跳到主要內容

如何使用 Cloud VPN 跨專案存取私有 GKE 叢集 - 使用 Classic VPN

 

如何使用 Cloud VPN 跨專案存取私有 GKE 叢集 - 使用 Classic VPN




Classic VPN 使用 Route Based 的方式, 跟據 Routing Table 裡設定的路由規則, 將封包轉送到指定的目的地


以下示範在 project 01, project 02 各自建立 GKE, VM, 接著透過 Classic VPN 讓 us-east4 的 VM 可以 access project 01 下 us-central1 的 private GKE 叢集





Step 1. 建立 VPN Gateway

需要建立一個 VPN Gateway 作為 VPC 網路對外溝通的橋樑

variable "p1_project_id" {
    default = "project-01"
}
variable "p1_region" {
    default = "us-central1"
}

resource "google_compute_vpn_gateway" "p1_vpn_gw" {
  project   = var.p1_project_id
  region    = var.p1_region
  name      = "vpn-gw"
  network = "projects/${var.p1_project_id}/global/networks/default"
}


Step 2. 建立 Routing 規則

需要一個對外 IP, 讓外部流量可以流進 VPN Gateway

resource "google_compute_address" "p1_vpn_ip" {
  project      = var.p1_project_id
  region       = var.p1_region
  name         = "p1-vpn-ip"
  address_type = "EXTERNAL"
}

建立 Routing Rule, 將 Gateway, External IP 關聯在一起

resource "google_compute_forwarding_rule" "p1_vpn_gw_fr_esp" {
  project      = var.p1_project_id
  region       = var.p1_region
  name         = "p1-vpn-gw-fr-esp"
  ip_protocol  = "ESP"
  ip_address   = google_compute_address.p1_vpn_ip.address 
  target       = google_compute_vpn_gateway.p1_vpn_gw.id
}

resource "google_compute_forwarding_rule" "p1_vpn_gw_fr_udp500" {
  project         = var.p1_project_id
  region          = var.p1_region
  name            = "p1-vpn-gw-fr-udp500"
  ip_protocol  = "UDP"
  port_range   = "500"
  ip_address   = google_compute_address.p1_vpn_ip.address
  target       = google_compute_vpn_gateway.p1_vpn_gw.id
}

resource "google_compute_forwarding_rule" "p1_vpn_gw_fr_udp4500" {
  project      = var.p1_project_id
  region       = var.p1_region
  name         = "p1-vpn-gw-fr-udp4500"
  ip_protocol  = "UDP"
  port_range   = "4500"
  ip_address   = google_compute_address.p1_vpn_ip.address
  target       = google_compute_vpn_gateway.p1_vpn_gw.id
}

Step 3. 建立 VPN Tunnel

variable "p1_vpn_peer_ip" {
  default = "YOUR_VPN_IP_ON_PROJECT_02" #YOUR_PEER_IP_TO_PROJECT_02
}

resource "google_compute_vpn_tunnel" "p1_vpn_gw_tunnel" {
  project       = var.p1_project_id
  region        = var.p1_region
  name          = "p1-vpn-gw-tunnel"
  peer_ip       = var.p1_vpn_peer_ip
  shared_secret = "this is secrete"
  target_vpn_gateway      = google_compute_vpn_gateway.p1_vpn_gw.id
  local_traffic_selector  = ["0.0.0.0/0"]
  remote_traffic_selector = ["0.0.0.0/0"]
  
  depends_on = [
    google_compute_forwarding_rule.p1_vpn_gw_fr_esp,
    google_compute_forwarding_rule.p1_vpn_gw_fr_udp500,
    google_compute_forwarding_rule.p1_vpn_gw_fr_udp4500,
  ]
}



Step 4. 將以上 Routing Rule 更新到 GCP 上的 Routing Table 裡

定義封包可以被路由到的目的端 IP 範圍, 
以下的例子, 也就是説當 VPN 通道建立之後, 封包可以被送往另一個網路下的
10.150.0.0/20 網段

variable "dest_range" {
  default = "10.150.0.0/20"
}

resource "google_compute_route" "p1_vpn_gw_tunnel_route" {
  project    = var.p1_project_id
  name       = "p1-vpn-gw-tunnel-route"
  network    = "default"
  dest_range = "10.150.0.0/20"
  priority   = 1000
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.p1_vpn_gw_tunnel.id
}



Step 5. 在 Project 2 下建立 VPN Tunnel
重複以上步驟 1~4 在 projetc 2 下建立 VPN Tunnel 相關設定

variable "p2_project_id" {
    default  = "project-02"
}
variable "p2_region" {
    default = "us-east4"
}

resource "google_compute_vpn_gateway" "p2_vpn_gw" {
  project    = var.p2_project_id
  region     = var.p2_region
  name       = "p2_vpn-gw"
  network    = "projects/${var.p2_project_id}/global/networks/default"
}

resource "google_compute_address" "p2_vpn_ip" {
  project      = var.p2_project_id
  region       = var.p2_region
  name         = "p2-vpn-ip"
  address_type = "EXTERNAL"
}

variable "p2_vpn_peer_ip" {
  default = "YOUR_VPN_IP_ON_PROJECT_01"
}

resource "google_compute_forwarding_rule" "p2_vpn_gw_fr_esp" {
  project      = var.p2_project_id
  region       = var.p2_region
  name         = "p2-vpn-gw-fr-esp"
  ip_protocol  = "ESP"
  ip_address   = google_compute_address.p2_vpn_ip.address 
  target       = google_compute_vpn_gateway.p2_vpn_gw.id
}

