Les adreces BGP de Cloud VPN van dins del túnel, no a la targeta de xarxa

Obriu la pàgina del Cloud Router per a la VPN i una sessió BGP amb una adreça dins de 169.254.0.0/16 us mira fixament. La reacció natural és posar aquesta adreça en algun lloc de la VM i esperar que la sessió s'aixequi. Aquesta reacció és incorrecta d'una manera concreta: la parella pertany a l'enllaç lògic que crea el túnel IPsec, no a la interfície de xarxa ordinària de la màquina. Res del que afegiu a la NIC fa que el túnel transporti BGP.

Seguiu la parella avall per la pila en lloc d'afegir-la a l'amfitrió.

Comenceu on la consola mostra la parella

La pàgina de la sessió llista una adreça BGP del Cloud Router i una adreça d'igual, totes dues link-local per a una HA VPN IPv4. Al costat hi ha les adreces de passarel·la exteriors que terminen els túnels. Són objectes diferents: la parella link-local viu a dins, i les adreces de passarel·la viuen a fora i han de ser encaminables abans que res altre funcioni.

Anoteu les tres abans d'obrir un fitxer de configuració, perquè confondre-les és tota la manera de fallar.

Baixeu fins al túnel que la transporta

La parella link-local només té sentit quan existeix una associació de seguretat IPsec entre les dues passarel·les. Al costat de Google els túnels HA VPN la creen a les dues interfícies; al vostre costat és el que hagi negociat l'igual. Comproveu primer l'associació de dades amb swanctl --list-sas i anoteu quin túnel està actiu a quina interfície, perquè una sessió BGP sana sobre un túnel mort és impossible i un túnel mort amb una configuració esperançada és habitual.

El paquet BGP és tràfic IP interior. La xarxa exterior no el veu mai, així que cap commutador necessita totes dues adreces en una VLAN.

Ara configureu l'igual Linux perquè coincideixi

Trieu el disseny de túnel suportat i deixeu que decideixi les adreces interiors. Amb una interfície basada en encaminament, l'entrada d'encaminament i els selectors de tràfic negociats han de coincidir, perquè un nom d'interfície sol no permet res. Apunteu BIRD a l'adreça local interior i a l'adreça interior del Cloud Router, fixeu els números AS de la pàgina de la sessió i permeteu TCP 179 dins del camí protegit. Mantingueu la ruta a l'adreça exterior llunyana a l'enllaç físic perquè el túnel no capturi el seu propi transport.

Un túnel que s'encamina a si mateix és un bucle amb un intercanvi de salutació, i durant una hora semblarà un problema de tallafocs.

Comproveu cada etapa en ordre, no tot alhora

Recorreu les etapes: associació de seguretat activa, igual interior abastable des de l'adreça del túnel, sessió BGP establerta, prefixos acceptats, i després un prefix de càrrega de treball realment utilitzat. birdc show protocols respon la tercera pregunta i res més, i per això la gent declara la victòria massa aviat.

Un veí establert no promet que tots dos costats hagin anunciat els prefixos que necessiteu, ni que aquestes rutes s'hagin instal·lat com a preferents.

Si la sessió està establerta i el tràfic encara pren el camí equivocat, compareu els prefixos anunciats amb el que la taula d'encaminament en fa. Una ruta més específica en un altre lloc, o una preferència per un altre camí, us dona una sessió BGP funcionant i cap reenviament útil.

Atureu-vos abans d'aplicar-ho a Router Appliance

Network Connectivity Center Router Appliance és un model d'adjunció diferent. Els seus iguals de Cloud Router fan servir adreces internes de la disposició de VPC i subxarxa en lloc de la parella link-local de HA VPN. Si l'objectiu real és BGP amb una VM d'encaminament, seguiu els requisits d'interfície d'aquest producte en lloc de copiar una sessió link-local.

L'àmbit link-local encara vol dir el que diu. El túnel lògic proporciona aquesta adjacència i no autoritza encaminar destinacions link-local arbitràries per la VPC.