Google HA VPN σε δρομολογητή Cisco: σχεδιάστε πρώτα τον πόρο ομοτίμου
Ονομάστε και τις δύο διεπαφές της Google, τον πόρο ομοτίμου, τη σύμβαση IKEv2 και κάθε συνεδρία BGP πριν ρυθμίσετε τον δρομολογητή Cisco και μετά επιλέξτε έναν ομότιμο ή δύο.
Η πρώτη απόφαση σε ένα HA VPN από Cisco προς Google δεν είναι ποιο προφίλ κρυπτογράφησης θα χρησιμοποιηθεί, αλλά αν μία τοπική συσκευή ή δύο θα τερματίσουν τις σήραγγες. Η πύλη HA VPN της Google έχει δύο διεπαφές και καθεμία περιμένει μια αντίστοιχη σήραγγα ομοτίμου. Αυτό σας δίνει δύο σήραγγες είτε έχετε δύο δρομολογητές είτε όχι, και η διαφορά είναι αν ένα μόνο τροφοδοτικό ή μια αναβάθμιση λογισμικού μπορεί να καταρρίψει όλο τον σχεδιασμό.
Η απόφαση είναι μία συσκευή ομοτίμου ή δύο
Επιλέξτε τη διάταξη με βάση τρεις συνθήκες: αν μπορείτε να δεχτείτε ένα τοπικό σημείο αστοχίας, αν πρέπει να χρησιμοποιηθούν και οι δύο διεπαφές cloud και πόση επανασύγκλιση ανέχονται τα φορτία εργασίας σας. Αν οποιαδήποτε από τις τρεις είναι σκληρή απαίτηση, δύο συσκευές ομοτίμου είναι η ειλικρινής απάντηση.
Αποφασίστε το πριν ανοίξετε μια κονσόλα, γιατί η απάντηση αλλάζει πόσες σήραγγες και συνεδρίες BGP πρέπει να περιγράφει το φύλλο εργασίας.
Γράψτε το φύλλο εργασίας πριν από οποιαδήποτε εντολή
Το φύλλο εργασίας έχει πέντε γραμμές και καθεμία χρειάζεται υπεύθυνο:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Ο εξωτερικός πόρος ομοτίμου περιγράφει τις διεπαφές σας μέσα στο Google Cloud και η δημιουργία του δεν ρυθμίζει τον δρομολογητή Cisco. Αυτή η ασυμμετρία εκπλήσσει όσους περιμένουν η κονσόλα cloud να είναι η πηγή αλήθειας και για τα δύο άκρα. Είναι μια δήλωση του τι πρέπει να περιμένει η Google και ο δρομολογητής πρέπει ακόμη να ανταποκρίνεται σε αυτήν. Ο οδηγός πύλης ομοτίμου της Google αντιστοιχίζει αυτή τη δήλωση στην εργασία σήραγγας, BGP, τείχους προστασίας και IKE που οφείλετε ακόμη.
Αν μια γραμμή δεν έχει υπεύθυνο, θα τη συμπληρώσει όποιος είναι σε βάρδια κατά τη μετάβαση.
Κρατήστε τους τρεις ρόλους διευθύνσεων χωριστούς
Οι δημόσιες διευθύνσεις ομοτίμου μεταφέρουν την εξωτερική ανταλλαγή IPsec. Το εσωτερικό ζεύγος BGP ανήκει στην προστατευμένη λογική σύνδεση που τρέχει από πάνω της. Τα διαφημιζόμενα προθέματα LAN και VPC περιγράφουν τα φορτία εργασίας πίσω από αυτή τη σύνδεση. Η αντιγραφή της εσωτερικής διεύθυνσης ενός VM στο εξωτερικό πεδίο ομοτίμου αναμειγνύει τους δύο πρώτους ρόλους και η αστοχία μοιάζει με πρόβλημα διαπραγμάτευσης παρά με σφάλμα καταχώρισης δεδομένων.
