Cloud VPN þarf BGP: hvers vegna aðrir leiðarvaldsprotokollar bregðast

IPsec-öryggistengingin er uppi, teljarar tunnelsins hreyfast og umferð að forskeyti skýsins hverfur. Stjórnandinn reynir þá að virkja OSPF á beini viðskiptavinarins, vonast eftir að nágranninn myndist, og ekkert gerist. Tunnillinn var aldrei skortandi hluturinn: stýrt cloud VPN býður skilgreindan leiðarvaldssamning, og á stórum kerfum er sá samningur BGP. Þangað til lota er til og forskeyti er samþykkt er tunnillinn bara dulkóðuð leið án áfangastaða bak við sig.

Tunnillinn er uppi og leiðin vantar

Lok fasa 1 og fasa 2 sanna að aðilarnir eru sammála um vernd, ekki að hvorugur viti hvert á að senda umferðina. Þetta eru aðskildar stöðuvélar með aðskildum bilunum.

Spyrðu þriggja spurninga í röð: var forskeytið tilkynnt, var það samþykkt af nágrannanum og var það sett upp fyrir sendingu? Forskeyti sem var tilkynnt og síað er stefnumál. Forskeyti sem var aldrei tilkynnt er lotu- eða stillingarvandamál. Forskeyti sem var samþykkt en ekki sett upp er leiðarvalsvandamál, og hvert svar bendir á annan hluta stillingarinnar.

Hvað þjónustuveitandinn veitir þér í raun

Stýrð VPN-gátt er ekki ótakmörkuð beina. Þjónustuveitandinn gefur þér gátt með studdum nágrannaheimilisföngum, stillingu sjálfstæðs kerfis, forskeytamörkum og skilgreindri bilunarhegðun. Það yfirborð er varan.

Google Cloud skjalfestir virkt BGP-leiðarvald fyrir HA VPN, þar sem Cloud Router lærir leiðir nágranna og veitir hæfar sérsniðnar virkar leiðir til VPC. AWS Site-to-Site VPN skjalfestir val milli kyrrstæðs og virks leiðarvalds og lýsir BGP-lífseinkunn sem gagnlegri fyrir yfirtöku tunnels, en styður einnig heilsufarsskoðanir fyrir tæki án BGP. Ekki á að álykta hegðun annars kerfisins af vörunafni hins.

Hagnýt afleiðing er að þú velur stýrða haminn fyrst og lest síðan studdu stillingarnar. Hönnun sem gerir ráð fyrir tegund nágrannatengingar sem þjónustan býður ekki er ekki stillingarvandamál sem leysa á á beini viðskiptavinarins.

Vernd tunnels og aðgengi eru aðskilin verk

IPsec verndar umferðina sem er valin fyrir tunnilinn. BGP veitir aðgengisupplýsingarnar sem gera forskeyti hæft. Virkur tunnill sannar ekki að vænta forskeytið hafi verið tilkynnt, samþykkt eða sett upp.

Ímyndaðu þér útibú sem tilkynnir 10.42.0.0/16 um tvær hæfar tunnilleiðir. Fjarlægðu eina nothæfa leið og leiðarvalið getur breyst án þess að nokkur breyti leið hvers verkhluta. Greining, leiðarval og endurheimt forrits eru ekki samstundis og ekki eins milli uppsetninga, svo yfirtökuprufan verður að fylgjast með allri röðinni, ekki fyrstu pakkanum sem kemst í gegn.

Þegar forskeyti í skýinu er óaðgengilegt skaltu skoða stöðu lotunnar og lærðu leiðirnar áður en þú snertir dulritun. SA sem er uppi án leiðar bak við sig er algengasta mynd þessara einkenna.

Hvar forsendur OSPF brotna

OSPF, IS-IS eða annað prótókol inni í IPsec-tunli er algjörlega mögulegt á sjálfstýrðu tæki, þar sem þú átt báða enda og sendingarhönnunina. Sú staðreynd segir ekkert um stýrða þjónustu sem býður aðeins BGP sem virkan leiðarvaldsham.

Ef fyrirhuguð hönnun þarf nágrannatengingu sem þjónustan styður ekki skaltu breyta arkitektúrnum viljandi. Valkostir eru sjálfstýrt tæki í VPC, kyrrstætt leiðarvald þar sem þjónustan styður það, eða önnur tengivara. Að stilla prótókolið aðeins á beini viðskiptavinarins getur ekki bætt við nágranna á skýjahlutanum sem er ekki til, og það lætur forskeytið ekki birtast.

Ekki flytja svar eins söluaðila yfir á gátt annars. Sömu orð, eins og virkt leiðarvald eða yfirtaka tunnels, geta lýst mismunandi aðferðum og mismunandi mörkum.

Lestu kröfu þjónustunnar og hannaðu síðan

Áður en fyrsta stillingarlínan er skrifuð skaltu skrá nágrannaheimilisföngin, númer sjálfstæðra kerfa, forskeytin sem þú munt tilkynna og samþykkja, leiðarmörkin og vænta hegðun þegar tunnill bregst. Þessi fimm atriði eru samningurinn sem þú hannar út frá.

Staðfestu síðan í sömu röð: lota komin á, forskeyti móttekið, leið til staðar í leiðartöflu VPC og raunverulegt flæði að þjónustuheimilisfangi. Endurtaktu eftir þvingaða yfirtöku, því lota sem endurstofnast getur komið til baka með annan leiðasafn. Ef hönnunin byggir á samleitni undir sekúndu skaltu mæla hana í stað þess að gera ráð fyrir henni.

Geymdu þjónustusamninginn með breytingarskráningunni. Þegar einhver spyr síðar hvers vegna tunnillinn getur ekki keyrt OSPF er svarið vörumörk, ekki prótókolstakmörkun, og skráningin ætti að segja það.