GCP Cloud VPN: shlyuz, tunnel va firewall-ni tartib bilan tekshiring

Konsolingiz yashil tunnelni ko'rsatadi, joyidagi monitoring hali bitta instansga ham yetib bormaydi, va tunnelni qayta qurish aniq yechimdek ko'rinadi. Lekin bu kamdan-kam. O'rnatilgan tunnel faqat ikkita shlyuz IKE almashinuvini tugatganini isbotlaydi. Paket VPC-ingizga hech qachon kiritilgan-kiritilmaganini bu haqda hech narsa demaydi.

O'sha yashil belgi bilan javob orasida to'rtta qaror bor va ular oldindan aytib bo'ladigan tartibda ishlamay qoladi. Eng arzonidan boshlang.

Uchta obyekt, va ulardan faqat bittasi shifrlaydi

VPN shlyuzi sizning hamkoringiz shifrlaydigan tashqi manzilga egalik qiladi. Konsolda uni hech qachon qo'lda yaratmaysiz: ulanish formasining ichida manzilni tanlang yoki band qiling, shlyuz u bilan birga paydo bo'ladi. HA shlyuzi ikkita interfeysda ikkita manzilni oladi, bu keyinroq kvota tekshiruvida muhim.

Tunnel — bu o'sha shlyuz va hamkor o'rtasidagi juftlik. U umumiy sirni va himoya qilishga va'da bergan trafik selektorlarini olib yuradi. Aynan shu selektorlardan ko'pchilik jim nosozliklar boshlanadi. Mahalliy selektori 10.0.0.0/24 ni qamrab olgan tunnel, holat qanchalik sog'lom ko'rinmasin, 10.0.1.0/24 ni yetkazmaydi.

Uzoq tomon o'z ro'yxatini saqlaydi, odatda u shifrlash domeni deb ataladi, va yakunlovchi apparat uni sizning ro'yxatingiz bilan solishtiradi. Hech bir tomon o'ziga hech qachon berilmagan selektor haqida muzokara qilmaydi.

Marshrutlash turi marshrutlar jadvaliga nima yetib borishini hal qiladi

Cloud VPN uchta marshrutlash shaklini taklif qiladi va ular toza aralashmaydi. Siyosatga asoslangan marshrutlash statik selektor juftlarini saqlaydi, marshrutga asoslangan marshrutlash statik marshrutlarni o'zingiz qo'shishingizni kutadi, dinamik marshrutlash esa prefikslarni BGP orqali Cloud Router orqali e'lon qiladi. Bittasini ataylab tanlang.

Yonida qo'lda yozilgan statik marshrutlar bo'lgan dinamik tunnel BGP sessiyasi har tebranganda bo'shab qoladigan marshrutlar jadvalini hosil qiladi.

Dinamik — tunnelni qayta qurmasdan himoyalangan prefikslarni o'zgartirishga imkon beradigan yagona shakl, va u Cloud Routerni siz tekshirishingiz kerak bo'lgan obyektlar to'plamiga tortadi. Hamkor BGP gapira olmaydigan apparat firewall bo'lsa, statik selektorlar ishlayveradi. Unda ikkala uchga ham bir xil diapazonlar kerak, va aniqroq yozuv ikkalasida ham g'olib bo'lishi shart. Bitta subnetga farq qiladigan juftlik o'rnatiladi va keyin trafigingizning yarmini tashiydi.

Yashirin rad etish tunnelning orqasida turadi

Kiruvchi trafik eng past ustuvorlikdagi yashirin rad etishga qarshi baholanadi, va bu qoida paketning shifrlangan holda kelganiga parvo qilmaydi. Firewall qoidasi joyidagi diapazonni va ishlatilayotgan portni nomlamaguncha paket shifrdan chiqariladi, tekshiriladi va tashlanadi. VPN jurnali butun vaqt davomida toza qoladi, chunki tunnel aynan va'da qilganini qildi.

Buning o'rniga tunnel ishlab, tekshiruv vaqti tugaganda firewallning rad etish jurnalini o'qing, so'ng qoidani manba diapazoni va kerakli portlar bilan cheklang:

gcloud compute firewall-rules create allow-from-dc \
  --network=vpn-vpc \
  --direction=INGRESS \
  --source-ranges=192.168.10.0/24 \
  --allow=tcp:22,tcp:5432,icmp

Faqat bitta yo'nalishning ishlashi firewall alomatidir

Chiquvchi trafik boshqacha yo'l tutadi, chunki yashirin ruxsat qoidasi instanslarga istalgan joyga yuborishga ruxsat beradi. VM ga yetib bormaydigan ma'lumot markazi ko'pincha qarama-qarshi yo'nalishda mukammal ishlaydigan chiqish yo'li orqasida turadi. Bu asimmetriya firewall kamchiligini marshrutlash nosozligidan ajratadi, chunki marshrutlash nosozligi ikkala yo'nalishni bir vaqtda buzadi. Yana bitta qoidani tahrirlashdan oldin qarama-qarshi yo'nalishni sinab ko'ring.

Manzil yaratish ham kvota operatsiyasi. Ishlatilayotgan tashqi manzillar chegarasiga yaqin loyiha ulanishni ruxsat xatosi kabi o'qiladigan xato bilan rad etadi.

Selektorlar, kvotalar, so'ng to'rtta tekshiruv

Konsolda yaratilgan tunnellar ba'zan gcloud compute vpn-tunnels describe dan bo'sh uzoq trafik selektorini qaytaradi, holbuki hosil qilingan marshrutlar trafikni to'g'ri tashiydi. Tunnelni noto'g'ri deb qaror qilishdan oldin API qayd etgan narsani siz haqiqatan himoya qiladigan diapazonlar bilan solishtiring. Uni API yoki SDK orqali yaratish selektorni aniq saqlaydi.

Kvotalar — yana bir oson o'tkazib yuboriladigan narsa. Oshirishni texnik xizmat oynasidan oldin so'rang, uning davomida emas, va manzillar sonini shlyuz bilan bir loyihada tekshiring.

Tashqaridan ichkariga qarab ishlang: hamkor holati, ikkala selektor ro'yxati, har bir tomon uchun marshrut, manba diapazoni va port uchun kiruvchi qoida, so'ng paketlarni ushlash. Tunnel yangi bo'lganda shlyuz manzilini, ikkala selektor ro'yxatini va marshrutlash turini o'zgartirish chiptasiga yozing, chunki subnet qo'shadigan keyingi muhandisga uchtasi ham kerak bo'ladi.