Google HA VPN Cisco router batera: planifikatu lehenik bikotearen baliabidea
Izenda itzazu Google-ren bi interfazeak, bikotearen baliabidea, IKEv2 kontratua eta BGP saio bakoitza Cisco routerra konfiguratu aurretik, eta gero aukeratu bikote bat edo bi.
Cisco-tik Google-rako HA VPN batean lehen erabakia ez da zein kripto profil erabili, baizik eta gailu lokal batek edo bik amaituko dituzten tunelak. Google-ren HA VPN atebideak bi interfaze ditu, eta bakoitzak dagokion bikote-tunela espero du. Horrek bi tunel ematen dizkizu, bi router dituzun ala ez, eta aldea da elikadura-iturri bakar batek edo software eguneratze batek diseinu osoa bota dezakeen.
Erabakia bikote-gailu bat edo bi da
Aukeratu diseinua hiru baldintzaren arabera: onar dezakezun hutsegite-puntu lokal bat, hodeiko bi interfazeak erabili behar diren eta zure lan-kargek zenbat berkonbergentzia jasaten duten. Hiruretako bat baldintza gogorra bada, bi bikote-gailu dira erantzun zintzoa.
Erabaki hori kontsola bat ireki aurretik, erantzunak lan-orriak zenbat tunel eta BGP saio deskribatu behar dituen aldatzen baitu.
Idatzi lan-orria edozein komando eman aurretik
Lan-orriak bost errenkada ditu, eta bakoitzak arduradun bat behar du:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Kanpoko bikote-baliabideak Google Cloud-en barruko zure interfazeak deskribatzen ditu, eta haren sorrerak ez du Cisco routerra konfiguratzen. Asimetria horrek hodeiko kontsola bi muturren egia-iturria izatea espero dutenak harritzen ditu. Google-k zer espero behar duen adierazpena da, eta routerrak oraindik bat etorri behar du harekin. Google-ren bikote atebidearen gidak adierazpen hori oraindik zor duzun tunel, BGP, suebaki eta IKE lanari esleitzen dio.
Errenkada batek arduradunik ez badu, trantsizioan txanda duenak beteko du.
Eduki hiru helbide-rolak bereizita
Kanpoko bikote-helbideek kanpoko IPsec trukaketa daramate. Barruko BGP bikotea haren gainetik doan konexio logiko babestuarena da. Iragarritako LAN eta VPC aurrizkiek konexio horren atzeko lan-kargak deskribatzen dituzte. VM baten barne-helbidea kanpoko bikote-eremuan kopiatzeak lehen bi rolak nahasten ditu, eta hutsegitea negoziazio-arazo bat bezala agertzen da, datu-sarrera errore bat bezala beharrean.
Planifikatu dagokion bi bikote-tunel, HA VPN interfaze bakoitzeko bat. Hodeiko bi interfazeak erabiltzeak ez du berez kentzen tokiko hutsegite-puntua, bi tunelak oraindik ere txasis berera iritsi baitaitezke.
Idatzi helbide-rola lan-orriko balio bakoitzaren ondoan. Ohitura bakar horrek nahastearen zatirik handiena eragozten du.
Itzuli lan-orria Cisco bertsiora
Hasi onartutako bikote-dokumentaziotik edo zure plataformarako Google konfigurazio-txantiloi egoki batetik, eta gero adostu leku-marka bakoitza lan-orriarekin. Egiaztatu IKEv2 autentifikazioa, ESP proposamenak, PFS eta tunel eta bideratze-eredua elkarrekin, horietako bat desegokia izatea normalean beste batean desegokia izatea gisa agertzen baita. Erabili benetako plataforma eta software bertsioa onartzen dena aukeratzeko, Classic VPN errezeta beste abiapuntu bat baita.
Eduki partekatutako sekretua pantaila-argazkietatik, txartel eranskinetatik eta laguntza-oharretatik kanpo. Kasu-iruzkin batean itsatsitako aldez aurretik partekatutako gakoa kredentzialen agerpena da, ez arazoen konponketarako artefaktua.
Txantiloia eta lan-orria bat ez badatoz, gelditu eta konpondu paperean. Gailuak ez du zure ordez arbitratuko.
Onartu tunel bakoitza bere frogekin
HA VPN-k BGP saioak behar ditu, eta IKE negoziazio arrakastatsu batek lehen etapa bakarrik ezartzen du. Barne-saioa altxatu behar da, aurreikusitako aurrizkiak iragarri eta onartu behar dira, eta bide erabilgarriek eta suebaki-baimenek existitu behar dute lan-kargen trafikoa mugitu aurretik. Horiek argi berde bakar gisa erregistratzeak ezkutatzen du zein etapak huts egin zuen benetan.
Erregistratu onarpen-frogak tunel bakoitzeko: negoziatutako segurtasun-elkarteak, BGP bizilagunaren egoera, espero diren ikasitako aurrizkiak eta aurreikusitako lan-karga bidea. Gero, egin huts egite eta berreskuratze proba kontrolatu bat, inoiz huts egin ez duen tunela berreskuratze-bidea probatu gabe duen tunela baita.
Erregistro hori berrerabilgarria da diseinua hurrengoan aldatzen denean, eta hori da interoperabilitate baten eta suposizioak galdu dituen komando-zati baten arteko aldea.