bu, daha sonraki kota kontrolünde önemlidir.

Tünel, o ağ geçidi ile eş arasındaki eşleşmedir. Paylaşılan sırrı ve korumayı vaat ettiği trafik seçicilerini taşır. Sessiz arızaların çoğu tam da bu seçicilerde başlar. Yerel seçicisi 10.0.0.0/24'ü kapsayan bir tünel, durum ne kadar sağlıklı görünse de 10.0.1.0/24'ü teslim etmez.

Uzak taraf kendi listesini tutar, buna genellikle şifreleme alanı denir ve sonlandırıcı donanım bunu sizinkiyle karşılaştırır. Hiçbir taraf kendisine hiç verilmemiş bir seçici için pazarlık yapmaz.

Yönlendirme türü, yönlendirme tablosuna neyin ulaştığını belirler

Cloud VPN üç yönlendirme biçimi sunar ve bunlar temiz biçimde karışmaz. İlke tabanlı yönlendirme statik seçici çiftlerini korur, rota tabanlı yönlendirme statik rotaları kendiniz eklemenizi bekler ve dinamik yönlendirme ön ekleri BGP üzerinden bir Cloud Router aracılığıyla duyurur. Birini bilinçli olarak seçin.

Yanında elle yazılmış statik rotalar bulunan dinamik bir tünel, BGP oturumu her sallandığında boşalan bir yönlendirme tablosu üretir.

Dinamik, korunan ön eklerin tüneli yeniden oluşturmadan değişmesine izin veren tek biçimdir ve Cloud Router'ı doğrulamanız gereken nesneler kümesine çeker. Eş, BGP konuşamayan bir donanım güvenlik duvarı olduğunda statik seçiciler kullanılabilir kalır. O zaman iki uç da aynı aralıklara ihtiyaç duyar ve daha belirgin girdi her iki tarafta da kazanmalıdır. Bir alt ağ kadar farklılaşan bir çift kurulur ve sonra trafiğinizin yarısını taşır.

Örtük ret tünelin arkasında oturur

Gelen trafik en düşük öncelikteki örtük ret ile değerlendirilir ve o kural paketin şifreli geldiğini umursamaz. Bir güvenlik duvarı kuralı yerindeki aralığı ve kullanılan bağlantı noktasını adlandırana kadar paket şifresi çözülür, denetlenir ve düşürülür. VPN günlüğü baştan sona temiz kalır, çünkü tünel tam olarak vaat ettiğini yaptı.

Bunun yerine tünel ayaktayken ve yoklama zaman aşımına uğradığında güvenlik duvarının ret günlüğünü okuyun, sonra kuralı kaynak aralığına ve ihtiyaç duyduğunuz bağlantı noktalarına daraltın:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Yalnızca bir yönün çalışması bir güvenlik duvarı ipucudur

Giden trafik farklı davranır, çünkü örtük izin kuralı örneklerin her yere göndermesine izin verir. Bir VM'ye ulaşamayan veri merkezi genellikle diğer yönde kusursuz çalışan bir giden yolun arkasındadır. Bu asimetri, bir güvenlik duvarı eksikliğini yönlendirme arızasından ayırır, çünkü yönlendirme arızası iki yönü birden bozar. Bir kural daha düzenlemeden önce ters yönü test edin.

Adres oluşturma da bir kota işlemidir. Kullanımdaki dış adres sınırına yakın bir proje, bağlantıyı izin hatası gibi okunan bir hatayla reddeder.

Seçiciler, kotalar, sonra dört kontrol

Konsolda oluşturulan tüneller bazen gcloud compute vpn-tunnels describe çıktısından boş bir uzak trafik seçicisi döndürür, oysa üretilen rotalar trafiği doğru taşır. Tünelin yanlış olduğuna karar vermeden önce API'nin kaydettiğini gerçekten koruduğunuz aralıklarla karşılaştırın. API veya SDK üzerinden oluşturmak seçiciyi açık tutar.

Kotalar diğer kolay gözden kaçan noktadır. Artışı bakım penceresinden önce isteyin, pencerenin içinde değil, ve adres sayısını ağ geçidiyle aynı projede kontrol edin.

Dışarıdan içeriye doğru çalışın: eş durumu, iki seçici listesi, her taraf için bir rota, kaynak aralığı ve bağlantı noktası için gelen kural, ardından paket yakalama. Tünel yeniyken ağ geçidi adresini, iki seçici listesini ve yönlendirme türünü değişiklik kaydına yazın, çünkü alt ağ ekleyecek bir sonraki mühendis üçüne de ihtiyaç duyacak.