Bir nechta NICli GCP VM: javoblar nega noto'g'ri interfeysdan chiqadi

Compute Engine VM ga ikkinchi interfeys ulash unga yana bitta tarmoq ulanishini beradi, simmetrik qaytish yo'lini emas. Mehmon hali ham interfeys va manba manzilini o'z marshrutlari va qoidalaridan tanlaydi. Keyin Google Cloud paket chiqqan interfeys atrofida VPC marshrutlash va firewall siyosatini qo'llaydi. Bu ikki qaror mos kelmasa, so'rovlar bitta NIC ga keladi va javoblar boshqasidan chiqadi, filial esa yarim ochiq suhbatni ko'radi.

Yo'lni besh qadamda bosib o'ting va siyosat qoidasini yozishdan oldin nomuvofiqlik ko'rinadi.

1-qadam: bulut NIC larini mehmon qurilmalariga moslang

Bulut interfeyslarni nic0, nic1 va hokazo deb nomlaydi, mehmon esa mos kelishi shart bo'lmagan qurilma nomlarini ko'radi. Moslikni hamma narsadan oldin instans metama'lumotlaridan yoki interfeysning o'z manzilidan aniqlang. DHCP beradigan odatiy standart marshrut nic0 ga bog'langan, shuning uchun internetga qarab yo'l ko'pincha tasodifan yutadi. Taxmin qilingan qurilma nomiga siyosat yozish to'g'ri qoidaning noto'g'ri interfeysga tushish yo'lidir.

Manzillarni, qurilma nomlarini va har biri tegishli VPC ni yozib oling. O'sha uch ustunli xarita har bir keyingi qadamning kirishidir.

2-qadam: ikkita marshrutlash qarorini nomlang

Birinchi qaror mehmonga tegishli: bu paket uchun qaysi interfeys va qaysi manba manzili. Ikkinchisi bulutga tegishli: VPC marshrutlari va firewall siyosati o'sha interfeys atrofida nimaga ruxsat beradi.

VPN ga qaragan VPC da ko'rinadigan marshrut o'sha NIC ni tanlaydigan mehmon marshrutiga aylanmaydi. Bulut marshruti tarmoq nima yetkazib bera olishini tasvirlaydi, mehmon marshruti esa paket nima qilishini hal qiladi.

3-qadam: qaytish yo'li siyosatini tanlang

Filial prefikslarining kichik va barqaror to'plami uchun mehmonda aniq manzil marshrutlari eng sodda ifodadir: o'sha prefikslarga javoblar VPN ga qaragan interfeysdan chiqadi. Bir nechta xizmat ataylab turli mahalliy manba manzillaridan foydalansa, har bir interfeys uchun jadval tanlaydigan manbaga asoslangan qoidalar har bir javobni to'g'ri kontekstda saqlaydi. Bir nechta interfeys hujjati bu loyihalar tayanadigan NIC nomlash va standart marshrut xatti-harakatini tasvirlaydi.

Har bir jadvalga haqiqiy ulangan marshrutlar va keyingi sakrashlar, shuningdek so'raladigan manzillar kerak. To'liq bo'lmagan jadvalga ishora qiluvchi qoida qaytish yo'li loyihasi emas. O'sha NIC uchun hujjatlashtirilgan shlyuzdan foydalaning, subnet ko'rinishidan Ethernet shlyuzini o'ylab topish o'rniga.

4-qadam: mehmonning o'z filtrlarini tekshiring

Server qayerda tinglashini va javob qaysi mahalliy manbani olib yurishini tekshiring. Barcha manzillarda tinglaydigan tinglovchi marshrutlash siyosatini bekor qilmaydi, shuning uchun barcha manzillarga bog'lanish javob chiqadigan interfeysga hech narsa o'zgartirmaydi.

Linux da teskari yo'l tekshiruvini mo'ljallangan loyihaga qarshi ko'rib chiqing. Uni birinchi qadam sifatida global o'chirish marshrutlash xatosini qalbakilashtirish xavfiga almashtiradi va siz topmoqchi bo'lgan assimetriyani yashiradi.

5-qadam: har bir yo'l uchun bitta oqimni sinab ko'ring

Ruxsat etilgan filial so'rovini va aloqasiz internet so'rovini alohida tekshiring, har biri o'z haqiqiy manbasi va manzili bilan. Imkon bo'lsa ikkala interfeysda ham yozib oling, chunki foydali dalil qaysi interfeys javobni olib o'tganidir. Keyin bulut tomonidagi siyosat siz loyihalagan yo'lni hurmat qilganini tasdiqlang. Bitta muvaffaqiyatli so'rov bitta oqimni isbotlaydi, simmetrik loyihani emas.

Ikki testni yozuvlaringizda alohida saqlang, chunki ular turli marshrutlar va turli firewall qoidalaridan foydalanadi.

Ikkinchi NIC sizga nima bermaydi

Ikkinchi interfeys tarmoq ulanishi va yana bitta manzil qo'shadi. U avtomatik simmetrik marshrutlash qo'shmaydi va firewall siyosatini chetlab o'tmaydi. Uni marshrutlash tuzatishi deb qarash ko'p NIC li loyihalarda keyinchalik hech kim tushuntira olmaydigan qoidalar to'planishining sababidir.

Agar VM boshqa mashinalarning trafigini uzatishi kerak bo'lsa, o'sha router rolini aniq rejalashtiring, uzatishga ruxsat beruvchi bulut sozlamasi va u bilan birga keladigan mehmon filtrlari bilan.