Google HA VPN i rwter Cisco: cynlluniwch yr adnodd cymar yn gyntaf
Enwch y ddwy ryngwyneb Google, yr adnodd cymar, y contract IKEv2 a phob sesiwn BGP cyn ffurfweddu'r rwter Cisco, yna dewiswch un cymar neu ddau.
Y penderfyniad cyntaf mewn HA VPN o Cisco i Google nid yw pa broffil crypto i'w ddefnyddio, ond a fydd un ddyfais leol neu ddwy yn terfynu'r twneli. Mae gan borth HA VPN Google ddwy ryngwyneb, ac mae pob un yn disgwyl twnnel cymar cyfatebol. Mae hynny'n rhoi dau dwnnel i chi p'un a oes gennych ddau rwter ai peidio, a'r gwahaniaeth yw a all un cyflenwad pŵer neu uwchraddariad meddalwedd ddymchwel y dyluniad cyfan.
Y penderfyniad yw un ddyfais cymar neu ddau
Dewiswch y cynllun o dri amod: a allwch dderbyn pwynt methiant lleol, a oes rhaid defnyddio'r ddwy ryngwyneb cwmwl, a faint o ailgydgyfeirio y mae eich llwythi gwaith yn ei oddef. Os yw unrhyw un o'r tri yn ofyniad caled, dwy ddyfais cymar yw'r ateb gonest.
Penderfynwch hynny cyn i chi agor consol, oherwydd mae'r ateb yn newid faint o dwneli a sesiynau BGP y mae'n rhaid i'r daflen waith eu disgrifio.
Ysgrifennwch y daflen waith cyn unrhyw orchymyn
Mae gan y daflen waith bum rhes, ac mae angen perchennog ar bob un:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Mae'r adnodd cymar allanol yn disgrifio eich rhyngwynebau o fewn Google Cloud, ac nid yw ei greu yn ffurfweddu'r rwter Cisco. Mae'r anghymesuredd hwnnw'n synnu pobl sy'n disgwyl i'r consol cwmwl fod yn ffynhonnell gwirionedd ar gyfer y ddau ben. Mae'n ddatganiad o'r hyn y dylai Google ei ddisgwyl, ac mae'n rhaid i'r rwter gyd-fynd ag ef o hyd. canllaw porth cymar Google yn mapio'r datganiad hwnnw i'r gwaith twnnel, BGP, wal dân ac IKE yr ydych yn dal i fod yn ddyledus amdano.
Os nad oes gan res perchennog, bydd pwy bynnag sydd ar ddyletswydd yn ystod y trosglwyddiad yn ei llenwi.
Cadwch y tri rôl cyfeiriad ar wahân
Mae'r cyfeiriadau cymar cyhoeddus yn cario'r cyfnewid IPsec allanol. Mae'r pâr BGP mewnol yn perthyn i'r cysylltiad rhesymegol gwarchodedig sy'n rhedeg drosto. Mae'r rhagddodiaid LAN a VPC a hysbysebir yn disgrifio'r llwythi gwaith y tu ôl i'r cysylltiad hwnnw. Mae copïo cyfeiriad mewnol VM i'r maes cymar allanol yn cymysgu'r ddau rôl gyntaf, ac mae'r methiant yn edrych fel problem negodi yn hytrach na chamgymeriad mewnbynnu data.
Cynlluniwch ddau dwnnel cymar cyfatebol, un ar gyfer pob rhyngwyneb HA VPN. Nid yw defnyddio'r ddwy ryngwyneb cwmwl ynddo'i hun yn dileu'r pwynt methiant lleol, oherwydd gall y ddau dwnnel lanio ar yr un siasi o hyd.
Ysgrifennwch rôl y cyfeiriad wrth bob gwerth yn y daflen waith. Mae'r un arferiad hwnnw'n atal y rhan fwyaf o'r cymysgu.
Cyfieithwch y daflen waith i'r fersiwn Cisco
Dechreuwch o'r ddogfennaeth cymar a gefnogir neu o dempled ffurfweddu Google cyfatebol ar gyfer eich platfform, yna cysoniwch bob dalfan â'r daflen waith. Gwiriwch ddilysu IKEv2, cynigion ESP, PFS a'r model twnnel a llwybro gyda'i gilydd, oherwydd mae anghydweddiad yn un ohonynt fel arfer yn ymddangos fel anghydweddiad yn un arall. Defnyddiwch y platfform a'r fersiwn meddalwedd gwirioneddol i ddewis yr hyn a gefnogir, gan fod rysáit Classic VPN yn fan cychwyn gwahanol.
Cadwch y gyfrinach a rennir allan o sgrinluniau, atodiadau tocynnau a nodiadau cymorth. Mae allwedd a rannwyd ymlaen llaw wedi'i phasio i sylw achos yn ddatguddiad o gymwysterau, nid yn arteffact datrys problemau.
Os yw'r templed a'r daflen waith yn anghytuno, stopiwch a datryswch ar bapur. Ni fydd y ddyfais yn cyflafareddu drosoch.
Derbyniwch bob twnnel ar ei dystiolaeth ei hun
Mae HA VPN angen sesiynau BGP, ac mae negodi IKE llwyddiannus yn sefydlu'r cam cyntaf yn unig. Mae'n rhaid i'r sesiwn fewnol godi, rhaid hysbysebu a derbyn y rhagddodiaid a fwriedir, a rhaid bod llwybrau defnyddiol a chaniatadau wal dân yn bodoli cyn i draffig llwythi gwaith symud. Mae cofnodi'r rheini fel un golau gwyrdd yn cuddio pa gam a fethodd mewn gwirionedd.
Cofnodwch dystiolaeth dderbyn fesul twnnel: cymdeithasau diogelwch wedi'u negodi, cyflwr cymydog BGP, rhagddodiaid dysgedig disgwyliedig, a'r llwybr llwyth gwaith a fwriedir. Yna rhedegwch wiriad methiant ac adferiad wedi'i reoli, oherwydd mae twnnel nad yw erioed wedi methu yn dwnnel nad yw ei lwybr adferiad wedi'i brofi.
Mae'r cofnod hwnnw'n ailddefnyddiadwy y tro nesaf y bydd y dyluniad yn newid, a dyma'r gwahaniaeth rhwng cydweithio a darn o orchymyn y collwyd ei ragdybiaethau.