Google HA VPN Cisco ruuterisse: planeerige esmalt vastaspoole ressurss
Nimetage mõlemad Google'i liidesed, vastaspoole ressurss, IKEv2 leping ja iga BGP seanss enne Cisco ruuteri seadistamist ning valige seejärel üks või kaks vastaspoolt.
Cisco ja Google'i vahelise HA VPN-i esimene otsus ei ole see, millist krüptoprofiili kasutada, vaid kas tunnelid lõpetab üks kohalik seade või kaks. Google'i HA VPN lüüsil on kaks liidest ja kumbki ootab vastavat vastaspoole tunnelit. See annab teile kaks tunnelit olenemata sellest, kas teil on kaks ruuterit või mitte, ja erinevus on selles, kas üks toiteallikas või tarkvarauuendus võib kogu lahenduse maha võtta.
Otsus on üks vastaspoole seade või kaks
Valige paigutus kolme tingimuse järgi: kas saate kohaliku rikkepunktiga nõustuda, kas mõlemat pilveliidest tuleb kasutada ja kui palju taaskonvergentsi teie töökoormused taluvad. Kui mõni kolmest on kõva nõue, on kaks vastaspoole seadet aus vastus.
Otsustage see enne konsooli avamist, sest vastus muudab, kui palju tunneleid ja BGP seansse peab tööleht kirjeldama.
Kirjutage tööleht enne mis tahes käsku
Töölehel on viis rida ja igaüks vajab omanikku:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Väline vastaspoole ressurss kirjeldab teie liideseid Google Cloudi sees ja selle loomine ei seadista Cisco ruuterit. See asümmeetria üllatab inimesi, kes ootavad, et pilvekonsool on tõeallikas mõlema otsa jaoks. See on deklaratsioon sellest, mida Google peaks ootama, ja ruuter peab sellega ikka vastama. Google'i vastaspoole lüüsi juhend seob selle deklaratsiooni tunneli-, BGP-, tulemüüri- ja IKE-tööga, mille teile veel võlgnetakse.
Kui real pole omanikku, täidab selle see, kes on ülemineku ajal vahetuses.
Hoidke kolm aadressirolli lahus
Avalikud vastaspoole aadressid kannavad välist IPsec-vahetust. Sisemine BGP paar kuulub kaitstud loogilise ühenduse juurde, mis selle kohal jookseb. Teatatud LAN- ja VPC-prefiksid kirjeldavad selle ühenduse taga olevaid töökoormusi. VM-i sisemise aadressi kopeerimine välise vastaspoole väljale segab kaks esimest rolli ja rike näeb välja nagu läbirääkimisprobleem, mitte andmesisestusviga.
Planeerige kaks vastavat vastaspoole tunnelit, üks iga HA VPN liidese jaoks. Mõlema pilveliidese kasutamine iseenesest ei kõrvalda kohalikku rikkepunkti, sest mõlemad tunnelid võivad ikka samale korpusele maanduda.
Kirjutage aadressiroll töölehe iga väärtuse kõrvale. See üks harjumus hoiab ära suurema osa segunemisest.
Tõlkige tööleht Cisco väljaandeks
Alustage toetatud vastaspoole dokumentatsioonist või teie platvormile sobivast Google'i konfiguratsioonimallist ja seejärel viige iga kohatäide töölehega kooskõlla. Kontrollige IKEv2 autentimist, ESP ettepanekuid, PFS-i ning tunneli- ja marsruutimismudelit koos, sest ühe nende lahknevus ilmneb tavaliselt teise lahknevusena. Kasutage tegelikku platvormi ja tarkvaraväljaannet, et valida, mida toetatakse, kuna Classic VPN-i retsept on erinev lähtepunkt.
Hoidke jagatud saladus ekraanipiltidest, pileti manustest ja tugimärkmetest eemal. Juhtumi kommentaari kleebitud eeljagatud võti on volituste paljastamine, mitte tõrkeotsingu artefakt.
Kui mall ja tööleht ei ühti, peatuge ja lahendage see paberil. Seade ei vahenda teie eest.
Aktsepteerige iga tunnelit selle enda tõendite alusel
HA VPN vajab BGP seansse ja edukas IKE läbirääkimine loob ainult esimese etapi. Sisemine seanss peab püsti tulema, kavandatud prefiksid peavad olema teatatud ja aktsepteeritud ning kasulikud marsruudid ja tulemüüriõigused peavad olemas olema enne, kui töökoormuse liiklus liigub. Nende kirjendamine ühe rohelise tulena varjab, milline etapp tegelikult ebaõnnestus.
Registreerige vastuvõtutõendid iga tunneli kohta: läbiräägitud turbeseosed, BGP naabri olek, oodatud õpitud prefiksid ja kavandatud töökoormuse tee. Seejärel käivitage kontrollitud rikke- ja taastetest, sest tunnel, mis pole kunagi rikkunud, on tunnel, mille taastetee on testimata.
See kirje on järgmisel korral, kui lahendus muutub, uuesti kasutatav ja see on erinevus koostalitluse ning käsuosa vahel, mille eeldused läksid kaduma.