عناوين BGP في Cloud VPN تنتمي إلى داخل النفق، لا إلى بطاقة الشبكة
زوج BGP في Cloud Router الخاص بـ HA VPN يقع داخل مسار IPsec. تتبعه نزولاً في المكدس بدلاً من إضافة عنوان link-local إلى واجهة الجهاز الافتراضي.
افتح صفحة Cloud Router الخاصة بالـ VPN فتجد جلسة BGP بعنوان داخل 169.254.0.0/16 تحدّق في وجهك. رد الفعل الطبيعي هو وضع ذلك العنوان في مكان ما على الجهاز الافتراضي وانتظار قيام الجلسة. هذا الرد خاطئ على نحو محدد: الزوج ينتمي إلى الارتباط المنطقي الذي ينشئه نفق IPsec، لا إلى واجهة الشبكة العادية للجهاز. لا شيء تضيفه إلى بطاقة الشبكة يجعل النفق يحمل BGP.
تتبّع الزوج نزولاً في المكدس بدلاً من إضافته إلى المضيف.
ابدأ من حيث تعرض الطرفية الزوج
تسرد صفحة الجلسة عنوان BGP خاصًا بـ Cloud Router وعنوان نظير، وكلاهما link-local في HA VPN من نوع IPv4. وبجانبهما عناوين البوابة الخارجية التي تُنهي الأنفاق. هذه كائنات مختلفة: زوج link-local يعيش في الداخل، وعناوين البوابة تعيش في الخارج ويجب أن تكون قابلة للتوجيه قبل أن يعمل أي شيء آخر.
اكتب الثلاثة جميعًا قبل فتح ملف تهيئة، لأن الخلط بينها هو نمط الفشل بأكمله.
انزل إلى النفق الذي يحمله
لا يعني زوج link-local شيئًا إلا بعد وجود اقتران أمني IPsec بين البوابتين. على جانب Google تنشئه أنفاق HA VPN على الواجهتين؛ وعلى جانبك هو ما تفاوض عليه النظير. افحص اقتران البيانات أولاً باستخدام swanctl --list-sas ولاحظ أي نفق قائم على أي واجهة، لأن جلسة BGP سليمة فوق نفق ميت مستحيلة، والنفق الميت مع تهيئة مفعمة بالأمل أمر معتاد.
حزمة BGP هي حركة IP داخلية. الشبكة الخارجية لا تراها أبدًا، لذا لا يحتاج أي مبدّل إلى العنوانين على VLAN واحدة.
الآن اضبط النظير على Linux ليطابق
اختر تصميم النفق المدعوم ودعه يحدد العناوين الداخلية. مع واجهة قائمة على التوجيه، يجب أن يتفق مدخل التوجيه ومحددات حركة المرور المتفاوض عليها، لأن اسم الواجهة وحده لا يسمح بشيء. وجّه BIRD إلى العنوان المحلي الداخلي وإلى العنوان الداخلي لـ Cloud Router، واضبط أرقام AS من صفحة الجلسة، واسمح بـ TCP 179 داخل المسار المحمي. أبقِ المسار إلى العنوان الخارجي البعيد على الوصلة الفيزيائية حتى لا يلتقط النفق نقلَه الخاص.
النفق الذي يوجّه نفسه هو حلقة مع مصافحة، وسيبدو كمشكلة جدار حماية لمدة ساعة.
افحص كل مرحلة بالترتيب، لا الأمر كله دفعة واحدة
امشِ عبر المراحل: قيام الاقتران الأمني، وصول النظير الداخلي من عنوان النفق، إنشاء جلسة BGP، قبول البادئات، ثم استخدام بادئة حمل عمل فعليًا. birdc show protocols يجيب عن السؤال الثالث ولا شيء غيره، ولهذا يعلن الناس النصر مبكرًا.
الجار القائم لا يضمن أن الطرفين أعلنا البادئات التي تحتاجها، ولا أن تلك المسارات ثُبّتت كمسارات مفضلة.
إذا كانت الجلسة قائمة والحركة ما زالت تسلك المسار الخاطئ، قارن البادئات المعلنة بما يفعله جدول التوجيه بها. مسار أكثر تحديدًا في مكان آخر، أو أفضلية لمسار آخر، يمنحك جلسة BGP عاملة دون إعادة توجيه مفيدة.
توقف قبل أن تطبق هذا على Router Appliance
Network Connectivity Center Router Appliance نموذج ربط مختلف. يستخدم نظراؤه في Cloud Router عناوين داخلية من ترتيب VPC والشبكة الفرعية بدلاً من زوج link-local الخاص بـ HA VPN. إذا كان الهدف الحقيقي هو BGP مع جهاز افتراضي للتوجيه، فاتبع متطلبات الواجهة لذلك المنتج بدلاً من نسخ جلسة link-local.
نطاق link-local يعني ما يقوله. النفق المنطقي يوفر هذه المجاورة، وهو لا يرخّص توجيه وجهات link-local عشوائية عبر VPC.