Google HA VPN na 'n Cisco-router: beplan eers die eweknie-hulpbron
Noem albei Google-koppelvlakke, die eweknie-hulpbron, die IKEv2-kontrak en elke BGP-sessie voordat jy die Cisco-router opstel, en kies dan een eweknie of twee.
Die eerste besluit in 'n Cisco-tot-Google HA VPN is nie watter kriptoprofiel om te gebruik nie, maar of een plaaslike toestel of twee die tonnels gaan termineer. Google se HA VPN-poort het twee koppelvlakke, en elkeen verwag 'n ooreenstemmende eweknie-tonnel. Dit gee jou twee tonnels of jy twee routers het of nie, en die verskil is of 'n enkele kragbron of sagteware-opgradering die hele ontwerp kan laat val.
Die besluit is een eweknie-toestel of twee
Kies die uitleg op grond van drie voorwaardes: of jy 'n plaaslike foutpunt kan aanvaar, of albei wolkkoppelvlakke gebruik moet word, en hoeveel herkonvergensie jou werkladings verdra. As enige van die drie 'n harde vereiste is, is twee eweknie-toestelle die eerlike antwoord.
Besluit dit voordat jy 'n konsole oopmaak, want die antwoord verander hoeveel tonnels en BGP-sessies die werkblad moet beskryf.
Skryf die werkblad voordat jy enige opdrag gee
Die werkblad het vyf rye, en elkeen het 'n eienaar nodig:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Die eksterne eweknie-hulpbron beskryf jou koppelvlakke binne Google Cloud, en die skep daarvan stel nie die Cisco-router op nie. Daardie asimmetrie verras mense wat verwag dat die wolkkoonsole die waarheid vir albei kante is. Dit is 'n verklaring van wat Google moet verwag, en die router moet dit steeds daarby laat pas. Google se gids vir eweknie-poorte karteer daardie verklaring na die tonnel-, BGP-, vuurmuur- en IKE-werk wat jy nog moet doen.
As 'n ry geen eienaar het nie, sal dit ingevul word deur wie ook al tydens die oorskakeling diens doen.
Hou die drie adresrolle uitmekaar
Die openbare eweknie-adresse dra die buitenste IPsec-uitruiling. Die binne-BGP-paar behoort aan die beskermde logiese verbinding wat daaroor loop. Die geadverteerde LAN- en VPC-voorvoegsels beskryf die werkladings agter daardie verbinding. Om 'n VM se interne adres in die eksterne eweknie-veld te kopieer, vermeng die eerste twee rolle, en die fout lyk soos 'n onderhandelingsprobleem eerder as 'n data-invoerfout.
Beplan twee ooreenstemmende eweknie-tonnels, een vir elke HA VPN-koppelvlak. Om albei wolkkoppelvlakke te gebruik verwyder nie op sigself die plaaslike foutpunt nie, want albei tonnels kan steeds op dieselfde kas beland.
Skryf die adresrol langs elke waarde in die werkblad. Daardie enkele gewoonte voorkom die meeste van die vermenging.
Vertaal die werkblad na die Cisco-weergawe
Begin by die ondersteunde eweknie-dokumentasie of 'n passende Google-konfigurasiesjabloon vir jou platform, en versoen dan elke plekhouer met die werkblad. Kontroleer IKEv2-verifikasie, ESP-voorstelle, PFS en die tonnel- en roetemodel saam, want 'n wanverhouding in een daarvan kom gewoonlik voor as 'n wanverhouding in 'n ander. Gebruik die werklike platform en sagteware-weergawe om te kies wat ondersteun word, aangesien 'n Classic VPN-resep 'n ander beginpunt is.
Hou die gedeelde geheim uit skermskote, kaartjie-aanhegsels en ondersteuningsnotas. 'n Vooraf gedeelde sleutel wat in 'n gevalkommentaar geplak word, is 'n openbaarmaking van geloofsbriewe, nie 'n probleemoplossingsartefak nie.
As die sjabloon en die werkblad verskil, stop en los dit op papier op. Die toestel sal nie vir jou arbitreer nie.
Aanvaar elke tonnel op sy eie bewyse
HA VPN het BGP-sessies nodig, en 'n suksesvolle IKE-onderhandeling vestig slegs die eerste fase. Die binne-sessie moet opkom, die beoogde voorvoegsels moet geadverteer en aanvaar word, en bruikbare roetes plus vuurmuurtoestemmings moet bestaan voordat werklandingsverkeer beweeg. Om dit as een groen lig te registreer, verberg watter fase werklik gefaal het.
Teken aanvaardingsbewyse per tonnel aan: onderhandelde sekuriteitsassosiasies, BGP-buurstaat, verwagte geleerde voorvoegsels en die beoogde werkpad. Voer dan 'n beheerde fout- en hersteltoets uit, want 'n tonnel wat nog nooit gefaal het nie, is 'n tonnel wie se herstelpad ongetoets is.
Daardie rekord is herbruikbaar die volgende keer wanneer die ontwerp verander, en dit is die verskil tussen 'n interoperasie en 'n opdragfragment waarvan die aannames verlore gegaan het.