GCP Cloud VPN: گیٹ وے، ٹنل اور فائر وال کو ترتیب سے چیک کریں

آپ کا کنسول ایک سبز ٹنل دکھاتا ہے، جگہ پر نگرانی اب بھی کسی ایک مثال تک نہیں پہنچ پاتی، اور ٹنل دوبارہ بنانا واضح حل معلوم ہوتا ہے۔ ایسا شاذ و نادر ہی ہوتا ہے۔ قائم شدہ ٹنل صرف یہ ثابت کرتا ہے کہ دو گیٹ ویز نے IKE تبادلہ مکمل کیا۔ یہ اس بارے میں کچھ نہیں کہتا کہ آیا کوئی پیکٹ کبھی آپ کے VPC میں داخل ہونے دیا گیا۔

اس سبز آئیکن اور جواب کے درمیان چار فیصلے ہیں، اور وہ پیش گوئی کے مطابق ترتیب سے ناکام ہوتے ہیں۔ سب سے سستے سے شروع کریں۔

تین اشیاء، اور ان میں سے صرف ایک خفیہ کاری کرتی ہے

VPN گیٹ وے اس بیرونی پتے کا مالک ہے جس پر آپ کا ہم منصب خفیہ کاری کرتا ہے. کنسول میں آپ اسے کبھی ہاتھ سے نہیں بناتے: کنکشن فارم کے اندر پتہ منتخب کریں یا محفوظ کریں اور گیٹ وے اسی کے ساتھ ظاہر ہوتا ہے۔ HA گیٹ وے دو انٹرفیس پر دو پتے لیتا ہے، جو بعد میں کوٹہ جانچ میں اہم ہے۔

ٹنل اس گیٹ وے اور ہم منصب کے درمیان جوڑ ہے۔ یہ مشترکہ راز اور وہ ٹریفک سلیکٹر لے کر چلتا ہے جن کے تحفظ کا وعدہ کرتا ہے۔ زیادہ تر خاموش ناکامیاں انہی سلیکٹرز سے شروع ہوتی ہیں۔ جس ٹنل کا مقامی سلیکٹر 10.0.0.0/24 کو ڈھانپتا ہے وہ 10.0.1.0/24 نہیں پہنچائے گا، چاہے حالت کتنی ہی صحت مند دکھے۔

دور کا سرا اپنی فہرست رکھتا ہے، جسے عام طور پر انکرپشن ڈومین کہا جاتا ہے، اور ٹرمینیٹنگ ہارڈ ویئر اس کا موازنہ آپ کی فہرست سے کرتا ہے۔ کوئی فریق ایسے سلیکٹر پر گفت و شنید نہیں کرتا جو اسے کبھی دیا ہی نہ گیا ہو۔

روٹنگ کی قسم طے کرتی ہے کہ روٹ ٹیبل تک کیا پہنچتا ہے

Cloud VPN تین روٹنگ شکلیں دیتا ہے اور وہ صاف طور پر نہیں ملتیں۔ پالیسی پر مبنی روٹنگ جامد سلیکٹر جوڑے رکھتی ہے، روٹ پر مبنی روٹنگ توقع کرتی ہے کہ آپ خود جامد روٹس شامل کریں، اور متحرک روٹنگ BGP پر Cloud Router کے ذریعے سابقے اعلان کرتی ہے۔ جان بوجھ کر ایک منتخب کریں۔

پہلو میں ہاتھ سے لکھے جامد روٹس والا متحرک ٹنل ایسا روٹ ٹیبل بناتا ہے جو BGP سیشن کے ہر جھٹکے پر خالی ہو جاتا ہے۔

متحرک ہی واحد شکل ہے جو ٹنل دوبارہ بنائے بغیر محفوظ سابقوں کو تبدیل ہونے دیتی ہے، اور یہ Cloud Router کو ان اشیاء کے مجموعے میں گھسیٹ لاتی ہے جن کی آپ کو توثیق کرنی ہے۔ جب ہم منصب ایسا ہارڈ ویئر فائر وال ہو جو BGP نہ بول سکے تو جامد سلیکٹر کام آتے رہتے ہیں۔ تب دونوں سروں کو ایک ہی حدود درکار ہوتی ہیں، اور زیادہ مخصوص اندراج کو دونوں طرف جیتنا ہوگا۔ ایک ذیلی نیٹ کے فرق والا جوڑا قائم ہوتا ہے اور پھر آپ کی آدھی ٹریفک اٹھاتا ہے۔