resource "google_compute_forwarding_rule" "p2_vpn_gw_fr_udp500" {
  project         = var.p2_project_id
  region          = var.p2_region
  name            = "p2-vpn-gw-fr-udp500"
  ip_protocol  = "UDP"
  port_range   = "500"
  ip_address   = google_compute_address.p2_vpn_ip.address
  target           = google_compute_vpn_gateway.p2_vpn_gw.id
}

resource "google_compute_forwarding_rule" "p2-vpn_gw_fr_udp4500" {
  project      = var.p2_project_id
  region       = var.p2_region
  name         = "p2-vpn-gw-fr-udp4500"
  ip_protocol  = "UDP"
  port_range   = "4500"
  ip_address   =google_compute_address.p2_vpn_ip.address
  target           = google_compute_vpn_gateway.p2_vpn_gw.id
}

resource "google_compute_vpn_tunnel" "p2_vpn_gw_tunnel" {
  project       = var.p2_project_id
  region        = var.p2_region
  name          = "p2-vpn-gw-tunnel"
  peer_ip       = var.p2_vpn_peer_ip
  shared_secret = "this is secrete"
  target_vpn_gateway      = google_compute_vpn_gateway.p2_vpn_gw.id
  local_traffic_selector  = ["0.0.0.0/0"]
  remote_traffic_selector = ["0.0.0.0/0"]
  
  depends_on = [
    google_compute_forwarding_rule.p2_vpn_gw_fr_esp,
    google_compute_forwarding_rule.p2_vpn_gw_fr_udp500,
    google_compute_forwarding_rule.p2_vpn_gw_fr_udp4500,
  ]
}

resource "google_compute_route" "p2_vpn_gw_tunnel_route" {
  project    = var.p2_project_id
  name       = "p2-vpn-gw-tunnel-route"
  network    = "default"
  dest_range = "172.16.0.66/32"
  priority   = 1000
  next_hop_vpn_tunnel = google_compute_vpn_tunnel.p2_vpn_gw_tunnel.id
}


 


標籤：

留言

張貼留言

這個網誌中的熱門文章

[解決方法] docker: permission denied

前言 當我們執行docker 指令時若出現以下錯誤訊息 docker: Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock: Post http://%2Fvar%2Frun%2Fdocker.sock/v1.26/containers/create: dial unix /var/run/docker.sock: connect: permission denied. See 'docker run --help'. 表示目前的使用者身分沒有權限去存取docker engine, 因為docker的服務基本上都是以root的身分在執行的, 所以在指令前加sudo就能成功執行指令 但每次實行docker指令(就連docker ps)都還要加sudo實在有點麻煩, 正確的解法是 我們可以把目前使用者加到docker群組裡面, 當docker service 起來時, 會以這個群組的成員來初始化相關服務 sudo groupadd docker sudo usermod -aG docker $USER 需要退出重新登錄後才會生效 Workaround 因為問題是出在權限不足, 如果以上方法都不管用的話, 可以手動修改權限來解決這個問題 sudo chmod 777 /var/run/docker.sock https://docs.docker.com/install/linux/linux-postinstall/
張貼留言
閱讀完整內容

[C#] Visual Studio, 如何在10分鐘內快速更改命名專案名稱

前言: 由於工作需要, 而且懶得再重寫類似的專案, 所以常常將之前寫的專案複製一份加料後, 再重新命名編譯 假設今天我有一個專案HolyUWP, 我想把它重新命名成 BestUWP 時該怎麼做? 以下是幾個簡單的的步驟 使用Visual Studio 2017 備份原來專案 更改Solution名稱 更改Assembly name, Default namespce 更改每支程式碼的Namespace 更改專案資料夾名稱 備份原來專案 由於怕改壞掉, 所以在改之前先備份 更改Solution名稱 更改sln的名稱, 這邊我改成BestUWP.sln 使用Visual Studio打開你的.sln, 右鍵點擊Solution後選擇Rename, 這邊我把它重新命名成BestUWP(跟檔案名稱一致) 必要的話可以順便修改Porject名稱 更改Assembly name, Default namespce 進入 Project > OOXX Properties    修改Assembly Name, Default namesapce 更改每支程式碼的Namespace 基本上隨便挑一支有用到預設Namesapce(HolyUWP)的程式碼來改就好了 重新命名後點擊Apply,  這個動作做完後所有用到舊Namespace的程式碼都會被改成新的 更改專案資料夾名稱 以上動作做完後, 基本上就可以把專案編譯出來測看看了~
2 則留言
閱讀完整內容

[Visual Studio Code] 如何切換背景主題

在我們安裝完畢後，背景主題預設會是黑色 那如果不喜歡黑色 我們可以直接到 File > Preferences > Color Theme下做更換 點開Color Theme 後會發現，Visual Studio Code 內建了許多主題讓我們選擇 現在的Visual Studio Code提供Syntax HighLight的功能，方便我們複製貼上程式碼時能保有顏色 由於我希望複製貼上後的程式碼背景可以是白色的 所以我選擇了 Light(Visual Studio) 這個主題，結果如下
張貼留言
閱讀完整內容