Google HA VPN থেকে Cisco রাউটার: আগে পিয়ার রিসোর্স পরিকল্পনা করুন
Cisco রাউটার কনফিগার করার আগে Google-এর দুটি ইন্টারফেস, পিয়ার রিসোর্স, IKEv2 চুক্তি ও প্রতিটি BGP সেশন নাম দিন, তারপর একটি পিয়ার নাকি দুটি বেছে নিন।
Cisco থেকে Google HA VPN-এ প্রথম সিদ্ধান্তটি কোন ক্রিপ্টো প্রোফাইল ব্যবহার করবেন তা নয়, বরং একটি অন-প্রিমাইজ ডিভাইস নাকি দুটি টানেল শেষ করবে তা। Google-এর HA VPN গেটওয়ের দুটি ইন্টারফেস আছে এবং প্রতিটি একটি সংশ্লিষ্ট পিয়ার টানেল আশা করে। এতে আপনার দুটি টানেল থাকে, আপনার দুটি রাউটার থাকুক বা না থাকুক, আর পার্থক্য হলো একটি পাওয়ার সাপ্লাই বা সফটওয়্যার আপগ্রেড পুরো ডিজাইনটাই ফেলে দিতে পারে কি না।
সিদ্ধান্তটি এক পিয়ার ডিভাইস নাকি দুটি
তিনটি শর্ত থেকে লেআউট বাছুন: আপনি একটি স্থানীয় ব্যর্থতা বিন্দু মেনে নিতে পারেন কি না, দুটি ক্লাউড ইন্টারফেসই ব্যবহার করতে হবে কি না, এবং আপনার ওয়ার্কলোড কতটা পুনঃসংযোগ সহ্য করে। এর মধ্যে কোনোটিই যদি কঠোর প্রয়োজন হয়, তবে দুটি পিয়ার ডিভাইসই সৎ উত্তর।
কনসোল খোলার আগেই এটি ঠিক করুন, কারণ উত্তরটি নির্ধারণ করে ওয়ার্কশিটে কতগুলো টানেল ও BGP সেশন বর্ণনা করতে হবে।
যেকোনো কমান্ডের আগে ওয়ার্কশিট লিখুন
ওয়ার্কশিটে পাঁচটি সারি আছে এবং প্রতিটির একটি মালিক দরকার:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
বাহ্যিক পিয়ার রিসোর্স Google Cloud-এর ভিতরে আপনার ইন্টারফেসগুলো বর্ণনা করে এবং এটি তৈরি করলে Cisco রাউটার কনফিগার হয় না। এই অসমতা তাদের অবাক করে যারা ভাবেন ক্লাউড কনসোলই দুই প্রান্তের সত্যের উৎস হবে। এটি একটি ঘোষণা যে Google কী আশা করবে, আর রাউটারকে এখনও তার সাথে মিলতে হবে। Google-এর পিয়ার গেটওয়ে গাইড এই ঘোষণাটিকে টানেল, BGP, ফায়ারওয়াল ও IKE-এর সেই কাজের সঙ্গে মেলায় যা এখনও আপনার বাকি আছে।
কোনো সারির মালিক না থাকলে কাটওভারের সময় যে শিফটে থাকবে সে-ই তা পূরণ করবে।
তিনটি ঠিকানা ভূমিকা আলাদা রাখুন
পাবলিক পিয়ার ঠিকানাগুলো বাইরের IPsec বিনিময় বহন করে। ভিতরের BGP জোড়াটি সেই সুরক্ষিত লজিক্যাল সংযোগের যেটি তার উপর চলে। ঘোষিত LAN ও VPC প্রিফিক্সগুলো সেই সংযোগের পেছনের ওয়ার্কলোড বর্ণনা করে। একটি VM-এর অভ্যন্তরীণ ঠিকানা বাহ্যিক পিয়ার ক্ষেত্রে কপি করলে প্রথম দুই ভূমিকা মিশে যায় এবং ব্যর্থতাটি ডেটা-এন্ট্রির ভুল নয়, দর-কষাকষির সমস্যা বলে মনে হয়।
