Cloud VPN:n BGP-osoitteet kuuluvat tunnelin sisään, eivät verkkokortille

Avaa VPN:n Cloud Router -sivu, ja sinua tuijottaa BGP-istunto, jonka osoite on 169.254.0.0/16 alueella. Luonnollinen reaktio on sijoittaa tuo osoite jonnekin VM:lle ja odottaa istunnon nousemista. Reaktio on tietyllä tavalla väärä: pari kuuluu loogiseen linkkiin, jonka IPsec-tunneli luo, ei koneen tavalliseen verkkoliitäntään. Mikään NIC:iin lisäämäsi ei saa tunnelia kuljettamaan BGP:tä.

Seuraa paria pinossa alaspäin sen sijaan, että lisäisit sen isäntään.

Aloita siitä, missä konsoli näyttää parin

Istuntosivu luettelee Cloud Routerin BGP-osoitteen ja vertaisosoitteen, molemmat link-local IPv4 HA VPN:ssä. Niiden vieressä ovat ulommat yhdyskäytäväosoitteet, jotka päättävät tunnelit. Ne ovat eri objekteja: link-local-pari elää sisällä ja yhdyskäytäväosoitteet elävät ulkona ja niiden on oltava reititettäviä ennen kuin mikään muu toimii.

Kirjoita kaikki kolme muistiin ennen asetustiedoston avaamista, sillä niiden sekoittaminen on koko virhetila.

Käy alas tunneliin, joka sen kuljettaa

Link-local-parilla on merkitystä vasta, kun kahden yhdyskäytävän välillä on IPsec-turva-assosiaatio. Googlen puolella HA VPN -tunnelit luovat sen kahdelle liitännälle; sinun puolellasi se on se, mitä vertainen neuvotteli. Tarkista ensin data-assosiaatio komennolla swanctl --list-sas ja kirjaa, mikä tunneli on ylhäällä milläkin liitännällä, sillä tervettä BGP-istuntoa kuolleen tunnelin yli ei voi olla ja kuollut tunneli toiveikkaalla kokoonpanolla on arkea.

BGP-paketti on sisäistä IP-liikennettä. Ulompi verkko ei koskaan näe sitä, joten mikään kytkin ei tarvitse molempia osoitteita yhdessä VLAN:issa.

Määritä nyt Linux-vertainen vastaamaan

Valitse tuettu tunnelimalli ja anna sen päättää sisäiset osoitteet. Reitityspohjaisella liitännällä reititysmerkinnän ja neuvoteltujen liikennevalitsimien on oltava yhtä mieltä, sillä pelkkä liitännän nimi ei salli mitään. Suuntaa BIRD sisäiseen paikalliseen osoitteeseen ja Cloud Routerin sisäiseen osoitteeseen, aseta AS-numerot istuntosivulta ja salli TCP 179 suojatun polun sisällä. Pidä reitti kaukaiseen ulompaan osoitteeseen fyysisellä uplinkillä, jotta tunneli ei kaappaa omaa kuljetustaan.

Itsensä reitittävä tunneli on silmukka, jossa on kättely, ja se näyttää tunnin ajan palomuuriongelmalta.

Tarkista jokainen vaihe järjestyksessä, ei koko asiaa kerralla

Käy vaiheet läpi: turva-assosiaatio ylhäällä, sisäinen vertainen tavoitettavissa tunnelin osoitteesta, BGP-istunto muodostettu, etuliitteet hyväksytty, sitten työkuorman etuliite todella käytössä. birdc show protocols vastaa kolmanteen kysymykseen eikä mihinkään muuhun, minkä vuoksi ihmiset julistavat voiton aikaisin.

Muodostettu naapuri ei lupaa, että molemmat osapuolet ilmoittivat tarvitsemasi etuliitteet tai että ne reitit asennettiin ensisijaisiksi.

Jos istunto on muodostettu ja liikenne kulkee silti väärää polkua, vertaa ilmoitettuja etuliitteitä siihen, mitä reititystaulu tekee niille. Tarkempi reitti muualla tai toisen polun suosiminen antaa sinulle toimivan BGP-istunnon ja ei mitään hyödyllistä edelleenlähetystä.

Pysähdy ennen kuin sovellat tätä Router Applianceen

Network Connectivity Center Router Appliance on erilainen liityntämalli. Sen Cloud Router -vertaiset käyttävät sisäisiä osoitteita VPC:n ja aliverkon järjestelystä HA VPN:n link-local-parin sijaan. Jos todellinen tavoite on BGP reititys-VM:n kanssa, seuraa tuon tuotteen liitäntävaatimuksia sen sijaan, että kopioit link-local-istunnon.

Link-local-rajaus tarkoittaa edelleen sitä, mitä se sanoo. Looginen tunneli tarjoaa tämän naapuruuden, eikä se anna lupaa reitittää mielivaltaisia link-local-kohteita VPC:n halki.