BGP adrese Cloud VPN-a pripadaju unutar tunela, a ne na mrežnoj kartici

Otvorite stranicu Cloud Routera za VPN i u vas gleda BGP sesija s adresom u 169.254.0.0/16. Prirodna reakcija je staviti tu adresu negdje na VM i čekati da se sesija podigne. Ta reakcija je pogrešna na poseban način: par pripada logičkoj vezi koju stvara IPsec tunel, a ne običnom mrežnom interfejsu mašine. Ništa što dodate na NIC ne tjera tunel da nosi BGP.

Pratite par niz stog umjesto da ga dodajete na host.

Pođite od mjesta gdje konzola prikazuje par

Stranica sesije navodi BGP adresu Cloud Routera i adresu partnera, obje link-local za IPv4 HA VPN. Pored njih su vanjske adrese pristupnika koje terminiraju tunele. To su različiti objekti: link-local par živi unutra, a adrese pristupnika žive izvana i moraju biti rutabilne prije nego bilo što drugo proradi.

Zapišite sve tri prije otvaranja konfiguracijske datoteke, jer je njihovo miješanje cijeli način kvara.

Siđite do tunela koji ga nosi

Link-local par ima smisla tek kad između dvaju pristupnika postoji IPsec sigurnosna asocijacija. Na Googleovoj strani HA VPN tuneli je stvaraju na dvama interfejsima; na vašoj strani to je ono što je partner dogovorio. Prvo provjerite asocijaciju podataka s swanctl --list-sas i zabilježite koji je tunel podignut na kojem interfejsu, jer je zdrava BGP sesija preko mrtvog tunela nemoguća, a mrtav tunel s nadobudnom konfiguracijom uobičajen.

BGP paket je unutrašnji IP promet. Vanjska mreža ga nikad ne vidi, pa nijednom prekidaču ne trebaju obje adrese na jednom VLAN-u.

Sada konfigurirajte Linux partnera da odgovara

Odaberite podržani dizajn tunela i pustite ga da odredi unutrašnje adrese. Kod rutiranog interfejsa, zapis rute i dogovoreni selektori prometa moraju se slagati, jer samo ime interfejsa ništa ne dopušta. Usmjerite BIRD na unutrašnju lokalnu adresu i unutrašnju adresu Cloud Routera, postavite AS brojeve sa stranice sesije i dopustite TCP 179 unutar zaštićene putanje. Držite rutu prema udaljenoj vanjskoj adresi na fizičkom uplinku kako tunel ne bi zahvatio vlastiti transport.

Tunel koji sam sebe rutira je petlja s rukovanjem i sat vremena će izgledati kao problem sa zaštitnim zidom.

Provjeravajte svaku fazu redom, a ne sve odjednom

Prođite faze: sigurnosna asocijacija podignuta, unutrašnji partner dostupan s adrese tunela, BGP sesija uspostavljena, prefiksi prihvaćeni, zatim prefiks radnog opterećenja stvarno korišten. birdc show protocols odgovara na treće pitanje i ni na što drugo, zato ljudi rano proglašavaju pobjedu.

Uspostavljen susjed ne obećava da su obje strane objavile prefikse koji su vam potrebni niti da su te rute instalirane kao poželjne.

Ako je sesija uspostavljena a promet ipak ide pogrešnim putem, uporedite objavljene prefikse s onim što tablica rutiranja s njima čini. Specifičnija ruta negdje drugdje ili prednost drugom putu daje vam ispravnu BGP sesiju i nikakvo korisno prosljeđivanje.

Zaustavite se prije nego to primijenite na Router Appliance

Network Connectivity Center Router Appliance je drugačiji model priključka. Njegovi Cloud Router partneri koriste unutrašnje adrese iz rasporeda VPC-a i podmreže umjesto link-local para HA VPN-a. Ako je pravi cilj BGP s VM-om za rutiranje, slijedite zahtjeve sučelja tog proizvoda umjesto da kopirate link-local sesiju.

Link-local opseg i dalje znači ono što kaže. Logički tunel osigurava ovo susjedstvo i ne dopušta rutiranje proizvoljnih link-local odredišta preko VPC-a.