Cloud VPN के BGP पते NIC पर नहीं, टनल के अंदर होते हैं

VPN के लिए Cloud Router पृष्ठ खोलें और 169.254.0.0/16 में पते वाला एक BGP सत्र आपको घूर रहा है। सहज प्रतिक्रिया यह है कि उस पते को VM पर कहीं रख दें और सत्र के ऊपर आने की प्रतीक्षा करें। वह प्रतिक्रिया एक विशिष्ट तरीके से गलत है: यह जोड़ी IPsec टनल जो तार्किक लिंक बनाती है उसकी है, मशीन के सामान्य नेटवर्क इंटरफ़ेस की नहीं। NIC पर आप जो कुछ भी जोड़ें, वह टनल को BGP ढोने के लिए बाध्य नहीं करता।

जोड़ी को होस्ट पर जोड़ने के बजाय स्टैक में नीचे अनुसरण करें।

वहीं से शुरू करें जहाँ कंसोल जोड़ी दिखाता है

सत्र पृष्ठ एक Cloud Router BGP पता और एक पीयर पता सूचीबद्ध करता है, IPv4 HA VPN के लिए दोनों link-local। इनके बगल में बाहरी गेटवे पते हैं जो टनल समाप्त करते हैं। ये अलग वस्तुएँ हैं: link-local जोड़ी अंदर रहती है, और गेटवे पते बाहर रहते हैं और कुछ और काम करने से पहले उनका रूट होना ज़रूरी है।

कॉन्फ़िगरेशन फ़ाइल खोलने से पहले तीनों लिख लें, क्योंकि इन्हें मिलाना ही पूरा विफलता-प्रकार है।

उस टनल तक नीचे जाएँ जो इसे ढोती है

link-local जोड़ी का अर्थ तभी है जब दो गेटवे के बीच IPsec सुरक्षा संबंध मौजूद हो। Google की ओर HA VPN टनल इसे दो इंटरफ़ेस पर बनाती हैं; आपकी ओर यह वही है जो पीयर ने बातचीत में तय किया। पहले swanctl --list-sas से डेटा संबंध जाँचें और लिखें कि कौन-सी टनल किस इंटरफ़ेस पर ऊपर है, क्योंकि मृत टनल पर स्वस्थ BGP सत्र असंभव है और आशापूर्ण कॉन्फ़िगरेशन वाली मृत टनल सामान्य बात है।

BGP पैकेट आंतरिक IP ट्रैफ़िक है। बाहरी नेटवर्क इसे कभी नहीं देखता, इसलिए किसी स्विच को एक VLAN पर दोनों पते नहीं चाहिए।

अब Linux पीयर को मेल खाने के लिए कॉन्फ़िगर करें

समर्थित टनल डिज़ाइन चुनें और उसे भीतरी पते तय करने दें। रूट-आधारित इंटरफ़ेस के साथ, रूटिंग प्रविष्टि और तय किए गए ट्रैफ़िक चयनकर्ताओं को सहमत होना चाहिए, क्योंकि अकेला इंटरफ़ेस नाम कुछ भी अनुमति नहीं देता। BIRD को भीतरी स्थानीय पते और Cloud Router के भीतरी पते पर इंगित करें, सत्र पृष्ठ से AS नंबर सेट करें, और सुरक्षित पथ के भीतर TCP 179 की अनुमति दें। दूर के बाहरी पते का रूट भौतिक अपलिंक पर रखें ताकि टनल अपना ही परिवहन न पकड़ ले।

जो टनल स्वयं को रूट करती है वह हैंडशेक वाला लूप है, और एक घंटे तक वह फ़ायरवॉल समस्या जैसी दिखेगी।

हर चरण क्रम से जाँचें, पूरी चीज़ एक साथ नहीं

चरणों पर चलें: सुरक्षा संबंध ऊपर, टनल पते से भीतरी पीयर पहुँच योग्य, BGP सत्र स्थापित, प्रीफ़िक्स स्वीकृत, फिर वर्कलोड प्रीफ़िक्स वास्तव में उपयोग में। birdc show protocols तीसरे प्रश्न का उत्तर देता है और कुछ नहीं, इसलिए लोग जल्दी विजय घोषित करते हैं।

स्थापित पड़ोसी इसकी गारंटी नहीं देता कि दोनों पक्षों ने वे प्रीफ़िक्स विज्ञापित किए जिनकी आपको ज़रूरत है, या कि वे रूट पसंदीदा के रूप में स्थापित हुए हैं।

यदि सत्र स्थापित है और ट्रैफ़िक अब भी गलत रास्ता लेता है, विज्ञापित प्रीफ़िक्स की तुलना इससे करें कि रूटिंग तालिका उनके साथ क्या करती है. कहीं और अधिक विशिष्ट रूट, या दूसरे रास्ते के पक्ष में वरीयता, आपको काम करता BGP सत्र देती है और कोई उपयोगी फ़ॉरवर्डिंग नहीं।

इसे Router Appliance पर लागू करने से पहले रुकें

Network Connectivity Center Router Appliance एक अलग अटैचमेंट मॉडल है। इसके Cloud Router पीयर HA VPN link-local जोड़ी के बजाय VPC और सबनेट व्यवस्था से आंतरिक पते उपयोग करते हैं। यदि वास्तविक लक्ष्य रूटिंग VM के साथ BGP है, तो link-local सत्र की नकल करने के बजाय उस उत्पाद की इंटरफ़ेस आवश्यकताओं का पालन करें।

link-local का दायरा अब भी वही कहता है जो वह कहता है। तार्किक टनल यह निकटता प्रदान करती है, और यह VPC भर में मनमाने link-local गंतव्यों को रूट करने का लाइसेंस नहीं देती।