[20240304] GKEにVPN(WireGuard) 導入したメモ

[linzhengen]

• 現時点では、公式のDocker imageが提供されてないが、alpine などbaseイメージを使って、インストールが簡単(shellなど使うためdistrolessは不向き)

  例: apk add --no-cache wireguard-tools

• alpine:3.19 以降の iptables が新しいため、iptables-legacy を使う必要があった(現時点)
• tcpdumpでアクセスログのダンプができる

  sudo tcpdump -ttttni wg0

• "helm.sh/hook": pre-installを使って、wg genkeyでPrivateKey作成が便利
  • 初回以降は 空振り実行
  • PrivateKeyでK8s Secretで管理
• UDPでもHPAが使える
• アクセス元のIP制限するには、K8s Service の loadBalancerSourceRangesが使える
  • Cloud Armorは使えない(UDPのため)
  • loadBalancerSourceRangesの値がfirewallで登録される
• Prometheus exporterは docker.io/mindflavor/prometheus-wireguard-exporter が便利(Rustで実装されている)
• GKEのNetworkPolicyはデフォルト有効ではない