Steve
не работают
Steve
зачем сказали 0.0.0.0/0 сети прописать
Steve
это же лочит все
Steve
ну вот я поменял сабнеты и в итоге у меня умер ssh
Steve
вроде все так и есть
Vladimir
https://gist.github.com/Civil/4e232472d16134ad0dc8372c437161c2 и скрипт для поднятия vti (обновил пасту чтобы и ipsec.conf там же был)
Vladimir
ну вот я поменял сабнеты и в итоге у меня умер ssh
я просто делал через vti и iptables conntrack, чтобы не парится с subnet'ами, а делать route based или bgp-based
Vladimir
отсюда и 0.0.0.0/0
Steve
ой куда ты дел
Steve
я как раз крипту переписывал
Steve
в гист кстати можно несколько файлов добавлять
Vladimir
@steve_kite я попробую на следующей неделе сделать какой нибудь нормальный док, уровня community guideов
Steve
все равно не запустилось ничего
Steve
может быть как-то секрет надо прописать иначе? но вроде до этого не доходит он
Vladimir
может быть как-то секрет надо прописать иначе? но вроде до этого не доходит он
кусок лога можешь показать?
Steve
Dec 28 08:26:43 google-vpn charon[2552]: 14[NET] sending packet: from 142.93.34.175[500] to 35.228.114.230[500] (36 bytes)
Dec 28 08:26:46 google-vpn charon[2552]: 15[NET] received packet: from 35.228.114.230[500] to 142.93.34.175[500] (884 bytes)
Dec 28 08:26:46 google-vpn charon[2552]: 15[ENC] parsed IKE_SA_INIT request 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) N(HASH_ALG) ]
Dec 28 08:26:46 google-vpn charon[2552]: 15[IKE] no IKE config found for 142.93.34.175...35.228.114.230, sending NO_PROPOSAL_CHOSEN
Dec 28 08:26:46 google-vpn charon[2552]: 15[ENC] generating IKE_SA_INIT response 0 [ N(NO_PROP) ]
Dec 28 08:26:46 google-vpn charon[2552]: 15[NET] sending packet: from 142.93.34.175[500] to 35.228.114.230[500] (36 bytes)
Dec 28 08:26:49 google-vpn charon[2552]: 01[NET] received packet: from 35.228.114.230[500] to 142.93.34.175[500] (884 bytes)
Dec 28 08:26:49 google-vpn charon[2552]: 01[ENC] parsed IKE_SA_INIT request 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) N(HASH_ALG) ]
Dec 28 08:26:49 google-vpn charon[2552]: 01[IKE] no IKE config found for 142.93.34.175...35.228.114.230, sending NO_PROPOSAL_CHOSEN
Dec 28 08:26:49 google-vpn charon[2552]: 01[ENC] generating IKE_SA_INIT response 0 [ N(NO_PROP) ]
Dec 28 08:26:49 google-vpn charon[2552]: 01[NET] sending packet: from 142.93.34.175[500] to 35.228.114.230[500] (36 bytes)
Vladimir
no IKE config found for 142.93.34.175...35.228.114.230, sending NO_PROPOSAL_CHOSEN
Vladimir
у тебя left-right неправильные
Steve
да вроде все верно
Steve
conn %default
ike=aes256gcm16-sha512-modp3072
esp=aes128gcm16-sha-modp2048
ikelifetime=24h
keylife=60m
rekeymargin=3m
keyingtries=%forever
authby=psk
keyexchange=ikev2
type=tunnel
mobike=no
rightauth=psk
leftauth=psk
conn gce-vpn
ikelifetime=1h
left=10.131.73.130 #Strongswan local IP
leftid=142.93.34.175 #Strongswan pub
leftsubnet=10.131.0.0/16 #networks for management, development, and wireless
rightid=35.228.114.230 #google vpn static IP
right=35.228.114.230 #google vpn static IP
rightsubnet=10.166.0.0/20 #network for test network
auto=route
Vladimir
@steve_kite в случаи DO возможно надо left такой же как leftid
George
George
У тебя внешний адрес не внутренний
George
Он же матчится по внешнику.
Steve
у DO что-то странное с айпишниками в отличии от гуглоклауда
George
И тебе из доки нужно взять конфиг, который с натом
George
У меня же были белые айпи и все ок
Vladimir
И тебе из доки нужно взять конфиг, который с натом
как раз left=internal_ip - это для NAT'а
Steve
не понимаю, я публичный прописал в leftid
Steve
ага сейчас
Steve
лол
Steve
заработало
Vladimir
у DO что-то странное с айпишниками в отличии от гуглоклауда
у гугла как раз по умолчанию 1-to-1 NAT для внешнего IP, на самом VM нету его (по умолчанию)
Steve
ну когда публичный прописал
Vladimir
а, ок )
Steve
ну вроде у DO на машинах тоже нет самого айпишника
Steve
нормик даже работает
Steve
тепень на DO мне нужно как-то роутинг настроить на каждой машине да?
Vladimir
тепень на DO мне нужно как-то роутинг настроить на каждой машине да?
трафика через vpn, тут уже я не знаю что DO предоставляет
Steve
да походу ничего о_О
Vladimir
в идеальном мире тебе бы стоило поднять 2 машины в двух разных зонах у DO и сделать по два тунеля на каждой
Vladimir
до двух Cloud VPN'ов
Steve
но у DO нет сети между регионами?
Vladimir
это если прям совсем правильно хочется
Steve
то есть еще пара машин между регионами
Vladimir
я не знаю что предоставляет ДО
George
вообще роутинг настраивать не надо
George
ставишь дефолтным шлюзом тачку с впн и оно само полетит
George
вроде как так
Steve
ну это и есть настройка
Steve
просто есть вмки которые менеджмятся DO типа куба
George
пускай с нее выходит наружу
Vladimir
точнее это на VM надо еще костылять
George
мне кажется, что стоит все таки написать в техпод DO
Vladimir
дополнительно
Steve
они же куб запустили
Vladimir
@steve_kite но на самом деле interop хостинга типа DO и облака (любого) это отдельная песня... они слишком разные по набору фич и прочему.
Steve
да у нас от облаков почти ничего нет - куб и пара виртуалок
Vladimir
да у нас от облаков почти ничего нет - куб и пара виртуалок
со временем появятся и CDN'ы с балансировщиками (вероятно)
Steve
уже есть
Steve
вся статика и файлы в uploadcare.com
Steve
ну и в бакетах за cloudflare
Vladimir
ну со временем все равно обрастет все сервисами какими-то )
Steve
вряд ли, вроде все что нужно есть. Звонки, файлы, шина pubsub (простая без безумных нагрузок), распределенная бд которая позволяет сделать любой сторейдж что нужен (work queue, key value, ordered list и тд) и elastic для поиска.
Vladimir
Bogdan (SirEdvin)
Я опоздал на праздник, но почему не weave сеть для кубера? Она вроде умеет даже в шифрование, а еще сама по себе mesh
Steve
ну через пару лет мы будем либо умирать либо это будет другой историей
Steve
мне впн не в кубе нужен был
Bogdan (SirEdvin)
Но шифрование, конечно, довольно медленно работало, года два назад
Steve
теперь видимо вопрос как настроить роутинг в кубе
Steve
как прописать gateway для сабнета для всего кластера?