Σχεδιάστε δύο αντίστοιχες σήραγγες ομοτίμου, μία για κάθε διεπαφή HA VPN. Η χρήση και των δύο διεπαφών cloud δεν αφαιρεί από μόνη της το τοπικό σημείο αστοχίας, γιατί και οι δύο σήραγγες μπορούν ακόμη να προσγειωθούν στο ίδιο πλαίσιο.
Γράψτε τον ρόλο της διεύθυνσης δίπλα σε κάθε τιμή στο φύλλο εργασίας. Αυτή η μία συνήθεια αποτρέπει το μεγαλύτερο μέρος της ανάμειξης.
Μεταφράστε το φύλλο εργασίας στην έκδοση Cisco
Ξεκινήστε από την υποστηριζόμενη τεκμηρίωση ομοτίμου ή από ένα αντίστοιχο πρότυπο διαμόρφωσης Google για την πλατφόρμα σας και μετά ευθυγραμμίστε κάθε σύμβολο θέσης με το φύλλο εργασίας. Ελέγξτε τον έλεγχο ταυτότητας IKEv2, τις προτάσεις ESP, το PFS και το μοντέλο σήραγγας και δρομολόγησης μαζί, γιατί μια αναντιστοιχία σε ένα από αυτά εμφανίζεται συνήθως ως αναντιστοιχία σε ένα άλλο. Χρησιμοποιήστε την πραγματική πλατφόρμα και έκδοση λογισμικού για να επιλέξετε τι υποστηρίζεται, καθώς μια συνταγή Classic VPN είναι διαφορετικό σημείο εκκίνησης.
Κρατήστε το κοινόχρηστο μυστικό έξω από στιγμιότυπα οθόνης, συνημμένα δελτίων και σημειώσεις υποστήριξης. Ένα προ-κοινόχρηστο κλειδί που επικολλάται σε σχόλιο υπόθεσης είναι αποκάλυψη διαπιστευτηρίων, όχι τεκμήριο αντιμετώπισης προβλημάτων.
Αν το πρότυπο και το φύλλο εργασίας διαφωνούν, σταματήστε και λύστε το στο χαρτί. Η συσκευή δεν θα διαιτητεύσει για εσάς.
Αποδεχτείτε κάθε σήραγγα με τα δικά της στοιχεία
Το HA VPN χρειάζεται συνεδρίες BGP και μια επιτυχής διαπραγμάτευση IKE καθιερώνει μόνο το πρώτο στάδιο. Η εσωτερική συνεδρία πρέπει να ανέβει, τα προβλεπόμενα προθέματα πρέπει να διαφημιστούν και να γίνουν αποδεκτά, και χρήσιμες διαδρομές συν άδειες τείχους προστασίας πρέπει να υπάρχουν πριν κινηθεί η κίνηση των φορτίων εργασίας. Η καταγραφή αυτών ως ένα πράσινο φως κρύβει ποιο στάδιο απέτυχε πραγματικά.
Καταγράψτε στοιχεία αποδοχής ανά σήραγγα: διαπραγματευμένες συσχετίσεις ασφαλείας, κατάσταση γείτονα BGP, αναμενόμενα μαθημένα προθέματα και την προβλεπόμενη διαδρομή φορτίου εργασίας. Στη συνέχεια εκτελέστε έναν ελεγχόμενο έλεγχο αστοχίας και ανάκτησης, γιατί μια σήραγγα που δεν απέτυχε ποτέ είναι μια σήραγγα της οποίας η διαδρομή ανάκτησης δεν έχει δοκιμαστεί.
Αυτό το αρχείο είναι επαναχρησιμοποιήσιμο την επόμενη φορά που θα αλλάξει ο σχεδιασμός και είναι η διαφορά μεταξύ μιας διαλειτουργικότητας και ενός αποσπάσματος εντολής του οποίου οι παραδοχές χάθηκαν.