BGP adresy Cloud VPN patří dovnitř tunelu, ne na síťovou kartu

Otevřete stránku Cloud Routeru pro VPN a hledí na vás relace BGP s adresou v 169.254.0.0/16. Přirozenou reakcí je umístit tuto adresu někam na VM a čekat, až se relace zvedne. Tato reakce je chybná konkrétním způsobem: dvojice patří logickému spoji, který vytváří tunel IPsec, ne běžnému síťovému rozhraní stroje. Nic, co přidáte na NIC, nepřiměje tunel přenášet BGP.

Sledujte dvojici dolů po zásobníku, místo abyste ji přidávali na hostitele.

Začněte tam, kde konzole dvojici ukazuje

Stránka relace vypisuje BGP adresu Cloud Routeru a adresu protějšku, obě link-local pro IPv4 HA VPN. Vedle nich jsou vnější adresy bran, které tunely ukončují. To jsou různé objekty: dvojice link-local žije uvnitř a adresy bran žijí venku a musí být směrovatelné, než cokoli jiného začne fungovat.

Zapište všechny tři, než otevřete konfigurační soubor, protože jejich záměna je celý způsob selhání.

Sejděte dolů k tunelu, který ji nese

Dvojice link-local má význam teprve tehdy, když mezi oběma branami existuje bezpečnostní asociace IPsec. Na straně Google ji tunely HA VPN vytvářejí na dvou rozhraních; na vaší straně je to to, co protějšek vyjednal. Nejprve zkontrolujte datovou asociaci pomocí swanctl --list-sas a poznamenejte si, který tunel je zvednutý na kterém rozhraní, protože zdravá relace BGP přes mrtvý tunel je nemožná a mrtvý tunel s nadějnou konfigurací je běžná věc.

Paket BGP je vnitřní IP provoz. Vnější síť ho nikdy nevidí, takže žádný přepínač nepotřebuje obě adresy na jednom VLAN.

Nyní nakonfigurujte linuxový protějšek tak, aby odpovídal

Zvolte podporovaný návrh tunelu a nechte ho určit vnitřní adresy. U směrovaného rozhraní se záznam směrování a vyjednané selektory provozu musí shodovat, protože samotné jméno rozhraní nic nepovoluje. Namiřte BIRD na vnitřní lokální adresu a vnitřní adresu Cloud Routeru, nastavte čísla AS ze stránky relace a povolte TCP 179 uvnitř chráněné cesty. Držte trasu k vzdálené vnější adrese na fyzickém uplinku, aby tunel nezachytil vlastní transport.

Tunel, který směruje sám sebe, je smyčka s podáním ruky a hodinu bude vypadat jako problém s firewallem.

Kontrolujte každou fázi popořadě, ne všechno najednou

Projděte fáze: bezpečnostní asociace zvednutá, vnitřní protějšek dostupný z adresy tunelu, relace BGP navázaná, prefixy přijaté, poté prefix pracovní zátěže skutečně použitý. birdc show protocols odpovídá na třetí otázku a na nic jiného, a proto lidé vyhlašují vítězství brzy.

Navázaný soused neslibuje, že obě strany inzerovaly prefixy, které potřebujete, ani že tyto trasy byly nainstalovány jako preferované.

Pokud je relace navázaná a provoz přesto jde špatnou cestou, porovnejte inzerované prefixy s tím, co s nimi dělá směrovací tabulka. Konkrétnější trasa jinde nebo preference jiné cestě vám dá funkční relaci BGP a žádné užitečné předávání.

Zastavte se, než to použijete na Router Appliance

Network Connectivity Center Router Appliance je jiný model připojení. Jeho protějšky Cloud Routeru používají vnitřní adresy z uspořádání VPC a podsítě místo dvojice link-local HA VPN. Pokud je skutečným cílem BGP s virtuálním strojem pro směrování, řiďte se požadavky na rozhraní tohoto produktu, místo abyste kopírovali link-local relaci.

Rozsah link-local stále znamená to, co říká. Logický tunel zajišťuje toto sousedství a neopravňuje směrovat libovolné link-local cíle přes VPC.