Google HA VPN prema Cisco usmjerivaču: prvo planirajte resurs druge strane
Navedite oba Google sučelja, resurs druge strane, IKEv2 ugovor i svaku BGP sesiju prije konfiguriranja Cisco usmjerivača, a zatim odaberite jednu drugu stranu ili dvije.
Prva odluka u HA VPN-u od Ciscoa do Googlea nije koji kriptografski profil koristiti, nego hoće li tunele prekinuti jedan lokalni uređaj ili dva. Googleov HA VPN pristupnik ima dva sučelja i svako očekuje odgovarajući tunel druge strane. To vam daje dva tunela bez obzira na to imate li dva usmjerivača ili ne, a razlika je može li jedno napajanje ili nadogradnja softvera srušiti cijeli dizajn.
Odluka je jedan uređaj druge strane ili dva
Odaberite raspored prema tri uvjeta: možete li prihvatiti lokalnu točku otkaza, moraju li se koristiti oba cloud sučelja i koliko rekonvergencije vaša radna opterećenja toleriraju. Ako je bilo koji od tri tvrdi zahtjev, dva uređaja druge strane iskren su odgovor.
Odlučite to prije nego otvorite konzolu, jer odgovor mijenja koliko tunela i BGP sesija radni list mora opisati.
Napišite radni list prije bilo koje naredbe
Radni list ima pet redaka i svakom je potreban vlasnik:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
Vanjski resurs druge strane opisuje vaša sučelja unutar Google Clouda i njegovo stvaranje ne konfigurira Cisco usmjerivač. Ta asimetrija iznenađuje ljude koji očekuju da cloud konzola bude izvor istine za oba kraja. To je izjava o tome što Google treba očekivati, a usmjerivač se i dalje mora s tim uskladiti. Googleov vodič za pristupnik druge strane preslikava tu izjavu na tunelski, BGP, vatrozidni i IKE posao koji još dugujete.
Ako redak nema vlasnika, popunit će ga onaj koji je na smjeni tijekom prijelaza.
Držite tri adresne uloge odvojeno
Javne adrese druge strane nose vanjsku IPsec razmjenu. Unutarnji BGP par pripada zaštićenoj logičkoj vezi koja ide preko nje. Oglašeni LAN i VPC prefiksi opisuju radna opterećenja iza te veze. Kopiranje interne adrese VM-a u polje vanjske druge strane miješa prve dvije uloge, a kvar izgleda kao problem pregovaranja, a ne kao pogreška pri unosu podataka.
Planirajte dva odgovarajuća tunela druge strane, po jedan za svako HA VPN sučelje. Korištenje oba cloud sučelja samo po sebi ne uklanja lokalnu točku otkaza, jer oba tunela i dalje mogu završiti na istom kućištu.
Upišite adresnu ulogu uz svaku vrijednost u radnom listu. Ta jedna navika sprječava većinu miješanja.
Prevedite radni list u Cisco izdanje
Pođite od podržane dokumentacije druge strane ili odgovarajućeg Google predloška konfiguracije za vašu platformu, pa uskladite svaki rezervirani element s radnim listom. Provjerite IKEv2 autentifikaciju, ESP prijedloge, PFS te tunelski i routing model zajedno, jer se neusklađenost u jednom od njih obično pojavljuje kao neusklađenost u drugom. Koristite stvarnu platformu i izdanje softvera da odaberete što je podržano, jer je Classic VPN recept druga početna točka.
Držite zajedničku tajnu izvan snimaka zaslona, privitaka tiketa i bilješki podrške. Unaprijed dijeljeni ključ zalijepljen u komentar slučaja je otkrivanje vjerodajnica, a ne artefakt za rješavanje problema.
Ako se predložak i radni list ne slažu, zaustavite se i riješite to na papiru. Uređaj neće arbitrirati umjesto vas.
Prihvatite svaki tunel na temelju njegovih dokaza
HA VPN zahtijeva BGP sesije, a uspješno IKE pregovaranje uspostavlja samo prvu fazu. Unutarnja sesija mora se podići, namjeravani prefiksi moraju biti oglašeni i prihvaćeni, a korisne rute i vatrozidna dopuštenja moraju postojati prije nego što promet radnih opterećenja krene. Evidentiranje toga kao jednog zelenog svjetla skriva koja je faza zapravo pala.
Zabilježite dokaze prihvaćanja po tunelu: pregovarane sigurnosne asocijacije, stanje BGP susjeda, očekivane naučene prefikse i namjeravanu putanju radnog opterećenja. Zatim izvedite kontroliranu provjeru kvara i oporavka, jer tunel koji nikada nije pao jest tunel čija putanja oporavka nije testirana.
Taj je zapis ponovno upotrebljiv sljedeći put kada se dizajn promijeni i predstavlja razliku između interoperabilnosti i ulomka naredbe čije su pretpostavke izgubljene.