GCP HA VPN: BGP-sessie hang by Waiting for peer, die omruiling van die adrespaar

n BGP-sessie wat nooit Established bereik op n Cloud VPN-tonnel nie, is gewoonlik nie n roeteringsprobleem nie. Dit is n bedradingsprobleem: twee adresse wat mekaar moet weerspieel, is in die verkeerde volgorde ingevoer, of die eerste tonnel se paar is op die tweede hergebruik. Die tonnel self kan heeltemal gesond wees terwyl die sessie by Waiting for peer sit, want IPsec en BGP is aparte onderhandelinge tussen dieselfde twee eindpunte. Besluit watter van die twee stukkend is voordat jy enigiets herbou.

Een vraag besleg die meeste gevalle: sien die eweknie-toestel die Cloud Router se adres hoegenaamd?

Tonneltoestand en sessietoestand is verskillende kontroles

IKE en ESP kom eerste. As die tonnel nie gevestig is nie, maak niks binne dit saak nie en die BGP-adresbespreking is voortydig. Lees die tonnel se status en gedetailleerde status, en lees dan die roeteerder se BGP-ewekniestatus vir daardie selfde tonnel.

n Tonnel wat op is terwyl sy BGP-eweknie af is, vernou die fout na die sessie: eweknie-adres, ASN, of TCP 179 wat op die binneste adres aankom. n Tonnel wat op is, n sessie wat op is, en steeds geen roetes in die VPC nie is n derde geval. Om adresse te verander sal daar nie help nie, want die sessie werk al en die voorvoegsel word bloot nie geadverteer of nie verkies nie. Om daardie drie gevalle uitmekaar te hou, is die grootste deel van die werk.

Elke tonnel het sy eie /30 nodig, met albei kante ingevul

Elke HA VPN-tonnel kry n link-local /30 uit 169.254.0.0/16, met een adres op die Cloud Router-koppelvlak en die ander op jou eweknie. Die eweknie-veld moet die verre kant noem, nooit die roeteerder se eie adres nie.

Twee tonne beteken twee koppelvlakke op die Cloud Router, elkeen met n ander /30. Om tonnel 0 se paar op tonnel 1 te hergebruik, is die fout wat netjies in n opsommingstabel lyk en in die OPEN-pakkie sterf.

Lees die paar uit die roeteerder-hulpbron eerder as uit die konsolopsomming. Die opsomming lys die eweknie-adres in n kolom wat maklik verkeerd gelees word, en die koppelvlak se ipRange plus die eweknie se peerIpAddress moet teenoorgestelde kante van een /30 beskryf.

Die omruiling gebeur gewoonlik tydens n herbou

Dit is wanneer n tonnel herbou word dat pare gekruis word. Die ou tonnel se eweknie-adres word in die nuwe tonnel se koppelvlakveld gekopieer, of die nuwe sessie wys na die vorige sessie se eweknie. In albei gevalle stuur die Cloud Router OPEN-pakkies na n adres wat nou hy self is, of na n adres met geen tonnel agter dit nie.

Skryf die pare neer voordat jy die konsole oopmaak: tonnelnaam, koppelvlak, roeteerderadres, eweknie-adres, eweknie-ASN. Skep dan albei tonne in een slag, sodat die tweede nie uit die eerste se oorblyfsels ingevul word nie.

Drie ander redes waarom n sessie wag

Die eweknie-ASN is die eerste: elke kant moet met die ander kant se ASN opgestel wees, en n verskil bereik die eweknie maar vestig nooit nie. Die tweede is die eweknie se eie firewall, wat TCP 179 op die tonnel-koppelvlak moet toelaat; n IKE- of ESP-reel dek dit nie. Die derde is n eweknie wat van n ander bronadres antwoord as die een wat as sy buurman opgestel is.

Die eweknie se eie log is die onderskeier. As sy BGP-opsomming geen buurman vir daardie adres lys nie, kom pakkies nie aan nie en die paar of die pad is verkeerd. As die buurman in Active of Connect sit, kom pakkies aan en die sessieparameters stem nie ooreen nie.

Verifieer in die volgorde waarin die pakkies reis

Werk na buite: tonnelstatus, dan roeteerder se BGP-ewekniestatus, dan die eweknie se BGP-opsomming, dan die roetes. As die eerste twee gesond is, stop om die Cloud VPN-kant te wysig en werk aan die eweknie-toestel. As die roeteerder die eweknie as af rapporteer en jou toestel het geen buurman nie, is die paar verkeerd of die BGP-poort word gefiltreer. n Pakkie-opname op die eweknie se tonnel-koppelvlak besleg dit met een kyk, want OPEN-pakkies kom daar aan of hulle kom nooit nie.

gcloud compute routers get-status ROUTER --region=REGION druk die eweknie-toestand langs die adres wat dit gebruik, en dis presies die paar wat jy moet vergelyk.

Sodra die sessie vestig, bevestig dat die geleerde voorvoegsel in die VPC-roetetabel verskyn en dat een gasheer aan elke kant antwoord. Teken dan die finale pare langs die tonnelname aan, sodat die volgende herbou van n bekende goeie tabel begin eerder as van die konsolopsomming.