Google HA VPN به روتر Cisco: ابتدا منبع همتا را برنامه‌ریزی کنید
پیش از پیکربندی روتر Cisco، هر دو رابط Google، منبع همتا، قرارداد IKEv2 و هر جلسه BGP را نام‌گذاری کنید و سپس یک همتا یا دو همتا را انتخاب کنید.
نخستین تصمیم در یک HA VPN از Cisco به Google این نیست که از کدام پروفایل رمزنگاری استفاده شود، بلکه این است که یک دستگاه محلی یا دو دستگاه تونل‌ها را پایان می‌دهند. دروازه HA VPN گوگل دو رابط دارد و هر یک انتظار یک تونل همتای متناظر دارد. این به شما دو تونل می‌دهد، چه دو روتر داشته باشید و چه نه، و تفاوت در این است که آیا یک منبع تغذیه یا یک ارتقای نرم‌افزاری می‌تواند کل طرح را از کار بیندازد.
تصمیم، یک دستگاه همتا یا دو دستگاه است
چیدمان را بر اساس سه شرط انتخاب کنید: اینکه آیا می‌توانید یک نقطه خرابی محلی را بپذیرید، آیا باید از هر دو رابط ابری استفاده شود و بارهای کاری شما چه میزان همگرایی مجدد را تحمل می‌کنند. اگر هر یک از این سه یک الزام سخت باشد، دو دستگاه همتا پاسخ صادقانه است.
پیش از باز کردن یک کنسول در این باره تصمیم بگیرید، زیرا پاسخ تغییر می‌دهد که برگه کار باید چند تونل و جلسه BGP را توصیف کند.
برگه کار را پیش از هر فرمانی بنویسید
برگه کار پنج ردیف دارد و هر یک به یک مالک نیاز دارد:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
منبع همتای خارجی رابط‌های شما را درون Google Cloud توصیف می‌کند و ایجاد آن روتر Cisco را پیکربندی نمی‌کند. این عدم تقارن کسانی را شگفت‌زده می‌کند که انتظار دارند کنسول ابری منبع حقیقت برای هر دو سر باشد. این یک اعلام از آن چیزی است که گوگل باید انتظار داشته باشد و روتر هنوز باید با آن مطابقت کند. راهنمای دروازه همتا گوگل آن اعلام را به کار تونل، BGP، دیوار آتش و IKE که هنوز بدهکارید نگاشت می‌کند.
اگر ردیفی مالک نداشته باشد، کسی که در زمان انتقال در شیفت است آن را پر می‌کند.
سه نقش نشانی را از هم جدا نگه دارید
نشانی‌های عمومی همتا تبادل بیرونی IPsec را حمل می‌کنند. جفت BGP داخلی به اتصال منطقی محافظت‌شده‌ای تعلق دارد که روی آن اجرا می‌شود. پیشوندهای LAN و VPC اعلام‌شده بارهای کاری پشت آن اتصال را توصیف می‌کنند. کپی کردن نشانی داخلی یک VM در فیلد همتای خارجی دو نقش نخست را با هم مخلوط می‌کند و خرابی شبیه یک مشکل مذاکره به نظر می‌رسد نه یک خطای ورود داده.
دو تونل همتای متناظر را برنامه‌ریزی کنید، یکی برای هر رابط HA VPN. استفاده از هر دو رابط ابری به خودی خود نقطه خرابی محلی را حذف نمی‌کند، زیرا هر دو تونل هنوز می‌توانند روی یک شاسی فرود بیایند.
نقش نشانی را کنار هر مقدار در برگه کار بنویسید. همین یک عادت بیشترین بخش اختلاط را جلوگیری می‌کند.
برگه کار را به نسخه Cisco ترجمه کنید
از مستندات پشتیبانی‌شده همتا یا یک الگوی پیکربندی Google متناسب با پلتفرم خود شروع کنید و سپس هر نگه‌دارنده جا را با برگه کار تطبیق دهید. احراز هویت IKEv2، پیشنهادهای ESP، PFS و مدل تونل و مسیریابی را با هم بررسی کنید، زیرا ناسازگاری در یکی از آن‌ها معمولاً به شکل ناسازگاری در دیگری ظاهر می‌شود. از پلتفرم و نسخه نرم‌افزاری واقعی برای انتخاب آنچه پشتیبانی می‌شود استفاده کنید، چون دستورالعمل Classic VPN نقطه شروع متفاوتی است.
راز مشترک را از تصاویر صفحه، پیوست‌های تیکت و یادداشت‌های پشتیبانی دور نگه دارید. کلید از پیش به اشتراک گذاشته‌شده‌ای که در یک نظر مورد چسبانده شود، افشای اعتبارنامه است، نه یک مصنوع عیب‌یابی.
اگر الگو و برگه کار با هم اختلاف دارند، متوقف شوید و آن را روی کاغذ حل کنید. دستگاه به جای شما داوری نمی‌کند.
هر تونل را با شواهد خودش بپذیرید
HA VPN به جلسات BGP نیاز دارد و یک مذاکره موفق IKE فقط مرحله نخست را برقرار می‌کند. جلسه داخلی باید بالا بیاید، پیشوندهای مورد نظر باید اعلام و پذیرفته شوند و مسیرهای مفید به‌همراه مجوزهای دیوار آتش باید پیش از حرکت ترافیک بارهای کاری وجود داشته باشند. ثبت این‌ها به‌عنوان یک چراغ سبز، پنهان می‌کند که کدام مرحله واقعاً شکست خورده است.
شواهد پذیرش را برای هر تونل ثبت کنید: انجمن‌های امنیتی مذاکره‌شده، وضعیت همسایه BGP، پیشوندهای آموخته‌شده مورد انتظار و مسیر مورد نظر بار کاری. سپس یک بررسی کنترل‌شده خرابی و بازیابی اجرا کنید، زیرا تونلی که هرگز خراب نشده، تونلی است که مسیر بازیابی آن آزمایش نشده است.
آن سابقه دفعه بعد که طرح تغییر کند قابل استفاده مجدد است و تفاوت میان یک همکاری متقابل و یک قطعه فرمان است که مفروضاتش از دست رفته‌اند.