Cloud VPN-i BGP-aadressid kuuluvad tunnelisse, mitte võrgukaardile

Avage VPN-i Cloud Routeri leht ja teid vaatab vastu BGP-sessioon aadressiga 169.254.0.0/16 piirkonnas. Loomulik reaktsioon on panna see aadress kuhugi VM-i peale ja oodata, kuni sessioon tõuseb. See reaktsioon on konkreetsel viisil vale: paar kuulub loogilisele lingile, mille IPsec-tunnel loob, mitte masina tavapärasele võrguliidesele. Miski, mida NIC-ile lisate, ei pane tunnelit BGP-d kandma.

Jälgige paari virnas allapoole, selle asemel et see hostile lisada.

Alustage sealt, kus konsool paari näitab

Sessiooni leht loetleb Cloud Routeri BGP-aadressi ja partneri aadressi, mõlemad IPv4 HA VPN-i puhul link-local. Nende kõrval on välised lüüsiaadressid, mis tunneleid lõpetavad. Need on erinevad objektid: link-local-paar elab sees ja lüüsiaadressid elavad väljas ning peavad olema marsruuditavad, enne kui miski muu töötab.

Kirjutage kõik kolm üles enne konfiguratsioonifaili avamist, sest nende segiajamine on kogu tõrkerežiim.

Minge alla tunnelini, mis seda kannab

Link-local-paar tähendab midagi alles siis, kui kahe lüüsi vahel on IPsec-i turvaassotsiatsioon. Google'i poolel loovad HA VPN-i tunnelid selle kahel liidesel; teie poolel on see, mille partner läbi rääkis. Kontrollige kõigepealt andmeassotsiatsiooni käsuga swanctl --list-sas ja pange kirja, milline tunnel millisel liidesel üleval on, sest terve BGP-sessioon surnud tunneli kohal on võimatu ja lootusrikka konfiguratsiooniga surnud tunnel on tavaline.

BGP-pakett on sisemine IP-liiklus. Väline võrk ei näe seda kunagi, seega ei vaja ükski kommutaator mõlemat aadressi ühes VLAN-is.

Nüüd seadistage Linuxi partner vastavaks

Valige toetatud tunnelidisain ja laske sellel sisemised aadressid otsustada. Marsruutimispõhise liidese korral peavad marsruudikirje ja läbi räägitud liiklusvalijad kokku langema, sest ainuüksi liidese nimi ei luba midagi. Suunake BIRD sisemisele kohalikule aadressile ja Cloud Routeri sisemisele aadressile, seadke AS-numbrid sessiooni lehelt ja lubage TCP 179 kaitstud teekonna sees. Hoidke marsruut kaugema välise aadressini füüsilisel ühendusel, et tunnel ei haaraks oma transporti.

Tunnel, mis marsruudib iseennast, on silmus koos käesurumisega ja näeb tund aega välja nagu tulemüüriprobleem.

Kontrollige iga etappi järjekorras, mitte kõike korraga

Käige etapid läbi: turvaassotsiatsioon üleval, sisemine partner tunneliaadressilt kättesaadav, BGP-sessioon loodud, prefiksid vastu võetud, seejärel töökoormuse prefiks tegelikult kasutusel. birdc show protocols vastab kolmandale küsimusele ja mitte millelegi muule, mistõttu inimesed kuulutavad võitu vara.

Loodud naaber ei taga, et mõlemad pooled teatasid prefiksitest, mida vajate, ega seda, et need marsruudid paigaldati eelistatud kujul.

Kui sessioon on loodud ja liiklus läheb ikkagi valele teele, võrrelge teatatud prefikseid sellega, mida marsruutimistabel nendega teeb. Täpsem marsruut mujal või eelistus teisele teele annab teile töötava BGP-sessiooni ja mitte mingit kasulikku edastust.

Peatuge enne, kui rakendate seda Router Appliance'ile

Network Connectivity Center Router Appliance on teistsugune kinnitamismudel. Selle Cloud Routeri partnerid kasutavad sisemisi aadresse VPC ja alamvõrgu paigutusest, mitte HA VPN-i link-local-paari. Kui tegelik eesmärk on BGP marsruutimise VM-iga, järgige selle toote liidesenõudeid, selle asemel et link-local-sessiooni kopeerida.

Link-local-i ulatus tähendab endiselt seda, mida ta ütleb. Loogiline tunnel annab selle naabruse ega anna luba marsruudida suvalisi link-locali sihtkohti üle VPC.