Google HA VPN na Cisco ruter: prvo planirajte resurs druge strane

Prva odluka u HA VPN-u od Cisco-a do Google-a nije koji kripto profil koristiti, nego hoće li tunele prekinuti jedan lokalni uređaj ili dva. Google HA VPN gateway ima dva interfejsa i svaki očekuje odgovarajući tunel druge strane. To vam daje dva tunela bez obzira na to imate li dva rutera ili ne, a razlika je u tome može li jedno napajanje ili nadogradnja softvera srušiti cijeli dizajn.

Odluka je jedan uređaj druge strane ili dva

Odaberite raspored prema tri uslova: možete li prihvatiti lokalnu tačku otkaza, moraju li se koristiti oba cloud interfejsa i koliko rekonvergencije vaši radni loadovi tolerišu. Ako je bilo koji od tri tvrdi zahtjev, dva uređaja druge strane su iskren odgovor.

Odlučite to prije nego otvorite konzolu, jer odgovor mijenja koliko tunela i BGP sesija radni list mora opisati.

Napišite radni list prije bilo koje komande

Radni list ima pet redova i svakom je potreban vlasnik:

Vanjski resurs druge strane opisuje vaše interfejse unutar Google Clouda i njegovo kreiranje ne konfiguriše Cisco ruter. Ta asimetrija iznenađuje ljude koji očekuju da cloud konzola bude izvor istine za oba kraja. To je izjava o tome šta Google treba očekivati, a ruter se i dalje mora s tim uskladiti. Googleov vodič za gateway druge strane preslikava tu izjavu na tunelski, BGP, firewall i IKE posao koji još dugujete.

Ako red nema vlasnika, popunit će ga onaj ko je na smjeni tokom prelaska.

Držite tri adresne uloge odvojeno

Javne adrese druge strane nose vanjsku IPsec razmjenu. Unutrašnji BGP par pripada zaštićenoj logičkoj vezi koja ide preko nje. Oglašeni LAN i VPC prefiksi opisuju radne loadove iza te veze. Kopiranje interne adrese VM-a u polje vanjske druge strane miješa prve dvije uloge, a kvar izgleda kao problem pregovaranja, a ne kao greška pri unosu podataka.

Planirajte dva odgovarajuća tunela druge strane, po jedan za svaki HA VPN interfejs. Korištenje oba cloud interfejsa samo po sebi ne uklanja lokalnu tačku otkaza, jer oba tunela i dalje mogu završiti na istom kućištu.

Upišite adresnu ulogu pored svake vrijednosti u radnom listu. Ta jedna navika sprječava većinu miješanja.

Prevedite radni list u Cisco izdanje

Pođite od podržane dokumentacije druge strane ili odgovarajućeg Google šablona konfiguracije za vašu platformu, pa uskladite svaki rezervisani element s radnim listom. Provjerite IKEv2 autentifikaciju, ESP predloge, PFS i tunelski i routing model zajedno, jer se neusklađenost u jednom od njih obično pojavljuje kao neusklađenost u drugom. Koristite stvarnu platformu i izdanje softvera da odaberete šta je podržano, jer je Classic VPN recept druga početna tačka.

Držite zajedničku tajnu izvan snimaka ekrana, priloga tiketa i bilješki podrške. Unaprijed podijeljeni ključ zalijepljen u komentar slučaja je otkrivanje vjerodajnica, a ne artefakt za rješavanje problema.

Ako se šablon i radni list ne slažu, zaustavite se i riješite to na papiru. Uređaj neće arbitrirati umjesto vas.

Prihvatite svaki tunel na osnovu njegovih dokaza

HA VPN zahtijeva BGP sesije, a uspješno IKE pregovaranje uspostavlja samo prvu fazu. Unutrašnja sesija mora se podići, predviđeni prefiksi moraju biti oglašeni i prihvaćeni, a korisne rute i firewall dozvole moraju postojati prije nego što promet radnih loadova krene. Evidentiranje toga kao jednog zelenog svjetla skriva koja je faza zapravo pala.

Zabilježite dokaze prihvatanja po tunelu: pregovarana sigurnosna udruženja, stanje BGP susjeda, očekivane naučene prefikse i predviđenu putanju radnog loada. Zatim izvršite kontrolisanu provjeru kvara i oporavka, jer tunel koji nikada nije pao je tunel čija putanja oporavka nije testirana.

Taj zapis je ponovo upotrebljiv sljedeći put kada se dizajn promijeni i predstavlja razliku između interoperabilnosti i fragmenta komande čije su pretpostavke izgubljene.