Google HA VPN Cisco-reitittimeen: suunnittele vertaisresurssi ensin
Nimeä molemmat Googlen liitännät, vertaisresurssi, IKEv2-sopimus ja jokainen BGP-istunto ennen Cisco-reitittimen määrittämistä ja valitse sitten yksi vertaislaite tai kaksi.
Ciscosta Googleen -suuntaisessa HA VPN:ssä ensimmäinen päätös ei ole se, mitä salausprofiilia käytetään, vaan se, lopettaako tunnelit yksi paikallinen laite vai kaksi. Googlen HA VPN -yhdyskäytävässä on kaksi liitäntää, ja kumpikin odottaa vastaavaa vertaistunnelia. Se antaa sinulle kaksi tunnelia riippumatta siitä, onko sinulla kaksi reititintä, ja ero on siinä, voiko yksi virtalähde tai ohjelmistopäivitys kaataa koko suunnittelun.
Päätös on yksi vertaislaite tai kaksi
Valitse asettelu kolmen ehdon perusteella: voitko hyväksyä paikallisen vikapisteen, täytyykö molempia pilviliitäntöjä käyttää ja kuinka paljon uudelleenkonvergenssia työkuormasi sietävät. Jos mikä tahansa kolmesta on kova vaatimus, kaksi vertaislaitetta on rehellinen vastaus.
Päätä se ennen konsolin avaamista, koska vastaus muuttaa sitä, kuinka monta tunnelia ja BGP-istuntoa työarkin on kuvattava.
Kirjoita työarkki ennen mitään komentoa
Työarkissa on viisi riviä, ja jokainen tarvitsee omistajan:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Ulkoinen vertaisresurssi kuvaa liitäntäsi Google Cloudin sisällä, eikä sen luominen määritä Cisco-reititintä. Tämä epäsymmetria yllättää ne, jotka odottavat pilvikonsolin olevan totuuden lähde molemmille päille. Se on ilmoitus siitä, mitä Googlen pitäisi odottaa, ja reitittimen on silti vastattava sitä. Googlen vertaisyhdyskäytävän opas kohdistaa tämän ilmoituksen tunnelin, BGP:n, palomuurin ja IKE:n työhön, jonka vielä olet velkaa.
Jos rivillä ei ole omistajaa, sen täyttää se, joka on siirtymän aikana vuorossa.
Pidä kolme osoiteroolia erillään
Julkiset vertaisosoitteet kuljettavat ulkoisen IPsec-vaihdon. Sisempi BGP-pari kuuluu suojattuun loogiseen yhteyteen, joka kulkee sen yli. Ilmoitetut LAN- ja VPC-etuliitteet kuvaavat kyseisen yhteyden takana olevia työkuormia. VM:n sisäisen osoitteen kopioiminen ulkoiseen vertaiskenttään sekoittaa kaksi ensimmäistä roolia, ja vika näyttää neuvotteluongelmalta eikä tietojen syöttövirheeltä.
Suunnittele kaksi vastaavaa vertaistunnelia, yksi kullekin HA VPN -liitännälle. Molempien pilviliitäntöjen käyttäminen ei sinänsä poista paikallista vikapistettä, koska molemmat tunnelit voivat silti päätyä samaan runkoon.
Kirjoita osoiterooli jokaisen työarkin arvon viereen. Tämä yksi tapa estää suurimman osan sekoittumisesta.
Käännä työarkki Cisco-julkaisuksi
Aloita tuetusta vertaisdokumentaatiosta tai alustallesi sopivasta Googlen määritysmallista ja sovita sitten jokainen paikkamerkki työarkin kanssa. Tarkista IKEv2-todennus, ESP-ehdotukset, PFS sekä tunnelin ja reitityksen malli yhdessä, koska yhden niistä epäjohdonmukaisuus ilmenee yleensä toisen epäjohdonmukaisuutena. Valitse tuettu toiminta todellisen alustan ja ohjelmistoversion perusteella, sillä Classic VPN -resepti on eri lähtökohta.
Pidä jaettu salaisuus poissa kuvakaappauksista, tikettien liitteistä ja tukimuistiinpanoista. Tapauskommenttiin liitetty ennalta jaettu avain on tunnistetietojen paljastaminen, ei vianmääritysartefakti.
Jos mallipohja ja työarkki ovat ristiriidassa, pysähdy ja ratkaise asia paperilla. Laite ei sovittele puolestasi.
Hyväksy jokainen tunneli oman todistusaineistonsa perusteella
HA VPN tarvitsee BGP-istuntoja, ja onnistunut IKE-neuvottelu muodostaa vain ensimmäisen vaiheen. Sisäisen istunnon on noustava, aiotut etuliitteet on ilmoitettava ja hyväksyttävä, ja hyödyllisten reittien sekä palomuurioikeuksien on oltava olemassa ennen kuin työkuormaliikenne liikkuu. Näiden kirjaaminen yhdeksi vihreäksi valoksi kätkee, mikä vaihe todella epäonnistui.
Kirjaa hyväksyntätodisteet tunnelikohtaisesti: neuvotellut tietoturvayhteydet, BGP-naapurin tila, odotetut opitut etuliitteet ja aiottu työkuorman polku. Suorita sitten valvottu vika- ja palautumistesti, koska tunneli, joka ei ole koskaan pettänyt, on tunneli, jonka palautumispolkua ei ole testattu.
Tämä kirjaus on uudelleenkäytettävissä seuraavan suunnittelumuutoksen yhteydessä, ja se on ero yhteentoimivuuden ja komentofragmentin välillä, jonka oletukset menetettiin.