مضمر انکار ٹنل کے پیچھے بیٹھا ہے

آنے والی ٹریفک کا جائزہ سب سے کم ترجیح پر مضمر انکار کے خلاف ہوتا ہے، اور اس اصول کو اس بات کی پروا نہیں کہ پیکٹ خفیہ کاری کے ساتھ آیا۔ جب تک کوئی فائر وال اصول جگہ کی حد اور زیر استعمال پورٹ کا نام نہ لے، پیکٹ ڈکرپٹ ہوتا ہے، جانچا جاتا ہے اور گرا دیا جاتا ہے۔ VPN لاگ ہر وقت صاف رہتا ہے، کیونکہ ٹنل نے ٹھیک وہی کیا جس کا وعدہ کیا تھا۔

اس کے بجائے جب ٹنل چل رہا ہو اور جانچ کا وقت ختم ہو تو فائر وال کا انکار لاگ پڑھیں، پھر اصول کو ماخذ کی حد اور مطلوبہ پورٹس تک محدود کریں:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

صرف ایک سمت کا چلنا فائر وال کا اشارہ ہے

باہر جانے والی ٹریفک مختلف برتاؤ کرتی ہے، کیونکہ مضمر اجازت کا اصول مثالوں کو کہیں بھی بھیجنے دیتا ہے۔ جو ڈیٹا سینٹر کسی VM تک نہیں پہنچ پاتا وہ اکثر دوسری سمت میں مکمل طور پر کام کرنے والے اخراجی راستے کے پیچھے ہوتا ہے۔ یہ عدم توازن فائر وال کی کوتاہی کو روٹنگ خرابی سے الگ کرتا ہے، کیونکہ روٹنگ خرابی دونوں سمتیں ایک ساتھ توڑ دیتی ہے۔ ایک اور اصول میں ترمیم کرنے سے پہلے مخالف سمت آزمائیں۔

پتہ بنانا بھی کوٹہ کارروائی ہے۔ زیر استعمال بیرونی پتوں کی حد کے قریب منصوبہ کنکشن کو ایسی غلطی سے مسترد کرتا ہے جو اجازت کی ناکامی جیسی پڑھی جاتی ہے۔

سلیکٹرز، کوٹے، پھر چار جانچیں

کنسول میں بنائے گئے ٹنل کبھی کبھی gcloud compute vpn-tunnels describe سے خالی دور دراز ٹریفک سلیکٹر واپس کرتے ہیں جبکہ پیدا شدہ روٹس ٹریفک صحیح طور پر لے جاتے ہیں۔ ٹنل کو غلط قرار دینے سے پہلے API جو ریکارڈ کرتا ہے اس کا موازنہ ان حدود سے کریں جنہیں آپ واقعی محفوظ رکھتے ہیں۔ API یا SDK کے ذریعے بنانا سلیکٹر کو واضح رکھتا ہے۔

کوٹے دوسری آسان کوتاہی ہیں۔ دیکھ بھال کی ونڈو سے پہلے اضافہ طلب کریں، اس کے دوران نہیں، اور گیٹ وے والے اسی منصوبے میں پتوں کی تعداد چیک کریں۔

باہر سے اندر کی طرف کام کریں: ہم منصب کی حالت، دونوں سلیکٹر فہرستیں، ہر فریق کے لیے ایک روٹ، ماخذ کی حد اور پورٹ کے لیے داخلی اصول، پھر پیکٹ کیپچر۔ ٹنل کے نئے ہی رہتے ہوئے گیٹ وے کا پتہ، دونوں سلیکٹر فہرستیں اور روٹنگ کی قسم تبدیلی ٹکٹ میں لکھیں، کیونکہ ذیلی نیٹ شامل کرنے والے اگلے انجینئر کو تینوں درکار ہوں گے۔