Cloud VPN-ren BGP helbideak tunelaren barruan daude, ez sare-txartelean

Ireki VPNaren Cloud Router orria eta 169.254.0.0/16 barruko helbidea duen BGP saio bat dago zure aurrean. Erreakzio naturala helbide hori VMren nonbait jartzea eta saioa altxatzea itxarotea da. Erreakzio hori modu zehatz batean okerra da: bikotea IPsec tunelak sortzen duen esteka logikoari dagokio, ez makinaren ohiko sare interfazeari. NICean gehitzen duzun ezerk ez du tunela BGP eramatera behartzen.

Jarraitu bikoteari pilan behera, ostalarian gehitu beharrean.

Hasi kontsolak bikotea erakusten duen tokian

Saioaren orriak Cloud Router-en BGP helbide bat eta pareko baten helbidea zerrendatzen ditu, biak link-local IPv4 HA VPN baterako. Haien ondoan tunelak amaitzen dituzten kanpoko atearen helbideak daude. Objektu desberdinak dira: link-local bikotea barruan bizi da, eta atearen helbideak kanpoan bizi dira eta bideragarriak izan behar dute beste ezerk funtziona dezan.

Idatzi hirurak konfigurazio fitxategi bat ireki aurretik, haiek nahastea hutsegite modu osoa delako.

Jaitsi hura eramaten duen tunelera

Link-local bikoteak zentzua du bi ateen artean IPsec segurtasun elkarte bat dagoenean soilik. Googleren aldean HA VPN tunelak bi interfazeetan sortzen du; zure aldean parekoak negoziatu duena da. Egiaztatu lehenengo datu elkartea swanctl --list-sas erabiliz eta idatzi zein tunel dagoen martxan zein interfazetan, hildako tunel baten gaineko BGP saio osasuntsua ezinezkoa delako eta konfigurazio itxaropentsu bateko tunel hila ohikoa delako.

BGP paketea barneko IP trafikoa da. Kanpoko sareak ez du inoiz ikusten, beraz, ez du inongo switch-ek bi helbideak VLAN berean behar.

Orain konfiguratu Linux parekoa bat etor dadin

Aukeratu onartutako tunel diseinua eta utzi horri barne helbideak erabakitzen. Bideratzean oinarritutako interfaze batekin, bideratze sarrerak eta negoziatutako trafiko hautatzaileek bat etorri behar dute, interfazearen izenak bakarrik ez baitu ezer baimentzen. Zuzendu BIRD barne helbide lokalera eta Cloud Router-en barne helbidera, ezarri AS zenbakiak saioaren orritik, eta baimendu TCP 179 bide babestuaren barruan. Eutsi urruneko kanpoko helbiderako bidea uplink fisikoan, tunelak bere garraioa har ez dezan.

Bere burua bideratzen duen tunela eskuko agurrarekin egindako begizta bat da, eta ordubetez suebaki arazo bat bezala ikusiko da.

Egiaztatu etapa bakoitza ordenan, ez dena aldi berean

Igo etapak: segurtasun elkartea altxatuta, barne parekoa tuneleko helbidetik irisgarri, BGP saioa ezarrita, aurrizkiak onartuta, eta gero karga-laneko aurrizki bat benetan erabilita. birdc show protocols-ek hirugarren galderari erantzuten dio eta beste ezeri ez, horregatik jendeak garaipena goiz aldarrikatzen du.

Ezarritako bizilagun batek ez du agintzen bi aldeek behar dituzun aurrizkiak iragarri dituztenik, ezta bide horiek hobetsi gisa instalatu direnik ere.

Saioa ezarrita badago eta trafikoak bide okerra hartzen badu, alderatu iragarritako aurrizkiak bideratze taulak haiekin egiten duenarekin. Beste nonbait bide zehatzago batek, edo beste bide baten aldeko hobespen batek, BGP saio funtzionala ematen dizu eta ez aurreratze erabilgarririk.

Gelditu hau Router Appliance-n aplikatu aurretik

Network Connectivity Center Router Appliance eransketaren eredu desberdina da. Bere Cloud Router parekoek VPC eta azpisarearen antolakuntzako barne helbideak erabiltzen dituzte, HA VPN link-local bikotearen ordez. Benetako helburua bideratze VM batekin BGP bada, jarraitu produktu horren interfaze baldintzak link-local saio bat kopiatu beharrean.

Link-local esparruak oraindik esaten duena esan nahi du. Tunel logikoak auzotasun hori ematen du, eta ez du baimentzen link-local helmuga arbitrarioak VPC osoan zehar bideratzea.