Οι διευθύνσεις BGP του Cloud VPN ανήκουν μέσα στη σήραγγα, όχι στην κάρτα δικτύου

Ανοίξτε τη σελίδα Cloud Router για το VPN και μια συνεδρία BGP με διεύθυνση στο 169.254.0.0/16 σας κοιτάζει κατάματα. Η φυσική αντίδραση είναι να βάλετε αυτή τη διεύθυνση κάπου στο VM και να περιμένετε να ανέβει η συνεδρία. Αυτή η αντίδραση είναι λανθασμένη με συγκεκριμένο τρόπο: το ζεύγος ανήκει στον λογικό σύνδεσμο που δημιουργεί η σήραγγα IPsec, όχι στη συνηθισμένη διεπαφή δικτύου του μηχανήματος. Τίποτα από όσα προσθέτετε στην κάρτα δικτύου δεν κάνει τη σήραγγα να μεταφέρει BGP.

Ακολουθήστε το ζεύγος προς τα κάτω στη στοίβα αντί να το προσθέσετε στον κεντρικό υπολογιστή.

Ξεκινήστε εκεί όπου η κονσόλα δείχνει το ζεύγος

Η σελίδα της συνεδρίας απαριθμεί μια διεύθυνση BGP του Cloud Router και μια διεύθυνση ομοτίμου, και οι δύο link-local για HA VPN με IPv4. Δίπλα τους βρίσκονται οι εξωτερικές διευθύνσεις πύλης που τερματίζουν τις σήραγγες. Πρόκειται για διαφορετικά αντικείμενα: το ζεύγος link-local ζει μέσα, και οι διευθύνσεις πύλης ζουν έξω και πρέπει να δρομολογούνται πριν λειτουργήσει οτιδήποτε άλλο.

Γράψτε και τις τρεις πριν ανοίξετε ένα αρχείο ρυθμίσεων, γιατί η σύγχυσή τους είναι ολόκληρος ο τρόπος αποτυχίας.

Κατεβείτε στη σήραγγα που το μεταφέρει

Το ζεύγος link-local αποκτά νόημα μόνο όταν υπάρχει συσχέτιση ασφαλείας IPsec μεταξύ των δύο πυλών. Στην πλευρά της Google οι σήραγγες HA VPN τη δημιουργούν στις δύο διεπαφές· στη δική σας πλευρά είναι ό,τι διαπραγματεύτηκε το ομότιμο. Ελέγξτε πρώτα τη συσχέτιση δεδομένων με το swanctl --list-sas και σημειώστε ποια σήραγγα είναι ενεργή σε ποια διεπαφή, γιατί μια υγιής συνεδρία BGP πάνω από νεκρή σήραγγα είναι αδύνατη και μια νεκρή σήραγγα με ελπιδοφόρα ρύθμιση είναι καθημερινότητα.

Το πακέτο BGP είναι εσωτερική κίνηση IP. Το εξωτερικό δίκτυο δεν το βλέπει ποτέ, άρα κανένας μεταγωγέας δεν χρειάζεται και τις δύο διευθύνσεις σε ένα VLAN.

Τώρα ρυθμίστε το ομότιμο Linux ώστε να ταιριάζει

Επιλέξτε τον υποστηριζόμενο σχεδιασμό σήραγγας και αφήστε τον να καθορίσει τις εσωτερικές διευθύνσεις. Με διεπαφή βασισμένη σε δρομολόγηση, η καταχώριση δρομολόγησης και οι διαπραγματευμένοι επιλογείς κίνησης πρέπει να συμφωνούν, γιατί ένα όνομα διεπαφής από μόνο του δεν επιτρέπει τίποτα. Κατευθύνετε το BIRD στην εσωτερική τοπική διεύθυνση και στην εσωτερική διεύθυνση του Cloud Router, ορίστε τους αριθμούς AS από τη σελίδα της συνεδρίας και επιτρέψτε το TCP 179 εντός της προστατευμένης διαδρομής. Κρατήστε τη διαδρομή προς την απομακρυσμένη εξωτερική διεύθυνση στο φυσικό uplink ώστε η σήραγγα να μη συλλαμβάνει τη δική της μεταφορά.

Μια σήραγγα που δρομολογεί τον εαυτό της είναι βρόχος με χειραψία και θα μοιάζει με πρόβλημα τείχους προστασίας για μία ώρα.

Ελέγξτε κάθε στάδιο με τη σειρά, όχι όλο μαζί

Περπατήστε τα στάδια: συσχέτιση ασφαλείας ενεργή, εσωτερικό ομότιμο προσβάσιμο από τη διεύθυνση της σήραγγας, συνεδρία BGP εγκατεστημένη, προθέματα αποδεκτά, και έπειτα ένα πρόθεμα φόρτου εργασίας πράγματι σε χρήση. Το birdc show protocols απαντά στην τρίτη ερώτηση και σε τίποτα άλλο, γι' αυτό οι άνθρωποι ανακηρύσσουν νίκη νωρίς.

Ένας εγκατεστημένος γείτονας δεν υπόσχεται ότι και οι δύο πλευρές διαφήμισαν τα προθέματα που χρειάζεστε, ούτε ότι αυτές οι διαδρομές εγκαταστάθηκαν ως προτιμώμενες.

Αν η συνεδρία είναι εγκατεστημένη και η κίνηση παίρνει ακόμη λάθος δρόμο, συγκρίνετε τα διαφημιζόμενα προθέματα με το τι κάνει ο πίνακας δρομολόγησης με αυτά. Μια πιο συγκεκριμένη διαδρομή αλλού ή μια προτίμηση σε άλλη διαδρομή σας δίνει μια λειτουργική συνεδρία BGP και καμία χρήσιμη προώθηση.

Σταματήστε πριν το εφαρμόσετε στο Router Appliance

Το Network Connectivity Center Router Appliance είναι διαφορετικό μοντέλο προσάρτησης. Τα ομότιμα Cloud Router του χρησιμοποιούν εσωτερικές διευθύνσεις από τη διάταξη VPC και υποδικτύου αντί για το ζεύγος link-local του HA VPN. Αν ο πραγματικός στόχος είναι BGP με VM δρομολόγησης, ακολουθήστε τις απαιτήσεις διεπαφής εκείνου του προϊόντος αντί να αντιγράψετε μια συνεδρία link-local.

Το εύρος link-local εξακολουθεί να σημαίνει αυτό που λέει. Η λογική σήραγγα παρέχει αυτή τη γειτνίαση και δεν δίνει άδεια να δρομολογείτε αυθαίρετους προορισμούς link-local σε όλο το VPC.