כתובות BGP של Cloud VPN שייכות לפנים המנהרה, לא לכרטיס הרשת
זוג ה-BGP של Cloud Router עבור HA VPN נמצא בתוך נתיב ה-IPsec. עקבו אחריו למטה במערך במקום להוסיף כתובת link-local לממשק ה-VM.
פתחו את עמוד Cloud Router של ה-VPN ומולכם ניצבת הפעלת BGP עם כתובת בתוך 169.254.0.0/16. התגובה הטבעית היא להציב את הכתובת הזו במקום כלשהו על ה-VM ולהמתין שההפעלה תעלה. התגובה הזו שגויה באופן מסוים: הזוג שייך לקישור הלוגי שהמנהרה IPsec יוצרת, לא לממשק הרשת הרגיל של המכונה. שום דבר שתוסיפו לכרטיס הרשת לא יגרום למנהרה לשאת BGP.
עקבו אחרי הזוג למטה במערך במקום להוסיף אותו למארח.
התחילו במקום שבו המסוף מציג את הזוג
עמוד ההפעלה מפרט כתובת BGP של Cloud Router וכתובת עמית, שתיהן link-local עבור HA VPN מסוג IPv4. לצידן נמצאות כתובות השער החיצוניות שמסיימות את המנהרות. אלו אובייקטים שונים: זוג ה-link-local חי בפנים, וכתובות השער חיות בחוץ וחייבות להיות ניתנות לניתוב לפני שכל דבר אחר יעבוד.
רשמו את שלושתם לפני פתיחת קובץ תצורה, כי ערבוב ביניהם הוא כל מצב הכשל.
רדו אל המנהרה שנושאת אותו
זוג ה-link-local מקבל משמעות רק כאשר קיימת אסוציאציית אבטחה של IPsec בין שני השערים. בצד של Google המנהרות של HA VPN יוצרות אותה בשני הממשקים; בצד שלכם זה מה שהעמית ניהל משא ומתן עליו. בדקו קודם את אסוציאציית הנתונים עם swanctl --list-sas ורשמו איזו מנהרה פעילה באיזה ממשק, כי הפעלת BGP תקינה מעל מנהרה מתה היא בלתי אפשרית, ומנהרה מתה עם תצורה מלאת תקווה היא שגרה.
מנות BGP הן תעבורת IP פנימית. הרשת החיצונית לא רואה אותן לעולם, כך שאף מתג לא צריך את שתי הכתובות על VLAN אחד.
כעת הגדירו את העמית ב-Linux בהתאמה
בחרו בתכנון המנהרה הנתמך ותנו לו להחליט על הכתובות הפנימיות. עם ממשק מבוסס ניתוב, רשומת הניתוב ובוררי התעבורה שנוהלו חייבים להסכים, כי שם ממשק לבדו אינו מתיר דבר. כוונו את BIRD לכתובת המקומית הפנימית ולכתובת הפנימית של Cloud Router, קבעו את מספרי ה-AS מעמוד ההפעלה, ואפשרו TCP 179 בתוך הנתיב המוגן. שמרו על הנתיב לכתובת החיצונית הרחוקה על הקישור הפיזי כדי שהמנהרה לא תלכוד את התחבורה של עצמה.
מנהרה שמנתבת את עצמה היא לולאה עם לחיצת יד, והיא תיראה כמו בעיית חומת אש במשך שעה.
בדקו כל שלב לפי הסדר, לא את הכול בבת אחת
עברו על השלבים: אסוציאציית אבטחה למעלה, עמית פנימי נגיש מכתובת המנהרה, הפעלת BGP הוקמה, קידומות התקבלו, ואז קידומת עומס עבודה בשימוש בפועל. birdc show protocols עונה על השאלה השלישית ולא על שום דבר אחר, ולכן אנשים מכריזים על ניצחון מוקדם.
שכן שהוקם אינו מבטיח ששני הצדדים פרסמו את הקידומות שאתם צריכים, או שהנתיבים האלה הותקנו כמועדפים.
אם ההפעלה הוקמה והתעבורה עדיין הולכת בדרך הלא נכונה, השוו את הקידומות שפורסמו למה שטבלת הניתוב עושה איתן. נתיב ספציפי יותר במקום אחר, או העדפה לנתיב אחר, נותנים לכם הפעלת BGP עובדת ולא שום העברה שימושית.
עצרו לפני שתחילו את זה על Router Appliance
Network Connectivity Center Router Appliance הוא מודל הצטרפות אחר. עמיתי ה-Cloud Router שלו משתמשים בכתובות פנימיות מסידור ה-VPC והרשת המשנית ולא בזוג ה-link-local של HA VPN. אם המטרה האמיתית היא BGP עם VM מנתב, עקבו אחר דרישות הממשק של המוצר הזה במקום להעתיק הפעלת link-local.
היקף link-local עדיין אומר את מה שהוא אומר. המנהרה הלוגית מספקת את השכנות הזו, והיא אינה מתירה לנתב יעדי link-local שרירותיים ברחבי ה-VPC.