Google HA VPN-dən Cisco marşrutlaşdırıcısına: əvvəlcə qarşı tərəf resursunu planlaşdırın
Cisco marşrutlaşdırıcısını konfiqurasiya etməzdən əvvəl hər iki Google interfeysini, qarşı tərəf resursunu, IKEv2 müqaviləsini və hər BGP sessiyasını adlandırın, sonra bir və ya iki qarşı tərəf seçin.
Cisco-dan Google-a HA VPN-də ilk qərar hansı kripto profilinin istifadə olunacağı deyil, tunelləri bir yerli cihazın, yoxsa ikinin sonlandıracağıdır. Google-un HA VPN şlüzunun iki interfeysi var və hər biri uyğun qarşı tərəf tunelini gözləyir. İki marşrutlaşdırıcınız olsun və ya olmasın, bu sizə iki tunel verir və fərq tək bir enerji təchizatının və ya proqram yeniləməsinin bütün dizaynı sıradan çıxara bilməsidir.
Qərar bir qarşı tərəf cihazı, yoxsa iki
Tərtibatı üç şərtə görə seçin: yerli nasazlıq nöqtəsini qəbul edib-etmədiyiniz, hər iki bulud interfeysinin istifadə edilməli olub-olmadığı və iş yüklərinizin nə qədər yenidən yığılmağa dözdüyü. Əgər üçündən hər hansı biri sərt tələbdirsə, iki qarşı tərəf cihazı dürüst cavabdır.
Konsolu açmazdan əvvəl buna qərar verin, çünki cavab iş vərəqinin neçə tunel və BGP sessiyası təsvir etməli olduğunu dəyişir.
İş vərəqini hər hansı əmrdən əvvəl yazın
İş vərəqində beş sətir var və hər birinin sahibi olmalıdır:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Xarici qarşı tərəf resursu Google Cloud daxilindəki interfeyslərinizi təsvir edir və onun yaradılması Cisco marşrutlaşdırıcısını konfiqurasiya etmir. Bu asimmetriya bulud konsolunun hər iki tərəf üçün həqiqət mənbəyi olacağını gözləyənləri təəccübləndirir. Bu, Google-un nəyi gözləməli olduğunun bəyanatıdır və marşrutlaşdırıcı hələ də ona uyğun olmalıdır. Google-un qarşı tərəf şlüz bələdçisi bu bəyanatı hələ borclu olduğunuz tunel, BGP, firewall və IKE işinə uyğunlaşdırır.
Əgər sətrin sahibi yoxdursa, keçid zamanı növbədə olan şəxs onu dolduracaq.
Üç ünvan rolunu ayrı saxlayın
Xarici qarşı tərəf ünvanları xarici IPsec mübadiləsini daşıyır. Daxili BGP cütü onun üzərindən keçən qorunan məntiqi bağlantıya aiddir. Elan olunan LAN və VPC prefiksləri həmin bağlantının arxasındakı iş yüklərini təsvir edir. VM-in daxili ünvanını xarici qarşı tərəf sahəsinə köçürmək ilk iki rolu qarışdırır və nasazlıq məlumat daxiletmə xətası kimi deyil, razılaşma problemi kimi görünür.
Hər HA VPN interfeysi üçün bir olmaqla iki uyğun qarşı tərəf tuneli planlaşdırın. Hər iki bulud interfeysindən istifadə yerli nasazlıq nöqtəsini özlüyündə aradan qaldırmır, çünki hər iki tunel yenə də eyni korpusda bitə bilər.
İş vərəqindəki hər dəyərin yanında ünvan rolunu yazın. Bu tək vərdiş qarışdırmanın çoxunu qarşısını alır.
İş vərəqini Cisco buraxılışına çevirin
Dəstəklənən qarşı tərəf sənədləşməsindən və ya platformanız üçün uyğun Google konfiqurasiya şablonundan başlayın, sonra hər yer tutucunu iş vərəqi ilə uzlaşdırın. IKEv2 autentifikasiyasını, ESP təkliflərini, PFS-i və tunel və marşrutlaşdırma modelini birlikdə yoxlayın, çünki onlardan birindəki uyğunsuzluq adətən digərində uyğunsuzluq kimi görünür. Nəyin dəstəkləndiyini seçmək üçün faktiki platformadan və proqram buraxılışından istifadə edin, çünki Classic VPN resepti fərqli başlanğıc nöqtəsidir.
Ümumi sirri ekran görüntülərindən, bilet əlavələrindən və dəstək qeydlərindən kənarda saxlayın. İş şərhinə yapışdırılmış əvvəlcədən paylaşılmış açar etimad məlumatlarının açıqlanmasıdır, nasazlıq aradan qaldırma artefaktı deyil.
Şablon və iş vərəqi uyğunsuzdursa, dayanın və bunu kağız üzərində həll edin. Cihaz sizin üçün arbitraj etməyəcək.
Hər tuneli öz sübutu ilə qəbul edin
HA VPN BGP sessiyaları tələb edir və uğurlu IKE razılaşması yalnız birinci mərhələni qurur. Daxili sessiya qalxmalı, nəzərdə tutulan prefikslər elan edilməli və qəbul edilməli, faydalı marşrutlar və firewall icazələri iş yükü trafiki hərəkət etməzdən əvvəl mövcud olmalıdır. Bunları bir yaşıl işıq kimi qeyd etmək hansı mərhələnin həqiqətən uğursuz olduğunu gizlədir.
Hər tunel üçün qəbul sübutunu qeyd edin: razılaşdırılmış təhlükəsizlik assosiasiyaları, BGP qonşu vəziyyəti, gözlənilən öyrənilmiş prefikslər və nəzərdə tutulan iş yükü yolu. Sonra nəzarətli nasazlıq və bərpa yoxlaması aparın, çünki heç vaxt uğursuz olmamış tunel bərpa yolu sınaqdan keçirilməmiş tuneldir.
Bu qeyd dizayn növbəti dəfə dəyişdikdə yenidən istifadə oluna bilər və bu, qarşılıqlı işləmə ilə fərziyyələri itirilmiş əmr fraqmenti arasındakı fərqdir.