দুটি সংশ্লিষ্ট পিয়ার টানেল পরিকল্পনা করুন, প্রতিটি HA VPN ইন্টারফেসের জন্য একটি। দুটি ক্লাউড ইন্টারফেস ব্যবহার করলেই স্থানীয় ব্যর্থতা বিন্দু দূর হয় না, কারণ দুটি টানেলই একই চেসিসে পড়তে পারে।
ওয়ার্কশিটের প্রতিটি মানের পাশে ঠিকানার ভূমিকা লিখুন। এই একটি অভ্যাসই বেশিরভাগ মিশ্রণ ঠেকায়।
ওয়ার্কশিটকে Cisco রিলিজে রূপান্তর করুন
সমর্থিত পিয়ার ডকুমেন্টেশন বা আপনার প্ল্যাটফর্মের জন্য মিলে যাওয়া Google কনফিগারেশন টেমপ্লেট থেকে শুরু করুন, তারপর প্রতিটি প্লেসহোল্ডার ওয়ার্কশিটের সাথে মিলিয়ে নিন। IKEv2 প্রমাণীকরণ, ESP প্রস্তাব, PFS এবং টানেল ও রাউটিং মডেল একসাথে যাচাই করুন, কারণ এর একটিতে অমিল সাধারণত আরেকটিতে অমিল হিসেবে দেখা দেয়। কোনটি সমর্থিত তা বাছতে প্রকৃত প্ল্যাটফর্ম ও সফটওয়্যার রিলিজ ব্যবহার করুন, কারণ Classic VPN রেসিপি ভিন্ন সূচনা বিন্দু।
শেয়ার্ড সিক্রেট স্ক্রিনশট, টিকিট সংযুক্তি ও সাপোর্ট নোটের বাইরে রাখুন। কেস মন্তব্যে পেস্ট করা প্রি-শেয়ার্ড কী একটি ক্রেডেনশিয়াল প্রকাশ, ট্রাবলশুটিং আর্টিফ্যাক্ট নয়।
টেমপ্লেট ও ওয়ার্কশিটের মতবিরোধ হলে থামুন এবং কাগজে সমাধান করুন। ডিভাইস আপনার হয়ে রায় দেবে না।
প্রতিটি টানেল তার নিজস্ব প্রমাণে গ্রহণ করুন
HA VPN-এর BGP সেশন দরকার, আর সফল IKE দর-কষাকষি কেবল প্রথম ধাপটি প্রতিষ্ঠা করে। ভিতরের সেশন উঠতে হবে, অভীষ্ট প্রিফিক্সগুলো ঘোষিত ও গৃহীত হতে হবে, এবং ওয়ার্কলোড ট্রাফিক চলার আগে উপযোগী রুট ও ফায়ারওয়াল অনুমতি থাকতে হবে। এগুলোকে একটিমাত্র সবুজ সংকেত হিসেবে লিখলে কোন ধাপটি আসলে ব্যর্থ হয়েছে তা ঢাকা পড়ে।
প্রতিটি টানেলের জন্য গ্রহণযোগ্যতার প্রমাণ লিপিবদ্ধ করুন: দর-কষাকষিকৃত সিকিউরিটি অ্যাসোসিয়েশন, BGP প্রতিবেশীর অবস্থা, প্রত্যাশিত শেখা প্রিফিক্স এবং অভীষ্ট ওয়ার্কলোড পথ। তারপর একটি নিয়ন্ত্রিত ব্যর্থতা ও পুনরুদ্ধার পরীক্ষা চালান, কারণ যে টানেল কখনো ব্যর্থ হয়নি তার পুনরুদ্ধার পথ অপরীক্ষিত।
পরবর্তীবার ডিজাইন বদলালে সেই রেকর্ড পুনরায় ব্যবহার করা যায়, আর এটাই একটি আন্তঃসংযোগ ও অনুমান হারানো কমান্ড-অংশের মধ্যে পার্থক্য।