Google HA VPN nei in Cisco-router: planje earst de peare-resource
Nammje beide Google-ynterfaces, de peare-resource, it IKEv2-kontrakt en elke BGP-sesje foar't jo de Cisco-router konfigurearje, en kies dan ien pear of twa.
De earste beslissing yn in HA VPN fan Cisco nei Google is net hokker krypto-profyl brûkt wurde moat, mar oft ien lokaal apparaat of twa de tunnels beëinigje sille. De HA VPN-gateway fan Google hat twa ynterfaces, en elk ferwachtet in oerienkommende peare-tunnel. Dat jout jo twa tunnels oft jo no twa routers hawwe of net, en it ferskil is oft ien inkelde stroomfoarsjenning of in software-upgrade it hiele ûntwerp delsmitte kin.
De beslissing is ien peare-apparaat of twa
Kies de yndieling op grûn fan trije betingsten: oft jo in lokaal flaterpunt akseptearje kinne, oft beide cloud-ynterfaces brûkt wurde moatte en hoefolle werkonverginsje jo workloads ferneare. As ien fan 'e trije in hurde eask is, binne twa peare-apparaten it earlike antwurd.
Beslis dat foar't jo in console iepenje, want it antwurd feroaret hoefolle tunnels en BGP-sesjes it wurkblêd beskriuwe moat.
Skriuw it wurkblêd foar't jo in opdracht jouwe
It wurkblêd hat fiif rigen, en elk hat in eigner nedich:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
De eksterne peare-resource beskriuwt jo ynterfaces binnen Google Cloud, en it oanmeitsjen dêrfan konfigurearret de Cisco-router net. Dy asymmetry ferrast minsken dy't ferwachtsje dat de cloud-console de boarne fan wierheid is foar beide einen. It is in ferklearring fan wat Google ferwachtsje moat, en de router moat der noch hieltyd by passe. Google's gids foar peare-gateway keppelt dy ferklearring oan it tunnel-, BGP-, firewall- en IKE-wurk dat jo noch skuldich binne.
As in rige gjin eigner hat, wurdt dy ynfolle troch wa't yn 'e tsjinst is by de oergong.
Hâld de trije adresrollen útinoar
De iepenbiere peare-adressen drage de bûtenste IPsec-útwikseling. It binnenste BGP-pear heart by de beskerme logyske ferbining dy't dêr oerhinne rint. De oankundige LAN- en VPC-prefiksen beskriuwe de workloads efter dy ferbining. It kopiearjen fan it ynterne adres fan in VM yn it eksterne peare-fjild mingt de earste twa rollen, en de flater liket in ûnderhannelingsprobleem yn stee fan in gegevensynfierflater.
Planje twa oerienkommende peare-tunnels, ien foar elke HA VPN-ynterface. It brûken fan beide cloud-ynterfaces fuortsmyt op himsels it lokale flaterpunt net, want beide tunnels kinne noch hieltyd op itselde chassis lâne.
Skriuw de adresrol njonken elke wearde yn it wurkblêd. Dy iene gewoante foarkomt it measte fan 'e mongeling.
Oerset it wurkblêd yn 'e Cisco-ferzje
Begjin by de dokumintaasje oer stipe pearen of in passend Google-konfiguraasjesjabloan foar jo platfoarm, en bring dan elke plakhâlder yn oerienstimming mei it wurkblêd. Kontrolearje IKEv2-autentikaasje, ESP-foarstellen, PFS en it tunnel- en routingmodel tegearre, want in ôfwiking yn ien fan harren docht him meast foar as in ôfwiking yn in oare. Brûk it werklike platfoarm en de softwareferzje om te kiezen wat stipe wurdt, om't in Classic VPN-resept in oar útgongspunt is.
Hâld it dielde geheim bûten skermôfbylden, ticket-bylagen en stipe-notysjes. In foarôf dielde kaai dy't yn in saakkommentaar plakt is, is in iepenbaring fan legitimaasjes, net in flateroplossingsartefakt.
As it sjabloan en it wurkblêd net oerienkomme, stopje en los it op papier op. It apparaat sil net foar jo arbitrearje.
Akseptearje elke tunnel op syn eigen bewiis
HA VPN hat BGP-sesjes nedich, en in suksesfolle IKE-ûnderhanneling fêstiget allinnich de earste faze. De binnenste sesje moat omheech komme, de bedoelde prefiksen moatte oankundige en akseptearre wurde, en nuttige rûtes plus firewalltastimmingen moatte bestean foar't workloadferkear beweecht. It fêstlizzen fan dy as ien grien ljocht ferberget hokker faze eins mislearre is.
Fêstlizze akseptaasjebewiis per tunnel: ûnderhannele feiligensassosjaasjes, BGP-buorstasteat, ferwachte learde prefiksen en it bedoelde workloadpaad. Rinn dan in kontrolearre flater- en werstelkontrôle, want in tunnel dy't nea mislearre is, is in tunnel waans werstelpaad net test is.
Dat rekord is opnij brûkber de folgjende kear as it ûntwerp feroaret, en it is it ferskil tusken in interoperabiliteit en in opdrachtfragment wêrfan de oannames ferlern gien binne.