BGP adrese Cloud VPN-a pripadaju unutar tunela, a ne na mrežnoj kartici

Otvorite stranicu Cloud Routera za VPN i u vas gleda BGP sesija s adresom u 169.254.0.0/16. Prirodna reakcija je smjestiti tu adresu negdje na VM i čekati da se sesija podigne. Ta je reakcija pogrešna na poseban način: par pripada logičkoj vezi koju stvara IPsec tunel, a ne uobičajenom mrežnom sučelju stroja. Ništa što dodate na NIC ne tjera tunel da prenosi BGP.

Slijedite par niz stog umjesto da ga dodate na host.

Krenite od mjesta gdje konzola prikazuje par

Stranica sesije navodi BGP adresu Cloud Routera i adresu partnera, obje link-local za IPv4 HA VPN. Pokraj njih su vanjske adrese pristupnika koje terminiraju tunele. To su različiti objekti: link-local par živi iznutra, a adrese pristupnika žive izvana i moraju biti usmjerive prije nego išta drugo proradi.

Zapišite sve tri prije otvaranja konfiguracijske datoteke, jer je njihovo miješanje cijeli način kvara.

Siđite do tunela koji ga nosi

Link-local par ima smisla tek kad između dvaju pristupnika postoji IPsec sigurnosna asocijacija. Na Googleovoj strani HA VPN tuneli stvaraju je na dvama sučeljima; na vašoj strani to je ono što je partner dogovorio. Najprije provjerite asocijaciju podataka s swanctl --list-sas i zabilježite koji je tunel podignut na kojem sučelju, jer je zdrava BGP sesija preko mrtvog tunela nemoguća, a mrtav tunel s nada punom konfiguracijom uobičajena pojava.

BGP paket je unutarnji IP promet. Vanjska mreža ga nikad ne vidi, pa nijednom preklopniku ne trebaju obje adrese na jednom VLAN-u.

Sada konfigurirajte Linux partnera da odgovara

Odaberite podržani dizajn tunela i pustite ga da odredi unutarnje adrese. Kod usmjerenog sučelja zapis usmjeravanja i dogovoreni selektori prometa moraju se slagati, jer samo ime sučelja ništa ne dopušta. Usmjerite BIRD na unutarnju lokalnu adresu i unutarnju adresu Cloud Routera, postavite AS brojeve sa stranice sesije i dopustite TCP 179 unutar zaštićene staze. Držite rutu prema udaljenoj vanjskoj adresi na fizičkom uplinku kako tunel ne bi zahvatio vlastiti transport.

Tunel koji sam sebe usmjerava petlja je s rukovanjem i sat vremena će izgledati kao problem sa zaštitnim zidom.

Provjeravajte svaku fazu redom, a ne sve odjednom

Prođite faze: sigurnosna asocijacija podignuta, unutarnji partner dostupan s adrese tunela, BGP sesija uspostavljena, prefiksi prihvaćeni, zatim prefiks radnog opterećenja stvarno korišten. birdc show protocols odgovara na treće pitanje i ni na što drugo, zato ljudi rano proglašavaju pobjedu.

Uspostavljen susjed ne obećava da su obje strane objavile prefikse koji su vam potrebni ni da su te rute instalirane kao poželjne.

Ako je sesija uspostavljena a promet ipak ide pogrešnim putem, usporedite objavljene prefikse s onim što tablica usmjeravanja čini s njima. Specifičnija ruta negdje drugdje ili prednost drugom putu daje vam ispravnu BGP sesiju i nikakvo korisno prosljeđivanje.

Zaustavite se prije nego to primijenite na Router Appliance

Network Connectivity Center Router Appliance drukčiji je model priključka. Njegovi Cloud Router partneri koriste unutarnje adrese iz rasporeda VPC-a i podmreže umjesto link-local para HA VPN-a. Ako je pravi cilj BGP s VM-om za usmjeravanje, slijedite zahtjeve sučelja tog proizvoda umjesto da kopirate link-local sesiju.

Link-local opseg i dalje znači ono što kaže. Logički tunel osigurava ovo susjedstvo i ne dopušta usmjeravanje proizvoljnih link-local odredišta preko VPC-a.