Google HA VPN Cisco routerhez: először a partnererőforrást tervezze meg
Nevezze meg mindkét Google-interfészt, a partnererőforrást, az IKEv2-szerződést és minden BGP-munkamenetet a Cisco router konfigurálása előtt, majd válasszon egy partnert vagy kettőt.
A Cisco és Google közötti HA VPN első döntése nem az, hogy melyik titkosítási profilt használja, hanem hogy egy helyi eszköz vagy kettő zárja le az alagutakat. A Google HA VPN átjárójának két interfésze van, és mindegyik megfelelő partneralagutat vár. Ez két alagutat ad, akár van két routere, akár nincs, és a különbség az, hogy egyetlen tápegység vagy szoftverfrissítés képes-e megbuktatni az egész tervet.
A döntés egy partnereszköz vagy kettő
Három feltétel alapján válassza ki az elrendezést: elfogadható-e egy helyi hibapont, mindkét felhőinterfészt használni kell-e, és mennyi újrakonvergálást tűrnek a munkaterhelései. Ha a három közül bármelyik kemény követelmény, két partnereszköz az őszinte válasz.
Döntse el ezt a konzol megnyitása előtt, mert a válasz megváltoztatja, hány alagutat és BGP-munkamenetet kell a munkalapnak leírnia.
Írja meg a munkalapot bármilyen parancs előtt
A munkalapnak öt sora van, és mindegyikhez tulajdonos kell:
| Row | What it records |
|---|---|
| Google side | Project, VPC, region, HA VPN gateway, and the external address of each interface |
| Peer side | The Cisco external addresses, plus the external peer VPN gateway resource that represents them |
| Tunnel pairs | Which peer interface maps to each Google interface, with IKE version, secret and crypto parameters |
| Routing | Cloud Router, local and remote AS numbers, and one inside BGP pair per tunnel |
| Workloads | Approved on-premises and VPC prefixes, and what firewall policy should permit between them |
A külső partnererőforrás a Google Cloudon belüli interfészeit írja le, és létrehozása nem konfigurálja a Cisco routert. Ez az aszimmetria meglepi azokat, akik azt várják, hogy a felhőkonzol a valóság forrása mindkét vég számára. Ez egy nyilatkozat arról, amit a Google-nak várnia kell, és a routernek továbbra is meg kell felelnie neki. A Google partnerátjáró-útmutatója ezt a nyilatkozatot arra az alagút-, BGP-, tűzfal- és IKE-munkára képezi le, amellyel még tartozik.
Ha egy sornak nincs tulajdonosa, az tölti ki, aki az átállás alatt ügyeletben van.
Tartsa külön a három cím szerepét
A nyilvános partner-címek hordozzák a külső IPsec-cserét. A belső BGP-pár a fölötte futó védett logikai kapcsolathoz tartozik. A meghirdetett LAN- és VPC-előtagok az adott kapcsolat mögötti munkaterheléseket írják le. Ha egy VM belső címét a külső partner mezőjébe másolja, az összekeveri az első két szerepet, és a hiba tárgyalási problémának tűnik adatbeviteli hiba helyett.
Tervezzen két megfelelő partneralagutat, egyet minden HA VPN-interfészhez. Mindkét felhőinterfész használata önmagában nem szünteti meg a helyi hibapontot, mert mindkét alagút továbbra is ugyanazon a házon landolhat.
Írja a cím szerepét a munkalap minden értéke mellé. Ez az egyetlen szokás megakadályozza a keveredés nagy részét.
Fordítsa le a munkalapot a Cisco kiadására
Induljon a támogatott partnerdokumentációból vagy a platformjához illő Google-konfigurációs sablonból, majd egyeztessen minden helyőrzőt a munkalappal. Ellenőrizze együtt az IKEv2-hitelesítést, az ESP-javaslatokat, a PFS-t, valamint az alagút- és útválasztási modellt, mert az egyikükben lévő eltérés általában a másikban lévő eltérésként jelenik meg. A tényleges platform és szoftverkiadás alapján válassza ki, mi támogatott, mivel a Classic VPN-recept más kiindulópont.
Tartsa a megosztott titkot a képernyőképektől, a jegy mellékleteitől és a támogatási jegyzetektől távol. Az ügy megjegyzésébe illesztett előre megosztott kulcs hitelesítő adatok felfedése, nem hibaelhárítási műtermék.
Ha a sablon és a munkalap nem egyezik, álljon meg, és papíron oldja meg. Az eszköz nem dönt helyette.
Fogadjon el minden alagutat a saját bizonyítékai alapján
A HA VPN-hez BGP-munkamenetek kellenek, és egy sikeres IKE-tárgyalás csak az első szakaszt hozza létre. A belső munkamenetnek fel kell jönnie, a tervezett előtagokat hirdetni és elfogadni kell, és hasznos útvonalaknak valamint tűzfalogosultságoknak kell létezniük, mielőtt a munkaterhelés-forgalom elindul. Ezek egyetlen zöld lámpaként való rögzítése elrejti, melyik szakasz bukott meg valójában.
Rögzítse az elfogadási bizonyítékokat alagútonként: tárgyalt biztonsági társítások, BGP-szomszéd állapota, várt tanult előtagok és a tervezett munkaterhelési útvonal. Ezután hajtson végre ellenőrzött hiba- és helyreállítási tesztet, mert az az alagút, amely soha nem hibázott, olyan alagút, amelynek helyreállítási útvonala nem tesztelt.
Ez a feljegyzés a következő tervváltozásnál újra felhasználható, és ez a különbség az együttműködés és egy olyan parancstöredék között, amelynek feltevései elvesztek.